Paquetes de metadatos de la app para la seguridad de los datos

Los paquetes de metadatos de la app proporcionan a los desarrolladores una forma transparente de incluir información sobre ellos (el desarrollador), la app y si recopilan, comparten y protegen los datos del usuario, y cómo lo hacen. Google Play Store requiere que los desarrolladores proporcionen esta información para las apps que distribuye, y los fabricantes de dispositivos Android con los Servicios de Google Play requieren lo mismo de los desarrolladores de apps que el fabricante carga previamente, con excepciones limitadas para los servicios del sistema.

Otras tiendas de aplicaciones y otros instaladores pueden optar por requerir un paquete de metadatos de la app para las apps que distribuyen. El método de distribución de la app determina cómo los desarrolladores pueden crear e integrar un paquete de metadatos de la app. Android muestra información de seguridad de los datos del paquete de metadatos de la app a los usuarios. Por ejemplo, si una app declara que comparte la ubicación con un tercero, esa información se muestra en el mensaje de permiso de ubicación en los dispositivos que ejecutan Android 14 o versiones posteriores.

Descripción general

Un paquete de metadatos de la app te permite compartir información sobre ti (el desarrollador) y tu app, incluidos los datos del usuario que recopila o comparte, y mostrar las prácticas clave de privacidad y seguridad de tu app. Esta información ayuda a los usuarios a tomar decisiones mejor fundamentadas cuando, por ejemplo, otorgan acceso a los permisos.

Los paquetes de metadatos de la app son independientes y se suman a las obligaciones legales de transparencia y divulgación a las que puedas estar sujeto como desarrollador en los países en los que operas.

Se recomienda a todos los desarrolladores que declaren cómo recopilan y manejan los datos del usuario en sus apps, y que proporcionen detalles sobre el propósito de la app, la información del desarrollador y cómo la app protege los datos del usuario a través de prácticas de seguridad, como la encriptación. Esto incluye los datos recopilados y administrados mediante bibliotecas o SDK de terceros que se usen en las apps. Los desarrolladores pueden consultar la información de Seguridad de los datos publicada por los proveedores del SDK para obtener más detalles. Los desarrolladores pueden consultar el Índice SDK de Google Play para ver si un proveedor proporcionó un vínculo a su orientación.

Los paquetes de metadatos de la app llegan al dispositivo de manera diferente, según cómo se distribuya la app:

• Apps precargadas en la imagen del sistema: El fabricante del dispositivo es responsable de incluir el paquete de metadatos de la app en un archivo XML de seguridad de los datos en la imagen del sistema.
• Apps distribuidas por instaladores: El instalador es responsable de enviar el paquete de metadatos de la app al dispositivo. Si desarrollas una app que se distribuye a través de Google Play, consulta las instrucciones en la ayuda de Play Console. Los instaladores pueden consultar el esquema de los paquetes de metadatos de la app.

Los desarrolladores de apps precargadas pueden crear un archivo en formato XML de seguridad de los datos con uno de los siguientes métodos:

• Si desarrollas una app que se publica en Play Store, usa el formulario de seguridad de los datos de Play Console en la página Contenido de la app. Para ello, navega a Política > Contenido de la app. Si ya completaste este formulario, no es necesario que realices ninguna acción adicional.
• Descarga y edita el archivo en formato XML de plantilla que está disponible en esta página para proporcionarlo a los fabricantes o instaladores.

Preparando la información

Antes de que los desarrolladores comiencen a crear un paquete de metadatos de la app, completa los siguientes pasos:

• Asegúrate de que haya agregado una política de privacidad.

• Revisa cómo la app recopila y comparte datos del usuario y las prácticas de seguridad implementadas en ella. En particular, verifica los permisos declarados de la app y las APIs que usa.

  Además de revisar cómo la app recopila y comparte datos del usuario, los desarrolladores también deben evaluar cómo lo hace el código de terceros (como bibliotecas o SDKs de terceros) que se use en ella. El paquete de metadatos de la app debe reflejar la recopilación o el uso compartido de datos que realice el código de terceros.

