Dove va la voce di tuo figlio
Abbiamo scritto il software che trasporta le chiamate di tuo figlio e lo facciamo girare sulla nostra centrale a Helsinki. Ecco esattamente cosa sappiamo, cosa non sappiamo e le parti che non ci fanno bella figura.
Di Greg Chrystall
I genitori ci fanno due domande sui dati, di solito nello stesso respiro: cosa sapete di mio figlio, e dove va davvero la chiamata? Ecco entrambe le risposte, con più dettaglio di quanto probabilmente chiedessi — comprese le parti che non ci fanno bella figura.
Cosa non sappiamo di tuo figlio
Non raccogliamo alcuna informazione sui bambini. Nessuna data di nascita, nessun indirizzo, nessuna scuola, nessun profilo, nessun identificativo di dispositivo collegato a una persona. C'è esattamente un campo nei nostri sistemi che può contenere qualcosa su tuo figlio, ed è il nome della linea, che esiste perché un genitore l'ha scritto, così il telefono nell'ingresso mostra qualcosa di più utile di un numero. Chiama la linea "il bambino" e non sapremo proprio nulla.
Non è moderazione da parte nostra. Semplicemente non abbiamo mai costruito quei campi.
Dove va davvero una chiamata
Barnluren è una rete chiusa. Il telefono nel tuo ingresso non è collegato alla rete telefonica pubblica, quindi non può essere chiamato da uno sconosciuto, da un truffatore o da un sistema automatico di vendita. Non esiste una via d'ingresso.
Quello che c'è, invece, è la nostra centrale telefonica, che gira su macchine che affittiamo a Helsinki. Una chiamata dal telefono dell'ingresso all'applicazione della nonna fa dispositivo → Helsinki → applicazione. Questo è tutto il percorso. Nessuna piattaforma vocale di terze parti, nessuna API di telecomunicazioni americana, nessun accordo di rivendita con l'infrastruttura di qualcun altro e il nostro logo davanti. Se tutti i partecipanti alla chiamata sono in Europa, la chiamata resta in Europa. Se la nonna risponde da Bangkok, la sua metà della chiamata va a Bangkok: è fisica, non politica aziendale.
Cosa abbiamo costruito e cosa abbiamo comprato
Il firmware dell'adattatore, l'app per iOS, l'app per Android, i server, l'instradamento delle chiamate: tutto scritto da noi, su fondamenta open source — Linux, OpenWrt, Asterisk, PostgreSQL. Non c'è alcuna scatola nera proprietaria nel percorso della chiamata di cui non possiamo leggere il codice.
È questa la ragione pratica per possedere questo strato. Quando un genitore chiede chi può sentire questa chiamata, possiamo rispondere partendo dal codice invece che dalla pagina di marketing di un fornitore.
Due cose che non abbiamo costruito. Clerk gestisce l'accesso e Stripe i pagamenti: le due aree in cui farsele in casa è il modo in cui una piccola azienda finisce in un titolo di giornale su una fuga di dati. Entrambe sono conformi al GDPR, con i contratti di responsabile del trattamento firmati, ed entrambe trattano alcuni dati fuori dall'UE nell'ambito dei quadri giuridici standard. Quello che vedono è il genitore: un indirizzo email, una carta. Nessuna delle due tocca una chiamata. Nessuna delle due sa che esiste un bambino.
Preferiamo nominarle piuttosto che fare un'affermazione generica del tipo "niente lascia mai l'UE" e sperare in silenzio che nessuno vada a controllare.
Crittografato, e dove sta la giuntura
Entrambe le tratte di ogni chiamata sono crittografate in transito: SIP su TLS e SRTP dall'adattatore, DTLS-SRTP dalle app.
Non è crittografia end-to-end, e non lasceremo intendere che lo sia. La chiamata viene decifrata sul nostro server a Helsinki per poter essere commutata verso l'altra parte, e poi cifrata di nuovo in uscita. Quella giuntura esiste in ogni sistema che collega un telefono fisico a un'applicazione. Ciò che conta è dove si trova: su hardware che controlliamo, dentro l'UE, in un punto in cui deliberatamente non abbiamo costruito nulla che ascolti.
Non registriamo le chiamate
Nessuna registrazione. Nessuna trascrizione. Nessun "controllo qualità". Nessun dato di addestramento. Non conservati per poco e poi cancellati: non creati affatto.
L'unica eccezione è un ordine legittimo delle forze dell'ordine, a cui ci conformeremmo, perché è la legge. Vale la pena essere precisi su cosa questo significhi in pratica: non esiste alcun archivio da consegnare relativo al periodo precedente all'arrivo di un simile ordine. Nessuno ci paga nemmeno per i dati delle chiamate, perché non esistono e non sono in vendita.
I numeri di telefono reali cambiano una cosa
Stiamo costruendo un piano chiamato Barnluren Everyone, che aggiunge un numero di telefono reale alla linea del bambino, così che possano raggiungerlo persone che non hanno Barnluren: un nonno tornato a un telefono semplice, un amico la cui famiglia ha il telefono fisso. I genitori continuano ad approvare ogni contatto, in entrambe le direzioni. È in beta chiusa.
Dentro Barnluren, l'instradamento non cambia in nulla. Le chiamate tra due Barnluren passano sempre per la nostra rete, anche su una linea a cui è associato un numero pubblico. Il numero viene consultato solo al confine: una chiamata che arriva dall'esterno, o una che esce verso un numero che non è nostro.
Quando una chiamata attraversa quel confine, diventa una normale telefonata, con le normali proprietà di una telefonata. Passa per la rete telefonica pubblica. Là fuori non è crittografata, e questo non possiamo cambiarlo. Il nostro operatore per quei numeri è svedese, quindi il percorso resta nordico, ma una volta consegnata la chiamata vive secondo le regole della rete telefonica, non le nostre.
Quell'operatore conserva i propri dati di traffico, perché ogni compagnia telefonica è tenuta a farlo. È regolamentazione, non una decisione di Barnluren. Continuano a non esserci registrazioni: una chiamata verso un numero reale viene registrata a fini di fatturazione, non ascoltata.
Due conseguenze che preferiamo dirti piuttosto che lasciartele scoprire. Una linea con un numero pubblico è raggiungibile in un modo in cui una rete chiusa non lo è: ciò che la tiene sicura è la lista di contatti approvati dai genitori, e vale in entrambe le direzioni. E la nostra promessa che "questo telefono non può chiamare il 112" è un'affermazione sulla rete interna. Le chiamate di emergenza non sono un servizio che Barnluren offre, e un numero reale non cambia questo. Il telefono di un bambino non sostituisce un modo per raggiungere i servizi di emergenza.
La versione onesta di "è tutto nell'UE"
Tre strati, tre risposte diverse.
La chiamata in sé: il nostro software, la nostra centrale, Helsinki. Non lascia l'UE a meno che qualcuno nella chiamata non si trovi fuori.
Una chiamata verso un numero di telefono reale: consegnata a un operatore svedese al confine, e da lì è la rete telefonica pubblica, con le regole normali di questa.
L'account che sta dietro: Clerk e Stripe, conformi al GDPR, con una parte del trattamento fuori dall'UE nell'ambito dei quadri standard. Nessuno dei due tocca una chiamata.
La maggior parte di questo stack è nostra. Lo strato che trasporta la voce di tuo figlio è quello che possediamo interamente, e non è un caso: è la ragione per cui le risposte qui sopra possono essere così precise.