Seguimiento anónimo de la regla: qué significa y qué no puede significar

Anónimo es una palabra haciendo tres trabajos distintos, y no valen lo mismo. Puede significar sin cuenta, o sea que nunca tecleas un nombre ni un correo. Puede significar desvinculado, donde tu ciclo sí viaja a los servidores de una empresa pero se separa a propósito de todo lo que te identifica. O puede significar nunca transmitido, donde nada de tu ciclo sale del teléfono. Solo la tercera es una promesa que puedes comprobar tú misma, en un minuto, apagando la conexión.

Lo que sigue es cómo distinguir las tres desde fuera, qué publican de verdad las empresas que hacen cada tipo de promesa y lo que ninguna de las tres cubre.

Los tres significados, por orden de cuánta confianza te piden

• Sin cuenta

  La app se abre directamente en el calendario. Sin correo, sin contraseña, sin muro de registro. Esto es real y merece la pena tenerlo, pero es un dato sobre la puerta de entrada, no sobre el edificio.

  Pregunta: ¿sigue saliendo algo del teléfono?
• Desvinculado

  Los datos de tu ciclo llegan a un servidor, y la empresa ha construido algo pensado para impedir que esos datos se puedan ligar contigo. Es una disciplina de ingeniería de verdad, y es también la que no puedes inspeccionar.

  Pregunta: ¿quién tiene cada mitad, y quién lo dice?
• Nunca transmitido

  Nada de tu ciclo se envía a ninguna parte. No hay ninguna historia del lado del servidor en la que confiar, porque no hay lado del servidor.

  Pregunta: ¿funciona en modo avión?

Casi toda discusión sobre el seguimiento anónimo de la regla es en realidad una discusión sobre cuál de estas tres le están vendiendo a alguien. La palabra en la ficha de la tienda es la misma en los tres casos.

Sin cuenta es lo más fácil de comprobar y lo más fácil de exagerar

Una cuenta existe para que los datos puedan vivir en un sitio que no es tu teléfono. Si una app nunca te pide una, te ha dicho algo concreto antes de que introduzcas una sola fecha, y por eso usar un calendario menstrual sin cuenta es la primera pregunta que merece la pena hacerle a cualquiera.

No es la última. Sin correo no significa sin identificador. Un software que habla con un servidor puede adjuntar un ID de instalación aleatorio, un modelo de dispositivo, una versión del sistema operativo y una dirección IP a lo que envía, sin saber nunca tu nombre. Nada de eso es tu identidad como lo es una dirección de correo. Todo eso es un asa, y las asas se pueden unir con otras asas.

Así que "sin registro" responde con honestidad a una pregunta estrecha y deja abierta la ancha. La ancha es si tu sangrado, tu dolor, tu ánimo y tu vida sexual van a alguna parte.

Qué aspecto tiene un diseño que desvincula, en palabras de la propia empresa

El ejemplo publicado más claro del segundo tipo viene de Flo. Flo describe su Modo Anónimo como una función que te permite llevar tu salud sin que tu nombre, tu correo, tu dirección IP ni ningún otro identificador queden vinculados a tus datos de salud. Flo afirma que las peticiones se encaminan a través de un relé Oblivious HTTP, de forma que el relé ve la dirección IP pero no los datos de salud, mientras que Flo ve los datos de salud pero no la identidad, y que ni siquiera Flo puede identificar a quienes lo usan.

Quita la jerga y la idea es sencilla, y bastante buena. Dos partes tienen cada una la mitad de lo que haría falta para señalarte. La intermediaria sabe de dónde vino el mensaje pero no puede leerlo. El destino puede leerlo pero no sabe de dónde vino. Ninguna de las dos tiene las dos mitades, así que ninguna puede unirlas.

Eso es un diseño real, no un eslogan, y es más de lo que intentan casi todas las apps de esta categoría. Merece la pena decirlo claro, porque la crítica honesta que viene ahora no es que la idea sea mala.

La parte que no puedes comprobar

Tú estás fuera. Desde ahí puedes leer la descripción de una arquitectura; no puedes ver los servidores, ni el código que de verdad está desplegado en ellos, ni quién opera el relé, ni qué se registra en cada extremo, ni qué cambia el año que viene. Toda afirmación del segundo tipo es una afirmación sobre un software que nunca vas a ejecutar y que no puedes observar. Nosotros no lo podemos comprobar, y tú tampoco.

Este es el motivo por el que la gente se hace la pregunta. En enero de 2021, la Federal Trade Commission de Estados Unidos anunció un acuerdo con la desarrolladora de una app de seguimiento de la fertilidad muy usada; la FTC alegaba que la empresa había prometido mantener privados los datos de salud de sus usuarias mientras los comunicaba a proveedores de analítica externos, y la empresa llegó a un acuerdo sin admitir ni negar las alegaciones. El contrapeso honesto va en la misma frase: cuando la Information Commissioner's Office del Reino Unido revisó apps de la regla y de fertilidad en 2024, informó de que no se detectaron problemas graves de cumplimiento ni pruebas de daños, al tiempo que instaba a las desarrolladoras a dar prioridad a la privacidad.

Ninguna de las dos cosas te dice qué está haciendo hoy un servidor concreto. De eso se trata. Un diseño que no puedes inspeccionar o se confía o no, y confiar es algo razonable de dar; sencillamente es una categoría de cosa distinta de una prueba.

