En resumen
Google Play ha empezado a señalar las apps Android cuyas solicitudes de contactos y de ubicación precisa van más allá de lo que permiten sus nuevas políticas, meses antes de que las reglas se apliquen. Las apps orientadas a Android 17 deben usar el Contact Picker del sistema en lugar de leer toda la libreta de direcciones, y un botón de ubicación de un solo toque para las tareas de ubicación puntuales. Para los equipos que llevan el desarrollo de apps Android de un producto existente, las comprobaciones del 27 de octubre son el primer momento en que una actualización no conforme recibe un aviso en Play Console.
¿Qué ha cambiado Google en la política de Play?
Google anunció los cambios el 15 de abril de 2026 en una publicación de Bennet Manuel, Group Product Manager. Una nueva política Contacts Permissions convierte el Contact Picker de Android en la vía predeterminada para obtener datos de contactos para invitaciones, compartir o consultas puntuales. Las apps orientadas a Android 17 solo pueden solicitar READ_ cuando el selector no puede dar soporte a la funcionalidad principal y, en ese caso, deben justificar esa necesidad en una declaración para desarrolladores de Play (Play Developer Declaration). En palabras de Google, el acceso amplio a los contactos «se reservará para las apps que no pueden funcionar sin él».
La política Location Permissions actualizada introduce el botón de ubicación como alcance mínimo para la ubicación precisa. Cuando una app necesita una ubicación precisa solo para una acción concreta iniciada por el usuario, como encontrar una tienda cercana o etiquetar una foto, debe añadir el indicador only en su manifiesto y usar el botón en lugar de un permiso permanente de ubicación precisa. Las apps que realmente necesitan una ubicación precisa persistente presentan una declaración que demuestre por qué el botón o la ubicación aproximada no son suficientes. La misma ronda de políticas también eliminó la geovalla (geofencing) como caso de uso aprobado de servicio en primer plano y remite a los desarrolladores a la Geofence API.
¿Qué hacen las comprobaciones previas a la revisión del 27 de octubre?
El calendario de Google fijó el 27 de octubre de 2026 como inicio de las comprobaciones previas a la revisión en Play Console, que detectan posibles problemas con los permisos de contactos o ubicación antes de que una actualización pase a revisión. Junto a ellas, las Play policy insights de Android Studio están pensadas para indicar a los desarrolladores, dentro del IDE, si una app debería pasar al nuevo selector o al botón. Las comprobaciones son una capa de aviso: la vista previa de políticas de Google indica el 27 de enero de 2027 como fecha en que los dos requisitos entran en vigor para las apps orientadas al nivel de API 37.
Ese margen importa porque las reglas de nivel de API objetivo de Play cambian cada año. En cuanto un equipo sube su targetSdkVersion a 37, algo que Google Play acabará exigiendo para las actualizaciones, la app queda sujeta a ambas políticas, y una solicitud de libreta de direcciones o de ubicación precisa sin una declaración válida pasa a ser un riesgo en la revisión en lugar de una mejora opcional.
¿Cómo funcionan el Contact Picker y el botón de ubicación?
El Contact Picker es una interfaz del sistema que permite al usuario elegir contactos concretos, y solo los campos solicitados, en lugar de conceder a una app toda la libreta de direcciones. El acceso se limita a lo que el usuario ha seleccionado. El botón de ubicación es un control del sistema que entrega a una app una ubicación precisa para la sesión actual con un solo toque y después caduca, de modo que un localizador de tiendas o una función de check-in ya no necesitan un permiso permanente de ubicación precisa.
| Caso de uso | Enfoque esperado para las apps orientadas a Android 17 |
|---|---|
| Invitar a amigos, compartir con un contacto, consulta puntual | Contact Picker de Android o Sharesheet; eliminar READ_ |
| Sincronización completa y continua de contactos (p. ej., marcador, CRM, mensajería) | READ_ más una declaración en Play Console |
| Buscar lugares cercanos, etiquetar una publicación, rellenar una dirección una vez | Botón de ubicación con only |
| Navegación, seguimiento de entregas, rutas de fitness | Ubicación precisa persistente más una declaración |
| Tareas activadas por geovallas en un servicio en primer plano | Geofence API en lugar de un servicio en primer plano |
Investigadores de privacidad han señalado que Apple ya dio a los usuarios de iOS controles similares de contactos limitados en iOS 18, por lo que Google está cerrando una brecha más que abriendo un frente nuevo. Para los equipos multiplataforma esto resulta útil: una única decisión de producto sobre «qué contactos necesitamos realmente» puede implementarse ahora de la misma manera en ambas tiendas.
Qué significa para los equipos de software de EE. UU. y la UE
Para los product owners, el riesgo principal no es el cambio de código, sino el inventario. Muchas apps solicitan los contactos o la ubicación precisa porque una versión inicial lo necesitó alguna vez, o porque un SDK de referidos, analítica o publicidad incorporó el permiso al manifiesto combinado. Esas solicitudes necesitan ahora un motivo que Google acepte, y las comprobaciones del 27 de octubre las harán aflorar en la próxima subida. Auditar el manifiesto combinado, incluidas las bibliotecas de terceros, es la forma más rápida de ver en qué situación está una app.
