Autorisations et API ayant accès aux informations sensibles

Les autorisations associées aux SMS et au journal d'appels sont considérées comme des données utilisateur personnelles et sensibles. À ce titre, elles sont soumises au règlement sur les Informations personnelles et sensibles, ainsi qu'aux restrictions suivantes : .

Autorisation restreinte	Exigence
Groupe d'autorisations associé au journal d'appels (par exemple, READ_CALL_LOG, WRITE_CALL_LOG et PROCESS_OUTGOING_CALLS)	L'application doit avoir été activement désignée comme gestionnaire par défaut du téléphone ou de l'Assistant sur l'appareil.
Groupe d'autorisations associé aux SMS (par exemple, READ_SMS, SEND_SMS, WRITE_SMS, RECEIVE_SMS, RECEIVE_WAP_PUSH et RECEIVE_MMS)	L'application doit avoir été activement désignée comme gestionnaire par défaut des SMS ou de l'Assistant sur l'appareil.

 

Les applications qui ne disposent pas de la fonctionnalité de gestionnaire par défaut des SMS, du téléphone ou de l'Assistant ne peuvent pas déclarer l'utilisation des autorisations ci-dessus dans le fichier manifeste. (Cela inclut le texte d'espace réservé dans le fichier manifeste.) Pour inviter l'utilisateur à accepter l'une des autorisations ci-dessus, les applications doivent en outre avoir été activement désignées comme gestionnaires par défaut des SMS, du téléphone ou de l'Assistant. Dès lors qu'elles n'en sont plus les gestionnaires par défaut, elles doivent immédiatement cesser d'utiliser l'autorisation. Les utilisations et exceptions autorisées sont répertoriées sur cette page du Centre d'aide.

Les applications ne peuvent utiliser l'autorisation (et toutes les données qui en découlent) que pour assurer le fonctionnement de base approuvé. Le "fonctionnement de base" correspond à la finalité principale de l'application. Il peut être assuré par un ensemble de fonctionnalités de base, qui doivent toutes être documentées et mises en avant de façon visible dans la description de l'application. Sans ces fonctionnalités, l'application est défectueuse ou inutilisable. Le transfert, le partage ou l'utilisation sous licence de ces données ne doivent servir qu'à fournir les fonctionnalités ou services de base de l'application. L'utilisation desdites données ne peut être étendue à d'autres fins (que ce soit, par exemple, pour améliorer d'autres applications ou services, ou à des fins publicitaires ou de marketing). Vous ne pouvez pas utiliser d'autres méthodes (y compris d'autres autorisations, API ou sources tierces) pour récupérer des données attribuées aux autorisations associées au journal d'appels ou aux SMS.

La position de l'appareil est considérée comme une donnée utilisateur sensible et personnelle soumise au règlement sur les informations personnelles et sensibles, au règlement sur la localisation en arrière-plan, ainsi qu'aux exigences suivantes :

• Les applications ne peuvent pas accéder aux données protégées par des autorisations d'accéder à la position (par exemple, ACCESS_FINE_LOCATION, ACCESS_COARSE_LOCATION et ACCESS_BACKGROUND_LOCATION) une fois que celles-ci ne sont plus requises pour mettre en œuvre les fonctionnalités ou services actuellement proposés dans votre appli.
• Vous ne devez en aucun cas demander à l'utilisateur l'autorisation d'accéder à sa position dans un but exclusivement publicitaire ou d'analyse. Toute application qui utilise également l'accès autorisé à ces données à des fins publicitaires doit respecter nos Règles relatives aux annonces.
• Les applications ne doivent demander que le niveau d'accès le plus bas nécessaire (c'est-à-dire un accès à la position approximative plutôt que précise, et au premier plan plutôt qu'en arrière-plan) pour fournir la fonctionnalité ou le service requérant la position. Les utilisateurs doivent raisonnablement s'attendre à ce que la fonctionnalité ou le service en question ait besoin de la position demandée. Par exemple, nous pouvons refuser les applications qui demandent la localisation ou y accèdent en arrière-plan sans justification convaincante.
• L'accès aux données de localisation en arrière-plan ne peut être utilisé que pour fournir des fonctionnalités utiles liées au fonctionnement de base de l'application.

Les applications sont autorisées à accéder à la position en recourant à un service de premier plan (lorsque l'application ne dispose que d'un accès au premier plan, de type "si l'application est ouverte") si l'utilisation :

• a commencé par une action déclenchée par l'utilisateur dans l'application ; et
• prend fin dès que l'utilisation prévue par cette action est terminée.

