Exigences en matière de trousse SDK

Les développeurs d'applis s'appuient souvent sur du code tiers (par exemple une trousse SDK) pour intégrer les principaux services et fonctionnalités de leurs applis. Lors de l'inclusion d'une trousse SDK dans votre appli, vous voulez assurer la sécurité de vos utilisateurs et de votre appli en les gardant à l'abri de toute vulnérabilité. Dans cette section, nous démontrons comment certaines de nos exigences de confidentialité et de sécurité existantes s'appliquent dans le contexte d'une trousse SDK, et comment ces exigences sont conçues pour aider les développeurs à intégrer les trousses SDK dans leurs applis en toute sécurité.

La responsabilité vous incombe de vous assurer que le code et les pratiques de tiers d'une trousse SDK incluse dans votre appli n'entraînent pas le non-respect des politiques du programme pour les développeurs de Google Play par votre appli. Il est important de connaître la façon dont les trousses SDK incluses dans votre appli gèrent les données de l'utilisateur et de vous assurer de bien connaître les autorisations qu'elles utilisent, les données qu'elles collectent, et à quelles fins. N'oubliez pas que la collecte et la gestion des données de l'utilisateur par une trousse SDK doivent correspondre à l'utilisation conforme aux politiques desdites données de votre appli.

Pour vous assurer que votre utilisation d'une trousse SDK n'enfreint pas les exigences des politiques, lisez et assurez-vous de comprendre les politiques suivantes dans leur intégralité, et notez certaines des exigences existantes concernant les trousses SDK ci-dessous :

Politique relative aux données de l'utilisateur

Vous devez gérer les données de l'utilisateur (par exemple les renseignements collectés d'un utilisateur ou le concernant, y compris les renseignements sur l'appareil) de manière transparente. Cela signifie qu'il vous faut divulguer les modalités d'accès, de collecte, d'utilisation, de traitement et de partage en ce qui concerne les données des utilisateurs de votre appli, ainsi que limiter l'utilisation de ces données aux fins divulguées et conformes aux politiques.

Si vous utilisez du code tiers (par exemple une trousse SDK) dans votre appli, vous devez vous assurer que ledit code, de même que les pratiques du tiers en question concernant les données des utilisateurs de votre appli, est conforme aux politiques du programme pour les développeurs de Google Play, lesquelles comprennent des exigences relatives à l'utilisation et aux divulgations. Par exemple, vous devez vous assurer que vos fournisseurs de trousses SDK ne vendent pas les données personnelles et sensibles des utilisateurs de votre appli. Cette exigence s'applique, que les données des utilisateurs soient transférées après avoir été envoyées à un serveur ou par intégration d'un code tiers dans votre appli.

Données personnelles et sensibles des utilisateurs

Limitez la consultation, la collecte, l'utilisation et le partage des données personnelles et sensibles des utilisateurs acquises par l'intermédiaire des fonctions d'interactions entre applis et services aux fins conformes aux politiques et raisonnablement attendues de l'utilisateur :
- Les applis qui élargissent l'utilisation des données personnelles et sensibles des utilisateurs dans le but de diffuser des annonces doivent respecter la politique en matière d'annonces de Google Play.
Gérez les données personnelles et sensibles des utilisateurs de façon sécuritaire, y compris leur transmission à l'aide d'une cryptographie moderne (par exemple sur HTTPS).
Utilisez une demande d'autorisations d'exécution lorsqu'elle est disponible, avant d'accéder aux données protégées par les autorisations Android.

Vente de données personnelles et sensibles des utilisateurs

Vous devez vous abstenir de vendre les données personnelles et sensibles des utilisateurs.

L'on entend par « vente » l'échange ou le transfert de données personnelles et sensibles des utilisateurs auprès d'un tiers contre une contrepartie monétaire.
- Lorsqu'un utilisateur décide de transférer ses données personnelles et sensibles, par exemple lorsqu'il utilise une fonctionnalité de l'appli pour transférer un fichier à un tiers ou qu'il choisit d'utiliser une appli dédiée à une étude de recherche, ce transfert n'est pas considéré comme une vente.

