Comece pela pergunta
Momentos em comum pergunta se duas pessoas podem ter dividido lugar e momento. Uma foto contém muito mais: rostos, casas ou documentos. Por isso o app, com uma única permissão, lê só o horário e a localização das fotos dos últimos dois anos, no celular. Cada localização vira uma área de cerca de 150 m e cada horário, um intervalo de uma hora. Só essa área e essa hora vão para os servidores do Blink para comparar; imagens, caminhos de arquivo, coordenadas exatas e metadados completos nunca saem do celular.
Uma foto sem lugar não acrescenta nada
Capturas de tela, imagens salvas de mensagens e fotos sem localização não têm lugar e são ignoradas. Nada é adivinhado. Os horários vêm da própria biblioteca. Um navegador não consegue ler uma biblioteca assim; no Blink na web, você escolhe as fotos e só o lugar e o horário são lidos, dentro do navegador.
Uma possibilidade não é uma prova
A mesma área com menos de duas horas de diferença é o mesmo momento; no mesmo dia, é o mesmo dia; e, se não, o mesmo lugar. São margens para um possível momento em comum, não a prova de que duas pessoas se viram. Os lugares das fotos se limitam a 4.000 registros de área e horário de dois anos. O envio de localização também é limitado. Apagar seus lugares também apaga a cópia nos servidores do Blink.
O que o servidor vê
Para encontrar cruzamentos com outros membros, as pegadas ficam nos servidores do Blink: uma área e uma hora, nada mais. O envio é limitado para evitar abusos. Num cruzamento de mesmo lugar, o Blink não mostra onde nem quando, então um match nunca revela a rotina ou o trajeto exato de alguém.
Talvez vocês já tenham se cruzado.