Varför ditt barns data stannar i EU

När din bebis är en månad gammal kan en app redan rymma flera hundra anteckningar om en person som är fyra veckor gammal: vad som gick in, vad som kom ut, hur länge barnet sov, vilken temperatur det hade klockan två på natten. Det är ett av de mest detaljerade register någon någonsin kommer att föra om ditt barn, och barnet fick inte säga ett ord om saken.

Det tänker jag på mer än på någon annan del av arbetet med Bunavi. Så här ser hela bilden ut – vad registret innehåller, var jag förvarar det, vad jag aldrig kommer att göra med det, och var löftet har sina gränser.

Vad registret faktiskt innehåller

Det är lätt att tänka sig en bebisdagbok som en lista över matningstider. Det är den inte. Lägg ihop några veckors anteckningar och du har:

Ditt barns namn – eller smeknamnet du använder – födelsedatum, ibland kön, ibland ett foto.
Hälsoanteckningar: tillväxtmått, temperaturer, symtom, mediciner, vaccinationer.
Mönster för matning och sömn, som samtidigt är en karta över när de vuxna i huset är vakna och hur länge de har varit uppe.
Blöjdetaljer som de flesta inte skulle prata om utanför barnläkarens mottagning.

Den delen av listan som handlar om temperatur och mediciner är uppgifter om hälsa, som artikel 9 i GDPR placerar bland de särskilda kategorier förordningen skyddar hårdast. Skäl 38 i samma förordning säger att barns personuppgifter ”förtjänar särskilt skydd”, och pekar ut just marknadsföring och profilering som de risker som betyder något. Lagen håller med om något de flesta föräldrar känner första gången de skriver in ett barns namn i ett formulär.

Ditt barn blir vuxet en dag, och ingenting av det här var barnets eget beslut.

Varför servrarna står i Frankfurt

Ditt barns profil och varje uppgift som hör till den ligger i en databas inne i Europeiska unionen, hos Supabase i den region Amazon kallar Europa (Frankfurt) – eu-central-1. Det är inte dekoration på en marknadsföringssida. Tre praktiska saker följer av det.

GDPR gäller, inte som en tjänst. Jag är en oberoende utvecklare etablerad i Bulgarien, och artikel 3 gör att förordningen gäller för behandling som sker inom ramen för verksamheten vid ett verksamhetsställe i unionen. Det är ingen policy jag i tysthet kan mjuka upp i en framtida uppdatering.
Dina rättigheter går att kräva ut. Artikel 20 ger dig en kopia av dina uppgifter i ett strukturerat, allmänt använt och maskinläsbart format. Artikel 17 ger dig radering. Och om jag någon gång sviker dig ger artikel 77 dig rätt att klaga hos en tillsynsmyndighet – i mitt fall Bulgariens kommission för skydd av personuppgifter, eller myndigheten i ditt eget land.
Det finns en namngiven person i andra änden. Personuppgiftsansvarig är jag, med namn, land och en e-postadress som fungerar, i integritetspolicyn. Ett klagomål har någonstans att landa.

Nu den ärliga delen: var servern står är inget skydd i sig. En server i Frankfurt som sköts slarvigt skyddar din familj sämre än en server var som helst annars som sköts ordentligt. Geografin avgör bara vilka regler som kan drivas igenom mot mig. Det som faktiskt skyddar ditt barns uppgifter är vad programmet gör varje dag.

Det här har jag förbundit mig till

Trafiken mellan din telefon och servern krypteras med TLS.
Åtkomsten styrs rad för rad i databasen, så ett konto kan bara läsa eller skriva uppgifter om de barn det äger eller har blivit inbjudet till. En familjs rader går inte att nå från en annan familjs konto, och den regeln bor i databasen och inte i appens vyer.
Ingen reklam. Inga reklamidentifierare. Ingenting säljs, hyrs ut eller delas med annonsörer. Ingen reklam- eller spårningsprofil av dig eller ditt barn.
Delning är avstängd tills du slår på den. En inbjudningskod kan bara användas en gång, går ut efter 7 dagar, och åtkomsten kan återkallas direkt från inställningarna – värt att veta innan du ger koden till din partner eller en mor- eller farförälder.
Appen är byggd för att fungera offline i första hand, så den behåller en liten kopia av de senaste anteckningarna på din egen enhet för att fungera klockan tre på natten utan täckning. Den kopian rensas när du loggar ut.
Att få ut dina uppgifter och att få dem raderade är båda knappar i inställningarna, inte förfrågningar du måste skicka till mig.

Punkten om ”avstängt som standard” är den jag skulle försvara hårdast. Artikel 25 i GDPR kräver dataskydd som standard – personuppgifter ska inte bli tillgängliga för ett obegränsat antal personer utan din egen medverkan. För ett barns hälsouppgifter är ett standardläge som läcker inte ett litet designfel.

