Veri güvenliği için uygulama meta veri paketleri

Uygulama meta veri paketleri, geliştiricilere kendileri (geliştirici), uygulama ve kullanıcı verilerini toplayıp topladıkları, paylaştıkları ve korudukları (veya korumadıkları) hakkında şeffaf bir şekilde bilgi ekleme olanağı sunar. Google Play Store, geliştiricilerin dağıttığı uygulamalarla ilgili olarak bu bilgileri sağlamalarını zorunlu kılar. Sistem hizmetleri için sınırlı istisnalar dışında, Google Play Hizmetleri'ne sahip Android cihaz üreticileri de üreticinin önceden yüklediği uygulama geliştiricilerinin aynısını zorunlu kılar.

Diğer uygulama mağazaları ve yükleyiciler, dağıttıkları uygulamalar için uygulama meta veri paketi zorunluluğu getirebilir. Uygulama dağıtım yöntemi, geliştiricilerin uygulama meta veri paketini nasıl oluşturabileceğini ve entegre edebileceğini belirler. Android, uygulama meta veri paketindeki veri güvenliği bilgilerini kullanıcılara gösterir. Örneğin, bir uygulama konumu üçüncü bir tarafla paylaştığını beyan ederse bu bilgi, Android 14 veya sonraki sürümleri çalıştıran cihazlardaki konum izni isteminde gösterilir.

Genel Bakış

Uygulama meta veri paketi, uygulamanızın topladığı veya paylaştığı kullanıcı verileri de dahil olmak üzere sizinle (geliştirici) ve uygulamanızla ilgili bilgileri paylaşmanıza ve uygulamanızın temel gizlilik ve güvenlik yöntemlerini sergilemenize olanak tanır. Bu bilgiler, kullanıcıların daha bilinçli tercihler yapmasına (ör. izinlere erişim verirken) yardımcı olur.

Uygulama meta veri paketleri, geliştirici olarak faaliyet gösterdiğiniz ülkelerde tabi olabileceğiniz tüm yasal şeffaflık ve açıklama yükümlülüklerinden ayrıdır ve bunlara ek niteliğindedir.

Tüm geliştiricilerin, uygulamaları için kullanıcı verilerini nasıl toplayıp işlediklerini beyan etmeleri, ayrıca uygulamanın amacı, geliştirici bilgileri ve uygulamanın, şifreleme gibi güvenlik uygulamalarıyla kullanıcı verilerini nasıl korudukları hakkında ayrıntılı bilgi vermeleri önerilir. Buna, uygulamalarda kullanılan tüm üçüncü taraf kitaplıklar veya SDK'lar üzerinden toplanan ve işlenen veriler dahildir. Geliştiriciler, ayrıntılar için SDK sağlayıcılarının yayınladığı veri güvenliği bilgilerini inceleyebilir. Geliştiriciler, bir sağlayıcının kılavuz bağlantısı ekleyip eklemediğini görmek için Google Play SDK Dizini'ni kontrol edebilir.

Uygulama meta veri paketleri, uygulamanın dağıtım şekline bağlı olarak cihaza farklı şekilde ulaşır:

• Sistem görüntüsüne önceden yüklenmiş uygulamalar: Uygulama meta veri paketinin sistem görüntüsünde bir veri güvenliği XML dosyasına eklenmesi cihaz üreticisinin sorumluluğundadır.
• Yükleyiciler tarafından dağıtılan uygulamalar: Uygulama meta veri paketinin cihaza gönderilmesinden yükleyici sorumludur. Google Play üzerinden dağıtılan bir uygulama geliştiriyorsanız Play Console Yardım sayfasında bulunan talimatları inceleyin. Yükleyiciler uygulama meta veri paketleri şemasına başvurabilir.

Önceden yüklenmiş uygulamaların geliştiricileri, aşağıdaki yöntemlerden birini kullanarak veri güvenliği XML dosyası oluşturabilir:

• Play Store'da yayınlanan bir uygulama geliştiriyorsanız Politika > Uygulama içeriği'ne giderek Play Console'un Uygulama içeriği sayfasındaki Veri Güvenliği Formu'nu kullanın. Bu formu zaten doldurduysanız başka bir işlem yapmanız gerekmez.
• Üreticilere veya kurulum uzmanlarına sağlamak için bu sayfada bulunan şablon XML dosyasını indirip düzenleyin.

Bilgileri hazırlama

Geliştiriciler bir uygulama meta veri paketi oluşturmaya başlamadan önce aşağıdaki adımları tamamlayın:

• Gizlilik politikası eklediklerinden emin olun.

• Uygulamanın kullanıcı verilerini nasıl toplayıp paylaştığını ve güvenlik yaklaşımlarını inceleyin. Özellikle uygulamanın beyan ettiği izinleri ve kullandığı API'leri kontrol edin.

