Privadesa a l’aplicació

No es compta res

El lloc web compta unes quantes coses sobre com es fa servir el mapa, i la seva pròpia pàgina de privadesa les enumera. L’aplicació no en compta cap. No porta analítica: no envia esdeveniments enlloc, no fa servir identificador publicitari, i no hi ha codi de tercers executant-se en segon pla per informar del que fas.

Les fallades sí que s’informen. Van a Bugsink, un programari de seguiment d’errors que corre als nostres propis servidors, el mateix al qual informa el lloc web. Un informe diu què ha anat malament i en quina part del codi, i res sobre qui ets: sense identificador de dispositiu, sense adreça de xarxa i sense el contingut de cap petició.

El que podria contenir un lloc es neteja a la sortida: l’adreça d’una petició perd la seva cadena de consulta i les parts numèriques del seu camí, que són les que anomenen una cerca, una tessel·la o una posició. No hi ha gravació de sessió ni res que reprodueixi el que vas fer, i un informe d’error mai no dibuixa una imatge de la teva pantalla. Una sola cosa a l’aplicació sí que ho fa, i només quan l’hi demanes: mira «Escriure’ns» més avall.

Res d’això no és una promesa per sempre. Els comptes són possibles en algun moment.

La ubicació, només quan la demanes

L’aplicació pot mostrar on ets al mapa: un punt, amb el mapa tenint-lo a la vista fins que moguis el mapa tu. El permís per a això es demana quan prems el botó que ho fa, mai en obrir l’aplicació, i rebutjar-lo no costa res: tota la resta de Mappily funciona sense ell.

El que el permís permet és llegir la teva posició mentre l’aplicació és oberta, i res més. No s’escriu res: no es desa cap recorregut de per on has passat enlloc, i la posició es dibuixa i es deixa anar. No hi ha ubicació en segon pla de cap mena: l’aplicació no pot llegir on ets mentre és tancada.

D’això en respon Android i no pas la nostra paraula: la petició arriba al propi diàleg del sistema, i un permís concedit es pot retirar a la configuració. Enregistrar recorreguts en segon pla és allò per a què amb el temps existirà una aplicació nativa; el dia que arribi, aquesta pàgina ho dirà.

Què demana l’aplicació al teu dispositiu

La càmera, i només per escanejar el codi amb què es comparteix una excursió. L’escàner llegeix un codi i es tanca. No es fotografia, desa ni puja res, i rebutjar el permís no et costa més que haver d’enganxar l’enllaç a mà.

El selector de fitxers, quan importes un fitxer GPX o KML. Android lliura el fitxer que has triat i cap altre, es llegeix al dispositiu, i el que hi ha a dins és teu per conservar-lo o descartar-lo abans que es desi res.

El porta-retalls, quan copies unes coordenades o l’enllaç d’una excursió. Això és tot: el text va al teu porta-retalls i enlloc més.

La teva ubicació, quan prems el botó que mostra on ets. Què vol dir això, i què no vol dir mai, és la secció de dalt.

El que dibuixes és teu

Les excursions, i els punts, rutes, recorreguts i àrees que contenen, es desen a la base de dades pròpia de l’aplicació, al teu dispositiu. Aquesta còpia és amb la qual treballa l’aplicació, també sense connexió, i és la que preval quan dos dispositius no coincideixen.

També se’n desa una còpia al nostre servidor, de totes les excursions i no només de les que comparteixes. Això és el que fa que un enllaç s’obri al dispositiu d’una altra persona, i el que conserva una excursió si es perd el mòbil. No hi ha comptes, així que a una excursió s’hi arriba per un enllaç impossible d’endevinar: qui tingui l’enllaç de consulta la pot veure, i qui tingui el d’edició la pot modificar.

Si desinstal·les l’aplicació desapareix el que hi ha al dispositiu. La còpia del servidor es queda, i hi pot arribar qui tingui un enllaç.

Què més es queda al dispositiu

Unes poques coses, perquè l’aplicació s’obri on la vas deixar: la posició i el zoom on eres, les capes que tenies activades, les cerques que has fet fa poc, i el contorn de qualsevol regió que hagis mirat.

I l’identificador aleatori que l’aplicació es va inventar per a ella mateixa, que és amb el qual es demanen els missatges de més avall, i el que acompanya qualsevol cosa que ens escriguis. Res de la resta d’això no surt del dispositiu.

I una adreça electrònica, si mai n’has deixat una perquè et responguem en escriure’ns. Es desa perquè no l’hagis de tornar a escriure, i només s’envia quan marques la casella que la demana.

Les imatges del mapa vénen d’altres fonts

El mapa es dibuixa a partir de tessel·les servides per OpenStreetMap, OpenTopoMap, Esri, l’IGN d’Espanya, l’ICGC de Catalunya, l’IGN de França i d’altres, que apareixen sota el mapa a mesura que els fas servir. L’aplicació les descarrega directament, així que aquestes organitzacions veuen la teva adreça de xarxa i quins quadrats del món has demanat, cosa que els indica aproximadament on estàs mirant.

Això és inevitable en qualsevol mapa que no allotgi les seves pròpies imatges, i és el més important de l’ús de Mappily que queda fora del nostre control. Cada proveïdor té la seva pròpia política de privadesa.

Les tessel·les que ja has mirat es desen al dispositiu perquè hi continuïn sent sense cobertura, i es van descartant les més antigues quan aquest magatzem arriba a la seva mida. L’aplicació no descarrega mai una regió per endavant: la descàrrega massiva va contra les condicions dels serveis de dalt, i no hi ha cap botó per fer-la.

