Inventario de SDK: lo que el paquete trae y nadie eligió

Una aplicación moderna se arma con bibliotecas de terceros, y muchas son SDK: paquetes de un proveedor que vive dentro de la aplicación, corre con los mismos permisos que ella y casi siempre habla con los servidores de su dueño. Para el sistema operativo no hay diferencia entre el código del equipo y el del SDK: es un solo proceso. Por eso lo que un SDK haga, la empresa lo responde ante sus usuarios y ante la tienda.

Además de las que el equipo elige, llegan las dependencias transitivas: una biblioteca que arrastra otra para funcionar. Nadie las pidió por su nombre, pero van en el paquete, con sus permisos y sus destinos de red. Un inventario que solo mire lo que el equipo declaró en su archivo de dependencias queda incompleto por diseño.

El análisis del paquete lista cada biblioteca con su versión, su finalidad y una columna que dice cómo llegó: directa o transitiva, y en ese caso arrastrada por cuál. Esa columna es la que permite preguntarle al equipo de producto «¿sabían que esto estaba?». Lee el inventario con SELECT * FROM bibliotecas.

Contar bibliotecas no es contar destinatarios. Una misma empresa puede entrar al paquete con dos bibliotecas distintas, y las bibliotecas que no hablan con ningún servidor propio (un lector de datos, un caché de imágenes) no sacan nada de la aplicación. Lo que importa para la privacidad es cuántas organizaciones distintas pueden recibir datos de las personas.

Filtra con SELECT * FROM bibliotecas WHERE habla_con_su_proveedor = 'si' y cuenta proveedores, no filas.

La política de privacidad debe decir quién recibe los datos, y el inventario es la evidencia con la que se comprueba. La comparación es mecánica: cada proveedor que recibe datos tiene que aparecer en la política con su finalidad. El que falta es un hallazgo, aunque la biblioteca la haya traído otra y el equipo no lo supiera: el desconocimiento explica el hallazgo, no lo borra.

Compara bibliotecas con politica_v3.

El hallazgo se redacta para que quien lo lea pueda decidir sin volver a preguntarte: qué biblioteca, en qué versión, cómo llegó al paquete, qué proveedor la opera, y qué documento no coincide con la realidad. La corrección también se escribe: declarar al proveedor en la política, o quitar la biblioteca si no hay una finalidad que la justifique, y pedir al proveedor de publicidad que explique qué trae y por qué.