Mobilapplikasjonen anvendet brukerens telefonnummer til identifisering og autentisering. Enhetens GPS-koordinater ble lagret lokalt; samtidig ble Bluetooth brukt til å lete etter andre enheter i nærheten som også hadde Smittestopp installert, og estimere distansen til disse. Lokasjonsdataene, samt avstanden til andre telefoner i nærheten, ble så lagret i en sentral skyløsning. Dataene her skulle være tilgjengelige bare for Folkehelseinstituttet, som kunne bruke informasjonen til å finne ut hvem som hadde vært i nærheten av en person som var blitt syk, eller til forskning og analyse. Tilsyn med og revisjon av bruk av dataene lå utenfor ekspertgruppens mandat.