Оценивайте прозрачность данных приложения-компаньона на всем пути их обработки
Приложение-компаньон является прозрачным только тогда, когда человек может понять весь путь движения данных до принятия осознанного решения. Списка разрешений или фразы «мы ценим конфиденциальность» недостаточно. Приложение должно четко указывать, что именно оно получает, отслеживает, создает или логически выводит; связывать каждый элемент данных с конкретной целью; перечислять категории получателей; объяснять правила хранения и удаления; разграничивать обработку на устройстве и на сервере; а также показывать, когда начинается новое использование данных. Эти разъяснения должны присутствовать на странице приложения в магазине, в политике конфиденциальности, на соответствующем экране, в настройках и в уведомлениях об изменениях — в те самые моменты, когда каждый уровень информации становится актуальным.
Начните с четырех источников, а не с одного размытого списка сбора данных
Постройте первую строку аудита вокруг источника данных. Данные могут предоставляться намеренно, например: адрес электронной почты, псевдоним, сообщение, голосовая запись, изображение или предпочтение. Они могут фиксироваться в процессе использования: нажатия на экран, продолжительность сессий, идентификаторы устройств, отчеты о сбоях или примерное местоположение, определенное по сетевому адресу. Сервис может генерировать производные записи, такие как сводки, метки, рекомендации, сигналы модерации или сохраненные предпочтения. Наконец, внешняя служба может передавать информацию об учетной записи, платежах, аналитике или авторизации. Прозрачное уведомление разделяет эти источники и объясняет, какие поля являются обязательными, дополнительными или активируются только при выборе определенной функции. Если под «данными об использовании» скрываются все фиксируемые и производные записи, границы сбора данных остаются неясными.
Сопоставляйте каждый элемент данных с конкретной целью и местом обработки
Полезное раскрытие информации отвечает на вопрос «зачем нужны эти данные?» более точно, чем формулировкой «для улучшения работы сервисов». Аутентификация учетной записи, сохранение переписки, персонализация ответов персонажа, предотвращение злоупотреблений, исправление сбоев, оценка эффективности функций и маркетинг — это совершенно разные цели. Пользователи также должны иметь возможность понять, остается ли контент на устройстве, передается ли на серверы оператора или отправляется для обработки стороннему поставщику. Руководство Apple по сведениям о конфиденциальности разграничивает данные, используемые для функционирования приложения, аналитики, рекламы и других целей, и рассматривает код сторонних партнеров как часть задачи приложения по раскрытию информации. Таким образом, качественное уведомление сопоставляет тип данных с целью, местом обработки и обязательным статусом, а не ограничивается одним общим абзацем.
Объясняйте категории получателей и использование данных для моделей без эвфемизмов
Формулировка «надежные партнеры» не дает пользователю достаточного понимания маршрута данных. Приложение должно описывать категории получателей и их роли: облачный хостинг, аутентификация, платежи, аналитика, служба поддержки, модерация контента или сторонний поставщик моделей. Следует различать обработчика, действующего в интересах приложения, и сторону, использующую информацию в собственных целях, не вынуждая пользователя самостоятельно догадываться о технических или договорных отношениях. Для диалоговых продуктов в уведомлении должно быть отдельно указано, могут ли пользовательский контент, отзывы, производные метки или обезличенные записи использоваться для оценки или улучшения моделей, является ли такое использование опциональным и где находится элемент управления. Если сотрудники или подрядчики могут просматривать контент в целях поддержки или обеспечения безопасности, эти условия и границы доступа должны быть сформулированы предельно ясно.
