Dlaczego dane Twojego dziecka zostają w UE

Zanim Twój maluszek skończy miesiąc, aplikacja dla rodziców może już przechowywać kilkaset wpisów o osobie, która ma cztery tygodnie: co zjadła, co z niej wyszło, ile spała, jaką miała temperaturę o drugiej w nocy. To jeden z najdokładniejszych zapisów, jakie ktokolwiek kiedykolwiek o niej sporządzi — a ona nie miała w tym nic do powiedzenia.

Myślę o tym częściej niż o jakiejkolwiek innej części budowania Bunavi. Więc oto pełny obraz — co zawiera ten zapis, gdzie go trzymam, czego nigdy z nim nie zrobię i gdzie ta obietnica ma granice.

Co tak naprawdę zawiera ten zapis

Łatwo wyobrazić sobie taką aplikację jako listę godzin karmienia. Nią nie jest. Zestaw kilka tygodni wpisów, a masz:

• Imię Twojego dziecka — albo zdrobnienie, którego używasz — datę urodzenia, czasem płeć, czasem zdjęcie.
• Wpisy zdrowotne: pomiary wzrostu, temperatury, objawy, leki, szczepienia.
• Rytm karmień i snu, czyli także mapę tego, kiedy dorośli w domu nie śpią i jak długo są na nogach.
• Szczegóły z pieluszki, o których większość ludzi nie rozmawia poza gabinetem pediatry.

Ten koniec listy z temperaturami i lekami to dane dotyczące zdrowia, które artykuł 9 RODO umieszcza wśród szczególnych kategorii chronionych najściślej. Motyw 38 tego samego rozporządzenia mówi, że dzieci „wymagają szczególnej ochrony danych osobowych”, i wskazuje marketing oraz profilowanie jako ryzyka, które naprawdę się liczą. Prawo przyznaje tu rację czemuś, co większość rodziców czuje już przy pierwszym wpisywaniu imienia dziecka w formularz.

Twoje dziecko kiedyś będzie dorosłe, a żadna z tych decyzji nie była jego.

Dlaczego serwery stoją we Frankfurcie

Profil Twojego dziecka i każdy przypisany do niego wpis leżą w bazie danych w Unii Europejskiej, hostowanej przez Supabase w regionie, który Amazon nazywa Europa (Frankfurt) — eu-central-1. To nie ozdobnik na stronie marketingowej. Wynikają z tego trzy praktyczne rzeczy.

• RODO obowiązuje, a nie jest łaską. Jestem niezależnym deweloperem z siedzibą w Bułgarii, a artykuł 3 sprawia, że rozporządzenie stosuje się do przetwarzania prowadzonego w związku z działalnością jednostki organizacyjnej w Unii. To nie jest polityka, którą mogę po cichu złagodzić w kolejnej aktualizacji.
• Twoje prawa da się wyegzekwować. Artykuł 20 daje Ci kopię danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego. Artykuł 17 daje Ci usunięcie danych. A jeśli kiedykolwiek Cię zawiodę, artykuł 77 daje Ci prawo skargi do organu nadzorczego — w moim przypadku do bułgarskiej Komisji Ochrony Danych Osobowych, albo do organu w Twoim własnym kraju.
• Po drugiej stronie stoi konkretna osoba. Administratorem danych jestem ja — z imienia i nazwiska, z krajem i działającym adresem e-mail w polityce prywatności. Skarga ma gdzie trafić.

Teraz uczciwa część: lokalizacja hostingu nie jest tarczą. Serwer we Frankfurcie prowadzony niedbale chroni Twoją rodzinę gorzej niż serwer gdziekolwiek indziej prowadzony porządnie. Geografia rozstrzyga tylko o tym, jakie przepisy da się wobec mnie wyegzekwować. To, co naprawdę chroni zapis o Twoim dziecku, to codzienne działanie oprogramowania.

Do czego się zobowiązuję

• Ruch między Twoim telefonem a serwerem jest szyfrowany protokołem TLS.
• Dostęp jest kontrolowany wiersz po wierszu w bazie danych, więc konto może odczytywać i zapisywać wyłącznie dane tych dzieci, które prowadzi lub do których zostało zaproszone. Wierszy jednej rodziny nie da się sięgnąć z konta innej, a ta zasada mieszka w bazie danych, nie na ekranach aplikacji.
• Żadnych reklam. Żadnych identyfikatorów reklamowych. Nic sprzedawanego, wynajmowanego ani udostępnianego reklamodawcom. Żadnego profilu reklamowego ani śledzącego — ani Twojego, ani Twojego dziecka.
• Udostępnianie jest wyłączone, dopóki go nie włączysz. Kod zaproszenia działa jednorazowo, wygasa po 7 dniach, a dostęp można natychmiast cofnąć w ustawieniach — warto o tym wiedzieć, zanim przekażesz kod partnerowi albo dziadkom.
• Aplikacja działa przede wszystkim offline, więc trzyma małą kopię ostatnich wpisów na Twoim urządzeniu, żeby zadziałać o trzeciej w nocy bez zasięgu. Ta kopia znika, gdy się wylogujesz.
• Wyeksportowanie danych i ich usunięcie to przyciski w ustawieniach, a nie prośby, które musisz do mnie wysyłać.

