Защо данните на бебето ви остават в ЕС

Докато бебето ви навърши месец, едно приложение за проследяване може да пази няколкостотин записа за човек на четири седмици: какво е влязло, какво е излязло, колко е спало, каква е била температурата му в 2 ч. през нощта. Това е един от най-подробните архиви, които някой някога ще води за него — а то не е имало никаква дума по въпроса.

Мисля за това повече, отколкото за всичко останало в правенето на Bunavi. Затова ето цялата картина — какво съдържа този архив, къде го пазя, какво никога няма да правя с него и докъде стига обещанието.

Какво всъщност съдържа този архив

Лесно е да си представите дневника на бебето като списък с часове на хранене. Не е. Съберете записите от няколко седмици и получавате:

Името на детето ви — или галеното име, с което го наричате — датата му на раждане, понякога пола, понякога снимка.
Здравни записи: измервания на растежа, температури, симптоми, лекарства, ваксини.
Ритъмът на хранене и сън, който е и карта на това кога възрастните в къщата са будни и от колко време.
Подробности за пелените, които повечето хора не биха обсъждали извън кабинета на педиатъра.

Частта с температурите и лекарствата са данни за здравословното състояние, а член 9 от Общия регламент относно защитата на данните (GDPR) ги поставя сред специалните категории с най-строга защита. Съображение 38 от същия регламент казва, че децата „заслужават специална защита по отношение на личните им данни“, и посочва точно маркетинга и профилирането като рисковете, които имат значение. Законът се съгласява с нещо, което повечето родители усещат още първия път, когато напишат името на детето си във формуляр.

Детето ви един ден ще е възрастен човек, а нищо от това не е било негово решение.

Защо сървърите са във Франкфурт

Профилът на бебето ви и всеки запис към него живеят в база данни в Европейския съюз, хоствана от Supabase в региона, който Amazon описва като Европа (Франкфурт) — eu-central-1. Това не е украса на рекламна страница. От него следват три практични неща.

GDPR се прилага — не като услуга. Аз съм независим разработчик, установен в България, а член 3 прави регламента приложим към обработване, извършвано в контекста на място на установяване в Съюза. Това не е правило, което мога тихомълком да смекча в бъдеща версия.
Правата ви подлежат на защита. Член 20 ви дава копие от данните ви в структуриран, широко използван и машинночетим формат. Член 17 ви дава изтриване. А ако някога ви подведа, член 77 ви дава право на жалба до надзорен орган — в моя случай българската Комисия за защита на личните данни или органът във вашата държава.
От другата страна има човек с име. Администраторът на данните съм аз — с име, държава и работещ имейл адрес в политиката за поверителност. Жалбата има къде да отиде.

Сега честната част: мястото на хостинга не е щит. Небрежно поддържан сървър във Франкфурт пази семейството ви по-зле от добре поддържан сървър където и да е другаде. Географията решава само кои правила могат да бъдат наложени срещу мен. Това, което наистина пази записите на детето ви, е какво прави софтуерът всеки ден.

Какво съм обещал

Трафикът между телефона ви и сървъра е криптиран с TLS.
Достъпът се проверява ред по ред в самата база данни, така че един акаунт може да чете и пише само записи за бебетата, които притежава или към които е поканен. Редовете на едно семейство не са достъпни от акаунта на друго и това правило живее в базата данни, а не в екраните на приложението.
Без реклами. Без рекламни идентификатори. Нищо не се продава, отдава под наем или споделя с рекламодатели. Никакъв рекламен или проследяващ профил за вас или за детето ви.
Споделянето е изключено, докато вие не го включите. Кодът за покана е за еднократна употреба, изтича след 7 дни, а достъпът може да бъде отнет веднага от настройките — добре е да го знаете, преди да дадете кода на партньора си или на бабата.
Приложението работи първо офлайн, затова пази малко копие от последните записи на самото ви устройство, за да работи в 3 ч. през нощта без сигнал. Това копие се изтрива, когато излезете от акаунта си.
И експортирането на данните ви, и изтриването на акаунта ви са бутони в настройките, а не молби, които трябва да ми изпращате. Бебе, което споделяте, не се изтрива заедно с акаунта ви: то преминава към партньора, който е с него най-отдавна.

Точката „изключено по подразбиране“ е тази, която бих защитавал най-упорито. Член 25 от GDPR изисква защита на данните по подразбиране — личните данни не бива да стават достъпни за неограничен брой хора без вашата собствена намеса. Когато става дума за здравния запис на дете, подразбиране, което изтича навън, не е дребен пропуск в дизайна.

Къде картината не е чисто европейска

Приложение, направено от един човек, пак зависи от други компании и да твърдя обратното би било точно онзи вид твърдение, на което не бива да вярвате. Apple или Google Play таксува абонаментите и аз никога не виждам картата ви. RevenueCat, в САЩ, управлява какво отключва планът ви и получава идентификатор на акаунт плюс събитията за покупка. Resend доставя имейлите — смяна на парола, разписка — и получава адреса ви и самото съобщение; компанията е американска, макар че инфраструктурата ѝ за изпращане работи в Ирландия. Sentry получава отчети за сривове и диагностични данни — модел на устройството, версия на операционната система, мястото в кода, където нещо се е объркало, колко време се зареждат екраните, анонимни броячи на използването — от всяка версия на приложението в магазините. Нищо от това не е свързано с акаунта ви: отчетите за сривове и за стабилността носят случаен идентификатор на инсталацията, а броячите на използването — никакъв. На Android ML Kit на Google разчита QR кода от поканата направо на телефона и изпраща на Google данни за работата на скенера — но никога изображението от камерата. Там, където лични данни се обработват извън ЕС, това е покрито от стандартните договорни клаузи на Европейската комисия, а всяка от тези компании е посочена поименно в политиката за поверителност.

