LASSIC Media らしくメディア
アプリのプライバシーマニフェスト・同意管理対応を外注する進め方
LASSIC IT事業部｜元請（プライムベンダー）としてシステム保守・運用を受託
この記事のポイント
- 2024年5月1日以降、プライバシーマニフェスト未記載のアプリはApp Storeに受理されないため、既存アプリの棚卸しから対応が必要です。
- 対応範囲はアプリ本体のコードだけでなく組み込み済みサードパーティSDKにも及ぶため、依存関係の把握が外注を進めるうえで鍵になります。
- 外注先に依頼する前に確認すべきポイントと費用に影響する要素を押さえると、見積もりのズレを減らせます。
目次
プライバシーマニフェストとは何か
プライバシーマニフェスト（PrivacyInfo.xcprivacy）とは、iOSアプリがどのAPIを利用し、どのデータを収集するかをAppleの審査システムが機械的に読み取れる形式で宣言するファイルです。2024年5月1日以降、App Store Connectへのアプリ新規登録および更新に際してこのファイルの提出が審査要件として求められるようになり、未記載の場合は審査が受理されません*1。
マニフェストファイルには主に3つの宣言が必要です。1つ目はNSPrivacyAccessedAPITypes（required reason API）で、UserDefaults・ファイルのタイムスタンプ・ディスク空き容量・システム起動時間など、Appleが指定するAPIを利用する場合にその理由を記述します。
2つ目はNSPrivacyCollectedDataTypesで、アプリ自体やサードパーティSDKが収集するデータの種別と利用目的を宣言します。3つ目はサードパーティSDKへの要件で、よく使われるSDKはAppleが提供する署名（signature）と、そのSDK専用のマニフェストの同梱が審査要件として求められています。
対応しないと起きること — 審査リジェクトの現実
2024年5月1日以降にApp Store Connectへアプリを提出すると、プライバシーマニフェストが不備の場合は受理メールが届かず、審査が始まる前の段階でアップロードが弾かれます。エラーメッセージには対象のAPIや不足している理由コードが列挙されるため、どのAPIに何が足りないかは判別できますが、対応には開発環境の構築とXcodeの操作知識が前提です。
特に注意が必要なのはサードパーティSDKです。Firebase・Adjust・Braze・Amplitudeなど広く使われているSDKの多くはすでにマニフェストを同梱した最新バージョンをリリースしていますが、バージョンを上げるだけでは不十分で、アプリ側のマニフェストにも対応する宣言を記載する必要があります。SDKのバージョン管理とアプリ本体の宣言を連動して管理できる体制がなければ、更新のたびに審査リジェクトが発生するリスクが残ります。
対応の全体像 — 棚卸し・マニフェスト作成・同意管理の3段階
対応は「棚卸し」「マニフェスト作成」「同意管理の整備」の3段階で進めます。順番に抜けがあると後工程で手戻りが発生するため、依頼先に作業スコープを渡す前に全体を把握しておくことが大切です。
第1段階：アプリ本体と依存SDKの棚卸し
まず、アプリが使用しているrequired reason APIをすべて洗い出します。Xcodeの静的解析やAppleが提供するプライバシーレポートを活用すると、どのAPIがどのSDKから呼ばれているかを一覧化できます。この棚卸し作業を正確に行わないと、マニフェストの記述が不完全になり審査で再リジェクトされます。
依存SDKについては、バージョンごとにマニフェスト対応状況が異なります。CocoaPods・Swift Package Manager・Carthageそれぞれの管理ファイルから依存一覧を抽出し、各SDKの公式リリースノートでマニフェスト対応バージョンを確認する作業が必要です。この確認には、iOS開発の実務経験と英語のドキュメントを読む能力が求められます。
第2段階：PrivacyInfo.xcprivacyの作成
棚卸し結果をもとに、Xcode 15以降でPrivacyInfo.xcprivacyを作成します。NSPrivacyAccessedAPITypesには各APIの利用理由コードを記述し、NSPrivacyCollectedDataTypesには収集データの種別・収集目的・トラッキング利用の有無を宣言します。記述できる理由コードはAppleが定めた固定リストの中から選択するため、実際の利用目的がコードに該当するかどうかの判断が必要です。
サードパーティSDKがマニフェストを同梱している場合でも、アプリ側のマニフェストに宣言を追加しなければなりません。SDKベンダーが提供するマニフェストと、アプリ側の宣言が整合しているかを確認する工程は見落とされがちな箇所です。
