Privacidade suíça desde o design: por que seus escaneamentos nunca saem do iPhone

Por que uma planta baixa é mais sensível do que parece

As pessoas costumam pensar bastante em fotos e no histórico de localização, e quase nunca na geometria do imóvel. Só que um escaneamento é mais revelador do que os dois. Ele registra a distribuição exata de um espaço privado: o tamanho de cada cômodo, para onde as janelas dão, onde ficam as portas e para que lado abrem. Some as fotos feitas durante a captura e o endereço do imóvel e você tem algo que não é da conta de nenhum ladrão, corretor de dados ou anunciante.

São também dados que não dá para recolher depois. Uma senha vazada se troca em um minuto; a planta da sua casa continua valendo enquanto você morar nela. É essa assimetria que justifica tratar esses dados com cautela desde o início, em vez de protegê-los depois do fato.

O que “privacidade desde o design” significa aqui

Privacidade desde o design é um princípio tanto da lei suíça de proteção de dados quanto do RGPD: a privacidade deve ser o estado padrão de um produto, embutida na arquitetura, e não um ajuste que o usuário atento precisa ir ativar. Na prática, tudo se resume a uma pergunta simples: o que o aplicativo faz se você nunca mexer nas configurações?

No FloorLens a resposta é que tudo fica no seu iPhone. Não porque exista uma preferência configurada assim, mas porque o aplicativo não tem motivo nenhum para mover nada.

1. Seu escaneamento é processado no aparelho

A captura em si, a geração da planta baixa, as medições, a detecção de cômodos e o modelo 3D são calculados no iPhone, com o sensor LiDAR e o processador dele. Nada é enviado para ser processado: não há servidor nenhum transformando sua captura em planta, portanto também não existe uma cópia da sua casa esperando em alguma fila de processamento.

O mesmo vale para tudo o que acompanha um escaneamento. Os dados do imóvel que você digita, a localização, as anotações e as fotos feitas durante a captura ficam com ele, no aparelho.

2. A conta é opcional

Você pode baixar o FloorLens e usá-lo sem nunca criar uma conta nem fazer login. Escanear, medir, editar cômodos, gerar plantas, exportar um PDF ou um modelo 3D — nada disso pergunta quem você é. Uma identidade só é necessária para uma coisa específica, descrita a seguir.

Isso pesa mais do que parece. Um aplicativo que exige cadastro antes de qualquer coisa já vinculou, por definição, tudo o que você faz nele a uma identidade. Deixar a conta opcional faz com que o estado padrão não seja apenas local — é anônimo.

3. Um escaneamento só sai do aparelho quando você envia

Existe exatamente uma saída, e ela tem vários passos de propósito. Para publicar um escaneamento no visualizador web você precisa criar uma conta, fazer login e então tocar explicitamente no botão que envia aquele escaneamento específico. Depois você compartilha o link gerado com quem quiser.

Cada um desses passos é um ato consciente. Não há sincronização em segundo plano, nem telemetria de “melhoria do produto” levando sua geometria junto, nem backup automático copiando seus escaneamentos para algum lugar por precaução. Se você nunca tocar em enviar, nada do que você escanear jamais existirá fora do seu telefone.

4. O que você envia continua sendo seu

Compartilhar não é uma porta de mão única. Depois de publicado, você mantém o controle total do escaneamento e pode apagá-lo da nuvem a qualquer momento pelo próprio aplicativo: o link para de funcionar e os dados somem.

E, enquanto está no ar, ele não faz mais nada. Seus escaneamentos nunca são vendidos, nunca são repassados a outra empresa e nunca são usados para publicidade. Não há anúncios em lugar nenhum do FloorLens.

Por que chamamos de suíça

A Suíça tem o hábito antigo de tratar privacidade como infraestrutura, e não como recurso — algo com que se levantam as paredes, não algo que se acrescenta ao folheto. É nessa tradição que o FloorLens foi construído, e é por isso que a arquitetura acima veio primeiro e o produto foi desenhado em volta dela, e não o contrário.

Sinceramente, também é a posição mais fácil de defender. Dados que nunca foram coletados não vazam, não são requisitados, não são vendidos por um futuro dono e não se perdem no incidente de segurança de outra pessoa. A garantia de privacidade mais forte que um aplicativo pode dar é simplesmente não ter os seus dados — e, para uma ferramenta que mapeia o interior das casas, esse era o único ponto de partida defensável.

Resumindo

• Os escaneamentos são processados no seu iPhone. Criar uma planta baixa não envolve envio nenhum.
• Detalhes, localização e fotos ficam com o escaneamento, no aparelho.
• Nenhuma conta é necessária para escanear, medir, editar ou exportar.
• Nada é enviado a menos que você faça login e toque explicitamente em enviar para aquele escaneamento.
• Você pode apagar da nuvem tudo o que enviou, quando quiser, pelo aplicativo.
• Nunca vendidos, nunca repassados, sem anúncios.