Rorkで作ったアプリの審査が、プライバシーマニフェスト不備で止まらないようにする

app.config.tsにマニフェストを書く

Expo では、ネイティブの PrivacyInfo.xcprivacy を直接編集するのではなく、app.config.ts（または app.json）の iOS 設定に宣言を書くのが本筋です。こうしておくと、Rork のプロジェクトを再ビルドするたびにマニフェストが自動で同梱され、手作業の貼り直しが要りません。

// app.config.ts
export default {
  expo: {
    ios: {
      privacyManifests: {
        NSPrivacyAccessedAPITypes: [
          {
            NSPrivacyAccessedAPIType: "NSPrivacyAccessedAPICategoryUserDefaults",
            // C56D.1 = アプリ自身のための UserDefaults アクセス
            NSPrivacyAccessedAPITypeReasons: ["CA92.1"],
          },
          {
            NSPrivacyAccessedAPIType: "NSPrivacyAccessedAPICategoryFileTimestamp",
            // C617.1 = 自アプリ内ファイルのタイムスタンプ参照
            NSPrivacyAccessedAPITypeReasons: ["C617.1"],
          },
          {
            NSPrivacyAccessedAPIType: "NSPrivacyAccessedAPICategorySystemBootTime",
            NSPrivacyAccessedAPITypeReasons: ["35F9.1"],
          },
        ],
      },
    },
  },
};

理由コードは Apple が定義した一覧から、自分の用途に合うものを選びます。たとえば UserDefaults をアプリ自身の設定保存に使っているなら CA92.1、ファイルのタイムスタンプを自アプリ内のファイルに対して読むだけなら C617.1 です。ここで実態と違うコードを選ぶと、それはそれで虚偽申告になりますので、用途を確認してから選ぶことを強く推奨します。

サードパーティSDK側の確認を省かない

ここがいちばん見落とされる落とし穴です。自分の app.config.ts をいくら整えても、AdMob や解析 SDK が自前のプライバシーマニフェストを持っていなければ、警告は消えません。

対処の手順はこうです。

1. 使っている SDK のバージョンを上げる。多くの主要 SDK は、対応版でマニフェストを同梱済みです。AdMob（Google Mobile Ads SDK）も、ある時期以降のバージョンで対応しています。
2. SDK の更新で対応しきれない場合は、その SDK が触っている API カテゴリを、自分のマニフェストに追記して理由を宣言します。
3. ビルド後の .app の中に各 SDK の .xcprivacy が含まれているかを確認します。

私の場合、警告が消えなかった原因は古い解析ライブラリの取り残しでした。SDK を1つ上げただけで2件の警告が同時に消えたので、まず依存の更新から当たるのが効率的だと感じています。

提出前に自分で検証する

提出してから警告を待つのは時間の無駄です。私はアーカイブを書き出したあと、ローカルで同梱状況を確かめてから提出するようにしています。ビルド成果物の中を覗いて、アプリ本体と主要 SDK のそれぞれにプライバシーマニフェストが入っているかを目視します。

# 書き出した .app の中のマニフェストを一覧する
find MyApp.app -name "*.xcprivacy" -print
# 例: MyApp.app/PrivacyInfo.xcprivacy
#     MyApp.app/Frameworks/GoogleMobileAds.framework/PrivacyInfo.xcprivacy

ここで自分のアプリ本体のマニフェストが出てこなければ、app.config.ts の記述がビルドに反映されていません。SDK 側のものが無ければ、その SDK が未対応か、バージョンが古いということです。この一手間を入れてから、私は警告メールをほぼ受け取らなくなりました。

一度作り込めば運用は軽い

プライバシーマニフェストは、最初の1回こそ調べごとが多いものの、app.config.ts に正しく書いてしまえば以降のビルドで自動的に同梱され続けます。新しい機能を足したときに新しい Required Reason API を踏むかどうかだけ、リリース前に確認すれば十分です。

審査で止まらないことは、地味ですが収益に直結します。提出のやり直しで数日失うと、その分だけ AdMob の表示も課金のチャンスも後ろ倒しになります。次にリリースするとき、提出前の検証コマンドを1行はさむことを習慣にしてみてください。届かなくなった警告メールの分だけ、リリースのリズムが安定します。