第3段階：ATT・CMPによる同意管理の整備
ATT（AppTrackingTransparency：アプリのトラッキング透明性フレームワーク）は、広告識別子（IDFA）を取得してユーザーの行動をアプリをまたいで追跡する場合にユーザーの同意を求めるAPIです。マニフェスト対応とは要件が別ですが、広告SDKや計測SDKを組み込んでいるアプリでは同時に整備が必要になるケースがあります。
CMP（同意管理プラットフォーム：Consent Management Platform）はGDPR（EU一般データ保護規則）やCCPA（カリフォルニア州消費者プライバシー法）への対応として同意取得・記録・管理を担うソリューションです。海外ユーザーがいるアプリや広告収益を主軸にしたアプリでは、ATTとCMPの両方を組み合わせた同意フローの設計が求められます。
外注で進める手順 — 依頼前から納品まで
外注を活用してプライバシーマニフェスト対応を進める場合、以下の流れで進めると手戻りを減らせます。
- 依頼前の情報整理（ソースコードとSDK一覧の準備）
- RFP（要求仕様書）または要件定義書の作成
- 見積もり取得・外注先選定
- 棚卸し作業の実施と結果確認
- マニフェスト作成・ATT/CMP実装
- TestFlightでの動作確認
- App Store Connectへの提出・審査通過確認
依頼前の情報整理では、アプリのソースコード（またはリポジトリのアクセス権）・使用しているパッケージマネージャーの設定ファイル・現在のSDKバージョン一覧を用意します。これらが手元にない状態で依頼すると、外注先が棚卸し作業に余分な工数を要し、見積もりが膨らむ原因になります。
要件定義の段階では、「マニフェスト作成のみ」か「ATT/CMPの実装まで含む」かを明確にします。スコープが曖昧なまま進めると、審査提出直前に同意フローの不備が発覚し、リリース日程がずれる事態になりかねません。
TestFlight（Appleのベータ配信サービス）による動作確認は、実機でATTダイアログが正しく表示されるか、マニフェストの宣言漏れがないかを最終確認する工程です。外注先が審査提出まで担当するか、この工程以降は自社で行うかをあらかじめ決めておくと、スムーズに進められます。
費用に影響する要素と依頼前の確認ポイント
プライバシーマニフェスト対応の外注費用は、アプリの複雑さとスコープによって大きく変わります。以下の要素が費用に直接影響します。
| 費用に影響する要素 | 費用が増える方向 | 費用が減る方向 |
|---|---|---|
| 組み込みSDKの数 | 10本以上・マニフェスト未対応版が多い | 3本以下・最新バージョンに揃っている |
| 対応スコープ | ATT・CMP実装まで含む | マニフェスト作成のみ |
| ソースコードの状態 | ドキュメント不整備・担当者不在 | README・依存一覧が整備済み |
| テスト・審査対応 | TestFlight配信・審査サポートまで依頼 | 実装のみで審査は自社対応 |
| 対象プラットフォーム | iOS＋Android（Google Playポリシー対応も並行） | iOS単体 |
市場参考値として（一次資料ではありません）、マニフェスト作成のみであれば数十万円台で対応できるケースもありますが、ATT・CMPの実装と審査サポートまで含む場合は規模に応じてさらに費用が加わります。正確な費用は複数社に見積もりを依頼して比較することをお勧めします。
依頼前に確認しておくべきポイントは以下の通りです。
- 現在使用しているXcodeのバージョンと最終提出日（審査済みバージョンと差分の把握）
- 組み込みSDKのリストと各バージョン（CocoaPodsのPodfileやPackage.swiftの準備）
- 広告・計測・プッシュ通知など、ユーザーデータを扱うSDKの有無
- 海外向けリリースの有無（GDPR・CCPAへの対応要否）
- 納期（App Storeの更新予定日から逆算した余裕）
外注先の選び方 — iOSネイティブ経験とSDK棚卸し実績で見極める
プライバシーマニフェスト対応を外注する際は、一般的なWeb開発会社ではなくiOSネイティブ開発の実務経験を持つ会社またはエンジニアを選ぶことが大切です。マニフェストの記述ミスはXcodeの静的解析では検出されない場合があり、審査後にエラーとして返ってきます。Appleの審査仕様の変更を継続的に追っているかどうかも確認しましょう。
チェックすべき確認事項は次の通りです。
- プライバシーマニフェスト対応の実績があるか（審査通過まで完了した案件があるか）
