Bezpečnosť a súkromie v aplikácii ParentLoop

Posledná aktualizácia: 2. novembra 2026

ParentLoop vznikol preto, aby uchovával jedny z najcitlivejších údajov, aké môže rodina niekomu zveriť: harmonogram starostlivosti, zdravie dieťaťa, dokumenty, peniaze. Táto stránka konkrétne opisuje, čo s nimi robíme — bez všeobecných fráz ako „zabezpečenie na úrovni banky“. Aplikácia sa pripravuje na verejné spustenie a zatiaľ nie je dostupná v obchodoch.

Dokumenty: end-to-end šifrovanie

Súdne rozhodnutia, výsledky vyšetrení, potvrdenia zo školy — súbor a jeho názov prichádzajú do ParentLoop zašifrované ešte predtým, než opustia telefón. Na serveri leží reťazec bajtov, ktorý nedokážeme prečítať, a to nie je otázka interných pravidiel, ale matematiky. Vidíme však technické údaje záznamu: druh dokumentu (napr. cestovný pas alebo rozhodnutie o zdravotnom postihnutí), typ a veľkosť súboru, kto a kedy ho pridal a dátum platnosti, ak ho uvediete — na jeho základe server posiela pripomenutie.

Konkrétne používame:

Súkromný kľúč sa nikdy nedostane na naše servery. Je uložený v zabezpečenom úložisku telefónu (Kľúčenka v iOS, Keystore v Androide). Zverejňujeme len jeho verejnú časť, aby druhý rodič mohol súbor zašifrovať tak, aby ste ho vy mohli otvoriť.

Náhodnosť berieme z operačného systému, nie z predvoleného zdroja knižnice: v React Native môže tento predvolený zdroj potichu zlyhať a následkom slabej náhodnosti nie je chyba, ale uhádnuteľný kľúč, ktorý si nikto nikdy nevšimne.

Zdravotné údaje: end-to-end šifrovanie

Alergie, lieky, chronické ochorenia, krvnú skupinu, poznámky, zdravotné záznamy (návštevy u lekára, očkovania, diagnózy, výsledky vyšetrení, pobyty v nemocnici) a merania výšky a hmotnosti šifrujeme automaticky, pre každé dieťa zvlášť. Kľúč sa vytvorí sám v telefóne rodiča, ktorý má k údajom o zdraví prístup, udelil súhlas s ich spracúvaním a má v telefóne kľúč k dokumentom (šifrovanie možno zapnúť aj ručne v Nastaveniach); odovzdanie kľúča druhému rodičovi alebo opatrovníkovi vyžaduje potvrdenie odtlačku kľúča. Kľúč k dokumentom aplikácia sama nevytvorí: vytvoríte si ho raz, v Nastaveniach alebo na obrazovke Dokumenty (na telefónoch, ktoré podporujú prístupové kľúče, ho aplikácia ponúkne aj na konci úvodného nastavenia). Kým ho nemáte, zdravotné údaje dieťaťa nie sú šifrované end-to-end. Šifrovanie začne platiť, keď majú kľúč všetky osoby s prístupom k údajom o zdraví daného dieťaťa — rodičia, a aj opatrovník, ak mu bolo toto oprávnenie udelené. Kým kľúč nemajú všetci oprávnení, údaje sa uchovávajú ako doteraz (zabezpečené, ale nie end-to-end) a aplikácia zobrazuje, na koho sa čaká. Keď je šifrovanie aktívne, údaje sa šifrujú v telefóne rovnakými algoritmami ako dokumenty; na serveri vidno len to, že záznam existuje, jeho dátum a kto ho pridal.

Dve veci hovoríme na rovinu. Na serveri stále vidíme, že záznam existuje, jeho dátum a kto ho pridal — nečitateľný je samotný obsah. A šifrovanie začína fungovať až vtedy, keď kľúč dostanú všetci rodičia s prístupom k údajom dieťaťa. Dovtedy sú údaje uložené ako doteraz — zabezpečené, ale nie end-to-end — a aplikácia ukazuje, na koho sa čaká. Keď šifrovanie začne fungovať, telefón rodiča s kľúčom prepíše do zašifrovanej podoby aj predchádzajúce záznamy; ich nezašifrovaná verzia môže ešte do 7 dní zostať v záložných kópiách databázy.

