Przejrzystość jest ważna. Kiedy korzystasz z usługi online, powinieneś móc dokładnie dowiedzieć się, co dzieje się z Twoimi danymi. Nie chodzi o niejasną politykę prywatności napisaną prawniczym żargonem, którego nikt nie czyta. Nie o formularz rezygnacji ukryty trzy menu głębiej. Zasługujesz na jasne, uczciwe wyjaśnienie tego, co jest przechowywane, co nie, jak długo dane istnieją i co się dzieje, gdy czas upłynie. Ten artykuł jest właśnie takim wyjaśnieniem dla TempEmail.ai.
Większość usług online domyślnie zbiera dane i usuwa je tylko wtedy, gdy jest do tego zmuszona — zwykle przez regulacje, skargę użytkownika lub kryzys wizerunkowy. TempEmail.ai jest zaprojektowany dokładnie odwrotnie: usuwanie jest domyślne, a przechowywanie jest wyjątkiem. Cała architektura jest zbudowana wokół tej zasady. Gdy zrozumiesz, jak to działa, zobaczysz, że to nie jest hasło marketingowe — to strukturalna rzeczywistość sposobu, w jaki system został zbudowany.
Niezależnie od tego, czy jesteś osobą dbającą o prywatność, która wdraża szersze nawyki chroniące prywatność skrzynki odbiorczej, deweloperem testującym przepływy e-mail, czy po prostu kimś, kto nie chce oddawać swojego prawdziwego adresu e-mail kolejnej usłudze, zrozumienie tego, jak traktowane są Twoje dane, ma znaczenie. Przejdźmy więc przez to krok po kroku.
Co TempEmail przechowuje (a czego nie)
Kiedy odwiedzasz TempEmail.ai i tworzona jest sesja, system przechowuje dokładnie cztery rzeczy. Po pierwsze, losowo wygenerowany adres e-mail — coś w rodzaju [email protected] — który nie ma absolutnie żadnego związku z Twoją prawdziwą tożsamością. Po drugie, GUID sesji (globalnie unikalny identyfikator), umieszczany w URL jako parametr zapytania i zapisywany również w localStorage Twojej przeglądarki. Po trzecie, wszelkie wiadomości e-mail, które docierają do tej skrzynki podczas Twojej sesji. Po czwarte, znaczniki czasu określające, kiedy sesja została utworzona i kiedy wygasa.
To cała lista. Cztery kategorie informacji, wszystkie tymczasowe, żadna z nich nie jest w jakikolwiek znaczący sposób możliwa do zidentyfikowania osobowo.
A oto, czego TempEmail nie przechowuje: Twojego prawdziwego imienia, prawdziwego adresu e-mail, adresu IP powiązanego z Twoją tożsamością w sposób trwały, informacji o płatności (usługa jest bezpłatna), danych odcisku przeglądarki, plików cookie śledzących Cię między witrynami, ani żadnej formy profilu użytkownika czy konta. Nie istnieje żaden system kont. Nie ma nic do zarejestrowania, co oznacza, że nie ma nic do zebrania. Nie wypełniasz żadnego formularza. Nie zapisujesz się do żadnego newslettera. Nie tworzysz żadnego hasła. Po prostu przychodzisz, otrzymujesz adres temp mail, korzystasz z niego i wychodzisz.
Brak systemu kont jest celowy i ważny. RODO definiuje dane osobowe szeroko — obejmują one imiona i nazwiska, adresy e-mail, adresy IP, dane lokalizacyjne, identyfikatory internetowe oraz wszelkie informacje, które mogą posłużyć do bezpośredniej lub pośredniej identyfikacji osoby. Nie zbierając żadnej z tych kategorii w sposób trwały lub możliwy do zidentyfikowania, projekt TempEmail.ai sprawia, że zdecydowana większość kategorii danych RODO po prostu nie ma zastosowania. Nie ma danych osobowych do ochrony, ponieważ żadne dane osobowe nie są zbierane. To nie jest obejście przepisów o zgodności, podobnie jak korzystanie z jednorazowego adresu nie jest prawną szarą strefą — to najuczciwsza forma ochrony prywatności, jaka istnieje: nieposiadanie danych od samego początku.
Jednogodzinny timer — dlaczego jest tak zaprojektowany
Kiedy odwiedzasz TempEmail.ai, uruchamia się timer. Po sześćdziesięciu minutach adres e-mail, sesja i każda wiadomość w skrzynce odbiorczej są trwale usuwane z bazy danych. To nie jest usuwanie miękkie, nie jest flaga oznaczająca dane jako nieaktywne, nie jest przeniesienie do tabeli archiwalnej. Rekordy bazy danych są usuwane w całości.