Qué deben divulgar los desarrolladores en las secciones de información de la app y del desarrollador

En esta sección, se explica qué información deben divulgar los desarrolladores en las secciones de información de la app y de información del desarrollador del paquete de metadatos de la app. Si la app se distribuye a través de Google Play Store, usa Play Console para ingresar esta información.

Qué deben compartir los desarrolladores sobre la app

Cuando crean un paquete de metadatos de la app, los desarrolladores deben divulgar la información de la app que se describe en las siguientes secciones:

Propósito de la app

Describe el propósito de la app en un bloque de texto legible por humanos en inglés (límite de 4,000 caracteres).

Categoría de app

Selecciona la categoría que mejor se adapte al propósito de la app de la siguiente lista.

Las siguientes categorías están destinadas a las apps precargadas:

• OTA: Paquetes responsables de recibir e instalar actualizaciones inalámbricas (OTA)
• AOSP: Paquetes disponibles en el Proyecto de código abierto de Android
• Seguridad
• Tienda

Google Play también usa las categorías que se describen en la siguiente tabla:

Publicidad y marketing de apps

Indica si la app contiene publicidad o marketing, incluidas las promociones integradas en la app.

Política de Privacidad

Incluye un vínculo a la política de privacidad en la que se detalla cómo el desarrollador maneja los datos del usuario. Si la app no contiene este vínculo, se supone que no controla los datos del usuario.

Qué deben compartir los desarrolladores sobre sí mismos

Cuando crean un paquete de metadatos de la app, los desarrolladores deben divulgar la información del desarrollador que se describe en las siguientes secciones:

Nombre del programador

Es el nombre del desarrollador, la persona o la empresa que creó la app. Puede haber varios nombres de desarrolladores.

Registro de apps

Si la app aparece en algún registro de apps, incluidas tiendas y otros instaladores, indícalo en este campo. Se permiten varias entradas para varias tiendas.

• Para los registros de apps que son instaladores de Android: El valor debe ser el nombre del paquete de Android de la tienda. Por ejemplo, usa com.android.vending para Google Play Store.
• Para otros registros de apps: El valor debe ser la URL del registro.

Omite este campo por cualquiera de los siguientes motivos:

• El desarrollador es un SDK que aparece en el Índice SDK de Google Play.
• El desarrollador no está registrado en ninguna tienda de aplicaciones ni registro.

ID de registro de la app

En el caso de las apps que aparecen en cualquier registro de apps, incluidos los instaladores y las tiendas, este valor debe ser la identidad de la tienda, el instalador o el registro del desarrollador. Se permiten varias entradas para varias tiendas.

• Para desarrolladores registrados en Google Play: Este valor debe ser la URL de la página del desarrollador (por ejemplo, https://play.google.com/store/apps/dev?id=5700313618786177705 es la URL del desarrollador Google LLC).
• Si el desarrollador es un desarrollador de SDK que aparece en el Índice SDK de Google Play, usa la URL del SDK (por ejemplo, https://play.google.com/sdks/details/com-google-android-gms-play-services-ads es la URL del SDK de anuncios de Google para dispositivos móviles [GMA]).
• Si el desarrollador está registrado en otra tienda o registro, se puede proporcionar una URL de la tienda de aplicaciones o algún otro identificador.

Si un desarrollador no está registrado en ninguna tienda de aplicaciones, se puede omitir este atributo.

Información de contacto del desarrollador

Proporciona la siguiente información:

• Correo electrónico
• Sitio web
• País o región
• Dirección física de correo postal

Qué deben divulgar los desarrolladores en la sección de seguridad de los datos

En esta sección, se explica qué información deben divulgar los desarrolladores en la sección de seguridad de los datos del paquete de metadatos de la app y se enumeran los tipos de datos del usuario y los propósitos que pueden seleccionar. Si una app se distribuye a través de Google Play Store, usa Play Console para ingresar esta información.

