Использование AppsFlyer OpenGDPR API для соблюдения нормативных требований по защите данных

Процедура выполнения запросов GDPR

Процедура выполнения запросов GDPR всех типов (доступ к данным, переносимость данных, удаление или исправление данных) одинакова:

1. Пользователь приложения отправляет запрос.
2. Владелец приложения создает запрос GDPR (см. ниже) и отправляет его в AppsFlyer.
3. AppsFlyer получает запрос и, если запрос правильный, отправляет ответ "201 OK".
4. Запрос помещается в очередь и в течение следующих 48 часов имеет статус pending (в ожидании). На этом этапе пользователь приложения может отменить запрос. 
5. Через 48 часов статус запроса меняется на in_progress (выполняется). AppsFlyer отправляет постбэк "status change" (изменение статуса). Запрос уже нельзя отменить. 
6. a) AppsFlyer выполняет запрос в течение 28 дней.
   Если пользователь приложения запросил удаление или исправление данных, его данные удаляются.
   Если поступил запрос на переносимость данных или доступ к данным, то доступ к данным пользователя приложения можно осуществить на панели управления AppsFlyer в разделе GDPR или с помощью запросов к API (см.ниже).
   b) Статус запроса меняется на completed (выполнено).  AppsFlyer отправляет постбэк "status change" (изменение статуса) .

Формат запроса GDPR

В API GDPR для отправки запросов используется HTTP-команда POST в конечную точку: 

https://hq1.appsflyer.com/gdpr/opengdpr_requests?api_token=[api token]

Токен API — это тот же токен API, который используется для Pull API. Администратор получает токен Pull API на странице токен API на панели управления.  

Пример запроса GDPR на удаление данных 

curl --location --request POST 'https://hq1.appsflyer.com/gdpr/opengdpr_requests?api_token=[api_token]' \
--header 'Accept: application/json' \
--header 'Content-Type: application/json' \
--data-raw '{ 
 "subject_request_id":"f4e5a271-f25e-4107-b681-************",
 "subject_request_type":"erasure",
 "submitted_time":"2020-07-05T10:00:00Z",
 "subject_identities":[ 
  { 
   "identity_type":"android_advertising_id",
   "identity_value":"55*****-****-****-************",
   "identity_format":"raw"
  }
 ],
 "api_version":"0.1",
 "property_id":"com.*********.*******.********",
 "status_callback_urls":[ 
  "https://examplecontroller.com/opengdpr_callbacks"
 ]
}'
 

Пример кода запроса GDPR типа "удаление"

/* 
using the okhttp package install from maven
https://mvnrepository.com/artifact/com.squareup.okhttp3/okhttp
 */

import okhttp3.*;
import java.io.IOException;

public class GdprSendRequest {
 public static void main(String[] args){

  OkHttpClient client = new OkHttpClient();
  RequestBody body = RequestBody.create(null, "" +
  "{\r\n\"subject_request_id\": \"<SUBJECT_ID>\"," +
  "\r\n\"subject_request_type\": \"erasure\"," +
  "\r\n\"submitted_time\": \"2018-11-02T15:00:00Z\"," +
  "\r\n\"subject_identities\": [\r\n" +
  "{\r\n\"identity_type\": \"android_advertising_id\"," +
  "\r\n\"identity_value\": \"<ADVERTISING_ID>\"," +
  "\r\n\"identity_format\": \"raw\"\r\n}" +
   "\r\n]," +
   "\r\n\"property_id\": \"com.example.application\"}");

  Request request = new Request.Builder()
  .url("https://hq1.appsflyer.com/gdpr/opengdpr_requests?api_token=<API_TOKEN>")
  .post(body)
  .addHeader("Content-Type", "application/json")
   .addHeader("Accept", "application/json")
  .build();

  try {
   Response response = client.newCall(request).execute();
   System.out.println(response.code());
   System.out.println(response.body().string());
   System.exit(0);
  } catch (IOException e) {
   e.printStackTrace();
   System.exit(1);
  }
 }
}