Les applications spécialement conçues pour les enfants doivent respecter le règlement du programme Pour la famille.

Pour en savoir plus sur les exigences du règlement, consultez cet article d'aide.

Les fichiers et les attributs de répertoire sur l'appareil d'un utilisateur sont considérés comme des données personnelles et sensibles soumises au règlement sur les informations personnelles et sensibles et aux exigences suivantes :

• Les applications ne doivent demander l'accès à l'espace de stockage de l'appareil que pour le bon fonctionnement de l'application. Elles ne peuvent pas demander un tel accès au nom d'un tiers sans nécessité liée aux fonctionnalités critiques de l'application présentées aux utilisateurs.
• Les appareils Android exécutant la version R ou ultérieure nécessitent l'autorisation MANAGE_EXTERNAL_STORAGE pour gérer l'accès à l'espace de stockage partagé. Toutes les applications destinées à la version R et qui demandent un accès étendu à l'espace de stockage partagé ("Accès à tous les fichiers") doivent avoir été approuvées avant d'être publiées. Les applications ainsi validées doivent clairement inviter les utilisateurs à activer l'option "Accès à tous les fichiers" pour leur application dans les paramètres "Accès spécifiques des applications". Pour plus d'informations sur les exigences de la version R, consultez cet article d'aide.

L'inventaire des applications installées sur un appareil qui peuvent faire l'objet d'une requête est considéré comme une donnée personnelle et sensible soumise au règlement sur les Informations personnelles et sensibles, et aux exigences suivantes :

Les applications ayant pour finalité principale le lancement ou la recherche d'autres applications sur l'appareil, ou l'interaction avec celles-ci peuvent, selon leurs besoins, obtenir l'une des visibilités suivantes sur d'autres applications installées sur l'appareil :

• Visibilité étendue sur les applications : une application avec une "visibilité étendue" bénéficie d'une visibilité large (ou étendue) sur les applications installées ("packages") sur un appareil.
  • Pour les applications ciblant le niveau d'API 30 ou version ultérieure, la visibilité étendue sur les applications installées via l'autorisation QUERY_ALL_PACKAGES est limitée à des cas d'utilisation spécifiques où, pour fonctionner, l'application doit être capable de détecter et/ou d'interagir avec toutes les applications présentes sur l'appareil. 
    • Vous ne pouvez pas utiliser l'autorisation QUERY_ALL_PACKAGES si votre application peut fonctionner avec une déclaration de visibilité de packages plus restreinte (par exemple, effectuer des requêtes ciblant des packages spécifiques et interagir avec eux plutôt que de demander une visibilité étendue).
  • L'utilisation d'autres méthodes pour approcher la visibilité étendue offerte par l'autorisation QUERY_ALL_PACKAGES est également limitée aux fonctionnalités de base de l'application destinées aux utilisateurs et à l'interopérabilité avec toute application découverte par ces méthodes.
  • Pour en savoir plus sur les cas d'utilisation acceptés par l'autorisation QUERY_ALL_PACKAGES, veuillez consulter cet article du Centre d'aide.
• Visibilité limitée sur les applications : on parle de "visibilité limitée" lorsqu'une application restreint son accès aux données en effectuant des requêtes destinées à des applications spécifiques à l'aide de méthodes plus ciblées (et non "étendues"), par exemple en effectuant des requêtes destinées à des applications spécifiques qui respectent la déclaration du fichier manifeste de votre application. Si votre application bénéficie de capacités d'interopérabilité et de gestion conformes aux règles pour ces applications, vous pouvez utiliser cette méthode pour effectuer des requêtes ciblant des applications.
• La visibilité sur l'inventaire des applications installées sur un appareil doit être directement liée à la finalité principale de votre application ou aux fonctionnalités de base auxquelles les utilisateurs accèdent via celle-ci.

Les données d'inventaire d'applications interrogées depuis des applications distribuées sur Play ne doivent en aucun cas être vendues ni partagées à des fins d'analyse ou de monétisation des annonces.

L'API Accessibility ne peut pas être utilisée pour :

• modifier les paramètres des utilisateurs sans leur autorisation ni les empêcher de désactiver ou désinstaller une application ou un service, sauf autorisation d'un parent ou d'un représentant légal accordée par le biais d'une application de contrôle parental, ou d'administrateurs habilités via un logiciel de gestion d'entreprise ;
• contourner les notifications et les paramètres de confidentialité intégrés à Android ;
• modifier ou exploiter l'interface utilisateur de manière trompeuse ou contraire au règlement du programme Google Play pour les développeurs.

