Tvoje soukromí
Většina aplikací se nejdřív ptá, kdo jsi. My jsme MotoNavigator postavili tak, aby ta otázka vůbec nepadla. Ne ze zdvořilosti - z architektury. Zásada za vším: tak anonymní, jak jen technika dovolí. Co to znamená, jasnými slovy.
Nevíme, kdo jsi
Žádný účet. Žádná registrace. Žádný e-mail, žádné jméno, žádná profilová fotka, žádné „přihlásit se přes cokoli". Při prvním spuštění si tvůj telefon vylosuje náhodný identifikátor - dlouhý řetěz hodů kostkou, čistě technický, kvazi-anonymní identifikátor. To číslo nikoho nepojmenovává - a většina našich serverů ho ani nevidí.
Nemohli bychom ti poslat newsletter, ani kdybychom chtěli. Není adresa, kam by šel - aplikace žádnou nezná a nikdy se na ni neptá. Kdyby tu na webu jednou stál formulář a ty se do něj zapsal, pak jsi nám adresu dal ty. Sami od sebe se k tobě nedostaneme. Když napíšeš podpoře, budeš nám muset svůj identifikátor říct sám - aplikace ti ho ukáže, protože my tě vyhledat neumíme. Neexistuje seznam, ve kterém bys figuroval jako osoba.
Jedna výjimka existuje, a tu si vyrobíš sám: tvůj mail. Ten si schováváme, jako každý pořádný servis schovává zakázkové listy - a stojí-li v něm tvůj identifikátor, stojí tam vedle tvé adresy. Nechceš to? Řekni nám; pak ho smažeme, pokud nás žádný zákon nenutí ho schovat.
Ani placení tě neodhalí
Pro jde přes obchod tvého telefonu: číslo karty nikdy nevidíme. Potvrdí se nám přesně jedno: „zaplaceno do data X“. Účtenka za tím nenese jméno, e-mail ani účet Apple či Google - taková data obchody vývojářům vůbec nevydávají. K nám dorazí datum platnosti, v jednom řádku u tvého vylosovaného identifikátoru. Ve stejném řádku stojí, kdy jsi aplikaci poprvé spustil a který den jsi ji použil naposled - víc ne. Žádné jméno, žádná adresa, žádné číslo karty. Když si někdy vylosuješ nový, účtenka své datum prostě přenese na nové číslo - víc spojení neexistuje. Tvoje peníze a tvoje ježdění nikdy nesedí ve stejném řádku.
Zóny soukromí: co se nikdy nezapíše, nemůže nikdy uniknout
Nakresli kruh kolem svého domova. Uvnitř toho kruhu se nezaznamenává nic - ne „nahraje-a-schová", ne „smaže-později". Vůbec se nezapíše, ani do tvého vlastního telefonu. A nejen poloha: rychlost, kurz, výška, náklon, tlak - každá naměřená hodnota zůstane prázdná.
Mezeru to ale netrhá: jízda běží dál, hodiny běží s ní, chybí jen hodnoty. Kdo se někdy dostane k jedné z tvých jízd, neuvidí, kde doopravdy končí - a jinak jen to, co se jelo: vzdálenost, rychlost, náklon. Žádné jméno, žádná adresa, žádný cíl.
To platí i vůči nám: v nahraných jízdách poloha uvnitř tvé zóny neexistuje také. Nevíme, kde v tom kruhu tvůj domov leží - a vědět to nemůžeme. Co neexistuje, nemůže nikdo vzít. Ani my.
Tvoje jízdy žijí v tvém telefonu
Každý záznam - GPS, senzory, náklon - se zapisuje lokálně, surový, a tam zůstává. Nic tenhle telefon neopustí, dokud neřekneš, že smí - a vzít to zpátky můžeš kterýkoli den. Tvůj archiv výletů je tvůj, jako je tvá garáž.
Nahrávání je opt-in - a pro nás jen čísla
Když přispěješ záznamy - stopu, hodnoty ze senzorů a to, čeho si aplikace cestou všimla, i s tvou odpovědí na to -, nese nahrávka tvůj vylosovaný identifikátor. Nic víc. Tvoje jízda přistane na štosu s mnoha dalšími a z toho štosu se učíme: která zatáčka baví, kde se jezdci potkávají, co aplikace příště pozná líp. Trasy plynou. Mapy sedí. Aplikace myslí dopředu. To je náš byznys, a raději to řekneme, než abychom to zamlčeli.
