WWDC 2023에서 발표된 iOS 17 개인 정보 보호 매니페스트: 작동 방식과 요구 시기는 다음과 같습니다.
SDK 에 대한 새로운 개인 정보 보호 매니페스트를 발표했습니다. 이는 개인 정보 보호에 막대한 영향을 미칠 뿐만 아니라 대규모 앱 개발, 게시, 마케팅에도 영향을 미치는 조치입니다.
나는 그것이 무엇인지, 어떻게 작동하는지, 앱 퍼블리셔와 SDK 개발자에게 요구되는 것이 무엇인지 자세히 알아볼 것입니다.
간단히 말해서:
- 모든 사람은 자신의 앱과 SDK가 수행하는 작업을 선언해야 합니다.
- 특히 개인 정보 보호에 영향을 미치는 민감한 특정 SDK의 경우 해당 SDK를 사용하는 이유를 명시해야 합니다.
- 앱이 추적을 위해 데이터를 사용하는지 여부를 명시해야 합니다.
- 앱이 추적하는지 여부에 관계없이 수집하는 데이터 카테고리를 선택해야 합니다.
- Apple은 사용자가 앱 추적 투명성을 통해 권한을 부여하지 않은 경우 도메인 추적에 대한 네트워크 요청을 차단합니다.
이 모든 것에는 미묘한 차이와 세부 사항이 많이 있으므로 자세한 내용과 설명을 계속 읽으십시오.
새로운 Apple 요구 사항: 개인 정보 보호 명시
앱 개발자와 SDK 제작자 모두는 앱 게시 시점에 Apple이 함께 집계할 개인정보 보호 정책을 작성해야 합니다.
Apple의 성명은 다음과 같습니다.
“우리는 단일 표준 형식으로 앱 내 타사 코드의 개인정보 보호 관행을 간략하게 설명하는 파일인 새로운 개인정보 보호 매니페스트를 도입합니다. 개발자가 앱 배포를 준비할 때 Xcode는 개발자가 사용하는 모든 타사 SDK의 개인 정보 보호 목록을 사용하기 쉬운 단일 보고서로 결합합니다."
Apple은 타사 SDK를 앱에 통합하는 앱 개발자가 해당 SDK의 모든 코드와 사용을 알지 못할 가능성이 높기 때문에 SDK 제조업체에 이를 요구합니다. 개인정보 매니페스트는 앱 개발자가 각 SDK 포함의 의미를 이해하고 앱의 특정 개인정보 보호 영양 라벨을 만드는 데 필요한 정보를 제공하는 데 도움이 됩니다.
모든 사람은 API 사용 이유를 선언해야 합니다.
지문 채취에 사용될 수 있는 정보를 수집하는 API를 사용하는 경우 해당 정보가 필요한 이유를 선언해야 합니다.
어떤 이유에서든 여유 디스크 공간이 필요한 작은 손전등 유틸리티 앱이라면... 매우 창의력을 발휘할 준비를 하십시오. (내 말은 행운을 빕니다. App Store 앱 제출 프로세스 중 어느 시점에 해당 API에 대한 액세스 권한을 잃게 될 것이며 그럴 만한 이유가 있습니다.)
애플을 통해:
"지문 채취(App Store에서 금지된 관행)에 잠재적으로 사용될 수 있는 API를 참조하는 앱은 이제 API 사용에 대해 허용된 이유를 선택하고 개인 정보 보호 매니페스트에서 해당 사용을 선언해야 합니다."
장치 유형, OS 버전, 화면 크기 또는 기타 개인 정보를 위협할 수 있는 정보를 알아야 하는 데에는 완전히 무해한 이유가 많이 있습니다. 당신이 사용하고 있다고 말하는 것을 사용하고 있는지, 그리고 사용하고 있다고 말하는 것을 사용하고 있다고 말하는 것과 똑같은 방식으로 사용하고 있는지 확인하세요.
Apple은 데이터 집약적인 SDK를 명명하고 부끄러워 할 것입니다
Apple은 이러한 새로운 요구 사항을 충족하기 위해 2023년 어느 시점에 개인 정보 보호에 영향을 미치는 SDK 목록을 게시할 것이라고 밝혔습니다. 공개 성명에는 Apple이 이름을 지정할 것이라고 명시되어 있지만, 그 이면에서는 해당 SDK의 이름이 100% 명확하지 않습니다. 목록은 특정 명명된 SDK 또는 SDK 카테고리로 구성됩니다.
지금은 전자를 믿으세요.
애플에서:
“우리는 올해 말에 다음을 포함한 추가 정보를 발표할 것입니다.
