Un'app di famiglia senza account e senza server

La preoccupazione

Dove va davvero a finire l'informazione di una famiglia?

Installare un'app per un figlio solleva una domanda a cui la maggior parte delle app non risponde davvero: una volta che le domande di configurazione hanno risposta e le attività sono impostate, dove vive tutto questo, e chi altro può vederlo. Non è uno degli otto problemi sulla schermata di configurazione di Reward Study, ma sta sotto la maggior parte di essi: un genitore che sceglie "L'ora di andare a letto e le mattine sono una battaglia" o "La paghetta causa discussioni" si sta fidando dell'app con un quadro piuttosto dettagliato della vita quotidiana di una famiglia.

La risposta onesta per Reward Study è che quasi niente di tutto ciò va da nessuna parte. Non c'è nessun sistema di account in cui conservarlo, e nessun server posseduto dallo sviluppatore su cui possa stare fin dall'inizio.

Quella fiducia è facile da rompere silenziosamente, in modi che un genitore non vedrebbe mai: un SDK che riporta i crash a terzi, una libreria di analisi che registra quali schermate apre un bambino e per quanto tempo, una rete pubblicitaria che profila una famiglia senza che nessuno lo abbia mai accettato prima. Niente di tutto questo è insolito nelle app costruite per bambini. La risposta di Reward Study non è una politica che promette moderazione intorno a questi, è non includerli affatto fin dall'inizio.

Che cosa fa l'app

Nessun account, nessun server, e un iCloud che appartiene alla famiglia

Non c'è nessun accesso di nessun tipo: nessuna email, nessuna password, nessun account creato da nessuna parte. I dati della famiglia, i suoi figli, attività, ricompense e registro, sono conservati nell'iCloud della famiglia stessa, tramite NSPersistentCloudKitContainer di Apple, lo stesso spazio privato in cui già sincronizzano le foto o le note di una famiglia. Reward Study arriva con zero SDK di terze parti, e zero codice di analisi, segnalazione di crash, pubblicità o tracciamento che gira dentro l'app stessa. Le risposte di configurazione a "Che cosa è difficile in questo momento?" non lasciano mai il dispositivo su cui hanno avuto risposta. Niente di tutto questo è una promessa messa sopra a un sistema che potrebbe comunque raccogliere dati altrove: non c'è nessun altrove nella progettazione stessa dell'app.

L'etichetta sulla privacy dell'App Store lo riflette direttamente: dice "Dati non raccolti", parole di Apple stessa, non un'affermazione che lo sviluppatore ha scritto sulla propria app. Quell'etichetta viene generata dalle risposte che uno sviluppatore invia su che cosa fa davvero l'app, e per Reward Study la risposta onesta a quasi ogni domanda su di essa è niente.

Niente di tutto questo ha richiesto un compromesso sulla comodità altrove. In famiglia continua a coprire ogni prodotto, abbonamento o acquisto una tantum, così un solo acquisto raggiunge automaticamente tutto il gruppo Apple della famiglia, senza che nessuno debba consegnare un indirizzo email o creare un accesso perché quella condivisione funzioni.

Il PIN

Come viene protetto il PIN del genitore stesso

Il PIN del genitore che protegge le approvazioni, il registro e l'uscita dalla modalità bambino non è conservato come digitato. È salato e allungato in un hash tenuto solo nel Keychain del dispositivo stesso, la stessa archiviazione sicura che Apple dà a ogni app per le credenziali, e non c'è nessun ripiego sul codice del dispositivo stesso. Un bambino che per caso conosce il codice di sblocco del telefono non può comunque usarlo per superare il PIN del genitore, perché i due vengono controllati contro cose completamente diverse.

Il PIN protegge le stesse azioni ovunque compaia: approvare un'attività, esportare un CSV, uscire dalla modalità bambino, spendere dal registro a mano. Face ID o Touch ID sta davanti al PIN come blocco quotidiano, con il PIN stesso come ripiego quando la biometria non è disponibile o non è configurata.

L'unica eccezione onesta

Il sito non è l'app, e lo dichiara

La promessa di non raccolta dell'app e il sito reward.study su cui stai leggendo questo non sono la stessa affermazione, e questa pagina non farà finta che lo siano. Il sito stesso usa Google Analytics, per un semplice contatore di visite, e solo dopo che un visitatore lo accetta: il banner dei consensi chiede prima, e un rifiuto viene rispettato. Questo è coperto sulla propria pagina sulla privacy del sito, separata dalla pagina sulla privacy dell'app, perché un sito di marketing che conta le proprie visite e un'app che conserva le faccende di un bambino sono due domande diverse con due risposte diverse, e mescolare l'una nell'altra renderebbe meno vere entrambe le affermazioni.

Un contatore di visite è una cosa piccola accanto alla cronologia delle faccende di un bambino, e questa pagina non sta sostenendo il contrario. Sta dichiarando i due fatti fianco a fianco apposta, perché un sito di marketing che facesse girare analisi in silenzio mentre il proprio articolo del blog sostiene nessun tracciamento da nessuna parte sarebbe il tipo di piccola incoerenza che mina un'affermazione molto più grande e molto più vera sull'app stessa.

Dove si vede altrove

La stessa posizione attraversa funzioni specifiche

Non è una politica separata aggiunta all'app, compare in come sono costruite le singole funzioni: il generatore di problemi con testo sul dispositivo descritto in problemi con testo non invia mai una richiesta, una risposta o il nome di un bambino da nessuna parte, esattamente per lo stesso motivo per cui il registro della famiglia non lascia mai iCloud. Una funzione che avesse bisogno di un server per funzionare sarebbe una funzione che questa app non potrebbe spedire onestamente sotto la propria etichetta sulla privacy.

Niente di tutto questo cambia per che cosa paga un abbonamento. Pro riguarda ancora quello che una famiglia può fare dentro l'app, non i dati, e i piani stessi sono presentati allo stesso modo indipendentemente da come si risponde alla domanda sui dati.