9 exigences légales pour les applications et conseils pour les respecter

Aujourd'hui, il est incroyablement facile de créer une application. Il suffit d'appuyer sur quelques touches de votre téléphone pour utiliser des outils de création d'applications intuitifs et lancer votre application en quelques minutes.

Cependant, votre application doit se conformer à diverses exigences légales en matière d'applications mobiles. Vous devez donc connaître les lois du monde entier qui ont une incidence sur votre application.

Poursuivez votre lecture pour en savoir plus sur les lois relatives aux applications mobiles qui peuvent avoir une incidence sur vous et sur la manière dont elles le font. Bien que cet article ne couvre pas toutes les exigences légales pour tous les secteurs, il aborde la plupart des lois sur les applications que tout propriétaire de petite entreprise devrait connaître avant de créer une application.

Lois sur les applications mobiles susceptibles de vous concerner

Voici une liste des lois et réglementations relatives aux applications mobiles qui peuvent avoir un impact sur votre entreprise. Notez que certaines réglementations, comme le règlement général sur la protection des donnéesRGPD, s'appliquent aux entreprises du monde entier pour autant qu'elles répondent à certains critères.

Liste des exigences légales en matière d'applications mobiles

Lorsque vous créez votre application, vous devez vous assurer qu'elle est conforme aux exigences légales en vigueur, notamment les suivantes :

Exigences en matière de confidentialité et de collecte des données

Les lois sur la protection des données, telles que le RGPD et l'ACPR, comportent de nombreuses exigences en matière de confidentialité et de collecte des données.

Politiques de confidentialité

De nombreuses lois concernant les applications exigent que vous créer un politique de confidentialité pour informer les utilisateurs de leurs droits en matière de protection de la vie privée et de la manière dont vous collectez, utilisez et stockez leurs données.

Bien que les exigences en matière de politique de confidentialité puissent varier en fonction des lois applicables à votre application mobile, la plupart d'entre elles exigent que vous fassiez ce qui suit :

Expliquez quelles sont les informations personnelles que vous recueillez auprès des utilisateurs

Voici quelques exemples typiques :

• Nom et prénom
• Nom d'utilisateur
• Mot de passe
• Adresse électronique
• Adresse
• Numéro de téléphone

Définir comment vous partagez et utilisez les données, y compris si vous vendez des données

Par exemple, voici comment WhatsApp définit la manière dont il utilise les données :

Décrire comment les utilisateurs peuvent contrôler leurs données

Soyez aussi détaillé que possible lorsque vous rédigez cette partie. À titre d'exemple, voici comment TikTok a organisé cette section de son site politique de confidentialité:

Indiquer si vous utilisez des services de tiers

Le RGPD et la CCPA définissent les tiers comme des personnes ou des sociétés autres que le sujet que vous avez autorisé à traiter les données personnelles. Il s'agit par exemple des cookies et des fonctionnalités des médias sociaux comme le bouton "J'aime" de Facebook.

Voici comment Spotify divulgue ses services tiers :

Informer les utilisateurs de l'application qu'ils sont suivis ou non et de quelle manière.

Si votre application utilise des cookies ou d'autres mécanismes de suivi pour analyser l'activité des utilisateurs, vous devez les divulguer :

• Le fait que vous suiviez les utilisateurs
• Fonctionnement de ces mécanismes de suivi

Exigences spécifiques au RGPD ou à l'ACCP

Si le RGPD s'applique à vous, vous devez également :

