ES2911073T3 - Método, sistema y programas informáticos para proporcionar un modelo de usuario con conocimiento de ubicación que conserva la privacidad del usuario - Google Patents

Abstract

Método para proporcionar un modelo de usuario con conocimiento de ubicación que conserva la privacidad del usuario, comprendiendo el método: a) recopilar, por un módulo de captura de sensor, datos de sensor a partir de una pluralidad de sensores instalados en un dispositivo informático móvil de un usuario; b) procesar, por un ordenador, dichos datos de sensor recopilados de una manera anónima agrupando los datos de sensor recopilados en diferentes puntos calientes, incluyendo dichos puntos calientes diferentes zonas de diferente importancia para dicho usuario, y comprendiendo cada uno de los puntos calientes un radio dado; c) etiquetar, por el ordenador, cada uno de los puntos calientes con un identificador único que corresponde a una zona predeterminada; y d) generar, por el ordenador, un modelo de usuario con conocimiento de ubicación basándose en dichos identificadores, de modo que dicho modelo de usuario con conocimiento de ubicación generado es adecuado para proporcionar recomendaciones al usuario a través del dispositivo informático móvil, realizar estudios y/o proporcionar una entrada a otros modelos de usuario, en el que el método comprende además: realizar las etapas a)-d) para una pluralidad de usuarios diferentes activos en los mismos puntos calientes, de tal manera que se genera un modelo de usuario con conocimiento de ubicación para cada uno de la pluralidad de usuarios diferentes; calcular, por el ordenador, una semilla y usar dicha semilla calculada para crear automáticamente y cifrar una clave sal aleatoria; determinar, por el ordenador, una técnica de resumen criptográfico que va a usarse para ofuscar los diferentes puntos calientes, y transmitir al dispositivo informático móvil de cada usuario de dicha pluralidad de usuarios diferentes la clave de sal aleatoria cifrada y la técnica de resumen criptográfico determinada; y aplicar, por cada dispositivo informático móvil, la técnica de resumen criptográfico con la clave de sal a cada punto caliente y transmitir un resumen criptográfico al ordenador, y en el que los datos de sensor recopilados incluyen uno o más de los siguientes: datos de acelerómetro; datos de actividad; datos sobre aplicaciones instaladas en el dispositivo informático; datos sobre un nivel de batería del dispositivo informático; datos sobre balizas de Bluetooth en el punto caliente; registros de llamadas; datos sobre el dispositivo informático incluyendo modelo y/o nombre de marca; datos que indican si unos auriculares están enchufados o no; registros de Internet y/o historial de navegación; nivel de iluminación actual; datos de ubicación; si está reproduciéndose música o no; nivel de ruido ambiental; datos de podómetro; datos de red sobre el dispositivo informático incluyendo itinerancia, operador, torre celular, TX/RX de datos, móvil/WiFi, modo de avión y/o país; datos sobre lugares o tipo de establecimientos cerca del punto caliente; datos que indican si una pantalla del dispositivo informático está encendida/apagada; registros de SMS; datos que indican transiciones de actividad del usuario; y/o datos que indican dinámica de caminar del usuario.

Description

DESCRIPCIÓN

Método, sistema y programas informáticos para proporcionar un modelo de usuario con conocimiento de ubicación que conserva la privacidad del usuario

Campo técnico

Esta invención se refiere a un método, y a un sistema y programas informáticos correspondientes, para garantizar la privacidad del usuario para datos de sensor recopilados a partir de un dispositivo informático móvil tal como un teléfono inteligente.

Antecedentes de la invención

Recopilar grandes cantidades de datos a partir de dispositivos informáticos personales y además adquirir información rica sobre individuos conlleva naturalmente el riesgo de invadir la privacidad de la persona. Independientemente del hecho de que el usuario esté de acuerdo con el consentimiento que explica en detalle los datos que están recopilándose y su uso previsto, GDPR anima encarecidamente a la minimización de datos y, de manera más importante, prohíbe la recopilación de datos que no se requieren para suministrar el servicio. Poder obtener los mismos resultados y/o precisión de modelado con menos datos resulta enormemente beneficioso para cualquier servicio que depende de datos ya que disminuye el riesgo de exponer información personal al tiempo que se estimula la confianza del usuario y la percepción de control.

Se conocen algunas aplicaciones que aprovechan sensores de teléfono para suministrar o mejorar sus servicios, por tanto con frecuencia se basan en datos confidenciales de privacidad. Una característica común es el geoperimetraje en el que las aplicaciones pueden interaccionar con el mundo físico para mejorar la implicación y puntualidad de la interacción con un usuario.