Qué deben declarar los desarrolladores en los distintos tipos de datos

Cuando crean un paquete de metadatos de la app, los desarrolladores deben divulgar información sobre los tipos de datos que recopilan y comparten, como se describe en las siguientes secciones:

Recopilación de datos

En este caso, recopilar significa transmitir datos desde una app hacia fuera del dispositivo de un usuario. Ten en cuenta los siguientes lineamientos:

• Bibliotecas y SDKs: Esto incluye datos del usuario que se transmiten hacia fuera del dispositivo desde una app a través de bibliotecas o SDKs que se usan en la app, independientemente de que los datos se transmitan al desarrollador de la app o a un servidor externo.

• WebView: Incluye datos del usuario recopilados de una WebView que se abrió desde la app, si esta controla el código y el comportamiento que se proporciona a través de esa WebView.

  Los desarrolladores no necesitan declarar la recopilación de datos desde una WebView en la que los usuarios navegan por la Web abierta.

• Procesamiento efímero: No es necesario incluir los datos del usuario transmitidos fuera del dispositivo que se procesan de forma efímera en el paquete de metadatos de la app si cumplen con el siguiente estándar:

  El procesamiento efímero de datos implica acceder a ellos y usarlos mientras se almacenan solo en la memoria, y retenerlos no más del tiempo necesario para atender la solicitud específica en tiempo real.

  Por ejemplo, una app meteorológica que transmite la ubicación del usuario desde el dispositivo para obtener el clima actual en ese lugar, pero que solo usa los datos de ubicación en la memoria y no los almacena una vez que se completa la solicitud, puede tratar su uso transitorio de la ubicación como efímero. Sin embargo, el uso de datos para crear perfiles publicitarios o cualquier otro perfil de usuario no se puede tratar como efímero y debe declararse como recopilación o uso compartido para los fines relevantes.

• Datos seudónimos: Los datos del usuario recopilados de forma seudónima deben divulgarse. Por ejemplo, deben divulgarse los datos que se pueden volver a asociar de manera razonable con un usuario.

Fuera del alcance de la divulgación de la recopilación de datos

No es necesario divulgar los siguientes casos de uso como recopilación:

• Acceso o procesamiento integrado en el dispositivo: No es necesario divulgar los datos del usuario a los que accede una app y que solo se procesan de manera local en el dispositivo del usuario y no se envían fuera de él.

• Encriptación de extremo a extremo: Se trata de datos del usuario que se envían fuera del dispositivo, pero que son ilegibles para ti o cualquier otra persona que no sea el remitente o el destinatario como resultado de la encriptación de extremo a extremo. No es necesario que se divulguen.

  Los datos encriptados no deben ser legibles para ninguna entidad intermediaria, incluido el desarrollador. Además, solo el remitente y el destinatario pueden tener las claves necesarias.

Uso compartido de datos

En este caso, el uso compartido hace referencia a la transferencia a un tercero de datos del usuario recopilados desde una app. Esto incluye datos del usuario transferidos de las siguientes formas:

• Hacia fuera del dispositivo, como transferencias de servidor a servidor: Por ejemplo, si un desarrollador transfiere datos del usuario recopilados en una app desde su servidor hacia un servidor de terceros.

• Transferencia integrado en el dispositivo a otra app: Se trata de transferir datos del usuario de una app a otra directamente en el dispositivo. En este caso, el desarrollador debe divulgar el uso compartido de datos en la sección de seguridad de los datos, incluso si la app no transmite los datos fuera del dispositivo del usuario.

• Desde las bibliotecas y los SDKs de tu app: Transferencia de los datos recopilados en una app desde el dispositivo del usuario directamente a un tercero mediante bibliotecas o SDKs incluidos en la app.

• Desde un componente WebView que se abrió a través de tu app: Transferencia de los datos del usuario a un tercero a través de una WebView que se haya abierto desde la app, en caso de que esta controle el código y el comportamiento implementados mediante esa WebView.

  Los desarrolladores no necesitan declarar el uso compartido de datos desde una WebView en la que los usuarios navegan por la Web abierta.