Dlaczego dokładnie godzina? Ponieważ to wystarczająco długo, aby wykonać każde uzasadnione zadanie wymagające tymczasowego adresu e-mail. Otrzymanie e-maila weryfikacyjnego — to kwestia sekund. Kliknięcie linku aktywacyjnego — gotowe w minutę. Wypełnienie formularza rejestracyjnego i jego potwierdzenie — maksymalnie pięć minut. Przetestowanie przepływu e-mail w toku rozwoju od początku do końca — zwykle dużo poniżej trzydziestu minut. Uruchomienie serii zautomatyzowanych testów procesu rejestracji — rzadko więcej niż dwadzieścia minut. Godzina obejmuje wszystkie te scenariusze z hojnym marginesem. Jest jednak wystarczająco krótka, aby nikt nie musiał się martwić o to, co stanie się z tą skrzynką odbiorczą później. Dane nie mają powodu, aby trwać dłużej niż ich cel, więc tego nie robią.
Porównaj to podejście do sposobu, w jaki większość usług online traktuje dane. Typowy wzorzec to domyślne przechowywanie: Twoje dane są zbierane podczas rejestracji, przechowywane bezterminowo i usuwane tylko wtedy, gdy o to aktywnie poprosisz — a nawet wtedy kopie zapasowe mogą pozostać przez tygodnie lub miesiące. Wiele usług przechowuje Twój adres e-mail, historię użytkowania i dane behawioralne przez lata. Niektóre nigdy ich nie usuwają. Przewodnik ICO Wielkiej Brytanii jasno stwierdza, że organizacje powinny przechowywać dane osobowe tylko tak długo, jak ich potrzebują — ale w praktyce zachęta do zatrzymywania danych (do analiz, do reklam, do potencjalnego przyszłego wykorzystania) niemal zawsze wygrywa z zasadą minimalizacji.
TempEmail.ai całkowicie odwraca tę strukturę zachęt. Usuwanie jest automatyczne i nie wymaga żadnego działania ze strony użytkownika. Nie ma przycisku „usuń moje konto", ponieważ nie ma konta. Nie ma okresu przechowywania danych, o który trzeba by się martwić, ponieważ okres przechowywania wynosi godzinę i jest egzekwowany automatycznie. Takie podejście jest naprawdę zgodne z zasadami minimalizacji danych i ograniczenia przechowywania RODO — nie jako niechętnie odhaczony punkt zgodności, ale jako fundamentalna decyzja projektowa, wokół której zbudowany jest cały system.
Proces czyszczenia — co się naprawdę dzieje
Usługa działająca w tle uruchamia się według regularnego harmonogramu — co piętnaście minut — i trwale usuwa wszystkie wygasłe dane z bazy danych. „Trwale usunięte" oznacza dokładnie to, na co brzmi: rekordy są usuwane z tabel bazy danych. Nie są archiwizowane w wtórnym systemie przechowywania. Nie są przenoszone do zimnego archiwum do późniejszej analizy. Nie są anonimizowane i przechowywane w celach statystycznych. Znikają.
Czyszczenie odbywa się automatycznie, bez względu na to, co robisz. Nie ma znaczenia, czy zamknąłeś kartę, wyczyściłeś historię przeglądarki, wyłączyłeś komputer, czy zupełnie nic nie zrobiłeś. System nie czeka, aż podejmiesz działanie. Nie wymaga kliknięcia przycisku, wysłania żądania ani przejścia do strony ustawień. Znacznik czasu wygaśnięcia został ustawiony w momencie utworzenia Twojej sesji, a gdy ten znacznik czasu minie, usługa czyszcząca usuwa wszystko, co jest powiązane z tą sesją.
Oto pełny techniczny cykl życia sesji: odwiedzasz witrynę i tworzona jest sesja ze znacznikiem czasu wygaśnięcia ustawionym godzinę w przyszłość. W tej godzinie przychodzą e-maile i są przechowywane w powiązaniu z Twoją sesją. Gdy godzina minie, Twoja sesja, adres e-mail i wszystkie powiązane e-maile stają się kwalifikowane do usunięcia. Przy następnym uruchomieniu usługi czyszczącej (w ciągu piętnastu minut) te rekordy są trwale usuwane z bazy danych. Od tego momentu nie ma żadnego zapisu, że Twoja sesja kiedykolwiek istniała.
Co dzieje się z e-mailami w Twojej skrzynce odbiorczej
Każdy e-mail, który dociera do skrzynki odbiorczej TempEmail.ai, jest przechowywany tymczasowo przez czas trwania sesji. Treść wiadomości — temat, treść, informacje o nadawcy — jest zapisywana, aby mogła zostać wyświetlona w przeglądarce. Gdy sesja wygaśnie, te e-maile są usuwane wraz ze wszystkim innym. Po wygaśnięciu sesji nie ma żadnego przechowywania e-maili.