- 개인 정보 보호에 영향을 미치는 SDK(사용자 개인 정보 보호에 특히 큰 영향을 미치는 타사 SDK) 목록
- 허용 사유를 선언해야 하는 “필수 사유” API 목록
- 해당 API를 호출하는 새로운 이유를 제안하는 개발자 피드백 양식
- 서명, 개인 정보 보호 선언문의 이점과 세부 사항 및 필요한 경우에 대한 추가 문서"
필수 이유 API 목록은 Apple이 일반적으로 개인 정보 보호에 민감하다고 생각하는 API뿐만 아니라 Apple이 지문 채취 목적으로 사용될 수 있다고 생각하는 API이기 때문에 매우 유익할 것입니다. 필수 이유 API를 사용하지만 추적되지 않고 Apple에서 권장하지 않는 목적으로 사용하는 경우 좋은 소식이 있습니다. 추가할 새로운 이유에 대한 피드백을 제출할 수 있습니다.
개인 정보 보호에 초점을 맞춘 새로운 프로세스가 앱 제출 프로세스의 일부가 되고 있습니다.
개인 정보 보호 매니페스트를 사용하면 App Store 제출 프로세스에 몇 가지 새로운 단계가 추가됩니다.
1. 먼저, 개인정보 보호 선언문을 작성해야 합니다.
앱 또는 앱에 사용된 타사 SDK가 앱 추적 투명성 프레임워크에서 정의한 추적용 데이터를 사용하는지 여부를 선언해야 합니다. 그렇다면 NSPrivacyTracking을 true로 설정해야 합니다.
Apple에서는 추적을 귀하 수집한 데이터를 다른 회사에서 수집한 다른 사용자 또는 장치 데이터와 연결하는 것으로 정의합니다
정의는 다음과 같습니다.
“추적이란 타겟 광고 또는 광고 측정 목적을 위해 귀하의 앱에서 수집한 사용자 또는 장치 데이터를 다른 회사의 앱, 웹사이트 또는 오프라인 자산에서 수집한 사용자 또는 장치 데이터와 연결하는 행위를 의미합니다. 추적은 또한 사용자 또는 장치 데이터를 데이터 브로커와 공유하는 것을 의미합니다.”
Apple은 다음과 같은 추적 예를 제공합니다.
- 광고의 행동 타겟팅
- 데이터 브로커와 위치 또는 이메일 공유
- 잠재고객 생성 및 공유
- 장치 그래프 생성
그리고 Apple은 추적으로 간주되지 않는 데이터 수집의 몇 가지 예를 제공합니다.
- 데이터는 기기에 유지됩니다.
- 사기 탐지/보안에만 사용되는 데이터
- 신용 점수에 사용되는 데이터
앱이나 SDK가 수집한 데이터를 다른 회사의 데이터와 연결하지 않거나 데이터 브로커에게 데이터를 판매하지 않는 한 추적으로 정의되지 않은 데이터 수집 유형은 아마도 더 많을 것입니다.
2. 추적하는 경우 개인정보 목록에 수집하는 데이터를 나열해야 합니다.
이는 NSPrivacyTrackingDomains 배열을 통해 데이터를 보내는 도메인을 나열하는 것으로 시작됩니다. 이는 추적을 돕기 위해 앱이나 SDK가 연결하는 URL 목록일 뿐입니다.
중요한 점은 다음과 같습니다.
추적 도메인에 연결했지만 사용자가 앱 추적 투명성을 통해 추적 권한을 부여하지 않은 경우 Apple은 해당 URL에 대한 모든 호출을 차단합니다. Apple을 통해: "사용자가 앱 추적 투명성 프레임워크를 통해 추적 권한을 부여하지 않은 경우 해당 도메인에 대한 네트워크 요청이 실패하고 앱에 오류가 발생합니다."
또 다른 중요한 점:
추적 중인 일부 데이터와 추적되지 않는 일부 데이터를 수집할 수 있으므로 귀하 또는 측정 공급업체가 다양한 목적을 위해 서로 다른 엔드포인트를 가지고 있는지 확인하십시오. 즉, skan.vendor.com 및 Tracking.vendor.com입니다. Apple은 ITP(지능형 추적 방지)를 통해 Safari에서 추적을 차단하는 것과 동일한 방식으로 앱의 추적 도메인을 차단합니다. 하지만 이 앱용 ITP는 가상 도메인을 구별할 만큼 지능적입니다.
또한 수집하는 데이터 유형을 나열해야 하며 Apple에서 정의한 분류 체계에 따라 수행해야 합니다.
3. ATT에 정의된 대로 추적하는지 여부에 관계없이 이 데이터를 개인 정보 보호 목록에 나열해야 합니다.
앱과 타사 SDK가 수집하는 데이터를 선언합니다. 또한 NSPrivacyCollectedDataTypes 배열을 사용하여 개인 정보 파일에 해당 데이터에 대한 세부 정보를 나열해야 합니다.
