Tvoje soukromí
Většina aplikací se nejdřív ptá, kdo jsi. My jsme MotoNavigator postavili tak, aby ta otázka vůbec nepadla. Ne ze zdvořilosti — z architektury. Zásada za vším: tak anonymní, jak jen technika dovolí. Co to znamená, jasnými slovy.
Nevíme, kdo jsi
Žádný účet. Žádná registrace. Žádný e-mail, žádné jméno, žádná profilová fotka, žádné „přihlásit se přes cokoli". Při prvním spuštění si tvůj telefon vylosuje náhodný identifikátor — dlouhý řetěz hodů kostkou, čistě technický, kvazi-anonymní identifikátor. To číslo nikoho nepojmenovává — a většina našich serverů ho ani nevidí.
Nemohli bychom ti poslat newsletter, ani kdybychom chtěli. Není adresa, kam by šel — aplikace žádnou nezná a nikdy se na ni neptá. Kdyby tu na webu jednou stál formulář a ty se do něj zapsal, pak jsi nám adresu dal ty. Sami od sebe se k tobě nedostaneme. Když napíšeš podpoře, budeš nám muset svůj identifikátor říct sám — aplikace ti ho ukáže, protože my tě vyhledat neumíme. Neexistuje seznam, ve kterém bys figuroval jako osoba.
Jedna výjimka existuje, a tu si vyrobíš sám: tvůj mail. Ten si schováváme, jako každý pořádný servis schovává zakázkové listy — a stojí-li v něm tvůj identifikátor, stojí tam vedle tvé adresy. Nechceš to? Řekni nám; pak ho smažeme, pokud nás žádný zákon nenutí ho schovat.
Ani placení tě neodhalí
Pro jde přes obchod tvého telefonu: číslo karty nikdy nevidíme. Potvrdí se nám přesně jedno: „zaplaceno do data X“. Účtenka za tím nenese jméno, e-mail ani účet Apple či Google — taková data obchody vývojářům vůbec nevydávají. K nám dorazí datum platnosti, v jednom řádku u tvého vylosovaného identifikátoru. Ve stejném řádku stojí, kdy jsi aplikaci poprvé spustil a který den jsi ji použil naposled — víc ne. Žádné jméno, žádná adresa, žádné číslo karty. Když si někdy vylosuješ nový, účtenka své datum prostě přenese na nové číslo — víc spojení neexistuje. Tvoje peníze a tvoje ježdění nikdy nesedí ve stejném řádku.
Zóny soukromí: co se nikdy nezapíše, nemůže nikdy uniknout
Nakresli kruh kolem svého domova. Uvnitř toho kruhu se nezaznamenává nic — ne „nahraje-a-schová", ne „smaže-později". Vůbec se nezapíše, ani do tvého vlastního telefonu. A nejen poloha: rychlost, kurz, výška, náklon, tlak — každá naměřená hodnota zůstane prázdná.
Mezeru to ale netrhá: jízda běží dál, hodiny běží s ní, chybí jen hodnoty. Kdo se někdy dostane k jedné z tvých jízd, neuvidí, kde doopravdy končí — a jinak jen to, co se jelo: vzdálenost, rychlost, náklon. Žádné jméno, žádná adresa, žádný cíl.
To platí i vůči nám: v nahraných jízdách poloha uvnitř tvé zóny neexistuje také. Nevíme, kde v tom kruhu tvůj domov leží — a vědět to nemůžeme. Co neexistuje, nemůže nikdo vzít. Ani my.
Tvoje jízdy žijí v tvém telefonu
Každý záznam — GPS, senzory, náklon — se zapisuje lokálně, surový, a tam zůstává. Nic tenhle telefon neopustí, dokud neřekneš, že smí — a vzít to zpátky můžeš kterýkoli den. Tvůj archiv výletů je tvůj, jako je tvá garáž.
Nahrávání je opt-in — a pro nás jen čísla
Když přispěješ záznamy — stopu, hodnoty ze senzorů a to, čeho si aplikace cestou všimla, i s tvou odpovědí na to —, nese nahrávka tvůj vylosovaný identifikátor. Nic víc. Tvoje jízda přistane na štosu s mnoha dalšími a z toho štosu se učíme: která zatáčka baví, kde se jezdci potkávají, co aplikace příště pozná líp. Trasy plynou. Mapy sedí. Aplikace myslí dopředu. To je náš byznys, a raději to řekneme, než abychom to zamlčeli.
Co neděláme: vyhodnocovat tě jednotlivě. Žádné vysvědčení za styl jízdy, žádný seznam pirátů silnic, žádný bodový systém. Zajímá nás štos, ne jednotlivý list v něm. Pro nás tvůj identifikátor znamená přesně jedno: tyhle jízdy jsou ze stejného zařízení, tamty z jiného. Není jméno, e-mail ani účet, ke kterému by číslo vedlo. Dohledání k osobě není zamýšlené ani možné: ta cesta prostě neexistuje.
Každá jízda se navíc ukládá pod vlastním náhodným identifikátorem jako názvem souboru — tvoje číslo je uvnitř souboru, ne na regálu. Je to jediná nit mezi tvými jízdami a zůstává tím, čím je: číslem, které nikoho nepojmenovává.
Kde to všechno leží
Tvoje nahrané jízdy leží v EU. Tečka — a všechno, co z nich počítáme, taky, dokud to ještě ukazuje na zařízení.
