Kto widzi Twoje wpisy o cyklu

Lista, a nie obietnica

Najbardziej użyteczna odpowiedź na to pytanie to nie „dbamy o Twoją prywatność”, tylko lista: kto dokładnie, co dokładnie widzi i w jakich okolicznościach. Poniżej taka lista, a każdy jej wiersz można sprawdzić w polityce prywatności, a nie tylko w tym artykule.

Format jest wybrany świadomie. „Szanujemy Twoją prywatność” to zdanie, którego nie da się ani potwierdzić, ani obalić. „Supabase widzi czas zmiany wpisu, ale nie jego treść” — da się: albo odpowiada architekturze, albo nie.

Ty

W całości. Lokalna baza na telefonie jest zaszyfrowana, ale klucz leży w bezpiecznym magazynie systemu właśnie Twojego urządzenia — czyli aplikacja otwiera wpisy dla Ciebie i dla nikogo innego.

Jeśli włączyłaś kod PIN, dochodzi jeszcze jedna warstwa: bez niego aplikacja nie otworzy się nawet na odblokowanym telefonie. To ochrona nie przed serwerem, tylko przed sytuacją, w której telefon na kilka minut trafił w cudze ręce.

My

Zależy, gdzie jest wpis. Tego, który został tylko na telefonie — nie: klucz do lokalnej bazy leży na Twoim urządzeniu i nie jest nam znany. Tego, który trafił do kopii w chmurze — tak: jest szyfrowany na telefonie, zanim cokolwiek pójdzie do sieci, ale klucz do tego szyfrogramu przechowujemy my. Mamy techniczny dostęp do wysłanych wpisów i właśnie dlatego kopia potrafi sama oddać Ci je na nowym telefonie.

Co naprawdę widzimy, jeśli włączyłaś kopię w chmurze:

• czas ostatniej zmiany każdego wpisu;
• ich liczbę;
• czy włączyłaś logowanie kodem PIN albo biometrią.

Obecność pliku w magazynie zdjęć dziennika ujawnia sam fakt, że prowadzisz dziennik ciąży — treść pozostaje szyfrogramem.

I jeszcze jedno, co należy do tej listy, choć metadanymi nie jest: treść opinii. Jeśli wysyłasz opinię z aplikacji, trafia do nas jawnie i ją czytamy — w odróżnieniu od wpisów nie jest zaszyfrowana. Właśnie dlatego formularz celowo nie zbiera ani trybu aplikacji, ani ekranu, z którego piszesz, i właśnie dlatego prosimy, żeby nie pisać w opinii o zdrowiu. Przechowywana 90 dni, potem usuwana automatycznie.

To nazywa się metadanymi i zwykle właśnie o nich się milczy. My je nazywamy, bo lista, w której czegoś brakuje, jest gorsza od braku listy: tworzy wrażenie kompletności.

Supabase

Baza danych, magazyn plików i uwierzytelnianie. Projekt umieszczony w Unii Europejskiej, region Irlandia. Supabase widzi dokładnie to samo, co opisano wyżej, i działa jako podmiot przetwarzający na nasze polecenie — nie jako odrębny administrator danych.

Różnica między „podmiotem przetwarzającym” a „administratorem” nie jest tu formalnością — to dwa różne statusy w RODO i polityka posługuje się dokładnie tymi słowami. Podmiot przetwarzający może robić z danymi wyłącznie to, co zlecono mu umową, i nie ma prawa używać ich dla siebie. Administrator ma własną podstawę prawną i własne cele — i dokładnie tak w większości aplikacji opisane są sieci reklamowe.

Qonversion

Ustala, czy Twoja subskrypcja Kvit+ jest aktywna. Otrzymuje identyfikatory techniczne i dane o zakupie. Danych o zdrowiu nie otrzymuje.

To typowe miejsce wycieku w aplikacjach o zdrowiu: usługę subskrypcyjną wbudowuje się tak, że przy okazji widzi zdarzenia wewnątrz aplikacji. Tutaj granica przebiega po jednej linii — subskrypcja osobno, wpisy osobno.

Apple i Google

Realizują płatność i zarządzają subskrypcją. W zakresie tych operacji działają jako odrębni administratorzy danych, według własnych polityk: my nie widzimy numeru Twojej karty, a oni nie widzą Twoich wpisów.

Google (Firebase) i Cloudflare

Ci dwaj są na liście nie dlatego, że widzą dużo, tylko dlatego, że lista musi być kompletna.

Google (Firebase) — biblioteka w aplikacji, potrzebna do dwóch rzeczy. Pierwsza to powiadomienia: gdy są włączone, Google otrzymuje techniczny identyfikator instalacji i token urządzenia, żeby je dostarczyć. Druga to Google Analytics: aplikacja wysyła zdarzenia o tym, z których ekranów się korzysta, żebyśmy widzieli, co działa, a co nie. Żadna z tych dwóch rzeczy nie widzi treści Twoich wpisów — są zaszyfrowane kluczem, który zostaje na telefonie.

Cloudflare — hostuje strony na kvitcare.com: ten artykuł, politykę, regulamin, stronę usunięcia konta. Widzi Twój adres IP i techniczne dane żądania, gdy otwierasz stronę — i nic z aplikacji.