L'API Accessibility n'est pas conçue pour enregistrer des appels audio à distance et ne peut pas être appelée pour faire cela.

L'utilisation de l'API Accessibility doit être documentée sur la fiche Google Play.

Consignes pour IsAccessibilityTool

Les applications dont la finalité principale est d'aider directement les personnes ayant un handicap peuvent utiliser IsAccessibilityTool pour se déclarer publiquement comme application d'accessibilité.

Les applications non éligibles à IsAccessibilityTool ne sont pas autorisées à utiliser l'indicateur et doivent être conformes aux exigences sur la visibilité des communiqués et l'autorisation, comme indiqué dans les Règles sur les données utilisateur, leur fonctionnalité d'accessibilité n'étant pas évidente pour l'utilisateur. Pour en savoir plus, consultez l'article du centre d'aide sur l'API AccessibilityService.

Dans la mesure du possible, les applications doivent privilégier des API et autorisations au champ d'application plus ciblé au lieu de l'API Accessibility pour obtenir la fonctionnalité souhaitée.

L'autorisation REQUEST_INSTALL_PACKAGES permet à une application de demander l'installation de packages d'applications.​​ Pour l'utiliser, la fonctionnalité de base de votre application doit :

• permettre d'envoyer et de recevoir des packages d'applications ; et
• donner la possibilité à l'utilisateur d'installer des packages d'applications.

Fonctionnalités autorisées :

• Navigation ou recherche sur le Web
• Services de communication acceptant les pièces jointes
• Partage, transfert ou gestion de fichiers
• Gestion d'appareils d'entreprise
• Sauvegarde et restauration
• Migration d'appareils/Transfert de numéros de téléphone
• Application associée pour synchroniser le téléphone avec un appareil connecté ou IoT (une montre connectée ou une smart TV, par exemple)

La fonctionnalité de base désigne la finalité principale de l'application. Celle-ci, ainsi que les fonctionnalités essentielles qui la composent, doit être documentée et mise en avant de façon visible dans la description de l'application.

L'autorisation REQUEST_INSTALL_PACKAGES ne peut pas être utilisée pour réaliser des mises à jour automatiques, des modifications ou le regroupement d'autres APK dans le fichier d'assets, sauf à des fins de gestion d'appareils. Les mises à jour et l'installation de packages doivent respecter le Règlement de Google Play sur l'utilisation abusive des appareils et des réseaux, et doivent être lancées et contrôlées par l'utilisateur.

Santé Connect peut uniquement être utilisée conformément aux règles et conditions d'utilisation applicables, et pour les cas d'utilisation approuvés définis dans le présent règlement. Cela signifie que vous ne pouvez demander l'accès à ces autorisations que lorsque votre application ou service répond à l'un des cas d'utilisation approuvés.

Les cas d'utilisation approuvés incluent le fitness et le bien-être, les récompenses, le coaching sportif, le bien-être au travail, les soins médicaux, la recherche médicale et les jeux.

Seuls les services ou applications dotés d'une ou de plusieurs fonctionnalités destinées à être bénéfiques à la santé et à la forme physique des utilisateurs peuvent demander l'accès aux autorisations de Santé Connect. En voici quelques exemples :

• Applications ou services permettant aux utilisateurs de directement consigner dans un journal ou un rapport, suivre et/ou analyser leur activité physique, leur sommeil, leur bien-être mental, leur alimentation, les mesures d'évaluation de leur santé, leurs descriptions physiques et/ou d'autres descriptions et mesures liées à la santé ou à la forme physique
• Applications ou services permettant aux utilisateurs de stocker leur activité physique, leur sommeil, leur bien-être mental, leur alimentation, les mesures d'évaluation de leur santé, leurs descriptions physiques et/ou d'autres descriptions et mesures liées à la santé ou à la forme physique sur leur appareil

L'accès à Santé Connect ne peut être utilisé d'une manière allant à l'encontre du présent règlement ou d'autres conditions d'utilisation applicables de Santé Connect, y compris aux fins suivantes :

