制限付きスコープを使用してアプリが機密性の高いユーザーデータへのアクセスをリクエストする場合は、確認プロセスを完了する必要があります。Google Health API のほとんどのスコープは制限付きであるため、アプリを一般公開する前に確認を完了する必要があります。
このプロセスでは、アプリが API サービスのユーザーデータに関するポリシー やその他の適用されるポリシーに準拠していることを Google が確認します。
アプリが確認されていない場合、ユーザー数は 100 人に制限されます。より多くのユーザーをサポートするには、確認プロセスを完了する必要があります。この確認は、Google Play などのアプリストアで義務付けられているアプリの審査プロセスとは異なります。この確認を完了していないアプリは Google Play ストアに掲載される可能性がありますが、ユーザー数は 100 人に制限されます。詳しくは、OAuth アプリの確認に関するヘルプセンターをご覧ください。
確認プロセスは 2 つの部分で構成されています。
- OAuth アプリの確認: Google の Trust and Safety チームが、Google Cloud コンソールで提供されたアプリの ID、スコープ、その他の情報を審査します。詳しくは、確認の要件 をご覧ください。
- セキュリティ診断: アプリがユーザーデータを安全に処理していることを確認するため、第三者による セキュリティ診断を受ける必要があります。
OAuth アプリの確認
確認の準備として、 OAuth 2.0 の制限付きスコープ に関するガイドを確認し、その手順に沿って作業してください。このガイドでは、Google Cloud コンソールで確認の準備とリクエストを行う手順について説明します。
アプリが各スコープを必要とする理由を具体的に説明してください。さまざまなスコープに対して曖昧な説明や重複した説明を行うと、確認プロセスが遅れる可能性があります。
アプリ内での開示の要件
アプリがユーザーの健康とフィットネスに関するデータにアクセス、使用、共有する方法を、ユーザーにわかりやすく開示する必要があります。
アプリ内での開示は、次の要件を満たす必要があります。
- アプリ内で開示すること。アプリの説明文やウェブサイトでの開示だけでは不十分です。
- アプリの通常使用時に表示すること。表示するのにメニューや設定に移動する必要のある開示方法では不十分です。
- アクセスまたは収集するデータの種類について説明すること。
- データをどのように使用、共有するかについて説明すること。
- 掲載場所を、プライバシー ポリシーや利用規約のみとしないこと。
- Google Health API のデータ収集に関係のない他の開示の中に掲載しないこと。
開示ステートメントの推奨フォーマットは次のとおりです。 「{アプリ名} は、{機能}、{機能}、{機能} を可能にするために、健康とフィットネスに関するデータを収集します。」
例: "Fitness Coach は、分析と パーソナライズされたコーチングを可能にするために、アクティビティ データを収集します。"
セキュリティ診断（CASA）
制限付きスコープを使用するアプリは、OAuth の確認に加えて、 セキュリティ診断 もCloud App Security Assessment フレームワーク（CASA）に基づく年次で完了する必要があります。 この診断を完了する必要がある場合は、Google の Trust and Safety チームから手順が通知されます。
この診断は、アプリがユーザーデータを安全に処理し、リクエストに応じてユーザーデータを削除できることを確認するために、第三者のセキュリティ会社によって実施されます。CASA では、 業界で認知されている OWASP Application Security Verification Standard（ASVS）を使用します。 診断に合格すると、セキュリティ評価機関から検証書面（LOV）がアプリに届きます。
CASA プログラムの詳細と認定セキュリティ評価機関については、Cloud Application Security Assessment のウェブサイトをご覧ください。
受け入れられている業界標準に準拠した既存のセキュリティ認定資格や最近の侵入テストの結果がある場合は、CASA プロセスを迅速に進めることができる可能性があります。CASA には、評価機関が受け入れられているセキュリティ フレームワークの既存の有効なドキュメントを使用して、冗長なチェックを減らし、評価費用を削減できるアクセラレータ プログラムがあります。
セキュリティ診断の完了には、ティア 2 のアプリケーションで 2 ～ 3 週間、ティア 3 のアプリケーションで 4 ～ 6 週間かかります。また、アプリの複雑さによって 500 ～ 4,500 米ドルの第三者評価機関への支払いが発生します。CASA プロセスを開始するタイミングは、Trust and Safety からデベロッパーに通知されます。
検証書面（LOV）が届いたら、その書面を Google の Trust and Safety チームに提出して、セキュリティ診断を完了します。
エスカレーション
CASA 診断は第三者によって実施されるため、Google はこの診断プロセスを管理していません。診断に関する問題は、選択したセキュリティ評価機関に直接お問い合わせください。