Secret, otras apps de mensajería anónima y su privacidad

Actualizado: según su nueva Política de Privacidad del 5 de Junio de 2014

La mensajería anónima está de moda.

Si lo de hablar cara a cara estaba en desuso, ahora se quiere hacer ya sin nombre ni apellidos.

Secret, Whisper o Rumr, entre otras, están en los últimos tiempos en boca de muchos por ser la nueva evolución ¿lógica? de las apps de mensajería al incluir ‘de serie’ el aspecto anónimo. ¿Pero en qué consiste la mensajería anónima? La idea de base es compartir opiniones o realizar comentarios sin que se conozca la identidad del autor. Luego cada aplicación añade su particularidad. Por ejemplo, una aplica ese concepto en un WhatsApp al uso pero con seudónimos, en otra compartimos anónimamente con nuestros contactos (no identificados) secretos inconfesables, mientras que en otra hacemos llegar a Internet en general nuestro secreto más profundo para que otras personas puedan simpatizar o no con lo expresado.

El punto común es que todo eso se hace siempre sin que nadie se identifique, ni el autor ni los simpatizantes o detractores. Por ejemplo, si anónimamente pongo de vuelta y media a un compañero de trabajo, en Secret ese mensaje se comparte con contactos de mi agenda que tienen la app (aunque yo no sé quiénes son), además de con extraños (según decide un algoritmo). Alguna de esas personas puede hacer “Me gusta” en ese comentario, entonces ese secreto se extiende a su red de contactos, y así hasta el infinito. Pero siempre sin saber quién es quién.

En el fondo se parece mucho al fenómeno de los Informers en Facebook o de la aplicación española Gossip.

Alguien puede pensar que servicios así no dejan de ser más que “tontunas”, pero la verdad es que Secret es una de las apps de moda por el Valle del Silicio y por ejemplo Whisper ha obtenido más de 20 millones de dólares de financiación (a finales de 2013).

Por tanto parece que tenemos mensajería anónima para rato.

Como es fácil imaginar, las posibles consecuencias legales de este tipo de servicios son llamativas. Poder tirar la piedra y esconder la mano es tentador y un fantástico caldo de cultivo para ilícitos contra la imagen u honor de alguien, la revelación de comunicaciones secretas o la distribución de información confidencial de peso. Pero dejo estos asuntos para los compañeros del ramo.

A mí lo que me interesa es la privacidad de estas aplicaciones, ¿en verdad puede uno rajar de quien quiera y el servicio no sabe quién lo ha hecho? ¿Son estos servicios nidos de impunidad, más cuando normalmente no se llegará al delito grave?

Pues la verdad es que en el fondo muy privados tampoco parecen.

Vamos a hacer dos cosas, en primer lugar exponer toda una serie de elementos llamativos de los términos y condiciones de Secret, la app de referencia en esto de la mensajería anónima. En segundo lugar, presentar una comparativa de 5 apps del gremio en la que se ven a vista de pájaro cómo se diferencian unas y otras en los usos de privacidad.

¡Vamos allá!

Secret presenta unas Condiciones de Uso y una Política de Privacidad relativamente largas, ¿qué se puede destacar de esos textos? Lo siguiente:

• El servicio está pensado para mayores de 13 años, a no ser que cuenten con el consentimiento paterno. Suena a app ideal para menores.

• Tu secretos tuyos son, pero los licencias a Secret gratuitamente, de forma no exclusiva, con carácter indefinido, irrevocable y sublicenciable. Por tanto se convierten en “secretos” de largo recorrido.

• Pueden cambiar las reglas del juego de tanto en tanto, pero normalmente avisarán en la cabecera, actualizando la fecha de última revisión, otras veces avisándote expresamente. ¿Cuales son esos otros casos? Desconocido. Los cambios son efectivos desde que se publica la nueva versión de las condiciones.

• Secret dispone de un programa para descubrir y comunicar vulnerabilidades, no responde a señales de “Do Not Track” generadas por los navegadores y te somete a arbitraje (de la Asociación Americana de Arbitraje) en caso de controversia que no pueda resolverse en un periodo de 60 días.

• Entrando ya en materia, la información que proporcionas se divide en la que voluntariamente das al registrarte, escribir un post o pedir atención al cliente. Es decir: el email, el número de teléfono, tu agenda de contactos para encontrar amigos (cuyos emails y teléfonos se hashean antes de dejar el dispositivo y que periódicamente se revisa) y tu geoposición si activas la función “Nearby”. La geoposición ahora no requiere necesariamente de tu consentimiento con la nueva redacción. 

