Una política de privacidad es una parte de la revisión OAuth. No garantiza la aprobación de Google.
La revisión depende del tipo de app, publicación, permisos, marca, usuarios y uso de datos. Los permisos no sensibles pueden seguir una vía distinta de los sensibles o restringidos. Comprueba los requisitos vigentes antes de cada envío.
1. Clasifica app y permisos
Inventaría cada permiso y la función que lo necesita. Elimina permisos sin uso, demasiado amplios o reservados para futuras funciones.
Los requisitos de verificación OAuth distinguen verificación de marca, permisos sensibles y permisos restringidos. Estos últimos pueden añadir una evaluación de seguridad independiente y obligaciones periódicas.
No describas «solo inicio de sesión» si la app lee Drive, Gmail, Calendar u otros datos.
2. Prepara la identidad pública
La página de la aplicación debe:
- usar un dominio controlado y verificado;
- ser pública sin autenticación;
- coincidir con el nombre de la pantalla;
- explicar finalidad y funciones; y
- enlazar privacidad y, cuando proceda, condiciones.
La guía de la página principal explica la presentación y el dominio. Alinea logo, nombre, soporte, dominios, página y URL de privacidad entre el proyecto y la web.
3. Describe el flujo real de datos
La política debe explicar:
- qué datos de Google se obtienen;
- para qué se usa cada categoría;
- cómo se trata y comparte;
- si existe acceso humano y en qué condiciones;
- cuánto se conserva;
- cómo revocar y solicitar supresión;
- seguridad y transferencias cuando proceda; y
- identidad y contacto del responsable.
No digas solo «usamos Google para acceder» si solicitas más permisos. No copies nombres técnicos sin explicar la finalidad.
Revisa también las políticas OAuth 2.0 y las condiciones de Uso Limitado aplicables. La información debe coincidir con la app desplegada.
4. Alinea la implementación
Antes de enviar:
- verifica el dominio;
- publica las URL exactas introducidas en la consola;
- confirma redirecciones y orígenes de producción;
- solicita permisos mínimos cuando se necesitan;
- prueba revocación y borrado;
- restringe credenciales y protege secretos;
- prepara cuentas de prueba; y
- registra qué datos llegan a logs, soporte, analítica, IA y copias.
Si la app usa autorización incremental, captura también ese recorrido.
5. Prepara evidencias
Google puede pedir vídeo o explicación del flujo y de cada permiso. La guía de envío contiene los pasos vigentes.
Haz la evidencia reproducible:
- empieza en la página pública;
- muestra la pantalla de consentimiento;
- llega a cada función;
- relaciona API y función;
- no expongas datos ni credenciales reales; y
- usa una cuenta estable con permisos correctos.
Responde a la pregunta exacta. Si cambia código o configuración, actualiza vídeo y política.
Qué puede hacer GDPR.Direct
GDPR.Direct genera y aloja un borrador editable de política en una URL pública. Debes aportar permisos, usos, destinatarios, conservación y borrado reales. No verifica dominios, inspecciona llamadas, configura pantallas, prepara evaluaciones de seguridad ni garantiza aprobación.
Google puede cambiar el programa. Revisa las páginas oficiales enlazadas el día del envío.
Esta guía tiene fines educativos y no constituye asesoramiento jurídico ni respaldo de Google. La versión española necesita revisión de un profesional nativo antes de una publicación regulada.