Was wir protokollieren, und was nicht

Jedes Feld, das wir schreiben, vollständig

Das ist die vollständige Liste. Kein Konto, keine E-Mail für kostenlose Nutzung, keine Adresse, kein Geräte-Fingerabdruck und kein lesbarer Link.

Warum der Link ein Hash ist und kein Text

Die Adresse, die du einfügst, ist das Sensibelste, was du einem Downloader gibst. Sie verrät, was du dir ansiehst, und über die Zeit betrachtet verrät sie deutlich mehr als das.

Wir führen sie durch SHA-256 und behalten die ersten sechzehn Zeichen. Das ist eine Einweg-Operation: Derselbe Link erzeugt immer denselben Hash, und niemand kann vom Hash zurück zum Link gelangen. Weder wir, noch jemand, der die Datei erhält.

Der Hash ist trotzdem für die eine Sache nützlich, die er leisten muss. Wenn vierzig Fehlschläge einen Hash teilen, ist ein Video defekt. Wenn vierzig Fehlschläge vierzig verschiedene Hashes haben, stimmt etwas im Dienst nicht. Das ist der gesamte Zweck, und er funktioniert ohne den Originaltext.

Links im Klartext zu speichern wäre einfacher und würde mehr Fragen beantworten. Es würde auch eine Datei schaffen, die vom Moment ihrer Existenz an ein Risiko ist — und kein Versprechen, sorgfältig damit umzugehen, ist so gut wie sie gar nicht zu haben.

Warum die Besucherkennung keine Identität ist

Eine Kennung ist unvermeidlich, wenn ein kostenloser Tarif ein Tageslimit hat. Ohne eine ist ein Limit kein Limit.

Unsere ist ein Hash aus Netzwerkadresse und Browser-String, sechzehn Zeichen. Die rohe Adresse wird nirgends geschrieben. Wechsle das Netzwerk und du wirst ein anderer Besucher; aktualisiere deinen Browser und dasselbe passiert. Sie ist bewusst schwach als Kennung und stark genug für einen Tageszähler.

Sie beantwortet eine Produktfrage, die sonst nichts beantworten kann: was beim ersten Versuch jemandes geschah. Das ist wichtiger, als es klingt — ein Dienst kann im Aggregat gesund aussehen, während er die meisten Neuankömmlinge beim ersten Versuch scheitern lässt, und ohne eine Möglichkeit, die Versuche einer Person zu gruppieren, ist dieses Muster unsichtbar.

Was sie nicht kann: dir zwischen Netzwerken folgen, Sitzungen über die Zeit verknüpfen, oder sich mit irgendetwas verbinden, das du anderswo tust. Dafür gibt es kein Cookie und keinen Drittanbieter-Tracker.

Dateien: gestreamt, nie gespeichert

Das Video selbst ist die größte Datenschutzfrage und hat die einfachste Antwort.

Bei Qualitäten, die wir zusammensetzen, existiert die Datei kurz in einem temporären Ordner, während sie gebaut, an dich gesendet und gelöscht wird. Bei allem anderen laufen die Daten in 64 KB großen Blöcken durch und werden nie auf die Festplatte geschrieben.

Nichts sammelt sich an. Es gibt keine Bibliothek heruntergeladener Videos, keinen Cache nach beliebten Links, keine für Performance aufbewahrte Kopie. Würden wir dich morgen fragen, was du heute heruntergeladen hast, könnten wir es dir nicht sagen — das ist Design, nicht Richtlinie.

Caching wäre die naheliegende Optimierung, und wir tun es nicht. Ein beliebtes Video, hundertmal abgerufen, wird hundertmal abgerufen, was uns jedes Mal Bandbreite kostet. Die Alternative wäre ein Dateispeicher nach dem, was Leute angefragt haben — was eine Bibliothek von Anfragen unter anderem Namen ist und so lange auf einer Festplatte läge, wie sie nützlich wäre.

Dieselbe Überlegung schließt eine Downloadverlauf-Funktion aus, nach der Leute gelegentlich fragen. Dir zu zeigen, was du letzte Woche gespeichert hast, erfordert einen Eintrag darüber, gebunden an etwas, das dich identifiziert. Es ist eine echt nützliche Funktion und unvereinbar mit dem Rest dieser Seite, also gibt es sie nicht.