Para los productos orientados a la UE, la política encaja con el principio de minimización de datos del RGPD: recoger dos contactos seleccionados en lugar de una libreta de direcciones completa reduce los datos personales que una app trata, almacena y debe proteger, y simplifica el registro de las actividades de tratamiento que mantiene un equipo de privacidad. En EE. UU., la misma reducción disminuye la exposición a las leyes estatales de privacidad. Los equipos de apps de logística, retail y redes sociales, donde la ubicación y las invitaciones impulsan los flujos principales, deberían tratar el texto de la declaración como documentación de producto: tiene que coincidir con lo que la app hace de forma visible. Qué significa para el mercado español: en España, la AEPD (Agencia Española de Protección de Datos) y el principio de minimización de datos del RGPD y la LOPDGDD ya exigen tratar solo los datos necesarios para la finalidad. Las comprobaciones de Google se alinean técnicamente con lo que los delegados de protección de datos (DPO) en España ya piden. En las apps de reparto, movilidad y retail, la declaración de Play, el registro de las actividades de tratamiento y la política de privacidad de la app deberían ofrecer la misma justificación.
La cuestión presupuestaria es el momento. Adoptar el selector y el botón de ubicación suele ser un cambio acotado, pero afecta a los flujos de onboarding, referidos y checkout, que se prueban de extremo a extremo. Hacerlo en el ciclo de lanzamiento actual, mientras Play solo avisa, es más barato que hacerlo bajo la presión de una actualización rechazada a principios de 2027.
Lista de comprobación para equipos Android
- Audite el manifiesto combinado. Enumere cada
READ_,CONTACTS ACCESS_FINE_LOCATIONy tipo de servicio en primer plano, incluidos los que añaden los SDK. - Asigne cada permiso a una función. Decida si la función necesita acceso continuo o una acción puntual del usuario.
- Cambie los flujos puntuales. Traslade las invitaciones y el uso compartido al Contact Picker o a Sharesheet, y las tareas de ubicación puntuales al botón de ubicación.
- Prepare las declaraciones. Para las apps que realmente necesitan todos los contactos o la ubicación precisa persistente, redacte la declaración de Play Console y mantenga coherente con ella la información que muestra la app.
- Suba una compilación de prueba. Publique una compilación en el canal interno para ver qué indican las nuevas comprobaciones previas a la revisión antes del próximo lanzamiento a producción.
- Planifique el salto a API 37. Programe la actualización de
targetSdkVersiona 37 junto con estos cambios para probarlos una sola vez.
Preguntas frecuentes
¿Qué cambia en Google Play el 27 de octubre de 2026?
Google Play Console empieza a ejecutar comprobaciones previas a la revisión que señalan posibles problemas con la nueva política Contacts Permissions y la política Location Permissions actualizada antes de enviar una actualización de la app. Google anunció las comprobaciones el 15 de abril de 2026, junto con las propias políticas.
¿A qué apps afecta la política Contacts Permissions?
A las apps orientadas a Android 17 (nivel de API 37) o superior. Solo pueden solicitar READ_CONTACTS si el Contact Picker de Android no basta para la funcionalidad principal y, en ese caso, deben presentar una declaración en Play Console que explique el motivo. Las apps que usan los contactos para compartir o invitar deberían pasar al Contact Picker o a Sharesheet y eliminar READ_CONTACTS.
¿Qué es el botón de ubicación de Android y cuándo es obligatorio?
El botón de ubicación es un control del sistema de Android 17 que concede la ubicación precisa durante una sola sesión con un toque. Para las apps orientadas a Android 17 o superior que necesitan la ubicación precisa solo para una acción puntual iniciada por el usuario, como encontrar una tienda cercana o etiquetar una foto, Google Play exige el botón de ubicación, activado con el indicador de manifiesto onlyForLocationButton, en lugar de un permiso persistente de ubicación precisa.
¿Cuándo pasan a ser obligatorias las nuevas políticas de Play?
La página de vista previa de políticas de Google indica el 27 de enero de 2027 como fecha de entrada en vigor de los requisitos Contacts Permissions y Location Permissions para las apps orientadas al nivel de API 37 o superior. Las comprobaciones previas a la revisión del 27 de octubre de 2026 son un aviso anticipado para que los equipos puedan corregir los problemas antes de su aplicación.
Fuentes
Android Developers Blog — Boosting user privacy and business protection with updated Play policies (en inglés) (15 de abril de 2026)
Play Console Help — Preview: Permissions and APIs that Access Sensitive Information (en inglés)
Play Console Help — Policy announcement: April 15, 2026 (en inglés)
Help Net Security — Google Play is changing how Android apps access your contacts and location (en inglés) (16 de abril de 2026)
Malwarebytes — Android 17 ends all-or-nothing access to your contacts (en inglés) (21 de abril de 2026)