Sibren Isaacman et al., en “Identifying Important Places in People's Lives from Cellular Network Data”, en: “Image Analysis and Recognition : 11th International Conference, ICIAR 2014, Vilamoura, Portugal, October 22-24, 2014, Proceedings, Part I; IN: Lecture notes in computer science , ISSN 1611-3349; Vol. 8814”, 1 de enero de 201, dan a conocer una técnica para identificar lugares personales importantes y patrones de movimiento basándose en datos de red celular (en particular, registros de datos de llamadas), los datos de red celular se analizan de una manera anonimizada.

Por tanto, se necesitan nuevas técnicas/soluciones para procesar información personal de una manera más anónima, de modo que pueda compartirse la información con servicios de extremo posterior que pueden construir modelos de usuario avanzados y aplicar algoritmos de aprendizaje automático pero sin el riesgo de exponer información que pueda identificar de manera única al/a los usuario(s).

Descripción de la invención

La invención se define por la reivindicación 1 de método independiente, la reivindicación 6 de sistema independiente y la reivindicación 7 de medio legible por ordenador no transitorio independiente. En las reivindicaciones dependientes se definen detalles adicionales.

Según el método propuesto, los puntos calientes incluyen diferentes zonas de diferente importancia para el usuario. Los puntos calientes tienen un radio dado, iguales o diferentes unos con respecto a otros, que pueden oscilar entre unos pocos metros y varios kilómetros.

El módulo de captura de sensor puede residir en la capa de plataforma de la aplicación, lo que significa que hay una versión independiente para iOS™ y Android™. No obstante, el concepto no se limita a una plataforma específica y características similares pueden estar disponibles en otras plataformas móviles, sistemas incorporados (loT) o incluso en navegadores web.

En una realización, el procesamiento de los datos de sensor recopilados comprende además proporcionar al menos un sello de tiempo a cada punto caliente que indica el momento de tiempo en el que el usuario alcanzó el punto caliente.

En una realización, cada identificador único se cifra basándose al menos en una parte de las coordenadas de ubicación de la zona predeterminada.

Por tanto, la presente invención permite alcanzar un compromiso óptimo entre la potencia de modelado de usuario y el nivel de confidencialidad de datos. Además, la presente invención aumenta la confianza del usuario y disminuye el riesgo en caso de filtración de datos. Además, se logra un mayor cumplimiento con regulaciones de datos.

Breve descripción de los dibujos

Las ventajas y características anteriores y otras se entenderán más completamente a partir de la siguiente descripción detallada de realizaciones, con referencia a las figuras adjuntas, que deben considerarse de una manera ilustrativa y no limitativa, en las que:

La figura 1 representa gráficamente un modelo de punto caliente simple usado por la invención propuesta.

La figura 2 es una visualización simplificada de cómo diferentes puntos calientes están conectados entre sí. La transición desde 2-4 indica una muestra de ubicación omitida en un intervalo regular.

La figura 3 representa gráficamente un ejemplo en el que tanto el usuario 1 como el usuario 2 pasa una cantidad significativa de tiempo en un punto caliente anonimizado #56aa34532.

La figura 4 es un diagrama de flujo que ilustra el flujo general desde la detección de dispositivo hasta la recomendación mediante análisis.

La figura 5 es una ilustración de cómo el mismo dispositivo genera dos identificadores diferentes cuando se notifica al ordenador/servidor.

La figura 6 es una ilustración en la que el usuario A y B notifica el usuario C al servidor pero solo se conserva el identificador de fabricante.

La figura 7 es una ilustración de cómo el usuario A y el usuario B notificarán ambos el mismo identificador anonimizado para el usuario C.

La figura 8 ilustra cómo los ajustes de privacidad del usuario B 's eliminan al usuario A de los dispositivos notificados para el análisis dado que está fuera del intervalo predefinido.

Descripción detallada de realizaciones preferidas

La presente invención se centra en la conservación de la privacidad mientras que todavía permite la recopilación de datos de sensor y el modelado de usuario. Las siguientes descripciones se centran en datos de sensor que pueden exponer posiblemente información privada y cómo puede anonimizarse la misma sin perder la capacidad de procesar los datos de una manera personalizada.

