Aplikacja rodzinna bez konta i bez serwera

Obawa

Dokąd naprawdę trafiają informacje rodziny?

Instalacja aplikacji dla dziecka rodzi pytanie, na które większość aplikacji tak naprawdę nigdy nie odpowiada: kiedy pytania wprowadzające zostaną już odpowiedziane, a zadania ustawione, gdzie to wszystko mieszka i kto jeszcze może to zobaczyć. To nie jest jeden z ośmiu problemów na własnym ekranie wprowadzającym Reward Study, ale leży pod większością z nich: rodzic wybierający "Pory snu i poranki to walka" albo "Kieszonkowe wywołuje spory" powierza aplikacji dość szczegółowy obraz codziennego życia jednej rodziny.

Uczciwa odpowiedź dla Reward Study jest taka, że prawie nic z tego nigdzie nie trafia. Nie ma systemu kont, żeby to przechowywać, i nie ma w ogóle serwera należącego do dewelopera, na którym mogłoby to leżeć.

To zaufanie łatwo złamać po cichu, w sposób, którego rodzic nigdy by nie zobaczył: SDK zgłaszające awarie do zewnętrznej firmy, biblioteka analityczna logująca, które ekrany otwiera dziecko i jak długo, sieć reklamowa profilująca rodzinę bez niczyjej zgody. Żadna z tych rzeczy nie jest niezwykła w aplikacjach budowanych dla dzieci. Odpowiedzią Reward Study nie jest polityka obiecująca powściągliwość wobec nich, tylko w ogóle ich niewłączanie.

Co robi aplikacja

Bez kont, bez serwera i iCloud, który należy do rodziny

Nie ma żadnego logowania: żadnego adresu e-mail, żadnego hasła, żadnego konta założonego gdziekolwiek. Dane rodziny, jej dzieci, zadania, nagrody i historia, są przechowywane we własnym iCloud rodziny, przez NSPersistentCloudKitContainer Apple, tę samą prywatną przestrzeń, przez którą już synchronizują się zdjęcia albo notatki rodziny. Reward Study jest wyposażona w zero zewnętrznych SDK i zero kodu analitycznego, zgłaszającego awarie, reklamowego czy śledzącego działającego wewnątrz samej aplikacji. Odpowiedzi z wprowadzenia na pytanie "co jest teraz trudne?" nigdy nie opuszczają urządzenia, na którym zostały udzielone. Nic z tego nie jest obietnicą nałożoną na system, który mógłby jeszcze zbierać dane gdzie indziej: w projekcie samej aplikacji nie ma żadnego "gdzie indziej".

Własna etykieta prywatności App Store odzwierciedla to wprost: mówi "Dane niezbierane", własnymi słowami Apple, a nie twierdzeniem, które deweloper napisał o własnej aplikacji. Ta etykieta powstaje z odpowiedzi, które deweloper zgłasza na temat tego, co aplikacja faktycznie robi, a dla Reward Study uczciwa odpowiedź na niemal każde pytanie w niej brzmi: nic.

Nic z tego nie wymagało kompromisu w wygodzie gdzie indziej. Chomikowanie rodzinne wciąż obejmuje każdy produkt, subskrypcję albo jednorazowy, więc jeden zakup dociera automatycznie do całej rodzinnej grupy Apple, bez konieczności podawania przez kogokolwiek adresu e-mail ani zakładania logowania, żeby to współdzielenie zadziałało.

PIN

Jak chroniony jest sam PIN rodzica?

PIN rodzica, który blokuje zatwierdzenia, historię i wyjście z trybu dziecka, nie jest przechowywany w takiej postaci, w jakiej został wpisany. Jest solony i rozciągnięty w hash trzymany wyłącznie we własnym Keychainie urządzenia, tym samym bezpiecznym magazynie, jaki Apple daje każdej aplikacji na dane uwierzytelniające, i nie ma żadnej alternatywy w postaci kodu blokady urządzenia. Dziecko, które akurat zna kod odblokowania telefonu, wciąż nie może go użyć, żeby ominąć PIN rodzica, bo oba są sprawdzane wobec zupełnie różnych rzeczy.

PIN chroni te same czynności wszędzie, gdzie się pojawia: zatwierdzenie zadania, eksport CSV, wyjście z trybu dziecka, ręczne wydawanie z historii. Face ID albo Touch ID stoi przed PIN-em jako codzienna bramka, z samym PIN-em jako alternatywą, kiedy biometria jest niedostępna albo nieskonfigurowana.

Jeden uczciwy wyjątek

Strona to nie aplikacja, i mówi o tym wprost

Obietnica braku zbierania danych ze strony aplikacji i strona reward.study, którą właśnie czytasz, to nie to samo twierdzenie, i ta strona nie będzie udawać, że są. Sama strona internetowa uruchamia Google Analytics, dla zwykłego licznika odwiedzin, i tylko po tym, jak odwiedzający się na to zgodzi: baner zgody pyta najpierw, a odmowa jest respektowana. Jest to opisane na własnej stronie prywatności witryny, osobnej od strony prywatności samej aplikacji, bo strona marketingowa licząca własne odwiedziny i aplikacja przechowująca historię obowiązków dziecka to dwa różne pytania z dwiema różnymi odpowiedziami, a złożenie jednego w drugie uczyniłoby oba twierdzenia mniej prawdziwymi.

Licznik odwiedzin to drobna rzecz w porównaniu z historią obowiązków dziecka, i ta strona nie twierdzi inaczej. Podaje te dwa fakty obok siebie celowo, bo strona marketingowa, która po cichu prowadziłaby analitykę, podczas gdy jej własny wpis na blogu twierdziłby, że nigdzie nie ma śledzenia, byłaby właśnie tym rodzajem drobnej niespójności, która podważa dużo większe i dużo prawdziwsze twierdzenie o samej aplikacji.

Gdzie to widać gdzie indziej

Ta sama postawa przechodzi przez konkretne funkcje

To nie jest osobna polityka doczepiona do aplikacji, widać ją w tym, jak zbudowane są poszczególne funkcje: generator zadań tekstowych działający na urządzeniu, opisany w tekście zadania tekstowe z historyjką, nigdy nie wysyła zapytania, odpowiedzi ani imienia dziecka nigdzie, z dokładnie tego samego powodu, dla którego historia rodziny nigdy nie opuszcza iCloud. Funkcja, która wymagałaby serwera do działania, byłaby funkcją, której ta aplikacja nie mogłaby uczciwie wydać pod własną etykietą prywatności.

Nic z tego nie zmienia tego, za co płaci subskrypcja. Pro wciąż dotyczy tego, co rodzina może zrobić wewnątrz aplikacji, nie danych, a same plany są przedstawione tak samo, niezależnie od tego, jak odpowiada się na pytanie o dane.