Ak ParentLoop používate len vy, šifrovanie sa zapne, hneď ako si vytvoríte kľúč k dokumentom, bez čakania na kohokoľvek. Rodič, ktorý sa pripojí neskôr, dostane kľúč až potom, ako na svojom telefóne potvrdíte odtlačok jeho kľúča. Prečo vôbec existuje obdobie bez šifrovania: keď sú už v rodine dve osoby s prístupom k zdravotným údajom a jedna z nich ešte nemá kľúč, nešifrujeme nasilu len pre tú druhú. Osoba bez kľúča by potom prestala vidieť alergie a lieky dieťaťa, kým by niekto nepotvrdil jej kľúč — a toto potvrdenie sa nedá automatizovať, pretože potom by server mohol podstrčiť vlastný kľúč. Nad tlačidlom „Uložiť“ v každom formulári o zdraví aplikácia píše, či bude to, čo ukladáte, zašifrované.

Číslo PESEL dieťaťa, ak ho zadáte, je vždy šifrované end-to-end: bez kľúča k dokumentom ho aplikácia neuloží.

Zdieľanie kľúča s niekým novým treba vždy potvrdiť na telefóne, ktorý ho už má — s menom tejto osoby a odtlačkom jej kľúča na obrazovke.

Váš kód na obnovenie

Keďže váš kľúč nemáme, nedokážeme ho obnoviť, keď zmeníte telefón. Spolu s kľúčom preto vznikne kód na obnovenie — kľúč sa odvodzuje z neho. Kedykoľvek ho nájdete v nastaveniach kľúča. Uschovajte si ho mimo telefónu. Bez neho (alebo bez kópie v prístupovom kľúči, ktorú opisujeme nižšie) zostanú dokumenty a zdravotné údaje zašifrované starým kľúčom nečitateľné aj pre vás. To je cena za to, že k nim nemáme prístup, a radšej to povieme na rovinu, než by sme si nechali zadné vrátka „pre istotu“.

Kópia vášho kľúča v prístupovom kľúči (voliteľné)

Namiesto prepisovania kódu na novom telefóne si môžete kópiu kľúča uložiť ako prístupový kľúč (passkey; na iPhone sa volá prihlasovací kľúč) v aplikácii Heslá od Apple alebo v Správcovi hesiel Google. Na novom telefóne potom dokumenty a zdravotné údaje odomknete jedným klepnutím.

Ako to funguje: server uchováva zašifrovanú kópiu vášho kódu na obnovenie. Kľúč k nej odvodzuje váš prístupový kľúč (rozšírenie WebAuthn PRF) a nikdy sa k nám nedostane — bez prístupového kľúča je aj táto kópia pre nás len reťazec bajtov, ktorý nedokážeme prečítať. Prístupový kľúč je viazaný na samostatnú doménu klucz.parentloop.pl, ktorá neposkytuje nič okrem dvoch konfiguračných súborov, takže oň nemôže požiadať žiadny skript na parentloop.pl.

Úprimne o kompromise: je to pohodlie výmenou za jeden predpoklad. Tento prístupový kľúč môže použiť ktokoľvek, kto pozná heslo k vášmu Apple účtu alebo účtu Google a kód jedného z vašich zariadení. Preto je kópia voliteľná. V nastaveniach kľúča ju môžete kedykoľvek zmazať a zmizne aj vtedy, keď kľúč zmeníte alebo zmažete účet.

Dôvera v kľúč druhého rodiča

End-to-end šifrovanie má len takú hodnotu, akú máte istotu, pre koho šifrujete. Aplikácia si kľúč druhého rodiča zapamätá, keď ho uvidí prvýkrát. Ak sa tento kľúč neskôr zmení, nahrávanie nepokračuje potichu ďalej — zastaví sa a opýta sa človeka.

