Bir uygulama izin istediğinde aslında bir söz vermiş olur: bu erişimi yalnızca söylediği şey için kullanacaktır. Ama pratikte çoğu uygulama, işini yapmak için gerekenden çok daha fazlasını ister. Zerolog'un yaklaşımı bunun tersidir: yalnızca çalışmak için mutlaka gereken izinleri ister ve gerisine hiç dokunmaz.
Bu yazıda Zerolog'un hangi izinleri istediğini ve neden istediğini, hangi verileri asla toplamadığını ve bir uygulama mağazasındaki veri güvenliği bildirimini nasıl okuyacağınızı anlatıyoruz.
Her iznin bir sebebi olmalı
İyi bir izin, yalnızca somut bir işlevi mümkün kıldığında istenir. Kötü bir izin ise "ileride lazım olabilir" diye önceden toplanır. Zerolog yalnızca ilk gruba inanır. İstenen her iznin, uygulamanın temel vaadine doğrudan bağlı bir karşılığı vardır.
Zerolog'un kalbinde internet olmadan, cihazdan cihaza mesajlaşma yatar. Bu, bazı izinleri zorunlu kılar; ama bu izinlerin hepsi yerel iletişim içindir, sizi izlemek için değil.
Zerolog'un istediği izinler ve nedenleri
Bluetooth izni, Zerolog'un en temel özelliği için gereklidir. İki cihazın internet olmadan birbirini bulup mesaj alışverişi yapması Bluetooth Low Energy üzerinden gerçekleşir. Bu izin olmadan çevrimdışı mesajlaşma ve çevrimdışı oyunlar çalışamaz. Bluetooth burada yalnızca yakınınızdaki, eşleştiğiniz cihazla konuşmak için kullanılır.
Yerel ağ erişimi, aynı çevrimdışı iletişimin ikinci ayağıdır. Aynı Wi-Fi ağındaki iki cihaz, internet üzerinden dünyayı dolaşmadan doğrudan birbirine mesaj iletebilir. Bu izin, yerel ağdaki eşleşmiş cihazları bulmak içindir; dışarıya veri göndermek için değil.
Telefon numarası yalnızca doğrulama için kullanılır. Hesabınızın gerçek bir kişiye ait olduğunu teyit etmeye yarar ve saklanmaz. Numaranız bir reklam profili oluşturmak, sizi başkalarına önermek ya da izlemek için kullanılmaz.
Mikrofon erişimi, yalnızca eşten eşe sesli görüşme yaptığınızda devreye girer. Sesli arama başlatmadığınız sürece kullanılmaz.
Bildirim izni, size mesaj ya da arama geldiğinde haberdar olmanız içindir. Bu iznin amacı iletişimi zamanında iletmek; içeriği okumak ya da davranışınızı ölçmek değildir.
Bu izinlerin ortak noktası şudur: hepsi iletişimi mümkün kılmak için vardır ve hiçbiri sizi izlemek için kullanılmaz. Nasıl çalıştıklarını nasıl çalışır sayfasında daha ayrıntılı görebilirsiniz.
Zerolog'un asla toplamadıkları
Bir uygulamayı anlamanın en iyi yolu, istemediği şeylere bakmaktır. Zerolog şunları hiçbir zaman toplamaz:
- Reklam kimliği (advertising ID) — sizi reklam ağlarında izleyen kimlik yoktur
- Konum — nerede olduğunuz kaydedilmez
- Kişi listesi — rehberinize erişilmez
- Analitik — davranışınız ölçülmez, profilleniz çıkarılmaz
- Mesaj içeriği — sunucular ne yazdığınızı hiçbir zaman göremez
Bunların hepsi bilinçli bir tercihtir. Mesajlar uçtan uca şifrelidir ve şifreleme anahtarları yalnızca cihazınızda durur. Sunucular mesaj içeriğinizi göremediği için, toplanacak bir içerik de yoktur. Bu, sızdırılamayacak verinin en güvenli veri olduğu fikrine dayanır: var olmayan bir kayıt, çalınamaz.
Veri güvenliği bildirimini nasıl okumalı
Hem App Store hem Google Play, her uygulamanın hangi verileri topladığını beyan ettiği bir veri güvenliği bölümü sunar. Bu bölümü okumak, bir uygulamaya güvenip güvenmeyeceğinize karar vermenin en pratik yoludur. Birkaç ipucu:
Önce "toplanan veri" ile "sizinle ilişkilendirilen veri" ayrımına bakın. Bir uygulama veriyi topluyor olabilir ama asıl önemli olan, bunu kimliğinize bağlayıp bağlamadığıdır.
İkinci olarak konum, kişiler, reklam kimliği ve kullanım verisi gibi kalemleri arayın. Bir mesajlaşma uygulamasının bunların çoğuna ihtiyacı yoktur. Uzun bir toplanan veri listesi, çoğu zaman bir uyarı işaretidir.
Üçüncü olarak "üçüncü taraflarla paylaşım" bölümüne bakın. Verinizin nereye gittiği, en az toplanıp toplanmadığı kadar önemlidir.
Zerolog bu bildirimleri sade tutar, çünkü toplayacak fazla bir şey yoktur. Bir uygulamanın ne kadar az beyan ettiği, çoğu zaman ne kadar saygılı olduğunun en dürüst göstergesidir. Bu ilkelerin tamamını gizlilik sayfasında okuyabilirsiniz.
Az istemek, çok korumaktır
Minimum izinler bir pazarlama sloganı değil, bir mühendislik kararıdır. Bir uygulama ne kadar az veriye dokunursa, o kadar az şey yanlış gidebilir. Toplanmayan veri sızdırılamaz, satılamaz ve size karşı kullanılamaz.
Zerolog KVKK ve GDPR ile uyumludur ve bu uyum, sonradan eklenen bir katman değil, en baştan gelen bir tasarım ilkesidir. Cihazlar arasındaki fısıltılar geriye hiçbir şey bırakmaz; toplanmayan izinler ve toplanmayan veriler de bu sözün bir parçasıdır.
Bir uygulamaya güvenmek, sonuçta ona ne kadar az şey vermek zorunda kaldığınızla ölçülür. Zerolog, bu miktarı olabildiğince küçük tutmak üzere tasarlandı.