Apps de la regla de código abierto: qué te da de verdad que sean abiertas

El código abierto te compra una cosa, y es buena: alguien puede contrastar la promesa de la política de privacidad con el código. Eso es otro tipo de garantía que una empresa diciendo confía en nosotros. No es una prueba. Casi nadie sabe leer código, publicar el código fuente no demuestra que la versión de la tienda se haya construido con él, y una licencia abierta no dice nada sobre si alguien sigue manteniendo el proyecto. Las dos apps de ciclo de código abierto por las que pregunta la gente son drip y Euki, y todo lo que sigue sobre cualquiera de las dos viene de lo que ellas mismas publican.

Así que la pregunta útil no es "¿es de código abierto?" sino "¿qué me permite verificar, a mí o a alguien como yo, que sea abierto?". La respuesta es más estrecha de lo que sugiere la palabra y aun así merece la pena.

Qué te compra de verdad que sea abierto

Toda app cerrada te pide que aceptes una afirmación. La política dice que los datos se quedan en el dispositivo; tú no tienes forma de ver si es así. El código abierto cambia la categoría de esa frase: de promesa pasa a algo que se puede refutar. Si el código dice otra cosa, alguien puede decirlo en público, y la distancia entre el documento y el comportamiento se convierte en un hecho en vez de una sospecha.

La política de privacidad de drip formula exactamente este argumento con sus propias palabras: afirma que se puede leer el código fuente para comprobar que lo que dice la política es cierto. Esa frase es todo el argumento del código abierto en una línea, y es algo insólitamente honesto para una política, porque invita a quien lee a ir a mirar en lugar de pedirle que se lo crea.

Lo segundo que compra es más lento y menos obvio. Un proyecto abierto no puede cambiar en silencio lo que hace. Una app cerrada puede publicar una versión nueva que empiece a enviar algo nuevo, y el único rastro es una línea en una política que nadie lee. En un proyecto abierto ese cambio es un diff público con fecha.

Cuatro cosas que no te compra

1. Tú no puedes leerlo. Casi nadie puede. Lo que el código abierto te da de verdad es la posibilidad de que alguien competente lo mirara — una investigadora, una periodista, alguien que colabora y tiene una cuenta pendiente. Eso es genuino y es de segunda mano. Sigues confiando en personas, solo que en un grupo más amplio y menos interesado.
2. El código publicado no es la app de tu teléfono. El código de un repositorio y el binario de una tienda son dos objetos distintos. Lograr que el segundo se derive demostrablemente del primero es un problema difícil que tiene nombre, compilaciones reproducibles, y la mayoría de los proyectos no lo ha resuelto. Así que "el código dice que no guarda nada" y "esta app instalada no guarda nada" son frases separadas.
3. Abierto no dice nada sobre mantenido. Un repositorio que nadie toca desde hace tres años sigue siendo código abierto. Una app de ciclo que deja de recibir actualizaciones sigue funcionando hasta que una versión del sistema operativo la rompe, y nadie está obligado a arreglarla. La licencia no es un compromiso.
4. Una organización sin ánimo de lucro también puede cerrar. Que la lleve una fundación o una entidad benéfica en vez de una empresa cambia los incentivos, y eso es real. No hace que el proyecto sea permanente. La financiación se acaba, las personas voluntarias se van, y la app que estaba ahí cuando empezaste a llevar el registro puede no estar dentro de cinco años.

Nada de eso es un argumento contra las apps de código abierto. Es un argumento contra tratar la palabra como una conclusión.

Qué publica drip sobre sí misma

La política de privacidad de drip afirma que no hay recopilación de datos de uso ni de información personal, ni anuncios ni spyware. Afirma que los datos del ciclo menstrual se guardan localmente en el dispositivo y que otras apps no pueden acceder a ellos, y que borrar los datos de la app en los ajustes, o desinstalarla, los elimina.

La frase más interesante es una salvedad que el proyecto no tenía por qué incluir: la política afirma que aun así puede producirse una copia de seguridad automática en la nube según los ajustes de tu dispositivo. Eso es un límite del almacenamiento en el dispositivo en general, más que un defecto de drip, y es justo el tipo de cosa que el marketing suele omitir. Un teléfono que se respalda solo en la nube de una plataforma está respaldando lo que tiene dentro. Una app no siempre puede saberlo ni anularlo, y una política que lo dice te está contando algo cierto sobre el mundo en lugar de algo halagador sobre sí misma.

Qué publica Euki sobre sí misma

La política de privacidad de Euki, vigente desde junio de 2024, afirma que no recopila ninguna información personal ni de otro tipo de sus usuarias, incluida la que generan al usar la app, salvo la información que alguien envía voluntariamente al contactar con soporte. También afirma que la app no rastrea a sus usuarias para ofrecer publicidad dirigida.