El objetivo de la presente invención es construir un buen modelo de usuario que puede ser anónimo al 100% usando datos que están anonimizados mientras que todavía son igual, o casi igual, de relevantes que sus homólogos no invasivos de la privacidad.

Subir continuamente información de ubicación para un usuario expone mucha información personal; por otro lado, proporciona una información rica sobre las actividades diarias de los usuarios. Con el fin rede reducir el riesgo de exposición y conservar la privacidad del usuario, la presente invención propone un concepto denominado “punto caliente” (es decir zonas de diferente importancia para el usuario). El punto caliente funciona de tal manera que, para cada ubicación obtenida a partir del dispositivo informático móvil del usuario, la compara con una lista de zonas almacenadas en memoria caché de manera local dentro de un determinado radio y, si hay una correspondencia anterior, se aumenta el número de “coincidencias” en esa zona. El beneficio de esto es que no se requiere una monitorización continua; obteniendo por el contrario una ubicación a intervalos regulares o bastante regulares se mejora la fiabilidad de la importancia del punto caliente.

Como ejemplo, el usuario A pasa la mayor parte de su tiempo en el domicilio o en el trabajo y tiene un desplazamiento de 30 minutos entre medias. Un día simplificado en la vida del usuario A es el siguiente:

07:00 Despertarse

08:00 Salir hacia el trabajo

08:30 Llegar al trabajo

17:00 Salir del trabajo

17:30 Llegar al domicilio

23:00 Acostarse

Con un enfoque que monitoriza de manera continua la ubicación exacta del usuario A, se rastreará su paradero exacto a lo largo del tiempo y permanecerá en el extremo posterior. Sin embargo, si el módulo de captura de sensor antes de subir los datos para su procesamiento usa un enfoque de punto caliente, las actividades del usuario A se agruparán en zonas de diferente importancia (véanse las figuras 1 y/o 2).

Ahora, un algoritmo de aprendizaje automático puede detectar de manera bastante fácil un patrón a partir de este caso simplificado, etiquetando el punto caliente 1 como domicilio del usuario A, el punto caliente 2 como lugar de trabajo del usuario A y los puntos calientes 3-5 y puntos intermedios tales como desplazamiento.

Además, en una realización, si el identificador de punto caliente se notifica en combinación con un sello de tiempo, se mejora adicionalmente la granularidad dado que esto permitirá monitorizar la transición entre puntos calientes permitiendo simular los flujos de usuario sin exponer detalles de ubicación.

Dependiendo de la realización puede requerirse/desearse más o menos precisión y con el modelo de punto caliente el usuario puede estar en control de esto. Esto puede lograrse exponiendo una opción a nivel de aplicación o de usuario que controla el tamaño del punto caliente.

Si se necesita una precisión fina, por ejemplo para una aplicación de bienestar mental que necesita saber si el usuario está saliendo de su domicilio en absoluto, el radio de punto caliente debe ser relativamente bajo para poder determinar si el usuario está en su domicilio o en otro punto caliente. Para un fin más genérico, puede ser suficiente tener un radio de punto caliente más grande, por ejemplo si necesita detectarse si el usuario está desplazándose al trabajo o pasando el fin de semana fuera sin exponer el lugar, entonces un punto caliente del tamaño de una ciudad será más que suficiente. En ambos casos, nunca se compromete la ubicación exacta, pero tener la opción de ajustar la granularidad puede ofrecer más tranquilidad para el usuario.

En una realización, el punto caliente simplemente se etiqueta o identifica con un identificador que es específico para cada usuario, es decir, los usuarios A, B y C tendrán los puntos calientes 0, 1, 2 y así sucesivamente.

En otra realización, el identificador se cifra adicionalmente basándose al menos en una parte de las coordenadas de ubicación de la zona predeterminada. En este caso, el ordenador podrá correlacionar comportamientos, movimientos, etc., entre usuarios activos en los mismos puntos calientes. También puede usarse para concluir si usuarios que pasan mucho tiempo en zonas similares también comparten comportamientos, problemas, etc., similares.

