Les termes n'obligent pas les fournisseurs à fournir chaque mise à jour, mais ils ne sont pas autorisés à perdre du temps. Ils doivent fournir "au moins" quatre mises à jour la première année après la sortie d'un appareil et un nombre non spécifié de mises à jour la deuxième année. Ils ne peuvent pas non plus se permettre de négliger la sécurité très longtemps – à la fin de chaque mois, les entreprises doivent offrir une protection contre toutes les vulnérabilités identifiées il y a plus de 90 jours, quel que soit le nombre de mises à jour publiées.
Il y a aussi des dents derrière l'accord. Si une entreprise ne respecte pas les exigences, Google peut refuser une approbation et bloquer efficacement la vente d'un appareil.
Dans une réponse, un représentant de Google n'a pas directement accusé réception du contrat, mais a déclaré que les correctifs de 90 jours constituaient une "exigence de sécurité minimale" et a fait observer que "la majorité" de plus de 200 appareils Android disposait de mises à jour de sécurité des 90 derniers jours .
Il n'est pas certain que vous obtiendrez les mises à jour à temps. Dans certains cas, vous devrez quand même faire face aux délais de test des transporteurs. Même dans ce cas, cela pourrait aider à résoudre les mauvaises habitudes de ces fabricants Android qui fournissent des mises à jour sporadiquement ou réservent des correctifs pour certains modèles. Désormais, même un appareil modestement performant devra être relativement sécurisé. Bien que la politique ne soit d'aucune utilité en cas de problème de sécurité très récent, elle devrait néanmoins définir une base permettant d'éviter les défaillances particulièrement graves.