Gdzie stoją Twoje dane, gdy skracasz link — i czemu to ważne

Klikasz "skróć". Dostajesz ładny, krótki adres. I w tej samej sekundzie, gdzieś na drugim końcu świata, pojawia się wiersz w bazie: oryginalny URL, data, czasem Twoje IP, czasem ciasteczko. Prawie nikt o to nie pyta, więc zapytam ja: gdzie są dane skracarki, której właśnie użyłeś?

Bo skrócony link to nie jest "tylko link". To wpis w cudzej bazie, na cudzym serwerze, pod cudzym prawem.

To, czego nie widać pod krótkim adresem

Pod spodem działa proste mapowanie: abc123 → https://twoja-strona.pl/oferta. Ktoś musi tę tabelę trzymać na dysku. W konkretnym data center. I rzadko kończy się na dwóch kolumnach.

Zwykle dochodzą kolejne:

• czas każdego kliknięcia,
• IP klikającego,
• user-agent (przeglądarka, system),
• referrer, czyli skąd przyszedł,
• identyfikator z ciasteczka, jeśli serwis je sadzi.

To już nie spis linków. To dziennik ruchu. Twojego i każdego, kto kliknął. Pytanie "gdzie są dane skracarki" sprowadza się więc do innego: kto ten dziennik czyta i co mu wolno z nim zrobić.

Lokalizacja serwera to decyzja prawna, nie techniczna

Serwer w USA podlega m.in. CLOUD Act. Amerykański organ może sięgnąć po dane, nawet jeśli fizycznie leżą poza Stanami, byle firma była amerykańska. Serwer w UE działa pod RODO: prawo wglądu, prawo do usunięcia, podstawa prawna pod każde przetwarzanie.

Brzmi abstrakcyjnie? To konkret. Wrzucasz skrócony link do oferty w firmowym newsletterze. Klika 4000 osób. Jeśli skracarka loguje pełne IP i trzyma je w kraju trzecim bez zabezpieczeń, współodpowiedzialny za ten transfer jesteś Ty. Nadawca. Nie skracarka.

W cutty serwery stoją w UE, a IP jest hashowane, nie zapisywane jawnie. Statystyki dostajesz (ile kliknięć, z grubsza jaki kraj, jakie urządzenie), ale bez profilu konkretnej osoby. Liczysz ruch, nie ludzi.

Sprawdź to sam, zajmie minutę

Nie musisz nikomu wierzyć na słowo. Zobacz, gdzie naprawdę odpowiada serwer:

# gdzie wskazuje domena skracarki
dig +short skracarka.example

# czyje to IP i z jakiego regionu
whois 203.0.113.10 | grep -i -E "country|netname|org"

Nagłówki też potrafią zdradzić CDN i region:

curl -sI https://skracarka.example/abc123 | grep -i -E "server|cf-ray|location"

A potem dwie sekcje polityki prywatności, które prawie nikt nie otwiera. Retencja: jak długo trzymają logi? "Bezterminowo" to czerwona lampka. Podmioty trzecie: czy dane idą do zewnętrznego analytics? Jeśli tak, doszedł kolejny serwer w kolejnej jurysdykcji.

Reszta sygnałów ostrzegawczych:

• brak adresu firmy i kraju przetwarzania,
• "darmowe na zawsze" bez żadnego modelu zarobku (zgadnij, czym jest produkt),
• pełne IP w publicznych statystykach,
• third-party analytics doklejony do każdego przekierowania.

Dlaczego to się opłaca

Dobry wybór skracarki nic nie kosztuje, a rozwiązuje problem u źródła. Gdy cel linku da się podmienić, a IP jest hashowane, trzymasz w garści dwie rzeczy naraz: dokąd link prowadzi i co zostaje po kliknięciu.

Przykład. Drukujesz ulotkę z kodem QR, który prowadzi przez skrócony link. Ulotka żyje miesiącami. Za pół roku zmieniasz landing page — podmieniasz cel jednego linku, QR działa dalej, zero przedruku. A dane skanujących nie wędrują do kraju trzeciego, bo zostały w UE i bez surowego IP.

To nie paranoja. To zwykła wiedza, gdzie są dane skracarki, której używasz, i wybór takiej, która trzyma je tam, gdzie chcesz. Tyle.