Implémentation de l'API OpenGDPR

Flux de demande RGPD

Les types de demande RGPD, que ce soit l'accès, la portabilité, l'effacement ou la rectification, suivent la même procédure :

1. Un utilisateur de l'app soumet une demande.
2. Le propriétaire de l'app élabore la demande RGPD (voir ci-dessous) puis l'envoie à AppsFlyer.
3. AppsFlyer reçoit la demande et répond par un "201 OK" pour les demandes valides.
4. Durant les 48 heures suivantes, la demande est mise dans la file d'attente, son état est pending. L'utilisateur de l'app peut encore annuler la demande.
5. Les 48 heures écoulées, l'état de la demande passe à in_progress.AppsFlyer envoie un postback 'changement de status'. La demande ne peut plus être annulée. 
6. a) En 28 jours maximum, AppsFlyer accède à la demande.
   Dans le cas d'un effacement ou d'une rectification, les données de l'utilisateur de l'app sont supprimées.
   Dans le cas d'une portabilité ou d'un accès, les données de l'utilisateur de l'app sont accessibles dans la section GDPR du tableau de bord AppsFlyer, ou bien via l'API Request (voir ci-dessous).
   b) Le statut de la demande passe à completed.AppsFlyer envoie un postback de modification de statut.

Format de la demande RGPD

Une API de demande RGPD peut être envoyée via HTTP POST au point de terminaison suivant - 

https://hq1.appsflyer.com/gdpr/opengdpr_requests?api_token=[api token]

Le jeton d'API est le même jeton d'API utilisé pour l'API Pull. L'administrateur récupère le jeton d'API Pull depuis la page du jeton d'API du tableau de bord.

Exemple de demande d'effacement RGPD

curl --location --request POST 'https://hq1.appsflyer.com/gdpr/opengdpr_requests?api_token=[api_token]' \
--header 'Accept: application/json' \
--header 'Content-Type: application/json' \
--data-raw '{ 
 "subject_request_id":"f4e5a271-f25e-4107-b681-************",
 "subject_request_type":"erasure",
 "submitted_time":"2020-07-05T10:00:00Z",
 "subject_identities":[ 
  { 
   "identity_type":"android_advertising_id",
   "identity_value":"55*****-****-****-************",
   "identity_format":"raw"
  }
 ],
 "api_version":"0.1",
 "property_id":"com.*********.*******.********",
 "status_callback_url":"https://examplecontroller.com/opengdpr_callbacks",
 ]
}'
 

Exemple de code de demande RGPD d'effacement

/* 
using the okhttp package install from maven
https://mvnrepository.com/artifact/com.squareup.okhttp3/okhttp
 */

import okhttp3.*;
import java.io.IOException;

public class GdprSendRequest {
 public static void main(String[] args){

  OkHttpClient client = new OkHttpClient();
  RequestBody body = RequestBody.create(null, "" +
  "{\r\n\"subject_request_id\": \"<SUBJECT_ID>\"," +
  "\r\n\"subject_request_type\": \"erasure\"," +
  "\r\n\"submitted_time\": \"2018-11-02T15:00:00Z\"," +
  "\r\n\"subject_identities\": [\r\n" +
  "{\r\n\"identity_type\": \"android_advertising_id\"," +
  "\r\n\"identity_value\": \"<ADVERTISING_ID>\"," +
  "\r\n\"identity_format\": \"raw\"\r\n}" +
   "\r\n]," +
   "\r\n\"property_id\": \"com.example.application\"}");

  Request request = new Request.Builder()
  .url("https://hq1.appsflyer.com/gdpr/opengdpr_requests?api_token=<API_TOKEN>")
  .post(body)
  .addHeader("Content-Type", "application/json")
   .addHeader("Accept", "application/json")
  .build();

  try {
   Response response = client.newCall(request).execute();
   System.out.println(response.code());
   System.out.println(response.body().string());
   System.exit(0);
  } catch (IOException e) {
   e.printStackTrace();
   System.exit(1);
  }
 }
}

""" using the requests python package, 
install using pip install requests """

import requests
import json
headers = {
 "Content-Type": "application/json",
 "Accept": "application/json"
}
params = {
 "api_token": ""
}
body = {
 "subject_request_id": "", 
 "subject_request_type": "erasure", 
 "submitted_time": "2018-10-02T15:00:00Z", 
 "subject_identities": [
  { "identity_type": "android_advertising_id", 
   "identity_value": "", 
   "identity_format": "raw" }
  ], 
 "property_id": "com.example.application" 
} 
body = json.dumps(body) 
res = requests.request("POST", 
"https://hq1.appsflyer.com/gdpr/opengdpr_requests", 
headers=headers, data=body, params=params) 
print(res.text) 
 