Euki se describe como un proyecto de código abierto gestionado por una organización independiente sin ánimo de lucro 501(c)(3), financiada con apoyo de la comunidad y donaciones, de uso gratuito y sin muros de pago, y dice que, como nunca recopila datos personales, no los vende ni los usa para dirigir publicidad. El modelo de financiación importa más de lo que parece: una app sin publicidad y sin nivel de pago no tiene motivo económico para querer tus datos, lo que elimina la presión que genera casi todo el comportamiento del que escribe el resto de este sitio.

Las dos descripciones de arriba son las empresas describiendo sus propios productos. No hemos auditado ninguna de las dos apps, y este sitio no repite una afirmación sobre una app con nombre propio que la empresa no haya publicado ella misma.

El mercado en el que están las dos

Dos apuntes de contexto, porque "el código abierto es más seguro" solo significa algo frente a un punto de partida.

El punto de partida no tranquiliza. Una revisión exploratoria con revisión por pares de apps de salud encontró que la mayoría de las examinadas — 20 de 23 — compartían datos de las usuarias con terceros. Eso es el género, no una acusación concreta, y es la razón de que la pregunta se haga siquiera.

El contrapeso honesto va en la misma frase. Cuando la Information Commissioner's Office del Reino Unido revisó apps de regla y fertilidad en 2024, informó de que no se identificaron problemas graves de cumplimiento ni pruebas de daños, a la vez que instaba a quienes desarrollan a priorizar la privacidad. Nadie tiene derecho a citar solo uno de esos dos resultados.

El suelo legal es más bajo de lo que casi todo el mundo supone, elijas la app que elijas. La propia guía de la FTC dice que muchas empresas que recopilan información de salud — una pulsera de actividad, una app de dietas, un tensiómetro conectado — no están cubiertas por HIPAA; en su lugar se aplican la FTC Act y la Health Breach Notification Rule. Una app que encontraste e instalaste tú suele estar en esa segunda categoría, y la Health Breach Notification Rule es en gran medida una norma sobre que te lo cuenten después.

Cómo comprobar todo esto sin leer código

Las pruebas que funcionan con una app cerrada funcionan con una abierta, y para ninguna hace falta un compilador. Pon el teléfono en modo avión y usa la app un día: si anotar, el historial y las estimaciones siguen funcionando, los cálculos ocurren en el dispositivo. Fíjate en si abre directamente en el tracker sin pedir correo, que es la diferencia que describe la comparativa de apps sin cuenta. Después busca la exportación, y úsala una vez, antes de tener un año de datos que perder.

Esto último es donde una app en el dispositivo, con la licencia que sea, es más débil, y conviene decirlo sin rodeos. Los datos que nunca salen de tu teléfono son datos sin copia de seguridad automática. Pierde el teléfono sin haber exportado nada y el historial se ha ido. El intercambio es real y es el tema de el texto sobre sin conexión frente a la nube, que es la otra mitad de esta decisión.

Dos cosas de este sitio ayudan con el mismo problema desde fuera. El Calendario menstrual para imprimir te da una copia en papel que ninguna versión de app, licencia ni ronda de financiación puede quitarte, y además es el mejor formato para llevar a una consulta. Y la Calculadora de duración del ciclo saca tu propio ciclo medio y cuánto se mueve a partir de un puñado de fechas de inicio — así que si un tracker desaparece algún día, el número que importaba ya lo sabes. Las dos son gratis y no piden cuenta.

Dónde encaja Athena

Respuesta directa: Athena no es de código abierto, así que no tiene la garantía de la que trata este artículo, y fingir lo contrario sería exactamente la conducta contra la que está escrita la página. It is on the App Store and Google Play. Aquí no se vende nada y no hay nada a lo que registrarse.

Lo que ofrece en su lugar es la arquitectura: los datos del ciclo se escriben en una base de datos privada del teléfono, las estimaciones se calculan en el dispositivo, sin cuenta y sin copia de los datos de salud en un servidor. La app envía diagnósticos anónimos — funciones usadas, fallos, modelo del dispositivo, nunca nada de lo que anotas — a Firebase, así que "no envía nada" sería falso. Y carga con el mismo coste que toda app en el dispositivo de las que aparecen aquí: sin copia de seguridad automática, así que una exportación que hayas hecho de verdad es el único seguro.

No vas a poder verificar eso leyendo nuestro código. Vas a poder verificarlo como describe la lista de comprobación de privacidad: corta la conexión y mira qué deja de funcionar.