Suivi anonyme des règles : ce que cela veut dire, et ce que cela ne peut pas dire

Anonyme est un seul mot qui fait trois métiers différents, et ils ne valent pas la même chose. Cela peut vouloir dire sans compte, donc vous ne tapez jamais de nom ni d’e-mail. Cela peut vouloir dire dissocié, où votre cycle voyage tout de même vers les serveurs d’une entreprise mais s’y trouve délibérément séparé de tout ce qui vous identifie. Ou cela peut vouloir dire jamais transmis, où rien de votre cycle ne quitte le téléphone. Seule la troisième est une promesse que vous pouvez vérifier vous-même, en une minute, en coupant la connexion.

Ce qui suit, c’est comment distinguer les trois depuis l’extérieur, ce que les entreprises qui font chacune de ces promesses publient réellement à ce sujet, et la chose qu’aucune d’elles ne couvre.

Les trois sens, par ordre de confiance qu’ils vous demandent

• Sans compte

  L’application ouvre directement sur le suivi. Pas d’e-mail, pas de mot de passe, pas de mur d’inscription. C’est réel et cela vaut la peine, mais c’est un fait sur la porte d’entrée, pas sur le bâtiment.

  Demandez : quelque chose quitte-t-il encore le téléphone ?
• Dissocié

  Vos données de cycle atteignent un serveur, et l’entreprise a construit quelque chose censé empêcher que ces données soient rattachées à vous. C’est une véritable discipline d’ingénierie, et c’est aussi celle que vous ne pouvez pas inspecter.

  Demandez : qui détient quelle moitié, et qui l’affirme ?
• Jamais transmis

  Rien de votre cycle n’est envoyé nulle part. Il n’y a aucune histoire côté serveur à croire, parce qu’il n’y a pas de côté serveur.

  Demandez : est-ce que cela fonctionne en mode avion ?

Presque toute discussion sur le suivi anonyme des règles est en réalité une discussion sur laquelle de ces trois choses on vous vend. Le mot sur la fiche du store est le même dans les trois cas.

Sans compte est le plus facile à vérifier et le plus facile à exagérer

Un compte existe pour que les données puissent vivre ailleurs que sur votre téléphone. Si une application n’en demande jamais, elle vous a dit quelque chose de concret avant que vous ayez saisi une seule date, et c’est pourquoi utiliser une application de règles sans compte est la première question à poser sur n’importe laquelle d’entre elles.

Ce n’est pas la dernière. Pas d’e-mail ne veut pas dire pas d’identifiant. Un logiciel qui parle à un serveur peut attacher à ce qu’il envoie un identifiant d’installation aléatoire, un modèle d’appareil, une version de système d’exploitation et une adresse IP, sans jamais connaître votre nom. Rien de tout cela n’est votre identité à la façon d’une adresse e-mail. Tout cela est une poignée, et des poignées peuvent être reliées à d’autres poignées.

Donc « pas d’inscription » répond honnêtement à une question étroite et laisse la large ouverte. La large, c’est de savoir si vos saignements, vos douleurs, vos humeurs et votre vie sexuelle vont quelque part.

À quoi ressemble une conception dissociée, dans les mots de l’entreprise

L’exemple publié le plus clair du deuxième type vient de Flo. Flo décrit son Mode anonyme comme une fonction qui permet de suivre sa santé sans que votre nom, votre e-mail, votre adresse IP ni aucun autre identifiant ne soient liés à vos données de santé. Flo indique que les requêtes passent par un relais Oblivious HTTP, de sorte que le relais voit l’adresse IP mais pas les données de santé, pendant que Flo voit les données de santé mais pas l’identité, et que Flo elle-même ne peut pas identifier celles qui l’utilisent.

Enlevez le jargon et l’idée est simple, et plutôt bonne. Deux parties détiennent chacune une moitié de ce qu’il faudrait pour vous désigner. L’intermédiaire sait d’où vient le message mais ne peut pas le lire. La destination peut le lire mais ne sait pas d’où il vient. Aucune des deux ne détient les deux moitiés, donc aucune ne peut les réunir.

