Gli utenti delle app non sono in vendita · Blog

Siamo ingegneri del software e sappiamo quanto sia ridicolmente facile raccogliere i tuoi dati. Aggiungere una libreria di tracciamento a un'app richiede circa quattro righe di codice e un pomeriggio. Da lì in poi il tuo telefono avvisa il server di uno sconosciuto ogni volta che tocchi un pulsante. È già nel modello di partenza. Lo fanno tutti.

Ed è proprio questo il problema. Dopo anni passati a guardare «lo fanno tutti» trasformarsi in un titolo di giornale dopo l'altro, abbiamo deciso di costruire le app al contrario. Questo articolo spiega perché, con parole semplici e senza gergo tecnico, per quanto possibile.

Una breve e incompleta storia degli «ops»

Alcuni di questi casi probabilmente te li ricordi. Ognuno, all'epoca, sembrava un episodio isolato.

2018, Cambridge Analytica. Circa 270.000 persone hanno fatto un test della personalità su Facebook. Attraverso le loro liste di amici, il test ha raccolto in silenzio i dati di un massimo di 87 milioni di persone, poi usati per la propaganda politica mirata (Wikipedia). In seguito Facebook ha pagato negli Stati Uniti una sanzione di 5 miliardi di dollari. La maggior parte di quegli 87 milioni il test non l'aveva mai nemmeno toccato.
2018, Strava. L'app di fitness ha pubblicato una graziosa «heatmap» dei percorsi su cui corrono i suoi utenti. La mappa mostrava anche i contorni di basi militari segrete, perché anche i soldati fanno jogging.
2020, Muslim Pro. Si è scoperto che la popolare app di preghiera musulmana inviava i dati sulla posizione dei suoi utenti al broker di dati X-Mode, tra i cui clienti c'erano appaltatori dell'esercito statunitense. La gente l'aveva installata per trovare gli orari della preghiera.
2021, 533 milioni di numeri di telefono. Numeri di telefono e nomi di oltre mezzo miliardo di utenti Facebook sono comparsi su un forum di hacker. I dati erano stati raccolti tramite una funzione «trova i tuoi amici».
2023, una multa record. Meta è stata multata per 1,2 miliardi di euro nell'UE per aver trasferito negli Stati Uniti i dati degli europei. All'epoca era la multa GDPR più alta di sempre.
2025, Gravy Analytics. Degli hacker sono entrati nei sistemi di un broker di dati sulla posizione. La fuga di dati elencava migliaia di app comunissime (giochi, app di incontri, fitness tracker) da cui le posizioni degli utenti erano finite lì, spesso all'insaputa di chi le aveva sviluppate. I dati erano usciti attraverso il sistema pubblicitario.
2025, il trucco del localhost. In uno studio chiamato «Local Mess», alcuni ricercatori hanno scoperto che il codice di tracciamento di Meta presente sui siti web passava informazioni alle app di Facebook e Instagram installate sullo stesso telefono Android. Così Meta poteva collegare la navigazione «anonima» al tuo vero account, persino in modalità privata.

Non serve che ti ricordi i dettagli. Quello che conta è lo schema: i dati che vengono raccolti prima o poi vengono usati, venduti, diffusi o finiscono in una multa. Di solito più di una di queste cose.

Vuoi la versione lunga? La Federal Trade Commission (FTC) statunitense tiene un elenco dei suoi procedimenti in materia di privacy e sicurezza, lo studio legale CMS gestisce il GDPR Enforcement Tracker con tutte le multe pubblicamente note inflitte in base alla normativa europea sulla privacy, e Wikipedia aggiorna di continuo una lista di violazioni di dati. Avviso: sono lunghi tutti e tre, e tutti e tre in inglese.

Il problema della torcia

Ecco il nostro esempio preferito, proprio perché è così piccolo. Nel 2013 la FTC statunitense ha preso di mira un'app torcia popolarissima, Brightest Flashlight Free. Una torcia. Inviava la posizione precisa e l'ID del dispositivo dei suoi utenti alle reti pubblicitarie.

