Twoja prywatność
Większość aplikacji najpierw pyta, kim jesteś. My zbudowaliśmy MotoNavigator tak, żeby to pytanie w ogóle nie padło. Nie z uprzejmości — z architektury. Zasada za wszystkim: tak anonimowo, jak pozwala technika. Co to znaczy, jasnymi słowami.
Nie wiemy, kim jesteś
Żadnego konta. Żadnej rejestracji. Żadnego e-maila, nazwiska, zdjęcia profilowego, żadnego „zaloguj przez cokolwiek". Przy pierwszym uruchomieniu twój telefon losuje przypadkowy identyfikator — długi łańcuch rzutów kośćmi, czysto techniczny, quasi-anonimowy identyfikator. Ten numer nikogo nie nazywa — a większość naszych serwerów nawet go nie widzi.
Nie moglibyśmy wysłać ci newslettera, nawet gdybyśmy chcieli. Nie ma adresu, na który by poszedł — aplikacja żadnego nie zna i nigdy o niego nie pyta. Jeśli kiedyś stanie tu na stronie formularz i sam się wpiszesz, to ty dasz nam ten adres. Sami z siebie do ciebie nie dotrzemy. Jeśli napiszesz do wsparcia, swój identyfikator będziesz musiał podać nam sam — aplikacja ci go pokazuje, bo my nie umiemy cię wyszukać. Nie istnieje spis, w którym figurujesz jako osoba.
Jest jeden wyjątek i budujesz go sam: twój mail. Trzymamy go, jak każdy porządny warsztat trzyma swoje zlecenia napraw — a jeśli jest w nim twój identyfikator, to stoi tam obok twojego adresu. Nie chcesz tego? Daj znać; wtedy go skasujemy, o ile żaden przepis nie każe nam go trzymać.
Płacenie też cię nie demaskuje
Pro idzie przez sklep twojego telefonu: numeru karty nigdy nie widzimy. Potwierdzone zostaje nam dokładnie jedno: „opłacone do daty X“. Paragon za tym nie niesie nazwiska, e-maila ani konta Apple czy Google — takich danych sklepy w ogóle nie wydają deweloperom. Do nas trafia data ważności, w jednym wierszu przy twoim wylosowanym identyfikatorze. W tym samym wierszu stoi, kiedy pierwszy raz uruchomiłeś aplikację i którego dnia użyłeś jej ostatnio — nic więcej. Bez nazwiska, bez adresu, bez numeru karty. Jeśli kiedyś wylosujesz nowy, paragon po prostu przeniesie swoją datę na nowy numer — więcej powiązań nie istnieje. Twoje pieniądze i twoja jazda nigdy nie siedzą w tym samym wierszu.
Strefy prywatności: co nigdy nie zapisane, nigdy nie wycieknie
Narysuj okrąg wokół swojego domu. Wewnątrz tego okręgu nie jest nagrywane nic — nie „wysłane-i-ukryte", nie „skasowane-później". W ogóle nie zapisane, nawet na twoim własnym telefonie. I nie tylko pozycja: prędkość, kurs, wysokość, pochylenie, ciśnienie — każdy pomiar zostaje pusty.
Dziury to jednak nie robi: jazda biegnie dalej, zegar idzie z nią, brakuje tylko wartości. Kto kiedyś dorwie jedną z twoich jazd, nie zobaczy, gdzie ona naprawdę się kończy — a poza tym tylko to, co zostało przejechane: dystans, prędkość, pochylenie. Bez nazwiska, bez adresu, bez celu.
To działa też wobec nas: w wysłanych jazdach pozycja wewnątrz twojej strefy również nie istnieje. Nie wiemy, gdzie w tym okręgu stoi twój dom — i wiedzieć nie możemy. Czego nie ma, tego nikt nie zabierze. My też nie.
