Derfor bliver din babys data i EU

Når din baby er en måned gammel, kan en baby-app rumme flere hundrede registreringer om et menneske på fire uger: hvad der gik ind, hvad der kom ud, hvor længe din baby sov, hvad temperaturen var kl. 2 om natten. Det er en af de mest detaljerede optegnelser, nogen nogensinde kommer til at føre om dit barn, og dit barn er ikke blevet spurgt om noget af det.

Det tænker jeg mere over end nogen anden del af arbejdet med Bunavi. Så her er hele billedet — hvad optegnelsen indeholder, hvor jeg opbevarer den, hvad jeg aldrig vil bruge den til, og hvor løftet har sine grænser.

Hvad optegnelsen faktisk indeholder

Det er nemt at forestille sig en baby-app som en liste over måltider. Det er den ikke. Læg et par ugers registreringer sammen, og du har:

Dit barns navn — eller det kælenavn, du bruger — fødselsdato, nogle gange køn, nogle gange et billede.
Helbredsregistreringer: vækstmålinger, temperaturer, symptomer, medicin, vaccinationer.
Mønstre for måltider og søvn, som samtidig er et kort over, hvornår de voksne i huset er vågne, og hvor længe de har været det.
Detaljer om bleer, som de fleste ikke ville tale om uden for en børnelæges konsultation.

Den ende af listen med temperaturer og medicin er helbredsoplysninger, som artikel 9 i GDPR placerer blandt de særlige kategorier, forordningen beskytter allerstrengest. Betragtning 38 i samme forordning siger, at børn »bør nyde særlig beskyttelse med hensyn til deres personoplysninger«, og fremhæver markedsføring og profilering som de risici, der betyder noget. Loven er enig i noget, de fleste forældre mærker første gang, de taster et barns navn ind i en formular.

Dit barn bliver voksen en dag, og intet af det her har det selv bestemt.

Derfor står serverne i Frankfurt

Din babys profil og alt, hvad der er registreret på den, ligger i en database inde i Den Europæiske Union, hostet af Supabase i den region, Amazon kalder Europe (Frankfurt) — eu-central-1. Det er ikke pynt på en salgsside. Der følger tre praktiske ting med.

GDPR gælder, ikke som en kulance. Jeg er selvstændig udvikler med etablering i Bulgarien, og artikel 3 gør, at forordningen gælder for behandling, der sker som led i aktiviteterne i en etablering i Unionen. Det er ikke en politik, jeg stille og roligt kan blødgøre i en fremtidig opdatering.
Dine rettigheder kan håndhæves. Artikel 20 giver dig en kopi af dine data i et struktureret, almindeligt anvendt og maskinlæsbart format. Artikel 17 giver dig ret til sletning. Og hvis jeg svigter dig, giver artikel 77 dig ret til at klage til en tilsynsmyndighed — i mit tilfælde det bulgarske datatilsyn, Commission for Personal Data Protection, eller myndigheden i dit eget land.
Der sidder en navngiven person i den anden ende. Den dataansvarlige er mig, med navn, land og en e-mailadresse, der virker, i privatlivspolitikken. En klage har et sted at lande.

Og så den ærlige del: hvor noget er hostet, er ikke et skjold. En server i Frankfurt, der passes sjusket, beskytter din familie dårligere end en server hvor som helst andet, der passes ordentligt. Geografien afgør kun, hvilke regler der kan håndhæves over for mig. Det, der reelt beskytter dit barns data, er det, softwaren gør hver eneste dag.

Det, jeg har forpligtet mig på

Trafikken mellem din telefon og serveren er krypteret med TLS.
Adgang håndhæves række for række i databasen, så en konto kun kan læse eller skrive data om de babyer, den ejer eller er inviteret til. Én families rækker kan ikke nås fra en anden families konto, og den regel bor i databasen, ikke i appens skærmbilleder.
Ingen reklamer. Ingen reklame-id’er. Intet bliver solgt, lejet ud eller delt med annoncører. Ingen reklame- eller sporingsprofil af dig eller dit barn.
Deling er slået fra, indtil du slår den til. En invitationskode kan kun bruges én gang, udløber efter 7 dage, og adgangen kan trækkes tilbage med det samme fra indstillingerne — værd at vide, før du giver koden til din partner eller en bedsteforælder.
Appen er offline-first, så den gemmer en lille kopi af de seneste registreringer på din egen enhed for at kunne virke kl. 3 om natten uden signal. Den kopi bliver slettet, når du logger ud.
At få dine data ud og at få dem slettet er begge dele knapper i indstillingerne, ikke anmodninger, du skal sende til mig.

Punktet om »slået fra som standard« er det, jeg ville forsvare hårdest. Artikel 25 i GDPR kræver databeskyttelse gennem standardindstillinger — personoplysninger må ikke blive tilgængelige for et ubegrænset antal mennesker uden din egen indgriben. For et barns helbredsdata er en standardindstilling, der lækker, ikke en lille designfejl.