Odtlačok kľúča si môžete aj navzájom porovnať a potvrdiť. Potvrdenie patrí jednej dvojici ľudí a jednému konkrétnemu kľúču: keď sa kľúč vymení, potvrdenie stratí platnosť a treba ho urobiť znova. Inak by to bola pečiatka, ktorá platí dlhšie než to, čo potvrdzovala.

Pri návrhu šifrovania počítame s tým, že náš vlastný server môže klamať — lebo ak ho niekedy niekto ovládne, bude skúšať práve to. Odtlačok kľúča druhého rodiča preto počíta váš telefón, nie server, a váš vlastný kľúč telefón pri každom čítaní porovná s tým, ktorý má u seba. Telefón, ktorý raz videl zdravotné údaje dieťaťa zašifrované, ich už nezapíše nešifrovane, ani keď server tvrdí, že šifrovanie je vypnuté. Zobrazenie kódu na obnovenie a výmena kľúča vyžadujú Face ID, Touch ID alebo kód zámky. Dešifrované kópie súborov (dokumenty, export údajov, skeny) aplikácia maže z pamäte telefónu pri každom spustení a pri odhlásení.

Biometrický zámok

Otvorenie dokumentu vyžaduje Face ID, Touch ID alebo kód zámku — zakaždým, nie raz za reláciu. Bez nastaveného zámku obrazovky sa dokument nedá otvoriť. Odomknutý telefón položený na stole nie je to isté ako súhlas s čítaním súdneho rozhodnutia. Rovnako pred exportom údajov: súbor ZIP obsahuje dokumenty už dešifrované, takže aplikácia pred každým stiahnutím požiada o Face ID, Touch ID alebo kód zámku.

Snímky obrazovky

Obrazovky s kľúčom a kódom na obnovenie, dokumentmi a párovaním aplikácie dieťaťa blokujú snímky a nahrávanie obrazovky. V Androide vyjdú snímka aj záznam čierne a náhľad v posledných aplikáciách je prázdny; na iPhone vyjdú snímka aj záznam takisto čierne a náhľad v prepínači aplikácií je rozmazaný. V ostatných častiach aplikácie fungujú snímky obrazovky normálne. Je to prekážka, nie záruka: odfotenie obrazovky druhým telefónom nič nezablokuje.

Prihlásenia a prihlásené zariadenia

Keď sa po prvých 24 hodinách od založenia účtu niekto prihlási do vášho rodičovského účtu, dostanete upozornenie v aplikácii a — ak ste povolili upozornenia — aj do telefónu, s typom zariadenia (iPhone alebo iPad, telefón alebo tablet s Androidom, webový prehliadač alebo iné zariadenie). Toto upozornenie v nastaveniach upozornení aplikácie nevypnete (počas tichých hodín príde, keď sa skončia). V Nastaveniach → Súkromie a údaje → Prihlásené zariadenia vidíte všetky zariadenia, na ktorých má účet aktívnu reláciu, a každé odhlásite jedným klepnutím. Odhlásené zariadenie stratí prístup najneskôr do hodiny.

Prečo na tom záleží: do ParentLoop sa prihlasujete odkazom z e-mailu alebo heslom. Ak niekto zistí vaše heslo alebo získa prístup k vášmu e-mailu, o novom prihlásení sa dozviete hneď. Cudzie zariadenie odhláste a zmeňte si heslo k e-mailu aj heslo v ParentLoop.

