App Store / Google Playの審査でリジェクトされないプライバシーポリシーのポイント｜行政書士解説

🚨 ストア審査で指摘されやすい「5大リジェクト要因」と対策

1. アカウント削除（データ消去）手順の明記【必須】

現在、Apple・Googleともに「アプリ内でアカウント作成ができる場合、ユーザーがアプリ内または指定のWebページからアカウント削除およびデータ削除を申請できること」を規約で義務付けています。プライバシーポリシー内にも「アカウント削除に伴う個人データの処理・消去方針」を明確に記載していなければリジェクト対象となります。

2. 「トラッキング（ATT）」と「広告識別子（IDFA/AAID）」の整合性

Appleの「App Tracking Transparency (ATT)」やGoogleの「広告ID」を利用してターゲティング広告や効果測定を行う場合、アプリ側で許可ダイアログを出すだけでなく、プライバシーポリシー上に「広告識別子の取得目的・サードパーティへの提供・オプトアウト（停止）方法」を明記する必要があります。アプリの挙動（SDK）とポリシー記載が一致していないと即座に却下されます。

3. 子供向けアプリ（Kids Category）・未成年者のデータ保護

13歳未満（国によっては16歳未満）を対象とするアプリ、または子供が利用する可能性のあるアプリの場合、米国の「COPPA」や各ストアのファミリーポリシーが適用されます。サードパーティSDKによる行動ターゲティング広告の配信や不要な個人情報の収集を禁止し、保護者の同意手続き等をポリシー内に設ける必要があります。

4. アプリ内リンクおよびApp Store Connect / Play Console登録URLの一致

ストア申請時に登録するプライバシーポリシーURLは、「誰でもログイン不要でアクセスできるWebページ」でなければなりません。また、アプリの「設定画面」等から直接リンクで遷移できるようにアプリ内導線を整備しておく必要があります。リンク切れやリダイレクトエラーは厳しくチェックされます。

5. App Privacy（App Store）/ データセーフティ（Google Play）入力との一致

ストア管理画面で登録する「どのようなデータを収集・共有しているか」という回答項目（App Privacy / データセーフティセクション）の内容と、提出したプライバシーポリシー本文の記述に矛盾があると審査で弾かれます。

① 事業者情報（運営者表記）の正確な開示

誰がデータを管理しているのか（法人名・代表者氏名・所在地、個人開発者の場合は屋号や問い合わせ先）を明示します。

⚠️ ストア審査の注意点： App Store ConnectやGoogle Play Consoleに登録した「デベロッパー名（開発者名）」と、ポリシー内の事業者名が著しく異なると、「不誠実なアプリ」と判定されてリジェクトされるリスクがあります。

② 取得する情報の項目（技術的データを含む）

氏名やメールアドレス等の直接入力情報だけでなく、アプリ動作時にバックグラウンドで取得される以下のデータも漏れなく網羅・具体化して記載する必要があります。

⚠️ ストア審査の注意点： 組み込みSDK（Firebase、AdMob、AppsFlyer等）が自動収集しているデータ項目を記載し忘れるケースが非常に多いです。「自社サーバーに保存していないから」といって記載を抜かすと審査で弾かれます。

③ 個人情報の利用目的の特定

「サービス提供のため」という抽象的な表現のみでは不十分です。「アカウント認証」「インサイト分析」「ターゲティング広告の最適化」「不正利用の防止」など、用途を明確に分けます。

④ アカウント削除・データ消去の手続き【ストア審査最重要要件】

Apple Guideline 5.1.1(v) および Google Play Policy により、会員登録機能があるすべてのアプリに義務付けられている最重要規定です。

⑤ 広告識別子（IDFA / AAID）・トラッキングに関する規定

ターゲティング広告やアフィリエイト計測、トラッキングを行うアプリでは、トラッキングの有無およびユーザー自身が端末設定でオプトアウト（停止）する具体的な方法や手順（iOSの「追跡型広告制限」、Androidの「広告IDの消去」等）を記載する必要があります。

⑥ 未成年者（子ども）のプライバシー保護に関する特記事項

アプリが13歳未満（あるいは16歳未満）のユーザーを対象に含める場合、保護者同意の取得プロセスや、不要な識別子・位置データを収集しない旨をポリシーに明記します。Google Playの「ファミリーポリシー」遵守時にも不可欠な規定です。

🌐 英文プライバシーポリシー（Privacy Policy）作成時の重要ポイント

① 地域別法規制（GDPR / CCPA等）への対応

EU圏の居住者を対象とする場合は「GDPR（一般データ保護規則）」に基づき、データの処理根拠（Legal Basis）やデータポータビリティ権、事前同意（Cookie Opt-in）などの記載が必須となります。また、米国カリフォルニア州向けには「CCPA/CPRA」に基づく個人情報の販売拒否（Do Not Sell My Personal Information）の権利表記が必要です。

② 用語の正確性と法的ニュアンス

日本の「個人情報」に対応する英語は法域により異なります（Personal Information, Personal Data, PIIなど）。機械翻訳に頼るとmay/shallの使い分けや法的概念の不整合が生じ、ストア審査でリジェクトされる原因にもなります。

③ 正本（優先言語）規定および準拠法・管轄

「日本語版と英語版の間に解釈の相違が生じた場合は、日本語版を優先する（Prevailing Language Clause）」という条項に入れておくことで、翻訳上のニュアンスの違いによる海外での訴訟リスクを防止します。