AndroidMiddle

Разрешения и приватность

Runtime-разрешения, purpose strings, ATT, геолокация, фото, privacy manifest, согласия, аудит SDK

Шпаргалка

Закрыто вопросов

0 / 19

0Повторить
2Часто спрашивают

Как тренировать тему

Шпаргалка

Вопросы

Приложение сохраняет content://-URI из пикера, но не право на его чтение. Фотопикер выдаёт временный доступ, который заканчивается вместе с процессом приложения, поэтому после перезапуска openInputStream бросает SecurityException. Почему сначала всё работает: право на чтение привязано к живому процессу и действует, пока приложение не остановится или устройство не перезагрузится; строка в SharedPreferences живёт дольше, поэтому баг проявляется только после холодного старта, смерти процесса или перезагрузки Исправление: takePersistableUriPermission(uri, Intent.FLAG_GRANT_READ_URI_PERMISSION) в колбэке просит систему сохранить доступ после перезапусков и перезагрузок; это работает для URI из пикера и для ACTION_OPEN_DOCUMENT, который androidx использует как запасной вариант Очистка: число сохранённых доступов на приложение ограничено, поэтому, когда пользователь выбирает новую аватарку, для старого URI вызывают releasePersistableUriPermission Часто проще: сразу после выбора скопировать картинку в filesDir или загрузить на сервер и хранить свой путь: пользователь всё равно может удалить или отредактировать оригинал в галерее, а доступ не нужен вовсе Как поймать: выберите фото, выполните adb shell am force-stop <package>, откройте снова; аватарка должна загрузиться или показать заглушку

Зелёная точка появляется, пока приложение использует камеру или микрофон, а пользователь может выключить любой из сенсоров для всего устройства. При выключенном переключателе отказа нет: приходят чёрные кадры или тишина, поэтому код, ожидающий данных, может зависнуть. Индикатор привязан к сессии: не отвязанный use case CameraX или не освобождённый AudioRecord держат точку включённой, и пользователи воспринимают это как слежку; отвязывайте и освобождайте сразу после завершения фичи Переключатели: разрешение по-прежнему числится выданным; при старте захвата система сама показывает диалог разблокировки, а SensorPrivacyManager.supportsSensorToggle() подскажет, есть ли переключатель на устройстве Закладывайте тишину в дизайн: ставьте таймаут на ожидание первого кадра или буфера и подсказывайте про переключатель в быстрых настройках Privacy dashboard: в Настройках видно, какие приложения и когда использовали геолокацию, камеру и микрофон, так что любой необъяснимый доступ видят все пользователи iOS: та же идея: оранжевая точка для микрофона и зелёная для камеры, горят, пока приложение реально записывает звук или видео

Это публичная декларация того, какие данные приложение собирает и передаёт, зачем и как защищает; она покрывает и данные ваших SDK: Play считает их трафик вашим. Если форма расходится с тем, что приложение реально отправляет, это ведёт к санкциям по политике, а не просто к отклонённому обновлению. Collected (сбор): любые пользовательские данные, отправленные с устройства; данные, обрабатываемые только на устройстве, сбором не считаются, а эфемерная обработка или сквозное шифрование могут давать исключение Shared (передача): данные, отправленные третьей стороне; передача сервис-провайдеру, работающему от вашего имени, по требованию закона или по действию самого пользователя считается исключением Также декларируются: шифрование при передаче, возможность запросить удаление данных и соответствие политике Families SDK: аналитический SDK добавляет взаимодействия с приложением и идентификаторы устройства, крэш-репортер добавляет диагностику, рекламный SDK добавляет рекламный идентификатор и обычно передачу; опирайтесь на гайды вендоров по Data safety и Google Play SDK Index Поля, о которых забывают: сырой поисковый запрос в аналитическом событии считается пользовательским контентом, email в ключе крэш-отчёта делает данные о падениях персональными; отправляйте характеристику значения (длину, количество, псевдонимный ID), а не само значение Аналог в iOS: privacy label в App Store, с дополнительной категорией «используется для отслеживания»

Из автоинициализации: Firebase и многие SDK стартуют через ContentProvider или инициализатор androidx.startup, который выполняется до Application.onCreate, поэтому они начинают собирать данные раньше, чем ваш флаг вообще прочитан. Выключатель должен быть в манифесте. Отключите автосбор: установите firebase_analytics_collection_enabled и firebase_crashlytics_collection_enabled в false и включайте в рантайме, когда пользователь ответит **Не firebase_analytics_collection_deactivated: он выключает аналитику навсегда, и рантайм-сеттер её уже не вернёт Consent Mode v2**: по умолчанию выставьте в манифесте все типы согласия в denied (google_analytics_default_allow_analytics_storage и рекламные ключи), затем вызывайте setConsent с ANALYTICS_STORAGE, AD_STORAGE, AD_USER_DATA, AD_PERSONALIZATION Реклама в ЕЭЗ и Великобритании: нужна сертифицированная Google CMP, например UMP SDK; она записывает ключи IABTCF_ в SharedPreferences, которые рекламные SDK читают при старте, поэтому CMP должна отработать до инициализации рекламы Другие SDK: уберите их запись из InitializationProvider через tools:node="remove" и инициализируйте их сами после согласия Позднее «нет»: остановите сбор, удалите события из очереди, вызовите resetAnalyticsData() и сохраните решение с временной меткой и версией показанного текста