Kto čo vidí

Spomedzi používateľov majú prístup k údajom dieťaťa výlučne s ním prepojení rodičia a opatrovníci. Stráži to samotná databáza — prístupové pravidlá fungujú na úrovni každého riadka, takže sa nedajú obísť odoslaním „šikovnejšieho“ dopytu mimo aplikácie. Nie je to však end-to-end šifrovanie celej databázy: údaje, ktoré nie sú zašifrované v telefóne (napr. kalendár, výdavky, správy), sú technicky dostupné pre naše serverové funkcie, ktoré posielajú upozornenia a čistia údaje, a pre členov tímu s prístupom do panela databázy. Bežne ich neprezeráme. Správy čítame len vtedy, keď ich niekto nahlási, a po ostatných údajoch siahame len pri nahlásení alebo oprave chyby. Panel, v ktorom denne pracujeme, zobrazuje iba súhrnné údaje a vyžaduje druhý faktor prihlásenia.

Upozornenia

Upozornenie vidno na zamknutej obrazovke a prechádza servermi spoločností Expo, Apple a Google, preto v ňom necháváme len to najnutnejšie. Nie je v ňom obsah správ, zdravotné záznamy ani adresy: pripomienka hovorí, čo a kedy, a kde, to nájdete v aplikácii. Rovnako pri zmene miesta odovzdania dieťaťa: upozornenie povie, že sa miesto zmenilo, a nové je v kalendári.

Čo nie je chránené end-to-end šifrovaním

Správy medzi rodičmi. Je to vedomé rozhodnutie, nie nedorobok. Konverzácia v ParentLoope je spoločný záznam toho, na čom ste sa ohľadom dieťaťa dohodli: odoslanú správu nemožno upraviť ani vymazať. Keď niekto nahlási zneužitie, musíme vedieť overiť, čo bolo skutočne napísané — pri end-to-end šifrovaní by nahlásením bola snímka obrazovky, ktorú možno ľahko sfalšovať. Z rovnakého dôvodu beží filter vulgarizmov na serveri: urážlivé slová sa zamaskujú ešte pred uložením správy, takže sa na disk vôbec nedostanú. Správy sú šifrované pri prenose aj na disku a čítame ich len po nahlásení. Radšej to napíšeme otvorene, než by sme slovo „šifrované“ použili tak, aby znelo silnejšie, než v skutočnosti je.

Kde sú údaje uložené

Databáza a súbory sú v Európskej únii (Frankfurt). Mimo EHP sa môžu dostať údaje potrebné pre push upozornenia a aktualizácie aplikácie (Expo, Apple, Google) a pre fungovanie tejto stránky v globálnej sieti Cloudflare — na základe štandardných zmluvných klauzúl. Návrhy adries sťahuje telefón priamo zo služby Google Maps Platform, ktorá pôsobí ako samostatný prevádzkovateľ podľa vlastných pravidiel. Úplný zoznam poskytovateľov je v zásadách ochrany osobných údajov.

Na Androide číta text z fotky bločku alebo rozvrhu priamo v telefóne knižnica Google ML Kit — až keď s tým súhlasíte. Fotka ani prečítaný text sa ku Googlu nedostanú; knižnica posiela len diagnostické údaje. Súhlas odvoláte v nastaveniach aplikácie (Settings → Consents).

Tento web

Žiadne súbory cookie, žiadna analytika, žiadne sledovacie skripty, žiadne dopyty na cudzie servery — vrátane písiem, ktoré zámerne nenačítavame z Googlu. Preto tu neuvidíte okienko so súhlasom s cookies: nemáme sa na čo pýtať. Jediné, čo stránka ukladá v prehliadači, je zvolený jazyk podmienok (localStorage), aby ich pri ďalšej návšteve otvorila v tom istom jazyku.

Dieťa nemá účet s e-mailom ani heslom

V ParentLoop si dieťa nezakladá účet s prihlasovacím menom a nezadáva e-mailovú adresu. Aplikácia ParentLoop kids sa pripája k rodine cez jednorazový QR kód — bez e-mailovej adresy, bez hesla, bez četu a bez možnosti písať správy komukoľvek. Dieťa môže odškrtávať povinnosti a pridávať do kalendára vlastné udalosti (bez odkazov a telefónnych čísel); rodičia ich vidia, ak dieťa zapne „Ukázať rodičom“.

