Jak wybrać prywatną aplikację do wspólnego domu: 12 pytań, które warto zadać

Odpowiedź w skrócie

Prywatna aplikacja do wspólnego domu powinna jasno opisywać, gdzie treść jest czytelna, kiedy jest szyfrowana, co przechowuje serwer i dostawcy, jakie dane trafiają do powiadomień i analityki, jak zatwierdza się nowe urządzenie oraz jak działa eksport i usunięcie konta. Najważniejsza jest możliwość zrozumienia przepływu danych, a nie liczba marketingowych etykiet.

1. Gdzie treść jest czytelna?

Jeżeli aplikacja wyświetla listę lub dokument, urządzenie musi mieć możliwość odczytu tej treści. Warto wiedzieć, czy plaintext pojawia się wyłącznie na zatwierdzonych urządzeniach, czy także na serwerze lub w panelu administracyjnym dostawcy.

Pytanie do producenta: w którym dokładnie miejscu treść jest odszyfrowywana?

2. Kiedy treść jest szyfrowana?

Szyfrowanie transportu HTTPS i szyfrowanie treści przed wysłaniem to nie to samo.

HTTPS chroni połączenie z serwerem. E2EE lub szyfrowanie po stronie klienta może sprawić, że serwer przechowuje szyfrogram zamiast czytelnej treści. Poproś o konkretny opis, bez zastępowania go kłódką w interfejsie.

3. Co nadal widzi serwer?

Nawet gdy treść jest zaszyfrowana, usługa może potrzebować metadanych technicznych: informacji o koncie, urządzeniu, członkostwie, kolejności zmian czy czasie synchronizacji.

Dobra dokumentacja mówi o tym wprost. „Szyfrowane” nie powinno być używane jako skrót do „serwer niczego nie wie”.

4. Czy wyszukiwanie treści jest lokalne?

Wyszukiwanie może odbywać się na urządzeniu albo wymagać wysłania zapytania i indeksu na serwer. Jeśli aplikacja deklaruje ochronę treści, warto sprawdzić, jak realizuje wyszukiwanie i czy nie tworzy dodatkowej czytelnej kopii indeksu poza urządzeniem.

5. Co trafia do powiadomienia?

Powiadomienie może być obsługiwane przez zewnętrzną infrastrukturę i pojawia się na ekranie blokady. Zapytaj, czy zawiera nazwę zadania, kwotę, tytuł dokumentu, fragment notatki albo identyfikator konkretnego obiektu.

Im mniej treści potrzebuje mechanizm push, tym mniejszy jest zakres informacji wychodzących tą drogą.

6. Jak dodaje się nowe urządzenie?

Samo zalogowanie na konto nie zawsze powinno wystarczyć do odczytu wspólnej zaszyfrowanej treści. W systemie z E2EE potrzebny jest bezpieczny sposób przekazania lub odtworzenia kluczy.

Sprawdź, czy nowe urządzenie wymaga zatwierdzenia, kodu, QR, porównania znaków albo innego jawnego kroku.

7. Co dzieje się po utracie telefonu?

Prywatność i odzyskiwanie są w napięciu. Jeśli dostawca może w każdej chwili sam odzyskać wszystkie klucze, warto zrozumieć, co dokładnie chroni E2EE. Jeżeli odzyskanie jest całkowicie niemożliwe, użytkownik musi wiedzieć, jakie ryzyko utraty danych bierze na siebie.

Szukaj jawnego, opisanego procesu recovery i unieważnienia utraconego urządzenia.

8. Jak działa eksport?

Eksport powinien być świadomą operacją. Jeżeli można pobrać czytelny ZIP lub plik, ta kopia przestaje korzystać z ochrony aplikacji i użytkownik musi wiedzieć, gdzie ją zapisuje.

Dobrze, jeśli usługa rozróżnia eksport czytelny i zaszyfrowany oraz wyjaśnia konsekwencje obu wariantów.