• Luego hay la información que se recoge de forma automática al usar el servicio. Es decir: tipo de navegador, horas de acceso, páginas vistas, tu IP, dispositivo usado, identificadores únicos del mismo, SO, red móvil empleada, geolocalización, todo lo que cookies u otros rastreadores capten, entre otros. Antes estos datos no se almacenaban o únicamente por un corto periodo de tiempo, ahora se han eliminado esas previsiones. Por tanto hay que entender que ahora sí se almacenan. 

• ¿Para qué se usa toda esa información? Lo básico es prestar el servicio en toda su extensión (seguridad, funciones o atención al cliente, por ejemplo), analítica del uso y actividad, mejoras del servicio, combinarla con otras fuentes que mejoren la comprensión del uso (!) y el almacenaje de los datos.

• Secret almacena los datos en servidores de Google, con la particularidad de las imágenes, que lo hacen privadamente en la nube de Google (se ha ce la distinción). Todo ello cifrado con TLS antes de su escritura. Más sobre la protección de los datos aquí. Ahora se han eliminado las referencias al carácter cifrado y en servidores físicamente seguros de ese almacenamiento.

• En general almacenan tus datos en tanto en cuanto sean necesarios para cumplir los propósitos indicados (más genérico no se puede ser). Los datos de log (como navegador o sistema operativo usado) los almacenan 7 días. Mientras tanto, los que tú proporcionas al servicio, los mantienen mientras lo sigas usando.

• En cualquier momento puedes eliminar la cuenta, lo que llevará unos 30 días llevar a cabo. Ahora bien, como la información se encuentra en los servidores de Google y ésta tiene sus propias políticas de retención, que se elimine de sus servidores puede llevar más de 30 días.

• Tus datos pueden compartirse de distintas formas. Según la IP de tu proveedor de servicio, tu localización (en términos generales) y tus posts, se comparten de forma anónima con otros usuarios. De forma disociada, tus datos se comparten con proveedores que necesiten la información para prestar el servicio. En caso de venta, fusión o para autenticar tu número de teléfono, también se compartirán.

• Además tus datos e identidad se pueden compartir en casos derivados de una cuestión legal (como un proceso judical o la posible ilicitud de un contenido), más allá de que tú lo consientas expresamente o la información transmitida al conectar Secret a un tercer servicio (Facebook, por ejemplo).

• Por muy disociados, agregados o anonimizados que estén tus datos, Secret puede llegar a asociar tu email, teléfono u otra información personal con tu identidad, especialmente si un tribunal se lo pide. En ese caso, dicen que te contactarán antes para que puedas prepararte.

• La información recogida se almacena en Estados Unidos, y consentimos esa transferencia internacional de datos, aunque Secret al menos está adherida al Acuerdo de Puerto Seguro, lo que debería ofrecer mayores garantías sobre el tratamiento de nuestros datos.

• Todos los datos se hashean antes de ser almacenados, al igual que la agenda de contactos. Un trabajador de Secret sólo puede acceder al email y número de teléfono de un usuario si cumple con su propio sistema de moderación y doble autenticación, además de que no pueden descubrir el enlace entre un post y un usuario.

• De hecho, así como está configurada la seguridad, sólo los dos fundadores de Secret pueden hoy en día acceder al enlace que une un contenido con un concreto usuario.

• Todo el contenido es eliminado, pero cambia el tiempo para su eliminación por el hecho de usar servidores de terceros, con la excepción del contenido “desenlazado”, que queda en un limbo de identidad y propietario y por tanto no es posible en principio eliminarlo.

• Desenlazar es decirle a Secret que desasocie tus posts y tu cuenta de usuario, lo que te hace ganar el mayor nivel de anonimidad pero supone perder el control sobre ese contenido. Ahora bien, los comentarios o Me Gusta que hayas hecho no son desenlazables y cualquier post futuro que escribas seguirá asociado a tu cuenta.

Por tanto Secret, si quiere, puede saber quién anda detrás de un comentario. Por mucho sistema de seguridad que se haya establecido. La única escapatoria, en teoría, es la opción de desenlazar los posts de una cuenta. Ahora bien, teniendo en cuenta la cantidad de datos automatizados proporcionados al servicio, parece que hay herramientas para identificar usuarios en concreto.