• N'utilisez pas Santé Connect pour développer des applications ni en vue de l'intégrer à des applications, des environnements ou des activités où l'utilisation ou un dysfonctionnement de Santé Connect pourrait raisonnablement entraîner la mort, des blessures corporelles ou des dommages environnementaux ou matériels (tels que la construction ou l'exploitation d'installations nucléaires, le contrôle du trafic aérien, les systèmes de survie ou l'armement).
• N'accédez pas aux données obtenues par le biais de Santé Connect à l'aide d'applications headless (ou "applications sans tête"). Les applications doivent être représentées par une icône clairement identifiable dans la barre des applications, les paramètres des applications de l'appareil, les icônes de notification, etc.
• N'utilisez pas Santé Connect avec des applications qui synchronisent les données entre des appareils ou des plates-formes non compatibles.
• N'utilisez pas Santé Connect pour se connecter à des applications, services ou fonctionnalités ciblant uniquement des enfants.
• Prenez des mesures raisonnables et appropriées pour protéger l'ensemble des applications ou systèmes qui recourent à Santé Connect contre un accès, une utilisation, une destruction, une perte, une altération ou une divulgation non autorisés ou illégaux.

Il vous incombe également de veiller au respect de toutes les exigences réglementaires ou obligations légales qui peuvent s'appliquer en fonction de l'utilisation que vous comptez faire de Santé Connect et des données qui y en sont issues. Sauf mention explicite dans l'étiquetage ou les informations fournies par Google pour des produits ou services Google spécifiques, Google ne garantit pas l'exactitude des données contenues dans Santé Connect et ne se porte pas garant de leur utilisation à quelque fin que ce soit, et en particulier à des fins de recherche, de santé ou médicales. Google décline toute responsabilité liée à l'utilisation des données obtenues par l'intermédiaire de Santé Connect.

Lors de l'utilisation de Santé Connect, l'accès aux données et leur utilisation doivent respecter des restrictions spécifiques :

• Les données ne doivent être utilisées que pour fournir ou améliorer le cas d'utilisation approprié ou des fonctionnalités visibles dans l'interface utilisateur de l'application.
• Les données utilisateur ne peuvent être transférées à des tiers qu'avec le consentement explicite de l'utilisateur, et uniquement à des fins de sécurité (par exemple, pour examiner un abus), pour respecter les lois ou règlements applicables, ou en cas de fusions/acquisitions.
• Sauf si l'utilisateur a fourni son consentement explicite, l'accès aux données utilisateur par une personne n'est autorisé qu'à des fins de sécurité, pour respecter la loi ou si les données sont agrégées pour des opérations internes, conformément aux obligations légales.
• Tout autre transfert ainsi que toute autre utilisation ou vente des données de Santé Connect sont interdits, y compris:
  • le transfert ou la vente des données utilisateur à des tiers tels que des plates-formes publicitaires, des courtiers en données ou tout autre revendeur d'informations ;
  • le transfert, la vente ou l'exploitation des données utilisateur pour diffuser des publicités, y compris des publicités personnalisées ou basées sur les centres d'intérêt ;
  • le transfert, la vente ou l'exploitation des données utilisateur pour déterminer la solvabilité ou à des fins de prêt ;
  • le transfert, la vente ou l'exploitation des données utilisateur avec tout produit ou service pouvant être considéré comme un dispositif médical, sauf si l'application du dispositif médical respecte tous les règlements applicables, y compris l'obtention des autorisations ou approbations d'organismes de réglementation applicables (tels que la FDA américaine) pour l'utilisation prévue des données Santé Connect, et si l'utilisateur a donné son consentement explicite pour une telle utilisation.
  • le transfert, la vente ou l'exploitation des données utilisateur à quelque fin ou de quelque manière que ce soit impliquant des données de santé protégées (telles que définies par la loi fédérale américaine HIPAA), à moins que vous n'ayez reçu l'approbation écrite préalable de Google pour une telle utilisation.

Vous ne devez demander accès qu'aux autorisations nécessaires à l'implémentation des fonctionnalités ou services de votre produit. Ces demandes d'accès doivent être spécifiques et limitées aux données nécessaires.

Santé Connect gère des données de santé et remise en forme, y compris des informations sensibles, et exige que toutes les applications disposent de règles de confidentialité complètes. Celles-ci doivent divulguer en toute transparence comment l'application collecte, utilise et partage les données utilisateur. En sus de leurs obligations légales, les développeurs doivent inclure les informations suivantes dans leurs règles de confidentialité :

• Identité de l'application représentée de manière précise, en spécifiant les données auxquelles elle accède et leur lien avec les fonctionnalités ou recommandations très visibles de l'application
• Pratiques de conservation et de suppression des données
• Procédures de traitement des données (par exemple, transmission à l'aide d'une technologie de cryptographie récente telle que le protocole HTTPS)

Pour plus d'informations sur les exigences applicables aux applications se connectant à Santé Connect, veuillez consulter cet article du Centre d'aide.