• Désigner un délégué à la protection des données (DPD) : Le RGPD exige la désignation d'un DPD dans certaines circonstances. Ainsi, si votre application mobile entre dans l'une de ces catégories, vous devez afficher les coordonnées de votre DPD dans votre politique de confidentialité.
• Indiquez les coordonnées de votre représentant dans l'UE : Si votre entreprise est située en dehors de l'UE et que vous êtes un responsable du traitement ou un sous-traitant, vous devez désigner un représentant de l'UE pour votre entreprise. Vous n'êtes pas soumis à cette obligation si votre traitement de données à caractère personnel de l'UE est occasionnel, n'inclut pas de catégories spéciales de données à caractère personnel ou de données relatives à des condamnations pénales et à des infractions, et n'est pas considéré comme présentant un risque élevé pour les droits et libertés des personnes physiques. Indiquez le nom complet et les coordonnées de votre représentant sur votre site mobile politique de confidentialité de l'application afin que les consommateurs de l'UE puissent le contacter en cas de besoin.
• Indiquez si vous utilisez un système de prise de décision automatisée et de quelle manière : Si votre application mobile utilise un système de prise de décision automatisée, indiquez comment vous l'avez mis en place, comment il fonctionne et quelles sont les conséquences possibles de l'utilisation de ce système.

Si la CCPA s'applique à vous, vous devez inclure tous les éléments ci-dessus et permettre aux consommateurs de refuser que vous vendiez leurs données privées.

Une fois qu'un consommateur a fait cette demande, vous devez attendre au moins 12 mois avant de lui demander de revenir à la vente de ses données personnelles.

"Lien "Ne pas partager mes informations personnelles

En outre, si la CCPA s'applique à vous, vous devez afficher de manière visible et explicite un lien "Ne pas partager mes informations personnelles" quelque part dans votre application et l'inclure dans votre site politique de confidentialité. Ce lien doit mener à un formulaire ou à une page web où les utilisateurs peuvent refuser la vente de leurs informations personnelles. Ce lien doit mener à un formulaire ou à une page web où les utilisateurs peuvent refuser la vente de leurs informations personnelles.

Exigences en matière de consentement

Si votre application s'adresse ou pourrait s'adresser à des consommateurs de l'UE, vous devez respecter le RGPD et les normes de consentement et de transparence de la loi sur les cookies de l'UE. Ces réglementations exigent que les utilisateurs donnent leur consentement explicite et éclairé avant que votre application puisse traiter leurs données.

En revanche, la CCPA n'exige pas que l'utilisateur donne son consentement proactif ou affirmatif à la collecte de données. Cette différence de législation signifie que votre application peut collecter, stocker et utiliser des données de cookies immédiatement sans la confirmation de l'utilisateur, à condition que les deux conditions suivantes soient remplies :

1. Votre politique de cookies est affiché dans une zone bien visible de votre application.
2. Les utilisateurs disposent d'options claires pour accepter, rejeter ou personnaliser leurs préférences en matière de cookies.

Vous devez également leur donner un moyen explicite et facile de refuser la collecte de données à tout moment.

La CPRA exige des entreprises qu'elles obtiennent un consentement explicite avant de vendre ou de partager les informations personnelles d'utilisateurs âgés de moins de 16 ans. Pour les utilisateurs de moins de 13 ans, un consentement parental vérifiable est requis - une exigence également imposée par la COPPA.

Exigences en matière de sécurité des données

Selon les Fair Information Practice Principles de la Federal Trade Commission (FTC), vous devez définir les mesures de sécurité de votre application pour protéger les données des consommateurs et supprimer les anciennes données.

Ces mesures visent à réduire le risque de problèmes de cybersécurité tels que les violations de données et les piratages.

Par exemple, vous pouvez effectuer un pentesting de l'application mobile pour identifier et traiter les vulnérabilités potentielles de votre application. Lorsque vous testez l'application pour détecter les faiblesses en matière de sécurité, vous vous assurez qu'elle est conforme aux normes de l'industrie et que les données des utilisateurs sont sécurisées.

Vos mesures de sécurité dépendront de la quantité de données que vous collectez et de leur degré de sensibilité.

Par exemple, Amazon explique qu'il protège les informations personnelles des utilisateurs à l'aide de logiciels et de protocoles de cryptage. Elle respecte également la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) pour le traitement des données des cartes de crédit :

Exigences en matière d'accessibilité

Bien que l'ADA ne fasse pas explicitement référence aux applications, les tribunaux américains ont interprété ses dispositions comme s'appliquant aux services numériques, y compris les applications mobiles.