Twoje jazdy mieszkają w twoim telefonie
Każde nagranie — GPS, czujniki, pochylenie — zapisuje się lokalnie, surowe, i tam zostaje. Nic nie opuszcza tego telefonu, dopóki nie powiesz, że może — a cofnąć to możesz każdego dnia. Twoje archiwum wypraw jest twoje, jak twój garaż jest twój.
Wysyłka jest opt-in — a dla nas to tylko numery
Jeśli dorzucasz nagrania — ślad, odczyty czujników i to, co aplikacja zauważyła po drodze, razem z twoją odpowiedzią na to — wysyłka niesie twój wylosowany identyfikator. Nic więcej. Twoja jazda ląduje na stosie z wieloma innymi, a z tego stosu się uczymy: który zakręt daje frajdę, gdzie spotykają się motocykliści, co aplikacja następnym razem rozpozna lepiej. Płynne trasy. Rzetelne mapy. Aplikacja z głową. To nasz interes, i wolimy to powiedzieć, niż przemilczeć.
Czego nie robimy: nie analizujemy cię z osobna. Żadnej cenzurki za styl jazdy, żadnej listy piratów drogowych, żadnych punktów karnych. Interesuje nas stos, nie pojedyncza kartka w nim. Dla nas twój identyfikator znaczy dokładnie jedno: te jazdy są z tego samego urządzenia, tamte z innego. Nie ma nazwiska, e-maila ani konta, do którego numer by prowadził. Doprowadzenie do osoby nie jest ani zamierzone, ani możliwe: ta droga po prostu nie istnieje.
Każda jazda jest ponadto składana pod własnym losowym identyfikatorem jako nazwą pliku — twój numer siedzi w pliku, nie na półce. To jedyna nić między twoimi jazdami i pozostaje tym, czym jest: numerem, który nikogo nie nazywa.
Gdzie to wszystko leży
Twoje wysłane jazdy leżą w UE. Kropka — i wszystko, co z nich liczymy, dopóki wskazuje jeszcze na urządzenie.
Reszta może stać bliżej ciebie. Pobieranie map albo serwer grupowy po drugiej stronie świata to technicznie zły pomysł: każde zapytanie nadkłada drogi, a ty to czujesz. Te serwery twojego wylosowanego identyfikatora nawet nie widzą — poświadczenie, którym aplikacja się tam zgłasza, go nie niesie. Wiedzą, że ktoś chce dane mapowe. Nie kto.
Adres IP owszem widzą, jak każdy serwer w sieci. Zostaje on najwyżej dwa tygodnie w logu, na wypadek gdyby ktoś robił zadymę. Po tym czasie adres wylatuje. Statystyka, którą z tego wyciągamy, nie zna adresów IP. Z tą stroną jest tak samo.
Przycisk nowego startu
Głęboko w ustawieniach możesz wyrzucić swój identyfikator i wylosować nowy. Stary numer się tam kończy — co nasze serwery miały pod nim, osieroci się na zawsze. Wolelibyśmy, żebyś nigdy tego nie potrzebował. Ale to twoja klamka, więc to twoja dźwignia.
Bez sieci społecznościowej — celowo
Żadnego feedu, żadnych followersów, żadnych lajków, żadnej zakładki „Odkrywaj", żadnego profilu do pielęgnowania. To nie brakująca funkcja, to decyzja: twoje trasy i POI są twoje i nikt nie zarabia na tym, że je pokazujesz.
Udostępniać i tak możesz — tak, jak już to robisz. Wyprawa wychodzi jako plik: forum, mail, komunikator, pendrive, AirDrop na stacji. Popularne formaty wymiany wchodzą i wychodzą. A kto chce więcej, ma nasz własny otwarty format: niesie nie tylko ślad, ale cały przepis — typy punktów trasy, profil nawigacji, POI, całe kolekcje. Otwarcie udokumentowany, czytelny, bez klatki producenta. W obu przypadkach: plik w twojej ręce, nie link do naszych serwerów — bez twojego identyfikatora w środku i bez tego, żebyśmy w ogóle dowiedzieli się o udostępnieniu. Społeczność dzieje się tam, gdzie ją postawisz, nie tam, gdzie zagania cię algorytm.
