Por que o Site Pulse só pode ler o seu Analytics

Quando você conecta o Google a um app, o Google mostra uma lista do que o app quer. Vale a pena lê-la, porque ela define o que o app poderia fazer com a sua conta. A lista do Site Pulse é curta de propósito, e este artigo explica cada item dela, onde o seu login fica guardado depois e o único lugar em que os seus dados passam por um servidor nosso.

As permissões, uma a uma

O Site Pulse pede quatro coisas ao Google:

• Acesso somente leitura ao Google Analytics (analytics.readonly). É a que importa. Ela permite que o Site Pulse leia suas propriedades do GA4 e os relatórios delas: visitantes ao vivo, hoje e o mês, países, páginas e eventos. Não permite alterar nada.
• OpenID (openid), e-mail e perfil. São as permissões de login padrão do Google. Elas deixam o app saber qual conta do Google você acabou de conectar, para distinguir várias contas e mostrar qual é qual.

Essa é a lista inteira. Nenhum acesso ao Gmail, ao Drive, à Agenda, aos seus contatos ou a qualquer coisa fora do Analytics.

O que “somente leitura” exclui

O somente leitura é imposto pelo Google, não por uma promessa no nosso código. Com essa permissão, o Google simplesmente recusa qualquer pedido para alterar a sua conta. O Site Pulse não pode:

• alterar configurações da propriedade, fluxos de dados ou retenção;
• adicionar ou remover usuários, nem mudar a função de ninguém;
• criar, editar ou excluir eventos, eventos principais, públicos-alvo ou relatórios;
• apagar dados.

Um app de números ao vivo só precisa ler, então só pede para ler. O que quer que aconteça, o máximo que essa permissão autoriza é olhar.

Onde o seu login fica

Depois que você faz login, o Site Pulse guarda seus logins no Chaveiro do seu dispositivo, o mesmo repositório seguro que a Apple usa para senhas. Eles viajam entre os seus dispositivos pelo Chaveiro do iCloud, e é por isso que as contas conectadas no Mac aparecem também no iPhone.

Suas escolhas de sites, como quais propriedades você acompanha, seus nomes curtos e cores, viajam pelo iCloud.

Quem fala com quem

• iPhone, iPad e Mac leem seus números direto do Google. No Mac, o Site Pulse conversa apenas com o Google, nunca com um servidor nosso.
• O Apple Watch recebe os números do seu iPhone.
• A Apple TV faz login pareando com o seu iPhone: a TV mostra um QR code, você o lê e suas contas passam pela rede local, criptografadas, sem nenhum servidor no meio.
• Os widgets no iPhone e no iPad com mais de 15 minutos buscam números novos no Google por conta própria.

O único servidor: as Atividades ao Vivo

Uma Atividade ao Vivo continua se atualizando a cada minuto enquanto o Site Pulse está fechado. Um app fechado não consegue fazer isso sozinho, então o servidor do Site Pulse faz: ele lê seus números ao vivo no Google a cada minuto e os envia à sua Atividade ao Vivo por meio da Apple.

Para isso, o servidor guarda duas coisas:

1. O ID da sua conta do Google, um número que o Google usa para identificar a conta. Nunca o seu endereço de e-mail.
2. Um refresh token, a permissão somente leitura que lhe permite pedir números novos ao Google. Ele é criptografado com um serviço gerenciado de chaves antes de ser armazenado.

Você pode remover os dois a qualquer momento com Delete my Live Activity data no Site Pulse. Se você parar de usar Atividades ao Vivo, os dados são apagados após 30 dias.

Retomando o acesso

Você pode retirar o acesso do Site Pulse pelo lado do Google quando quiser. Na sua Conta do Google, abra as configurações de segurança, encontre a lista de apps e serviços de terceiros com acesso à sua conta, escolha o Site Pulse e remova o acesso dele. O app pedirá que você faça login de novo na próxima vez que precisar dos seus números, e uma Atividade ao Vivo em andamento dirá “paused · reconnect in Site Pulse”.

Os detalhes completos estão na política de privacidade. Se algo não estiver claro, a página de Suporte é o lugar para perguntar.