Naměřená data
zůstávají u vás.

Kdo data zpracovává

Provozovatelem aplikace a správcem případných osobních údajů je Indigo Studio. Kontakt na uplatnění dotazů i práv je uvedený na konci stránky.

V praxi platí, že správcem naměřených dat jste vy: aplikace je ukládá jen do vašeho telefonu a provozovatel k nim nemá přístup, dokud mu je sami nepošlete.

Co aplikace měří

Měření běží jen tehdy, když ho spustíte tlačítkem Start, a končí Stopem. Každý zdroj lze před spuštěním samostatně vypnout. Zaznamenávají se:

• Poloha. GPS a GNSS včetně stavu družic, surových měření, navigačních zpráv a NMEA vět. Poloha je z celého záznamu nejcitlivější údaj — popisuje, kde jste se pohybovali.
• Senzory telefonu. Akcelerometr, gyroskop, magnetometr, barometr, čidlo světla, přiblížení a rotation vector.
• Mobilní síť. Parametry a identifikátory okolních buněk LTE, 5G, 3G a 2G, změny registrace a síla signálu.
• SIM karta. Číslo slotu, název operátora, kód sítě MCC/MNC, stav roamingu a to, která karta veze data. ICCID ani EID se nezapisují — jsou to trvalá čísla předplatného, která přežijí i výměnu telefonu.
• Wi-Fi. Identifikátory a signál okolních přístupových bodů (SSID, BSSID), parametry aktuálního spojení a případné RTT/FTM vzdálenosti.
• Bluetooth. Nalezená zařízení Bluetooth Classic a obsah BLE advertising paketů z okolí. Když je takový paket naměřenou hodnotou vysílanou ve veřejně popsaném formátu — teploměr, vlhkoměr, měřič kvality vzduchu —, zapíše se hodnota i jako pojmenovaná veličina v jednotkách SI. S ničím se přitom nepáruje a k ničemu nepřipojuje. Aplikace jen poslouchá.
• Síťový kontext. IP adresy rozhraní, servery DNS, routy, MTU a změny konektivity.
• Hluk okolí. Jen orientační hlasitost v RMS a dBFS. Zdroj hluku žádný zvuk neukládá. Vzorky z mikrofonu se po výpočtu jednoho čísla zahazují a nelze z nich zpětně poznat, co bylo slyšet. Namluvená poznámka u značky místa je něco docela jiného a je popsaná hned pod tím.
• Zvuková sonda. Nástroj, který si sami spustíte a při kterém jeden telefon pípne a druhý poslouchá, abyste zjistili, kudy v budově prochází zvuk. Po dobu poslechu aplikace měří v oknech dlouhých asi desetinu sekundy hlasitost, barvu zvuku a hladinu tří známých tónů a tato čísla zapisuje do volného sešitu. Ani zvuková sonda žádný zvuk neukládá — nahrávací vyrovnávací paměť se pořád dokola přepisuje a nikdy neopustí aplikaci. Čísel si drží víc než zdroj hluku, takže z nich vzniká hrubý náčrt zvuku, ne jen jeho hlasitost. Řeč se z toho zrekonstruovat nedá, ale odlišit větu od bouchnutí dveří ano. Popisuje to, jak zvuk prochází místem, ne co se v něm říkalo.
• Fotky a namluvené poznámky u značky místa. Jen tehdy, když je pořídíte. Ke značenému bodu jde připojit fotku vyfocenou vlastním hledáčkem aplikace nebo nahrávku až na deset minut, kterou sami spustíte a sami ukončíte. Obojí vzniká vaší rukou uvnitř aplikace: fotoaparát se otevře jedině na té obrazovce, nahrávání teprve po stisku, a ani jedno neběží během obyčejného měření. Fotka je to, co stálo před objektivem, a nahrávka to, co bylo po dobu jejího běhu slyšet — zacházejte s obojím jako s citlivým dokumentem.

Aplikace nesbírá jméno, e-mail, telefonní číslo, kontakty, obsah zpráv ani fotografie z vaší galerie a nemá k nim oprávnění. Fotky a nahrávky, které drží, jsou jedině ty, které jste pořídili u značky místa. Z galerie telefonu nic nečte a nic do ní nezapisuje. Nevytváří uživatelské účty. Nedotkne se žádného identifikátoru zařízení — ani reklamního ID.

Záznam z okolí telefonu může obsahovat údaje o zařízeních a sítích jiných osob — například BSSID cizí domácí Wi-Fi nebo adresu cizího Bluetooth sluchátka. S exportovaným souborem proto zacházejte jako s citlivým dokumentem.