No es necesario divulgar los siguientes tipos de transferencia de datos como uso compartido:

• Proveedores de servicios: Transferencia de datos del usuario a un proveedor de servicios que los procese en nombre del desarrollador Un proveedor de servicios es una entidad que procesa datos del usuario en nombre del desarrollador y según sus instrucciones.

• Propósitos legales: Transferencia de datos del usuario para fines legales específicos, por ejemplo, en respuesta a una obligación legal o solicitud gubernamental.

• Acción iniciada por el usuario o divulgación destacada y consentimiento del usuario: Transferencia de datos del usuario a un tercero en función de una acción específica iniciada por el usuario, en la que el usuario espera de manera razonable que se compartan los datos, o en base a una divulgación destacada en la app y un consentimiento.

• Datos anónimos. Se refiere a la transferencia de datos del usuario que se anonimizaron completamente para que ya no se puedan asociar con un usuario individual.

• Organizaciones de origen y de terceros: La organización de origen es el desarrollador, la organización principal responsable de procesar los datos que recopila la app. En el caso de las apps que se distribuyen a través de tiendas, suele ser la organización que publica la app en la tienda.

  Tiene la obligación de aclararles de forma razonable a los usuarios qué organización es la principal responsable del procesamiento de los datos recopilados en la app.

  Terceros se refiere a cualquier organización que no sea la organización de origen o sus proveedores de servicios.

Manejo de datos

Los desarrolladores también pueden divulgar si cada tipo de datos que recopila la app es opcional u obligatorio. Opcional incluye la capacidad de habilitar o inhabilitar la recopilación de datos. Por ejemplo, los desarrolladores pueden declarar un tipo de datos como opcional cuando un usuario controla su recopilación y puede usar la app sin proporcionarlos, o en los casos en que un usuario puede decidir manualmente si proporciona ese tipo de datos. Si las funciones principales de una app requieren un tipo de datos, los desarrolladores deben declararlos como obligatorios.

Los desarrolladores pueden declarar que una app recopila ciertos datos de forma opcional solo si todos los usuarios, independientemente del dispositivo o la región, pueden elegir de forma opcional entre proporcionar la información, aceptar la recopilación de datos o rechazarla.

Estos son algunos ejemplos de recopilación de datos opcional:

• Una app de redes sociales que solicita la fecha de nacimiento de un usuario para comunicaciones de marketing, pero esa información no es obligatoria y el usuario puede registrarse sin proporcionarla.

• Datos del usuario que solo se recopilan cuando una persona accede a su cuenta en casos en los que puede interactuar con la app sin acceder a su cuenta

Otras divulgaciones de datos y apps

La sección de Seguridad de los datos también les permite a los desarrolladores mostrar las prácticas de seguridad y privacidad de la app. Por ejemplo, los desarrolladores pueden destacar la siguiente información:

• Encriptación en tránsito: Indica si la recopilación de datos o los datos que comparte una app usan encriptación en tránsito para proteger el flujo de datos del usuario final desde su dispositivo hasta el servidor.

  Algunas apps están diseñadas para permitirles a los usuarios transferir datos a otro sitio o servicio. Por ejemplo, una app de mensajería podría ofrecer a los usuarios la opción de enviar un mensaje SMS a través de su proveedor de servicios de telefonía celular, lo que mantiene distintas prácticas de encriptación. En la sección de seguridad de los datos, estas apps pueden declarar que los datos se transfieren mediante una conexión de confianza, siempre y cuando utilicen los mejores estándares de la industria para encriptarlos de forma segura cuando se trasladan entre el dispositivo del usuario y los servidores de la app.

• Mecanismo de solicitud de eliminación: Indica si una app ofrece a los usuarios una forma de solicitar que se borren sus datos.

