Local-only чтение страны — не «collection» для Google и Apple, но ePrivacy Art.5(3) всё равно требует осторожности в ЕС

Risk-matrix: сигнал → разрешение → Play → Apple → ePrivacy → надёжность → итог

1. Android: TelephonyManager и Locale

[ПРАВИЛО] Текущая SDK reference: getSimCountryIso — “Returns the ISO-3166-1 alpha-2 country code equivalent for the SIM provider's country code.”; getNetworkCountryIso — “Returns the ISO-3166-1 alpha-2 country code equivalent of the MCC (Mobile Country Code) of the current registered operator or the cell nearby, if available.” В декларациях этих методов на текущей reference нет @RequiresPermission — в отличие от защищённых методов той же страницы; runtime/manifest permission не документировано. Формулируем это как «current SDK reference/declaration has no annotation», а не как абсолютное доказательство «из отсутствия текста». Дата обновления на странице не отображается; проверено 2026-09-01 — developer.android.com.

[ИНТЕРПРЕТАЦИЯ] getSimCountryIso — домашняя страна SIM-провайдера, не текущая физическая; ошибается при roaming/foreign SIM, при no SIM/inactive subscription обычно пусто. getNetworkCountryIso — страна MCC текущего оператора или соседней соты: ближе к физической, но недоступна на Wi-Fi-only/airplane/emulator и может ошибаться в погранзонах/роуминге. Ограничения Android 10 касаются non-resettable идентификаторов (IMEI/MEID/IMSI/SIM serial/subscriber ID) — country-ISO к ним не относится; в списках non-SDK-ограничений упоминается лишь скрытая subscription-перегрузка — developer.android.com. В официальных behavior changes Android 12–16 изменений именно этих методов не найдено; объявленных будущих ограничений на 2026-09-01 не найдено.

[ИНТЕРПРЕТАЦИЯ] Edge-матрица no-SIM/dual-SIM/eSIM/work-profile/emulator в официальных доках неполна: default TelephonyManager привязан к default subscription/device context; для конкретной активной подписки нужен createForSubscriptionId; eSIM — это subscription; на no-SIM/emulator возможна пустая/статическая конфигурация. Work profile не делает сигнал profile-specific: telephony state обычно device/subscription-scoped — техническая интерпретация, не обещание API. Не выбирать KZ-сервер по первому произвольному SIM в dual-SIM: конфликт сигналов → fallback/ручной выбор.

[ИНТЕРПРЕТАЦИЯ] Locale.getDefault().getCountry() и .NET RegionInfo.CurrentRegion — пользовательская настройка региона, не физическая страна; permission не нужны. На Unity/IL2CPP проверьте фактический mapping RegionInfo к platform locale и возможные исключения. TimeZoneInfo.Local.Id — corroboration-сигнал: таймзона не уникальна стране, есть алиасы и платформенные различия.

2. Google Play: Data safety, ephemeral, Approximate location

[ПРАВИЛО] Определение collection и local-only исключение — см. цитату выше (support.google.com; страница не показывает last-updated; проверено 2026-09-01). Ephemeral processing — иное: это off-device передача, обработанная в памяти не дольше, чем нужно real-time запросу; её всё равно указывают в форме, хотя пользователю она может не показываться. Наш сценарий — не ephemeral: SharedPreferences/PlayerPrefs — локальная персистентность, но она вовсе не collection, пока данные никогда не уходят с устройства.

[ПРАВИЛО] Approximate location: “User or device physical location to an area greater than or equal to 3 square kilometers…”; inferred approximate location, включая via IP address или Access Point Name, must be disclosed — support.google.com.

[ИНТЕРПРЕТАЦИЯ] Документация не классифицирует SIM-country/locale-country/timezone по источнику. Семантика решает: network MCC, переданный как proxy текущей страны — safest Approximate location; SIM home country при роуминге — не physical location, классификация спорна, но если продукт называет её местоположением — safest Approximate location; locale/timezone как настройки — не обязательно Location, но при передаче именно для вывода физического местоположения — консервативно Location. В local-only сценарии спор не меняет ответ Data safety.