Para muchos servicios, desarrollar modelos de comportamiento depende altamente de establecer relaciones estadísticas entre diferentes usuarios, lo cual requiere, por tanto, un mapeo entre sus puntos de datos recopilados, tales como la ubicación. Sin embargo, esto es imposible si diferentes usuarios tienen diferentes anotaciones de punto caliente. Con el fin de permitir esto al tiempo que todavía se conserva completamente la privacidad de los usuarios, en una realización, el ordenador crea de manera aleatoria una semilla para crear una clave de sal. Después, el ordenador crea automáticamente la clave de sal aleatoria (con un número predefinido de caracteres), la cifra y la almacena para su uso futuro. El ordenador también decide con respecto a una técnica de resumen criptográfico que va a usarse para ofuscar las ubicaciones, por ejemplo SHA-256 (obsérvese que el ordenador puede cambiar una técnica de resumen criptográfico a lo largo del tiempo para usar la más reciente), y comunica al dispositivo informático móvil del usuario la técnica de resumen criptográfico y la clave de sal cifrada (esta transferencia puede realizarse de la misma manera que el lado de servidor y de cliente intercambian la contraseña, sin que ninguno de los lados almacene el valor sin procesar). Finalmente, el dispositivo informático móvil aplica la técnica de resumen criptográfico con la clave de sal a cada ubicación y solo envía un resumen criptográfico al ordenador.

Diferentes ordenadores tendrán su propia clave de sal; por tanto, aunque se use accidentalmente la misma función de resumen criptográfico y los dos ordenadores se comuniquen entre sí, no pueden mapear a sus usuarios. Esto es extremadamente importante porque cruzar dos conjuntos de datos diferentes puede poner en peligro la privacidad del usuario de maneras impredecibles, y la ubicación, si se somete a resumen criptográfico de manera única, puede servir como clave para identificar a los usuarios.

Aplicación de terapia:

En una realización, en particular para una empresa que desarrolla una aplicación de terapia, la aplicación comprende varias partes: un programa de terapia interactivo diseñado para abordar los síntomas, un chat con el terapeuta o un grupo de apoyo anónimo y otras características. Ahora, aunque el usuario puede seguir el programa a un determinado ritmo o interaccionar con el terapeuta o el grupo de apoyo en ocasiones aleatorias, esto son todas acciones iniciadas por el usuario. También existe una necesidad de medidas preventivas y detección de anomalías en los patrones de movimiento del usuario como buen indicador de que algo puede estar mal.

En el caso del usuario A que tiene un estado que hace que sea increíblemente difícil salir del domicilio debido, por ejemplo, a ansiedad, depresión o mala imagen de sí mismo, sería muy valioso para la aplicación de tratamiento detectar de manera proactiva un comportamiento que pueda ser potencialmente perjudicial. Sin embargo, rastrear la ubicación y acción del usuario a un nivel detallado sería extremadamente invasivo de la privacidad y supondría grandes desafíos en la seguridad del almacenamiento de extremo posterior (o el almacenamiento del ordenador). Por otro lado, si se rastrea al usuario en puntos calientes anónimos y los algoritmos en el extremo posterior (es decir, en el ordenador) han aprendido dónde está el punto caliente del domicilio, entonces puede detectar fácilmente si el usuario no ha salido de esa zona de confort durante X días y, en este caso, notificar o bien al GP o bien al grupo de apoyo.

Como primera etapa, la aplicación puede consultar al usuario sobre el estado de salud percibido actual, después recomendar al usuario que de un paseo y, finalmente, “alertar” a los compañeros sobre una situación potencialmente de mala salud. Esto no expondrá en ningún caso el paradero exacto del usuario.

Como un ejemplo, la aplicación puede proporcionar un servicio para detectar signos tempranos de que un usuario va a experimentar una crisis de salud mental (tal como depresión, manía o similar). La bibliografía ha mostrado que los patrones de movilidad son factores de predicción importantes de las crisis inminentes. Sin embargo, se considera que usar ubicaciones sin procesar es extremadamente invasivo de la privacidad, y en particular los pacientes no se sienten cómodos compartiéndolas. Desde el lado de servicio, almacenar ubicaciones sin procesar supone requisitos adicionales, por ejemplo GDRP impone “altas” medidas de seguridad con las que es extremadamente difícil cumplir, particularmente para empresas más pequeñas (tales como seguridad física, registrar no solo el acceso electrónico al servidor sino autenticar a las personas que están en las inmediaciones físicas del servidor y conceder permisos especiales, etc.).

Almacenar puntos calientes en vez de ubicaciones sin procesar elimina los requisitos de seguridad de datos, al tiempo que todavía permite que los modelos incorporen el análisis de patrones de movilidad (por ejemplo, sabiendo que una secuencia de ubicaciones muy específicas es un factor de predicción de la crisis, el algoritmo puede tener la misma precisión con puntos calientes como en el caso de ubicaciones sin procesar).