I tak, na Facebooku i Instagramie mimo wszystko mamy profil. Wystawa sklepowa, nie stolik w knajpie. Linkujemy do nich co najwyżej zwykłym odnośnikiem — żadnego piksela śledzącego, żadnego przycisku „Lubię to”, nic, co już zawczasu wysyłałoby dane do Meta. Kto kliknie, wjeżdża na rewir Meta; co Meta tam zlicza o odwiedzających, jest w wersji formalnej.
Wyjazdy grupowe? Tam nie potrzebujesz nawet pliku — trasa przychodzi automatycznie od planisty grupy, a gdy ją zmieni, wszyscy mają nową. Jeden kod QR, ważny na wyprawę, pseudonim opcjonalny. Póki jedziecie razem, grupa widzi się na mapie — po to jest. I tu anonimowość się trzyma: grupa działa na własnym technicznym identyfikatorze, który z twoim nie ma nic wspólnego, a twój pseudonim to tylko etykieta na nim. Po wyprawie kod wygasa — nie zostaje nic, co by na kogoś wskazywało.
Dlaczego mówimy „pseudonimowo" — a nie „anonimowo"
Ślad GPS to ślad GPS: którędy ktoś jechał i kiedy. Badacze pokazali, że garść punktów trasy może wystarczyć, by odróżnić wzorzec jednego człowieka od drugiego. Dokładnie dlatego istnieje powyższa architektura — bez nazwiska przy tym, ze strefami prywatności wycinającymi dom, z wysyłką nieprowadzącą do żadnej osoby. Twoje dane nazywamy „pseudonimowymi", nie „anonimowymi", bo to jest to dokładne słowo. To, co oddajemy społeczności — które zakręty płyną, które przełęcze są warte nadłożenia drogi — sumuje się po wielu jeżdżących, aż nie wskazuje już na nikogo.
Aplikacja rozmawia tylko z nami
MotoNavigator komunikuje się wyłącznie z naszymi własnymi systemami pod motonavigator.app — mapy, nawigacja, wysyłka, wyjazdy grupowe: wszystko idzie do naszych serwerów. Żadnych usług analitycznych, żadnych sieci reklamowych, żadnych SDK stron trzecich dzwoniących do domu. Gdy aplikacja nadaje, nadaje do nas. Trzy wyjątki, wszystkie oczywiste: zakup w aplikacji idzie siłą rzeczy przez kasę sklepu twojego telefonu. Kopia zapasowa twojego telefonu zabiera ze sobą dane aplikacji, jak przy każdej innej — grube paczki map z niej wyłączyliśmy. A jeśli stukniesz w stronę albo numer jakiejś stacji benzynowej, jesteś już u nich: ta informacja pochodzi z OpenStreetMap, nie od nas — a zanim stukniesz, nikt z zewnątrz niczego się nie dowie.
Formalna wersja z artykułami i akapitami mieszka w polityce prywatności. Te same fakty. Więcej prawników.
Dla techników wśród nas: „Wylosowany identyfikator" to UUIDv7 — coś takiego: 01a0f3e8-4d2c-7b91-a6e4-9c825d13f7a2. Przednia część to znacznik czasu losowania — zdradza więc co najwyżej, kiedy aplikacja została uruchomiona po raz pierwszy. Reszta to 74 bity kryptograficznie bezpiecznej losowości, wygenerowane na twoim urządzeniu, nie na naszych serwerach. Żadnego numeru sprzętu, żadnego hasha twojego e-maila, niczego pochodnego — nie ma w nim nic, co dałoby się policzyć wstecz do ciebie. I jak mówiliśmy: nowe losowanie możliwe zawsze. Przy wyjazdach grupowych ten identyfikator w ogóle nie jest zresztą używany — tam jedzie inny, losowany na świeżo przy każdym dołączeniu do grupy.