Vous pouvez rendre votre application accessible en :

• Utiliser des polices de caractères plus grandes
• Utilisation d'un contraste clair entre les arrière-plans et les polices de caractères
• Fournir des outils de lecture sur le web
• Fournir des transcriptions
• Décrire des images par écrit

Dans le même ordre d'idées, le Canada dispose de lois provinciales qui exigent que les applications des entreprises privées soient accessibles.

Par exemple, la loi sur l'accessibilité pour les personnes handicapées de l'Ontario (AODA) exige que les applications des entreprises privées soient accessibles. Elle impose à toutes les organisations du secteur public, ainsi qu'aux organisations à but non lucratif et privées comptant plus de 50 employés, de rendre leurs applications et leur contenu numérique accessibles aux personnes handicapées.

En Europe, la directive européenne sur l'accessibilité du Web impose aux organismes du secteur public de veiller à ce que leurs applications mobiles soient exploitables, compréhensibles, robustes et perceptibles.

Exigences en matière de commerce électronique

Si vous exploitez une application de commerce électronique, vous devez prendre des mesures de sécurité pour protéger les informations privées de vos utilisateurs.

À ce titre, vous devez procéder comme suit :

• Utilisez des solutions spécifiques aux téléphones portables : Ajoutez une vérification du téléphone à votre application pour vous assurer que les utilisateurs sont bien ceux qu'ils prétendent être. Vous pouvez ajouter une autre couche de protection avec des jetons ou des méthodes d'authentification supplémentaires. Bien que cela ne soit pas suffisant pour arrêter les pirates avancés, ces jetons peuvent empêcher la plupart des acteurs de la menace d'effectuer des actions malveillantes telles que l'usurpation d'identité.
• Utilisez Transport Layer Security (TLS) : TLS met en œuvre un cryptage de bout en bout pour votre application, empêchant les gens de lire les messages des utilisateurs même s'ils les envoient par des canaux non cryptés - par exemple, le point d'accès Wi-Fi d'un café sans mot de passe.
• Rafraîchir les sessions : En réduisant la durée de vie des jetons d'accès à quelques minutes et en ajoutant des jetons de rafraîchissement, vous pouvez empêcher les attaquants d'accéder à votre application. Même s'ils acquièrent le jeton d'accès, celui-ci expirera bientôt. Les utilisateurs peuvent également utiliser les jetons de rafraîchissement pour obtenir de nouveaux jetons d'accès.
• Inclure les demandes de déconnexion : Vous pouvez invalider les jetons qui ne sont plus utilisés en indiquant au back-end de votre application que vous avez fermé la session.
• Évitez d'envoyer trop d'informations : Vous pouvez compliquer la tâche des attaquants en envoyant moins d'informations ou en divisant les données en plusieurs demandes. Si l'acteur de la menace intercepte une demande, les données volées peuvent ne pas être suffisamment détaillées pour causer un préjudice. Par exemple, les informations interceptées peuvent ne contenir qu'une date de naissance, mais aucun autre marqueur d'identification.

Droits de propriété intellectuelle

Votre application possède plusieurs droits de propriété intellectuelle, notamment :

• Marques déposées, telles que votre marque et vos logos
• Droits d'auteur sur les dessins, les textes, les données, les graphiques et les images originales.

Dans de nombreuses juridictions, comme les États-Unis et le Royaume-Uni, la protection du droit d'auteur s'applique immédiatement à une œuvre pour autant qu'elle réponde à certains critères. Vous pouvez donc prendre des mesures à l'encontre d'autres applications, sites et personnes qui utilisent votre contenu sans autorisation.