Punktu „domyślnie wyłączone” broniłbym najzacieklej. Artykuł 25 RODO wymaga ochrony danych domyślnie — dane osobowe nie powinny stawać się dostępne dla nieokreślonej liczby osób bez Twojej własnej interwencji. Przy dokumentacji zdrowia dziecka domyślne ustawienie, które przecieka, nie jest drobną wadą projektową.

Gdzie obraz nie jest w pełni europejski

Jednoosobowa aplikacja i tak zależy od innych firm, a udawanie, że jest inaczej, byłoby dokładnie takim zapewnieniem, jakiemu nie należy ufać. Apple rozlicza subskrypcje i nigdy nie widzę Twojej karty. RevenueCat, ze Stanów Zjednoczonych, zarządza tym, co odblokowuje Twój plan, i dostaje identyfikator konta oraz zdarzenia zakupowe. Resend dostarcza e-maile — reset hasła, potwierdzenie płatności — i dostaje Twój adres oraz treść wiadomości; to firma amerykańska, choć jej infrastruktura wysyłkowa stoi w Irlandii. Sentry odbiera techniczne szczegóły awarii — model urządzenia, wersję systemu, stos wywołań — z tych wersji aplikacji, w których raportowanie awarii jest włączone. Tam, gdzie dane osobowe są przetwarzane poza UE, obejmują je standardowe klauzule umowne Komisji Europejskiej, a każda z tych firm jest wymieniona z nazwy w polityce prywatności.

Czego żadna z nich nie dostaje, to zapisów o Twoim dziecku. Karmienia, drzemki, pomiary wzrostu, temperatury, imię i data urodzenia zostają w bazie danych w UE.

Prawdziwym testem jest usuwanie

Każda aplikacja potrafi napisać ciepły akapit o prywatności. Obietnica coś znaczy tylko wtedy, gdy odejście naprawdę działa — a jeśli usunięcie dokumentacji zdrowia dziecka wymaga trzech maili i kolejki do wsparcia, obietnica była tylko ozdobą.

Zatem: Ustawienia → Usuń konto kasuje Twoje konto natychmiast, razem z każdym profilem dziecka, który prowadzisz i do którego nikt inny nie został zaproszony, oraz ze wszystkimi jego wpisami. Jeśli wolisz nie robić tego w aplikacji, napisz na [email protected] z adresu przypisanego do konta, a wszystko zostanie usunięte w ciągu 30 dni, zwykle dużo szybciej. To prawo do usunięcia danych z artykułu 17, podpięte pod przycisk zamiast pod formularz.

Czego wymagać od każdej aplikacji dla rodziców

Nie musisz wierzyć mi na słowo w żadnej z tych rzeczy. Lepiej nie wierz. Cztery sprawdzenia, każde mniej więcej na minutę, powiedzą Ci o aplikacji więcej niż jej strona reklamowa.

Taki standard chciałbym, żeby stosowano wobec mnie, i taki sam zastosowałbym wobec każdego, kto prosi o przechowanie pierwszego roku Twojego dziecka. Prowadzisz tę dokumentację w imieniu kogoś, kto nie może się jeszcze wypowiedzieć — najmniej, co może zrobić oprogramowanie, to tak ją traktować. Jeśli chcesz dłuższą wersję tego, jak pracuję, jest w polityce prywatności i na stronie o mnie, obie napisane tak, żeby dało się je przeczytać, a nie przetrwać.

O co pytają rodzice

Gdzie przechowywane są dane mojego dziecka?

W Unii Europejskiej — w bazie danych Supabase w regionie Amazona Europa (Frankfurt), eu-central-1. Ruch jest szyfrowany protokołem TLS, dane są szyfrowane w spoczynku, a dostęp kontrolowany wiersz po wierszu, więc z konta jednej rodziny nie da się sięgnąć po zapisy innej.

Czy naprawdę mogę wszystko usunąć samodzielnie?

Tak. Ustawienia, a potem Usuń konto — natychmiast znikają Twoje konto, każdy prowadzony przez Ciebie profil dziecka i wszystkie jego wpisy. Możesz też napisać na [email protected] z adresu przypisanego do konta. Kopie w zaszyfrowanych backupach wygasają wraz ze zwykłą rotacją, w ciągu 30 dni.

Czy hosting w UE oznacza, że nic nigdy nie opuszcza UE?

Nie, a twierdzenie inaczej wprowadzałoby w błąd. Apple rozlicza subskrypcje, RevenueCat zarządza uprawnieniami, Resend dostarcza e-maile, a Sentry odbiera szczegóły awarii. Te firmy dostają identyfikatory, adresy e-mail albo dane techniczne na podstawie standardowych klauzul umownych — nigdy zapisów o karmieniu, śnie, wzroście czy zdrowiu Twojego dziecka.

Czy jakiekolwiek dane mojej rodziny są używane do reklam?

Nie. Nie ma reklam ani identyfikatorów reklamowych, nic nie jest sprzedawane, wynajmowane ani udostępniane reklamodawcom. Nie powstaje żaden profil reklamowy ani śledzący — ani Twój, ani Twojego dziecka — a Twoje wpisy nigdy nie służą do trenowania modeli AI.