Obligations de divulgation bien visible et de consentement

Dans les cas où les modalités de consultation, de collecte, d'utilisation ou de partage des données personnelles et sensibles des utilisateurs de votre appli ne correspondent pas aux attentes raisonnables de ces derniers, vous devez respecter les obligations de divulgation bien visible et de consentement de la politique relative aux données de l'utilisateur.

Si votre appli intègre du code tiers (par exemple une trousse SDK) conçu pour collecter par défaut les données personnelles et sensibles des utilisateurs, vous devez, dans les deux semaines suivant la réception d'une demande de Google Play (ou dans un délai plus long si la demande de Google Play le prévoit), fournir des preuves suffisantes démontrant que votre appli respecte les obligations de divulgation bien visible et de consentement de la présente politique, y compris en ce qui concerne la consultation, la collecte, l'utilisation ou le partage des données au moyen du code tiers.

Assurez-vous que votre utilisation de code tiers (par exemple une trousse SDK) n'entraîne pas le non-respect de la politique relative aux données de l'utilisateur par votre appli.

Consultez cet article du centre d'aide pour obtenir plus de renseignements sur l'obligation de divulgation bien visible et de consentement.

Exemples de non-respects causés par une trousse SDK

Une appli qui intègre une trousse SDK qui collecte les données personnelles et sensibles des utilisateurs, et qui ne traite pas ces données comme étant soumises à la présente politique relative aux données de l'utilisateur et aux exigences en matière d'accès aux données, de traitement des données (y compris la vente non autorisée), et d'obligations de divulgation bien visible et de consentement
Une appli qui intègre une trousse SDK qui collecte par défaut les données personnelles et sensibles des utilisateurs, et qui ne respecte pas les exigences de cette politique concernant les obligations de divulgation bien visible et de consentement de l'utilisateur
Une appli avec une trousse SDK qui prétend collecter les données personnelles et sensibles des utilisateurs uniquement pour fournir des fonctionnalités de lutte contre la fraude et les abus pour l'appli, mais dont la trousse partage également les données collectées avec des tiers à des fins de publicité ou d'analyse
Une appli avec une trousse SDK qui transmet des renseignements sur les ensembles installés des utilisateurs sans se conformer aux directives de divulgation bien visible ni aux directives de la politique de confidentialité
- Consultez aussi la politique relative aux logiciels mobiles indésirables.

Exigences supplémentaires relatives à l'accès aux données personnelles et sensibles

Le tableau ci-dessous décrit les exigences pour des activités précises.

Activité

Exigence

Votre appli collecte ou associe des identifiants d'appareils persistants (par exemple, IIEM, IMSI, numéro de série SIM, etc.)

Les identifiants d'appareils persistants ne peuvent pas être liés à d'autres données personnelles et sensibles des utilisateurs ni à des identifiants d'appareils pouvant être réinitialisés, sauf aux fins :

de téléphonie associée à une identité SIM (par exemple, les appels Wi-Fi associés à un compte opérateur);
d'applis de gestion des appareils d'entreprise utilisant le mode propriétaire.

Ces utilisations doivent être divulguées de manière bien visible aux utilisateurs, comme l'indique la politique relative aux données de l'utilisateur.

Veuillez consulter cette ressource pour connaître des identifiants uniques différents.

Veuillez lire la politique en matière d'annonces pour obtenir des directives supplémentaires concernant l'identifiant publicitaire Android.

Votre appli cible les enfants

Votre appli peut uniquement inclure des trousses SDK possédant une autocertification pour une utilisation dans des services destinés aux enfants. Consultez le programme de trousses SDK publicitaires autocertifiées pour les familles pour connaître le libellé complet de la politique et ses exigences.

Exemples de non-respects causés par une trousse SDK

Une appli qui utilise une trousse SDK qui associe des codes IIEM à des positions géographiques
Une appli avec une trousse SDK qui associe des identifiants publicitaires Android à des identifiants d'appareils persistants pour toutes fins publicitaires ou d'analyse
Une appli avec une trousse SDK qui associe des identifiants publicitaires Android à des adresses courriel à des fins d'analyse

Section relative à la sécurité des données

Tous les développeurs doivent remplir une section claire et exacte relative à la sécurité des données pour chaque appli, détaillant la collecte, l'utilisation et le partage des données des utilisateurs. Il s'agit entre autres des données collectées et traitées par les bibliothèques ou les trousses SDK de tiers utilisées dans leurs applis. Le développeur est responsable de l'exactitude de l'étiquette et de la mise à jour de ces renseignements. Le cas échéant, la section doit être cohérente avec les renseignements fournis dans la politique de confidentialité de l'appli.