[ПРАВИЛО] User Data policy запрещает linking persistent identifiers (IMEI/IMSI/SIM serial) с sensitive data вне узких случаев — country ISO не persistent identifier, и эти методы не возвращают IMSI/serial — support.google.com. Device and Network Abuse не содержит отдельного запрета на чтение country ISO — support.google.com. INTERNET-only manifest достаточен для этих вызовов.

3. Apple: App Privacy, privacy manifest, CTCarrier

[ПРАВИЛО] Apple определяет collection как off-device передачу, доступную разработчику/третьей стороне дольше, чем нужно для обслуживания real-time запроса; on-device-only данные не «collected» и не декларируются — developer.apple.com (страница без даты обновления; checked 2026-09-01). App privacy details обязаны включать third-party partners: нельзя выбрать «Data Not Collected» для всего приложения при AdMob/Firebase — локальный сигнал лишь не добавляет data type — developer.apple.com.

[ПРАВИЛО] Required Reason API: approved reasons обязательны с 1 мая 2024 — developer.apple.com; с 12 февраля 2025 privacy-impacting SDK обязаны нести собственный манифест (ITMS-91061) — developer.apple.com/forums. Категории (осторожно, текущий список): file timestamp, system boot time, disk space, active keyboards, user defaults; canonical-список и коды — developer.apple.com. Carrier info, NSLocale и timezone в категории не входят; NSUserDefaults входит — для defaults собственного приложения обычно reason CA92.1. Unity PlayerPrefs на iOS обычно реализован через NSUserDefaults: проверьте сгенерированный PrivacyInfo.xcprivacy своей версии Unity и манифесты интегрированных SDK.

[ПРАВИЛО] CTCarrier deprecated в iOS 16 с аннотацией “Deprecated with no replacement”; сборки с iOS 16.4 SDK+ получают статические значения (документированные плейсхолдеры: carrierName/isoCountryCode “--”, MCC/MNC “65535”) — developer.apple.com. Замены для carrier-country нет → использовать NSLocale.region/countryCode, не CTCarrier.

[ИНТЕРПРЕТАЦИЯ] App Review: правила о consent/purpose касаются Location Services и location data; отдельного запрета на locale/timezone-based suggestion без Core Location permission не найдено. Но скрытый misleading вывод физического местоположения может вызвать privacy concerns. Разделяйте system permission и store disclosure — это разные плоскости.

4. ЕС: ePrivacy Art.5(3), EDPB, Planet49

[ПРАВИЛО] Консолидированный Art.5(3): storing of information, or the gaining of access to information already stored, in the terminal equipment допускается только с согласием после clear and comprehensive information; исключения — solely for carrying out the transmission и “strictly necessary in order for the provider of an information society service explicitly requested by the subscriber or user to provide the service” — eur-lex.europa.eu. Planet49 (CJEU): активное согласие для storage/access; персональность данных не решающая — curia.europa.eu.

[ПРАВИЛО] EDPB Guidelines 2/2023 о технической сфере Art.5(3) — technology-neutral, применяются к «information», не только к персональным данным; консультационная версия adopted 2023-11-14 — edpb.europa.eu. В более поздней переписке EDPB guidelines цитируются как «adopted on 7 October 2024» — edpb.europa.eu; точную финальную версию/дату из имеющихся строк подтвердить полностью нельзя — отмечаем пробел; проверено 2026-09-01.

