Хто бачить твої записи про цикл

Список, а не обіцянка

Найкорисніша відповідь на це питання — не «ми дбаємо про приватність», а перелік: хто саме, що саме бачить і за яких обставин. Нижче такий перелік, і кожен його рядок можна перевірити в політиці приватності, а не лише в цій статті.

Формат обраний свідомо. «Ми поважаємо вашу приватність» — це речення, яке не можна ні підтвердити, ні спростувати. «Supabase бачить час зміни запису, але не його вміст» — можна: воно або відповідає архітектурі, або ні.

Ти

Повністю. Локальна база на телефоні зашифрована, і ключ лежить у захищеному сховищі системи саме твого пристрою — тобто застосунок відкриває записи для тебе й ні для кого іншого.

Якщо ти увімкнула PIN-код, додається ще один шар: без нього застосунок не відкриється навіть на розблокованому телефоні. Це захист не від сервера, а від ситуації, коли телефон на кілька хвилин опинився в чужих руках.

Ми

Залежить від того, де запис. Той, що лишився тільки на телефоні, — ні: ключ від локальної бази зберігається на твоєму пристрої й нам не відомий. Той, що поїхав у хмарну копію, — так: він шифрується на телефоні ще до того, як щось піде в мережу, але ключ від цього шифротексту зберігаємо ми. Технічний доступ до вивантажених записів у нас є, і саме тому копія вміє сама повернути їх тобі на новому телефоні.

Що ми справді бачимо, якщо ти увімкнула хмарну копію:

• час останньої зміни кожного запису;
• їхня кількість;
• чи ти увімкнула вхід за PIN-кодом або біометрією.

Наявність файлу в сховищі фото щоденника показує сам факт, що ти ведеш щоденник вагітності — вміст лишається шифротекстом.

І ще одне, що належить у цей перелік, хоч і не є метаданими: текст відгуку. Якщо ти надсилаєш відгук із застосунку, він приходить у відкритому вигляді й ми його читаємо — на відміну від записів, він не зашифрований. Саме тому форма навмисно не збирає ні режим застосунку, ні екран, з якого ти пишеш, і саме тому ми просимо не писати у відгуку про здоров’я. Зберігається 90 днів, далі видаляється автоматично.

Це називають метаданими, і саме про них зазвичай мовчать. Ми називаємо, бо перелік, у якому чогось бракує, гірший за відсутність переліку: він створює враження повноти.

Supabase

База даних, файлове сховище та авторизація. Проєкт розміщений у Європейському Союзі, регіон Ірландія. Supabase бачить рівно те саме, що описано вище, і діє як обробник за нашим дорученням — не як самостійний контролер.

Різниця між «обробником» і «самостійним контролером» тут не формальність — це два різні статуси за GDPR, і політика вживає саме ці слова. Обробник може робити з даними лише те, що йому доручено договором, і не має права використовувати їх для себе. Контролер має власні підстави й власні цілі — і саме так у більшості застосунків описані рекламні мережі.

Qonversion

Визначає, чи активна в тебе підписка Квіт+. Отримує технічні ідентифікатори та дані про покупку. Даних про здоров’я не отримує.

Це типове місце витоку в застосунках про здоров’я: сервіс підписок вбудовують так, що він заодно бачить події всередині застосунку. Тут межа проведена по одній лінії — підписка окремо, записи окремо.

Apple і Google

Проводять оплату й керують підпискою. Щодо цих операцій вони діють як самостійні контролери, за власними політиками: ми не бачимо номера твоєї картки, а вони не бачать твоїх записів.

Google (Firebase) і Cloudflare

Ці двоє в переліку не тому, що бачать багато, а тому, що перелік має бути повним.

Google (Firebase) — бібліотека в застосунку, потрібна для двох речей. Перша — сповіщення: коли вони увімкнені, Google отримує технічний ідентифікатор встановлення й токен пристрою, щоб їх доставити. Друга — Google Analytics: застосунок надсилає події про те, якими екранами користуються, щоб ми бачили, що працює, а що ні. Змісту твоїх записів не бачить ні перше, ні друге — він зашифрований ключем, який лишається на телефоні.

Cloudflare — розміщує сторінки на kvitcare.com: цю статтю, політику, умови, сторінку видалення акаунта. Бачить твою IP-адресу й технічні дані запиту, коли ти відкриваєш сайт, — і нічого з застосунку.