Dal punto di vista di un ingegnere, è assurdo. Su un telefono Android moderno, accendere la torcia non richiede nemmeno un'autorizzazione. Non c'è nessun motivo tecnico per cui una torcia debba sapere dove sei, chi c'è nella tua rubrica o cos'altro hai sul telefono.

Ma i dati valgono soldi, quindi le app li chiedono lo stesso. L'app del meteo vuole la tua posizione 24 ore su 24, non solo quando controlli le previsioni. Il gioco vuole i tuoi contatti. La tastiera vuole l'«accesso completo». Il più delle volte non serve alla funzione. Serve alla raccolta dati di qualcuno, e più è grande meglio è, perché così aumenta il suo valore per gli inserzionisti e non solo.

Come succede (raramente c'è un cattivo)

Per essere onesti con i colleghi del settore: quasi nulla di tutto questo è opera di cattivi da fumetto. Succede un passo alla volta, con decisioni che sembrano tutte ragionevoli:

«Aggiungiamo un po' di analytics, così sappiamo quali pulsanti usa la gente.»
«La libreria pubblicitaria paga le bollette, ed è solo una riga.»
«Registriamo tutto nei log, non si sa mai che ci serva più avanti.»
«Facciamo registrare le persone, così possiamo mandare loro gli aggiornamenti.»

Ogni passo, preso da solo, ha senso. Sommali tutti e ti ritrovi con un'azienda seduta su una montagna di dati personali di cui in realtà non ha bisogno, custoditi da chiunque quella settimana avesse tempo di configurare il server. Ogni database è una futura fuga di dati che aspetta solo la sua data.

Così ci siamo dati delle regole

Quando in EiBPM abbiamo iniziato con le app mobili, abbiamo messo per iscritto cosa avremmo fatto invece. Dieci regole, nessuna eccezione. Eccole, raggruppate in base al loro scopo.

Sei il cliente, non il prodotto

Niente pubblicità. Quando facciamo pagare un'app, quel prezzo è tutto il nostro modello di business. Nessuno ci paga a parte per la tua attenzione.
Niente tracker. Niente librerie di analytics, niente fingerprinting, nessuna chiamata silenziosa a terze parti. Le quattro righe di codice dell'introduzione? Non le scriviamo.

Niente da consegnare, niente che possa trapelare

Nessun account. Niente registrazione, niente indirizzo email, nessuna password da dimenticare o da farsi rubare. La installi e funziona.
Nessuna raccolta dati. I tuoi dati restano sul tuo dispositivo, perché non abbiamo nessun server su cui possano finire. Non possiamo perdere ciò che non abbiamo mai avuto.
Nessuno spionaggio della posizione. Se un'app ha bisogno della tua posizione, per esempio per calcolare a che ora sorge il sole dove sei tu, i calcoli avvengono sul tuo dispositivo. Il risultato non lo vediamo mai.

Internet è l'eccezione, non la regola

Offline per impostazione predefinita. Le nostre app funzionano senza connessione. Vanno online solo quando una funzione davvero non può farne a meno, e in quel caso te lo dicono.
Privacy per impostazione predefinita. Chiediamo un'autorizzazione solo quando una funzione ne ha davvero bisogno. Tutto ciò che è facoltativo parte disattivato, e sei tu ad attivarlo.

Rispetto per il tuo dispositivo e per il tuo tempo

Design chiaro. Layout onesti, testo leggibile, nessun dark pattern che ti spinga verso il pulsante «Accetta tutto».
Basso consumo. Codice che sorseggia, non che tracanna. Su uno smartwatch la durata della batteria è una funzione, e un'app che non «chiama casa» di continuo ne consuma molto meno.
Nessuna app companion. Le nostre app per smartwatch stanno in piedi da sole. Un'app per il telefono imposta come obbligatoria è uno dei modi classici per raccogliere dati che l'orologio, da solo, non avrebbe mai ceduto.

