대부분의 모바일 앱에는 어떤 크래시 리포터(crash reporter)도 잡아내지 못하는 버그가 있습니다. 그것은 바로 초기화 시퀀스(initialisation sequence)에 존재합니다.

문제점

대부분의 서드파티 SDK는 앱 실행 시, Android의 Application.onCreate() 또는 iOS의 didFinishLaunchingWithOptions 내부에서 초기화됩니다. 분석(Analytics) 및 광고 SDK는 일반적으로 초기화되자마자 기기 식별자(device identifiers)와 세션 데이터(session data)를 수집하기 시작합니다.

이는 데이터 수집이 사용자의 동의 화면이 렌더링되기도 전에 시작되는 경우가 많음을 의미합니다. GDPR(유럽 일반 데이터 보호 규칙) 하에서 법적 근거 없이 EU 사용자의 개인 데이터를 처리하는 것은 위반 사항이며, 광고 및 분석 SDK의 경우 그 법적 근거는 옵트인 동의(opt-in consent)입니다. 즉, 작업의 순서가 컴플라이언스(compliance, 규정 준수) 이슈가 됩니다.

해결 방법

앱 실행과 SDK 활성화 사이에 동의 레이어(consent layer)가 위치하도록 시작 시퀀스를 재구성하십시오:

1. 데이터 수집 SDK가 초기화되지 않은 상태로 앱이 실행됩니다.
2. 동의 인터페이스(consent interface)가 로드되어 사용자의 선택을 캡처합니다.
3. 타임스탬프가 찍힌 동의 기록이 저장됩니다.
4. 각 SDK는 해당 동의 카테고리가 수락된 경우에만 초기화됩니다.
5. 저장된 기본 설정(preference)은 향후 모든 세션에서 존중됩니다.

철회(Withdrawal) 또한 중요합니다. 사용자가 동의를 철회하면 영향을 받는 SDK는 데이터 수집을 중단해야 하므로, 게이팅 로직(gating logic)은 런타임 변경 사항을 처리할 수 있어야 하며 동의 상태는 세션 간에 지속되어야 합니다.

의존성 무덤(dependency graveyard)을 잊지 마세요

과거의 실험이나 캠페인 중에 추가된 SDK가 있는지 Podfile, build.gradle 또는 Package.swift를 확인하십시오. 개인정보 보호정책(privacy policy) 및 동의 카테고리에 포함되지 않은 채 바이너리(binary)에 여전히 포함되어 배포되는 모든 것은 책임 소재(liability)가 됩니다. 당신이 잊어버린 SDK는 여전히 데이터를 수집하고 있습니다.

비즈니스 측면

Apple의 App Tracking Transparency(앱 추적 투명성)는 IDFA 접근 전 사용자의 허가를 요구하며, Google Play는 앱 내 SDK에 의해 수집되는 데이터의 공개를 요구합니다. 동의 순서를 잘못 설정하면 규제 노출뿐만 아니라 스토어 심사 문제의 위험도 따릅니다.

SDK 실사 (due diligence) 질문과 감사 (audit) 단계를 포함한 전체적인 그림을 확인하려면, 이 모바일 애플리케이션 SDK 개인정보 보호 가이드에서 전체 워크플로우를 다룹니다.

메타 설명 (Meta description, 150자):
대부분의 SDK는 동의 화면이 나타나기 전에 초기화됩니다. 모든 SDK가 동의 후에만 활성화되도록 앱 시작 시퀀스 (start-up sequence)를 재구성하는 방법을 알아보세요.