Servicios de geoperimetraje:

En otra realización, si una aplicación suministra notificaciones a sus usuarios, el momento correcto es crucial para la implicación. Sabiendo en qué puntos calientes sus usuarios están más atentos durante periodos de tiempo específicos, el algoritmo de “momento correcto” puede funcionar por tanto sin necesidad de almacenar ubicaciones reales.

De la misma manera, si algunas características de la aplicación se basan en la proximidad de sus usuarios (por ejemplo, comprar/vender artículos en el vecindario); esta función puede funcionar sin los datos de ubicación sin procesar. Además, el concepto de puntos calientes soportará el caso en el que los usuarios establecen una granulometría diferente de ofuscación de ubicación (por ejemplo, 100 m frente a 1 km), al tiempo que indica la precisión en la interfaz.

Registros de navegador:

Tener acceso a los registros de navegación de Internet de un usuario proporciona un profundo conocimiento no solo de los hábitos de navegación de Internet sino también del tipo de contenido consumido, preferencias del usuario y gustos. Como se esperaba, muchos estudios mostraron que las ubicaciones y el historial de Internet son las categorías de datos con las mayores preocupaciones de privacidad.

Por tanto, en una realización, el mismo concepto de puntos calientes se aplica para la ofuscación de los registros de Internet, que representan el paradero en línea en contraposición a ubicaciones que representan el paradero en la vida real. Con el fin de aplicar la invención de la misma manera a las ubicaciones, la granularidad se define de la siguiente manera (obsérvese que la granularidad se definió basándose en distancias en el caso de uso de ubicación).

En primer lugar, se definen los siguientes niveles de visibilidad de los registros de Internet:

1) Sellos de tiempo de acceso a http(s) (es decir, no hay ninguna información sobre el dominio solicitado).

2) Realizar el resumen criptográfico solo del nombre de dominio y enviarlo con el servidor (por ejemplo cnn.com compartido como “ah13f;323f239tu2foiewewf”, de manera única para el mismo servicio).

3) Realizar el resumen criptográfico de la dirección hasta el segundo resumen criptográfico “/” y compartir el resumen criptográfico con el servidor (por ejemplo, cnn.com/sport/ compartido como “24otih3094tfe2fij42”, de manera única para el mismo servicio).

4) Realizar el resumen criptográfico a nivel de página y compartirlo con el servidor (por ejemplo “en.wikipedia.org/wiki/Josip_Broz_Tito” compartido como “fuh8742hjas94ht2'[g”, de manera única para el mismo servicio).

5) Realizar el resumen criptográfico del nombre de la categoría de primer nivel a la que pertenece el sitio web visitado o un servicio (por ejemplo, la categoría de primer nivel que Alexa define como: adulto, arte, negocios, ordenadores, juegos, salud, hogar, niños y adolescentes, noticias, recreación, referencia, regional, ciencia, compras, sociedad, deportes, internacional).

6) Realizar el resumen criptográfico del nombre de la categoría de segundo nivel a la que pertenece el sitio web visitado o un servicio (por ejemplo, para ciencia, Alexa define 29 categorías de segundo nivel incluyendo departamentos académicos, agricultura, anomalías y ciencia alternativa, astronomía, biología, etc.).

7) Realizar el resumen criptográfico del nombre de la categoría de tercer, cuarto, ..., nivel a la que pertenece el sitio web visitado o un servicio (el número de niveles de categoría está relacionado con el diccionario usado).

8) Compartir un nombre no sometido a resumen criptográfico del primer nivel de categoría al que pertenece el sitio web visitado o un servicio.

9) Compartir un nombre no sometido a resumen criptográfico del segundo nivel de categoría al que pertenece el sitio web visitado o un servicio.

10) Compartir un nombre no sometido a resumen criptográfico del tercer nivel de categoría al que pertenece el sitio web visitado o un servicio, ..., etc.

11) Compartir un nombre no sometido a resumen criptográfico.

12) Compartir un nombre no sometido a resumen criptográfico hasta el segundo resumen criptográfico “/”.

Cada siguiente nivel de visibilidad tiene un grado de granularidad inferior con respecto al anterior.

Como ilustración, la lista anterior está ordenada desde la granularidad más baja hasta la más alta con respecto al concepto de punto caliente. Sin embargo, se permiten variaciones en las categorías anteriores siempre que proporcionen diferentes niveles de la visibilidad de URL con la ofuscación parcial o completa relacionada.