Zbytek smí stát blíž k tobě. Stažení map nebo skupinový server na druhé straně světa je technicky špatný nápad: každý dotaz jde oklikou, a ty ji cítíš. Ty servery tvůj vylosovaný identifikátor ani nevidí — doklad, kterým se tam aplikace hlásí, ho nenese. Vědí, že někdo chce mapová data. Ne kdo.
IP adresu vidí, to ano, jako každý server na síti. Ta zůstane nejvýš dva týdny v logu, kdyby někdo dělal potíže. Po té době adresa letí ven. Statistika, kterou z toho taháme, žádné IP adresy nezná. Pro tenhle web platí totéž.
Tlačítko nového začátku
Hluboko v nastavení můžeš svůj identifikátor zahodit a vylosovat si nový. Staré číslo tam končí — co pod ním naše servery měly, osiří navždy. Radši bychom, abys to nikdy nepotřeboval. Ale je to tvoje rukojeť, takže je to tvoje páka.
Žádná sociální síť — schválně
Žádný feed, žádní followeři, žádné lajky, žádná záložka „Objevovat", žádný profil na hýčkání. Není to chybějící funkce, je to rozhodnutí: tvoje trasy a POI jsou tvoje a nikdo nevydělává na tom, že je ukazuješ.
Sdílet ale můžeš — tak, jak to už děláš. Výlet odchází jako soubor: fórum, mail, messenger, flashka, AirDrop na benzince. Běžné výměnné formáty jdou dovnitř i ven. A kdo chce víc, má náš vlastní otevřený formát: nenese jen stopu, ale celý recept — typy průjezdních bodů, navigační profil, POI, celé sbírky. Otevřeně dokumentovaný, čitelný, žádná klec výrobce. V obou případech: soubor v tvé ruce, ne odkaz na naše servery — bez tvého identifikátoru uvnitř, a aniž bychom se o sdílení vůbec dozvěděli. Komunita se děje tam, kam ji postavíš ty, ne tam, kam tě žene algoritmus.
A jo, na Facebooku a Instagramu profil stejně máme. Výloha, ne štamgastský stůl. Odkazujeme na něj nanejvýš obyčejným odkazem — žádný sledovací pixel, žádný čudlík na lajky, nic, co by už předem posílalo data Metě. Kdo klikne, je v revíru Mety; co tam Meta o návštěvnících počítá, stojí ve formální verzi.
Skupinové vyjížďky? Tam nepotřebuješ ani soubor — trasa přijde automaticky od plánovače skupiny, a když ji změní, mají všichni novou. Jeden QR kód, platný pro výlet, přezdívka volitelná. Dokud jedete spolu, skupina se vidí na mapě — od toho tu je. A i tady anonymita drží: skupina běží na vlastním technickém identifikátoru, který s tvým nemá nic společného, a tvoje přezdívka je jen štítek na něm. Po výletě kód vyprší — nezbyde nic, co by na někoho ukazovalo.
Proč říkáme „pseudonymní" — a ne „anonymní"
Stopa GPS je stopa GPS: kudy někdo jel, a kdy. Výzkumníci ukázali, že hrstka bodů trasy může stačit k rozlišení vzorce jednoho člověka od druhého. Přesně proto existuje architektura výše — žádné jméno na tom, zóny soukromí vystřihují domov, nahrávky nevedou k žádné osobě. Tvým datům říkáme „pseudonymní", ne „anonymní", protože to je to přesné slovo. Co vracíme komunitě — které zatáčky plynou, které průsmyky stojí za zajížďku — se sčítá přes mnoho jezdců, dokud už neukazuje na nikoho.
Aplikace mluví jen s námi
MotoNavigator komunikuje výhradně s našimi vlastními systémy pod motonavigator.app — mapy, navigace, nahrávání, skupinové vyjížďky: všechno běží proti našim serverům. Žádné analytické služby, žádné reklamní sítě, žádná SDK třetích stran volající domů. Když aplikace vysílá, vysílá k nám. Tři výjimky, všechny zjevné: nákup v aplikaci jde pochopitelně přes kasu obchodu tvého telefonu. Záloha tvého telefonu si bere s sebou data aplikace, jako u každé jiné — tlusté mapové balíčky jsme z ní vyňali. A když u benzinky ťukneš na její web nebo číslo, jsi u nich: ten údaj pochází z OpenStreetMap, ne od nás — a dokud neťukneš, nikdo tam venku se nic nedozví.
Formální verze s články a odstavci žije v zásadách ochrany soukromí. Stejná fakta. Víc právníků.
Pro techniky mezi námi: „Vylosovaný identifikátor" je UUIDv7 — něco takového: 01a0f3e8-4d2c-7b91-a6e4-9c825d13f7a2. Přední část je časové razítko losování — prozradí tedy nanejvýš, kdy byla aplikace poprvé spuštěna. Zbytek je 74 bitů kryptograficky bezpečné náhody, vygenerované na tvém zařízení, ne na našich serverech. Žádné hardwarové číslo, žádný hash tvého e-mailu, nic odvozeného — není v něm nic, co by se dalo dopočítat zpátky k tobě. A jak jsme říkali: nové losování jde kdykoli. U skupinových vyjížděk se tenhle identifikátor mimochodem vůbec nepoužívá — tam jede jiný, losovaný čerstvě při každém vstupu do skupiny.