Twoja prywatność
Większość aplikacji najpierw pyta, kim jesteś. My zbudowaliśmy MotoNavigator tak, żeby to pytanie w ogóle nie padło. Nie z uprzejmości - z architektury. Zasada za wszystkim: tak anonimowo, jak pozwala technika. Co to znaczy, jasnymi słowami.
Nie wiemy, kim jesteś
Żadnego konta. Żadnej rejestracji. Żadnego e-maila, nazwiska, zdjęcia profilowego, żadnego „zaloguj przez cokolwiek". Przy pierwszym uruchomieniu twój telefon losuje przypadkowy identyfikator - długi łańcuch rzutów kośćmi, czysto techniczny, quasi-anonimowy identyfikator. Ten numer nikogo nie nazywa - a większość naszych serwerów nawet go nie widzi.
Nie moglibyśmy wysłać ci newslettera, nawet gdybyśmy chcieli. Nie ma adresu, na który by poszedł - aplikacja żadnego nie zna i nigdy o niego nie pyta. Jeśli kiedyś stanie tu na stronie formularz i sam się wpiszesz, to ty dasz nam ten adres. Sami z siebie do ciebie nie dotrzemy. Jeśli napiszesz do wsparcia, swój identyfikator będziesz musiał podać nam sam - aplikacja ci go pokazuje, bo my nie umiemy cię wyszukać. Nie istnieje spis, w którym figurujesz jako osoba.
Jest jeden wyjątek i budujesz go sam: twój mail. Trzymamy go, jak każdy porządny warsztat trzyma swoje zlecenia napraw - a jeśli jest w nim twój identyfikator, to stoi tam obok twojego adresu. Nie chcesz tego? Daj znać; wtedy go skasujemy, o ile żaden przepis nie każe nam go trzymać.
Płacenie też cię nie demaskuje
Pro idzie przez sklep twojego telefonu: numeru karty nigdy nie widzimy. Potwierdzone zostaje nam dokładnie jedno: „opłacone do daty X“. Paragon za tym nie niesie nazwiska, e-maila ani konta Apple czy Google - takich danych sklepy w ogóle nie wydają deweloperom. Do nas trafia data ważności, w jednym wierszu przy twoim wylosowanym identyfikatorze. W tym samym wierszu stoi, kiedy pierwszy raz uruchomiłeś aplikację i którego dnia użyłeś jej ostatnio - nic więcej. Bez nazwiska, bez adresu, bez numeru karty. Jeśli kiedyś wylosujesz nowy, paragon po prostu przeniesie swoją datę na nowy numer - więcej powiązań nie istnieje. Twoje pieniądze i twoja jazda nigdy nie siedzą w tym samym wierszu.
Strefy prywatności: co nigdy nie zapisane, nigdy nie wycieknie
Narysuj okrąg wokół swojego domu. Wewnątrz tego okręgu nie jest nagrywane nic - nie „wysłane-i-ukryte", nie „skasowane-później". W ogóle nie zapisane, nawet na twoim własnym telefonie. I nie tylko pozycja: prędkość, kurs, wysokość, pochylenie, ciśnienie - każdy pomiar zostaje pusty.
Dziury to jednak nie robi: jazda biegnie dalej, zegar idzie z nią, brakuje tylko wartości. Kto kiedyś dorwie jedną z twoich jazd, nie zobaczy, gdzie ona naprawdę się kończy - a poza tym tylko to, co zostało przejechane: dystans, prędkość, pochylenie. Bez nazwiska, bez adresu, bez celu.
To działa też wobec nas: w wysłanych jazdach pozycja wewnątrz twojej strefy również nie istnieje. Nie wiemy, gdzie w tym okręgu stoi twój dom - i wiedzieć nie możemy. Czego nie ma, tego nikt nie zabierze. My też nie.
Twoje jazdy mieszkają w twoim telefonie
Każde nagranie - GPS, czujniki, pochylenie - zapisuje się lokalnie, surowe, i tam zostaje. Nic nie opuszcza tego telefonu, dopóki nie powiesz, że może - a cofnąć to możesz każdego dnia. Twoje archiwum wypraw jest twoje, jak twój garaż jest twój.
Wysyłka jest opt-in - a dla nas to tylko numery
Jeśli dorzucasz nagrania - ślad, odczyty czujników i to, co aplikacja zauważyła po drodze, razem z twoją odpowiedzią na to - wysyłka niesie twój wylosowany identyfikator. Nic więcej. Twoja jazda ląduje na stosie z wieloma innymi, a z tego stosu się uczymy: który zakręt daje frajdę, gdzie spotykają się motocykliści, co aplikacja następnym razem rozpozna lepiej. Płynne trasy. Rzetelne mapy. Aplikacja z głową. To nasz interes, i wolimy to powiedzieć, niż przemilczeć.
Czego nie robimy: nie analizujemy cię z osobna. Żadnej cenzurki za styl jazdy, żadnej listy piratów drogowych, żadnych punktów karnych. Interesuje nas stos, nie pojedyncza kartka w nim. Dla nas twój identyfikator znaczy dokładnie jedno: te jazdy są z tego samego urządzenia, tamte z innego. Nie ma nazwiska, e-maila ani konta, do którego numer by prowadził. Doprowadzenie do osoby nie jest ani zamierzone, ani możliwe: ta droga po prostu nie istnieje.