Детская аудитория выключает почти всю стороннюю телеметрию: нет рекламного ID и персонализации, только SDK, сертифицированные для семейных приложений, и проверяемое согласие родителей до сбора данных. Под эти правила приложение попадает через декларацию целевой аудитории в консоли стора. Сторы Google Play: целевая аудитория, включающая детей, переводит приложение под политику Families: нужна политика конфиденциальности, реклама только от самосертифицированных для Families SDK, и рекламный идентификатор для детей не отправляется App Store: категория Kids запрещает стороннюю рекламу и аналитику за узкими исключениями, а ссылки за пределы приложения и покупки прячутся за родительский гейт Закон COPPA (США): проверяемое согласие родителей для детей до 13 лет; поправки 2025 года добавили отдельное согласие на передачу данных третьим сторонам, например для таргетированной рекламы, с обязательным соблюдением с апреля 2026 года GDPR, статья 8: возраст цифрового согласия от 13 до 16 лет в зависимости от страны ЕС Сигналы возраста: Declared Age Range API от Apple и Age Signals API от Google Play возвращают возрастной диапазон без сбора даты рождения приложением; толчком стали законы штатов США о сторах приложений В приложении Один переключатель до старта любого SDK (при выключенном автосборе в манифесте): пометка child-directed на каждом рекламном запросе, персонализация выключена, аналитика сведена к неидентифицирующим счётчикам Нейтральный возрастной гейт: поле даты, которое спрашивают один раз без повторной попытки; храните возрастную группу, а не дату рождения, и по умолчанию включайте ограниченный режим, если возраст неизвестен

Оба стора требуют, чтобы удаление начиналось внутри приложения, а строка в базе оказывается самой простой частью: сервер рассылает удаление по всем системам и вендорам, у которых есть данные пользователя, устройство очищается, а бэкапы вычищаются по заявленному сроку хранения. Правила сторов Apple 5.1.1(v): если в приложении можно создать аккаунт, его должно быть можно и удалить в приложении; ссылка на email поддержки означает реджект. Токены Sign in with Apple нужно также отозвать через REST API Apple Google Play: путь в приложении плюс веб-ссылка, работающая без приложения, указанная в форме Data safety; можно также дать удалить часть данных без закрытия аккаунта Сервер Надёжная задача, а не один запрос: разошлите удаление в хранилище, логи, API удаления у вендоров аналитики и крэшей, саппорт-систему, CRM, объектное хранилище и поисковый индекс, с ретраями и алертом на зависшую задачу Tombstone: оставьте минимальную метку «удалён», чтобы восстановление бэкапа не вернуло аккаунт Хранение по закону: счета и записи о фроде может понадобиться сохранить; задокументируйте, что хранится и почему Устройство Очистите локальное состояние: базу, кеши, DataStore, ключи Keystore и пуш-токен через FirebaseMessaging.deleteToken(), иначе удалённый пользователь продолжит получать уведомления Что сказать пользователю Удалено из рабочих систем сейчас, вычищено из бэкапов в течение заявленного числа дней, плюс список того, что хранится по закону

Три вещи: инвентарь данных, который ревьюят как код, запись трафика со свежей установки на реальном устройстве и проверку в CI, которая падает, если приложение обращается к хосту, которого нет в инвентаре. Инвентарь Одна строка на поле: источник, хост назначения, цель, срок хранения, тип в Data safety и категория в privacy label App Store; обе формы заполняются по нему, и он меняется в том же PR, что и payload Запись трафика Свежая установка, все разрешения отклонены, согласие не дано, затем второй прогон с согласием, потому что спорным обычно оказывается именно трафик за согласием На Android нужен debuggable аудит-вариант, у которого network security config доверяет пользовательским CA, а certificate pinning выключен, иначе прокси вроде mitmproxy увидит только TLS Подождите несколько минут: некоторые SDK отправляют первую пачку с задержкой В iOS отчёт App Privacy Report в Настройках фиксирует домены и сенсоры, которые использовало каждое приложение: это доказательство от ОС, а не от вас В коде Data access auditing (AppOpsManager.setOnOpNotedCallback, Android 11) сообщает о каждом обращении к геолокации, контактам или камере со стектрейсом, а attribution tags показывают, какая фича его сделала Гейт в CI Прогоните smoke-тест через записывающий прокси и проверьте, что посещённые хосты образуют подмножество allow-list, тогда утверждение в форме становится тестом

Материалы

Все источники

Podlodka Crew · podcast

Подлодка: выпуски про Flutter