Pour éviter que d'autres n'utilisent et ne volent votre contenu, pensez à.. :

• Placer des filigranes sur les images pour rappeler aux gens qu'elles vous appartiennent.
• Y compris les avis de droit d'auteur
• Ajout d'un badge DMCA (Digital Millennium Copyright Act) gratuit à votre application - si quelqu'un vole ou utilise abusivement votre contenu protégé par le DMCA, le DMCA vous aidera à retirer votre contenu gratuitement.

N'oubliez pas non plus de respecter les droits de propriété intellectuelle d'autrui. Ainsi, vous ne devez jamais réutiliser ou copier le contenu de quelqu'un d'autre sans en avoir reçu l'autorisation explicite.

Exigences en matière de droits d'auteur et de plagiat

Assurez-vous que tout le contenu de votre application est original. Si vous souhaitez publier ou réafficher une image, une copie ou tout autre élément créé par quelqu'un d'autre, vous devez le faire :

1. Obtenir l'autorisation du créateur original pour l'utiliser
2. Lien vers le créateur original

Dans le cas contraire, l'utilisation non autorisée et non attribuée du contenu d'une autre application sera signalée pour violation des droits d'auteur ou plagiat.

Licence de contenu et attribution

Si vous souhaitez utiliser du contenu produit par des professionnels pour vos applications, comme des vidéos, des graphiques, de la musique, des tableaux et des photos, assurez-vous que vous disposez de la licence de contenu appropriée. Vous devez fournir les attributions nécessaires.

Lois anti-spam

Votre application doit également respecter les lois anti-spam. Dans le cas contraire, des acteurs malveillants pourraient utiliser votre application pour envoyer des spams aux utilisateurs.

Le spam désigne les courriels non pertinents ou non sollicités envoyés en masse à une liste de personnes. Les exemples incluent les courriels de marketing non sollicités, les messages frauduleux, les virus informatiques et les escroqueries.

Aux États-Unis, la loi "Controlling the Assault of Non-Solicited Pornography and Marketing Act" (CAN-SPAM) donne aux destinataires le droit de refuser les courriels non désirés.

En revanche, le RGPD contient des clauses anti-spam strictes qui vous obligent à demander aux destinataires d'accepter les messages marketing avant de leur envoyer quoi que ce soit, même si ces utilisateurs sont déjà vos clients.

Clause de non-responsabilité

Votre application doit également comporter des clauses de non-responsabilité. Ceux-ci peuvent faire partie de vos conditions générales ou figurer sur une page distincte.

La clause de non-responsabilité la plus courante est utilisée pour limiter la responsabilité du créateur d'une application en ce qui concerne les actions entreprises par les utilisateurs sur la base du contenu de l'application. D'autres clauses de non-responsabilité dépendent de votre application et de votre secteur d'activité. Voici quelques exemples de ce que ces clauses de non-responsabilité peuvent faire :

• Précisez que votre application n'a qu'un but informatif et ne constitue pas un conseil professionnel.
• Indiquer que les utilisateurs ne peuvent pas utiliser votre contenu protégé par le droit d'auteur sans autorisation explicite et sans mention de la source.
• Si vous avez une application juridique, indiquez que l'application n'établit pas de relation avocat-client et qu'aucun contenu de l'application ne constitue un conseil juridique.

Divulgations

Les divulgations sont importantes d'un point de vue éthique et juridique. La FTC exige que vous informiez les utilisateurs des conflits d'intérêts si vous avez un public qui compte sur votre expertise ou vos conseils.

Voici quelques situations dans lesquelles vous devriez avoir une page de divulgation sur votre application :

• Si vous recevez une compensation sous quelque forme que ce soit pour l'inclusion d'un élément dans votre application, tel qu'un lien, une vidéo ou un article
• Si vous diffusez des annonces contextuelles telles que celles de Google AdSense
• Si vous participez à des programmes de marketing d'affiliation

Exigences pour les applications dans des secteurs spécifiques

Outre les exigences légales en matière d'applications mobiles mentionnées ci-dessus, certains secteurs d'activité doivent respecter des exigences spécifiques. Il s'agit notamment de ce qui suit.

