Le app di scansione scontrini sono sicure?

Cosa rivela davvero uno scontrino

È facile pensare a uno scontrino come a qualcosa di banale. Uno solo lo è, in genere. Un anno di scontrini no.

Insieme mostrano dove sei e quando, secondo uno schema settimanale ricorrente. Cosa mangi e bevi, il che dice qualcosa sulla tua salute. Quali farmaci compri. Quali bar frequenti e quanto spesso. Dove viaggi. Cosa compri per i figli. Se la tua spesa cambia all'improvviso — il segnale che precede una perdita del lavoro, una separazione o una diagnosi.

Le singole voci vanno oltre i totali. Uno scontrino del supermercato letto fino al livello di articolo è un inventario dettagliato di una famiglia.

Per questo dire "sono solo scontrini" sminuisce la questione. I dati degli scontrini sono dati comportamentali con data e luogo, e hanno un valore commerciale reale — alcune app di questo settore sono costruite proprio per monetizzarlo, in modo piuttosto esplicito, pagandoti per i tuoi scontrini e rivendendo i dati aggregati a istituti di ricerche di mercato. È un business legittimo e uno scambio onesto se sai che lo stai facendo. Il problema nasce quando non è chiaro che tipo di app hai installato.

La domanda che decide tutto: dove avviene la lettura?

Lettura sul dispositivo

La foto non lascia mai il tuo telefono. L'estrazione del testo gira in locale — su iOS, solitamente tramite il framework Vision di Apple, che esegue il riconoscimento direttamente sul dispositivo. I server dello sviluppatore non vedono mai né l'immagine né il testo.

L'esposizione è limitata al tuo dispositivo e a qualunque backup o sincronizzazione tu abbia attivato.

Lettura nel cloud

L'immagine, o il testo estratto da essa, viene inviato a un server. Quel server può essere dello sviluppatore dell'app, oppure di un fornitore terzo di OCR o IA dietro di esso.

Questo non è automaticamente un male — i modelli cloud leggono meglio gli scontrini difficili rispetto a quelli sul dispositivo, ed esistono implementazioni oneste. Ma cambia le domande a cui serve una risposta:

• Viene inviata la foto, o solo il testo estratto? Fa una grande differenza. Una foto può contenere le ultime quattro cifre della tua carta, un numero di fidelity card, a volte un nome.
• Viene conservata, o elaborata e scartata?
• Chi è il terzo, e quali sono le sue condizioni di conservazione?
• È attiva di default, o richiede il tuo consenso esplicito?
• Puoi disattivarla e tornare alla lettura locale?

Un'app che risponde chiaramente a tutte e cinque queste domande gioca a carte scoperte con te. Un'app la cui informativa sulla privacy dice solo "usiamo misure di sicurezza standard del settore" non ha risposto a nessuna di esse.

Domande da farsi prima di installare

C'è un account? Un'app con un database utenti può far trapelare un database utenti. Un'app la cui unica identità è il tuo account Apple o Google esistente ha molto meno da perdere.

Dove si sincronizza il registro? "Si sincronizza sui tuoi dispositivi" può significare il tuo account iCloud o Google, oppure i server del fornitore. Solo il primo tiene fuori il fornitore.

Cosa dice l'etichetta sulla privacy dell'App Store? Su iOS, controlla "Dati usati per tracciarti" e "Dati collegati a te". Un'app di budget che ti traccia attraverso app di altre aziende ti sta dicendo qualcosa sul suo modello di business.

Ci sono SDK di analisi o pubblicitari di terze parti? Sono i più silenziosi. Un'app può essere onesta sui propri server e comunque integrare un SDK di analisi che invia eventi comportamentali altrove.

Puoi esportare e cancellare? Entrambe dovrebbero essere gratuite e complete. Un'esportazione a pagamento significa che i tuoi stessi dati vengono usati come leva.

