Хто бачить твої записи про цикл

Список, а не обіцянка

Найкорисніша відповідь на це питання — не «ми дбаємо про приватність», а перелік: хто саме, що саме бачить і за яких обставин. Нижче такий перелік, і кожен його рядок можна перевірити в політиці приватності, а не лише в цій статті.

Формат обраний свідомо. «Ми поважаємо вашу приватність» — це речення, яке не можна ні підтвердити, ні спростувати. «Supabase бачить час зміни запису, але не його вміст» — можна: воно або відповідає архітектурі, або ні.

Ти

Повністю. Локальна база на телефоні зашифрована, і ключ лежить у захищеному сховищі системи саме твого пристрою — тобто застосунок відкриває записи для тебе й ні для кого іншого.

Якщо ти увімкнула PIN-код, додається ще один шар: без нього застосунок не відкриється навіть на розблокованому телефоні. Це захист не від сервера, а від ситуації, коли телефон на кілька хвилин опинився в чужих руках.

Ми

Записи — ні. Не тому, що обіцяємо не читати, а тому, що не маємо ключа: запис шифрується на телефоні до того, як щось піде в мережу.

Що ми справді бачимо, якщо ти увімкнула хмарну копію:

• час останньої зміни кожного запису;
• їхня кількість;
• чи ти увімкнула вхід за PIN-кодом або біометрією.

Наявність файлу в сховищі фото щоденника показує сам факт, що ти ведеш щоденник вагітності — вміст лишається шифротекстом.

І ще одне, що належить у цей перелік, хоч і не є метаданими: текст відгуку. Якщо ти надсилаєш відгук із застосунку, він приходить у відкритому вигляді й ми його читаємо — на відміну від записів, він не зашифрований. Саме тому форма навмисно не збирає ні режим застосунку, ні екран, з якого ти пишеш, і саме тому ми просимо не писати у відгуку про здоров’я. Зберігається 90 днів, далі видаляється автоматично.

Це називають метаданими, і саме про них зазвичай мовчать. Ми називаємо, бо перелік, у якому чогось бракує, гірший за відсутність переліку: він створює враження повноти.

Supabase

База даних, файлове сховище та авторизація. Проєкт розміщений у Європейському Союзі, регіон Ірландія. Supabase бачить рівно те саме, що описано вище, і діє як обробник за нашим дорученням — не як самостійний контролер.

Різниця між «обробником» і «самостійним контролером» тут не формальність — це два різні статуси за GDPR, і політика вживає саме ці слова. Обробник може робити з даними лише те, що йому доручено договором, і не має права використовувати їх для себе. Контролер має власні підстави й власні цілі — і саме так у більшості застосунків описані рекламні мережі.

Qonversion

Визначає, чи активна в тебе підписка Квіт+. Отримує технічні ідентифікатори та дані про покупку. Даних про здоров’я не отримує.

Це типове місце витоку в застосунках про здоров’я: сервіс підписок вбудовують так, що він заодно бачить події всередині застосунку. Тут межа проведена по одній лінії — підписка окремо, записи окремо.

Apple і Google

Проводять оплату й керують підпискою. Щодо цих операцій вони діють як самостійні контролери, за власними політиками: ми не бачимо номера твоєї картки, а вони не бачать твоїх записів.

Google (Firebase) і Cloudflare

Ці двоє в переліку не тому, що бачать багато, а тому, що перелік має бути повним.

Google (Firebase) — бібліотека в застосунку, потрібна для сповіщень. Коли сповіщення увімкнені, Google отримує технічний ідентифікатор встановлення й токен пристрою, щоб доставити сповіщення. Даних про здоров’я в цьому немає.

Cloudflare — розміщує сторінки на kvitcare.com: цю статтю, політику, умови, сторінку видалення акаунта. Бачить твою IP-адресу й технічні дані запиту, коли ти відкриваєш сайт, — і нічого з застосунку.