Exigences HIPAA pour les applications de santé

Si votre application traite d'informations relatives à la santé, vous devez vous conformer à la loi de 1996 sur la portabilité et la responsabilité en matière d'assurance maladie (Health Insurance Portability and Accountability Act, HIPAA).

Plus précisément, vous devez suivre :

1. La règle de confidentialité de l'HIPAA : sauvegarde des informations de santé protégées (PHI)
2. La règle de sécurité de l'HIPAA : protège les informations électroniques protégées sur la santé (e-PHI)
3. Règles concernant les notifications de violations de données relatives aux soins de santé

Vous devez également informer les patients de leurs droits sur les données relatives aux soins de santé.

Exigences de l'ABA pour les applications juridiques

Si vous êtes avocat, vous devez respecter les règles de conduite professionnelle de l'American Bar Association, qui limitent ce que les avocats peuvent dire sur les applications.

Par exemple, vous ne pouvez pas :

• Prétendre que vous êtes un expert ou que vous vous spécialisez dans un domaine particulier du droit, à moins que vous ne disposiez d'une accréditation spéciale délivrée par un organisme réglementé par l'État.
• Promettre des résultats juridiques
• Faire des affirmations non fondées ou des déclarations erronées sur le fait que vous êtes le meilleur de tout l'État ou de toute la ville.

Exigences relatives à l'application financière

Les applications financières ont des exigences particulières car elles sont plus susceptibles d'être piratées par des acteurs menaçants.

C'est pourquoi les lois sur les applications, telles que la loi Gramm-Leach-Bliley (GLBA), exigent spécifiquement des applications financières qu'elles établissent des normes appropriées pour garantir la confidentialité et la sécurité des informations personnelles de leurs clients, telles que leur numéro d'identification :

• Noms
• Cotes de crédit
• Niveaux de revenus
• Numéro de compte bancaire

En outre, le Federal Financial Institutions Examination Council (FFIEC) suggère d'utiliser le cryptage pour atténuer le risque d'altération ou de divulgation d'informations sensibles.

Exigences relatives à l'application pour les entrepreneurs

Si vous êtes entrepreneur ou sous-traitant, vous devez faire figurer vos références sur votre application. Vérifiez auprès de votre organisme local de délivrance des licences s'il existe des exigences concernant l'affichage de votre numéro de licence d'entrepreneur sur votre application.

Exigences relatives aux applications de partage de fichiers

Les applications de partage de fichiers peuvent être soumises à des exigences strictes en fonction de votre juridiction. Par exemple, le partage de fichiers sans le consentement du détenteur des droits d'auteur est illégal en Allemagne. Un seul fichier protégé par des droits d'auteur téléchargé par l'intermédiaire d'une application de partage de fichiers est passible d'une amende de 1 000 euros ou plus.

Non requis légalement mais recommandé

Les éléments suivants ne sont pas légalement obligatoires, mais ils peuvent améliorer considérablement l'expérience du client et vous permettre d'établir plus facilement un rapport avec les utilisateurs.

À propos de la page

Vous devez créer une page "À propos" solide qui donne aux utilisateurs un aperçu de qui vous êtes et des raisons pour lesquelles ils devraient vous faire confiance. Une bonne page "À propos" rendra votre application plus transparente et fournira des informations que les utilisateurs pourraient vouloir connaître avant de vous faire confiance.

Informations sur le contact

Les informations de contact, y compris les comptes de médias sociaux, sont un élément essentiel de votre application. Elles permettent aux utilisateurs de vous contacter s'ils ont des questions ou des préoccupations.

Conditions d'utilisation

Vous devez également inclure une page de conditions d'utilisation afin d'établir les grandes lignes de l'utilisation de votre application.

