Ironman Virtual Club лишился поддержки Strava: как и почему это произошло?

Сегодня всем пользователям сервиса Ironman VС на почту пришло уведомление, гласящее о том, что Strava больше не поддерживает синхронизацию тренировок с Ironman VC. Это значит, что тренировки в IVC теперь можно грузить напрямую через приложения устройств: Garmin, Suunto, Polar и другие. Рэй dcrainmaker провел большое расследование того, что же произошло между компаниями и кто виноват. Перевели самое интересное.

Почему это произошло? Если коротко: Ironman Virtual Club нарушили соглашение API ( Application Programming Interface – интерфейс программирования приложений, позволяющий сервисам взаимодействовать, получать доступ и обмениваться данными).

Дело в том, что разработкой IVC занималась французская компания-подрядчик/партнер Sport Heroes (с которой и соединяется аккаунт Strava). Их клиентами среди прочих являются Air France и UNICEF, всего порядка 1.2 миллиона пользователей суммарно на различных платформах.

API-интерфейс Стравы используется примерно 41 000 приложений, и API для каждый из них уникальный. А Sport Heroes решили не запрашивать отдельный, уникальный ключ у Strava. Вместо этого они использовали свой существующий уже 6 лет ключ для всех компаний и клиентов.

В API-соглашении Strava есть строка:

“You are solely responsible for the confidentiality of your API Token and may not share your API Token with any other developer or use it for more than one application or service.”

“«Вы несете единоличную ответственность за конфиденциальность своего токена API и не имеете права передавать свой токен API любому другому разработчику или использовать его для более чем одного приложения или сервиса».

Вот где, по мнению Strava, произошло нарушение GDPR (Общий регламент по защите данных) и CCPA (Закон Калифорнии о конфиденциальности данных) со стороны Sport Heroes.

Рэй Dcrainmaker сделали такие иллюстрации, максимально доступно поясняющие как это работает:

И как это должно работать в идеальном мире:

Еще Strava говорит, что если вы отмените синхронизацию SH со Strava, то все активности не удалятся, хотя должны, если бы SH следовали правовому регламенту, касающегося данных пользователей. Они отмечают, что если вы потом заново соедините сервисы, то активности снова появятся в профиле. Хотя быть их не должно опять же, согласно terms of service.

С другой стороны 60 000 пользователей IVC согласились с условиями, когда регистрировались и понимали, на что подписываются.

Как это происходило

Первые разговоры о сотрудничестве IVC со Стравой были еще осенью и последние полгода до 29 марта у Стравы не было вопросов о технических стороне, касающейся API. Понятно, что выдав 41 000 API-токенов разным компаниями и кодерам-одиночкам, Страва не в состоянии отследить каждого - кто и как ими распоряжается и что делает с данными пользователей. Но к крупным игрокам определенно есть внимание. И его не могло не быть к IVC, который стартовал 29 марта. В Strava тут же поняли, что API не уникален и обратились к SH, предлагая новый уникальный API-токен, чтобы было простым и быстрым решением в данной ситуации. Обмен токенами в таких ситуациях – привычное дело, делается и решается все, как правило, быстро.

Но что-то со стороны SH пошло не так, и 6 апреля Strava дали им 10 дней, чтобы внести изменения в работу своего сервиса. И теперь мы понимаем, что в эти 10 дней SH ничего не предприняли. Или просто не смогли, не захотели.

Представители SH говорят, что несколько раз пытались выйти на связь со Стравой и вышли лишь 15 апреля. Во время этого “технического звонка” на самом деле не решались технические детали (обе стороны согласны с этим). Strava предложили SH хотя бы экстренно исправить механику работу с ними, а потом приступить к другим клиентам. SH взывали обратить внимание на деловые гарантии и обязательства от Strava. В итоге 15 апреля в 22:35 по центрально-европейскому времени SH отправили Страве депешу, в которой говорились, что они технически не успевают уладить свои проблемы к 16 апреля, и что им нужно еще 4 недели.

Strava вырубили поддержку SH утром 16 апреля.

