Porque é que os dados do seu bebé ficam na UE

Quando o seu bebé faz um mês, uma app de registo pode já ter várias centenas de entradas sobre uma pessoa com quatro semanas de vida: o que entrou, o que saiu, quanto tempo dormiu, que temperatura tinha às 2 da manhã. É um dos registos mais detalhados que alguém alguma vez guardará sobre ele, e ele não teve uma palavra a dizer sobre nada disso.

Penso nisto mais do que em qualquer outra parte de fazer o Bunavi. Por isso, aqui fica o quadro completo — o que o registo contém, onde o guardo, o que nunca farei com ele e onde a promessa tem limites.

O que o registo contém, na verdade

É fácil imaginar uma app de registo do bebé como uma lista de horários das mamadas. Não é isso. Junte algumas semanas de entradas e tem:

O nome do seu filho — ou a alcunha que usa —, a data de nascimento, às vezes o sexo, às vezes uma fotografia.
Entradas de saúde: medições de crescimento, temperaturas, sintomas, medicamentos, vacinas.
Padrões de alimentação e de sono, que são também um mapa de quando os adultos da casa estão acordados e há quanto tempo estão a pé.
Pormenores das fraldas que a maioria das pessoas não discutiria fora do consultório do pediatra.

A ponta dessa lista onde estão as temperaturas e os medicamentos são dados relativos à saúde, que o artigo 9.º do RGPD coloca nas categorias especiais que o regulamento protege com mais rigor. O considerando 38 do mesmo regulamento diz que as crianças «merecem proteção específica no que respeita aos seus dados pessoais» e aponta o marketing e a definição de perfis como os riscos que contam. A lei está a concordar com algo que a maioria dos pais sente da primeira vez que escreve o nome de um filho num formulário.

O seu filho será adulto um dia, e nada disto foi decisão dele.

Porque é que os servidores estão em Frankfurt

O perfil do seu bebé e todos os registos ligados a ele estão numa base de dados dentro da União Europeia, alojada pela Supabase na região que a Amazon designa por Europa (Frankfurt) — eu-central-1. Isto não é enfeite numa página de marketing. Daqui decorrem três coisas práticas.

O RGPD aplica-se, e não como um favor. Sou um programador independente estabelecido na Bulgária, e o artigo 3.º faz o regulamento aplicar-se ao tratamento efetuado no contexto das atividades de um estabelecimento na União. Não é uma política que eu possa suavizar discretamente numa atualização futura.
Os seus direitos são exigíveis. O artigo 20.º dá-lhe uma cópia dos seus dados num formato estruturado, de uso corrente e de leitura automática. O artigo 17.º dá-lhe o apagamento. E se alguma vez lhe falhar, o artigo 77.º dá-lhe o direito de reclamar junto de uma autoridade de controlo — no meu caso, a Comissão de Proteção de Dados Pessoais da Bulgária, ou a autoridade do seu próprio país.
Do outro lado há uma pessoa com nome. O responsável pelo tratamento sou eu, com nome, país e um endereço de e-mail que funciona, na política de privacidade. Uma reclamação tem onde aterrar.

Agora a parte honesta: o local de alojamento não é um escudo. Um servidor em Frankfurt gerido com desleixo protege menos a sua família do que um servidor em qualquer outro sítio gerido como deve ser. A geografia só decide que regras podem ser aplicadas contra mim. O que protege mesmo o registo do seu filho é o que o software faz todos os dias.

Aquilo a que me comprometi

O tráfego entre o seu telemóvel e o servidor é encriptado com TLS.
O acesso é aplicado linha a linha na base de dados, por isso uma conta só consegue ler ou escrever registos dos bebés que lhe pertencem ou para os quais foi convidada. As linhas de uma família não são alcançáveis a partir da conta de outra família, e essa regra vive na base de dados e não nos ecrãs da app.
Sem anúncios. Sem identificadores de publicidade. Nada vendido, alugado ou partilhado com anunciantes. Nenhum perfil publicitário ou de rastreio de si ou do seu filho.
A partilha está desligada até você a ligar. Um código de convite é de utilização única, expira ao fim de 7 dias e o acesso pode ser revogado de imediato nas definições — vale a pena saber antes de dar o código a um parceiro ou a uma avó.
A app foi feita para funcionar primeiro sem ligação, por isso guarda uma pequena cópia das entradas recentes no seu próprio dispositivo para funcionar às 3 da manhã sem rede. Essa cópia é apagada quando termina sessão.
Tirar os seus dados de lá e apagá-los são ambos botões nas definições, não pedidos que tenha de me enviar.

O ponto do «desligado por defeito» é o que eu defenderia com mais força. O artigo 25.º do RGPD pede proteção de dados por defeito — os dados pessoais não devem ficar acessíveis a um número indeterminado de pessoas sem a sua própria intervenção. Num registo de saúde de uma criança, uma predefinição que deixa fugir dados não é uma pequena falha de desenho.