Każda jazda jest ponadto składana pod własnym losowym identyfikatorem jako nazwą pliku - twój numer siedzi w pliku, nie na półce. To jedyna nić między twoimi jazdami i pozostaje tym, czym jest: numerem, który nikogo nie nazywa.
Gdy aplikacja się zakrztusi: raport o błędzie tylko za twoim „tak”
Gdy w aplikacji coś pójdzie nie tak, może nam wysłać raport o błędzie - ale tylko jeśli na to pozwolisz. Pytanie pada przy pierwszym uruchomieniu, osobne i oddzielone od pytania o jazdy: kto swoje jazdy zachowuje dla siebie, może mimo to pozwolić na raporty - i na odwrót. Powiesz „nie” - nic cię to nie kosztuje, aplikacja działa dalej tak samo. Zdanie możesz zmienić w każdej chwili, w ustawieniach, w części „Prywatność”.
Taki raport to kod błędu, nie dziennik jazd: co się zepsuło, kiedy, ile razy - nie to, dokąd cię poniosło. Konkretnie: rodzaj błędu, miejsce w kodzie programu, wersja aplikacji, platforma, kiedy i jak często, krótki techniczny komunikat i - o ile są dostępne - kilka ostatnich zdarzeń technicznych sprzed błędu (tylko rodzaj i czas, bez treści). Jazdy, trasy, miejsca, wycinki map, szukane teksty: brak. Raport powstaje ze stałej listy, a na tej liście ich nie ma. A żeby było uczciwie: techniczny komunikat o błędzie programu może w pojedynczych przypadkach zawierać takie dane jak nazwy plików. Aplikacja podmienia w nim identyfikatory, współrzędne i początki ścieżek na symbole zastępcze, zanim cokolwiek wyśle; gwarancji, że nic nigdy nie wskaże na ciebie, nie dajemy.
Inaczej niż przy jazdach twój identyfikator stoi tu jawnie - w nagłówku raportu i w nazwie pliku, i to ten sam, który noszą twoje jazdy. To celowe: błąd bez urządzenia to zagadka, a my chcemy widzieć, czy dziesięć raportów to dziesięć telefonów, czy jeden telefon dziesięć razy. Pseudonimowo więc, nie anonimowo (czemu jesteśmy tu tacy czepialscy, wyjaśnia niżej część „Dlaczego mówimy »pseudonimowo« - a nie »anonimowo«”); składowane jest to osobno od jazd, we własnym katalogu.
Raport wysyła się sam, tylko przez Wi-Fi i tylko wtedy, gdy jest coś nowego. Trafia na nasz własny serwer w UE - ten sam, który przyjmuje twoje wysłane jazdy, tyle że do własnego katalogu. Żadnego zewnętrznego serwisu od awarii, żadnego cudzego SDK. Raport zostaje u nas do 90 dni, potem jest usuwany - i służy do jednego: żeby znaleźć błąd i go naprawić. Bez analizowania pojedynczych jeźdźców, bez reklam. Chcesz, żebyśmy usunęli twoje dane? Jest na to formularz: dataremoval.motonavigator.app. Wpisz identyfikator, wyślij - w tej samej sekundzie twój wniosek ląduje u nas na liście. Identyfikator pokaże ci aplikacja. Mailem też się da: wtedy identyfikator z twojej wiadomości wpisujemy do systemu sami. Nieefektywne dla obu stron, ale działa. Cała reszta - wgląd w to, co leży pod twoim identyfikatorem, sprostowanie danych, sprzeciw - załatwiamy, jak zwykle, mailem.
Gdzie to wszystko leży
Twoje wysłane jazdy leżą w UE. Kropka - i wszystko, co z nich liczymy, dopóki wskazuje jeszcze na urządzenie. To samo dotyczy raportów o błędach, jeśli na nie pozwolisz; noszą twój identyfikator jawnie.
Reszta może stać bliżej ciebie. Pobieranie map albo serwer grupowy po drugiej stronie świata to technicznie zły pomysł: każde zapytanie nadkłada drogi, a ty to czujesz. Te serwery twojego wylosowanego identyfikatora nawet nie widzą - poświadczenie, którym aplikacja się tam zgłasza, go nie niesie. Wiedzą, że ktoś chce dane mapowe. Nie kto.
Adres IP owszem widzą, jak każdy serwer w sieci. Zostaje on najwyżej dwa tygodnie w logu, na wypadek gdyby ktoś robił zadymę. Po tym czasie adres wylatuje. Statystyka, którą z tego wyciągamy, nie zna adresów IP. Z tą stroną jest tak samo.
Przycisk nowego startu
Głęboko w ustawieniach możesz wyrzucić swój identyfikator i wylosować nowy. Stary numer się tam kończy - co nasze serwery miały pod nim, osieroci się na zawsze. Wolelibyśmy, żebyś nigdy tego nie potrzebował. Ale to twoja klamka, więc to twoja dźwignia.