Apple에서는 다음 세부 정보를 포함하도록 요구합니다.
- 수집하는 데이터 유형
- 사용자의 신원과 연결되어 있는지 여부
- 앱 또는 SDK로 추적하는 데 사용되는지 여부
- 그리고, 데이터를 수집하는 이유는
4. ATT에 정의된 대로 추적하는지 여부에 관계없이 앱과 타사 SDK가 수집하는 데이터 카테고리도 보고해야 합니다.
해당 데이터는 Apple이 정의한 다음 카테고리 중 하나에 속합니다.
- 연락처 정보
- 건강 및 피트니스 데이터
- 금융정보(신용카드)
- 참고: 제3자가 이를 수행하는 경우는 해당되지 않습니다. “귀하의 앱이 결제 서비스를 사용하는 경우 결제 정보는 앱 외부에 입력되며 개발자는 결제 정보에 접근할 수 없으므로 결제 정보가 수집되지 않으며 그럴 필요도 없습니다. 공개해라.”
- 위치 데이터
- 괜찮은
- 조잡한
- 민감한 정보(인종, 장애 등)
- 콘택트 렌즈
- 주소록
- 사용자 콘텐츠
- 이메일
- 메시지
- 사진
- 게임플레이 콘텐츠
- 오디오 데이터
- 검색 기록
- 검색 기록
- 식별자
- 사용자 ID(화면명, 계정 ID, 고객번호)
- 장치 아이디
- 구매
- 사용량 데이터
- 앱 참여
- 광고 데이터(사용자가 본 광고)
- 진단
- 기타 데이터… "언급되지 않은 다른 데이터 유형"
- 나는 이것이 상당히 큰 포괄 카테고리가 될 수 있다고 생각합니다.
5. ATT에 정의된 대로 추적하는지 여부에 관계없이 앱과 타사 SDK가 데이터를 수집하는 이유를 보고해야 합니다.
그 이유는 다음과 같습니다.
- 제3자 광고
- 자사 광고
- 제품 개인화
- 앱 기능
- 기타 목적
6. 마지막으로 개인정보 보호 보고서를 작성합니다.
또는 더 정확하게 말하면 Xcode는 앱 선언에서 위의 모든 데이터와 앱이 참조하는 타사 SDK의 모든 개인 정보 보호 목록을 집계하고 이를 사용하여 전체 개인 정보 보호 보고서를 생성합니다.
개인정보 보호는 자주 묻는 질문(FAQ)을 나타냅니다.
Apple의 새로운 개인 정보 보호 정책은 많은 질문을 제기합니다. 지금까지 몇 가지 핵심 사항에 대해 알고 있다고 생각하는 내용은 다음과 같습니다. 물론 이는 Apple로부터 공식적으로 더 많은 정보를 얻으면서 변경될 수 있습니다.
- IDFV를 얻는 것도 추적으로 간주됩니까?
예 - 추적하지 않지만 필수 사유 API를 사용하는 경우에도 개인 정보 매니페스트에서 이를 선언해야 합니까?
예 - 개인정보 보호에 영향을 미치는 필수 사유 API란 무엇입니까?
Apple은 올해 말에 목록을 발표할 예정입니다. - SDK에는 앱 제출 프로세스와 같은 자체 SDK 제출 프로세스가 있나요?
아니요 - Apple이 항상 개인 정보 보호에 영향을 미치는 것으로 간주하는 특정 API 또는 방법이 있습니까?
Apple은 올해 말에 더 많은 정보를 제공할 예정입니다. - 데이터에 액세스하지 않는 프레임워크에 대한 개인 정보 보호 매니페스트를 작성해야 합니까?
그렇습니다. - iOS 17에서는 ATT가 전혀 변경되나요?
아니요 - 마케팅 담당자가 자신의 앱에 대한 웹 링크에 대한 딥링크 관리 및 측정이 iOS 17 및 개인정보 보호 정책에 따라 변경되나요?
아니요 - 이제 앱이 SDK의 대화량을 관리할 수 있나요?
기본적으로 그렇습니다. 사용자가 ATT를 통한 추적을 선택하지 않는 한 정의된 추적 도메인에 대한 모든 트래픽은 실패하기 때문입니다. - 이 모든 출시는 언제 이루어지나요?
Apple은 올 가을에 정보 이메일을 보내기 시작할 예정이며, 시행은 2024년 봄에 시작됩니다.
배우고 공유할 내용이 거의 확실히 더 많기 때문에 우리가 듣는 새로운 정보나 발견한 통찰력으로 이를 계속 업데이트할 것입니다.
디지털 마케팅의 최신 소식을 받아보세요.
