Kto widzi Twoje wpisy o cyklu

Lista, a nie obietnica

Najbardziej użyteczna odpowiedź na to pytanie to nie „dbamy o Twoją prywatność”, tylko lista: kto dokładnie, co dokładnie widzi i w jakich okolicznościach. Poniżej taka lista, a każdy jej wiersz można sprawdzić w polityce prywatności, a nie tylko w tym artykule.

Format jest wybrany świadomie. „Szanujemy Twoją prywatność” to zdanie, którego nie da się ani potwierdzić, ani obalić. „Supabase widzi czas zmiany wpisu, ale nie jego treść” — da się: albo odpowiada architekturze, albo nie.

Ty

W całości. Lokalna baza na telefonie jest zaszyfrowana, ale klucz leży w bezpiecznym magazynie systemu właśnie Twojego urządzenia — czyli aplikacja otwiera wpisy dla Ciebie i dla nikogo innego.

Jeśli włączyłaś kod PIN, dochodzi jeszcze jedna warstwa: bez niego aplikacja nie otworzy się nawet na odblokowanym telefonie. To ochrona nie przed serwerem, tylko przed sytuacją, w której telefon na kilka minut trafił w cudze ręce.

My

Wpisów — nie. Nie dlatego, że obiecujemy nie czytać, tylko dlatego, że nie mamy klucza: wpis szyfrowany jest na telefonie, zanim cokolwiek pójdzie do sieci.

Co naprawdę widzimy, jeśli włączyłaś kopię w chmurze:

• czas ostatniej zmiany każdego wpisu;
• ich liczbę;
• czy włączyłaś logowanie kodem PIN albo biometrią.

Obecność pliku w magazynie zdjęć dziennika ujawnia sam fakt, że prowadzisz dziennik ciąży — treść pozostaje szyfrogramem.

I jeszcze jedno, co należy do tej listy, choć metadanymi nie jest: treść opinii. Jeśli wysyłasz opinię z aplikacji, trafia do nas jawnie i ją czytamy — w odróżnieniu od wpisów nie jest zaszyfrowana. Właśnie dlatego formularz celowo nie zbiera ani trybu aplikacji, ani ekranu, z którego piszesz, i właśnie dlatego prosimy, żeby nie pisać w opinii o zdrowiu. Przechowywana 90 dni, potem usuwana automatycznie.

To nazywa się metadanymi i zwykle właśnie o nich się milczy. My je nazywamy, bo lista, w której czegoś brakuje, jest gorsza od braku listy: tworzy wrażenie kompletności.

Supabase

Baza danych, magazyn plików i uwierzytelnianie. Projekt umieszczony w Unii Europejskiej, region Irlandia. Supabase widzi dokładnie to samo, co opisano wyżej, i działa jako podmiot przetwarzający na nasze polecenie — nie jako odrębny administrator danych.

Różnica między „podmiotem przetwarzającym” a „administratorem” nie jest tu formalnością — to dwa różne statusy w RODO i polityka posługuje się dokładnie tymi słowami. Podmiot przetwarzający może robić z danymi wyłącznie to, co zlecono mu umową, i nie ma prawa używać ich dla siebie. Administrator ma własną podstawę prawną i własne cele — i dokładnie tak w większości aplikacji opisane są sieci reklamowe.

Qonversion

Ustala, czy Twoja subskrypcja Kvit+ jest aktywna. Otrzymuje identyfikatory techniczne i dane o zakupie. Danych o zdrowiu nie otrzymuje.

To typowe miejsce wycieku w aplikacjach o zdrowiu: usługę subskrypcyjną wbudowuje się tak, że przy okazji widzi zdarzenia wewnątrz aplikacji. Tutaj granica przebiega po jednej linii — subskrypcja osobno, wpisy osobno.

Apple i Google

Realizują płatność i zarządzają subskrypcją. W zakresie tych operacji działają jako odrębni administratorzy danych, według własnych polityk: my nie widzimy numeru Twojej karty, a oni nie widzą Twoich wpisów.

Google (Firebase) i Cloudflare

Ci dwaj są na liście nie dlatego, że widzą dużo, tylko dlatego, że lista musi być kompletna.

Google (Firebase) — biblioteka w aplikacji, potrzebna do powiadomień. Gdy powiadomienia są włączone, Google otrzymuje techniczny identyfikator instalacji i token urządzenia, żeby je dostarczyć. Nie ma w tym danych o zdrowiu.

Cloudflare — hostuje strony na kvitcare.com: ten artykuł, politykę, regulamin, stronę usunięcia konta. Widzi Twój adres IP i techniczne dane żądania, gdy otwierasz stronę — i nic z aplikacji.