«Non possiamo» batte «non vogliamo»

È questa l'idea ingegneristica al centro di tutto. Un'informativa sulla privacy è una promessa: non faremo un uso improprio dei tuoi dati. Le promesse si infrangono. Le aziende vengono comprate, i budget tagliati, i server bucati, le informative «aggiornate».

Così abbiamo scelto l'architettura al posto delle promesse: non possiamo fare un uso improprio dei tuoi dati, perché non li abbiamo. E quando diciamo niente, intendiamo proprio niente. Non abbiamo nemmeno un elenco clienti. Quando compri una delle nostre app, il pagamento lo gestisce Google Play, e a noi arrivano solo un numero d'ordine, il paese da cui proviene e, in alcuni paesi, un codice postale per motivi fiscali. Niente nome, niente indirizzo email, nessuna idea di chi tu sia.

Se domani qualcuno entrasse nei nostri sistemi, se ne andrebbe a mani vuote. Non c'è niente da vendere, niente da far trapelare, niente da sequestrare.

Quanto ci costa (onestamente)

Per noi non è gratis, e non faremo finta che lo sia.

Non sappiamo quali funzioni usi di più. Quando vogliamo saperlo, dobbiamo chiedertelo, come nel 1995.
Quando qualcosa si rompe, spesso lo scopriamo solo quando ce lo dici tu. (Google Play mostra a ogni sviluppatore il numero di arresti anomali in forma anonima. È il sistema di Google, non qualcosa che abbiamo integrato noi, e non va oltre.)
Non possiamo mandarti email del tipo «ci manchi!», perché non abbiamo il tuo indirizzo email. Per noi è una funzionalità.
E dobbiamo farci pagare con soldi veri, perché ci rifiutiamo di recuperarli vendendo te.

Pensiamo che sia uno scambio equo. Puoi essere d'accordo o no, ma almeno sai esattamente in cosa consiste lo scambio.

Tre cose che puoi fare oggi contro l'economia dei dati, con qualsiasi app

Non serve essere un ingegnere per opporre un po' di resistenza:

Chiediti «a cosa le serve?» Quando un'app ti chiede un'autorizzazione, chiediti se la funzione che vuoi ne ha davvero bisogno. A una torcia non serve la tua posizione. A una calcolatrice non servono i tuoi contatti. Nel dubbio, tocca «Non consentire» e guarda se l'app funziona lo stesso. Di solito sì.
Controlla la sezione «Sicurezza dei dati» nel Play Store prima di installare. Non è perfetta, ma una lunga lista di «dati condivisi con terze parti» dice molto.
Diffida un po' del «gratis». Non tutte le app gratuite vendono te, ma qualcuno paga i server e gli sviluppatori. Se non sei tu, vale la pena chiedersi chi sia.

La versione breve

Come utenti di app eravamo stanchi di essere il prodotto, quindi abbiamo deciso di non trasformare nessun altro in un prodotto. Le app di EiBPM fanno il loro lavoro, sul tuo dispositivo, e poi ti lasciano in pace. Niente pubblicità, niente tracker, nessun account, nessun server pieno della tua vita.

E sinceramente, niente di tutto questo dovrebbe essere speciale. Le app che ti rispettano dovrebbero essere la norma, non una nicchia per gli appassionati di privacy. Il tuo battito cardiaco, il tuo sonno, dove ti trovavi stamattina: questa è la tua vita. Il suo posto è sul tuo dispositivo e sotto il tuo controllo, non sul server di qualcun altro in attesa del prossimo «ops».

Ogni app costruita su principi come i dieci qui sopra ti restituisce un po' di quel controllo. Ci piacerebbe che tutto il settore seguisse l'esempio. Finché non lo farà, continueremo a costruire app che dimostrano che si può fare. I nostri dieci principi sono sulla home page.

Torna al blog