Tal como se ha demostrado en este caso, diferentes niveles de visibilidad de URL de https://arxiv.org/pdf/1710.00069.pdf proporcionan de hecho diferentes potencias predictivas de modelado de usuario (incluso tan solo los sellos de tiempo pueden ser suficientes para modelos de usuario precisos).

Datos de Bluetooth:

El sensor de Bluetooth es responsable de explorar el entorno para detectar dispositivos de Bluetooth o Bluetooth LE. Esto proporciona una manera de detectar qué balizas están normalmente disponibles en el entorno del usuario. El ejemplo más evidente es un teléfono inteligente con Bluetooth que identificará a otro individuo, pero otros dispositivos tales como altavoces inteligentes, TV, etc., pueden indicar un nivel entrante y otros parámetros interesantes que son valiosos para el modelado de usuario.

Sin embargo, recopilar estos datos puede conllevar graves preocupaciones de privacidad. Por ejemplo, hay artículos para adultos que tienen Bluetooth, y el identificador de Bluetooth revela fácilmente el fabricante. Además, tener un identificador de Bluetooth sin procesar puede revelar indirectamente información extremadamente confidencial de privacidad, por ejemplo en el entorno de qué dispositivo está exactamente un usuario a las 2 AM durante los fines de semana. Sin embargo, todavía puede ser valioso para el modelo saber que este dispositivo está presente de manera frecuente o repetida en el entorno del usuario. Si se usa en un formato sin procesar, es posible aplicar ingeniería inversa para determinar si el identificador corresponde a un teléfono móvil (por tanto, a una persona) o a un dispositivo específico, TV, auriculares, ordenador portátil, etc.

Por tanto, para proteger la privacidad del usuario, no debe compartirse la dirección de Bluetooth exacta con el extremo posterior para su análisis, a menos que esté protegida. El flujo general desde la detección de dispositivo hasta la recomendación mediante análisis se describe en la figura 4.

Fuerte protección local:

Cada aplicación puede generar un identificador id único y persistente. Este id se usará para realizar el resumen criptográfico/cifrar la dirección de dispositivo de Bluetooth remoto. Por ejemplo, la dirección de Bluetooth: AABBCCDDEEFF11 será 45fe12aa673423. Esto significa que aunque el usuario A y el usuario B vean el mismo dispositivo, notificarán identificadores diferentes al ordenador/servidor. El reconocimiento solo puede realizarse para el mismo dispositivo notificador (ver la misma baliza dos veces generará el mismo resultado).

La figura 5 ilustra un ejemplo de cómo el mismo dispositivo genera dos identificadores diferentes cuando se notifica al servidor.

Fuerte protección parcial local:

Los 3 primeros bytes de una dirección de Bluetooth identifican al fabricante. Reduciendo ligeramente los requisitos, todavía puede permitirse identificar al fabricante al tiempo que no se expone la parte específica de dispositivo de la dirección. Por ejemplo, la dirección de Bluetooth: AABBCCDDEEFF11 será AABBCCaa673423 (se conservan los 3 primeros bytes).

Esto permite la detección de dispositivos de las mismas marcas y puede asociarse potencialmente a una posición dependiendo de otros ajustes de privacidad pero no se expone el identificador de dispositivo único real de modo que no hay ninguna manera de saber si los usuarios A y B realmente detectaron el mismo dispositivo cuando vieron al usuario 3.

La figura 6 ilustra un ejemplo en el que los usuarios A y B notifican el usuario C al servidor pero solo se conserva el identificador de fabricante.

Protección distribuida:

Los ejemplos anteriores funcionan, pero solo son válidos en el alcance de un usuario. La opción alternativa es privatizar la información personal con una clave compartida o resumen criptográfico de modo que el resultado siempre es el mismo para el mismo dispositivo, independientemente de qué usuario lo cifra. Esto permitirá modelar interacciones entre usuarios y balizas estacionarias para diferentes usuarios de la misma aplicación.

Por ejemplo, el usuario B tiene la dirección de Bluetooth: AABBCCDDEEFF11. Cuando el usuario A ve al usuario B, notificará AABBCCaa673423 al extremo posterior. Cuando el usuario C ve al usuario B, también notificará: AABBCCaa673423. De esta manera puede deducirse que tanto el usuario A como el usuario C interaccionan con el usuario B aunque no se compartan los detalles exactos de la dirección del usuario B.

La figura 7 es una ilustración de cómo el usuario A y el usuario B notificarán ambos el mismo identificador anonimizado para el usuario C.