Co neděláme: vyhodnocovat tě jednotlivě. Žádné vysvědčení za styl jízdy, žádný seznam pirátů silnic, žádný bodový systém. Zajímá nás štos, ne jednotlivý list v něm. Pro nás tvůj identifikátor znamená přesně jedno: tyhle jízdy jsou ze stejného zařízení, tamty z jiného. Není jméno, e-mail ani účet, ke kterému by číslo vedlo. Dohledání k osobě není zamýšlené ani možné: ta cesta prostě neexistuje.
Každá jízda se navíc ukládá pod vlastním náhodným identifikátorem jako názvem souboru - tvoje číslo je uvnitř souboru, ne na regálu. Je to jediná nit mezi tvými jízdami a zůstává tím, čím je: číslem, které nikoho nepojmenovává.
Když aplikace zakašle: zpráva o chybě jen s tvým ano
Když se v aplikaci něco pokazí, může nám poslat zprávu o chybě - ale jen s tvým svolením. Ptáme se při prvním spuštění, samostatně a odděleně od jízd: kdo si své jízdy nechává pro sebe, smí přesto zprávy povolit, a naopak. Ne tě nic nestojí, aplikace zůstane použitelná beze změny. Rozmyslet si to můžeš kdykoli, v nastavení pod „Soukromí“.
Zpráva je chybový kód, ne kniha jízd: co je rozbité, kdy a jak často - ne kam jsi jel. Konkrétně: druh chyby, místo v programovém kódu, verze aplikace, platforma, kdy a jak často k chybě došlo, krátká technická hláška a - pokud nějaké jsou - posledních pár technických událostí před ní (jen druh a čas, žádný obsah). Jízdy, trasy, místa, výřezy map, hledané texty: bez nálezu - zpráva se sestavuje z pevného seznamu. A upřímně: technická hláška k chybě v programu může v jednotlivých případech obsahovat údaje jako názvy souborů. Aplikace z ní před odesláním nahradí identifikátory, souřadnice a začátky cest zástupnými značkami; záruku, že na tebe nikdy nic neukáže, nedáváme.
Na rozdíl od jízd tu tvůj identifikátor stojí otevřeně - v hlavičce zprávy i v názvu souboru, a je to stejný identifikátor, jaký nesou i tvé jízdy. Je to záměr: chyba bez zařízení je hádanka a my chceme vidět, jestli deset zpráv přišlo z deseti telefonů, nebo z jednoho. Pseudonymně tedy, ne anonymně (proč jsme v tom takoví puntičkáři, stojí níž v oddílu „Proč říkáme ‚pseudonymní‘ - a ne ‚anonymní‘“); ukládá se odděleně od jízd, do vlastního adresáře.
Zpráva se odesílá automaticky, jen přes Wi-Fi a jen tehdy, když je co nového. Cíl je náš vlastní server v EU - tatáž služba, která přijímá tvé nahrané jízdy, jen s vlastním adresářem. Žádná cizí služba na hlášení pádů, žádné cizí SDK. Nejvýš 90 dní u nás zpráva zůstane, pak je smazaná - a používá se k jedinému: najít a opravit chyby. Žádné vyhodnocování jednotlivých jezdců, žádná reklama. Chceš svá data smazat? Na to je formulář: dataremoval.motonavigator.app. Identifikátor ti ukáže aplikace. Zadáš ho, odešleš - a v tu vteřinu leží tvoje žádost u nás na seznamu. Jde to i mailem: identifikátor z tvého mailu pak zapíšeme do systému sami. Pro nás oba neefektivní, ale funguje to. Všechno ostatní - co leží pod tvým identifikátorem, opravy údajů, námitky - jde jako vždycky mailem.
Kde to všechno leží
Tvoje nahrané jízdy leží v EU. Tečka - a všechno, co z nich počítáme, taky, dokud to ještě ukazuje na zařízení. Totéž platí pro zprávy o chybách, pokud je povolíš; nesou tvůj identifikátor otevřeně.
Zbytek smí stát blíž k tobě. Stažení map nebo skupinový server na druhé straně světa je technicky špatný nápad: každý dotaz jde oklikou, a ty ji cítíš. Ty servery tvůj vylosovaný identifikátor ani nevidí - doklad, kterým se tam aplikace hlásí, ho nenese. Vědí, že někdo chce mapová data. Ne kdo.
IP adresu vidí, to ano, jako každý server na síti. Ta zůstane nejvýš dva týdny v logu, kdyby někdo dělal potíže. Po té době adresa letí ven. Statistika, kterou z toho taháme, žádné IP adresy nezná. Pro tenhle web platí totéž.
Tlačítko nového začátku
Hluboko v nastavení můžeš svůj identifikátor zahodit a vylosovat si nový. Staré číslo tam končí - co pod ním naše servery měly, osiří navždy. Radši bychom, abys to nikdy nepotřeboval. Ale je to tvoje rukojeť, takže je to tvoje páka.
