Hoe Parages je waarschuwt zonder iets van je te weten

Het is de vraag die we het vaakst krijgen: als Parages me waarschuwt wanneer ik dicht bij een vriend ben, dan weet de app toch waar ik ben? Het korte antwoord is nee. En dat 'nee' is precies de kern van wat we hebben gebouwd, dus het verdient een echte uitleg. Want het verschil zit hem niet in een mooie belofte, maar in de manier waarop de app technisch in elkaar steekt.

De meeste locatie-apps werken volgens hetzelfde schema: je telefoon stuurt je positie permanent naar een server, en het is de server die beslist wat ermee gebeurt. Je op een kaart tonen, een groep waarschuwen, afstanden berekenen. Het probleem is dat zodra je locatie je telefoon verlaat, je er voorgoed de controle over kwijtraakt. Wat de server ermee doet, ligt dan niet meer in jouw handen.

Parages draait dat schema volledig om. De berekening gebeurt op je toestel, niet op onze servers. Je slaat het globale adres van je vrienden op, per buurt. Je telefoon bewaart dat kleine lijstje lokaal, en het is je telefoon, en alleen je telefoon, die af en toe je positie met die lijst vergelijkt. Als hij merkt dat je een van hen nadert, stuurt hij rechtstreeks een melding, zonder daarvoor toestemming aan een server te vragen.

Deze techniek heeft een naam in het vak, lokale geofencing, en het is dezelfde bouwsteen waarmee je telefoon je een herinnering toont wanneer je bij de supermarkt aankomt. Het verschil is dat wij het tot het uiterste hebben doorgevoerd: op geen enkel moment wordt je locatie ergens naartoe gestuurd, simpelweg omdat dat op geen enkel moment nodig is.

Het gevolg is radicaal. We slaan geen enkele kaart van je verplaatsingen op, om de simpele reden dat we die nooit ontvangen. Zelfs als we het ooit zouden willen, zelfs als een rechtbank het ons zou vragen, zouden we je dagen niet kunnen reconstrueren. We bezitten de gegevens niet. Dat is een garantie die in de architectuur zit ingebakken, geen marketingbelofte die we stilletjes later zouden kunnen herzien.

Je vriendenboekje zelf is versleuteld en blijft op je toestel. Je vrienden hoeven Parages niet te installeren, en ze verschijnen op geen enkele kaart. Jij bent de enige persoon ter wereld die weet wie er in jouw lijst staat. De nabijheid wordt voor jou berekend, bij jou, op je eigen telefoon, en meteen daarna weer vergeten. Niets blijft hangen, niets wordt doorgegeven.

Deze aanpak draagt een naam en steunt op duidelijke referenties. Het is wat de AVG dataminimalisatie noemt, in artikel 5: alleen verzamelen wat strikt noodzakelijk is. Het is ook de privacy-by-design die door onderzoeker Ann Cavoukian al in 2009 is geformaliseerd, het idee dat privacy de standaardinstelling van een systeem moet zijn, en niet een vakje dat je achteraf nog even moet aanvinken.

Deze architectuur heeft een laatste voordeel, onopvallend maar reëel. Omdat er niets via onze servers loopt, hoeft je telefoon de gps niet voortdurend wakker te maken en hoeft hij niet permanent aan een verbinding te hangen. Concreet betekent dat minder batterijverbruik en geen enkele afhankelijkheid van een server die zou kunnen uitvallen, van beleid zou kunnen veranderen of zou kunnen worden overgenomen. Privacy is hier geen compromis dat comfort kost: het is dezelfde technische keuze die jou beschermt en die je toestel spaart.

Wij vinden dat vertrouwelijkheid nooit een optie zou mogen zijn die je in een menu aanzet, in de hoop dat je het goed hebt ingesteld. Het zou het standaardgedrag moeten zijn, het gedrag dat je niet eens kunt uitschakelen omdat de app vanaf de eerste regel code zo is bedacht. Bij Parages is dat precies het geval, en dat is niet onderhandelbaar.