C’est une vraie conception, pas un slogan, et c’est plus que ce que tentent la plupart des applications de cette catégorie. Il faut le dire franchement, parce que la critique honnête qui suit ne consiste pas à dire que l’idée est mauvaise.

La partie que vous ne pouvez pas vérifier

Vous êtes à l’extérieur. De là, vous pouvez lire la description d’une architecture ; vous ne voyez ni les serveurs, ni le code réellement déployé dessus, ni qui exploite le relais, ni ce qui est journalisé de part et d’autre, ni ce qui changera l’an prochain. Toute affirmation du deuxième type est une affirmation sur un logiciel que vous n’exécuterez jamais et que vous ne pouvez pas observer. Nous ne pouvons pas la vérifier, et vous non plus.

C’est la raison pour laquelle la question se pose. En janvier 2021, la Federal Trade Commission américaine a annoncé un accord avec le développeur d’une application de suivi de fertilité très utilisée ; la FTC reprochait à l’entreprise d’avoir promis de garder privées les données de santé de ses utilisatrices tout en les communiquant à des prestataires d’analyse tiers, et l’entreprise a transigé sans reconnaître ni nier les faits reprochés. Le contrepoids honnête appartient à la même phrase : lorsque l’Information Commissioner’s Office du Royaume-Uni a examiné les applications de règles et de fertilité en 2024, il a indiqué qu’aucun manquement grave à la conformité ni preuve de préjudice n’avaient été relevés, tout en invitant les développeurs à faire de la vie privée une priorité.

Ni l’un ni l’autre ne vous dit ce que fait aujourd’hui tel ou tel serveur. C’est bien le problème. Une conception que vous ne pouvez pas inspecter se croit ou ne se croit pas, et accorder sa confiance est raisonnable — c’est simplement une catégorie de chose différente d’une preuve.

Une promesse sur la façon dont les données sont traitées ne dure que le temps de l’entreprise qui les traite. Une conception où les données n’ont jamais bougé n’a pas besoin que l’entreprise tienne parole.

Jamais transmis, et les politiques qui le décrivent

Le troisième type est le plus simple à énoncer et le plus simple à tester. Deux politiques publiées décrivent des applications construites ainsi.

La politique de confidentialité de drip indique qu’il n’y a aucune collecte de données d’usage ni d’informations personnelles, pas de publicité et pas de mouchard ; que les données de cycle menstruel sont stockées localement sur l’appareil et ne sont pas accessibles aux autres applications ; et que supprimer les données de l’application dans les réglages, ou la désinstaller, les efface. Elle porte aussi une réserve qui vaut plus que la plupart des arguments de vente sur la vie privée : elle indique qu’une sauvegarde automatique dans le cloud peut malgré tout avoir lieu selon les réglages de votre appareil. La politique ajoute que le code source peut être lu pour vérifier que tout cela est vrai.

La politique de confidentialité d’Euki indique qu’elle ne collecte aucune information personnelle ni autre auprès des utilisatrices, y compris par leur usage de l’application, hormis les informations qu’une utilisatrice envoie volontairement en contactant le support, et que l’application ne piste pas ses utilisatrices pour proposer de la publicité ciblée.

La réserve de drip est celle à emporter, parce qu’elle vaut pour toute application tout-local, celle-ci comprise. La sauvegarde de votre propre téléphone peut soulever une base locale de l’appareil même quand l’application n’envoie jamais rien. La conception de l’application n’est pas la fin de l’histoire ; les réglages de sauvegarde de votre système d’exploitation en font partie, et ils sont à vous de regarder. C’est un fil d’un compromis plus large, et il vaut la peine d’être lu en entier avant de choisir un camp : ce que vous perdez quand il n’y a pas de synchronisation dans le cloud.