Pasemos ahora a la comparativa de servicios del ramo en los que se suman a los ya indicados Yik Yak y Blink (integrada en Yahoo), los únicos todavía no disponibles en España pero con un importante mercado en los países anglosajones:

Algunos puntos a destacar:

1. – Todos están basados en Estados Unidos (aunque también hay alguna app del gremio en castellano, como Secretos)

2. – Ninguno exige la mayoría de edad para usar el servicio

3. – Yik Yak no tiene Política de Privacidad como tal (hace poco no tenía ni Condiciones de Uso), de ahí el desconocimiento sobre mucha información

4. – Quizá con la excepción de Whisper, todos puede llegar a recoger una cantidad respetable de datos identificativos

5. – Todos almacenan los datos en Estados Unidos, aunque sólo dos le dan un nivel de protección equivalente a la normativa europea

6. – Las políticas de retención de datos siguen sin existir o en todo caso se formulan en términos amplios o muy condicionales

7. – Todos los servicios pueden llegar a compartir los datos con terceros más allá de los prestadores de servicios necesarios para el día a día.

En conclusión, no parece que estemos ante una flor de un día, pero sí ante algo que justo está naciendo y quizá de ahí que peque de cierta inconsistencia legal, con servicios bastante trabajados (Secret) y otros muy populares pero primerizos en sus usos (Yik Yak). La supuesta anonimidad a mí me da la sensación que es ilusoria, ya que casi nadie deja escapar numerosas métricas que permitirían identificar concretamente a un usuario (y eso ya sin hablar de los datos entregados voluntariamente). Por tanto uno tiene que plantearse qué le aporta una herramienta como ésta más allá del divertimento inicial y el cotilleo sin etiquetas. Ya que privacidad no creo que sea. Quizá para superar la censura en determinados contextos o como fuente de rumores en sectores profesionales pueda tener utilidad.

Para desahogarse en secreto creo que los métodos analógicos como un café cara a cara, o quizá el más dramático de los gritos en medio de la montaña, siguen siendo igual de útiles. Y definitivamente dejan menos rastro.

¡Feliz cotilleo!

—–

Seguir a @jorge_morell

La entrada Privacidad en mensajería anónima: ¿me guardas un secreto? se publicó primero en Términos y Condiciones.

¿Qué app de mensajería es más recomendable según sus términos y condiciones?

Última actualización: 10/03/2014 – Añadidos Tango, KakaoTalk, Hike, Nimbuzz y MessageMe 

El sector de las apps de mensajería está valorado en 48 mil millones dólares, ¿es eso una nueva burbuja? Lo sea o no, una cosa es seguro, no hay dispositivo móvil que no tenga como app de cabecera un servicio de mensajería. Ya sea el archiconocido WhatsApp, su rival asiático LINE o soluciones integradas como ChatON o iMessage, la comunicación instantánea es casi ya una extensión de nuestro yo digital que difícilmente irá a menos.

Resulta entonces que esta era de la hipercomunicación genera nuevas y diversas problemáticas, y una muy inicial que nos interesa abordar desde otra perspectiva es… ¿qué servicio elegir? Las opciones son múltiples y casi excesivas, ¿por tanto qué criterios seguir a la hora de escoger una u otra? Normalmente se valoran funcionalidades, precio y sobretodo su nivel de implantación (el famoso efecto red). Pero y si intentáramos escoger una en función de criterios “legales”, ¿cómo lo haríamos?

Con esta finalidad nace este nuevo “experimento” (que no será el último de este tipo), observar una gran cantidad de apps de mensajería en función de criterios jurídicos, extrayendo la información de sus términos y condiciones + las correspondientes secciones de preguntas frecuentes. Por tanto aquí no nos interesará tanto si puedo enviar una o múltiples fotos o si el grupo es para 25 ó 50 usuarios, más bien se buscará responder a cuestiones como la edad para usarlo, dónde almacena el contenido compartido o bajo qué licencia se cede.

Eso significa que esta entrada estará en casi constante evolución, añadiendo nuevos servicios, criterios y reflejando los cambios que se produzcan en los ya presentes. De modo que será un post muy vivo que pretende crear un “semáforo jurídico” de apps de mensajería.  A ver cómo sale

Empiezo con 13 servicios y 5 criterios. Vaya por delante que observar tanto servicio en tan diferentes criterios, hace necesario tener en cuenta un número de políticas y documentos bastante alto (25 para este estreno), así que algún despiste tendré seguro. :=

Los servicios son: WhatsApp, Blackberry Messenger, LINE, WebChat, Facebook Messenger, iMessage, ChatON, Spotbros, Skype, Snapchat, Google Hangouts, Viber, Kik, Confide, Telegram, Hike, Nimbuzz, Tango, MessageMe y KakaoTalk.