Hvor billedet ikke er rent europæisk

En app lavet af én person er stadig afhængig af andre virksomheder, og at påstå andet ville være præcis den slags påstand, du bør være skeptisk over for. Apple står for betalingen af abonnementer, og jeg ser aldrig dit kort. RevenueCat, som er amerikansk, styrer hvad din plan låser op, og modtager et konto-id plus købshændelser. Resend leverer e-mail — en nulstilling af adgangskode, en kvittering — og modtager din adresse og beskeden; det er et amerikansk firma, men afsendelsen kører fra Irland. Sentry modtager tekniske nedbrudsdetaljer — enhedsmodel, OS-version, stack trace — fra builds, hvor nedbrudsrapportering er slået til. Hvor personoplysninger håndteres uden for EU, er det dækket af Europa-Kommissionens standardkontraktbestemmelser, og hver eneste af de virksomheder er nævnt ved navn i privatlivspolitikken.

Det, ingen af dem får, er din babys data. Måltiderne, lurene, vækstmålingerne, temperaturerne, navnet og fødselsdatoen bliver i databasen i EU.

Den rigtige prøve er sletning

Enhver app kan skrive et varmt afsnit om privatliv. Løftet betyder kun noget, hvis det rent faktisk virker at forlade appen — og hvis der skal tre e-mails og en supportkø til at slette et barns helbredsdata, var løftet ren pynt.

Så: Indstillinger → Slet konto fjerner din konto med det samme, sammen med hver eneste baby, du ejer, og som ingen andre er inviteret til, og alle deres registreringer. Vil du hellere slippe for at gøre det i appen, så skriv til [email protected] fra din kontos e-mailadresse, så er det slettet inden for 30 dage, som regel meget hurtigere. Det er retten til sletning i artikel 17, koblet til en knap i stedet for en formular.

Eksportér, før du sletter

Én ting du skal vide først: en baby, du ejer, og som stadig har en anden omsorgsperson tilknyttet, bliver ikke slettet sammen med dig. Den bliver givet videre til den omsorgsperson, der har været med længst, så en medforælder eller en bedsteforælder beholder den historik, de har brugt, og de registreringer, du har skrevet, bliver på profilen uden dit navn på. En baby, ingen andre er inviteret til, forsvinder, når din konto forsvinder. Uanset hvad slutter din egen adgang i samme øjeblik, du sletter — så hvis du vil have historikken for din egen skyld, eller din børnelæge har bedt om en kopi, så eksportér den først, og slet derefter.

Det, du bør holde enhver baby-app op imod

Du behøver ikke tage mit ord for noget af det her, og det bør du heller ikke. Fire tjek, der hver tager omkring et minut, fortæller dig mere om en app, end dens forside gør.

Det, du skal spørge om	Hvor du selv kan tjekke det
Hvem er juridisk ansvarlig for de her data?	Privatlivspolitikken. Den skal navngive en dataansvarlig — en rigtig virksomhed eller person, med et land og en kontaktadresse.
Bliver noget af det brugt til at spore mig?	App Store-siden. Apple kræver, at hver app oplyser, hvad den og dens tredjepartspartnere indsamler, og om noget af det bruges til at spore dig — altså kobles sammen med data fra andre virksomheders apps og websites til målrettede reklamer eller måling af reklamer, eller gives videre til en databroker.
Hvordan får jeg alt ud, og alt slettet?	Find begge veje, før du opretter dig, ikke bagefter. I appen slår en supportsag.
Er deling slået fra, indtil jeg selv slår den til?	Invitationsflowet. Kig efter engangskoder, der udløber, og en måde at fjerne en person på, som virker med det samme.

Det er den standard, jeg gerne vil måles på, og den jeg selv ville lægge på enhver anden, der beder om at få lov at opbevare din babys første år. Du fører de her optegnelser på vegne af en, der endnu ikke kan sige sin mening — det mindste softwaren kan gøre, er at behandle dem sådan. Vil du have den lange version af, hvordan jeg arbejder, står den i privatlivspolitikken og på siden om Bunavi, som begge er skrevet til at blive læst, ikke overlevet.

Det, forældre spørger om

Hvor bliver min babys data opbevaret?

I EU — en Supabase-database i Amazons region Europe (Frankfurt), eu-central-1. Trafikken er krypteret med TLS, data er krypteret, når de ligger på serveren, og adgang håndhæves række for række, så én families data ikke kan nås fra en anden families konto.

Kan jeg virkelig selv slette det hele?

Ja. Indstillinger og derefter Slet konto fjerner din konto, hver babyprofil du ejer, og alle deres registreringer med det samme. Du kan også skrive til [email protected] fra din kontos e-mailadresse. Kopier i krypterede backups falder ud med den normale rotation, inden for 30 dage.

Betyder hosting i EU, at intet nogensinde forlader EU?

Nej, og at påstå andet ville være vildledende. Apple står for betalingen af abonnementer, RevenueCat styrer hvad din plan låser op, Resend leverer e-mail, og Sentry modtager nedbrudsdetaljer. De tjenester får identifikatorer, e-mailadresser eller tekniske data under standardkontraktbestemmelser — aldrig din babys måltider, søvn, vækst eller helbredsdata.

Bliver min families data brugt til reklamer?

Nej. Der er ingen reklamer og ingen reklame-id’er, og intet bliver solgt, lejet ud eller delt med annoncører. Der bliver ikke bygget nogen reklame- eller sporingsprofil af dig eller dit barn, og dine registreringer bliver aldrig brugt til at træne AI-modeller.