  Geliştiriciler, uygulamanın kullanıcı verilerini nasıl toplayıp paylaştığını incelemenin yanı sıra uygulamadaki üçüncü taraf kodların (ör. üçüncü taraf kitaplıklar veya SDK'lar) bu verileri nasıl toplayıp paylaştığını da incelemelidir. Uygulama meta veri paketi, söz konusu üçüncü taraf kodları tarafından gerçekleştirilen veri toplamayı veya paylaşımını yansıtmalıdır.

Geliştiricilerin uygulama ve geliştirici bilgileri bölümlerinde açıklaması gerekenler

Bu bölümde, geliştiricilerin uygulama meta veri paketinin uygulama ve geliştirici bilgileri bölümlerinde açıklamaları gereken bilgiler açıklanmaktadır. Uygulama Google Play Store üzerinden dağıtılıyorsa bu bilgileri girmek için Play Console'u kullanın.

Geliştiricilerin uygulama hakkında paylaşması gerekenler

Geliştiricilerin, uygulama meta veri paketi oluştururken aşağıdaki bölümlerde açıklanan uygulama bilgilerini ifşa etmesi gerekir:

Uygulamanın amacı

Uygulamanın amacını, kullanıcılar tarafından okunabilen bir metin blobunda açıklayın (en fazla 4.000 karakter).

Uygulama kategorisi

Aşağıdaki listeden uygulamanın amacına en uygun kategoriyi seçin.

Aşağıdaki kategoriler, önceden yüklenmiş uygulamalar için tasarlanmıştır:

• OTA - Kablosuz (OTA) güncellemeleri almaktan ve yüklemekten sorumlu paketler
• AOSP: Android Açık Kaynak Projesi'nde bulunan paketler
• Güvenlik
• Mağaza

Aşağıdaki tabloda açıklanan kategoriler Google Play tarafından da kullanılır:

Uygulama reklamcılığı ve pazarlama

Uygulamanın, uygulama içi tanıtımlar da dahil olmak üzere reklam veya pazarlama içerip içermediğini belirtin.

Gizlilik politikası

Kullanıcı verilerinin geliştirici tarafından nasıl kullanıldığını ayrıntılı olarak açıklayan gizlilik politikasının bağlantısını ekleyin. Uygulama bu bağlantıyı içermiyorsa uygulamanın kullanıcı verilerini işlemediği varsayılır.

Geliştiricilerin kendileri hakkında paylaşması gerekenler

Geliştiricilerin, uygulama meta veri paketi oluştururken aşağıdaki bölümlerde açıklanan geliştirici bilgilerini ifşa etmesi gerekir:

Geliştirici adı

Uygulamayı oluşturan geliştiricinin, kişinin veya şirketin adı. Birden fazla geliştirici adı olabilir.

Uygulama sicili

Uygulama, mağazalar ve diğer yükleyiciler dahil olmak üzere herhangi bir uygulama kayıt defterinde listeleniyorsa bu alanda bunu belirtin. Birden fazla mağaza için birden fazla girişe izin verilir.

• Android yükleyici olan uygulama kayıtları için: Değer, mağazanın Android paket adıdır. Örneğin, Google Play Store için com.android.vending kullanın.
• Diğer uygulama kayıt defteri için: Değer, kayıt defterinin URL'si olmalıdır.

Aşağıdakilerden biri nedeniyle bu alanı atlayabilirsiniz:

• Geliştirici, Google Play SDK Dizini'nde listelenen bir SDK'ysa.
• Geliştirici herhangi bir uygulama mağazasında veya kayıt otoritesinde kayıtlı değil.

Uygulama kayıt kimliği

Yükleyiciler ve mağazalar da dahil olmak üzere herhangi bir uygulama sicilinde listelenen uygulamalar için bu değer, geliştiricinin mağazası, yükleyicisi veya sicil kimliği olmalıdır. Birden fazla mağaza için birden fazla girişe izin verilir.

• Google Play'e kayıtlı geliştiriciler için: Bu değer, geliştirici sayfasının URL'si olmalıdır (ör. https://play.google.com/store/apps/dev?id=5700313618786177705, Google LLC geliştiricisinin URL'sidir).
• Geliştirici, Google Play SDK Dizini'nde listelenen bir SDK geliştiricisiyse: SDK'nın URL'sini kullanın (örneğin, https://play.google.com/sdks/details/com-google-android-gms-play-services-ads, Google Mobil Reklamlar (GMA) SDK'sının URL'sidir).
• Geliştirici başka bir mağazada veya sicil dairesinde kayıtlıysa: Uygulama mağazası URL'si veya başka bir tanımlayıcı sağlanabilir.

Geliştirici herhangi bir uygulama mağazasına kayıtlı değilse bu özellik atlanabilir.

Geliştiricinin iletişim bilgileri

Aşağıdaki bilgileri sağlayın:

• E-posta
• Web sitesi
• Ülke veya bölge
• Fiziksel posta adresi

Geliştiricilerin Veri Güvenliği bölümünde açıklaması gerekenler

Bu bölümde, geliştiricilerin uygulama meta veri paketinin veri güvenliği bölümünde açıklaması gereken bilgiler açıklanmakta ve geliştiricilerin seçebileceği kullanıcı verisi türleri ve amaçları listelenmektedir. Google Play Store üzerinden dağıtılan bir uygulama için bu bilgileri Play Console'u kullanarak girin.