Nikt nie czyta Twoich e-maili. Żadna treść e-maila nie jest skanowana, analizowana, indeksowana ani przetwarzana w żadnym innym celu niż wyświetlenie jej Tobie. Nie ma systemu reklamowego. Nie ma potoku analizy treści. Żaden model uczenia maszynowego nie jest trenowany na Twojej skrzynce odbiorczej. E-maile istnieją wyłącznie po to, by zostać Ci pokazane podczas Twojej sesji, a potem całkowicie przestają istnieć. Jest to znacząco inne niż w przypadku wielu darmowych usług e-mail, gdzie treść wiadomości jest rutynowo analizowana w celu budowania profili reklamowych i wyświetlania reklam ukierunkowanych. Electronic Frontier Foundation pisała obszernie o konsekwencjach skanowania e-maili dla prywatności — w przypadku TempEmail.ai ta obawa po prostu nie ma zastosowania.
Podstawowe dostarczanie poczty odbywa się zgodnie z RFC 5321, standardowym protokołem regulującym sposób przesyłania wszystkich wiadomości e-mail w internecie. E-maile wysyłane na Twój tymczasowy adres przemierzają standardową infrastrukturę pocztową — serwery SMTP, wyszukiwania DNS, rekordy wymiany poczty — tak samo jak każdy inny e-mail. Są odbierane, krótko przechowywane, wyświetlane, a następnie usuwane, gdy sesja się kończy.
GUID sesji — Twoja tymczasowa tożsamość
Gdy tworzysz sesję, generowany jest unikalny GUID (globalnie unikalny identyfikator) i umieszczany w adresie URL Twojej przeglądarki jako parametr zapytania. Ten sam GUID jest również przechowywany w localStorage Twojej przeglądarki. Razem umożliwiają one powrót do tej samej skrzynki odbiorczej, jeśli zamkniesz i ponownie otworzysz kartę w ciągu godziny. Adres URL jest Twoim kluczem do skrzynki odbiorczej — dodaj go do zakładek, a będziesz mógł do niego wrócić, dopóki sesja jest nadal aktywna.
GUID w żaden sposób nie jest powiązany z Twoją prawdziwą tożsamością. Jest to losowo wygenerowany ciąg znaków bez żadnego wewnętrznego znaczenia i bez związku z Twoim imieniem, adresem IP, przeglądarką ani jakąkolwiek inną informacją o Tobie. Istnieje wyłącznie jako identyfikator sesji. Gdy sesja wygasa, GUID staje się nieważny — serwer nie ma już z nim powiązanego żadnego rekordu. Gdyby ktoś w jakiś sposób zdobył Twój URL sesji po wygaśnięciu i próbował go użyć, nic by nie znalazł. Sesja zniknęła, skrzynka odbiorcza zniknęła, a GUID nie wskazuje na nic.
Jest to celowa decyzja projektowa zakorzeniona w zasadzie szeroko rekomendowanej przez OWASP i badaczy bezpieczeństwa: minimalizowanie czasu życia i zakresu identyfikatorów sesji. Sesja, która szybko wygasa i nie zawiera żadnych informacji umożliwiających identyfikację osobową, to sesja, która stwarza minimalne ryzyko nawet w najgorszym scenariuszu.
Co się dzieje, gdy zamkniesz kartę
Nic szczególnego. Skrzynka odbiorcza nadal istnieje aż do wygaśnięcia po godzinie, niezależnie od tego, czy karta przeglądarki jest otwarta. Zamknięcie karty nie powoduje wcześniejszego usunięcia — timer sesji działa po stronie serwera i funkcjonuje niezależnie od Twojej przeglądarki. Jeśli dodałeś URL do zakładek (który zawiera Twój GUID sesji), możesz do niego wrócić w dowolnym momencie w ciągu godziny, a Twoja skrzynka odbiorcza nadal tam będzie, kompletna ze wszystkimi e-mailami, które przyszły podczas Twojej nieobecności.
Po upływie godziny skrzynka odbiorcza już nie istnieje, bez względu na to, co zrobisz. URL staje się martwym linkiem. GUID nie prowadzi do niczego. Wszystkie e-maile, które przyszły podczas sesji, trwale zniknęły. Nie ma mechanizmu odzyskiwania, żadnego zgłoszenia do wsparcia, żadnej kopii zapasowej do przywrócenia. Ta ostateczność jest właśnie sednem sprawy — to ona sprawia, że gwarancja prywatności ma znaczenie.