Kde data leží

Naměřená data se ukládají do databáze SQLite uvnitř soukromého úložiště aplikace. K té se nedostane žádná jiná aplikace v telefonu. Data zůstávají v telefonu, dokud je sami nesmažete tlačítkem Reset nebo neodinstalujete aplikaci — odinstalace smaže databázi i všechna nastavení.

Fotky a namluvené poznámky od značek místa leží v témž soukromém úložišti jako obyčejné soubory vedle databáze. Do galerie telefonu se nezapisují a neprochází jimi žádná cizí aplikace — vlastní hledáček má aplikace právě proto, aby fotka nikdy neputovala přes něco jiného. Reset je maže spolu s měřeními.

Přihlašovací údaje k serveru, na který si případně necháte data odesílat, leží zašifrované klíčem uloženým v Android Keystore, tedy v hardwarovém úložišti telefonu. Aplikace má vypnuté zálohování do cloudu (allowBackup=false), takže se naměřená data ani hesla nedostanou do zálohy Google.

Kdy data opouštějí telefon

Naměřená data neodcházejí nikdy automaticky. Existují pro ně právě čtyři cesty ven a všechny spouštíte vy:

• Stáhnout nebo Sdílet. Export do souboru TXT nebo GZIP, který uložíte do telefonu nebo pošlete přes systémovou nabídku sdílení, kam sami zvolíte. Měření s fotkami nebo namluvenými poznámkami odchází místo toho jako jeden tar.gz, kde média leží ve složce media/ vedle textu — export je jediná cesta, kterou se z aplikace dostanou ven.
• Vlastní destinace. V nastavení lze zadat server S3, WebDAV nebo SFTP, kam se export odešle. Obvykle je to váš server nebo vaše cloudové úložiště a provozovatel aplikace o něm nic neví a žádná data přes něj neprocházejí. Jediná destinace, kterou provozujeme my, je demo server — i ten dostane jen to, co mu sami pošlete poté, co jste si zadali jeho přihlašovací údaje. Nešifrovaná adresa projde jen do vlastní sítě, a to s výstrahou pod polem, a otisk klíče SFTP serveru se ověřuje při každém odeslání.
• Výsek z prohlížeče záznamů. Prohlížeč umí předat jiné aplikaci výsek vyfiltrovaných řádků jako text, s hlavičkou, ze kterého měření a jakým filtrem vznikl. Je to táž nabídka sdílení jako u exportu, jen menší — a nikam nejde, dokud sami nevyberete kam.
• Mapování internetu a měření propustnosti. Tyto volitelné, ve výchozím stavu vypnuté moduly přenášejí malé zkušební soubory, aby změřily skutečnou rychlost linky. Přenáší se jen náhodná výplň, nikdy ne naměřená data. Viz třetí strany.

Po placeném odemčení aplikace jednou pošle na signalcollector.app purchase token Google Play, aby k nákupu dostala slíbený dárkový kód. Server token ověří u Google Play, uloží jen jeho otisk SHA-256 a přiřadí jeden nepoužitý promo kód Play. Neodcházejí s ním žádná naměřená data, jméno, e-mail ani identifikátor zařízení.

Ani záloha nastavení není další cesta ven pro naměřená data — žádná v ní nejsou —, ale může nést hesla. Píšete si ji sami z nabídky nastavení a sami volíte, jestli do ní hesla k serveru a k měřeným sítím půjdou. Ven se dostanou teprve poté, co otisk, obličej nebo zámek obrazovky potvrdí, že jste to vy. Soubor je čitelný text, takže se záloha s hesly drží tak, jak se drží samotná hesla. Licence ani bezplatná hodina v ní necestují nikdy.

Zpětná vazba poslaná z aplikace není další cesta ven a není ani automatická: aplikace předá text, verzi aplikace, verzi Androidu, model telefonu a případné přiložené obrázky vaší vlastní poštovní aplikaci, kde si zprávu přečtete a odešlete sami. Naměřená data v ní nejsou, dokud je sami nepřiložíte.

Demo server

Odesílání na server předpokládá, že nějaký máte. Aby šlo vyzkoušet i bez toho, provozujeme demo server na signalcollector.app/demo. Je to jedna z destinací výše a nic víc: aplikace o něm neví, ve výchozím nastavení na něj nic nemíří a měření dostane teprve tehdy, když si sami zadáte jeho přihlašovací údaje nebo sami přetáhnete soubor na stránku.