Geliştiricilerin veri türleri hakkında beyan etmesi gerekenler

Geliştiricilerin, uygulama meta veri paketi oluştururken aşağıdaki bölümlerde açıklandığı şekilde, topladıkları ve paylaştıkları veri türleri hakkında bilgi vermeleri gerekir:

Veri toplama

Bu durumda toplama, bir uygulamadan kullanıcının cihazı dışına veri aktarılması anlamına gelir. Aşağıdaki kurallara dikkat edin:

• Kitaplıklar ve SDK'lar: Kullanıcı verilerinin uygulamada kullanılan kitaplıklar veya SDK'lar tarafından uygulamadan cihaz dışına aktarılması bu kapsama girer. Verilerin uygulamanın geliştiricisine veya üçüncü taraf sunuculara aktarılması fark etmez.

• Web görünümü: Uygulamadan açılan bir web görünümünden toplanan kullanıcı verileri de bu kapsama girer. Bu web görünümü üzerinden aktarılan kodun ve davranışın uygulamanızın kontrolünde olması gerekir.

  Geliştiricilerin, kullanıcıların açık web'de gezindiği web görünümlerinden toplanan verileri beyan etmeleri gerekmez.

• Geçici işleme: Cihaz dışına aktarılıp geçici olarak işlenen kullanıcı verilerinin, aşağıdaki standarda uygun olması halinde uygulama meta veri paketinize dahil edilmesi gerekmez:

  Verilerin kısa süreli işlenmesi, verilere yalnızca bellekte depolandıkları ve belirli bir isteğin gerçek zamanlı olarak sunulması için gereken süreden fazla saklanmadığı sırada erişilip kullanılması anlamına gelir.

  Örneğin, kullanıcının bulunduğu yerdeki mevcut hava durumunu almak için cihazdan konum bilgisini aktarırken yalnızca bellekteki konum verilerini kullanan ve istek yerine getirildikten sonra bu verileri depolamayan bir hava durumu uygulaması, geçici konum kullanımını geçici olarak değerlendirebilir. Ancak, reklam profillerini veya diğer kullanıcı profillerini oluşturmak için veri kullanılması kısa süreli kullanım olarak değerlendirilemez. Bu kullanım, verilerin ilgili amaçlar için toplanması veya paylaşılması olarak beyan edilmelidir.

• Belirsizleştirilen veriler: Belirsizleştirilerek toplanan kullanıcı verilerinin açıklanması zorunludur. Örneğin, bir kullanıcıyla mantıken yeniden ilişkilendirilebilecek verilerin açıklanması zorunludur.

Veri toplama beyanı kapsamına girmeyenler

Aşağıdaki kullanım alanlarının toplama olarak açıklanması gerekmez:

• Cihaz üzerinde erişim veya işleme: Bir uygulama tarafından erişilen, yalnızca kullanıcının cihazında yerel olarak işlenen ve cihaz dışına gönderilmeyen kullanıcı verilerinin açıklanması gerekli değildir.

• Uçtan uca şifreleme: Cihaz dışına gönderilen ancak uçtan uca şifreleme sonucunda gönderici ve alıcı dışında siz dahil hiç kimse tarafından okunması mümkün olmayan kullanıcı verilerinin açıklanması gerekli değildir.

  Şifrelenen veriler, geliştirici dahil olmak üzere hiçbir aracı tarafından okunamamalıdır. Gerekli anahtarlar yalnızca göndericide ve alıcıda bulunabilir.

Veri paylaşımı

Bu durumda paylaşım, bir uygulamadan toplanan kullanıcı verilerinin üçüncü taraflara aktarılması anlamına gelir. Aşağıdaki şekillerde aktarılan kullanıcı verileri bu kapsama girer:

• Cihaz dışında (ör. sunucudan sunucuya) aktarım: Örneğin, bir geliştiricinin bir uygulamadan toplanan kullanıcı verilerini geliştiricinin sunucusundan üçüncü taraf sunucusuna aktarması.

• Cihaz üzerinde başka uygulamaya aktarım: Kullanıcı verilerinin doğrudan cihaz üzerinde bir uygulamadan başka bir uygulamaya aktarılması. Bu durumda, uygulama verileri kullanıcının cihazından dışarı aktarmasa bile geliştiricinin veri paylaşımını veri güvenliği bölümünde belirtmesi gerekir.

• Uygulama kitaplıklarınız ve SDK'larınızdan: Uygulamadan toplanan verilerin, uygulamaya dahil edilen kitaplıklar veya SDK'lar kullanılarak kullanıcı cihazından doğrudan bir üçüncü tarafa aktarılması.

• Uygulamanız üzerinden açılan web görünümünden aktarım: Uygulamadan açılan bir web görünümü üzerinden aktarılan kodun ve davranışın uygulamanızın kontrolünde olduğu durumlarda, kullanıcı verilerinin ilgili web görünümü üzerinden üçüncü taraflara aktarılmasıdır.

