Um app de família sem conta e sem servidor

A preocupação

Para onde vai de fato a informação de uma família?

Instalar um app para uma criança levanta uma pergunta que a maioria dos apps nunca responde de verdade: depois que as perguntas de configuração são respondidas e as tarefas são montadas, onde é que qualquer coisa disso vive, e quem mais consegue ver. Não é um dos oito problemas na própria tela de configuração inicial do Reward Study, mas fica embaixo da maioria deles: um adulto escolhendo "Hora de dormir e manhãs são uma batalha" ou "Mesada causa discussão" está confiando ao app um retrato bastante detalhado do dia a dia de uma casa.

A resposta honesta para o Reward Study é que quase nada disso vai a lugar nenhum. Não existe sistema de contas para guardar, e nenhum servidor pertencente ao desenvolvedor para isso ficar em primeiro lugar.

Essa confiança é fácil de quebrar em silêncio, de jeitos que um adulto nunca veria: um SDK que reporta falhas para terceiros, uma biblioteca de análise que registra quais telas uma criança abre e por quanto tempo, uma rede de anúncios que perfila uma família sem que ninguém tenha concordado antes. Nenhuma dessas coisas é incomum em apps feitos para crianças. A resposta do Reward Study não é uma política prometendo contenção em relação a elas, é não incluir nenhuma delas em primeiro lugar.

O que o app faz

Sem contas, sem servidor, e um iCloud que pertence à família

Não existe login de nenhum tipo: nenhum e-mail, nenhuma senha, nenhuma conta criada em lugar nenhum. Os dados da família, os filhos, tarefas, recompensas e registro dela, ficam guardados no próprio iCloud da família, através do NSPersistentCloudKitContainer da Apple, o mesmo espaço privado por onde as fotos ou notas de uma família já sincronizam. O Reward Study vem com zero SDKs de terceiros, e zero código de análise, relatório de falhas, publicidade ou rastreamento rodando dentro do próprio app. As respostas de configuração para "O que está difícil agora?" nunca saem do aparelho em que foram respondidas. Nada disso é uma promessa em cima de um sistema que ainda poderia coletar dados em outro lugar: não existe outro lugar no próprio design do app.

A própria ficha de privacidade da App Store reflete isso diretamente: diz 'Dados Não Coletados', palavras da própria Apple, não uma alegação que o desenvolvedor escreveu sobre o próprio app dele. Essa ficha é gerada a partir das respostas que um desenvolvedor envia sobre o que o app de fato faz, e para o Reward Study a resposta honesta para quase toda pergunta nela é nada.

Nada disso exigiu abrir mão de conveniência em outro lugar. O Compartilhamento Familiar ainda cobre todo produto, assinatura ou compra única, então uma compra alcança o grupo familiar Apple inteiro automaticamente, sem que ninguém precise entregar um endereço de e-mail ou criar um login para esse compartilhamento funcionar.

O PIN

Como o próprio PIN de adulto é protegido

O PIN de adulto que tranca aprovações, o registro e a saída do Modo Criança não é guardado como foi digitado. Ele é salgado e esticado num hash mantido só no próprio Keychain do aparelho, o mesmo armazenamento seguro que a Apple dá a todo app para credenciais, e não existe reserva pelo próprio código de desbloqueio do aparelho. Uma criança que por acaso sabe o código de desbloqueio do telefone ainda assim não consegue usá-lo para passar do PIN de adulto, porque os dois são conferidos contra coisas completamente diferentes.

O PIN protege as mesmas ações em todo lugar em que aparece: aprovar uma tarefa, exportar um CSV, sair do Modo Criança, gastar do registro à mão. Face ID ou Touch ID fica na frente do PIN como a trava do dia a dia, com o próprio PIN como reserva quando a biometria não está disponível ou não foi configurada.

A única exceção honesta

O site não é o app, e diz isso

A promessa de não coleta do app e o site reward.study em que você está lendo isto não são a mesma alegação, e esta página não vai fingir que são. O próprio site roda o Google Analytics, para um simples contador de visitas, e só depois que um visitante concorda com isso: o aviso de consentimento pergunta primeiro, e recusar é respeitado. Isso está coberto na própria página de privacidade do site, separada da página de privacidade do próprio app, porque um site de marketing contando as próprias visitas e um app que guarda o histórico de tarefas de uma criança são duas perguntas diferentes com duas respostas diferentes, e juntar uma na outra tornaria as duas alegações menos verdadeiras.

Um contador de visitas é uma coisa pequena perto do histórico de tarefas de uma criança, e esta página não está argumentando o contrário. Está declarando os dois fatos lado a lado de propósito, porque um site de marketing que rodasse análise em silêncio enquanto o próprio texto do blog alegasse nenhum rastreamento em lugar nenhum seria o tipo de pequena inconsistência que enfraquece uma alegação muito maior e muito mais verdadeira sobre o próprio app.

Onde isso aparece em outros lugares

A mesma postura percorre recursos específicos

Isso não é uma política separada encaixada no app, aparece em como recursos individuais são construídos: o gerador de problemas com enunciado no aparelho descrito em problemas com enunciado em forma de história nunca envia um prompt, uma resposta ou o nome de uma criança a lugar nenhum, exatamente pelo mesmo motivo que o registro da família nunca sai do iCloud. Um recurso que precisasse de um servidor para funcionar seria um recurso que este app não conseguiria lançar honestamente sob a própria ficha de privacidade.

Nada disso muda o que uma assinatura paga. O Pro continua sendo sobre o que uma família pode fazer dentro do app, não sobre dados, e os próprios planos são apresentados do mesmo jeito independente de como a questão dos dados é respondida.