U měření, která tam pošlete, jsme správcem my — stejně jako by jím byl provozovatel kteréhokoli jiného serveru, který byste si vybrali. Konkrétně:

• Co držíme. Vyvezený soubor přesně tak, jak ho telefon poslal, a k tomu údaje z jeho hlavičky — délku měření, počet záznamů, ušlou vzdálenost, model telefonu a které zdroje běžely. Žádný účet, jméno, e‑mail ani identifikátor zařízení.
• Jak dlouho. Třicet dní, a dřív, když v demu dochází místo: nejstarší nezveřejněná měření se mažou první a bez ptaní. Neposílejte tam nic, o co byste neradi přišli.
• Kdo to vidí. Nikdo kromě těch, komu dáte odkaz. Každé nahrání je skryté, jeho adresa se nedá uhodnout a stránka se nedostane do vyhledávačů.
• Zveřejnění bez vašeho slova nenastane. Do veřejného logu se nic nedostane, dokud nezmáčknete klávesu, která to říká — na stránce toho jednoho měření a poté, co jste viděli, co v něm je. Váš souhlas ho postaví do fronty a ven ho pak ještě pouští člověk.
• Můžete to vzít zpátky. Souhlas odvoláte nebo měření smažete kdykoli klíčem, který jste dostali při nahrání. Zveřejněné měření můžeme kdykoli stáhnout i my.
• Fotky a namluvené poznámky se nezveřejňují nikdy, ať dovolíte cokoli. Balík s médii nemá náhled a zůstává skrytý.

Než na zveřejnění klepnete, stojí za to vědět tohle: měření není jen síla signálu. Nese trasu GPS, názvy a adresy (BSSID) okolních Wi‑Fi sítí, adresy okolních zařízení Bluetooth a identifikátory buněk — tedy údaje o místech a přístrojích, které nejsou vaše. Náhled na webu tyhle identifikátory nekreslí nikdy, ale samotný soubor, který se u zveřejněného měření nabízí ke stažení, je obsahuje. Proto má zveřejnění dva kroky a proto se na každé měření díváme.

Třetí strany

Aplikace neobsahuje žádnou analytiku, reklamu, přiřazování nákupů ani hlášení pádů. Úplný výpis knihoven, ze kterých je složená, je níž. Naměřená data nesdílíme s nikým. Jediná měření, která se kdy stanou veřejnými, jsou ta, u kterých nám to výslovně dovolíte na stránce dema. Mimo vámi zadané servery existují dvě spojení:

• Cloudflare Speedtest (speed.cloudflare.com) slouží jako protistrana pro zkušební HTTPS přenosy. Cloudflare přitom vidí to, co vidí každý webový server: vaši IP adresu, čas a velikost přenosu. Neposílají se mu žádná naměřená data. Modul je ve výchozím nastavení vypnutý a v nastavení lze místo Cloudflare zadat vlastní endpoint.
• Ověření dárkového kódu (signalcollector.app) po placeném odemčení přijme purchase token Google Play, ověří ho u Googlu a vrátí jeden promo kód. Celý token se neukládá — zůstane jen jeho otisk SHA-256, aby opakovaný dotaz vrátil tentýž kód.

Hlasová zpráva na tomhle webu vzniká v prohlížeči a zůstává v něm. Stránka nemá kam ji poslat a za klávesou žádný server není: hotová nahrávka jde buď do systémové nabídky sdílení, ze které si vyberete vlastní poštovní aplikaci, nebo se uloží jako soubor, který k poště přiložíte sami. Mikrofon se otevře stiskem klávesy a zavře se v okamžiku zastavení. Předtím se nenahrává nic.

Tento web počítá návštěvy pomocí Cloudflare Web Analytics. Skript neukládá cookies ani nic do úložiště prohlížeče a neskládá otisk zařízení. Hlásí stránku, odkazující web, rodinu prohlížeče a zemi odvozenou z IP adresy, kterou Cloudflare neukládá. Není k čemu dávat souhlas ani co odmítat — blokovač reklam ho prostě zastaví.

Aplikace se distribuuje přes Google Play. Google jako provozovatel obchodu zpracovává údaje o instalaci podle vlastních zásad, na které provozovatel aplikace nemá vliv.

Jaký cizí kód je v aplikaci

Aplikaci málokdy napíše od začátku do konce ten, kdo ji vydává. Tady je každá knihovna, ze které je tahle složená, a víc jich není:

• AndroidX a Jetpack Compose — rozhraní. Google, otevřený zdroj.
• Room — databáze, ve které naměřená data leží. Google, otevřený zdroj.
• Běhové prostředí Kotlinu — jazyk, ve kterém je aplikace napsaná. JetBrains, otevřený zdroj.
• Google Play Billing — jednorázový nákup, který odemyká plnou verzi. Obchod ho vyžaduje u všeho, co se přes něj prodává.
• JSch — klient SSH pod odesíláním přes SFTP. Spustí se, jen když si sami zadáte SFTP server. Otevřený zdroj.