  Geliştiricilerin, kullanıcıların açık web'de gezindiği web görünümlerinden gerçekleşen veri paylaşımını beyan etmeleri gerekmez.

Aşağıdaki veri aktarımı türlerinin paylaşım olarak açıklanması gerekmez:

• Servis sağlayıcılar: Geliştirici adına verileri işleyen bir servis sağlayıcıya kullanıcı verilerinin aktarılması. Servis sağlayıcı, geliştirici adına ve geliştiricinin talimatları doğrultusunda kullanıcı verilerini işleyen tüzel kişi anlamına gelir.

• Yasal nedenler: Yasal yükümlülükler veya resmi makamların talepleri gibi belirli yasal nedenlerle kullanıcı verilerinin aktarılması.

• Kullanıcı tarafından başlatılan işlem veya belirgin açıklama ve kullanıcı rızası: Kullanıcının veri paylaşımını makul şekilde öngöreceği durumlarda başlattığı belirli bir işlem sonucunda veya uygulama içinde belirgin bir açıklama ve rıza doğrultusunda kullanıcı verilerinin üçüncü taraflara aktarılmasıdır.

• Anonim veriler. Artık bireysel bir kullanıcıyla ilişkilendirilemeyecek şekilde tamamen anonimleştirilmiş kullanıcı verilerinin aktarılması.

• Birinci ve üçüncü taraflar: Birinci taraf, uygulama tarafından toplanan verilerin işlenmesinden sorumlu birincil kuruluş olan geliştiriciyi ifade eder. Mağazalar aracılığıyla dağıtılan uygulamalarda bu, genellikle uygulamayı mağazada yayınlayan kuruluştur.

  Birinci taraf, hangi kuruluşun uygulamada toplanan verileri işlemekle birinci derecede yükümlü olduğunun kullanıcılar tarafından makul ölçüde anlaşılır olmasını sağlamak zorundadır.

  Üçüncü taraf, birinci taraf veya birinci tarafın servis sağlayıcıları dışındaki tüm kuruluşları ifade eder.

Veri işleme

Geliştiriciler, uygulama tarafından toplanan her veri türünün isteğe bağlı mı yoksa zorunlu mu olduğunu da açıklayabilir. İsteğe bağlı, veri toplamayı etkinleştirme veya devre dışı bırakma tercihinin kullanıcıya sunulmasını kapsar. Örneğin, geliştiriciler kullanıcının kontrolünde toplanan ve uygulamanın kullanılabilmesi için sağlanması zorunlu olmayan veri türlerini veya kullanıcının manuel olarak sağlayıp sağlamamayı seçebildiği veri türlerini isteğe bağlı olarak tanımlayabilir. Bir uygulamanın birincil özellikleri için veri türü gerekiyorsa geliştiriciler bu verileri zorunlu olarak tanımlamalıdır.

Geliştiriciler, bir uygulamanın belirli verileri isteğe bağlı olarak topladığını yalnızca cihaz veya bölge fark etmeksizin tüm kullanıcıların bilgi vermeyi, söz konusu verinin toplanmasını devre dışı bırakmayı ya da etkinleştirmeyi isteğe bağlı olarak seçebilmeleri durumunda beyan edebilir.

Aşağıdaki örnekler isteğe bağlı veri toplama kapsamına girer:

• Bir sosyal medya uygulaması, pazarlama iletişimi için kullanıcının doğum gününü sorar ancak bu bilgi zorunlu değildir, kullanıcı bu bilgiyi vermeden de uygulamaya kaydolabilir.

• Kullanıcıların oturum açmadan uygulamayla etkileşime girmesinin mümkün olduğu hallerde yalnızca oturum açıldığında toplanan kullanıcı verileri.

Diğer uygulama ve veri beyanları

Veri Güvenliği bölümü, geliştiricilerin uygulamanın gizlilik ve güvenlik uygulamalarını sergilemesi için de bir fırsattır. Örneğin, geliştiriciler aşağıdaki bilgileri vurgulayabilir:

• Aktarımda şifreleme: Bir uygulama tarafından toplanan veya paylaşılan verilerin, son kullanıcının cihazından sunucuya kullanıcı verisi akışının güvenliğini sağlamak amacıyla aktarımda şifreleme kullanıp kullanmadığı.

  Bazı uygulamalar, kullanıcıların başka bir siteye veya hizmete veri aktarmasını sağlamak için tasarlanmıştır. Örneğin, bir mesajlaşma uygulaması, kullanıcıların farklı şifreleme yöntemleri kullanan kendi mobil servis sağlayıcıları üzerinden SMS mesajı göndermelerine imkan verebilir. Bu uygulamalar Veri Güvenliği bölümünde verilerin güvenli bir bağlantı üzerinden aktarıldığını beyan edebilir. Bunun için, kullanıcının cihazıyla uygulamanın sunucuları arasında gidip gelen verileri en iyi endüstri standartlarını kullanarak güvenli bir şekilde şifrelemeleri gerekir.