/* using the request npm package, 
install using npm install request */

var request = require("request");
var options = { method: 'POST',
 url: 'https://hq1.appsflyer.com/gdpr/opengdpr_requests',
 qs: { api_token: '' },
 headers: 
 { Accept: 'application/json',
  'Content-Type': 'application/json' },
 body:
 { subject_request_id: '<SUBJECT_ID>',
  subject_request_type: 'erasure',
  submitted_time: '2018-10-02T15:00:00Z',
  subject_identities: 
  [ { identity_type: 'android_advertising_id',
   identity_value: '<ADVERTISING_ID>',
   identity_format: 'raw' } ],
 property_id: 'com.example.application'
 },
 json: true };
request(options, function (error, response, body) {
 if (error) throw new Error(error);

 console.log(body);
});

using System;
using RestSharp;
namespace CS
{
 class Gdpr
 {
  static void Main(string[] args)
  {
		var url = "https://hq1.appsflyer.com/gdpr/opengdpr_requests";
		var apiToken = "?api_token=<API_TOKEN>";
  var client = new RestClient(url + apiToken);
  var request = new RestRequest(Method.POST);
  request.AddHeader("Content-Type", "application/json");
  Request.AddHeader("Accept", "application/json");
  var body = "{\r\n\"subject_request_id\": \"<SUBJECT_ID>\"," + 
   "\r\n \"subject_request_type\": \"erasure\"," + 
   "\r\n \"submitted_time\": \"2018-11-02T15:00:00Z\"," +
   "\r\n \"subject_identities\": [\r\n" +
   "{ \r\n \"identity_type\": \"android_advertising_id\"," +
   "\r\n \"identity_value\": \"<ADVERTISING_ID>\"," + 
   "\r\n \"identity_format\": \"raw\"\r\n }" + 
   "\r\n ]," + 
   "\r\n \"property_id\": \"com.example.application\"}";
		 
   request.AddParameter("undefined", body,ParameterType.RequestBody);
   IRestResponse response = client.Execute(request);
   // handle response by reading response.StatusCode
   Console.WriteLine(response.Content);
  }
 }
}

Chaque demande RGPD peut être interrogée ultérieurement pour connaître son état, en spécifiant le subject_request_id. Il existe 4 types d'état pris en charge :

1. pending - Une demande correcte a été reçue et est actuellement en file d'attente
2. in_progress - Une demande est actuellement en cours d'exécution
3. completed - Une demande a été satisfaite
4. cancelled - Une demande a été annulée

Format de l'état de la demande

Une demande d'état peut être envoyée via HTTP GET au point de terminaison suivant :

https://hq1.appsflyer.com/gdpr/opengdpr_requests/[subject_request_id]?api_token=[api token]

Exemple de réponse concernant l'état

HTTP/1.1 200 OK
Content-Type: application/json
X-OpenGDPR-Processor Domain: example processor.com
X-OpenGDPR-Signature:
kiGlog3PdQx+FQmB8wYwFC1fekbJG7Dm9WdqgmXc9uKkFRSM4uPzylLi7j083461xLZ+mUloo3tpsmyIZpt5eMfgo7ejXPh6lqB4ZgCnN6+1b6Q3NoNcn/+11UOrvmDj772wvg6uIAFzsSVSjMQxRs8LAmHqFO4cF2pbuoPuK2diHOixxLj6+t97q0nZM7u3wmgkwF9EHIo3C6G1SI04/odvyY/VdMZgj3H1fLnz+X5rc42/wU4974u3iBrKgUnv0fcB4YB+L6Q3GsMbmYzuAbe0HpVA17ud/bVoyQZAkrW2yoSy1x4Ts6XKba6pLifIHf446Bubsf5r7x1kg6Eo7B8zur666NyWOYrglkOzU4IYO8ifJFRZZXazOgk7ggn9obEd78GBc3kjKKZdwaCrLx7WV5y9TMDCf+2FILOJM/MwTUy1dLZiaFHhGdzld2AjbjK1CfVzyPssch0iQYYtbR49GhumvkYl11S4oDfu0c3t/xUCZWg0hoR3XL3B7NjcrlrQinB1KbyTNZccKR0F4Lk9fDgwTVkrAg152UqPyzXxpdzXjfkDkSEgAevXQwVJWBNf18bMIEgdH2usF/XauQoyrne7rcMIWBISPgtBPj3mhcrwscjGVsxqJva8KCVCKD/4Axmo9DISib5/7A6uczJxQG2Bcrdj++vQqK2succ=
{
 "controller_id":"example_controller_id",
 "expected_completion_time":"2018-11-01T15:00:01Z",
 "subject_request_id":"a7551968-d5d6-44b2-9831-815ac9017798",
 "request_status":"pending",
 "api_version":"0.1"
}

Postbacks de l'état

Tel que décrit dans la section Flux de demande RGPD ci-dessus, lorsque l'état de la demande RGPD passe de pending à in_progress à completed, AppsFlyer envoi un postback RGPD aux points de terminaisons demandeurs, spécifiée avec la propriété status_callback_urls .