Què demana l’aplicació al nostre servidor

La cerca de llocs la respon Photon, un geocodificador d’OpenStreetMap. L’aplicació no hi contacta mai: la petició passa pel nostre servidor, de manera que Photon ens veu preguntar a nosaltres i no pas a tu. Les respostes es desen allà, així que una cerca que ja hagi fet una altra persona no costa cap petició.

Els perfils d’elevació, l’horitzó al llarg d’una línia de visió, les lectures de rius i embassaments i les dades dels eclipsis també es demanen al nostre servidor. Cadascuna d’aquestes peticions porta el lloc del qual tracta, perquè és la pregunta que s’està fent: un perfil no vol dir res sense la línia que el recorre. Res d’això no es compta, res d’això no s’associa a tu, i res no lliga una petició amb la següent.

El que sí que deixa una petició és una línia en un registre de servidor web corrent, com la hi deixa qualsevol petició a qualsevol lloc. Això ve amb tenir un servidor, no és res que decideixi l’aplicació.

Missatges nostres

Quan l’aplicació s’obre, pregunta al nostre servidor si hi ha cap missatge per mostrar: per exemple, notes de versió, o un avís que un proveïdor de mapes no funciona. Gairebé sempre no n’hi ha cap, i l’aplicació no diu res.

Perquè un missatge que ja has descartat no torni a aparèixer, l’aplicació s’inventa un identificador aleatori per a ella mateixa la primera vegada que pregunta, i l’envia amb la pregunta. No es deriva del teu dispositiu ni de la teva adreça de xarxa, no es pot convertir en res sobre tu, i només s’envia amb aquesta petició i amb cap més. Si desinstal·les l’aplicació, s’oblida.

La pregunta també porta quina versió de l’aplicació tens, en quina plataforma s’executa i en quina llengua la llegeixes, perquè un missatge adreçat a versions antigues, o escrit en català, arribi a qui toca. No s’envia res sobre on ets, i aquest identificador mai no s’associa a res que contingui un lloc.

Escriure’ns

Hi ha un botó al mapa per enviar-nos un missatge: de quin tipus és, el que vulguis dir, i Envia. Aquí no passa res si no el prems, i res d’això no es compta.

Sota el missatge hi ha dues caselles, totes dues desmarcades fins que les marquis. Una adjunta una imatge de la pantalla tal com era en prémer el botó, que és sobretot mapa, així que mostra on estaves mirant. L’altra et deixa deixar una adreça electrònica perquè puguem respondre. L’aplicació recorda l’adreça perquè no l’hagis de tornar a escriure, i la casella continua començant desmarcada cada vegada: que t’escrivim és una cosa que acceptes a cada missatge i no una sola vegada.

Dues coses van amb cada missatge sense que cap casella ho pregunti. La primera és on era el mapa — la posició, el zoom i quines capes estaven activades. És el que fa que la funció valgui la pena: gairebé tot el que algú escriu sobre un mapa és sobre un lloc concret, i «el camí del coll no hi és» no es pot respondre sense això. No inclou quina excursió tenies oberta.

La segona és l’identificador aleatori que l’aplicació es va inventar per a ella mateixa, juntament amb quina versió de l’aplicació tens, en quina plataforma s’executa i en quina llengua la llegeixes. L’identificador és el que permet llegir diversos missatges d’una mateixa persona com d’una mateixa persona i no com a queixes sense relació. Aquest és l’únic lloc on queda al costat d’una posició, i es conserva mentre es conservi el missatge.

Un missatge es guarda un any i després s’esborra, i la captura i l’adreça se’n van amb ell. No es publica res, no es passa a ningú més, i no hi ha cap pàgina enlloc que ho mostri.

D’on ve l’aplicació

L’aplicació s’instal·la des de Google Play, que registra la instal·lació sota la seva pròpia política i no pas la nostra. El que nosaltres en veiem és el que Play mostra a qualsevol desenvolupador: recomptes per país, dispositiu i versió, i res sobre cap persona.

Les actualitzacions petites arriben sense passar per la botiga. En obrir-se, l’aplicació pregunta al servei d’actualitzacions d’Expo si la versió que executa ha estat substituïda, i ho pregunta tant si hi ha res per enviar-li de tornada com si no. Aquesta petició diu a Expo la teva adreça de xarxa, quina compilació tens i en quina plataforma, juntament amb un identificador d’instal·lació aleatori propi d’Expo, que desa el seu codi i no pas el nostre. No hi va res sobre el mapa ni res del que hagis dibuixat.

Quant de temps es conserva tot això

No es compta res, així que no hi ha esdeveniments comptats per esborrar periòdicament. Els informes de fallades s’esborren als 90 dies.

El registre que has descartat un missatge es conserva fins que aquest missatge s’esborra.

Un missatge que ens hagis enviat es conserva un any, i la captura i l’adreça electrònica, si en vas deixar una, s’esborren amb ell.

La còpia d’una excursió al servidor es conserva mentre l’excursió existeixi. En esborrar un element hi queda una marca que diu que es va esborrar, perquè un dispositiu que estigués sense connexió en aquell moment se n’assabenti en lloc de tornar-lo a afegir.

Preguntar sobre tot això

Les preguntes sobre aquesta pàgina, o sobre qualsevol cosa que l’aplicació registri, es poden adreçar a privacy [at] mappily.com.