Una promesa sobre cómo se manejan unos datos dura lo que dure la empresa que los maneja. Un diseño en el que los datos nunca se movieron no necesita que la empresa cumpla su palabra.

Nunca transmitido, y las políticas que lo describen

El tercer tipo es el más sencillo de enunciar y el más sencillo de probar. Dos políticas publicadas describen apps construidas así.

La política de privacidad de drip afirma que no se recogen datos de uso ni información personal, que no hay anuncios ni software espía; que los datos del ciclo menstrual se guardan en local en el dispositivo y no pueden ser accedidos por otras apps; y que borrar los datos de la app en los ajustes, o desinstalarla, los quita. También lleva una advertencia que vale más que casi todo el marketing de privacidad: dice que puede seguir habiendo una copia de seguridad automática en la nube según los ajustes de tu dispositivo. La política añade que el código fuente se puede leer para comprobar que todo esto es cierto.

La política de privacidad de Euki afirma que no recoge ninguna información personal ni de otro tipo de sus usuarias, tampoco a través del uso que hacen de la app, salvo la información que una usuaria envíe voluntariamente al contactar con soporte, y que la app no hace seguimiento de sus usuarias para ofrecer publicidad dirigida.

La advertencia de drip es la que hay que llevarse, porque se aplica a todas las apps que solo usan el dispositivo, incluida esta. La copia de seguridad de tu propio teléfono puede levantar una base de datos local del dispositivo aunque la app nunca envíe nada. El diseño de la app no es el final de la historia; los ajustes de copia de seguridad de tu sistema operativo son parte de ella, y son tuyos para mirarlos. Eso es un hilo de un intercambio más amplio, y conviene leerlo bien antes de elegir bando: a qué renuncias cuando no hay sincronización en la nube.

Qué te dice una etiqueta de la tienda y qué no

Las dos tiendas de apps publican ya un resumen de privacidad, y el vocabulario es de verdad útil. Apple describe la sección de información de privacidad de la App Store como un sistema en el que la información la declara la propia desarrolladora. En palabras de Apple, "Datos vinculados contigo" significa datos recogidos de una forma que está vinculada a tu identidad, por ejemplo a tu cuenta o a tu dispositivo, y "Datos usados para seguirte" significa datos de la app combinados con datos recogidos en apps, webs o entornos fuera de línea de otras empresas y usados para anuncios o compartidos con un intermediario de datos.

Esa distinción es justo la de este artículo, impresa en la ficha antes de que instales. Una app que dice ser anónima mientras declara datos de salud vinculados contigo se ha contradicho en público, y eso a ti te sale barato de notar.

El límite está en la expresión que usa Apple: lo declara la propia desarrolladora. Una etiqueta es la declaración de una desarrolladora, no una auditoría. Es un filtro rápido y una prueba pobre, y por eso va al principio de una comprobación de diez minutos de cualquier calendario menstrual y no al final.

Lo que el anonimato no te compra

Ninguna de las tres promesas protege el teléfono que tienes en la mano. La forma más probable de que otra persona lea un registro de la regla no es una brecha ni un requerimiento judicial. Es alguien cogiendo un teléfono desbloqueado.

Así que lo que de verdad importa a esa distancia es aburrido y local. Si la app tiene un PIN o un desbloqueo facial propio. Qué dicen tus notificaciones en la pantalla de bloqueo, porque un recordatorio útil también es un anuncio para cualquiera que esté cerca. Si el teléfono se comparte, o si alguna vez se hizo copia de seguridad en un equipo que usa otra persona. Y si ya hay una copia de tu historial en alguna otra app en la que te registraste hace años, algo que el anonimato en una app nueva no arregla: esa copia hay que borrarla donde vive.

Si nada de eso se puede volver seguro, hay una opción sin software dentro. El Calendario menstrual para imprimir te da una hoja de papel, que no se puede sincronizar, ni filtrar, ni requerir judicialmente, ni volver a vincular, y que puedes guardar donde guardes tus cosas. Y si lo que querías de verdad de una app era la aritmética y no el almacenamiento, la Calculadora de duración del ciclo saca tu media y cuánto se mueve a partir de unas cuantas fechas de inicio, sin cuenta. El argumento a fondo para juzgar la arquitectura por encima de la política está en qué hace privado de verdad a un calendario menstrual.

Dónde está Athena

Athena es la app detrás de este sitio. It is on the App Store and Google Play. Nada de este sitio está a la venta y no hay nada a lo que registrarse. Lo que sigue es una descripción de cómo está construida; la app misma es con lo que contrastarla.

Es del tercer tipo. Las reglas, los síntomas, las notas y las temperaturas se escriben en una base de datos privada del teléfono, las estimaciones se calculan en el dispositivo y no hay cuenta, así que no hay nada en un servidor que se pueda ligar contigo. Una excepción honesta, dicha porque callarla convertiría a esta página en aquello de lo que se queja: la app envía diagnósticos anónimos a Firebase —qué funciones se usan, registros de fallos, modelo del dispositivo, nunca nada de lo que anotas—. Nada de lo que registras sobre tu ciclo va ahí. La forma de comprobar la afirmación es la misma que recomienda todo este artículo: apaga la conexión y mira si algo deja de funcionar.