• Silme talebi mekanizması: Uygulamanın, kullanıcıların verilerinin silinmesini talep etmelerine imkan sağlayıp sağlamadığı.

Bağımsız güvenlik değerlendirmesi (tüm uygulamalar tarafından kullanılabilir)

Geliştiriciler veri güvenliği bölümünde uygulamanın global bir güvenlik standardına göre bağımsız olarak doğrulandığını beyan etmeyi seçebilirler. Bu, geliştiriciler tarafından üstlenilen ve ödemesi yapılan isteğe bağlı bir incelemedir. Örneğin, geliştiriciler Mobil Uygulama Güvenlik Değerlendirmesi (MASA) kullanarak uygulamalarının, Open Worldwide Uygulama Güvenliği Projesi'nin (OWASP) Mobil Uygulama Güvenliği Doğrulama Standardı'na (MASVS) göre değerlendirilmesini sağlamak üzere doğrudan bir laboratuvarla çalışabilirler. İncelemeyi yapan üçüncü taraf kuruluşlar bunu geliştiricilerin adına yapar.

Veri türleri ve amaçları

Geliştiricilerin, çeşitli kullanıcı verisi türleriyle ilgili toplama ve paylaşma işlemlerinin yanı sıra diğer uygulamaları ve geliştiricinin bu verileri kullanma amaçlarını belirtmeleri istenir. Aşağıdaki tablolarda açıklandığı gibi:

Amaçlar

Veri güvenliği XML dosyasını manuel olarak oluşturma

Aşağıdaki örnek veri güvenliği XML dosyasında, kullanıcının konumuyla ilgili verileri paylaşan önceden yüklenmiş bir uygulamanın dosya yapısı gösterilmektedir. Uygulamanız için açıklamanız gereken bilgi türüne bağlı olarak öğe ekleyerek, düzenleyerek veya kaldırarak bu yapıyı düzenleyin.

Örnek dosyanın eksik olabileceğini unutmayın. Uygulamanızın içermesi gerekebilecek uygulama meta veri paketinin uygulama, geliştirici ve veri güvenliği bölümleri için gerekli XML yapısı hakkında daha fazla bilgi için uygulama meta veri paketleri şemasına bakın.

<?xml version='1.0' encoding='UTF-8' standalone='yes' ?>
<bundle>
<long name="version" value="2" />

  <pbundle_as_map name="safety_labels">
    <long name="version" value="1" />

      <pbundle_as_map name="data_labels">
        <pbundle_as_map name="data_shared">
          <pbundle_as_map name="location">
            <pbundle_as_map name="approx_location">
              <int-array name="purposes" num="4">
                  <item value="1" />
                  <item value="2" />
                  <item value="5" />
                  <item value="6" />
              </int-array>
            </pbundle_as_map>
            <pbundle_as_map name="precise_location">
              <int-array name="purposes" num="2">
                  <item value="1" />
                  <item value="6" />
              </int-array>
            </pbundle_as_map>
          </pbundle_as_map>
        </pbundle_as_map>

    </pbundle_as_map>
</pbundle_as_map>
</bundle>

Sık sorulan sorular

Geliştiricilerin sıkça sorduğu soruların yanıtları için aşağıdaki bölümlere bakın.

Genel sorular

Aşağıdaki bölümlerde, uygulama meta veri paketleriyle ilgili genel soruların yanıtları yer almaktadır.

Bir geliştirici, iOS için benzer bilgileri gönderdi. Geliştirici, bu çalışmanın ne kadarını Android uygulama meta veri paketi için yeniden kullanabilir?

Geliştiricinin uygulamanın veri uygulamalarına hakim olması çok güzel. Bir uygulama meta veri paketini doğru şekilde tamamlamak için geliştiricinin daha önce kullanmamış olabileceği ek bilgilere ihtiyacı olabilir. Bu nedenle, geliştiricinin ek çalışmalar yapması gerekebilir. Android uygulama meta veri paketinin sınıflandırması ve çerçevesi ile diğer uygulama mağazalarında kullanılanlar arasında ciddi farklılıklar olabilir.

Google, geliştiricilerin doğru bilgiler paylaşmasını nasıl sağlar? Sektörde bu bilgilerin her zaman doğru olmadığı görülüyor.

Gizlilik politikalarına benzer şekilde, uygulama meta veri paketinde verilen bilgilerin sorumluluğu da geliştiricilere aittir.

Geliştiricilerin uygulama meta veri paketini ne sıklıkta güncellemesi gerekir?

Geliştiriciler, uygulamanın veri uygulamalarında ilgili değişiklikler olduğunda uygulama meta veri paketini güncellemelidir.

Veri Güvenliği bölümünü doldurmayla ilgili sorular

Aşağıdaki bölümlerde, uygulama meta veri paketinin veri güvenliği bölümünü doldurmayla ilgili soruların yanıtları yer almaktadır.

Uygulama, desteklenen farklı Android sürümlerinde farklı davranışlar sergiliyorsa ne olur?