Това, което никоя от тях не получава, са записите за бебето ви. Храненията, дрямките, измерванията на растежа, температурите, името и датата на раждане остават в базата данни в ЕС.

Истинската проверка е изтриването

Всяко приложение може да напише топъл абзац за поверителността. Обещанието значи нещо само ако тръгването наистина работи — а ако за изтриването на здравния запис на едно дете трябват три имейла и опашка в поддръжката, обещанието е било украса.

И така: „Настройки“ → „Акаунт и профил“ → „Изтрий акаунта“ премахва акаунта ви веднага, заедно с всяко бебе, което притежавате и не споделяте с никого, и всичките му записи. Ако предпочитате да не го правите в приложението, пишете на [email protected] от адреса на акаунта си и всичко се изтрива в рамките на 30 дни, обикновено много по-рано. Това е правото на изтриване по член 17, вързано за бутон вместо за формуляр.

Изнесете данните, преди да изтриете

Едно нещо, което е добре да знаете предварително: бебе, което притежавате, но към което има и друг партньор, не се изтрива заедно с вас. То преминава към партньора, който е с него най-отдавна, така че другият родител или бабата не губи историята, на която разчита, а записите, които сте направили, остават към профила, но вече без вашето име. Бебе, което не споделяте с никого, си отива заедно с акаунта ви. И в двата случая вашият собствен достъп свършва в момента, в който изтриете — така че ако искате историята за себе си или педиатърът ви е поискал копие, първо я изнесете и чак тогава изтривайте.

Какво да изисквате от всяко бебешко приложение

Не е нужно да ми вярвате на думата за нищо от това — и не бива. Четири проверки, всяка от които отнема около минута, ще ви кажат за едно приложение повече от началната му страница.

Какво да питате	Къде можете да проверите сами
Кой носи юридическа отговорност за тези данни?	Политиката за поверителност. В нея трябва да е посочен администратор — истинска компания или човек, с държава и адрес за контакт.
Използва ли се нещо от тях, за да ме проследява?	Страницата в App Store. Apple изисква всяко приложение да обяви какво събира то и партньорите му от трети страни и дали нещо от това се използва, за да ви проследява — тоест свързва се с данни от приложенията и сайтовете на други компании за таргетирана реклама или измерване на реклама, или се предава на брокер на данни.
Как да изнеса всичко и как да изтрия всичко?	Намерете и двата пътя, преди да се регистрирате, а не след това. В приложението бие заявка до поддръжката.
Изключено ли е споделянето, докато аз не го включа?	Процесът на покана. Търсете еднократни кодове, които изтичат, и начин да премахнете някого, който влиза в сила веднага.

Това е мярката, с която бих искал да мерят и мен, и с която бих мерил всеки друг, който иска да пази първата година на бебето ви. Вие водите този архив от името на някого, който още не може да се обади — най-малкото, което софтуерът може да направи, е да се държи така. Ако искате по-дългата версия на това как работя, тя е в политиката за поверителност и на страницата за проекта, и двете написани, за да бъдат четени, а не изтърпявани.

Какво питат родителите

Къде се съхраняват данните на бебето ми?

В Европейския съюз — база данни в Supabase, в региона на Amazon Европа (Франкфурт), eu-central-1. Трафикът е криптиран с TLS, данните се съхраняват криптирани, а достъпът се проверява ред по ред, така че записите на едно семейство са недостъпни от акаунта на друго.

Мога ли да изтрия акаунта си самостоятелно?

Да. „Настройки“ → „Акаунт и профил“ → „Изтрий акаунта“ премахва веднага акаунта ви, заедно с всяко бебе, което притежавате и не споделяте с никого другиго, и всичките му записи и снимки. Бебе, което споделяте с друг партньор, не се изтрива: то преминава с цялата си история към партньора, който е с него най-отдавна, а записите, които сте направили, остават към него, но вече без вашето име. Може и да пишете на [email protected] от адреса на акаунта си. И двата начина са описани на bunavi.app/delete. Копията в криптираните резервни копия отпадат с обичайната ротация, в рамките на 30 дни.

Означава ли хостингът в ЕС, че нищо никога не напуска ЕС?

Не, и обратното твърдение би било подвеждащо. Apple и Google Play таксуват абонаментите, RevenueCat управлява правата за достъп, Resend доставя имейлите, Sentry получава отчети за сривове и диагностични данни за приложението, а Google получава данни за използването на скенера за кодове за покана в приложението за Android. Тези услуги получават идентификатори, имейл адреси или технически данни по стандартни договорни клаузи — но никога записите за храненето, съня, растежа или здравето на бебето ви.

Използват ли се данни на семейството ми за реклама?

Не. Няма реклами и няма рекламни идентификатори, а нищо не се продава, отдава под наем или споделя с рекламодатели. Не се изгражда рекламен или проследяващ профил за вас или за детето ви, а записите ви никога не се използват за обучение на модели с изкуствен интелект.