Kto NIE widzi nic

Ta lista jest krótsza, ale ważniejsza, bo właśnie tu w większości aplikacji znajdują się pozycje, których być nie powinno:

• sieci reklamowe — w aplikacji ich nie ma;
• brokerzy danych — dane nie są sprzedawane ani przekazywane;
• ubezpieczyciele, pracodawcy, ktokolwiek trzeci — dane do nich nie trafiają, bo nie trafiają nigdzie poza powyższą listę.

Analityki nie ma już na tej liście i jest to świadoma poprawka: aplikacja korzysta z Google Analytics — jest wymieniona wyżej razem z tym, co faktycznie widzi. Treści Twoich wpisów nie widzi i ona.

Twój telefon a kopie zapasowe systemu

Pytanie, które pada często: czy wpisy nie trafiają do kopii zapasowej telefonu, gdzie obowiązują już zasady Apple i Google, a nie nasze.

Nie. Lokalna baza leży w piaskownicy aplikacji, więc inne aplikacje na telefonie do niej nie sięgną — i celowo nie wchodzi do kopii zapasowych systemu: na iOS pliki bazy są oznaczone jako wyłączone z iCloud, a na Androidzie aplikacja w ogóle nie bierze udziału w tworzeniu kopii. Zapisano to w punkcie 3.1 polityki, nie tylko tutaj.

Czyli kopia zapasowa Twojego telefonu w iCloud albo Google One nie zabiera ze sobą Twoich wpisów. Co zabiera z telefonu poza tym, to sprawa między Tobą a Apple lub Google i rozstrzyga się w ustawieniach systemu. Ale wpisów tam nie ma.

Jak długo to żyje

• Wpisy na telefonie — dopóki ich nie usuniesz albo nie usuniesz aplikacji.
• Kopia w chmurze — dopóki istnieje konto. Usunięty wpis znika z aplikacji od razu, a z serwera kasowany jest ostatecznie nie później niż w ciągu 90 dni: ten termin potrzebny jest po to, żeby usunięcie dotarło do Twoich innych urządzeń.
• Zgłoszenie z formularza opinii — 90 dni, potem usuwane automatycznie.
• Konto — dopóki go nie usuniesz.

Terminów „na wszelki wypadek” nie ma. Każdy termin na liście ma przyczynę, a przyczyna nazwana jest obok niego.

Co możesz zrobić od razu

Prawa z RODO brzmią abstrakcyjnie, dopóki nie powie się, którym przyciskiem się je realizuje. Oto te przyciski.

• Pobrać swoje dane. Eksport wykonujesz w aplikacji — i musi tak być: wpisy, które nigdy nie opuściły telefonu, tylko tam da się zamienić z powrotem w czytelny tekst, kluczem Twojego urządzenia.
• Usunąć wszystko. Strona usunięcia konta działa bez instalowania aplikacji — właśnie dlatego istnieje osobno.
• Wyłączyć chmurę. Kopia w chmurze jest opcjonalna. Bez niej aplikacja działa w pełni, na serwerze nie zostają nawet metadane — a klucz do wpisów istnieje tylko na Twoim telefonie.
• Zapytać. Żądania dotyczące własnych danych — dostęp, sprostowanie, przeniesienie, usunięcie — przyjmuje contact@kvitcare.com, a odpowiedź przychodzi w terminie miesiąca, który daje art. 12(3) RODO. Wszystko inne o aplikacji — na support@kvitcare.com.

Czego nie ma

To także lista, a nie nastrój:

• Twoje wpisy nie trafiają do analityki — mierzy ona korzystanie z aplikacji, a nie to, co w niej zapisałaś;
• nie ma reklam ani bibliotek reklamowych;
• dane nie są sprzedawane ani przekazywane brokerom danych;
• nie ma zautomatyzowanych decyzji wywołujących wobec Ciebie skutki prawne — prognoza cyklu to informacja dla Ciebie, a nie decyzja o Tobie.

Jeden wiersz, który usunęliśmy

W poprzedniej wersji polityki był punkt o „zanonimizowanej analityce”. Usunęliśmy go, a sama polityka mówi dlaczego: był nieprawdą.

Zostawiamy to w dokumencie, zamiast po cichu przepisywać historię. Politykę, w której nigdy nie było błędów, łatwo napisać — i właśnie dlatego jest nic niewarta. Dokument, który pokazuje własną poprawkę, daje Ci to, czego bezbłędny nie da: dowód na to, że ktoś go w ogóle czyta ponownie.

Ten artykuł właśnie zrobił to samo. Wcześniej twierdził, że w aplikacji nie ma żadnej analityki; przestało to być prawdą, a wiersz został poprawiony, a nie po cichu usunięty. Analityka jest nazwana wyżej — razem z tym, czego nie widzi.

Jak sprawdzić to samo w innej aplikacji

Trzy czynności, każda po kilka minut:

1. 1.Otwórz politykę prywatności i poszukaj listy podmiotów trzecich. Jeśli zamiast nazw są tam „nasi partnerzy” albo „podmioty powiązane” — lista jest otwarta i można kogoś do niej dopisać bez Twojej wiedzy.
2. 2.Znajdź, co napisano o okresach przechowywania. „Tak długo, jak to konieczne” znaczy bezterminowo.
3. 3.Sprawdź, czy opisano, co widać na serwerze. Jeśli o metadanych nie napisano nic, to nie znaczy, że ich nie ma.

Szerzej o architekturze, a nie o liście — w materiale Czy bezpiecznie jest prowadzić cykl w aplikacji.