Restricciones de alcance:

El alcance de Bluetooth máximo (para v5.0) es de aproximadamente 120 m. Para usuarios preocupados por que se les asocie con ese dispositivo remoto, un aumento de la privacidad sería limitar los dispositivos notificados a los que están en un alcance restringido. Esto se controla verificando que el valor de RSSI medido a partir de la baliza remota es superior a un determinado umbral que se correlaciona con un ajuste de nivel de privacidad elegido por el usuario. La figura 8 ilustra cómo los ajustes de privacidad del usuario B 's eliminan al usuario A de los dispositivos notificados para el análisis dado que está fuera del intervalo predefinido.

A lo largo del tiempo, los informes recibidos por el servidor, en cualquiera de las realizaciones descritas, permitirán calcular un modelo de cómo el usuario interacciona con otros compañeros y dispositivos. También permitirá al sistema aprender sobre encuentros aleatorios frente a los repetidos. Los dispositivos que forman parte de la situación en el domicilio frente al trabajo. En una extensión, también puede usarse para mapear de manera anónima círculos de usuarios entre sí si todos están usando la misma plataforma. En contraposición a otros servicios comerciales y centrados en publicidad, todo esto se hace mientras se conserva la privacidad tanto del usuario como de los compañeros detectados.

Debe entenderse que las realizaciones descritas anteriormente son unos pocos ejemplos ilustrativos de la presente invención. En particular, diferentes soluciones parciales en las diferentes realizaciones pueden combinarse en otras configuraciones, cuando sea técnicamente posible.

El alcance de la presente invención se define en el siguiente conjunto de reivindicaciones.

Claims (6)

1. REIVINDICACIONES

   i. Método para proporcionar un modelo de usuario con conocimiento de ubicación que conserva la privacidad del usuario, comprendiendo el método:

   a) recopilar, por un módulo de captura de sensor, datos de sensor a partir de una pluralidad de sensores instalados en un dispositivo informático móvil de un usuario;

   b) procesar, por un ordenador, dichos datos de sensor recopilados de una manera anónima agrupando los datos de sensor recopilados en diferentes puntos calientes, incluyendo dichos puntos calientes diferentes zonas de diferente importancia para dicho usuario, y comprendiendo cada uno de los puntos calientes un radio dado;

   c) etiquetar, por el ordenador, cada uno de los puntos calientes con un identificador único que corresponde a una zona predeterminada; y

   d) generar, por el ordenador, un modelo de usuario con conocimiento de ubicación basándose en dichos identificadores, de modo que dicho modelo de usuario con conocimiento de ubicación generado es adecuado para proporcionar recomendaciones al usuario a través del dispositivo informático móvil, realizar estudios y/o proporcionar una entrada a otros modelos de usuario,

   en el que el método comprende además:

   realizar las etapas a)-d) para una pluralidad de usuarios diferentes activos en los mismos puntos calientes, de tal manera que se genera un modelo de usuario con conocimiento de ubicación para cada uno de la pluralidad de usuarios diferentes;

   calcular, por el ordenador, una semilla y usar dicha semilla calculada para crear automáticamente y cifrar una clave sal aleatoria;

   determinar, por el ordenador, una técnica de resumen criptográfico que va a usarse para ofuscar los diferentes puntos calientes, y transmitir al dispositivo informático móvil de cada usuario de dicha pluralidad de usuarios diferentes la clave de sal aleatoria cifrada y la técnica de resumen criptográfico determinada; y aplicar, por cada dispositivo informático móvil, la técnica de resumen criptográfico con la clave de sal a cada punto caliente y transmitir un resumen criptográfico al ordenador, y

