ローカルファーストなアプリのプライバシー上の強み

これまであなたがざっと目を通してきたプライバシーポリシーは、どれも企業がすでに集めてしまったデータについての約束の羅列だ。「私たちはあなたのプライバシーを真剣に考えています」「信頼できるパートナーとのみ共有します」「必要に応じてデータを保持することがあります」。

もっと短い版がある。そもそも集めないこと。

それがローカルファーストなソフトウェアの根底にある考え方のすべてであり、MFKAPPS のすべてのアプリが立脚する土台でもある。あなたのデータはあなたの端末の中で暮らす。私のサーバーの上ではない。なぜなら、あなたのデータを抱えるサーバーが存在しないからだ。もっともプライベートなバイトとは、あなたの電話から一度も出ていかなかったバイトのことだ。

ローカルファーストが実際に意味するもの

ローカルファーストとは、真実の源がクラウドのデータベースではなく、あなたの端末であるということだ。アプリはまずローカルに読み書きし、完全にオフラインで動作し、何をするにもネットワークの往復を待たないから速い。

Granyn では、記録したすべての支出があなたの端末に保存される。Hydrame では、飲んだ水の一杯ごともそうだ。作成すべきアカウントはなく、あなたの習慣をひそかに写し取る同期サーバーもなく、千もの小さなイベントからあなたのひと月を組み立て直す分析パイプラインもない。

これは最後に付け足す機能ではない。一行目で下される決定だ。なぜなら、それがそこから先のすべてを変えてしまうからだ。

約束ではなく、アーキテクチャによるプライバシー

ここに肝心な違いがある。クラウドアプリはあなたのデータを守ると約束する。ローカルファーストなアプリは、持っていないデータを悪用することが構造的にできない。

典型的なプライバシーポリシーが答えなければならない問いを考えてみてほしい。

• 私のデータはどこに、どれくらいの期間保存されるのか?
• 社内では誰がアクセスできるのか?
• どの第三者が受け取るのか?
• 会社が売却されたり侵害されたりしたら、データはどうなるのか?

ローカルファーストなアプリでは、これらの大半がたった一つの答えに収束する。あなたの端末の中にある、と。社内のコピーがないのだから社内アクセスもない。サーバーが侵害されても漏れる意味のあるものは何もない。私が明日スタジオをたたんだとしても、あなたのデータは常にあった場所――つまりあなたの手元――にそのまま残る。

一度も手にしなかったものを失うことはできない。

正直なトレードオフ

ローカルファーストがタダだと言い張るつもりはない。そうではないし、その代償については率直でありたい。

• 同期はより難しい。 中央サーバーなしで自分の端末どうしの間でデータを動かすのは、本物のエンジニアリングの仕事だ。導入するときは慎重に――理想的にはエンドツーエンドで暗号化して、同期でさえあなたのデータを私に渡すことにならないようにする。
• バックアップは（今のところ）あなた任せだ。 プラットフォーム自身のバックアップの仕組みに頼りつつ、エクスポートも用意しているので、あなたが囲い込まれることは決してない。あなたのデータはあなたのもので、どこか別の場所へ持ち出せる形式になっている。
• 一部の機能にはサーバーが要る。 それでいい――ある機能が本当にサーバーを必要とするときは、はっきりそう伝え、必要最小限だけを集める。それ以上は集めない。

トレードオフについて正直であることは取り決めの一部だ。穏やかな道具に、難しい部分を手で払いのける権利はない。

「でも Firebase や広告を使っているよね?」

もっともな問いだ。クラッシュレポート、基本的な匿名化された分析、時折の広告といった標準的なモバイルサービスは、限られたデータを処理することがある。そのどれがそうなのかはプライバシーポリシーで正確に開示している。私が守っている一線はシンプルだ。あなたが作り出したコンテンツはローカルにとどまる。 あなたの支出も、記録も、設定も、私にアップロードされることは決してない。補助的なサービスがせいぜい目にするのは匿名化・集計されたシグナルであって、個人データそのものを見ることは決してない。

なぜ手間をかける価値があるのか

このやり方で作るのは遅く、ときに不便だ。それでも私はそうする。なぜなら、信じるしかないプライバシーは脆く、アーキテクチャに焼き込まれたプライバシーは長持ちするからだ。前者は永遠に私の善行に依存する。後者は私にまったく依存しない。

それこそ、自分自身の電話に入れるアプリに私が求めたいプライバシーだ。だから、私が作るのもそれだ。