Exemple de postback d'état :

POST /opengdpr_callbacks HTTP/1.1
Host: examplecontroller.com
Content-Type: application/json
X-OpenGDPR-Processor Domain: appsflyer.com
X-OpenGDPR-Signature: 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

{
"controller_id":"example controller id at the processor",
"expected_completion_time":"2018-11-01T15:00:01Z",
"status_callback_url":"https://examplecontroller.com/opengdpr_callbacks",
"Subject_request_id":"a7551968-d5d6-44b2-9831-815ac9017798",
"Request_status":"pending"
}

Une fois qu'une demande d'accès ou une demande de portabilité a été effectuée, vous pouvez télécharger le rapport via HTTP GET au point de terminaison suivant :

https://hq1.appsflyer.com/gdpr/download/[REQUEST_ID]?api_token=[TOKEN]

Le rapport généré est disponible pendant quatorze jours à compter de la date d'achèvement.

Pour en savoir plus sur les formats pris en charge par AppsFlyer, une demande de découverte peut être soumise via HTTP GET au point de terminaison suivant :

https://hq1.appsflyer.com/gdpr/discovery?api_token=[api token]

Exemple de réponse à une demande de découverte

HTTP/1.1 200 OK
Content-Type: application/json
{
 "api_version": "0.1",
 "supported_identities": [
 {
  "identity_type": "android_advertising_id",
  "identity_format": "raw"
 },
 ],
 "supported_subject_request_types": [
 "erasure", "access", "portability", "rectification"
 ],
 "processor_certificate": "https://exampleprocessor.com/cert.pem"
}

Il est possible d'annuler une demande RGPD selon son subject_request_id, mais uniquement pendant la phase pending. 

Pour ce faire, envoyez un HTTP DELETE avec subject_request_id à :

https://hq1.appsflyer.com/gdpr/opengdpr_requests/[subject_request_id]?api_token=[api token]

Réponse à une demande d'annulation

Lors de la réception d'une demande d'annulation RGPD, AppsFlyer renvoie une réponse HTTP avec le code d'état 202 et plusieurs autres paramètres.

Une fois l'annulation de la demande effectuée, AppsFlyer envoie un postback avec l'état cancelled. 

Cette API AppsFlyer est une API test pour l'API des demandes RGPD d'AppsFlyer. 

Comment fonctionne l'API de test ?

L'API de test fonctionne comme suit :

1. Une fois qu'une demande RGPD a été effectuée, celle-ci passe immédiatement à l'état « Pending ». À des fins de test, l'état change toutes les 30 secondes.

2. Si un point de terminaison pour un postback d'état a été inséré dans la demande RGPD, un premier postback est envoyé directement après la demande, et deux autres postbacks d'état sont envoyées par intervalles de 30 secondes.

Point de terminaison du test de demande RGPD :

https://hq1.appsflyer.com/gdpr/stub?api_token=[api token]

Point de terminaison du test de demande d'état :

https://hq1.appsflyer.com/gdpr/stub/[request id]?api_token=[api token]

Point de terminaison du test de demande de découverte :

https://hq1.appsflyer.com/gdpr/stub/discovery?api_token=[api token]

Point de terminaison du test de demande d'annulation :

https://hq1.appsflyer.com/gdpr/stub/[request id]?api_token=[api token]

L'administrateur de compte peut accéder aux demandes de GDPR soumises dans le tableau de bord des journaux.

Pour les demandes d'accès et de portabilité terminées, il est également possible de télécharger le rapport depuis ce tableau de bord.

Pour accéder au tableau de bord Logs :

1. Rendez-vous sur le tableau de bord principal et cliquez sur votre nom d'utilisateur.
2. Cliquez sur Logs pour ouvrir la fenêtre suivante :

Les codes de retour et messages d'erreur HTTP de l'API de demande RGPD sont présentés dans ce chapitre. 

Code de retour HTTP 400 - demande incorrecte

Les messages avec code de retour 400 contiennent un JSON indiquant le code et le message d'erreur.

{ "error": { "Code":400, "af_gdpr_code": "%AF error code%", "message":"%error message text%" } }