Рэй говорит, что из разговора с двумя сторонами, можно лишь предположить истинные мотивы компаний. Он считает, что SH видели пример Relive и понимали, к чему клонит Strava. С другой стороны Strava недовольны компаниями, нарушающими GDPR после фиаско Relive. Вероятно, обе стороны боялись худшего, и ни одна из сторон, казалось, не хотела отступать.

В общем, 16 апреля порядка 200-300 тысяч пользователей, соединяющих Strava и SH, потеряли возможность это делать. Strava тут же обновили свою страницу поддержки, объясняя что они делают и почему они это делают.

Их СЕО Майкл Хорват также прокомментировал ситуацию:

“Мы являемся большими поклонниками всех способов, которыми спортсмены в нашем сообществе вдохновляют и мотивируют друг друга прямо сейчас. Мы работаем с нашими партнерами, чтобы помочь проводить виртуальные гонки для спортсменов, когда другие гонки невозможны. Strava ориентирована на спортсменов, которые получают удовольствие и безопасно пользуются нашей платформой, и мы прекратили доступ Sport Heroes к нашему API, когда узнали, что они не предоставили спортсменам прозрачность или четкий выбор относительно того, куда направляются их данные, и не предприняли никаких действий после того, как мы попросили их решить проблему. Мы хотим найти способы продолжить работу с Sport Heroes в будущем, но сначала они должны исправить проблему со своей стороны».

При этом сервисы по-прежнему соединены друг с другом, просто между ними не происходит обмен данными. Вернуть обмен данными будет просто, если SH внесут требуемые Стравой изменения. Кстати, SH тоже обновили свой сайт, уведомив гостей о том, что со стороны Strava есть некие технические проблемы, которые мешают нормальной синхронизации данных.

Сам Ironman отреагировал письмом всем своим пользователям, призывая использовать другие платформы. Рэй оценивает поведение каждой из трех стороны следующим образом:

Strava: довольно политкорректное, спорное по аспектам консолидации данных SH

Sport Heroes: легко объяснить с точки зрения технических деталей, спорное в зависимости от точки зрения, кто и что должен исправлять

Ironman: всех к черту! Потеряли суть происходящего.

IM не прав хотя бы потому, что в своем письме написали “Страва утром сообщила нам”. На самом деле Страва сообщила им 29 марта. Получается, что IM этим письмом подставляют SH и подвергают их действия сомнению?

Как исправить?

Со стороны Strava все выглядит просто – они лают им уникальный API-токен, те успешно его внедряют и возвращаются.

Для Sport Heroes это означает переработку всей их платформы, уже 6 лет работающей с одним единственным API-токеном для всех. Это огромная техническая задача, на решение которой, по словам их операционного директора Пауля-Эмиля Сааба, уйдет примерно 4 недели. Им также потребуются 15-20 новых токенов для их других клиентов. Страву это не особо касается, а вот для SH это означало бы внушительную реорганизацию.

И с их точки зрения – это того не стоит.

Рэй говорил 16 апреля с Паулем-Эмилем об этом, и тот рассказал, что им нет необходимости менять всю свою архитектуру для поддержки Strava. Он говорит, что в настоящее время пользователи могут заливать свои активности через Garmin, Suunto, Polar, Adidas, Nike, UnderArmour, TomTom и многих других устройств.

Иными словами, не ожидайте исправления в ближайшее время.

Кто здесь прав?

Или даже так – кто здесь больше прав? Правы по-своему все (кроме Ironman). Нет сомнений, что SH нарушили API-соглашение Strava.

В то же время Sport Heroes – не новая платформа, и они, конечно, не маленькие с 1.2 млн пользователей. В общем, достаточно не маленькая компания, чтобы засветиться на радаре Strava и начать сотрудничать с ними прошлой осенью. Со Стравой, которая не замечала (или не обсуждала) никаких нарушений с технической точки зрения и API до конца марта.

Могли бы стороны договориться о продлении сроков решения проблемы с чьей-либо стороны? Только в том случае, если бы достаточно доверяли друг другу. И точно без помощи Ironman, который своим утренним письмом как бы подвел итог всей этой ситуации.

И, как обычно, в целях защиты данных пользователей сами пользователи страдают. True story.