Uygulamanın uygulama meta veri paketi; kullanım, uygulama sürümü, bölge ve kullanıcı yaşından bağımsız olması için doğru olmalıdır. Veri Güvenliği bölümünde, uygulamanın tüm coğrafi bölgeler ve kullanıcı türlerindeki veri toplama ve paylaşım yöntemleri bir bütün olarak açıklanır.

Geliştirici, farklı bölgelerde farklı yöntemler kullanabileceğini nasıl gösterebilir? Örneğin, bir geliştirici belirli kitaplıkları Avrupa'da kullanmaz ancak diğerlerinde kullanabilir.

Uygulama meta veri paketi, uygulama başına veri uygulamalarının genel bir temsilini yansıtır. Veri Güvenliği bölümü, uygulamanın tüm coğrafi bölgeler ve kullanıcı türleri genelindeki veri toplama ve paylaşım yöntemlerinin toplamını açıklar.

Veri Güvenliği bölümlerinde kullanıcılar için bir rıza mekanizması var mı? Geliştiricinin başka işlemler yapması ve uygulama içi belirgin bir açıklama oluşturması gerekiyor mu?

Hayır, kullanıcıların uygulama yükleme sürecinde yeni bir açıklama ve bu özellikle ilgili yeni bir kullanıcı izni yoktur. Kişisel ve hassas kullanıcı verilerini toplayan Google Play uygulamalarının ve Google Play Hizmetleri'nin yüklü olduğu Android cihazlardaki Mobil Paket Uygulamalarının geliştiricileri, politika uyarınca gereken yerlerde uygulama içi açıklama ve izin öğelerini kullanıma sunmalıdır.

Uygulamada bir izin olduğu halde ilgili veri aslında toplanmıyor veya paylaşılmıyorsa geliştiricinin veriyi açıklaması gerekir mi?

Veri gerçekten toplanmadığı ve/veya paylaşılmadığı sürece geliştiricinin toplama ya da paylaşım beyanı yapması gerekmez. Google Play Hizmetleri'nin yüklü olduğu Android cihazlardaki Google Play uygulamaları ve Mobil Paket Uygulamaları, geçerli tüm politikalara uymalıdır.

Bir veri türü bir başka veri türü kapsamında toplanıyorsa geliştiricinin ikisini de beyan etmesi gerekir mi? Örneğin, geliştirici, kullanıcının e-postasını içeren Kişiler'i topladıysa hem "Kişiler" hem de "E-posta adresi" veri türlerini beyan ediyor mu?

Geliştirici, bir veri türünü kasıtlı olarak başka bir veri türünün toplanması sırasında topluyorsa her ikisini de beyan etmelidir. Örneğin, geliştirici kullanıcı fotoğraflarını toplayıp kullanıcının karakteristik özelliklerini (etnik köken veya ırk gibi) belirlemek için kullanıyorsa etnik köken ve ırk verilerini topladığınızı da beyan etmeniz gerekir.

Geliştiricinin bir silme mekanizması sağlaması gerekiyor mu? Bu mekanizmanın tüm kullanıcı verilerini kapsaması gerekir mi?

Geliştiriciler, kullanıcıların veri silme taleplerini iletebilecekleri bir mekanizma sağlayıp sağlamadıklarını Veri Güvenliği bölümünde açıklayabilirler. Geliştirici, veri güvenliği bölümünü doldururken böyle bir mekanizma sağlayıp sağlamadığını belirtmelidir.

Geliştiricinin, uygulamada kullanıcı verisi silme taleplerinin desteklendiğini belirtmek için sağlaması gereken belirli bir mekanizma türü var mı?

Belirli bir mekanizma olmasa da en iyi uygulama olarak, talep mekanizmasının kullanıcılar tarafından bulunabilir ve erişilebilir olması gerekir. Kullanıcıların veri silme isteğinde bulunabilecekleri bir yolu açıkça gösteren yaygın mekanizma örnekleri arasında uygulama özellikleri, iletişim formları veya özel bir e-posta takma adı bulunabilir ancak örnekler bunlarla sınırlı değildir.

Geliştiriciler, otomatik olarak silinen veya anonimleştirilen verilere yönelik bir silme talebi mekanizması sağladıklarını veri güvenliği bölümünde nasıl belirtmelidir?

Geliştirici, aşağıdaki seçeneklerden birini veya daha fazlasını sağladığı takdirde kullanıcıların verilerinin silinmesini isteyebileceğini beyan edebilir:

• Veri silme isteğinde bulunma mekanizması.

• Verilerin toplanmasının ardından 90 gün içinde, toplanan verilerin silinmesini veya anonimleştirilmesini başlatan otomatik bir işlem.

  Geliştirici, yasalara uygunluk veya kötüye kullanımın engellenmesi gibi geçerli nedenlerle belirli verileri saklaması gerekse bile kullanıcıların verilerinin silinmesini isteyebileceğini beyan edebilir.

Geliştiricinin sağladığı silme mekanizması global olarak tüm kullanıcılara sunulmasa da silme talep mekanizması sağladığını belirtebilir mi?

