Почему данные вашего малыша остаются в ЕС

К месяцу жизни малыша приложение для отслеживания может хранить несколько сотен записей о человеке, которому четыре недели: что попало внутрь, что вышло наружу, сколько он спал, какая у него была температура в 2 часа ночи. Это одна из самых подробных летописей, которые кто-либо когда-либо о нём соберёт, — и его при этом никто не спрашивал.

Об этом я думаю больше, чем о любой другой части работы над Bunavi. Поэтому вот вся картина целиком: что содержится в этих записях, где я их храню, чего я никогда с ними не сделаю и где у обещания есть пределы.

Что на самом деле лежит в этих записях

Трекер малыша легко представить себе как список времени кормлений. Это не так. Сложите вместе несколько недель записей — и у вас получится:

Имя вашего ребёнка — или домашнее прозвище, которым вы его зовёте, — дата рождения, иногда пол, иногда фотография.
Записи о здоровье: измерения роста, температура, симптомы, лекарства, прививки.
Ритмы кормлений и сна — а это заодно карта того, когда взрослые в доме не спят и как давно они на ногах.
Подробности про подгузники, которые большинство людей не стали бы обсуждать нигде, кроме кабинета педиатра.

Та часть списка, где температура и лекарства, — это данные о состоянии здоровья, которые статья 9 Общего регламента ЕС о защите данных (GDPR) относит к особым категориям, защищённым строже всего. Пункт 38 преамбулы того же регламента говорит, что дети «заслуживают особой защиты в отношении своих персональных данных», и отдельно называет маркетинг и профилирование как риски, которые имеют значение. Закон просто соглашается с тем, что большинство родителей чувствуют, впервые вписывая имя ребёнка в анкету.

Однажды ваш ребёнок станет взрослым — и ничего из этого он не решал.

Почему серверы во Франкфурте

Профиль вашего малыша и все привязанные к нему записи живут в базе данных внутри Европейского союза — её держит Supabase в регионе, который Amazon называет «Европа (Франкфурт)», eu-central-1. Это не украшение для маркетинговой страницы. Из этого следуют три практические вещи.

GDPR применяется — не как одолжение. Я независимый разработчик, зарегистрированный в Болгарии, и по статье 3 регламент действует для обработки, которая ведётся в рамках деятельности подразделения в Союзе. Это не внутреннее правило, которое я могу тихо смягчить в следующем обновлении.
Ваши права можно реально защитить. Статья 20 даёт вам копию ваших данных в структурированном, широко используемом и машиночитаемом формате. Статья 17 даёт право на удаление. А если я вас однажды подведу, статья 77 даёт право пожаловаться в надзорный орган — в моём случае это болгарская Комиссия по защите персональных данных, либо орган в вашей собственной стране.
На другом конце есть человек с именем. Контролёр данных — это я, названный по имени, со страной и рабочим адресом электронной почты в политике конфиденциальности. Жалобе есть куда прийти.

Теперь честная часть: место хостинга — не броня. Сервер во Франкфурте, за которым следят небрежно, защищает вашу семью хуже, чем сервер где угодно ещё, за которым следят как надо. География решает только то, какие правила можно применить ко мне. По-настоящему записи вашего ребёнка защищает то, что программа делает каждый день.

Что я обещаю

Трафик между вашим телефоном и сервером шифруется по TLS.
Доступ проверяется в базе данных построчно: аккаунт может читать и записывать только те записи, которые относятся к его собственным малышам или к тем, куда его пригласили. Строки одной семьи недоступны из аккаунта другой, и это правило живёт в самой базе данных, а не на экранах приложения.
Никакой рекламы. Никаких рекламных идентификаторов. Ничего не продаётся, не сдаётся в аренду и не передаётся рекламодателям. Никакого рекламного или отслеживающего профиля ни на вас, ни на вашем ребёнке.
Совместный доступ выключен, пока вы его не включите. Код приглашения одноразовый, истекает через 7 дней, а доступ можно отозвать сразу же в настройках — это стоит знать до того, как вы передадите код партнёру или бабушке.
Приложение устроено по принципу «сначала офлайн», поэтому хранит небольшую копию свежих записей на вашем устройстве — чтобы работать в 3 часа ночи без связи. Эта копия стирается, когда вы выходите из аккаунта.
Выгрузить свои данные и удалить их — это кнопки в настройках, а не запросы, которые нужно мне присылать.

Пункт про «выключено по умолчанию» я буду защищать упорнее всего. Статья 25 GDPR требует защиты данных по умолчанию: персональные данные не должны становиться доступны неограниченному кругу людей без вашего собственного участия. Для медицинских записей ребёнка настройка по умолчанию, которая протекает, — это не мелкий недочёт дизайна.

