Vart ditt barns röst tar vägen
Vi har skrivit programvaran som bär ditt barns samtal, och vi kör den i vår egen växel i Helsingfors. Här är exakt vad vi vet, vad vi inte vet, och de delar som inte är smickrande.
Av Greg Chrystall
Föräldrar ställer två frågor till oss om data, oftast i samma andetag: vad vet ni om mitt barn, och vart tar samtalet egentligen vägen? Här är båda svaren, mer utförligt än du förmodligen bad om — inklusive de delar som inte är smickrande.
Vad vi inte vet om ditt barn
Vi samlar inte in någon information om barn. Inget födelsedatum, ingen adress, ingen skola, ingen profil, ingen enhetsidentifierare kopplad till en person. Det finns exakt ett fält i våra system som kan innehålla något om ditt barn, och det är namnet på linjen — som finns där för att en förälder skrev det, så att telefonen i hallen visar något mer användbart än ett nummer. Döp linjen till "barnet" så vet vi ingenting alls.
Det handlar inte om återhållsamhet från vår sida. Vi byggde aldrig fälten.
Vart ett samtal faktiskt går
Barnluren är ett slutet nät. Telefonen i din hall är inte ansluten till det publika telefonnätet, så den kan inte ringas upp av en främling, en bedragare eller ett automatiskt säljsamtal. Det finns ingen väg in.
Det som finns i stället är vår egen telefonväxel, som kör på maskiner vi hyr i Helsingfors. Ett samtal från hallens telefon till mormors app går enhet → Helsingfors → app. Det är hela vägen. Ingen röstplattform från tredje part, inget amerikanskt telekom-API, ingen återförsäljarlösning med någon annans infrastruktur och vår logga på framsidan. Om alla i samtalet befinner sig i Europa stannar samtalet i Europa. Om mormor svarar från Bangkok går hennes halva av samtalet till Bangkok — det är fysik, inte policy.
Vad vi byggt själva, och vad vi köpt
Firmware i adaptern, iOS-appen, Android-appen, servrarna, samtalsstyrningen: allt skrivet av oss, på öppen källkod som grund — Linux, OpenWrt, Asterisk, PostgreSQL. Det finns ingen proprietär svart låda i samtalsvägen vars källkod vi inte kan läsa.
Det är det praktiska skälet att äga det här lagret. När en förälder frågar vem som kan höra det här samtalet kan vi svara utifrån koden i stället för utifrån en leverantörs marknadsföringssida.
Två saker byggde vi inte. Clerk sköter inloggning och Stripe sköter betalningar — de två områden där man som litet bolag hamnar i en läckagerubrik om man bygger själv. Båda är GDPR-efterlevande med personuppgiftsbiträdesavtal på plats, och båda behandlar viss data utanför EU enligt de etablerade rättsliga ramverken. Det de ser är föräldern: en e-postadress, ett kort. Ingen av dem rör ett samtal. Ingen av dem vet att det finns ett barn.
Vi namnger dem hellre än gör ett svepande påstående om att "ingenting lämnar någonsin EU" och i tysthet hoppas att ingen kollar.
Krypterat, och var skarven sitter
Båda benen i varje samtal är krypterade under överföring: SIP över TLS och SRTP från adaptern, DTLS-SRTP från apparna.
Det är inte totalsträckskrypterat (end-to-end), och vi tänker inte antyda att det är det. Samtalet dekrypteras på vår server i Helsingfors för att kunna kopplas vidare till motparten, och krypteras sedan igen på vägen ut. Den skarven finns i varje system som kopplar ihop en fysisk telefon med en app. Det som spelar roll är var den sitter: på hårdvara vi kontrollerar, inom EU, på en punkt där vi medvetet inte har byggt något som lyssnar.
Vi spelar inte in samtal
Inga inspelningar. Inga transkriberingar. Ingen "kvalitetsuppföljning". Inga träningsdata. Inte lagrat en kort stund och sedan raderat — inte skapat över huvud taget.
Det enda undantaget är ett lagligt beslut från brottsbekämpande myndighet, som vi skulle följa, eftersom det är lagen. Det är värt att vara noggrann med vad det innebär i praktiken: det finns inget arkiv att lämna över från tiden före ett sådant beslut. Ingen betalar oss heller för samtalsdata, eftersom den inte existerar och inte är till salu.
Riktiga telefonnummer ändrar en sak
Vi bygger en plan som heter Barnluren Everyone, som lägger till ett riktigt telefonnummer på barnets linje så att personer som inte har Barnluren kan nå dem — en mormor som gått tillbaka till en enkel telefon, en kompis vars familj har fast telefoni. Föräldrar godkänner fortfarande varje kontakt, i båda riktningarna. Den är i sluten beta.
Inuti Barnluren ändras ingenting i samtalsstyrningen. Samtal mellan två Barnluren går alltid över vårt eget nät, även på en linje som har ett publikt nummer kopplat till sig. Numret används bara vid gränsen: ett samtal som kommer in utifrån, eller ett som går ut till ett nummer som inte är vårt.
När ett samtal väl korsar den gränsen blir det ett vanligt telefonsamtal, med ett vanligt telefonsamtals egenskaper. Det går över det publika telefonnätet. Det är inte krypterat där ute, och det kan vi inte ändra på. Vår operatör för de numren är svensk, så vägen förblir nordisk — men när samtalet väl är överlämnat lyder det under telefonnätets regler, inte våra.
Den operatören för sina egna samtalsuppgifter, eftersom varje telefonbolag är skyldigt att göra det. Det är reglering, inte ett beslut av Barnluren. Fortfarande inga inspelningar: ett samtal till ett riktigt nummer loggas för fakturering, inte avlyssnas.
Två konsekvenser som vi hellre berättar än låter dig upptäcka. En linje med ett publikt nummer är nåbar på ett sätt som ett slutet nät inte är — det är den föräldragodkända kontaktlistan som håller det säkert, och den gäller i båda riktningarna. Och vårt löfte om att "den här telefonen kan inte ringa 112" är ett påstående om det interna nätet. Nödsamtal är inget Barnluren erbjuder, och ett riktigt nummer ändrar inte på det. En barntelefon ersätter inte ett sätt att nå räddningstjänsten.
Den ärliga versionen av "allt ligger i EU"
Tre lager, tre olika svar.
Själva samtalet: vår programvara, vår växel, Helsingfors. Det lämnar inte EU om inte någon i samtalet befinner sig utanför.
Ett samtal till ett riktigt telefonnummer: överlämnat till en svensk operatör vid gränsen, och därifrån är det det publika telefonnätet, med ett sådants vanliga regler.
Kontot bakom det: Clerk och Stripe, GDPR-efterlevande, viss behandling utanför EU enligt de etablerade ramverken. Ingen av dem rör ett samtal.
Det mesta av den här stacken är vår. Lagret som bär ditt barns röst är det vi äger fullt ut, och det är ingen slump — det är skälet till att svaren ovan kan vara så här precisa.