Revisión de seguridad independiente (disponible para todas las apps)

Los desarrolladores pueden declarar en la sección de seguridad de los datos que la app se validó de forma independiente para verificar que cumpliera con un estándar de seguridad global. Esta es una revisión opcional que realizan y pagan los desarrolladores. Por ejemplo, con una Evaluación de seguridad para aplicaciones para dispositivos móviles (MASA), los desarrolladores pueden trabajar directamente con un laboratorio para que se evalúen sus apps en función del Estándar de verificación de seguridad para aplicaciones para dispositivos móviles (MASVS) del Proyecto de seguridad para aplicaciones web abiertas (OWASP). Las organizaciones de terceros que realizan las revisiones lo hacen en nombre del desarrollador.

Tipos y propósitos de datos

Se les pedirá a los desarrolladores que proporcionen información sobre la recopilación, el uso compartido y otras prácticas relacionadas con una variedad de tipos de datos del usuario, además de los fines para los que los usarán, como se describe en las siguientes tablas:

Propósitos

Cómo crear un archivo XML de seguridad de los datos de forma manual

En el siguiente archivo en formato XML de seguridad de los datos de muestra, se indica la estructura de archivos de una app precargada que comparte datos relacionados con la ubicación de un usuario. Para editar esta estructura, agrega, edita o quita elementos según el tipo de información que debas divulgar sobre tu app.

Ten en cuenta que el archivo de muestra no necesariamente está completo. Consulta el esquema de los paquetes de metadatos de la app para obtener más información sobre la estructura XML requerida para las secciones de la app, el desarrollador y la sección de Seguridad de los datos del paquete de metadatos de la app que tu app podría necesitar incluir.

<?xml version='1.0' encoding='UTF-8' standalone='yes' ?>
<bundle>
<long name="version" value="2" />

  <pbundle_as_map name="safety_labels">
    <long name="version" value="1" />

      <pbundle_as_map name="data_labels">
        <pbundle_as_map name="data_shared">
          <pbundle_as_map name="location">
            <pbundle_as_map name="approx_location">
              <int-array name="purposes" num="4">
                  <item value="1" />
                  <item value="2" />
                  <item value="5" />
                  <item value="6" />
              </int-array>
            </pbundle_as_map>
            <pbundle_as_map name="precise_location">
              <int-array name="purposes" num="2">
                  <item value="1" />
                  <item value="6" />
              </int-array>
            </pbundle_as_map>
          </pbundle_as_map>
        </pbundle_as_map>

    </pbundle_as_map>
</pbundle_as_map>
</bundle>

Preguntas frecuentes

Consulta las siguientes secciones para obtener respuestas a las preguntas frecuentes de los desarrolladores.

Preguntas generales

En las siguientes secciones, se incluyen respuestas a preguntas generales sobre los paquetes de metadatos de la app.

Un desarrollador envió información similar para iOS. ¿Qué porcentaje de ese trabajo puede reutilizar el desarrollador para el paquete de metadatos de la app para Android?

Es excelente que el desarrollador tenga un buen control de las prácticas de datos de la app. Para completar correctamente un paquete de metadatos de la app, es posible que el desarrollador necesite información adicional que quizás no haya usado antes, por lo que debe esperar realizar trabajo adicional. La taxonomía y el framework del paquete de metadatos de la app para Android pueden diferir sustancialmente de los que se usan en otras tiendas de aplicaciones.

¿Cómo se asegura Google de que los desarrolladores compartan información precisa? Sabemos que esta información no siempre es precisa en la industria.

Al igual que ocurre con una política de privacidad, los desarrolladores son responsables de la información que se divulga en el paquete de metadatos de su app.

¿Con qué frecuencia un desarrollador debe actualizar un paquete de metadatos de la app?

Los desarrolladores deben actualizar el paquete de metadatos de la app cuando haya cambios pertinentes en las prácticas de datos de la app.

Preguntas sobre cómo completar la sección de Seguridad de los datos

En las siguientes secciones, se incluyen respuestas a preguntas sobre cómo completar la sección de seguridad de los datos de un paquete de metadatos de la app.

¿Qué sucede si la app se comporta de forma diferente en las distintas versiones de Android compatibles?