Los criterios son:

• Edad, cuántos años debe tener un usuario para poder usar el servicio (se ampliará en el futuro con particularidades sobre emancipación y representación legal de padres).
• Uso, cómo puede emplear el usuario la app, ¿uso particular, comercial, ambos, límites en uno u otro sentido?
• Dónde, el lugar en el que se almacena y trata el contenido compartido por el usuario y recogido por el servicio.
• Cifrado, si señalan concretamente el tipo de cifrado usado para la comunicación. Por defecto todos afirman cifrarla, me interesaba más si indicaban lo mucho que lo hacían. También se ampliará este criterio en el futuro.
• Licencia, qué dejamos como usuarios que el servicio haga con nuestro contenido a cambio de poder usar la app de mensajería.

Sé que faltan muchos criterios, pero para empezar, y teniendo en cuenta que arranco con 10 servicios distintos y el mareo de políticas a consultar que eso ocasiona xD, creo que es un buen principio.

Los asteriscos que hay en los resultados de algunos criterios se refieren a particularidades que detallo brevemente más adelante.

Geolocalización y otros datos de las empresas según sus términos y condiciones, en el Mapa de Términos y Condiciones.

Sin más dilación, ahí va la tabla comparativa:

[table id=1 /]

• Facebook Messenger, Personal: La verdad es que sus políticas no cierran expresamente la puerta a un uso comercial, por tanto habría que ver el caso particular.
• LINE, Edad: Hasta el reciente cambio en sus términos y condiciones, LINE requería tener al menos 15 años para usar el servicio. Ahora se han eliminado todas las referencias a menores de edad, de modo que a la vista de la legislación española podríamos estar hablando de tener al menos 14 años o quien sabe si  posible mayoría de edad (algo que en todo caso no se señala expresamente).
• Skype, Personal: Existen las modalidades para empresa, por tanto aquí me refiero al Skype corriente y moliente. Aún así, en ese caso se permite el uso en equipos de instituciones educativas o por parte de administradores de IT en representación de empresas. Por tanto es un “Personal” amplio.
• Skype, Dónde: El “otros países” se refiere al lugar en el que Microsoft, dueña de Skype, tenga alguna filial instalada.
• Snapchat, Edad: Existe una modalidad llamada SnapKidz para menores de 13 años y en todo caso se recomienda que quien use la app sea mayor de 18 años.
• Spotbros, Dónde: Irlanda en el caso de su servicio My Cloud, pero no queda claro si eso es algo específico de esta función o se extiende a la totalidad del servicio.
• Spotbros, Licencia: Esa licencia es entre usuarios, sigo sin encontrar en sus términos y condiciones una licencia del usuario en favor del servicio por el contenido compartido.
• Kik, Uso: Si bien lo limita a uso personal, también permite expresamente el uso comercial interno o “internal business use” (el único hasta el momento)
• Kik, Cifrado: No encuentro sitio en el que mencionen el tipo de cifrado, pero sí que vía apps complementarias se pueden cifrar todavía más los mensajes
• Confide, Uso: Si bien no menciona el uso personal ni comercial en ningún caso de forma expresa, del texto no da la sensación que se limite el uso de la app a algo estrictamente personal. De hecho se dice que cada uno es responsable de saber si en su “industria o compañía” el uso del servicio es factible. Por tanto parece que el uso comercial cabe.
• Confide, Licencia: Al autodestruirse los mensaje una vez leídos, no hay contenido de usuario como tal en favor del servicio. Por tanto no se ha establecido ninguna licencia del usuario hacia el servicio (aunque se podría haber fijado para el instante que circulen en el sistema).
• Telegram: Los únicos términos y condiciones que presenta son una sencilla Política de Privacidad. A ello hay que sumar una FAQ oficial bastante extensa. Pero en todo ello no se habla de edad, uso o licencias otorgadas. Sobre la ubicación de los datos nada concreta y donde sí da mucha información es en materia de seguridad y cifrado.
• WeChat, Edad: De 13 a 18 años siempre y cuando medie consentimiento de los padres o representantes legales. Anteriormente era sí o sí para mayores de 18 años.
• Nimbuzz, Uso: Aunque se menciona expresamente el carácter personal de la licencia otorgada, más adelante se indica que la app puede ser empleada en el ámbito profesional

Y por ahora nada más. Feliz chat y… continuará
—–

Seguir a @jorge_morell

La entrada Elige app de mensajería, según sus términos y condiciones se publicó primero en Términos y Condiciones.