Ani jedna z nich tam není proto, aby něco sbírala. Aplikace nenese žádnou knihovnu pro analytiku, reklamu, přiřazování nákupů ani hlášení pádů a žádná v ní nepřibude. Taková knihovna je cizí kód, který běží ve stejném procesu a se stejnými oprávněními jako zbytek aplikace a řídí se pokyny ze serveru, který není náš. U aplikace, jejímž smyslem je, že vaše měření zůstávají v telefonu, je to špatná výměna za jakoukoli cenu.

Každá knihovna je ve zdrojovém kódu zapsaná přesným číslem verze a pochází z Googlího repozitáře Maven, nebo z Maven Central. Nic se neaktualizuje samo: obsah aplikace se změní, jen když to číslo změníme a vydáme novou verzi — a verze, která mění, co odchází z telefonu, to má napsané v poznámkách k vydání.

Jeden kus připnout nejde a raději to řekneme, než abychom slibovali záruku, kterou dát nemůžeme. Služby Google Play, do kterých si knihovna nákupu sahá přes systém, leží v telefonu, aktualizuje je Google nezávisle na našich vydáních a umí si část sebe nahrát do každé aplikace, která je používá — do téhle taky. To je cena za prodej přes obchod. Slib výš mluví o tom, co do aplikace dáváme my, ne o tom, co Google vydává do telefonu.

Oprávnění a proč jsou potřeba

Systém se na každé citlivé oprávnění zeptá až ve chvíli, kdy zapnete technologii, která ho potřebuje. Odmítnutí vypne příslušný zdroj, zbytek aplikace funguje dál.

• Přesná poloha. Vlastní záznam polohy. Android navíc bez tohoto oprávnění nevydá identifikátory okolních Wi-Fi a mobilních buněk.
• Mikrofon. Výpočet hlasitosti okolí, u kterého se žádný zvuk neukládá, poslech zvukové sondy, když si ji sami spustíte, u kterého se také nic neukládá, a nahrání namluvené poznámky u značky místa, když si ji sami spustíte — ta zůstane uložená jako soubor, dokud ji nesmažete.
• Fotoaparát. Pořízení fotky u značky místa vlastním hledáčkem aplikace. Otevře se jedině na té obrazovce a nikdy během obyčejného měření.
• Otisk, obličej nebo zámek obrazovky. Potvrzení, že jste to vy, než se hesla vytáhnou do zálohy nastavení nebo z ní vrátí zpátky.
• Zařízení v okolí a Bluetooth. Vyhledávání okolních Bluetooth zařízení.
• Stav telefonu. Údaje o SIM a operátorovi.
• Služba na popředí. Aby měření pokračovalo i se zamčenou obrazovkou a systém ho nezastavil. Právě proto během měření svítí trvalá notifikace — sběr nikdy neběží skrytě.
• Notifikace. Zobrazení stavu měření, jeho délky a počtu záznamů.

Děti

Aplikace je určená pro odborné měřicí použití a není zaměřená na děti mladší 16 let. Provozovatel vědomě neshromažďuje údaje o dětech, a vzhledem k tomu, že data zůstávají v telefonu, k jejich shromažďování ani nemá přístup.

Vaše práva

Podle nařízení GDPR máte právo na přístup k údajům, jejich opravu, výmaz, omezení zpracování, přenositelnost a právo vznést námitku. U této aplikace je uplatníte přímo v telefonu, protože žádnou kopii dat nikde jinde nedržíme:

• Přístup a přenositelnost: tlačítko Stáhnout vydá kompletní naměřená data ve strojově čitelném textovém formátu.
• Výmaz: tlačítko Reset smaže naměřená data včetně fotek a namluvených poznámek od značek, odinstalace aplikace smaže i nastavení a uložená hesla.
• Omezení zpracování: každý zdroj dat lze samostatně vypnout před spuštěním měření.

Pokud jste nám data poslali sami a chcete je smazat, napište nám na adresu níže. Máte také právo podat stížnost u Úřadu pro ochranu osobních údajů.

Změny zásad

Pokud se rozsah zpracování změní, upravíme tuto stránku a změníme datum platnosti v záhlaví. Podstatné změny navíc popíšeme v poznámkách k příslušné verzi aplikace.

Kontakt

Dotazy k ochraně osobních údajů posílejte na privacy@signalcollector.app.