Keď jeden z rodičov spáruje zariadenie dieťaťa, druhý o tom dostane upozornenie. Spárované zariadenie možno kedykoľvek odpojiť v aplikácii rodiča — od tej chvíle už telefón dieťaťa nesťahuje údaje zo servera.

Kto sa môže pripojiť k rodine

K profilu dieťaťa sa pripojí len osoba, ktorú pozve rodič, ktorý už v rodine je, a pozvánka platí 7 dní. Mimo zakladania účtu sa kód pozvánky a kód na spárovanie telefónu dieťaťa zobrazia až po Face ID, Touch ID alebo kóde na odomknutie telefónu (ak má telefón nastavený zámok obrazovky). Keď niekto nový získa prístup k údajom dieťaťa, druhý rodič dostane upozornenie.

Žiadny rodič nemôže druhému sám odobrať prístup ani bez jeho súhlasu vymazať profil dieťaťa. Je to zámerné: o rodičovských právach a povinnostiach rozhoduje súd, nie aplikácia. Dokumenty rodičov neoverujeme, pretože by to znamenalo zbierať súdne rozhodnutia a doklady totožnosti. Ak niekto spracúva údaje vášho dieťaťa bez oprávnenia alebo v rozpore so súdnym zákazom, napíšte nám: nahlásenie hneď potvrdíme, do 7 dní vám oznámime, ako ho vybavíme, a ak úradný dokument doloží ohrozenie bezpečnosti dieťaťa alebo rodiča, môžeme tejto osobe počas vybavovania prístup pozastaviť (podmienky, § 6 ods. 7).

Každý maže len svoje záznamy. Dokument môže vymazať len rodič, ktorý ho pridal (a keď tento rodič stratí prístup k údajom dieťaťa, tak druhý rodič). Udalosť v kalendári maže jej autor a úlohu jej autor alebo ten, komu ju odovzdal. Pri zázname, ktorý vymazať nemôžete, aplikácia ukáže, kto ho pridal. Aj to stráži databáza, nielen aplikácia.

Ak ste v ohrození

ParentLoop nenahradí pomoc, ale niekoľko vecí môže situáciu uľahčiť:

V bezprostrednom ohrození volajte 112. V Poľsku: linka pomoci pre obete domáceho násilia „Niebieska Linia“, 800 120 002 (bezplatne).

Vaše údaje, vaše rozhodnutie

Export všetkých údajov aj zmazanie účtu sú tlačidlá priamo v aplikácii. Nemusíte nám písať, čakať ani nič vysvetľovať.

Keď má dieťa 18 rokov

Keď má dieťa 18 rokov, vymažeme jeho zdravotné údaje — informácie o zdraví, zdravotné záznamy a zdravotné dokumenty — a jeho číslo PESEL. Merania výšky a hmotnosti zostávajú. Asi 30 dní vopred dostane každý, kto tieto údaje vidí, upozornenie s odkazom na export, aby si ich mohol včas stiahnuť.

Ako to overujeme

Zabezpečenie aplikácie a databázy kontrolujeme pred každým vydaním v obchodoch a po väčších zmenách. Máme posúdenie vplyvu na ochranu osobných údajov (DPIA), ktoré opisuje riziká pre rodičov a deti vrátane rodín v konflikte, a postup pre prípad porušenia ochrany osobných údajov. Automatický test pri každej zmene databázy overuje, že vymazanie účtu vymaže všetky jeho údaje, a denná kontrola stráži, aby sa mazali aj súbory.

Aplikáciu a databázu čítajú aj externí posudzovatelia bezpečnosti, ktorí vychádzajú z toho, že server alebo iný používateľ koná proti vám; nájdené chyby opravujeme pred ďalším vydaním. Pri každej zmene databázy automat kontroluje, že pravidlá prístupu nemajú žiadny zo známych druhov chýb.

Našli ste problém?

Napíšte na kontakt@parentloop.pl. Hlásenia o bezpečnosti riešime prednostne a tomu, kto problém nahlási, to nijako nezazlievame.