""" using the requests python package, 
install using pip install requests """

import requests
import json
headers = {
 "Content-Type": "application/json",
 "Accept": "application/json"
}
params = {
 "api_token": ""
}
body = {
 "subject_request_id": "", 
 "subject_request_type": "erasure", 
 "submitted_time": "2018-10-02T15:00:00Z", 
 "subject_identities": [
  { "identity_type": "android_advertising_id", 
   "identity_value": "", 
   "identity_format": "raw" }
  ], 
 "property_id": "com.example.application" 
} 
body = json.dumps(body) 
res = requests.request("POST", 
"https://hq1.appsflyer.com/gdpr/opengdpr_requests", 
headers=headers, data=body, params=params) 
print(res.text) 
 

/* using the request npm package, 
install using npm install request */

var request = require("request");
var options = { method: 'POST',
 url: 'https://hq1.appsflyer.com/gdpr/opengdpr_requests',
 qs: { api_token: '' },
 headers: 
 { Accept: 'application/json',
  'Content-Type': 'application/json' },
 body:
 { subject_request_id: '<SUBJECT_ID>',
  subject_request_type: 'erasure',
  submitted_time: '2018-10-02T15:00:00Z',
  subject_identities: 
  [ { identity_type: 'android_advertising_id',
   identity_value: '<ADVERTISING_ID>',
   identity_format: 'raw' } ],
 property_id: 'com.example.application'
 },
 json: true };
request(options, function (error, response, body) {
 if (error) throw new Error(error);

 console.log(body);
});

using System;
using RestSharp;
namespace CS
{
 class Gdpr
 {
  static void Main(string[] args)
  {
		var url = "https://hq1.appsflyer.com/gdpr/opengdpr_requests";
		var apiToken = "?api_token=<API_TOKEN>";
  var client = new RestClient(url + apiToken);
  var request = new RestRequest(Method.POST);
  request.AddHeader("Content-Type", "application/json");
  Request.AddHeader("Accept", "application/json");
  var body = "{\r\n\"subject_request_id\": \"<SUBJECT_ID>\"," + 
   "\r\n \"subject_request_type\": \"erasure\"," + 
   "\r\n \"submitted_time\": \"2018-11-02T15:00:00Z\"," +
   "\r\n \"subject_identities\": [\r\n" +
   "{ \r\n \"identity_type\": \"android_advertising_id\"," +
   "\r\n \"identity_value\": \"<ADVERTISING_ID>\"," + 
   "\r\n \"identity_format\": \"raw\"\r\n }" + 
   "\r\n ]," + 
   "\r\n \"property_id\": \"com.example.application\"}";
		 
   request.AddParameter("undefined", body,ParameterType.RequestBody);
   IRestResponse response = client.Execute(request);
   // handle response by reading response.StatusCode
   Console.WriteLine(response.Content);
  }
 }
}

Для каждого отправленного запроса GDPR можно впоследствии отправить запрос о его состоянии, указав параметр subject_request_id. Возможны четыре варианта состояния:

1. pending (Ожидание) — получен правильный запрос, который в данное время находится в очереди.
2. in_progress (Выполняется) — запрос в данное время находится в обработке.
3. completed (Выполнен) — запрос выполнен.
4. cancelled (Отменен) — запрос отменен.

Формат запроса состояния

Для отправки запросов состояния используется HTTP-команда GET в следующую конечную точку:

https://hq1.appsflyer.com/gdpr/opengdpr_requests/[subject_request_id]?api_token=[api token]

Пример ответа на запрос состояния

HTTP/1.1 200 OK
Content-Type: application/json
X-OpenGDPR-Processor Domain: example processor.com
X-OpenGDPR-Signature:
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
{
 "controller_id":"example_controller_id",
 "expected_completion_time":"2018-11-01T15:00:01Z",
 "subject_request_id":"a7551968-d5d6-44b2-9831-815ac9017798",
 "request_status":"pending",
 "api_version":"0.1"
}

Постбэки состояния

Как описано выше в разделе Процедура выполнения запросов GDPR, при изменении состояния запроса GDPR с pending на in_progress и на completed AppsFlyer отправляет постбэк GDPR в запрашивающие конечные точки, которые указаны в свойстве status_callback_urls.