   en el que los datos de sensor recopilados incluyen uno o más de los siguientes: datos de acelerómetro; datos de actividad; datos sobre aplicaciones instaladas en el dispositivo informático; datos sobre un nivel de batería del dispositivo informático; datos sobre balizas de Bluetooth en el punto caliente; registros de llamadas; datos sobre el dispositivo informático incluyendo modelo y/o nombre de marca; datos que indican si unos auriculares están enchufados o no; registros de Internet y/o historial de navegación; nivel de iluminación actual; datos de ubicación; si está reproduciéndose música o no; nivel de ruido ambiental; datos de podómetro; datos de red sobre el dispositivo informático incluyendo itinerancia, operador, torre celular, TX/Rx de datos, móvil/WiFi, modo de avión y/o país; datos sobre lugares o tipo de establecimientos cerca del punto caliente; datos que indican si una pantalla del dispositivo informático está encendida/apagada; registros de SMS; datos que indican transiciones de actividad del usuario; y/o datos que indican dinámica de caminar del usuario.
2. 2. Método según la reivindicación 1, en el que dicha etapa b) comprende además proporcionar al menos un sello de tiempo a cada punto caliente que indica el momento de tiempo en el que el usuario alcanzó el punto caliente.
3. 3. Método según reivindicaciones anteriores, en el que cada identificador único se cifra basándose al menos en una parte de las coordenadas de ubicación de la zona predeterminada.
4. 4. Método según reivindicaciones anteriores, en el que los radios de los diferentes puntos calientes son iguales o diferentes unos con respecto a otros.
5. 5. Método según reivindicaciones anteriores, en el que los radios de los diferentes puntos calientes oscilan entre unos pocos metros y varios kilómetros.
6. 6. Sistema para proporcionar un modelo de usuario con conocimiento de ubicación que conserva la privacidad del usuario, que comprende:

   una pluralidad de dispositivos informáticos móviles, que pertenecen, cada uno, a un usuario de una pluralidad de usuarios diferentes;

   un módulo de captura de sensor instalado en cada dispositivo informático móvil de la pluralidad de dispositivos informáticos móviles para recopilar datos de sensor a partir de una pluralidad de sensores instalados en cada dispositivo informático móvil, incluyendo los datos de sensor recopilados uno o más de los siguientes: datos de acelerómetro; datos de actividad; datos sobre aplicaciones instaladas en el dispositivo informático; datos sobre un nivel de batería del dispositivo informático; datos sobre balizas de Bluetooth en el punto caliente; registros de llamadas; datos sobre el dispositivo informático incluyendo modelo y/o nombre de marca; datos que indican si unos auriculares están enchufados o no; registros de Internet y/o historial de navegación; nivel de iluminación actual; datos de ubicación; si está reproduciéndose música o no; nivel de ruido ambiental; datos de podómetro; datos de red sobre el dispositivo informático incluyendo itinerancia, operador, torre celular, tX/RX de datos, móvil/WiFi, modo de avión y/o país; datos sobre lugares o tipo de establecimientos cerca del punto caliente; datos que indican si una pantalla del dispositivo informático está encendida/apagada; registros de SMS; datos que indican transiciones de actividad del usuario; y/o datos que indican dinámica de caminar del usuario;

   un ordenador que incluye uno o más procesadores y al menos una memoria, en el que el uno o más procesadores están configurados para:

   procesar los datos de sensor recopilados de cada usuario de la pluralidad de usuarios diferentes de una manera anónima agrupando los datos de sensor recopilados en diferentes puntos calientes, incluyendo dichos puntos calientes diferentes zonas de diferente importancia para el usuario, y comprendiendo cada uno de los puntos calientes un radio dado;

   etiquetar cada punto caliente con un identificador único correspondiente a una zona predeterminada;

   generar un modelo de usuario con conocimiento de ubicación para cada usuario basándose en dichos identificadores, de modo que dicho modelo de usuario con conocimiento de ubicación generado es adecuado para proporcionar recomendaciones al usuario a través del dispositivo informático móvil, realizar estudios y/o proporcionar una entrada a otros modelos de usuario;

   calcular una semilla y usar la semilla para crear automáticamente y cifrar una clave de sal aleatoria; y

   determinar una técnica de resumen criptográfico que va a usarse para ofuscar diferentes puntos calientes, y transmitir al dispositivo informático móvil de cada usuario de la pluralidad de usuarios diferentes la clave de sal aleatoria cifrada y la técnica de resumen criptográfico determinada, en el que cada dispositivo informático móvil está configurado además para aplicar la técnica de resumen criptográfico con la clave de sal a cada punto caliente y para transmitir un resumen criptográfico al ordenador.

   Medio legible por ordenador no transitorio, que comprende instrucciones de código que, cuando se ejecutan por un procesador de un ordenador, implementan un método para proporcionar un modelo de usuario con conocimiento de ubicación que conserva la privacidad del usuario según la reivindicación 1.

   Medio legible por ordenador no transitorio según la reivindicación 7, en el que el procesador, cuando procesa los datos de sensor recopilados, proporciona además al menos un sello de tiempo a cada punto caliente que indica el momento de tiempo en el que cada usuario alcanzó el punto caliente.