VpnService est une classe de base pour les applications qui étendent ou développent leurs propres solutions de VPN. Seules les applications qui utilisent la classe VpnService et ont pour fonctionnalité de base celle de VPN peuvent créer un tunnel vers un serveur distant sécurisé au niveau de l'appareil. Les applications qui nécessitent un serveur distant pour exécuter une fonctionnalité de base font figure d'exceptions. Exemples:

• Applications de contrôle parental ou de gestion d'entreprise
• Suivi de l'utilisation d'une application
• Applications de sécurisation d'appareils (antivirus, gestion des appareils mobiles, pare-feu, etc.)
• Outils de réseau (accès à distance, etc.)
• Applications de navigation Web
• Applications d'opérateurs nécessitant d'utiliser un VPN pour accéder aux services de téléphonie ou de connectivité

La classe VpnService n'autorise pas les utilisations suivantes:

• Collecte de données sensibles ou à caractère personnel sans communiqué visible ni demande de consentement
• Redirection ou manipulation du trafic d'utilisateurs d'autres applications sur un appareil à des fins de monétisation (redirection du trafic publicitaire via un pays autre que celui de l'utilisateur, etc.)

Les applications qui utilisent la classe VpnService doivent:

• documenter leur utilisation de VpnService sur leur fiche GooglePlay
• chiffrer les données entre l'appareil et le point d'arrivée du tunnel VPN
• respecter dans son intégralité le Règlement du programme pour les développeurs, y compris les règles sur la fraude publicitaire, les autorisations et les logiciels malveillants.

La nouvelle autorisation "USE_EXACT_ALARM" sera introduite avec Android 13 (niveau d'API cible 33). Cette autorisation permet d'accéder à la fonctionnalité d'alarme exacte.

USE_EXACT_ALARM est une autorisation restreinte. Seules les applications dont une fonctionnalité de base justifie le besoin d'une alarme exacte peuvent déclarer cette autorisation. Les applications qui sollicitent cette autorisation restreinte sont soumises à un examen. Celles qui ne satisfont pas aux critères d'utilisation autorisée ne pourront pas être publiées sur Google Play.

Cas d'utilisation autorisée pour l'autorisation "Alarme exacte"

Votre application ne doit utiliser "USE_EXACT_ALARM" que si l'une de ses fonctionnalités de base (orientée utilisateur) implique l'exécution d'actions à une date et une heure précises. Exemples :

• L'application sert d'alarme, de réveil ou de minuteur.
• L'application sert d'agenda et affiche des notifications d'événement.

Si votre cas d'utilisation de l'alarme exacte ne figure pas dans la liste ci-dessus, vous devez évaluer si le recours à SCHEDULE_EXACT_ALARM peut être une solution alternative.

Pour en savoir plus sur la fonctionnalité d'alarme exacte, lisez ces conseils pour les développeurs.

Pour les applications ciblant Android 14 (niveau d'API 34) ou version ultérieure, l'autorisation USE_FULL_SCREEN_INTENT est une autorisation d'accès spéciale pour les applications. Les applications ne se verront accorder automatiquement l'autorisation USE_FULL_SCREEN_INTENT que si leur fonctionnalité principale relève de l'une des catégories ci-dessous nécessitant des notifications à priorité très élevée :

• Régler une alarme
• Recevoir des appels téléphoniques ou vidéo

Les applications qui sollicitent cette autorisation sont soumises à un examen. Celles qui ne satisfont pas aux critères ne bénéficieront pas automatiquement de cette autorisation. Dans ce cas, elles devront demander à l'utilisateur de leur accorder l'accès à l'autorisation USE_FULL_SCREEN_INTENT.

Pour rappel, toute utilisation de l'autorisation USE_FULL_SCREEN_INTENT doit respecter le Règlement du programme Google Play pour les développeurs, y compris nos règlements sur les logiciels mobiles indésirables et sur l'utilisation abusive des appareils et des réseaux, ainsi que nos Règles relatives aux annonces. Les notifications avec intent plein écran ne doivent pas perturber, endommager ni affecter l'appareil de l'utilisateur, ni y accéder sans autorisation. En outre, les applications ne doivent pas interférer avec d'autres applications ni avec l'usabilité de l'appareil.

Pour en savoir plus sur l'autorisation USE_FULL_SCREEN_INTENT, consultez le Centre d'aide.