Сделайте сроки хранения четким графиком, который можно проверить
Прозрачность в отношении хранения требует большего, чем формулировка «столько, сколько необходимо». Пользователь должен иметь возможность найти точный срок или правило принятия решений для данных учетной записи, активных бесед, удаленных бесед, резервных копий, журналов безопасности, обращений в службу поддержки, а также обезличенных или агрегированных записей. Для этих категорий могут действовать разные таймеры. В уведомлении также должно быть пояснено, что именно означает удаление: скрытие контента из учетной записи, постановку его в очередь на удаление, удаление активных копий, автоматическое стирание из резервных копий по истечении срока или сохранение ограниченного набора записей по указанной причине. Практический способ проверки — составить таблицу из пяти столбцов: данные, текущее место хранения, получатель, действие по удалению, правило окончательного удаления. Любая пустая ячейка — это вопрос, требующий решения до того, как вы добавите материалы, которые не хотели бы хранить бессрочно.
Размещайте уведомления и элементы управления рядом с местом принятия решения
Одна длинная политика не может решить все задачи прозрачности. ICO рекомендует предоставлять понятную информацию простым языком и использовать многоуровневый подход; FTC также предостерегает от сокрытия важных условий в глубине текста. Перед загрузкой общие категории можно показать на панели в магазине приложений. При регистрации краткого пояснения требуют обязательные поля. Перед запросом доступа к микрофону, камере, контактам или местоположению своевременное контекстное уведомление должно указывать функцию и цель. На экранах переписки и профиля должны отображаться границы видимости данных. В настройках должны быть представлены история, выбор параметров обучения или персонализации (если они предусмотрены), экспорт, удаление и статус разрешений. Полная политика остается основным справочным документом, однако именно такие короткие подсказки позволяют человеку принять меры, пока решение еще обратимо. Ссылка с простым текстом «подробнее» малоэффективна, если последствия не очевидны заранее.
Требуйте согласованности и понятной фиксации изменений
Прозрачность — это постоянное свойство, а не разовая демонстрация в день регистрации. Сопоставляйте декларацию в магазине приложений, уведомление о конфиденциальности, условия использования, запросы разрешений, настройки и фактическое поведение функций. Любое расхождение имеет значение, даже если каждое утверждение по отдельности звучит убедительно. Фиксируйте дату политики, раздел с описанием используемой функции и подтвержденные вами элементы управления. При изменении практик полезное уведомление четко определяет затронутые данные, старую и новую цели, дату вступления в силу и доступные варианты выбора до применения изменений; негласная замена страницы лишает пользователей возможности оценить разницу. Размытые пункты, допускающие любое использование в будущем, следует воспринимать как неопределенность, а не как согласие, которое вы дали с полным пониманием сути. Проверяйте условия заново после крупных обновлений или при появлении новых функций голосового ввода, памяти, сообщества или рекламы.
Используйте тест на прозрачность из шести вопросов
В завершение ответьте на шесть вопросов: Какие именно данные поступают в систему? Что на их основе логически выводится или генерируется? Зачем используется каждая категория? Какие организации или роли могут их получать? Как долго хранится каждая копия и что означает удаление? Где вы можете отказаться от такого использования, изменить его, экспортировать данные или прекратить их обработку? Отметьте каждый ответ как подтвержденный, условный или неизвестный и укажите, где именно вы нашли эту информацию. Этот трехэтапный метод является практической основой статьи: он не позволяет принять гладкие формулировки за доказательства. Приложению не требуется публиковать исходный код или коммерческие тайны безопасности, чтобы быть понятным, но оно должно раскрывать достаточно сведений, чтобы разумный человек мог спрогнозировать существенные последствия использования обычной функции. Если несколько обязательных строк остаются неизвестными, выберите сценарий с меньшим раскрытием данных или отложите использование функции.
Частые вопросы
Означает ли длинная политика конфиденциальности, что приложение прозрачно?
Нет. Объем текста не заменяет четкие категории данных, цели, списки получателей, правила хранения, элементы управления и своевременные уведомления.
Должно ли приложение указывать каждого стороннего поставщика поименно?
Политика должна как минимум делать понятными категории и роли получателей; поименные списки могут служить полезным уточнением при условии их регулярного обновления.
Означает ли обработка на устройстве полное отсутствие сбора данных?
Не обязательно. Проверьте, передается ли что-либо за пределы устройства, синхронизируются ли производные записи и как обрабатываются резервные копии или диагностические данные.