9. Jak usuwa się konto i wspólne dane?

W gospodarstwie dwóch osób jedno konto i wspólna przestrzeń to nie to samo. Usunięcie jednej osoby nie powinno po cichu kasować danych drugiej, ale też nie powinno zostawiać byłemu użytkownikowi dostępu bez końca.

Przeczytaj zasady rozdzielenia gospodarstwa, eksportu, retencji i ostatecznego usunięcia.

10. Jakie dane zbiera analityka?

„Anonimowa analityka” może znaczyć bardzo różne rzeczy. Sprawdź, czy do systemu analitycznego trafiają tytuły, kwoty, identyfikatory dokumentów lub inne dane domenowe.

Najbezpieczniejszy model dla badań użycia ogranicza się do z góry określonej allowlisty zdarzeń i oddziela identyfikatory analityczne od konta użytkownika.

11. Kto jest podwykonawcą?

Powiadomienia, logowanie, hosting, obsługa błędów i poczta wsparcia mogą korzystać z różnych dostawców. Polityka prywatności powinna wyjaśniać ich role i rodzaje danych, które do nich trafiają.

Nie zakładaj, że „E2EE” usuwa wszystkie pozostałe przepływy danych technicznych.

12. Czy producent potrafi opisać ograniczenia?

To najbardziej niedoceniane pytanie. Wiarygodna dokumentacja mówi nie tylko, co chroni, ale też czego ochrona nie obejmuje.

Przykładowe uczciwe ograniczenia:

• treść jest czytelna na odblokowanym zatwierdzonym telefonie;
• ekran blokady i bezpieczeństwo urządzenia nadal mają znaczenie;
• metadane techniczne mogą być przetwarzane niezależnie od szyfrogramu;
• czytelny eksport wymaga ochrony po stronie użytkownika;
• zaszyfrowane dane nie eliminują obowiązków prawnych i operacyjnych dostawcy.

Jak opisuje to Home Cadence

Projekt Home Cadence zakłada szyfrowanie danych domenowych na urządzeniu przed transportem i przechowywaniem serwerowym. Lokalna baza ma być szyfrowana, wyszukiwanie ma działać na urządzeniu, FCM ma przenosić wyłącznie sygnał SYNC_REQUIRED, a nowe urządzenie ma wymagać zatwierdzenia przed dostępem do wspólnej treści.

Serwer nadal ma przechowywać potrzebne metadane techniczne i szyfrogramy. Nie używamy więc claimu „nic nie opuszcza telefonu”.

To opis kanonicznego projektu i granic przygotowywanego pilotażu. Przed publicznym użyciem claimy muszą odpowiadać rzeczywistemu, zweryfikowanemu runtime.

Checklista do skopiowania

Przed założeniem konta sprawdź:

• gdzie treść jest czytelna;
• kiedy i gdzie jest szyfrowana;
• jakie metadane widzi serwer;
• gdzie działa wyszukiwanie;
• co zawiera push;
• jak zatwierdzane jest nowe urządzenie;
• jak wygląda recovery i revoke;
• jakie są opcje eksportu;
• jak działa usunięcie konta i wspólnych danych;
• co trafia do analityki;
• jacy podwykonawcy przetwarzają dane;
• czy ograniczenia są opisane równie jasno jak zalety.

Pytania

Czy E2EE oznacza, że żadne dane nie trafiają na serwer? Nie. E2EE może chronić treść, a usługa nadal może przetwarzać zaszyfrowane dane i metadane techniczne potrzebne do działania.

Czy powiadomienie push może być prywatne? Może ograniczać treść do neutralnego sygnału. Nadal występują dane techniczne związane z dostarczeniem powiadomienia.

Czy szyfrowanie oznacza, że nie trzeba chronić telefonu? Nie. Na odblokowanym urządzeniu aplikacja musi odszyfrować treść, żeby ją wyświetlić. Blokada ekranu, aktualizacje i kontrola dostępu nadal są ważne.