El paquete de metadatos de la app debe ser preciso para que sea independiente del uso, la versión de la app, la región y la edad del usuario. En la sección de seguridad de los datos, se describe la suma de la recopilación y el uso compartido de datos de la app en todas las ubicaciones geográficas y los tipos de usuarios.

¿Cómo puede el desarrollador mostrar que podría tener prácticas diferentes en distintas regiones? Por ejemplo, un desarrollador no usa ciertas bibliotecas en Europa, pero es posible que las utilice en otras ubicaciones.

El paquete de metadatos de la app refleja la representación global de las prácticas de datos por app. La sección de Seguridad de los datos describe la suma de la recopilación de datos y el uso compartido de datos de la app en todas las ubicaciones geográficas y tipos de usuarios.

¿Las secciones de seguridad de los datos están protegidas por un mecanismo de consentimiento para los usuarios? ¿Es necesario que el desarrollador siga pasos adicionales para crear una divulgación destacada en la app?

No, no hay nuevas divulgaciones en el proceso de instalación de la app por parte del usuario ni un consentimiento del usuario nuevo con relación a esta función. Los desarrolladores de apps de Google Play y apps incluidas en dispositivos móviles con los Servicios de Google Play que recopilan datos personales y sensibles de los usuarios deben implementar divulgaciones en la app y solicitudes de consentimiento cuando la política así lo requiera.

¿El desarrollador debe declarar los datos si la app incluye un permiso, pero no recopila ni comparte los datos?

El desarrollador no necesita declarar la recopilación o el uso compartido, a menos que los datos se recopilen o se compartan. Las apps de Google Play y las apps incluidas en dispositivos Android con los Servicios de Google Play deben cumplir con todas las políticas aplicables.

Si se recopila un tipo de datos como parte de otro, ¿el desarrollador debe declarar ambos? Por ejemplo, si el desarrollador recopiló contactos que incluyen el correo electrónico de los usuarios, ¿debe declarar los tipos de datos de "Contactos" y "Dirección de correo electrónico"?

Si el desarrollador recopila intencionalmente un tipo de datos durante la recopilación de otro, debe divulgar ambos. Por ejemplo, si el desarrollador recopila fotos de usuarios y las usa para determinar sus características (como la raza o el origen étnico), también debe divulgar la recopilación de esos datos.

¿El desarrollador debe brindar un mecanismo de eliminación? ¿Debe estar disponible para todos los datos del usuario?

La sección de seguridad de los datos proporciona una plataforma que el desarrollador puede compartir si proporciona un mecanismo para recibir solicitudes de eliminación de datos por parte de los usuarios. Como parte del proceso de completar la sección de seguridad de los datos, el desarrollador debe indicar si ofrece este tipo de mecanismo.

¿Hay algún tipo específico de mecanismo que el desarrollador deba proporcionar para indicar que la app admite solicitudes de eliminación de datos del usuario?

No existe un mecanismo prescrito, pero como práctica recomendada, los usuarios deben poder encontrar el mecanismo de solicitud y acceder a él fácilmente. Algunos ejemplos comunes de mecanismos que indican claramente una ruta por la que los usuarios pueden solicitar la eliminación de datos pueden incluir, entre otros, funciones en la app, formularios de contacto o un alias de correo electrónico dedicado.

¿Cómo debe indicar un desarrollador en la sección de seguridad de los datos que proporciona un mecanismo de solicitud de eliminación de datos que se borran o anonimizan automáticamente?

El desarrollador puede declarar que los usuarios pueden solicitar que se borren sus datos si proporciona una o más de las siguientes opciones:

• Un mecanismo para solicitar la eliminación de datos

• Un proceso automático para iniciar la eliminación o anonimización de los datos recopilados en un plazo de 90 días desde su recopilación

  El desarrollador puede declarar que los usuarios pueden solicitar que se borren sus datos, incluso si el desarrollador necesita conservar ciertos datos por motivos legítimos, como el cumplimiento de los requisitos legales o la prevención de abusos.

¿Qué sucede si el mecanismo de eliminación que proporciona el desarrollador no está disponible a nivel global para todos los usuarios? ¿De todos modos puede indicar que proporciona un mecanismo de solicitud de eliminación?