Ce qu’une étiquette de store vous dit, et ce qu’elle ne dit pas

Les deux stores publient désormais un résumé de confidentialité, et le vocabulaire est vraiment utile. Apple décrit la section d’informations de confidentialité de l’App Store comme un système où les informations sont déclarées par le développeur lui-même. Dans les mots d’Apple, « Données liées à vous » désigne des données collectées d’une manière liée à votre identité, par exemple à votre compte ou à votre appareil, et « Données utilisées pour vous suivre » désigne des données de l’application reliées à des données collectées dans les applications, sites ou fichiers hors ligne d’autres entreprises et utilisées pour la publicité ou partagées avec un courtier en données.

Cette distinction est exactement celle dont parle cet article, imprimée sur la fiche avant même l’installation. Une application qui revendique l’anonymat tout en déclarant des données de santé liées à vous s’est contredite en public, et c’est peu coûteux à remarquer.

La limite est dans le mot qu’emploie Apple : déclarées par le développeur. Une étiquette est une déclaration, pas un audit. C’est un filtre rapide et une mauvaise preuve, ce qui lui donne sa place au début d’une vérification de dix minutes sur n’importe quelle application plutôt qu’à la fin.

Ce que l’anonymat ne vous achète pas

Aucune des trois promesses ne protège le téléphone que vous avez en main. La façon la plus probable pour qu’un suivi de règles soit lu par quelqu’un d’autre, ce n’est ni une fuite ni une décision de justice. C’est une personne qui ramasse un téléphone déverrouillé.

Les choses qui comptent vraiment à cette distance sont donc ennuyeuses et locales. Le fait que l’application ait ou non son propre code ou son déverrouillage par le visage. Ce que vos notifications affichent sur l’écran verrouillé, parce qu’un rappel serviable est aussi une annonce à qui se tient à côté de vous. Le fait que le téléphone soit partagé, ou ait un jour été sauvegardé sur un ordinateur utilisé par quelqu’un d’autre. Et le fait qu’une copie de votre historique dorme déjà dans une autre application où vous vous êtes inscrite il y a des années, ce à quoi l’anonymat d’une nouvelle application ne change rien — cette copie doit être supprimée là où elle vit.

Si rien de tout cela ne peut être mis en sécurité, il existe une option sans aucun logiciel dedans. Le Calendrier des règles à imprimer vous donne une feuille de papier, qui ne peut être ni synchronisée, ni piratée, ni réquisitionnée, ni reliée à vous, et que vous gardez là où vous gardez vos affaires. Et si ce que vous vouliez d’une application, c’était l’arithmétique plutôt que le stockage, le Calculateur de durée du cycle calcule votre moyenne et l’amplitude de vos variations à partir de quelques dates de début, sans compte. L’argument de fond, juger l’architecture plutôt que la politique, se trouve dans ce qui rend vraiment une application de règles privée.

Où se situe Athena

Athena est l’application derrière ce site. It is on the App Store and Google Play. Rien sur ce site n’est à vendre et il n’y a rien à quoi s’inscrire. Ce qui suit est une description de sa construction ; c’est l’application elle-même qu’il faut confronter à cette description.

Elle est du troisième type. Les règles, les symptômes, les notes et les températures sont écrits dans une base privée sur le téléphone, les estimations sont calculées sur l’appareil, et il n’y a pas de compte, donc il n’y a rien sur un serveur à relier à vous. Une exception honnête, énoncée parce que l’omettre ferait de cette page ce dont elle se plaint : l’application envoie des diagnostics anonymes à Firebase — quelles fonctionnalités sont utilisées, les rapports de plantage, le modèle d’appareil, jamais quoi que ce soit que vous notez. Rien de ce que vous enregistrez sur votre cycle ne s’y trouve. La façon de vérifier l’affirmation est celle que tout cet article recommande : coupez la connexion et regardez si quelque chose cesse de fonctionner.