Was zahlende Konten hinzufügen, und nur zahlende Konten

Bezahlen erfordert mehr, und die Grenze lohnt es sich, genau zu benennen.

• E-Mail-Adresse. Um den Lizenzschlüssel und Ablauferinnerungen zu senden. Kostenlose Nutzung fragt nie danach.
• Passwort-Hash. Gespeichert via scrypt — das Passwort selbst wird nie geschrieben.
• Lizenzdatensatz. Plan, Daten, ob sie aktiv ist.
• Zahlungsreferenz. Vom Zahlungsanbieter, damit eine Zahlung einer Lizenz zugeordnet werden kann.

Was ein zahlendes Konto weiterhin nicht hinzufügt, ist jede Verbindung zu dem, was du heruntergeladen hast. Das Lizenzsystem und das Ereignisprotokoll teilen bewusst keine Kennung — zu wissen, dass eine Lizenz aktiv ist, und zu wissen, was jemand gespeichert hat, sind zwei verschiedene Fragen, und wir können nur die erste beantworten.

Was wir erfassen könnten und uns dagegen entschieden haben

Der interessante Teil jeder Datenschutzhaltung ist nicht, was fehlt, weil es nie gebraucht wurde — es ist, was verfügbar, nützlich war und liegen gelassen wurde.

Referrer. Browser sagen einer Seite, von welcher Seite du kamst, und das ist echt wertvoll, um zu verstehen, woher Besucher kommen. Bei einem Downloader ist es gelegentlich auch die Videoseite selbst, was genau das wieder ins Protokoll zurückbringen würde, was das Hashen des Links entfernt.

Ein dauerhaftes Cookie. Eine stabile Kennung würde das kostenlose Kontingent schwerer zurücksetzbar machen und uns erlauben, eine Person über Sitzungen hinweg zu verfolgen. Das Kontingent funktioniert akzeptabel mit einem Hash, der sich mit dem Netzwerk ändert, und die Kosten der stärkeren Version wären eine echte Identität, wo keine existierte.

Analyse von Drittanbietern. Eine einzige Skriptzeile würde weit mehr Produktfragen beantworten als unsere eigenen Protokolle. Sie würde auch jeden Seitenaufruf an ein Unternehmen mit eigenen Interessen weitergeben — auf einer Seite, wo der Seitenaufruf der sensible Teil ist.

Geräte-Fingerprinting. Bildschirmgröße, Schriftarten, Zeitzone und Hardware kombinieren sich zu einer Kennung, die Netzwerkwechsel und private Fenster übersteht. Sie ist wirksam, für die gemessene Person unsichtbar, und genau die Technik, die jemand, der ein Browser-Tool statt einer App nutzt, zu vermeiden versucht.

Jedes davon hätte den Betrieb des Produkts erleichtert. Keines davon hätte einen einzigen Download besser funktionieren lassen, und das ist der Maßstab, den wir angelegt haben.

Wie man die Datenschutzaussagen eines beliebigen Downloaders beurteilt

Nützlich unabhängig davon, welches Tool du benutzt, weil die Behauptung leicht zu machen und selten geprüft ist.

1. Erfordert es ein Konto für die Grundnutzung? Wenn ja, ist alles, was du tust, konstruktionsbedingt an eine Identität gebunden.
2. Wie viele Tracker laden auf der Seite? Öffne die Netzwerkansicht des Browsers. Drittanbieter-Analyse und Werbeskripte sehen die Seite, auf der du bist, egal was die eigene Richtlinie der Seite sagt.
3. Nennt die Datenschutzerklärung konkrete Felder? ‘Wir respektieren deine Privatsphäre’ ist keine Aussage über Daten. Eine Liste dessen, was gespeichert wird, ist es.
4. Erklärt sie die Aufbewahrung? ‘So lange wie nötig’ bedeutet unbegrenzt.
5. Ist es eine App oder eine Erweiterung? Beide haben Berechtigungen weit über die Aufgabe hinaus — mehr zu diesem Kompromiss.

Punkt zwei fängt mehr als der Rest zusammen. Eine Seite mit einer warmen Datenschutzerklärung und neun Werbe-Trackern hat die Frage auf eine Weise beantwortet, die der Text nicht tut.