Хто НЕ бачить нічого

Цей перелік коротший, але важливіший, бо саме тут у більшості застосунків стоять рядки, яких там бути не мало б:

• рекламні мережі — їх у застосунку немає;
• брокери даних — дані не продаються й не передаються;
• страхові компанії, роботодавці, будь-хто третій — до них дані не потрапляють, бо не потрапляють нікуди за межі переліку вище.

Аналітика в цьому переліку більше не стоїть, і це свідома правка: застосунок використовує Google Analytics — він названий вище, разом із тим, що саме бачить. Змісту твоїх записів не бачить і він.

Твій телефон і системні резервні копії

Питання, яке ставлять часто: чи не потрапляють записи в резервну копію телефона, де діють уже правила Apple і Google, а не наші.

Ні. Локальна база лежить у пісочниці застосунку, тому інші застосунки на телефоні до неї не дістануться, — і вона навмисно не входить у системні резервні копії: на iOS файли бази позначені як виключені з iCloud, на Android застосунок узагалі не бере участі в резервному копіюванні. Це записано в розділі 3.1 політики, а не лише тут.

Тобто резервна копія твого телефона в iCloud або Google One не забирає з собою твої записи. Що вона забирає з телефона в усьому іншому — питання між тобою й Apple або Google, і вирішується воно в налаштуваннях системи. Але записів там немає.

Скільки це живе

• Записи на телефоні — поки ти їх не видалиш або не видалиш застосунок.
• Хмарна копія — поки існує обліковий запис. Видалений запис одразу зникає із застосунку, а з сервера остаточно стирається не пізніше ніж за 90 днів: цей строк потрібен, щоб видалення дійшло до твоїх інших пристроїв.
• Текст відгуку — 90 днів, потім видаляється автоматично.
• Обліковий запис — поки ти його не видалиш.

Строків «на всяк випадок» немає. Кожен строк у переліку має причину, і причина названа поруч із ним.

Що ти можеш зробити просто зараз

Права з GDPR звучать абстрактно, поки не сказано, якою кнопкою вони реалізуються. Тут вони такі:

• Забрати свої дані. Експорт робиться із застосунку, у відкритому вигляді — записи, які нікуди не вивантажувалися, здатен розшифрувати лише твій пристрій, тому й експортує він.
• Видалити все. Сторінка видалення акаунта працює без встановлення застосунку — саме тому вона існує окремо.
• Вимкнути хмару. Хмарна копія необов’язкова. Без неї застосунок працює повністю, на сервері не лишається навіть метаданих — і ключ від записів існує тільки на твоєму телефоні.
• Запитати. Запити щодо власних даних — доступ, виправлення, вивантаження, видалення — приймає contact@kvitcare.com, і відповідь надходить у межах місяця, який дає стаття 12(3) GDPR. Усе інше про застосунок — на support@kvitcare.com.

Чого не відбувається

Це також перелік, а не настрій:

• твої записи в аналітику не потрапляють — вона вимірює користування застосунком, а не те, що ти в ньому написала;
• реклами й рекламних бібліотек немає;
• дані не продаються й не передаються брокерам даних;
• автоматизованих рішень із юридичними наслідками щодо тебе немає — прогноз циклу це інформація для тебе, а не рішення про тебе.

Один рядок, який ми прибрали

У попередній редакції політики був пункт про «знеособлену аналітику». Його прибрали, і в самій політиці написано чому: він був неправдою.

Ми лишаємо це в документі замість того, щоб тихо переписати історію. Політику, у якій ніколи не було помилок, легко написати — і саме тому вона нічого не варта. Документ, який показує власне виправлення, дає тобі те, чого не дає бездоганний: спосіб перевірити, що його взагалі перечитують.

Ця стаття щойно зробила те саме. Раніше вона стверджувала, що аналітики в застосунку немає взагалі; це перестало бути правдою, і рядок виправлено, а не прибрано тихо. Аналітика названа вище — разом із тим, чого вона не бачить.

Як перевірити те саме в іншому застосунку

Три дії, кожна на кілька хвилин:

1. 1.Відкрий політику приватності й пошукай перелік третіх сторін. Якщо замість назв там «наші партнери» або «афілійовані особи» — перелік відкритий, і додати до нього когось можна без твого відома.
2. 2.Знайди, що написано про строки зберігання. «Стільки, скільки необхідно» означає «безстроково».
3. 3.Подивись, чи описано, що видно на сервері. Якщо про метадані не сказано нічого — це не означає, що їх немає.

Розгорнуто про архітектуру, а не про перелік, — у матеріалі Чи безпечно вести цикл у додатку.