Kto NIE widzi nic

Ta lista jest krótsza, ale ważniejsza, bo właśnie tu w większości aplikacji znajdują się pozycje, których być nie powinno:

• sieci reklamowe — w aplikacji ich nie ma;
• brokerzy danych — dane nie są sprzedawane ani przekazywane;
• usługi analityki zachowań — ani jednego narzędzia w aplikacji;
• ubezpieczyciele, pracodawcy, ktokolwiek trzeci — dane do nich nie trafiają, bo nie trafiają nigdzie poza powyższą listę.

Twój telefon a kopie zapasowe systemu

Pytanie, które pada często: czy wpisy nie trafiają do kopii zapasowej telefonu, gdzie obowiązują już zasady Apple i Google, a nie nasze.

Nie. Lokalna baza leży w piaskownicy aplikacji, więc inne aplikacje na telefonie do niej nie sięgną — i celowo nie wchodzi do kopii zapasowych systemu: na iOS pliki bazy są oznaczone jako wyłączone z iCloud, a na Androidzie aplikacja w ogóle nie bierze udziału w tworzeniu kopii. Zapisano to w punkcie 3.1 polityki, nie tylko tutaj.

Czyli kopia zapasowa Twojego telefonu w iCloud albo Google One nie zabiera ze sobą Twoich wpisów. Co zabiera z telefonu poza tym, to sprawa między Tobą a Apple lub Google i rozstrzyga się w ustawieniach systemu. Ale wpisów tam nie ma.

Jak długo to żyje

• Wpisy na telefonie — dopóki ich nie usuniesz albo nie usuniesz aplikacji.
• Kopia w chmurze — dopóki istnieje konto. Usunięty wpis znika z aplikacji od razu, a z serwera kasowany jest ostatecznie nie później niż w ciągu 90 dni: ten termin potrzebny jest po to, żeby usunięcie dotarło do Twoich innych urządzeń.
• Zgłoszenie z formularza opinii — 90 dni, potem usuwane automatycznie.
• Konto — dopóki go nie usuniesz.

Terminów „na wszelki wypadek” nie ma. Każdy termin na liście ma przyczynę, a przyczyna nazwana jest obok niego.

Co możesz zrobić od razu

Prawa z RODO brzmią abstrakcyjnie, dopóki nie powie się, którym przyciskiem się je realizuje. Oto te przyciski.

• Pobrać swoje dane. Eksport wykonujesz w aplikacji — i musi tak być: tylko Twoje urządzenie ma klucz, więc tylko ono potrafi zamienić wpisy z powrotem w czytelny tekst.
• Usunąć wszystko. Strona usunięcia konta działa bez instalowania aplikacji — właśnie dlatego istnieje osobno.
• Wyłączyć chmurę. Kopia w chmurze jest opcjonalna. Bez niej aplikacja działa w pełni, a na serwerze nie zostają nawet metadane.
• Zapytać. support@drivecode.ai to ten sam kontakt, który polityka prywatności wskazuje dla żądań z art. 15–22 RODO, a nie osobny adres do listów.

Czego nie ma

To także lista, a nie nastrój:

• nie ma analityki zachowań — ani własnej, ani cudzej, ani jednego narzędzia w aplikacji;
• nie ma reklam ani bibliotek reklamowych;
• dane nie są sprzedawane ani przekazywane brokerom danych;
• nie ma śledzenia między aplikacjami i stronami;
• nie ma zautomatyzowanych decyzji wywołujących wobec Ciebie skutki prawne — prognoza cyklu to informacja dla Ciebie, a nie decyzja o Tobie.

Jeden wiersz, który usunęliśmy

W poprzedniej wersji polityki był punkt o „zanonimizowanej analityce”. Usunęliśmy go, a sama polityka mówi dlaczego: był nieprawdą.

Zostawiamy to w dokumencie, zamiast po cichu przepisywać historię. Politykę, w której nigdy nie było błędów, łatwo napisać — i właśnie dlatego jest nic niewarta. Dokument, który pokazuje własną poprawkę, daje Ci to, czego bezbłędny nie da: dowód na to, że ktoś go w ogóle czyta ponownie.

Jak sprawdzić to samo w innej aplikacji

Trzy czynności, każda po kilka minut:

1. 1.Otwórz politykę prywatności i poszukaj listy podmiotów trzecich. Jeśli zamiast nazw są tam „nasi partnerzy” albo „podmioty powiązane” — lista jest otwarta i można kogoś do niej dopisać bez Twojej wiedzy.
2. 2.Znajdź, co napisano o okresach przechowywania. „Tak długo, jak to konieczne” znaczy bezterminowo.
3. 3.Sprawdź, czy opisano, co widać na serwerze. Jeśli o metadanych nie napisano nic, to nie znaczy, że ich nie ma.

Szerzej o architekturze, a nie o liście — w materiale Czy bezpiecznie jest prowadzić cykl w aplikacji.