[ИНТЕРПРЕТАЦИЯ] Ключевой спор: консервативная трактовка — native app, читающее OS/SIM/locale/timezone, «gains access» к информации терминала даже без сетевой передачи; узкая — provider не «gains access», если результат не покидает локальный execution context. Technology-neutral scope EDPB поддерживает первую; прямого примера local-only server recommendation нет; национальная имплементация и enforcement различаются. Strictly necessary: pro — правильный региональный endpoint часть запрошенной MMO-сессии; contra (сильнее) — игра работает с обычным default/QoS/ручным выбором, автострана лишь удобство → не strictly necessary. Не полагаться на exemption без local counsel. Safest EU path: явный first-run выбор сервера/страны либо предварительное информированное opt-in на автоопределение; минимум — прозрачно описать local-only логику в privacy notice: если никакой controller данные не получает, GDPR-transparency может не срабатывать, но информирование/consent по ePrivacy и fairness остаются; добровольное короткое раскрытие — дешёвый риск-редьюсер.

5. Enforcement и индустриальная практика

[ПРАКТИКА] Из 95 кандидат-строк (1 551 уникальный веб-результат): не найден надёжно задокументированный официальный или first-person кейс, где Google потребовал Approximate location именно из-за getSimCountryIso/getNetworkCountryIso без передачи. Это не доказывает отсутствие таких кейсов; анонимные форумные анекдоты — не policy. Generic-риск реален: несоответствие Data safety фактическому SDK/network traffic ведёт к rejection/suspension, но виновники — IP/GPS/SDK, не country-ISO getter.

[ПРАКТИКА] Индустрия: Unity Relay по умолчанию использует QoS-замеры; если region omitted — origin network address как heuristic; игрок может выбрать регион — docs.unity.com. Photon-style системы выбирают best region по ping/QoS — doc.photonengine.com. INTLGame queryMyRegion определяет регион/страну по IP — docs.playernetwork.intlgame.com. Практический ranking: latency → client QoS/ping; regulatory/commercial страна → server-side IP/account/store country; zero-server локальная подсказка → locale + timezone; SIM MCC — supplementary, хуже на планшетах/роуминге/dual-SIM и практически недоступен на современном iOS.

6. Изменения за 12 месяцев и горизонт

[ИНТЕРПРЕТАЦИЯ] За период 2025-09-01 — 2026-09-01 подтверждённых изменений именно для данного сценария не найдено. Изменений Android 12–16 и анонсированных будущих ограничений этих country-методов не найдено (на 2026-09-01). Apple CTCarrier/iOS 16.4 и Required Reason enforcement (2024-05-01) старше 12 месяцев. В данных есть Preview-страница политики Play о sensitive permissions/APIs — прямого текста о local-only getter в ней нет, поэтому не связываем — support.google.com.

Checklist перед публикацией

1. Сначала locale/RegionInfo; timezone — только corroboration; без CTCarrier; telephony — опциональный Android-only сигнал, конфликт → ручной выбор.
2. Экран первого запуска называет рекомендованный сервер и позволяет сменить.
3. Кэшировать только serverId + флаг selectionMade; никогда не логировать raw-входы.
4. Статический/динамический аудит: logcat/proxy/Charles, события Firebase/Analytics/Crashlytics/AdMob, Remote Config, custom headers, crash dumps.
5. Тесты: no SIM, Wi-Fi-планшет, dual SIM, eSIM, roaming, airplane, work profile, emulator, VPN, KZ-локаль за рубежом и иностранная локаль в KZ.
6. Ответ Play Data safety — по полному трафику app/SDK; локальный сигнал сам по себе не collection; при последующей передаче переоценить как Approximate location.
7. App Privacy включает practices SDK; локальный сигнал не даёт label; проверить merged PrivacyInfo.xcprivacy и задекларировать User defaults/CA92.1 при необходимости.
8. Privacy notice: одна фраза — регион/таймзона устройства читаются и обрабатываются локально исключительно для подсказки начального сервера, наружу уходит только выбранный server ID; данные SDK раскрыть отдельно.
9. Запуск в ЕС: ручной выбор или предварительное opt-in, либо заключение counsel по национальному Art.5(3).
10. CI regression guard: запрет полей country/locale/timezone в analytics/network-схемах; повторный policy review каждый релиз.