До подключения SDK составьте перечень данных: что собирается, зачем, куда передаётся, сколько хранится и как удаляется. Политика конфиденциальности должна описывать фактический продукт. Анкеты App Privacy и Data safety заполняются с учётом сторонних библиотек. Apple о данных и SDK, Google Play Data safety.
ATT, разрешение на уведомления, доступ к геолокации и согласие на обработку данных для конкретных целей — разные механизмы. Одно не заменяет остальные. Требования к согласию, хранению, детской аудитории и трансграничной передаче зависят от рынков работы; до запуска в конкретной стране проверьте применимые правила.
На iOS нельзя обходить отказ от tracking с помощью другого идентификатора или цифрового отпечатка устройства. Серверная передача не превращает такой обход в допустимую аналитику. Apple также запрещает обусловливать функции согласием на tracking. Разъяснения Apple.
Практическая проверка
Убедитесь, что SDK не отправляет запрещённые для выбранного состояния данные до выбора пользователя. Пройдите сценарии согласия, отказа и изменения решения. Проверьте удаление аккаунта и связанных данных, если аккаунт есть; учитывайте законные основания хранения отдельных транзакционных записей.
Не отправляйте рекламным партнёрам медицинские сведения, финансовые детали или свободный пользовательский текст просто потому, что их удобно добавить в параметры. При необходимости записи сессий маскируйте ввод и чувствительные экраны, а для особо чувствительных сценариев откажитесь от записи.
Назначьте минимальные права сотрудникам и подрядчикам, храните секреты вне приложения, включите защиту аккаунтов. Регулярно пересматривайте список SDK и удаляйте те, которыми перестали пользоваться. Это уменьшает и техническую нагрузку, и объём данных, который приходится контролировать.