アカウント作成機能があるiOSアプリでは、プライバシーポリシーに削除方法を書くだけでなく、アプリ内からアカウント削除を開始できる機能が必要です。設定画面に「退会」と表示していても、実際には一時停止だけなら要件と一致しません。
審査前には、削除ボタンの有無だけでなく、どのデータを消すか、本人確認をどう行うか、処理に時間がかかる場合に何を伝えるかまで通して確認します。
対象アプリかを判断する
AppleのApp Review Guidelines 5.1.1(v)では、アカウント作成をサポートするアプリは、アプリ内でアカウント削除を提供するよう求めています。
メールアドレスとパスワードで登録する場合だけではありません。Appleのアカウント削除に関する公式案内では、自動で作成されるゲストアカウントも対象と説明しています。Webブラウザで登録する設計でも、アプリ内から削除を開始できる必要があります。
一方、アカウントベースの重要な機能がないアプリについて、Appleはログインなしで利用できるようにする方針も示しています。削除機能を追加する前に、そもそもアカウント作成が中心機能に必要かを見直す選択肢があります。
無効化ではなくアカウント全体を削除する
Appleの案内は、アカウント記録と関連する個人データの削除を提供するよう求めています。次の操作だけでは、アカウント削除の代わりになりません。
- ログアウトする
- メール配信を停止する
- プロフィールを非公開にする
- アカウントを一時停止する
- アプリを端末から削除する
無効化を追加の選択肢として残すことはできます。ただし、ユーザーがアカウント全体の削除を選べる必要があります。
削除対象は、認証レコードだけで決めません。アプリの構造に合わせて棚卸しします。
| 区分 | 確認するデータ |
|---|---|
| アカウント | 認証情報、プロフィール、設定 |
| ユーザーの入力 | 投稿、画像、コメント、保存内容 |
| 関連データ | 履歴、端末登録、通知設定、共有情報 |
| 外部サービス | 分析、メール、ストレージなどに残る識別情報 |
| 保持が必要な情報 | 保持理由、期間、削除できない範囲の説明 |
ユーザー生成コンテンツを公開するアプリについても、Appleはアカウントに関連する写真、動画、文章、レビューなどを削除対象として挙げています。法令上保持が必要なデータがある場合は、対象地域の要件を確認し、残る情報をユーザーへ説明します。法的判断が必要なら専門家へ確認してください。
削除導線を見つけやすくする
削除の入口は、通常はアカウント設定の中へ置きます。ヘルプ記事を検索しないと見つからない、サポートへ連絡しないと場所が分からない、という構成は避けます。
アプリ内の導線は、次のように短くします。
- アカウント設定を開く
- アカウント削除を選ぶ
- 削除される内容と残る内容を確認する
- 必要な本人確認を行う
- 削除を確定する
- 完了または処理予定を確認する
Webで処理を完了する設計は認められていますが、一般的なトップページへ移動させるのではなく、削除を完了できるページへ直接リンクします。遷移後に再び削除方法を探させないことが基準です。
問い合わせ送信を必須にしない
一般的なアプリでは、「削除したい」とメールを送る、フォームへ理由を書く、電話をかける、といったサポート対応を削除の必須手順にしないでください。
Appleは、高度に規制された業種では顧客サポートによる確認を使える場合があるとしています。それ以外のアプリでは、電話、メール、別のサポートフローを通らないと削除できない設計は避けるよう明記しています。
問い合わせフォームを置く場合は、削除機能とは役割を分けます。
- 削除前の質問を受ける
- 削除処理が予定時間を過ぎたときに確認する
- 完了通知が届かない問題を調べる
- 高度に規制された業種で、許容される追加確認を行う
削除理由のアンケートも、回答しないと進めない必須項目にしない方が安全です。改善目的で尋ねるなら、任意であることを示し、削除確定とは分離します。
本人確認は必要な範囲にする
第三者による削除を防ぐため、再認証や確認手順を入れることは認められています。現在のパスワードを再入力する、登録済みのメールアドレスや電話番号へ確認コードを送る、といった方法があります。
ただし、本人確認を理由に削除を不必要に難しくしてはいけません。
- 普段のログインより過剰な個人情報を求める
- 利用できない連絡手段だけに限定する
- 削除を引き止める画面を何度も表示する
- 無効化を目立たせ、完全削除を隠す
確認画面では、操作が元に戻せるか、削除後に利用できなくなる内容、処理開始のタイミングを具体的に示します。誤操作防止と引き止めを混同しないようにします。
即時に消せない場合は所要時間を伝える
削除処理は即時・自動でなくてもよいとAppleは説明しています。手動処理や時間のかかる処理を採用する場合は、完了までの見込みを伝え、完了時にも通知します。
状態を少なくとも次の三つに分けると、案内を作りやすくなります。
- 受付済み：削除要求を受け取り、処理を開始する
- 処理中：完了予定と、利用制限の有無を示す
- 完了：削除したことと、保持が必要な情報があればその範囲を伝える
「後日対応します」だけでは、ユーザーはいつまでログインできるのか、データが残っているのか判断できません。自分の運用で守れる期間を示し、遅延時の連絡先を用意します。
サブスクリプションを別に扱う
アカウント削除とApp Storeの自動更新購読は、同じ操作ではありません。Appleは、購読があるユーザーに対して、アカウントを削除してもApple経由の請求が継続し得ることを伝え、先に購読を解約するよう案内することを求めています。
削除確認画面では、次を区別します。
- アプリ内アカウントの削除
- 自動更新購読の停止
- 返金リクエスト
ユーザーを購読管理画面へ移動できる導線を置き、戻った後に削除を続けられるようにします。購読の終了日に合わせた削除予約を提供する場合も、即時削除を選べる必要があります。
IndieFormは削除機能の代わりにしない
IndieFormの公開フォームへ「アカウントを削除してください」と送信させるだけでは、一般的なアプリに求められるアプリ内削除機能の代わりになりません。削除処理を実行する機能や、App Storeの購読を止める機能もありません。
例外的な手動確認が許容される業種や、削除機能を実行した後の質問窓口としては、問い合わせを受け付けて対応状態を管理できます。削除に関する問い合わせは個人情報を含みやすいため、本文へパスワードや決済情報を書かせず、安全な本人確認はアプリ側の認証済みフローへ置いてください。
Google Playへ登録するWeb上の削除ページは、Google Playのアカウント削除URL要件で別に整理しています。両方のストアへ配布する場合も、一方のURLを用意しただけで、もう一方のアプリ内要件を満たしたと判断しないでください。
提出前に削除を最後まで試す
テスト用アカウントで、作成から削除完了まで実行します。
- アプリ内で削除入口を見つけられる
- 一時停止とは別に完全削除を選べる
- 関連データとユーザー生成コンテンツが対象になっている
- 本人確認が必要以上に複雑ではない
- Web遷移後は削除ページへ直接到達する
- 処理時間と完了が通知される
- 自動更新購読の扱いを誤解なく説明している
- 問い合わせを削除の必須条件にしていない
削除処理はデータ構造や外部サービスの追加によって変わります。提出時だけのチェックにせず、保存先や購読機能を増やしたときにも対象データと案内を見直してください。