Хто НЕ бачить нічого

Цей перелік коротший, але важливіший, бо саме тут у більшості застосунків стоять рядки, яких там бути не мало б:

• рекламні мережі — їх у застосунку немає;
• брокери даних — дані не продаються й не передаються;
• аналітичні сервіси поведінки — жодного інструменту в застосунку;
• страхові компанії, роботодавці, будь-хто третій — до них дані не потрапляють, бо не потрапляють нікуди за межі переліку вище.

Твій телефон і системні резервні копії

Питання, яке ставлять часто: чи не потрапляють записи в резервну копію телефона, де діють уже правила Apple і Google, а не наші.

Ні. Локальна база лежить у пісочниці застосунку, тому інші застосунки на телефоні до неї не дістануться, — і вона навмисно не входить у системні резервні копії: на iOS файли бази позначені як виключені з iCloud, на Android застосунок узагалі не бере участі в резервному копіюванні. Це записано в розділі 3.1 політики, а не лише тут.

Тобто резервна копія твого телефона в iCloud або Google One не забирає з собою твої записи. Що вона забирає з телефона в усьому іншому — питання між тобою й Apple або Google, і вирішується воно в налаштуваннях системи. Але записів там немає.

Скільки це живе

• Записи на телефоні — поки ти їх не видалиш або не видалиш застосунок.
• Хмарна копія — поки існує обліковий запис. Видалений запис одразу зникає із застосунку, а з сервера остаточно стирається не пізніше ніж за 90 днів: цей строк потрібен, щоб видалення дійшло до твоїх інших пристроїв.
• Текст відгуку — 90 днів, потім видаляється автоматично.
• Обліковий запис — поки ти його не видалиш.

Строків «на всяк випадок» немає. Кожен строк у переліку має причину, і причина названа поруч із ним.

Що ти можеш зробити просто зараз

Права з GDPR звучать абстрактно, поки не сказано, якою кнопкою вони реалізуються. Тут вони такі:

• Забрати свої дані. Експорт робиться із застосунку, у відкритому вигляді — розшифрувати може лише твій пристрій, тому й експортує він.
• Видалити все. Сторінка видалення акаунта працює без встановлення застосунку — саме тому вона існує окремо.
• Вимкнути хмару. Хмарна копія необов’язкова. Без неї застосунок працює повністю, а на сервері не лишається навіть метаданих.
• Запитати. support@drivecode.ai — це той самий контакт, що названий у політиці приватності як контакт для запитів за статтею 12(3) GDPR, а не окрема адреса для листів.

Чого не відбувається

Це також перелік, а не настрій:

• аналітики поведінки немає — ні власної, ні сторонньої, жодного інструменту в застосунку;
• реклами й рекламних бібліотек немає;
• дані не продаються й не передаються брокерам даних;
• відслідковування між застосунками та сайтами немає;
• автоматизованих рішень із юридичними наслідками щодо тебе немає — прогноз циклу це інформація для тебе, а не рішення про тебе.

Один рядок, який ми прибрали

У попередній редакції політики був пункт про «знеособлену аналітику». Його прибрали, і в самій політиці написано чому: він був неправдою.

Ми лишаємо це в документі замість того, щоб тихо переписати історію. Політику, у якій ніколи не було помилок, легко написати — і саме тому вона нічого не варта. Документ, який показує власне виправлення, дає тобі те, чого не дає бездоганний: спосіб перевірити, що його взагалі перечитують.

Як перевірити те саме в іншому застосунку

Три дії, кожна на кілька хвилин:

1. 1.Відкрий політику приватності й пошукай перелік третіх сторін. Якщо замість назв там «наші партнери» або «афілійовані особи» — перелік відкритий, і додати до нього когось можна без твого відома.
2. 2.Знайди, що написано про строки зберігання. «Стільки, скільки необхідно» означає «безстроково».
3. 3.Подивись, чи описано, що видно на сервері. Якщо про метадані не сказано нічого — це не означає, що їх немає.

Розгорнуто про архітектуру, а не про перелік, — у матеріалі Чи безпечно вести цикл у додатку.