Solo hay una sección de Seguridad de los datos global disponible por paquete de metadatos de la app. Esto debe abarcar las prácticas de datos en función de cualquier uso, región y edad del usuario. En otras palabras, si se lleva a cabo cualquiera de esas prácticas de datos en alguna versión de la app, en cualquier parte del mundo, el desarrollador debe indicarlas. Por lo tanto, en la sección de seguridad de los datos, se describe tanto la recopilación como el uso compartido de datos de la app en todos los usuarios y ubicaciones geográficas.

¿Qué tipos de técnicas se pueden usar para hacer que los datos sean anónimos?

Existen varios métodos posibles para anonimizar datos, de modo que no se puedan asociar a un usuario individual. El desarrollador debe consultar con expertos en seguridad y privacidad para identificar los métodos aplicables a su caso de uso. A modo de ejemplo, en esta página se analizan algunos de los métodos de anonimización de datos que usa Google, como la privacidad diferencial.

¿Cómo debería abordar el desarrollador la recopilación y el uso de las direcciones IP?

Al igual que ocurre con otros tipos de datos, el desarrollador debe divulgar la recopilación, el uso y el uso compartido de direcciones IP según sus prácticas y usos específicos. Por ejemplo, cuando los desarrolladores usan direcciones IP para determinar la ubicación, deben declarar ese tipo de datos (ubicación).

¿Cómo debe divulgar el desarrollador la recopilación y el uso compartido de otros tipos de identificadores?

Al igual que ocurre con otros tipos de datos, el desarrollador debe divulgar la recopilación, el uso y el uso compartido de los diferentes tipos de identificadores en función de sus usos y prácticas particulares. Por ejemplo, la recopilación de un nombre de cuenta asociado con una persona identificable se debe declarar como "Identificador personal", y la recopilación del ID de publicidad de Android de un usuario se debe declarar como "Dispositivo u otros identificadores". Como otro ejemplo, un identificador relacionado con un evento específico en la app, pero que no se relaciona razonablemente con un dispositivo, navegador o app individuales, no se debería divulgar como "Dispositivo u otros identificadores".

Como se indicó anteriormente, la recopilación de datos de forma seudónima debe divulgarse en la sección de seguridad de los datos del paquete de metadatos de la app con el tipo de datos relevante. Por ejemplo, si el desarrollador recopila información de diagnóstico con un identificador de dispositivo, debe divulgar la recopilación de "Diagnóstico" en la sección de seguridad de los datos.

¿Qué tipos de actividades pueden realizar los "proveedores de servicios"?

Un proveedor de servicios solo puede procesar datos del usuario en nombre del desarrollador. Por ejemplo, un proveedor de estadísticas que procesa datos del usuario de la app únicamente en nombre del desarrollador o un proveedor de servicios en la nube que aloja datos del usuario de la app para uso del desarrollador suelen calificarse como "proveedores de servicios". Por otro lado, si un proveedor de SDK crea perfiles publicitarios en varios clientes en función de los datos de la app, eso no se consideraría actividad de "proveedor de servicios" para los fines de la sección de seguridad de los datos y se debería divulgar como "uso compartido" en la sección de seguridad de los datos del paquete de metadatos de la app.

Una app usa un servicio de pago de terceros para habilitar transacciones financieras. ¿Es necesario que la app divulgue información financiera, como datos de la tarjeta de crédito, en su paquete de metadatos?

Depende de la naturaleza de la integración con el servicio de pago. Si la app usa un servicio de pago, como PayPal, Google Pay, el sistema de facturación de Google Play o servicios similares para completar transacciones de pago, el desarrollador no necesita declarar la recopilación de los datos que el servicio de pago recopila en relación con el procesamiento de transacciones financieras, como un número de tarjeta de crédito, si se cumplen todas las condiciones que se indican a continuación:

• La app nunca accede a esa información.

• El servicio de pago recopila la información directamente del usuario, y dicha actividad se rige por las condiciones de ese servicio.