Zgodność z RODO
RODO daje osobom szereg praw dotyczących ich danych osobowych: prawo dostępu, prawo do sprostowania, prawo do usunięcia („prawo do bycia zapomnianym"), prawo do przenoszenia danych i inne. Projekt TempEmail.ai sprawia, że większość tych praw jest albo automatyczna, albo nieistotna. Ponieważ usługa nie zbiera danych osobowych wykraczających poza to, co jest potrzebne do tymczasowej sesji, a dane te są automatycznie usuwane po godzinie, jest bardzo niewiele rzeczy, o które użytkownik musiałby poprosić. Prawo do usunięcia jest wykonywane automatycznie, co godzinę, dla każdego użytkownika, bez wyjątku.
Przewodnik ICO Wielkiej Brytanii podkreśla zasadę minimalizacji danych — zbieranie tylko tych danych, których potrzebujesz, i tylko tak długo, jak ich potrzebujesz. TempEmail.ai wciela tę zasadę nie jako coś dodanego później, ale jako swój podstawowy projekt. Automatyczne usuwanie po godzinie to nie tylko funkcja — to znacząca gwarancja prywatności. Danych, które nie istnieją, nie można wyciec, sprzedać, objąć wezwaniem sądowym ani wykorzystać w sposób, którego nie zamierzałeś.
Badacz bezpieczeństwa Troy Hunt, który stworzył Have I Been Pwned, udokumentował na przestrzeni lat tysiące naruszeń danych. Powtarzający się wzorzec w tych naruszeniach jest taki, że firmy przechowywały dane, których nie potrzebowały, dłużej niż powinny, a te dane ostatecznie zostały ujawnione. Architektura TempEmail.ai jest zaprojektowana tak, aby uczynić tę kategorię problemu strukturalnie niemożliwą: nie można wyciec danych, które zostały usunięte godzinę po ich utworzeniu.
A co z e-mailami wysyłanymi NA Twój tymczasowy adres?
Gdy ktoś (lub jakaś usługa) wysyła e-mail na Twój tymczasowy adres, ten e-mail przemierza standardową internetową infrastrukturę pocztową — zgodnie z protokołem RFC 5321 — aby dotrzeć do serwerów pocztowych TempEmail.ai. E-mail jest odbierany, przechowywany w skrzynce odbiorczej Twojej sesji i wyświetlany Ci w przeglądarce. Gdy sesja wygasa, e-mail jest usuwany wraz ze wszystkim innym. Nie ma osobnej polityki przechowywania dla otrzymanych e-maili.
Serwer pocztowy nadawcy nie wie ani nie dba o to, że miejsce docelowe jest tymczasową skrzynką odbiorczą. Z ich perspektywy pomyślnie dostarczyli e-mail na prawidłowy adres. Po wygaśnięciu, jeśli nadawca (lub ktokolwiek inny) spróbuje wysłać kolejny e-mail na ten sam adres, zostanie on odrzucony, ponieważ adres już nie istnieje. Nadawca otrzymałby standardowe powiadomienie o niedostarczeniu, tak samo jak w przypadku wysłania na jakikolwiek inny nieistniejący adres e-mail na jakimkolwiek innym serwerze pocztowym. Twój tymczasowy adres naprawdę przestaje istnieć — nie jest uśpiony ani nieaktywny, po prostu zniknął.
Filozofia projektowa stojąca za tym wszystkim
Filozofię stojącą za TempEmail.ai można podsumować prosto: buduj tylko niezbędne minimum, usuwaj automatycznie, nie zbieraj niczego, czego nie musisz zbierać. Każda decyzja projektowa — brak systemu kont, godzinne wygaśnięcie, automatyczne czyszczenie, brak analizy treści e-maili — wynika z tej zasady. To przeciwieństwo podejścia „zbierz wszystko, później zdecyduj, co z tym zrobić", które definiuje większość internetu. ProtonMail i inne usługi skoncentrowane na prywatności pokazały, że istnieje prawdziwy popyt na narzędzia, które szanują prywatność użytkownika już od etapu projektowania. TempEmail.ai doprowadza tę filozofię do logicznego wniosku w przypadku poczty jednorazowej: najbardziej prywatne dane to dane, które nie istnieją.
Jeśli chcesz adresu tymczasowej poczty e-mail, który naprawdę znika, gdy skończysz, to dokładnie do tego ta usługa została zbudowana. Nie dlatego, że wymaga tego prawo (choć dobrze pasuje do regulacji dotyczących prywatności), ale dlatego, że to właściwy sposób budowania takiego narzędzia. Electronic Frontier Foundation od dawna opowiada się za prywatnością w fazie projektowania — ideą, że ochrona prywatności powinna być wbudowana w architekturę systemów, a nie doklejona później jako dodatkowa myśl. To dokładnie to, czym jest automatyczne usuwanie po godzinie: strukturalna gwarancja prywatności, która nie zależy od tego, czy ktoś pamięta, by nacisnąć przycisk.