Veuillez consulter cet article du centre d'aide pour en savoir plus à propos de la façon de remplir la section relative à la sécurité des données.

Consultez la politique relative aux données de l'utilisateur dans son intégralité.

Politique relative aux autorisations et aux API qui accèdent à des informations sensibles

Politique relative aux logiciels malveillants

Nous n'autorisons pas les applications qui causent des interférences, des perturbations ou des dommages à l'appareil de l'utilisateur, à d'autres appareils ou ordinateurs, serveurs, réseaux, interfaces de programmation d'applications (API), ou services, y compris, mais sans s'y limiter, à d'autres applications sur l'appareil ou sur tout service de Google ou tout réseau d'un fournisseur de services agréé, ni les applications qui y accèdent d'une manière non autorisée.

Un logiciel malveillant est tout code qui pourrait mettre en danger un utilisateur, les données d'un utilisateur ou un appareil. Les logiciels malveillants comprennent, mais sans s'y limiter, les applications potentiellement nuisibles (APN), les fichiers binaires ou les modifications du cadre, composés de catégories comme les chevaux de Troie, l'hameçonnage et les espiogiciels. En outre, nous travaillons continuellement à mettre à jour les catégories et à en ajouter de nouvelles.

Les exigences de cette politique s'appliquent également à tout code tiers (par exemple, une trousse SDK) que vous incluez dans votre appli.

Consultez la politique relative aux logiciels malveillants dans son intégralité.

Exemples de non-respects causés par une trousse SDK

Une appli qui inclut des bibliothèques de trousses SDK de fournisseurs qui distribuent des logiciels malveillants
Une appli qui enfreint le modèle d'autorisations Android ou qui vole les authentifiants (comme les jetons OAuth) des autres applis
Des applications qui abusent des fonctionnalités pour empêcher qu'elles soient désinstallées ou arrêtées
Une appli qui désactive SELinux
Une appli incluant une trousse SDK qui enfreint le modèle d'autorisations Android en obtenant des privilèges élevés par l'accès aux données de l'appareil à des fins non divulguées
Une appli incluant une trousse SDK avec un code qui dupe les utilisateurs afin qu'ils souscrivent un abonnement ou achètent du contenu par le biais de leur facture de téléphone cellulaire

Les applis d'élévation de privilèges qui accèdent à la racine des appareils sans l'autorisation de l'utilisateur sont classées comme des applis d'accès racine.

Espiogiciel

Un espiogiciel est une application, un code ou un comportement malveillant qui collecte, exfiltre ou partage des données relatives à l'utilisateur ou à l'appareil qui ne sont pas liées à une fonctionnalité conforme à la politique.

Un code ou un comportement malveillant qui peut être considéré comme de l'espionnage à l'endroit de l'utilisateur ou qui exfiltre des données sans notification ou consentement adéquat est également considéré comme un espiogiciel.

Consultez la politique relative aux espiogiciels dans son intégralité.

Par exemple, les violations de la politique relative aux espiogiciels causées par une trousse SDK comprennent, mais sans s'y limiter :

une appli qui utilise une trousse SDK qui transmet des données à partir d'enregistrements audio ou d'appels lorsqu'elles ne sont pas liées au fonctionnement de l'appli conforme à la politique;
une appli contenant un code tiers malveillant (par exemple, une trousse SDK) qui transmet des données hors de l'appareil d'une manière inattendue pour l'utilisateur et sans envoyer de notification à l'utilisateur ou sans obtenir le consentement adéquat de celui-ci.

Politique relative aux logiciels mobiles indésirables

Politique relative à l'utilisation abusive de l'appareil et du réseau

Nous n'autorisons pas les applis qui causent des interférences, des perturbations ou des dommages à l'appareil de l'utilisateur ou à d'autres appareils, ordinateurs, serveurs, réseaux, interfaces de programmation d'applications (API) ou services, y compris, mais sans s'y limiter, à d'autres applis sur l'appareil, sur tout service de Google ou tout réseau d'un fournisseur de services agréé, ni les applis qui y accèdent d'une manière non autorisée.