Uygulama meta veri paketi başına yalnızca bir global veri güvenliği bölümü kullanılabilir. Bu bölümde, tüm kullanım türlerine, uygulama sürümlerine, bölgelere ve kullanıcı yaşlarına göre veri uygulamaları ele alınmalıdır. Başka bir deyişle, uygulamanın dünyanın herhangi bir yerinde dağıtılan sürümlerinden birinde mevcut olan veri uygulamaları geliştirici tarafından belirtilmelidir. Bu nedenle, Veri Güvenliği bölümünde uygulamanın tüm kullanıcılar ve coğrafi bölgelerdeki veri toplama ve paylaşım yöntemleri bir bütün olarak açıklanır.

Verileri anonimleştirmek için ne gibi teknikler kullanılabilir?

Verileri tekil bir kullanıcıyla ilişkilendirilemeyecek şekilde anonimleştirmek için kullanılabilecek çeşitli yöntemler vardır. Geliştirici, kullanım alanına uygun yöntemleri belirlemek için gizlilik ve güvenlik uzmanlarına danışmalıdır. Örneğin bu sayfada, diferansiyel gizlilik gibi Google tarafından kullanılan bazı veri anonimleştirme yöntemleri hakkında bilgiler yer almaktadır.

Geliştirici, IP adreslerinin toplanmasını ve kullanılmasını nasıl ele almalıdır?

Diğer veri türlerinde olduğu gibi IP adreslerinin toplanması, kullanılması ve paylaşılması, geliştiricinin kendi kullanım ve yaklaşımları doğrultusunda beyan edilmelidir. Örneğin, IP adresleri, geliştirici tarafından konum belirlemek için kullanılıyorsa bu veri türünün (konum) beyan edilmesi gerekir.

Geliştirici, diğer tanımlayıcı türlerinin toplanmasını ve paylaşılmasını nasıl beyan etmelidir?

Diğer veri türlerinde olduğu gibi, farklı tanımlayıcı türlerinin toplanması, kullanılması ve paylaşılması, geliştiricinin kendi kullanım ve yaklaşımları doğrultusunda beyan edilmelidir. Örneğin, kimliği tanımlanabilir bir kişiyle ilişkili bir hesap adının toplanması "Kişisel tanımlayıcı" olarak, kullanıcının Android reklam kimliğinin toplanması ise "Cihaz veya diğer tanımlayıcılar" olarak beyan edilmelidir. Başka bir örnek olarak, belirli bir uygulama içi etkinlikle ilgili ancak makul bir şekilde tek bir cihaz, tarayıcı veya uygulamayla ilişkili olmayan bir tanımlayıcının "Cihaz veya diğer tanımlayıcılar" olarak açıklanması gerekmez.

Daha önce belirtildiği gibi, verilerin belirsizleştirilerek toplanması, uygulama meta veri paketinin Veri Güvenliği bölümünde ilgili veri türünün başlığı altında açıklanmalıdır. Örneğin, geliştirici teşhis bilgilerini bir cihaz tanımlayıcıyla birlikte topladığında bile "Teşhisler"in toplandığını Veri Güvenliği bölümünde beyan etmelidir.

"Servis sağlayıcılar" ne tür işlemler gerçekleştirebilir?

Bir servis sağlayıcı, kullanıcı verilerini yalnızca geliştirici adına işleyebilir. Örneğin, uygulamadaki kullanıcı verilerini yalnızca geliştiricinin adına işleyen bir analiz sağlayıcı veya geliştiricinin kullanımı için uygulamadaki kullanıcı verilerini barındıran bir bulut sağlayıcı genellikle "servis sağlayıcı" olarak kabul edilir. Öte yandan, bir SDK sağlayıcı uygulama verilerine dayalı olarak birden fazla müşteride reklamcılık profilleri oluşturuyorsa bu, veri güvenliği bölümü açısından "hizmet sağlayıcı" etkinliği olarak değerlendirilmez ve uygulama meta veri paketinin veri güvenliği bölümünde "paylaşım" olarak açıklanması gerekir.

Uygulama, finansal işlemleri gerçekleştirmek için harici bir ödeme hizmeti kullanıyor. Uygulamanın, uygulama meta veri paketinde kredi kartı bilgileri gibi finansal bilgileri ifşa etmesi gerekiyor mu?

Bu durum, ödeme hizmetiyle entegrasyonun yapısına bağlıdır. Uygulama, ödeme işlemlerini tamamlamak için PayPal, Google Pay, Google Play'in faturalandırma sistemi veya benzer hizmetler gibi bir ödeme hizmeti kullanıyorsa geliştiricinin, ödeme hizmetinin finansal işlemleri işleme koymasıyla bağlantılı olarak topladığı verileri (ör. kredi kartı numarası) topladığını beyan etmesi gerekmez. Bunun için aşağıdaki koşulların tümü karşılanmış olmalıdır:

• Uygulama bu bilgilere hiçbir zaman erişmemelidir.

• Ödeme hizmeti bu bilgileri doğrudan kullanıcıdan topluyorsa ve veri toplama işlemi bu hizmetin şartlarına tabiyse.