Avoir une page de conditions d'utilisation bien rédigée ne permet pas seulement à votre application d'être sûre pour tout le monde - c'est aussi la bonne chose à faire. Vos clients méritent de savoir quand vous pouvez résilier leur compte et ce qu'ils peuvent ou ne peuvent pas faire.

Voici quelques éléments que vous devez toujours inclure :

• Politique d'utilisation acceptable : Cette section énumère toutes les utilisations interdites de votre application, telles que la collecte de données, les actions illégales, le harcèlement d'autrui et le vol d'informations et d'images protégées par le droit d'auteur dans l'application.
• Vos droits et votre propriété : Cette section établit que vous détenez tous les droits de propriété intellectuelle sur le contenu de l'application, à l'exception du contenu généré par l'utilisateur. Vous devez également préciser que les visiteurs et les utilisateurs du site ne peuvent utiliser aucune de ces informations sans autorisation.
• Résiliation et modification : Cette partie précise que vous pouvez résilier le compte d'un utilisateur à tout moment, à votre discrétion et sans préavis.

Contrat de licence pour l'utilisateur final (CLUF)

Vous devez également inclure un accord de licence pour l'utilisateur final (EULA).

Les CLUF sont des contrats juridiquement contraignants qui exigent que les utilisateurs acceptent leurs conditions avant de pouvoir télécharger et installer votre application.

Bien qu'ils puissent être facilement confondus avec les conditions d'utilisation, les CLUF sont distincts. Au lieu d'établir des lignes directrices générales que les utilisateurs doivent suivre, les CLUF donnent aux utilisateurs d'applications le droit de télécharger, d'installer et d'accéder à une application.

Ils établissent également des lignes directrices sur la manière dont les utilisateurs doivent interagir avec le logiciel. Par exemple, les CLUF interdisent généralement aux utilisateurs de :

• Copier ou vendre l'application
• Traduire l'application et la faire passer pour la leur
• Utilisation de l'application pour des activités illégales, telles que la diffusion de virus, le vol et la fraude

Politiques d'expédition, de retour et de remboursement pour les applications de commerce électronique

Si vous avez une application de commerce électronique, vous devriez également envisager d'ajouter une politique d'expédition, ainsi qu'une politique de retour et de politique de remboursement. Des politiques bien rédigées montreront que vous vous souciez de vos clients et qu'ils sont satisfaits de vos biens et de vos services.

Les politiques d'expédition décrivent comment et quand votre entreprise expédie les produits une fois que les utilisateurs ont passé une commande via votre application, tandis que les politiques de retour et de remboursement décrivent comment les utilisateurs peuvent retourner les articles et obtenir un remboursement, respectivement.

Rester au fait des exigences légales en matière d'applications mobiles n'est pas seulement une question de réduction des risques, c'est aussi une question de confiance envers vos utilisateurs dès le départ. De la confidentialité des données à l'accessibilité, le respect des lois applicables à votre application vous permet de créer un produit non seulement fonctionnel, mais aussi responsable.

Vous ne savez pas par où commencer ? Utilisez les générateurs gratuits de politiques juridiques de Termlypour créer des politiques de confidentialité, des conditions générales, des clauses de non-responsabilité et bien d'autres choses encore, adaptées aux besoins de votre application.

En savoir plus sur l'auteur

Écrit par Masha Komnenic CIPP/E, CIPM, CIPT, FIP

Masha est spécialiste en sécurité de l'information et en protection des données, ainsi que déléguée à la protection des données certifiée. Depuis six ans, elle aide les petites et moyennes entreprises à se conformer aux réglementations et accompagne de nombreux accélérateurs internationaux en tant que mentor en conformité. Elle est spécialisée dans la mise en œuvre, le suivi et l’audit de la conformité des entreprises aux réglementations sur la protection des données (HIPAA, LPRDE, Directive ePrivacy, RGPD, CCPA, POPIA, LGPD). Masha a étudié le droit à l’Université de Belgrade et a obtenu son examen du barreau en 2016. En savoir plus sur l'auteur