El desarrollador debe revisar detenidamente la integración con el servicio de pago para asegurarse de que, en la sección de seguridad de los datos del paquete de metadatos de la app, se declaren todas las actividades de recopilación y uso compartido de datos pertinentes que no cumplan con estas condiciones. El desarrollador también debe tener en cuenta si la app recopila otra información financiera, como el historial de compras, y si recibe datos relevantes del servicio de pago (por ejemplo, con el fin de evitar riesgos y fraudes).

Una app permite que los usuarios suban sus datos directamente a Google Drive o Dropbox para almacenarlos o crear copias de seguridad. La app no accede a ninguno de estos datos. ¿Debería divulgar la actividad como "recopilación"?

Depende de la implementación en particular. Si el usuario elige subir sus datos directamente a su propia unidad externa o cuenta de almacenamiento en la nube (como Google Drive, Dropbox o servicios similares), y esta carga se rige por las Condiciones del Servicio y la Política de Privacidad del proveedor de la unidad externa o del almacenamiento en la nube, y la app nunca recopila los datos en cuestión ni accede a ellos, no es necesario que declares la recopilación de estos datos.

¿Cómo debería encriptar los datos en tránsito el desarrollador?

El desarrollador debe seguir los mejores estándares de la industria para encriptar los datos de la app en tránsito de forma segura. Entre los protocolos de encriptación comunes, se incluyen la seguridad de la capa de transporte (TLS) y el protocolo de transferencia de hipertexto seguro (HTTPS).

Una app permite que el usuario cree una cuenta o agregue información (como su fecha de nacimiento o género) a una cuenta existente. ¿Cómo debe declarar el desarrollador los datos que el usuario agrega a su cuenta?

El desarrollador debe declarar la recopilación de estos datos como parte de la administración de la cuenta, además de indicar (en caso de que corresponda) si esa actividad es opcional para el usuario.

Asimismo, al igual que con cualquier tipo de datos que recopila la app, el desarrollador debe divulgar los fines para los que se utiliza esa información. Por ejemplo, si la app permite que un usuario agregue una fecha de nacimiento a su cuenta y usa esos datos para enviar notificaciones push oportunas, también debe declarar este propósito además del de administración de la cuenta.

La administración de cuentas se puede usar para cubrir los usos generales de los datos de la cuenta que no son específicos de la app en particular. Por ejemplo, si el desarrollador usa la información de la cuenta para la prevención de fraudes, la publicidad, el marketing o las comunicaciones del desarrollador en los servicios, y este uso no es específico de la app o de las actividades en la app, declarar "administración de cuentas" como el propósito de recopilar estos datos de la cuenta es suficiente para cubrir esos usos generales en la sección de seguridad de los datos del paquete de metadatos de la app. Sin embargo, la app siempre debe declarar todos los propósitos para los que usa los datos. Como práctica recomendada, Google sugiere divulgar la forma en que la app maneja los datos del usuario para los servicios de cuenta como parte de la documentación a nivel de la cuenta y el proceso de registro de la cuenta.

¿Qué son los servicios del sistema?

Los servicios del sistema son software preinstalado que admite las funciones principales del sistema. Los servicios del sistema deben incluir paquetes transparency_info y system_app_safety_label (este último se proporciona en lugar de un paquete safety_labels). Los servicios del sistema que se distribuyen a través de Google Play pueden solicitar una exención para no completar el formulario de Seguridad de los datos de Google Play.

¿Cómo declara un desarrollador la recopilación de datos que se usan de manera transitoria para cargar páginas y responder a otras solicitudes del lado del cliente en tiempo real antes de que esa información se registre en los servidores del desarrollador y se use para otros fines?

Si este uso es efímero, el desarrollador no necesita incluirlo en la sección de seguridad de los datos del paquete de metadatos de la app. Sin embargo, el desarrollador debe declarar cualquier uso de esos datos del usuario que no se considere parte del procesamiento efímero, junto con los propósitos para los que utiliza los datos del usuario que registra.