Meldingen met een geofence

Teken een cirkel zonder te weten wie erin zit

Je zet een middelpunt en een straal op een kaart, en de cirkel reist mee met de melding. De telefoon van elke abonnee ontvangt hem en vergelijkt lokaal zijn eigen positie, en beslist dan of hij hem toont. Er wordt nooit een positie van een abonnee naar ons gestuurd; daarom is dit een ontwerpfeit en geen belofte: er is nergens een kolom die er een zou kunnen bevatten. Daar volgen twee dingen bewust uit. Een geofence beperkt altijd alleen — hij kan niemand toevoegen die zich niet abonneerde. En bij twijfel toont hij: een telefoon die niet kan bepalen waar hij is, laat de melding zien in plaats van hem te verbergen, want een evacuatie missen is erger dan er een zien die voor de volgende straat bedoeld was.

Niets waarmee iemand te identificeren is

Abonneren vraagt geen account, geen e-mailadres en geen telefoonnummer. Wat een abonnement werkelijk bevat is een willekeurige identificatie die de app zelf aanmaakte, een platform, een appversie, een taal en een tijdzone — grof genoeg dat honderden miljoenen mensen dezelfde delen. Geen naam, geen contactgegeven, geen advertentie-identificatie en geen locatie, en er is geen export waarmee een beheerder er een zou kunnen opbouwen. Je kunt geen lijst lekken die je nooit verzameld hebt.

Drie cijfers, en het ene dat we niet drukken

Je krijgt: hoeveel toestellen bereikt konden worden op het moment dat je verstuurde, hoeveel telefoons meldden dat ze de melding openden, en hoeveel bevestigden. Wat je niet krijgt is een bezorgpercentage, want er bestaat nergens in dit product een bezorgregistratie per toestel — en precies die afwezigheid maakt dat versturen naar vier miljoen mensen evenveel kost als naar vier. Lezingen en bevestigingen zijn zelfrapportages van toestellen die ervoor kozen die te sturen, en ze staan zo benoemd in plaats van vermomd als ontvangstbewijs.