Där bilden inte är helt europeisk

En app som drivs av en person är ändå beroende av andra företag, och att låtsas något annat vore precis ett sådant påstående du borde misstro. Apple sköter faktureringen av prenumerationer och jag ser aldrig ditt kort. RevenueCat, i USA, håller reda på vad ditt abonnemang låser upp och får en kontoidentifierare plus köphändelser. Resend levererar e-post – en lösenordsåterställning, ett kvitto – och får din adress och meddelandet; det är ett amerikanskt företag, även om utskicken körs på infrastruktur i Irland. Sentry tar emot tekniska kraschdetaljer – enhetsmodell, OS-version, stackspårning – från versioner som har kraschrapportering påslagen. Där personuppgifter hanteras utanför EU omfattas de av Europeiska kommissionens standardavtalsklausuler, och vart och ett av de företagen namnges i integritetspolicyn.

Det ingen av dem får är ditt barns uppgifter. Matningarna, tupplurerna, tillväxtmåtten, temperaturerna, namnet och födelsedatumet stannar i EU-databasen.

Det verkliga provet är raderingen

Vilken app som helst kan skriva ett varmt stycke om integritet. Löftet betyder något först om det faktiskt går att lämna – och om det krävs tre mejl och en supportkö för att radera ett barns hälsouppgifter var löftet bara dekoration.

Alltså: Inställningar → Radera konto tar bort ditt konto direkt, tillsammans med varje barn du äger som ingen annan har bjudits in till, och alla deras uppgifter. Vill du hellre slippa göra det i appen mejlar du [email protected] från din kontoadress, så raderas allt inom 30 dagar, oftast långt tidigare. Det är rätten till radering i artikel 17, kopplad till en knapp i stället för ett formulär.

Exportera innan du raderar

En sak att veta först: ett barn du äger som fortfarande har en annan omsorgsperson raderas inte med dig. Det lämnas över till den omsorgsperson som har funnits längst på barnet, så att en medförälder eller en mor- eller farförälder behåller historiken de har förlitat sig på, och anteckningarna du skrev följer med registret utan ditt namn på sig. Ett barn som ingen annan har bjudits in till försvinner när ditt konto försvinner. Hur som helst upphör din egen åtkomst i samma stund som du raderar – så om du vill ha historiken själv, eller om din barnläkare har bett om en kopia, exportera den först och radera sedan.

Kraven du bör ställa på vilken bebisapp som helst

Du behöver inte ta mitt ord på något av det här, och det bör du inte heller göra. Fyra kontroller, som var och en tar ungefär en minut, säger dig mer om en app än dess startsida gör.

Vad du ska fråga	Var du kan kolla det själv
Vem är juridiskt ansvarig för de här uppgifterna?	Integritetspolicyn. Den ska namnge en personuppgiftsansvarig – ett riktigt företag eller en riktig person, med land och en kontaktadress.
Används något av det för att spåra mig?	Sidan i App Store. Apple kräver att varje app redovisar vad den och dess tredjepartspartner samlar in, och om något av det används för att spåra dig – alltså kopplas ihop med data från andra företags appar och webbplatser för riktad reklam eller annonsmätning, eller lämnas till en datamäklare.
Hur får jag ut allt, och hur får jag allt raderat?	Hitta båda vägarna innan du registrerar dig, inte efter. I appen slår ett supportärende.
Är delning avstängd tills jag slår på den?	Inbjudningsflödet. Leta efter engångskoder som går ut, och ett sätt att ta bort någon som får effekt direkt.

Det är kraven jag skulle vilja bli mätt mot själv, och kraven jag skulle ställa på vem som helst annan som ber om att få förvalta ditt barns första år. Du för det här registret åt någon som ännu inte kan säga sitt – det minsta programmet kan göra är att behandla det så. Vill du ha den längre versionen av hur jag arbetar finns den i integritetspolicyn och på sidan om Bunavi, båda skrivna för att läsas, inte för att uthärdas.

Frågor som föräldrar ställer

Var lagras mitt barns data?

I Europeiska unionen – en Supabase-databas i Amazons region Europa (Frankfurt), eu-central-1. Trafiken krypteras med TLS, data krypteras i vila, och åtkomsten styrs rad för rad, så att en familjs uppgifter inte går att nå från en annan familjs konto.

Kan jag verkligen radera allt själv?

Ja. Inställningar och sedan Radera konto tar bort ditt konto, varje barnprofil du äger och alla deras uppgifter direkt. Du kan också mejla [email protected] från din kontoadress. Kopior i krypterade säkerhetskopior försvinner med den vanliga rotationen, inom 30 dagar.

Betyder EU-lagring att ingenting någonsin lämnar EU?

Nej, och att påstå något annat vore vilseledande. Apple sköter faktureringen av prenumerationer, RevenueCat hanterar behörigheter, Resend levererar e-post och Sentry tar emot kraschdetaljer. De tjänsterna får identifierare, e-postadresser eller tekniska data enligt standardavtalsklausuler – aldrig ditt barns uppgifter om matning, sömn, tillväxt eller hälsa.

Används någon av min familjs data för reklam?

Nej. Det finns ingen reklam och inga reklamidentifierare, och ingenting säljs, hyrs ut eller delas med annonsörer. Ingen reklam- eller spårningsprofil byggs av dig eller ditt barn, och dina anteckningar används aldrig för att träna AI-modeller.