Un'app per la salute che non conserva alcun profilo lato server: cosa significa in pratica essere sul dispositivo, cosa lascia il telefono una foto e perché la scelta è stata strutturale.
La maggior parte delle app per la salute sa di voi più di quanto vorreste. Non perché qualcuno abbia pianificato di spiare — ma perché l'architettura predefinita di un'app connessa è un server che conserva il vostro profilo, e ogni funzionalità cresce attorno a quel server finché rimuoverlo diventa impensabile.
Delta è stato costruito al contrario. Non esiste un sistema di account. Non esiste un database di profili. Le decisioni che contano sono state prese strutturalmente, prima che esistesse qualsiasi funzionalità.
Concretamente, non come frase di marketing:
Fotografare un referto ematico è un problema difficile di computer vision, e farlo bene richiede attualmente più potenza di calcolo di un telefono. Quindi: la foto del vostro pannello viene inviata all'analizzatore di Delta, letta e scartata. L'analizzatore non conserva nulla — nessuna immagine, nessun valore estratto, nessun identificatore che vi riconduca a voi.
Questa è la lista completa di ciò che lascia il dispositivo; viene comunicata nella schermata in cui avviene; e il fallback sul dispositivo (Apple Vision su iOS, ML Kit su Android) si esegue ogni volta che l'analizzatore non è raggiungibile, quindi il percorso senza rete non è mai un vicolo cieco.
Tutto ciò che segue quella prima lettura — punteggio, archiviazione, curve, cronologia — non lascia mai il telefono.
Una privacy policy è una promessa di comportamento; un'architettura è un fatto. Un'azienda con un database di profili può promettere qualsiasi cosa oggi e venire acquisita, violata o citata in giudizio domani. Un prodotto che non ha mai raccolto i dati non può farli trapelare, non può venderli e non può essere costretto a cedere ciò che non possiede.
Ed è anche per questo che non c'è un account. Un account esiste per attaccarvi un profilo; eliminate il profilo e il login diventa pura frizione — una password a guardia di niente.
Fare a meno del server ha un costo. Lo abbiamo scelto a occhi aperti: nessuna sincronizzazione tra dispositivi oggi, nessun pannello web, e perdere il telefono significa perdere la cronologia a meno di non aver fatto un backup autonomamente. Questi sono veri compromessi, e se la sincronizzazione è abbastanza importante preferiremmo costruirla cifrata e in possesso dell'utente piuttosto che far crescere silenziosamente un database degli esami di tutti.
Gli strumenti di misurazione guadagnano fiducia essendo verificabili. Aritmetica deterministica, flussi di dati comunicati e un'architettura che rende fisicamente concreta la promessa — questa è l'intera storia della privacy. Non c'è piccolo stampato, per la semplice ragione che non c'è un server su cui stamparlo.