Bez sieci społecznościowej - celowo
Żadnego feedu, żadnych followersów, żadnych lajków, żadnej zakładki „Odkrywaj", żadnego profilu do pielęgnowania. To nie brakująca funkcja, to decyzja: twoje trasy i POI są twoje i nikt nie zarabia na tym, że je pokazujesz.
Udostępniać i tak możesz - tak, jak już to robisz. Wyprawa wychodzi jako plik: forum, mail, komunikator, pendrive, AirDrop lub Quick Share na stacji. Popularne formaty wymiany wchodzą i wychodzą. A kto chce więcej, ma nasz własny otwarty format: niesie nie tylko ślad, ale cały przepis - typy punktów trasy, profil nawigacji, POI, całe kolekcje. Otwarcie udokumentowany, czytelny, bez klatki producenta. W obu przypadkach: plik w twojej ręce, nie link do naszych serwerów - bez twojego identyfikatora w środku i bez tego, żebyśmy w ogóle dowiedzieli się o udostępnieniu. Społeczność dzieje się tam, gdzie ją postawisz, nie tam, gdzie zagania cię algorytm.
I tak, na Facebooku i Instagramie mimo wszystko mamy profil. Wystawa sklepowa, nie stolik w knajpie. Linkujemy do nich co najwyżej zwykłym odnośnikiem - żadnego piksela śledzącego, żadnego przycisku „Lubię to”, nic, co już zawczasu wysyłałoby dane do Meta. Kto kliknie, wjeżdża na rewir Meta; co Meta tam zlicza o odwiedzających, jest w wersji formalnej.
Wyjazdy grupowe? Tam nie potrzebujesz nawet pliku - trasa przychodzi automatycznie od planisty grupy, a gdy ją zmieni, wszyscy mają nową. Jeden kod QR, ważny na wyprawę, do tego nazwa wyświetlana. Póki jedziecie razem, grupa widzi się na mapie - po to jest. I tu anonimowość się trzyma: grupa działa na własnym technicznym identyfikatorze, który z twoim nie ma nic wspólnego, a twoja nazwa wyświetlana to tylko etykieta na nim. Po wyprawie kod wygasa - nie zostaje nic, co by na kogoś wskazywało.
Dlaczego mówimy „pseudonimowo" - a nie „anonimowo"
Ślad GPS to ślad GPS: którędy ktoś jechał i kiedy. Badacze pokazali, że garść punktów trasy może wystarczyć, by odróżnić wzorzec jednego człowieka od drugiego. Dokładnie dlatego istnieje powyższa architektura - bez nazwiska przy tym, ze strefami prywatności wycinającymi dom, z wysyłką nieprowadzącą do żadnej osoby. Twoje dane nazywamy „pseudonimowymi", nie „anonimowymi", bo to jest to dokładne słowo. To, co oddajemy społeczności - które zakręty płyną, które przełęcze są warte nadłożenia drogi - sumuje się po wielu jeżdżących, aż nie wskazuje już na nikogo.
Aplikacja rozmawia tylko z nami
MotoNavigator komunikuje się wyłącznie z naszymi własnymi systemami pod motonavigator.app - mapy, nawigacja, wysyłka, raporty o błędach, wyjazdy grupowe: wszystko idzie do naszych serwerów. Żadnych usług analitycznych, żadnych sieci reklamowych, żadnych SDK stron trzecich dzwoniących do domu. Gdy aplikacja nadaje, nadaje do nas. Trzy wyjątki: przez sklep twojego telefonu przechodzą siłą rzeczy zakup w aplikacji i sprawdzenie autentyczności, o które aplikacja prosi dostawcę twojego sklepu, gdy zgłasza się do nas. Kopia zapasowa twojego telefonu zabiera ze sobą dane aplikacji, jak przy każdej innej. A jeśli stukniesz w stronę albo numer jakiejś stacji benzynowej, jesteś już u nich: ta informacja pochodzi z OpenStreetMap, nie od nas - a zanim stukniesz, nikt z zewnątrz niczego się nie dowie.
Formalna wersja z artykułami i akapitami mieszka w polityce prywatności. Te same fakty. Więcej prawników.
Dla techników wśród nas: „Wylosowany identyfikator" to UUIDv7 - coś takiego: 01a0f3e8-4d2c-7b91-a6e4-9c825d13f7a2. Przednia część to znacznik czasu losowania - zdradza więc co najwyżej, kiedy aplikacja została uruchomiona po raz pierwszy. Reszta to 74 bity kryptograficznie bezpiecznej losowości, wygenerowane na twoim urządzeniu, nie na naszych serwerach. Żadnego numeru sprzętu, żadnego hasha twojego e-maila, niczego pochodnego - nie ma w nim nic, co dałoby się policzyć wstecz do ciebie. I jak mówiliśmy: nowe losowanie możliwe zawsze. Przy wyjazdach grupowych ten identyfikator w ogóle nie jest zresztą używany - tam jedzie inny, losowany na świeżo przy każdym dołączeniu do grupy.