Un tracker di spese private: cosa significa «privato» qui

Il percorso dei dati

Spendwise non ha un backend. Ogni transazione, budget, categoria, nota, persona, gruppo e allegato di ricevuta viene scritto in un database SQLite nello spazio privato dell'app, e ogni schermata legge da quel database. Non c'è nulla con cui accedere, quindi non c'è alcun profilo di te da costruire, vendere, perdere o consegnare.

Due funzioni parlano con internet, ed entrambe sono abbastanza piccole da descriverle con precisione:

• Un singolo annuncio nella schermata di conferma della transazione, richiesto come non personalizzato, con il permesso dell'identificatore pubblicitario rimosso dall'app.
• Statistiche anonime delle schermate — un nome di route per ogni visualizzazione, nessun ID utente, nessun contenuto delle transazioni, nessun identificatore pubblicitario, nessun ID di tracciamento.

Non c'è alcun segnalatore di crash, nessuna registrazione delle sessioni, nessuna heat map e nessun SDK di terze parti oltre alle librerie per annunci e statistiche. L'informativa sulla privacy le elenca, ed è breve perché la lista è breve.

I permessi, e quelli che mancano

I permessi Android sono un buon indizio di ciò che un'app può davvero fare. Spendwise chiede le notifiche, così il promemoria giornaliero e quelli per le spese ricorrenti possono scattare. La lista finisce qui.

• Nessun permesso per i contatti. Le persone che segui sono voci che crei tu, non la tua rubrica.
• Nessuna posizione. Niente nell'app ha bisogno di sapere dove sei.
• Nessun permesso per la fotocamera. Allegare una ricevuta usa il selettore foto e il selettore documenti di sistema di Android, che danno all'app accesso solo al file che scegli e a nient'altro.
• Nessun permesso per l'identificatore pubblicitario. La voce nel manifest viene rimossa in fase di build, quindi non c'è alcun ID che una rete pubblicitaria possa leggere.

Il Blocco app, intanto, non aggiunge spazio di archiviazione proprio: passa il controllo alla richiesta di autenticazione di Android, così il tuo PIN, il tuo schema o i tuoi dati biometrici non toccano mai Spendwise.

L'annuncio, senza eufemismi

Spendwise non è priva di annunci. Un annuncio nativo si trova nella schermata di conferma, ed è così che l'app resta gratuita senza abbonamento. I fatti rilevanti per la privacy:

• Ogni richiesta è non personalizzata, anche per chi ha accettato il modulo di consenso. Il consenso autorizza una richiesta; non compra mai la personalizzazione.
• Nessun identificatore pubblicitario è disponibile all'SDK, perché il permesso viene rimosso in fase di build.
• Nello SEE e nel Regno Unito viene prima il consenso, e in caso di errore si chiude: niente rete, niente consenso o nessun messaggio configurato significano nessun annuncio. Impostazioni → Privacy può riaprire il modulo dove il framework lo richiede.

La rete pubblicitaria vede comunque la richiesta stessa: un indirizzo IP, un modello di dispositivo e una regione approssimativa sono inevitabili in qualsiasi richiesta di rete. La differenza è che da questa parte nessuno costruisce un profilo delle tue spese da collegarvi.

Statistiche che puoi davvero disattivare

Le statistiche di utilizzo esistono, e l'app lo dice invece di negarle. Spendwise registra una visualizzazione anonima per route — quali schermate vengono raggiunte, non cosa contengono — senza ID utente, senza email e senza contenuto delle transazioni.

L'interruttore è nelle Impostazioni e il suo effetto è assoluto: con le statistiche disattivate, gli eventi smettono di essere inviati. Non li riduce, non li rende anonimi con un hash e non ne tiene una copia locale per dopo. Se la frase «le statistiche si possono disattivare» deve significare qualcosa, deve significare questo.

Dove finisce la promessa

L'onestà vale più di uno slogan, quindi ecco i limiti:

• Il file di backup non è crittografato. È un archivio .spendwise che chiunque abbia il file può leggere. Tienilo dove terresti un estratto conto, oppure rinuncia al file e accetta che i dati muoiano con il telefono.
• La schermata di blocco del telefono è il vero perimetro. Spendwise aggiunge il Blocco app come secondo controllo, ma un dispositivo sbloccato e con root è un dispositivo i cui dati delle app possono essere letti.
• Google Play è comunque coinvolto nell'installazione, e i servizi Play sul tuo telefono sono di Google, non di Spendwise. L'affermazione qui riguarda ciò che questa app fa con i tuoi dati, non il sistema operativo su cui gira.
• Gli allegati sono file. La foto di una ricevuta lascia l'app quando la condividi altrove, e i suoi metadati sono quelli che il file aveva già.

I controlli, in un unico posto

• Statistiche attive/disattivate — Impostazioni → Privacy.
• Consenso agli annunci — Impostazioni → Privacy, dove il framework del consenso richiede una via di ritorno al modulo.
• Blocco app — Impostazioni → Sicurezza.
• Elimina tutto — disinstalla l'app o cancella i suoi dati nelle impostazioni di Android.

Domande frequenti