Žádná sociální síť - schválně
Žádný feed, žádní followeři, žádné lajky, žádná záložka „Objevovat", žádný profil na hýčkání. Není to chybějící funkce, je to rozhodnutí: tvoje trasy a POI jsou tvoje a nikdo nevydělává na tom, že je ukazuješ.
Sdílet ale můžeš - tak, jak to už děláš. Výlet odchází jako soubor: fórum, mail, messenger, flashka, AirDrop nebo Quick Share na benzince. Běžné výměnné formáty jdou dovnitř i ven. A kdo chce víc, má náš vlastní otevřený formát: nenese jen stopu, ale celý recept - typy průjezdních bodů, navigační profil, POI, celé sbírky. Otevřeně dokumentovaný, čitelný, žádná klec výrobce. V obou případech: soubor v tvé ruce, ne odkaz na naše servery - bez tvého identifikátoru uvnitř, a aniž bychom se o sdílení vůbec dozvěděli. Komunita se děje tam, kam ji postavíš ty, ne tam, kam tě žene algoritmus.
A jo, na Facebooku a Instagramu profil stejně máme. Výloha, ne štamgastský stůl. Odkazujeme na něj nanejvýš obyčejným odkazem - žádný sledovací pixel, žádný čudlík na lajky, nic, co by už předem posílalo data Metě. Kdo klikne, je v revíru Mety; co tam Meta o návštěvnících počítá, stojí ve formální verzi.
Skupinové vyjížďky? Tam nepotřebuješ ani soubor - trasa přijde automaticky od plánovače skupiny, a když ji změní, mají všichni novou. Jeden QR kód, platný pro výlet, k tomu zobrazované jméno. Dokud jedete spolu, skupina se vidí na mapě - od toho tu je. A i tady anonymita drží: skupina běží na vlastním technickém identifikátoru, který s tvým nemá nic společného, a tvoje zobrazované jméno je jen štítek na něm. Po výletě kód vyprší - nezbyde nic, co by na někoho ukazovalo.
Proč říkáme „pseudonymní" - a ne „anonymní"
Stopa GPS je stopa GPS: kudy někdo jel, a kdy. Výzkumníci ukázali, že hrstka bodů trasy může stačit k rozlišení vzorce jednoho člověka od druhého. Přesně proto existuje architektura výše - žádné jméno na tom, zóny soukromí vystřihují domov, nahrávky nevedou k žádné osobě. Tvým datům říkáme „pseudonymní", ne „anonymní", protože to je to přesné slovo. Co vracíme komunitě - které zatáčky plynou, které průsmyky stojí za zajížďku - se sčítá přes mnoho jezdců, dokud už neukazuje na nikoho.
Aplikace mluví jen s námi
MotoNavigator komunikuje výhradně s našimi vlastními systémy pod motonavigator.app - mapy, navigace, nahrávání, zprávy o chybách, skupinové vyjížďky: všechno běží proti našim serverům. Žádné analytické služby, žádné reklamní sítě, žádná SDK třetích stran volající domů. Když aplikace vysílá, vysílá k nám. Tři výjimky: přes obchod tvého telefonu jdou pochopitelně nákup v aplikaci a ověření pravosti, o které aplikace žádá poskytovatele tvého obchodu, když se u nás hlásí. Záloha tvého telefonu si bere s sebou data aplikace, jako u každé jiné. A když u benzinky ťukneš na její web nebo číslo, jsi u nich: ten údaj pochází z OpenStreetMap, ne od nás - a dokud neťukneš, nikdo se tam venku nic nedozví.
Formální verze s články a odstavci žije v zásadách ochrany soukromí. Stejná fakta. Víc právníků.
Pro techniky mezi námi: „Vylosovaný identifikátor" je UUIDv7 - něco takového: 01a0f3e8-4d2c-7b91-a6e4-9c825d13f7a2. Přední část je časové razítko losování - prozradí tedy nanejvýš, kdy byla aplikace poprvé spuštěna. Zbytek je 74 bitů kryptograficky bezpečné náhody, vygenerované na tvém zařízení, ne na našich serverech. Žádné hardwarové číslo, žádný hash tvého e-mailu, nic odvozeného - není v něm nic, co by se dalo dopočítat zpátky k tobě. A jak jsme říkali: nové losování jde kdykoli. U skupinových vyjížděk se tenhle identifikátor mimochodem vůbec nepoužívá - tam jede jiný, losovaný čerstvě při každém vstupu do skupiny.