Требования те же самые, что для сайта: приложение, которое собирает телефон, имя или другие данные пользователя, делает вашу компанию оператором персональных данных со всеми обязанностями - уведомление в Роскомнадзор до начала обработки, опубликованная политика конфиденциальности и согласие пользователя, полученное явным действием, а не по умолчанию.
Специфика в том, где и как это оформляется технически. Согласие обычно берут на экране регистрации - чекбокс, который пользователь отмечает сам перед тем, как нажать «Зарегистрироваться», со ссылкой на политику конфиденциальности внутри самого приложения. Ссылку на ту же политику дублируют в карточке приложения в Google Play и App Store - оба магазина требуют указывать политику конфиденциальности для публикации, это отдельное требование площадок, не заменяющее обязанности по 152-ФЗ.
Отдельно стоит проверить, какие данные приложение собирает помимо тех, что пользователь вводит сам: геолокацию, идентификатор устройства, push-токен, данные из адресной книги при запросе доступа к контактам. Часть из этого тоже относится к персональным данным или связанной с ними информации, и цели такого сбора должны быть отражены в политике конфиденциальности, а не собираться «на всякий случай».
По серверам действует то же правило локализации, что и для сайтов: база данных пользователей - граждан России должна находиться на серверах в России, независимо от того, где физически размещен бэкенд остальной части приложения. Если используете зарубежный push-сервис или аналитику, стоит отдельно посмотреть, какие данные пользователей туда уходят.