Les applis ou le code tiers (par exemple les trousses SDK) avec des langages d'interprétation (JavaScript, Python, Lua, etc.) chargés au moment de l'exécution (par exemple qui ne sont pas fournis avec l'appli) ne doivent pas autoriser le non-respect potentiel des politiques de Google Play.

Nous n'autorisons pas le code qui introduit ou qui exploite des vulnérabilités. Consultez le programme d'amélioration de la sécurité des applis pour connaître les problèmes de sécurité les plus récents signalés aux développeurs.

Consultez la politique relative à l'utilisation abusive de l'appareil et du réseau dans son intégralité.

Exemples de non-respects causés par une trousse SDK

Les applis qui encouragent les tiers à utiliser des services mandataires peuvent le faire uniquement dans les applis qui ont ce principal objectif de base visible par l'utilisateur de l'appli.
Votre appli inclut une trousse SDK qui télécharge du code exécutable, comme des fichiers dex ou du code natif, à partir d'une source autre que Google Play.
Votre appli inclut une trousse SDK contenant un composant WebView auquel est ajoutée une interface JavaScript qui charge du contenu Web non fiable (p. ex. une URL http://) ou des URL non vérifiées obtenues à partir de sources non fiables (p. ex. des URL obtenues avec des intentions non fiables).
Votre appli inclut une trousse SDK qui contient du code utilisé pour mettre à jour son propre fichier APK.
Votre appli inclut une trousse SDK qui expose les utilisateurs à une vulnérabilité de sécurité en téléchargeant des fichiers par l'intermédiaire d'une connexion non sécurisée.
Votre appli utilise une trousse SDK qui contient du code permettant de télécharger ou d'installer des applications à partir de sources inconnues en dehors de Google Play.
Votre appli inclut une trousse SDK qui utilise des services de premier plan sans un cas d'utilisation approprié.
Votre appli inclut une trousse SDK qui utilise des services de premier plan à des fins de conformité à la politique, ce qui n'est toutefois pas déclaré dans le fichier de configuration de votre appli.

Politique relative aux comportements trompeurs

Quelles politiques pour développeurs de Google Play sont généralement associées à des non-respects causés par une trousse SDK?

Pour vous permettre de vous assurer que tout code tiers utilisé par votre application est conforme aux politiques du programme pour les développeurs de Google Play, veuillez consulter les politiques suivantes dans leur intégralité :

Bien que ces politiques soient celles dont il est question le plus souvent, il est important de vous rappeler qu'une trousse SDK contenant un code incorrect peut pousser votre application à enfreindre une politique différente non référencée ci-dessus. N'oubliez pas de consulter toutes les politiques dans leur intégralité et de rester au courant des changements. En tant que développeur d'applications, votre responsabilité est de vous assurer que vos trousses SDK gèrent les données de votre application conformément à toutes les politiques.

Pour en savoir plus, veuillez consulter notre centre d'aide.

Choisissez une section à propos de laquelle vous souhaitez rédiger des commentaires

Cela a-t-il été utile?

Comment pouvons-nous améliorer cette page?

Exigences en matière de trousse SDK

Données personnelles et sensibles des utilisateurs

Vente de données personnelles et sensibles des utilisateurs

Obligations de divulgation bien visible et de consentement

Exemples de non-respects causés par une trousse SDK

Exigences supplémentaires relatives à l'accès aux données personnelles et sensibles

Exemples de non-respects causés par une trousse SDK

Section relative à la sécurité des données

Exemples de non-respects causés par une trousse SDK

Exemples de non-respects causés par une trousse SDK

Espiogiciel

Comportement transparent et divulgations claires

Exemples de non-respects :

Protéger les données de l'utilisateur

Exemples de non-respects :

Exemples de non-respects causés par une trousse SDK

Transparence du comportement

Exemple d'une violation causée par une trousse SDK

Quelles politiques pour développeurs de Google Play sont généralement associées à des non-respects causés par une trousse SDK?

Cela a-t-il été utile?

Besoin d'aide supplémentaire?

Essayez les étapes suivantes :

Quel est le problème relatif à cette sélection?

Communiquez des renseignements ou des suggestions supplémentaires