Onde o quadro não é puramente europeu

Uma app feita por uma só pessoa continua a depender de outras empresas, e fingir o contrário seria o tipo de afirmação de que deve desconfiar. A Apple cobra as subscrições e eu nunca vejo o seu cartão. A RevenueCat, nos EUA, gere o que o seu plano desbloqueia e recebe um identificador de conta e os eventos de compra. A Resend entrega o e-mail — a reposição de uma palavra-passe, um recibo — e recebe o seu endereço e a mensagem; é uma empresa norte-americana, embora a infraestrutura de envio funcione na Irlanda. O Sentry recebe detalhes técnicos das falhas — modelo do dispositivo, versão do sistema, rastreio da pilha — das versões que têm o relatório de falhas ativado. Sempre que há tratamento de dados pessoais fora da UE, está coberto pelas cláusulas contratuais-tipo da Comissão Europeia, e cada uma dessas empresas está nomeada na política de privacidade.

O que nenhuma delas recebe é o registo do seu bebé. As mamadas, as sestas, as medições de crescimento, as temperaturas, o nome e a data de nascimento ficam na base de dados da UE.

O verdadeiro teste é a eliminação

Qualquer app consegue escrever um parágrafo simpático sobre privacidade. A promessa só significa alguma coisa se sair funcionar mesmo — e se forem precisos três e-mails e uma fila de apoio para apagar o registo de saúde de uma criança, a promessa era decorativa.

Então: Definições → Eliminar conta apaga a sua conta de imediato, juntamente com todos os bebés que lhe pertencem e para os quais mais ninguém foi convidado, e todos os registos deles. Se preferir não o fazer na app, escreva para [email protected] a partir do endereço da sua conta e fica apagado no prazo de 30 dias, normalmente muito antes. É o direito ao apagamento do artigo 17.º, ligado a um botão em vez de a um formulário.

Exporte antes de apagar

Uma coisa a saber primeiro: um bebé que lhe pertence e que ainda tem outro cuidador não é apagado consigo. Passa para o cuidador mais antigo desse bebé, para que um co-progenitor ou um avô mantenha o histórico de que tem dependido, e as entradas que escreveu ficam com o registo, sem o seu nome. Um bebé para o qual mais ninguém foi convidado desaparece quando a sua conta desaparece. Em qualquer dos casos, o seu próprio acesso termina no momento em que apaga — por isso, se quiser o histórico para si, ou se o pediatra lhe pediu uma cópia, exporte primeiro e só depois apague.

O que exigir a qualquer app de bebé

Não tem de acreditar em nada disto só porque sou eu a dizê-lo, e não deve. Quatro verificações, cada uma de cerca de um minuto, dizem-lhe mais sobre uma app do que a página de apresentação dela.

O que perguntar	Onde pode verificar por si
Quem é legalmente responsável por estes dados?	A política de privacidade. Deve nomear um responsável pelo tratamento — uma empresa ou pessoa real, com país e endereço de contacto.
Alguma parte é usada para me rastrear?	A página na App Store. A Apple exige que cada app declare o que ela e os seus parceiros terceiros recolhem, e se alguma parte é usada para o rastrear — ou seja, associada a dados de apps e sites de outras empresas para publicidade direcionada ou medição publicitária, ou entregue a um corretor de dados.
Como é que tiro tudo de lá e apago tudo?	Encontre os dois caminhos antes de criar conta, não depois. Dentro da app vale mais do que um pedido ao apoio.
A partilha está desligada até eu a ligar?	O fluxo de convite. Procure códigos de utilização única que expiram e uma forma de remover alguém com efeito imediato.

É esse o padrão que eu quereria ver aplicado a mim, e o mesmo que aplicaria a qualquer outra pessoa que peça para guardar o primeiro ano do seu bebé. Está a manter este registo em nome de alguém que ainda não pode opinar — o mínimo que o software pode fazer é tratá-lo assim. Se quiser a versão longa de como trabalho, está na política de privacidade e na página sobre, ambas escritas para serem lidas e não para serem sobrevividas.

Perguntas que os pais fazem

Onde ficam guardados os dados do meu bebé?

Na União Europeia — numa base de dados Supabase na região Europa (Frankfurt) da Amazon, eu-central-1. O tráfego é encriptado com TLS, os dados são encriptados em repouso e o acesso é aplicado linha a linha, por isso os registos de uma família são inalcançáveis a partir da conta de outra família.

Posso mesmo apagar tudo eu próprio?

Sim. Definições e depois Eliminar conta apaga a sua conta, todos os perfis de bebé que lhe pertencem e todos os registos deles, de imediato. Também pode escrever para [email protected] a partir do endereço da sua conta. As cópias existentes nas cópias de segurança encriptadas expiram com a rotação normal, no prazo de 30 dias.

Alojar na UE significa que nunca nada sai da UE?

Não, e dizer o contrário seria enganador. A Apple cobra as subscrições, a RevenueCat gere o que o plano desbloqueia, a Resend entrega o e-mail e o Sentry recebe detalhes das falhas. Esses serviços recebem identificadores, endereços de e-mail ou dados técnicos ao abrigo de cláusulas contratuais-tipo — nunca os registos de alimentação, sono, crescimento ou saúde do seu bebé.

Algum dado da minha família é usado para publicidade?

Não. Não há anúncios nem identificadores de publicidade, e nada é vendido, alugado ou partilhado com anunciantes. Não é criado nenhum perfil publicitário ou de rastreio de si ou do seu filho, e as suas entradas nunca são usadas para treinar modelos de IA.