Geliştirici, uygulama meta veri paketinin Veri Güvenliği bölümünde bu koşulları karşılamayan tüm ilgili veri toplama ve paylaşım işlemlerinin beyan edildiğinden emin olmak için ödeme hizmetiyle olan entegrasyonunu dikkatlice incelemelidir. Geliştirici, uygulamanın satın alma geçmişi gibi diğer finansal bilgileri toplayıp toplamadığını, ayrıca risk ve sahtekarlığı önleme gibi amaçlarla ödeme hizmetinden ilgili verileri alıp almadığını da dikkate almalıdır.

Uygulama, yedekleme ya da depolama amacıyla kullanıcıların verilerini doğrudan Google Drive veya Dropbox'a yüklemelerine olanak tanıyor. Uygulama bu verilerin hiçbirine erişmez. Bu da "toplama" olarak açıklanmalı mı?

Bu durum, konu özelindeki uygulamaya göre değişir. Kullanıcı verilerini doğrudan kendi harici sürücüsüne veya bulut depolama hesabına (ör. Google Drive, Dropbox veya benzer hizmetler) yüklemeyi seçerse ve bu yükleme, harici sürücü veya bulut depolama sağlayıcının hizmet şartları ve gizlilik politikası tarafından yönetilirse ve uygulama söz konusu verileri hiçbir zaman toplamıyorsa veya bu verilere erişmiyorsa uygulamanın bu verileri topladığını beyan etmesi gerekmez.

Geliştirici, aktarım sırasındaki verileri nasıl şifrelemelidir?

Geliştirici, uygulama verilerini aktarırken güvenli bir şekilde şifrelemek için en iyi endüstri standartlarına uymalıdır. Yaygın şifreleme protokolleri arasında Taşıma Katmanı Güvenliği (TLS) ve Güvenli Köprü Metni Aktarma Protokolü (HTTPS) yer alır.

Uygulama, kullanıcının hesap oluşturmasına veya hesabına bilgi (ör. doğum günü veya cinsiyet) eklemesine izin veriyor. Geliştirici, kullanıcının hesabına eklediği verileri nasıl beyan etmelidir?

Geliştirici, bu verilerin toplanmasını hesap yönetimi amacıyla beyan etmeli ve veri toplamanın kullanıcı için isteğe bağlı olduğu yerleri (varsa) belirtmelidir.

Ayrıca, uygulama tarafından toplanan tüm veri türlerinde olduğu gibi geliştirici, bu verileri ve uygulamanın bu verileri kullanma amacını veya amaçlarını açıklamalıdır. Örneğin, uygulama kullanıcıların hesaplarına doğum günü eklemelerine izin veriyor ve zamana bağlı push bildirimlerini göndermek için bu verileri kullanıyorsa uygulamanın, hesap yönetiminin yanı sıra bu amacı da beyan etmesi gerekir.

Hesap yönetimi, hesap verilerinin belirli bir uygulamaya özgü olmayan genel kullanımlarını kapsayacak şekilde kullanılabilir. Örneğin, geliştirici hesap bilgilerini sahtekarlığı önleme, reklamcılık, pazarlama veya geliştirici iletişimleri için kullanıyorsa ve bu kullanım uygulamaya ya da uygulamadaki etkinliklere özgü değilse bu hesap verilerini toplama amacı olarak "hesap yönetimi"ni beyan etmek, uygulama meta veri paketinin veri güvenliği bölümünde bu genel kullanımları kapsayacak şekilde yeterlidir. Ancak uygulama, verileri hangi amaçlarla kullanıyorsa bunların hepsini her zaman beyan etmelidir. En iyi uygulama olarak Google, uygulamanın hesap hizmetleri için kullanıcı verilerini nasıl işlediğini hesap düzeyindeki dokümanlarda ve hesap kaydı sürecinde açıklamanızı önerir.

Sistem hizmetleri nedir?

Sistem hizmetleri, temel sistem özelliklerini destekleyen, önceden yüklenmiş yazılımlardır. Sistem hizmetleri, transparency_info ve system_app_safety_label paketlerini içermelidir (safety_labels paketi yerine ikinci paket sağlanır). Google Play üzerinden dağıtılan sistem hizmetleri, Google Play Veri Güvenliği Formu'nun doldurulmasından muaf olmak için başvurabilir.

Geliştiriciler, sayfaları yüklemek ve diğer istemci taraflı isteklere anlık olarak hizmet vermek için geçici olarak kullanılan verilerin toplanmasını geliştiricinin sunucularına kaydedilip başka amaçlarla kullanılmadan önce nasıl beyan eder?

Bu kullanım geçici ise geliştiricinin uygulama meta veri paketinin veri güvenliği bölümüne eklemesi gerekmez. Ancak geliştirici, günlüğe kaydedilen kullanıcı verilerini kullanma amaçları da dahil olmak üzere bu kullanıcı verilerinin kısa süreli işleme dışındaki tüm kullanımlarını beyan etmelidir.