Пример постбэка состояния:

POST /opengdpr_callbacks HTTP/1.1
Host: examplecontroller.com
Content-Type: application/json
X-OpenGDPR-Processor Domain: appsflyer.com
X-OpenGDPR-Signature: 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

{
"controller_id":"example controller id at the processor",
"expected_completion_time":"2018-11-01T15:00:01Z",
"status_callback_url":"https://examplecontroller.com/opengdpr_callbacks",
"Subject_request_id":"a7551968-d5d6-44b2-9831-815ac9017798",
"Request_status":"pending"
}

После выполнения запроса типа "доступ" или "переносимость" можно с помощью HTTP-команды GET загрузить отчет в следующую конечную точку:

https://hq1.appsflyer.com/gdpr/download/[REQUEST_ID]?api_token=[TOKEN]

Сформированный отчет доступен в течение 14 дней .

Для получения сведений о форматах, которые поддерживает AppsFlyer, можно отправить запрос на обнаружение с помощью HTTP-команды GET в следующую конечную точку:

https://hq1.appsflyer.com/gdpr/discovery?api_token=[api token]

Пример ответа на запрос на обнаружение

HTTP/1.1 200 OK
Content-Type: application/json
{
 "api_version": "0.1",
 "supported_identities": [
 {
  "identity_type": "android_advertising_id",
  "identity_format": "raw"
 },
 ],
 "supported_subject_request_types": [
 "erasure", "access", "portability", "rectification"
 ],
 "processor_certificate": "https://exampleprocessor.com/cert.pem"
}

Запрос GDPR можно отменить, указав его параметр subject_request_id, однако это возможно только на этапе pending (ожидание). 

Для этого отправьте HTTP-команду DELETE с параметром subject_request_id в конечную точку:

https://hq1.appsflyer.com/gdpr/opengdpr_requests/[subject_request_id]?api_token=[api token]

Ответ на запрос об отмене

При получении запроса на отмену AppsFlyer возвращает HTTP-ответ с кодом состояния 202 и ряд других параметров.

После отмены запроса AppsFlyer отправляет постбэк с состоянием cancelled (Отменен). 

Этот API AppsFlyer представляет собой тестовый API запросов GDPR. 

Схема работы

Тестовый API работает следующим образом:

1. Сразу после получения запроса GDPR он переводится в состояние "Pending" (ожидание). Для целей тестирования состояние меняется каждые 30 секунд.

2. Если запрос GDPR содержит конечную точку для постбэка состояния, первый постбэк отправляется сразу же после получения запроса, а затем отправляются еще два постбэка состояния с интервалом 30 секунд.

Конечная точка тестирования запросов GDPR:

https://hq1.appsflyer.com/gdpr/stub?api_token=[api token]

Конечная точка тестирования запросов состояния:

https://hq1.appsflyer.com/gdpr/stub/[request id]?api_token=[api token]

Конечная точка тестирования запросов на обнаружение:

https://hq1.appsflyer.com/gdpr/stub/discovery?api_token=[api token]

Конечная точка тестирования запроса на отмену:

https://hq1.appsflyer.com/gdpr/stub/[request id]?api_token=[api token]

Администратор аккаунта может получить доступ к запросам GDPR, отправленным из раздела журналов дэшборда.

Кроме того, на этой панели управления можно загрузить отчет о выполненных запросах типа "доступ" и "переносимость".

Доступ к разделу журналов на панели управления:

1. Откройте главную страницу панели управления и нажмите на свое имя пользователя.
2. Выберите Logs, после чего откроется показанное ниже окно:

В этом разделе приведены HTTP-коды возврата для API GDPR и сообщения об ошибках. 

HTTP-код возврата 400 - неверный запрос

В сообщениях с кодом 400 содержится JSON, код ошибки и текст сообщения об ошибке.

{ "error": { "Code":400, "af_gdpr_code": "%AF error code%", "message":"%error message text%" } }