Como a Parages te avisa sem nada saber sobre ti

É a pergunta que mais nos fazem: se a Parages me avisa quando estou perto de um amigo, então sabe onde eu estou, não sabe? A resposta curta é não. E esse «não» é exatamente o coração daquilo que construímos, por isso merece uma verdadeira explicação.

A maior parte das aplicações de localização funciona com o mesmo esquema: o teu telemóvel envia a tua posição para um servidor, de forma contínua, e é o servidor que decide o que fazer com ela. Mostrar-te num mapa, avisar um grupo, calcular distâncias. O problema é que, a partir do momento em que a tua posição sai do teu telemóvel, perdes o controlo sobre ela para sempre.

A Parages inverte completamente este esquema. O cálculo faz-se no teu aparelho, não nos nossos servidores. Registas a morada aproximada dos teus amigos, por bairro. O teu telemóvel guarda essa pequena lista localmente, e é ele, e só ele, que compara de vez em quando a tua posição com essa lista. Se deteta que te aproximas de um deles, dispara uma notificação, diretamente, sem pedir autorização a nenhum servidor.

Esta técnica tem um nome no ofício, o geofencing local, e é o mesmo tijolo que permite ao teu telemóvel mostrar-te um lembrete quando chegas ao supermercado. A diferença é que a levámos até ao fim: em nenhum momento a tua posição é transmitida para outro lado, porque em nenhum momento precisa de o ser.

A consequência é radical. Não guardamos nenhum mapa das tuas deslocações, simplesmente porque nunca o recebemos. Mesmo que um dia o quiséssemos, mesmo que um tribunal no-lo exigisse, não conseguiríamos reconstituir os teus dias. Não possuímos o dado. É uma garantia de arquitetura, não uma promessa de marketing que pudéssemos rever discretamente mais tarde.

O teu caderno de amigos, esse, está cifrado e fica no teu aparelho. Os teus amigos não precisam de instalar a Parages, e não aparecem em mapa nenhum. És a única pessoa no mundo a saber quem consta da tua lista. A proximidade é calculada para ti, em tua casa, e esquecida logo a seguir.

Esta abordagem tem um nome e referências. É aquilo a que o RGPD chama minimização dos dados, no seu artigo 5.º: recolher apenas o estritamente necessário. É também o privacy-by-design formalizado pela investigadora Ann Cavoukian logo em 2009, a ideia de que a privacidade deve ser a regulação por defeito de um sistema, e não uma caixa para assinalar acrescentada depois.

Esta arquitetura tem uma última vantagem, discreta mas real. Como nada passa pelos nossos servidores, o teu telemóvel não precisa de acordar o GPS de forma contínua nem de ficar agarrado a uma ligação permanente. Na prática, isto significa menos bateria gasta e nenhuma dependência de um servidor que pudesse cair, mudar de política ou ser comprado. A privacidade, aqui, não é um compromisso que custa em conforto: é a mesma decisão técnica que te protege e que poupa o teu aparelho.

Achamos que a confidencialidade nunca deveria ser uma opção que se ativa num menu, na esperança de a ter regulado bem. Deveria ser o comportamento por defeito, aquele que nem sequer se consegue desativar porque a aplicação foi pensada assim desde a primeira linha de código. Na Parages, é exatamente esse o caso, e não é negociável.