Где картина не совсем европейская

Приложение, которое делает один человек, всё равно зависит от других компаний, и утверждать обратное — как раз тот случай, когда заявлению не стоит верить. Apple выставляет счета за подписки, и я никогда не вижу вашу карту. RevenueCat (США) управляет тем, что открывает ваш тариф, и получает идентификатор аккаунта и события покупок. Resend доставляет письма — сброс пароля, чек — и получает ваш адрес и само письмо; это американская компания, хотя её инфраструктура отправки работает в Ирландии. Sentry получает технические данные о сбоях — модель устройства, версию ОС, стек вызовов — из сборок, где включена отправка отчётов о сбоях. Там, где персональные данные обрабатываются за пределами ЕС, это покрыто стандартными договорными положениями Европейской комиссии, и каждая из этих компаний названа в политике конфиденциальности.

Чего не получает ни одна из них — так это записей о вашем малыше. Кормления, дневной сон, измерения роста, температура, имя и дата рождения остаются в базе данных в ЕС.

Настоящая проверка — удаление

Тёплый абзац про приватность может написать любое приложение. Обещание чего-то стоит только тогда, когда уйти действительно получается, — и если, чтобы стереть медицинские записи ребёнка, нужны три письма и очередь в поддержке, обещание было декоративным.

Итак: «Настройки» → «Удалить аккаунт» сразу удаляет ваш аккаунт, всех малышей, которыми вы владеете и куда больше никого не приглашали, и все их записи. Если не хочется делать это в приложении, напишите на [email protected] с адреса вашего аккаунта — и всё будет стёрто в течение 30 дней, обычно намного раньше. Это то самое право на удаление из статьи 17, подключённое к кнопке, а не к бланку.

Выгрузите данные до удаления

Сначала одна деталь: малыш, которым вы владеете, но у которого есть ещё один партнёр с доступом, не удаляется вместе с вами. Он переходит к тому партнёру, который был в нём дольше всех, — так что второй родитель или бабушка сохранят историю, на которую они опирались, а сделанные вами записи останутся при ней, но уже без вашего имени. Малыш, куда больше никого не приглашали, уходит вместе с вашим аккаунтом. В любом случае ваш собственный доступ заканчивается в момент удаления — поэтому, если история нужна вам самим или педиатр попросил копию, сначала выгрузите её, а потом удаляйте.

Чего требовать от любого детского приложения

Верить мне на слово не нужно — и не стоит. Четыре проверки, каждая примерно на минуту, скажут о приложении больше, чем его посадочная страница.

Что спросить	Где вы можете проверить это сами
Кто юридически отвечает за эти данные?	Политика конфиденциальности. В ней должен быть назван контролёр — реальная компания или человек, со страной и контактным адресом.
Используется ли что-то из этого для слежки за мной?	Страница в App Store. Apple требует от каждого приложения указать, что собирает оно само и его сторонние партнёры и используется ли что-то из этого для отслеживания вас — то есть связывается ли с данными из приложений и сайтов других компаний ради таргетированной рекламы или измерения её эффективности либо передаётся ли брокеру данных.
Как выгрузить всё и как всё удалить?	Найдите оба пути до регистрации, а не после. Кнопка в приложении лучше, чем обращение в поддержку.
Выключен ли совместный доступ, пока я его не включу?	Процесс приглашения. Ищите одноразовые коды с истечением срока и способ убрать человека так, чтобы это сработало сразу.

Это та планка, по которой я хотел бы, чтобы мерили меня, — и та, по которой я мерил бы любого другого, кто просит доверить ему первый год вашего малыша. Вы ведёте эти записи от имени того, кто пока не может высказаться, — и самое меньшее, что может сделать программа, это относиться к ним именно так. Если хотите развёрнутую версию того, как я работаю, она есть в политике конфиденциальности и на странице «О проекте» — и то и другое написано, чтобы это читали, а не переживали.

О чём спрашивают родители

Где хранятся данные моего малыша?

В Европейском союзе — в базе данных Supabase в регионе Amazon «Европа (Франкфурт)», eu-central-1. Трафик шифруется по TLS, данные шифруются при хранении, а доступ проверяется построчно, поэтому записи одной семьи недоступны из аккаунта другой.

Я правда могу удалить всё сам?

Да. «Настройки» → «Удалить аккаунт» сразу удаляет ваш аккаунт, все профили малышей, которыми вы владеете, и все их записи. Можно также написать на [email protected] с адреса вашего аккаунта. Копии в зашифрованных резервных копиях исчезают при обычной ротации — в течение 30 дней.

Значит ли хостинг в ЕС, что вообще ничего не покидает ЕС?

Нет, и утверждать обратное было бы нечестно. Apple выставляет счета за подписки, RevenueCat управляет доступом к платным функциям, Resend доставляет письма, а Sentry получает данные о сбоях. Эти сервисы получают идентификаторы, адреса электронной почты или технические данные по стандартным договорным положениям — но никогда записи о кормлениях, сне, росте или здоровье вашего малыша.

Используются ли данные моей семьи для рекламы?

Нет. В приложении нет рекламы и рекламных идентификаторов, ничего не продаётся, не сдаётся в аренду и не передаётся рекламодателям. Ни на вас, ни на вашего ребёнка не строится рекламный или отслеживающий профиль, а ваши записи никогда не используются для обучения ИИ-моделей.