Il modello di business è comprensibile? Se un'app è gratuita, non ha acquisti, non mostra pubblicità e fa girare l'IA nel cloud su ogni scontrino, qualcuno la sta pagando. Non è necessariamente sinistro, ma dovresti riuscire a capire cosa sia.

Abitudini pratiche

Indipendentemente da quale app scegli:

• Attiva un codice sul dispositivo e il blocco biometrico, e usa un blocco nell'app se disponibile. L'esposizione più realistica è qualcuno che raccoglie un telefono sbloccato, non una violazione di un server.
• Scansiona e scarta. Una volta che lo scontrino è nel registro, raramente ti serve ancora la foto. Meno immagini conservate significa meno da perdere.
• Controlla cosa finisce nella tua libreria foto. Alcune app salvano ogni scontrino in Foto, che poi si sincronizza con qualunque backup foto usi.
• Esporta un backup periodicamente, così lasciare un'app non ti costa mai nulla.
• Rileggi l'informativa sulla privacy dopo un aggiornamento importante o un'acquisizione. È in quel momento che le condizioni cambiano.

Come Pennywick gestisce tutto questo

Detto con precisione, perché la precisione è lo scopo di questa pagina.

Per impostazione predefinita, gli scontrini sono letti sul tuo dispositivo. Apple Vision estrae il testo in locale. La foto non lascia il tuo iPhone.

Il tuo registro vive sul tuo dispositivo e nel tuo iCloud. Movimenti, budget e scontrini si sincronizzano tramite il database CloudKit privato di Apple — cifrato end-to-end secondo le condizioni che Apple descrive nella sua panoramica sulla sicurezza dei dati iCloud, nel tuo account, dove lo sviluppatore non può leggerli.

Non c'è un account Pennywick. L'unica identità è il tuo Apple ID. Non c'è un database utenti, nessuna password che possa trapelare, e nessun login.

Nessuna pubblicità, nessun tracciamento pubblicitario, nessun SDK di analisi di terze parti.

Esiste una lettura cloud facoltativa, ed ecco esattamente cosa fa. Due modalità, entrambe disattivate finché non le attivi:

1. La tua chiave API. Fornisci una chiave OpenAI o Google Gemini; la lettura viene addebitata sul tuo account e va direttamente dal tuo dispositivo a quel fornitore.
2. Lettura ospitata, inclusa in Pro. Pennywick gestisce un server che verifica il tuo acquisto firmato da Apple, conta il tuo limite mensile e inoltra la richiesta a un fornitore di modelli.

In entrambi i casi viene inviato solo il testo estratto dallo scontrino — mai la foto. Il testo non viene conservato né registrato. Il server ospitato conserva solo un conteggio di quanti scontrini hai fatto leggere questo mese, indicizzato tramite un hash irreversibile di un identificatore di abbonamento Apple. Continua a non esserci account né login: la transazione App Store firmata funge da credenziale.

Vale la pena dirlo esplicitamente perché il marketing di Pennywick affermava un tempo "nessun server", e questo ha smesso di essere vero quando è arrivata la lettura ospitata. L'affermazione accurata è: nessun account, nessun accesso bancario, nessuna copia dei tuoi dati finanziari leggibile dallo sviluppatore, e niente lascia il tuo dispositivo finché non lo attivi tu.

L'esportazione non è mai limitata. CSV e backup completo, esportazione e ripristino, indipendentemente da cosa hai acquistato. Tenere in ostaggio i dati finanziari di qualcuno contraddirebbe l'intera premessa.

Tutti i dettagli sono nell'informativa sulla privacy, che nomina ogni destinatario.

In breve

La scansione degli scontrini è sicura quanto lo è l'architettura dell'app, e l'architettura si può conoscere se fai le domande giuste. Scopri dove avviene la lettura, se vengono inviate foto o solo testo, se esiste un account, e dove si sincronizza il tuo registro. Un'app che non sa rispondere a queste domande in modo chiaro ti ha già detto qualcosa.

Approfondisci: app di budget senza accesso bancario e come scansionare gli scontrini su iPhone.