Relatório de transparência: Rede de dispositivos com consentimento prévio da Massive

Todos os dispositivos na rede da Massive estão lá porque alguém optou por participar, e não porque um dispositivo tenha sido comprometido, incluído em um pacote sem aviso prévio ou capturado por um script. Esse é o único fato que este relatório se propõe a comprovar com detalhes, em vez de afirmar como um slogan.

Principais conclusões

• A rede da Massive começou como um SDK de monetização de aplicativos: os usuários trocavam a capacidade computacional ociosa de seus dispositivos por recursos premium dentro dos aplicativos que já utilizavam, sendo que essa troca era divulgada antecipadamente.
• A rede agora opera em dispositivos reais de consumidores em mais de 195 países, sendo medida em dispositivos ativos diariamente (~1,3 milhão de DAU), em vez de uma contagem estática de IPs, uma vez que os IPs residenciais mudam constantemente.
• A rede possui certificação SOC 2, conformidade com o GDPR e certificação AppEsteem, com uma trilha de auditoria completa, desde o dispositivo de origem até a solicitação individual.
• A integridade do fornecimento, e não a privacidade, é o verdadeiro diferencial: o registro de auditoria por trás do programa SOC 2 da Massive é o que permite que a adesão voluntária de um dispositivo seja efetivamente rastreada e verificada, e não a alegação de que não existem registros algum.

De onde a rede realmente surgiu

Massive não começou como uma empresa intermediária que buscava fontes de propriedade intelectual a posteriori. Ela começou como uma SDK de monetização: um aplicativo poderia oferecer aos usuários algo (recursos premium, um plano sem anúncios, moeda extra no aplicativo) em troca da contribuição do dispositivo do usuário com largura de banda ociosa para a rede. O usuário viu a oferta, concordou com ela e continuou usando o aplicativo. Esse é o ponto de origem de todos os dispositivos atualmente na rede de proxies residenciais.

Essa história de origem é também o que confere significado ao histórico de conformidade por trás dela. Cada dispositivo pode ser rastreado por meio de uma troca de SDK divulgada, e não por meio de um conjunto de endereços IP anônimos criado posteriormente. O registro de auditoria que torna essa rastreabilidade possível faz parte do programa de segurança da Massive, auditado pela SOC 2, listado em seu Centro de Confiança público. O que importa é que esses controles associem um dispositivo real a um evento de consentimento real, e não uma afirmação genérica de que não existem registros.

O que “optou por participar” realmente significa, do ponto de vista técnico

O consentimento, neste caso, não é uma caixa de seleção escondida em um documento de termos de serviço que ninguém lê. É parte integrante da própria forma como um dispositivo se conecta à rede: o aplicativo que integra o SDK divulga a troca, o usuário a aceita para desbloquear o que quer que o aplicativo esteja oferecendo, e o dispositivo só participa da rede enquanto esse aplicativo permanecer instalado e o usuário mantiver essa configuração ativa. Desinstale o aplicativo e o dispositivo sai da rede. Não há nenhuma etapa separada em que o usuário precise saber que fazia parte de uma rede de proxy residencial com esse nome; ele sabia que estava trocando recursos do dispositivo por algo que o aplicativo oferecia, e essa é a transação real que está sendo auditada.

É também por isso que a Massive não se baseia no número de dispositivos. A métrica que a Massive realmente monitora e divulga é a de dispositivos ativos diários, atualmente em torno de 1,3 milhão, pois esse número reflete participantes reais e distintos, em vez de uma contagem de endereços que oscila para mais ou para menos com base no comportamento da rede, o que não tem nada a ver com a oferta.

O histórico de conformidade por trás da alegação de origem

Uma história de origem baseada no consentimento só tem valor na medida em que haja uma trilha de auditoria capaz de comprová-la; portanto, eis o que a corrobora:

• Auditoria SOC 2. A infraestrutura e as práticas de tratamento de dados da Massive são auditadas de forma independente de acordo com a estrutura SOC 2, a certificação padrão de terceiros que atesta como um provedor de serviços gerencia os dados dos clientes e a segurança do sistema. A certificação e os controles de registro de auditoria a ela associados estão listados no site da Massive Centro de Confiança público.
• Conformidade com o RGPD. O tratamento de dados da rede atende aos requisitos do GDPR, o que é de importância direta para qualquer cliente que atenda usuários da UE ou que, por sua vez, atue no mercado da UE.
• Certificação AppEsteem. AppEsteem é um órgão de certificação independente dedicado especificamente a verificar se o software se comporta da maneira declarada aos usuários finais. A certificação, neste caso, consiste em uma verificação direta, realizada por terceiros, da alegação de consentimento, e não em uma autodeclaração.
• Registro completo de auditoria, desde a origem até a solicitação. Cada solicitação que transita pela rede pode ser rastreada até um dispositivo específico que tenha dado seu consentimento, e não até um conjunto de endereços IP anônimos e sem responsabilização.

Nenhum desses é um selo de marketing obtido a posteriori. Trata-se dos mecanismos específicos que permitem à Massive afirmar que um dispositivo está cadastrado e que tal afirmação tem um significado verificável. Abordamos toda a mecânica dessa cadeia de consentimento em apresentando a web por meio do consentimento, e os detalhes da certificação em O que as equipes de conformidade devem perguntar a um provedor de serviços de proxy.

Por que se trata de uma denúncia recorrente e não de uma reclamação pontual

Uma declaração de fornecimento feita uma única vez e nunca revisitada perde valor com o tempo, e não o contrário. As redes crescem, as integrações de SDK mudam e as certificações de conformidade são renovadas de acordo com seus próprios cronogramas. Esse formato de relatório de transparência existe para que a declaração de fornecimento seja constantemente atualizada com números atuais, em vez de ficar obsoleta como uma linha estática na página “Sobre” que ninguém mais consulta.

O que isso significa caso o senhor esteja avaliando um fornecedor de acesso à web

Se o senhor é um comprador preocupado com a conformidade, uma equipe corporativa ou qualquer profissional da área financeira ou de inteligência contra ameaças que esteja avaliando um fornecedor de proxy ou de acesso à web, a expressão “de origem ética” deve ser uma pergunta para a qual o senhor possa realmente obter uma resposta, e não uma frase que o senhor aceite sem questionar. O mecanismo de origem, a certificação e a rastreabilidade são os três aspectos que vale a pena perguntar diretamente a qualquer fornecedor: qual é, de fato, o mecanismo de origem (uma adesão voluntária baseada em SDK é um modelo diferente de um acordo de pacote não divulgado), quais auditorias e certificações de terceiros o respaldam e se o fornecedor é capaz de rastrear uma solicitação específica até um dispositivo específico que tenha dado consentimento. Um fornecedor capaz de responder a todas as três perguntas possui uma alegação de “origem ética” que o senhor pode realmente verificar. Nosso artigo complementar, o que “de origem ética” realmente significa para uma rede de acesso à internet, aborda essa avaliação de forma mais aprofundada.

Conclusão

Na Massive, o abastecimento ético não é apenas uma frase na página inicial. Trata-se de um mecanismo de adesão voluntária baseado em SDK, uma rede com cerca de 1,3 milhão de dispositivos ativos diariamente e uma estrutura de conformidade (SOC 2, GDPR, AppEsteem) criada especificamente para tornar essa afirmação sobre o abastecimento verificável, em vez de apenas presumida. Este relatório tem como objetivo reiterar isso com números atualizados, de forma recorrente, em vez de ser uma ação pontual.