Tvoje data zůstávají u tebe, i za cenu pohodlí
Funkci, která by vyžadovala nešifrovaná data na serveru, radši nemáme.
Příklad
Vyhledávání v poště je čistě lokální. Víme, že je to omezení — kdo má na serveru deset let pošty, najde v Letos jen to, co se stáhlo na zařízení. Serverový index by to vyřešil za odpoledne. Neuděláme to. Řeší se to jinak — rozsahem stahování a retencí — pomalejší cestou ke stejnému cíli, ale bez zrady slibu. Stejný důvod, proč web umí úkoly a kalendář, ale ne poštu: pošta na webu by znamenala IMAP na našem serveru.
V praxi
U každé nové funkce padne otázka „co z toho musí opustit zařízení?“. Když odpověď není „nic nebo zašifrovaný blok“, návrh se přepracuje, ne odloží. Platí to i pro AI: běží na tvém počítači, nebo jen s tvým výslovným souhlasem v dialogu.
Tohle nikdy neuděláme
Poslat uživatelská data třetí straně potají nebo ve výchozím nastavení (analytika s obsahem, cloudová AI „jen jako záloha“, hlášení chyb s tělem zprávy). Externí AI smí fungovat jen jako volitelná funkce, kterou si zapneš sám a potvrdíš ji v dialogu.
Neznamená to
Odpor ke cloudu. Synchronizační server existuje a je placený. Rozdíl je, že synchronizační server nikdy nevidí nešifrovaná data — klíč k nim je zabalený tak, že ho server nedokáže rozbalit. A z pošty nese jen klíč vlákna a akci, nikdy obsah.