Google Play首次提审应用 数据安全表单填写咨询

一、数据采集判定规则与隐私政策声明要求 #

Google 对数据采集的判定核心标准为：你的应用代码、集成的第三方SDK，是否会将Google列明的用户数据类型从用户设备传输至自有服务器、第三方服务商服务器，有两类场景需要特别区分：

• 通过URL Launcher唤起系统原生拨号、短信、邮件客户端的逻辑：本质是调用系统公开接口拉起设备本地应用，拨号、发信、发短信的全流程在系统原生客户端完成，你的应用不读取、不传输通话记录、短信内容、通讯录、邮件内容等数据，这部分行为不属于数据采集范畴
• 用户主动通过应用入口发送反馈邮件的场景：你会收到用户主动提交的邮箱地址、反馈文本内容，这类数据属于你收集的用户数据，需要在隐私政策中明确说明收集范围、用途（仅用于回复用户反馈，不做其他商业化使用）、留存周期

结合你当前的应用配置，隐私政策不能声明“不采集任何用户数据”：

• 已集成的Google AdMob SDK默认会采集设备广告标识、基础设备信息、广告交互数据，用于广告投放、反作弊、效果归因，这部分属于第三方SDK采集的数据，必须在隐私政策中明确披露
• 待接入的Google Analytics无需在当前版本提前声明，仅在上架版本正式集成该SDK后，再补充对应的数据采集披露内容即可。

二、核心问题作答选项 #

1. 「您的应用是否采集或共享规定范围内的用户数据类型？」 #

选 Yes

不要误选No：Google上架审核时会自动扫描应用内集成的所有SDK的数据行为，若发现SDK存在合规采集行为但你申报为No，会直接驳回应用，多次误报可能触发账号处罚。
选Yes后按表单指引分两部分填报即可：

• 自有采集部分：申报收集用户主动提交的邮箱地址、反馈内容，用途标注为「支持应用核心功能-用户反馈回复」，说明数据不对外共享、仅在处理反馈的必要周期内留存
• 第三方SDK部分：按照AdMob官方给出的数据披露指引，申报AdMob采集的广告相关数据类型、用途、数据共享给Google的情况即可。

2. 「您的应用是否已获得授权实验室依据Mobile Application Security Assessment (MASA)框架出具的认证？」 #

选 No
MASA是第三方授权实验室提供的付费应用安全专项认证，需要开发者主动申请、完成全项检测并拿到正式认证报告后才能选Yes，绝大多数普通开发者首次提交应用都不会做该认证，选No完全不影响正常上架审核。

三、补充填报注意事项 #

• 表单填报的所有数据采集、共享内容，必须和你对外公示的隐私政策描述完全一致，不能出现内容冲突
• 后续版本如果新增SDK、新增数据采集逻辑，需要在版本更新时同步更新数据安全表单和隐私政策内容
• 只要你确认URL Launcher的跳转逻辑没有额外窃取、传输用户在系统客户端内的操作数据，这部分功能不需要做任何数据采集申报

内容的提问来源于stack exchange，提问作者Me too