- 依存SDKの棚卸しを自社で行えるか（ツール・手順の説明ができるか）
- ATTのUI実装・CMPとの連携設計の経験があるか
- 審査リジェクト時の再対応サポートが含まれているか
- 納品物として変更差分（Gitのコミット）と対応記録ドキュメントが提供されるか
「審査が通らなかった場合の追加対応はどうなるか」を事前に確認しておくことも重要です。リジェクト後の再提出は追加費用になるのか、保証期間内は無償対応なのかをあらかじめ契約に明記してもらいましょう。
外注先がiOS開発のみ対応している場合、ATT・CMPの設計は連携するモバイルマーケティング担当や広告代理店と調整が必要になることもあります。プライバシーマニフェスト・ATT・CMPを一括して対応できる体制かどうかも選定基準の一つです。
まとめ — 外注判断の3つの基準
本稿では、プライバシーマニフェストとATT・同意管理対応を外注で進める流れを整理しました。要点を3つに集約すると次の通りです。
第一に、対応の核心は「マニフェストファイルを1つ追加する」ではなく「アプリ本体と全依存SDKの棚卸しを正確に行い、宣言内容を整合させる」作業です。この棚卸しに漏れがあると審査で再リジェクトが続き、リリース日程がずれます。
第二に、スコープを「マニフェスト作成のみ」か「ATT・CMPを含む同意管理まで」かを依頼前に決めておくことが、見積もりのズレと手戻りを防ぐ鍵です。広告・計測SDKを組み込んでいるアプリは後者まで含めてトータルで依頼する方が、結果的に工期短縮につながります。
第三に、外注先の選定ではiOSネイティブ開発の実績と審査リジェクト時の再対応保証が重要です。審査仕様は随時更新されるため、Appleのドキュメントを継続的に追っているパートナーを選ぶことで、将来の要件変化にも対応できます。
よくある質問
プライバシーマニフェスト対応はAndroidアプリにも必要ですか？
いいえ、プライバシーマニフェスト（PrivacyInfo.xcprivacy）はAppleのiOSアプリ向けの要件です。AndroidアプリはGoogle Playのデータセーフティセクションで収集データを申告する仕組みがあり、要件や手続きが異なります。iOS・Androidを両方対応する場合は、それぞれの要件を別々に確認する必要があります。
既に公開しているアプリは対応が必要ですか？
公開中のアプリであっても、2024年5月1日以降にApp Store Connectでアプリを更新（バージョンアップ）する際にはプライバシーマニフェスト対応が必要です*1。すでに公開しているアプリをしばらく更新しない場合は審査は発生しませんが、機能追加やバグ修正で更新する際には、対応を済ませてから提出することをお勧めします。
ATTとプライバシーマニフェストは何が違いますか？
ATT（AppTrackingTransparency）は広告識別子（IDFA）を取得してアプリをまたいだ行動追跡を行う場合にユーザーの同意を求めるフレームワークです。プライバシーマニフェストはAPIの利用理由と収集データの種別を審査システムに宣言するファイルで、トラッキング目的の有無にかかわらず指定APIを使用するアプリが対象です。広告SDKを組み込んでいるアプリでは両方の対応が必要になります。
外注した場合、ソースコードを渡す必要がありますか？
マニフェストの作成には、少なくともSDKの依存リスト（CocoaPodsのPodfileやPackage.swiftなど）と使用しているAPIの一覧が必要です。実装作業まで依頼する場合はソースコードへのアクセスが必要になります。秘密保持契約（NDA）を締結したうえで必要最小限の範囲のアクセス権を渡す形が一般的です。契約時にアクセス範囲と情報管理方法を明記することをお勧めします。
CMP（同意管理プラットフォーム）の組み込みは対応が求められますか？
CMP（Consent Management Platform：同意管理プラットフォーム）の組み込みは、App Storeの審査要件として一律に求められるものではありません。EUのGDPRやカリフォルニア州のCCPAへの対応が必要なユーザー層にサービスを提供している場合や、広告配信でユーザーの同意に基づいたデータ利用を行う場合に対応が求められます。海外ユーザーがいるアプリや広告収益モデルのアプリは、法務部門または専門家に要否を確認してから設計することをお勧めします。
著者：テレリモ総研編集部 鈴木 亮佑
ご不明な点はお問い合わせフォームからもご連絡いただけます。
- *1 出典：Apple「Upcoming App Store submission requirements」（2024年）— 2024年5月1日以降の新規・更新アプリにrequired reason APIのプライバシーマニフェスト記載を義務化
