Application de règles hors ligne ou synchronisée : le vrai compromis

Le tout-local est le choix privé, et c’est le choix fragile. Une application qui garde votre cycle sur le téléphone n’a pas de serveur à percer, pas de compte à compromettre, pas de tiers à qui le remettre et rien qu’un tribunal puisse réclamer — et, pour exactement la même raison, aucune copie de votre historique ailleurs. La synchronisation vous achète un nouveau téléphone, un deuxième appareil et une vraie réponse à un écran cassé, et elle paie cela par une copie du relevé le plus intime que vous teniez, posée sur les serveurs de quelqu’un d’autre, sous la politique en vigueur à ce moment-là. Si vous choisissez le tout-local, exporter n’est pas un supplément agréable. C’est tout le plan de sauvegarde.

Cette page est écrite contre sa propre application, parce que le compromis n’a de sens que si les deux moitiés sont énoncées à pleine force.

Ce que la synchronisation vous achète vraiment

Trois choses, et aucune n’est imaginaire.

Un nouveau téléphone. On change d’appareil tous les quelques années, et y passer ne devrait pas vous coûter un relevé tenu pendant dix ans. Avec la synchronisation, c’est une connexion. Sans elle, c’est un fichier que vous avez intérêt à avoir fait.

Un deuxième appareil. Si vous notez sur un téléphone et lisez sur une tablette, ou voulez votre historique sur un ordinateur portable au moment de remplir un formulaire pour un cabinet, un compte synchronisé le fait et une base locale non.

Une catastrophe. Tombé, noyé, volé, effacé par une mise à jour ratée. Un téléphone est un petit objet à la vie dure, et la différence entre un ennui et une perte tient à l’existence des données ailleurs.

Rien de tout cela n’est du marketing. Ce sont les raisons pour lesquelles la synchronisation existe, et pour lesquelles la plupart des applications de règles reposent sur un compte.

Ce que coûte le tout-local, dit franchement

Si le téléphone finit dans un canal et que vous n’avez jamais rien exporté, votre historique de cycle est perdu. Non récupérable par le support, non restaurable depuis un reçu, absent de toute sauvegarde qu’on pourrait déterrer pour vous. Il n’y a pas de chemin « mot de passe oublié » vers une base qui n’a jamais existé qu’à un seul endroit. Ce n’est pas un défaut de la conception ; c’est la conception, vue de l’autre côté.

L’importance que cela prend dépend de l’usage de l’historique. Quelques mois de dates se reconstruisent mal de mémoire et assez bien depuis un calendrier. Dix ans de dates de début, de schémas de symptômes et de températures ne se reconstruisent pas du tout, et c’est en général le long relevé qui a une valeur — celui qu’on emporte à un rendez-vous, celui qui montre qu’un changement a eu lieu et pas seulement que vous en avez l’impression.

Trois entre-deux, et ce que chacun promet vraiment

Le choix n’est pas vraiment binaire, et la version honnête de cet article le dit.

Une synchronisation chiffrée de bout en bout. Le plus solide des entre-deux, là où l’entreprise le documente. Le guide d’Apple indique que lorsque l’iPhone est verrouillé par Face ID, Touch ID ou un code, toutes les données de santé et de forme autres que la fiche médicale sont chiffrées, et qu’avec l’authentification à deux facteurs les données de santé synchronisées vers iCloud sont chiffrées de bout en bout et qu’Apple n’a pas la clé pour les déchiffrer. Lisez cela attentivement, car la dernière proposition fait tout le travail : une entreprise qui dit ne pas pouvoir lire vos données fait une affirmation bien plus étroite que celle qui dit qu’elle ne le fera pas. L’app Santé d’Apple est aussi l’endroit où vit un suivi sur téléphone si vous n’installez aucune application de règles, ce dont parle suivre son cycle dans Apple Health.

Une copie chiffrée détenue par l’entreprise. La forme la plus courante. Les données se trouvent sur des serveurs que l’entreprise peut lire, protégées par ses politiques et sa sécurité plutôt que par les mathématiques. La politique de confidentialité de Clue décrit sa version : elle indique que créer un compte Clue traite des données personnelles comme un nom d’utilisatrice, une date de naissance et une adresse e-mail, que toutes les données sont stockées de façon sécurisée sur des serveurs situés dans l’Union européenne, que les données de profil sont stockées séparément des données de santé, que les données de santé notées dans l’application ne sont jamais partagées avec des annonceurs ni vendues, et qu’une demande de suppression complète est exécutée dans un délai d’un mois. Séparer les données de profil des données de santé est une mesure réelle et il faut la nommer comme telle. Cela reste une promesse sur le comportement d’une entreprise, faite par l’entreprise, et vous ne pouvez pas l’auditer d’où vous êtes.

Un export manuel que vous maîtrisez. Le moins séduisant. Pas de compte, pas de serveur, et un fichier que vous faites délibérément et posez là où vous avez choisi. Il a la confidentialité du tout-local et supprime le point unique de défaillance, au prix de votre mémoire. C’est cette dernière proposition qui fait d’ordinaire échouer la méthode.

Il existe une quatrième chose qui n’est pas vraiment un entre-deux mais qu’on traite souvent comme tel : la sauvegarde de votre propre téléphone. La politique de confidentialité de drip est inhabituellement franche là-dessus : elle indique que les données de cycle sont stockées localement sur l’appareil et ne sont pas accessibles aux autres applications, et qu’une sauvegarde automatique dans le cloud peut malgré tout avoir lieu selon les réglages de votre appareil. Une application tout-local ne met pas vos données dans le cloud. Votre système d’exploitation, lui, le peut, et c’est un réglage à regarder quelle que soit l’application que vous utilisez.

Une habitude d’export qui survit à la vraie vie

Le conseil « exportez régulièrement » ne vaut rien parce qu’il ne nomme aucun moment. Une habitude a besoin d’une occasion et d’un endroit.

1. Choisissez un événement, pas un intervalle. Le jour où vous changez de téléphone, le jour où vous voyez un médecin, et une date fixe par an — un anniversaire fait l’affaire, parce que vous ne l’oublierez pas. Tout ce qu’il faut se rappeler selon un calendrier, vous aurez cessé de le faire en mars.
2. Envoyez le fichier là où il sera encore dans cinq ans. Un e-mail à vous-même convient et survit à la perte du téléphone. Une copie sur un ordinateur portable convient. Une copie qui ne vit que sur le même téléphone que l’application n’est pas une sauvegarde ; c’est le même œuf dans le même panier.
3. Ouvrez-le une fois. Un export que vous n’avez jamais regardé est un fichier de qualité inconnue. Lisez-le, vérifiez que les dates se lisent comme des dates, et vous saurez ce que vous avez.
4. Gardez une ligne sur papier pour ce qui compte le plus. Les dates de début prennent une seconde à écrire et sont la seule colonne à partir de laquelle tout le reste se calcule. Le Calendrier des règles à imprimer tient une année sur une feuille, et il se moque de savoir si votre téléphone survit.

Si vous choisissez le papier comme relevé principal plutôt que comme filet, la méthode est un sujet en soi et elle est exposée dans suivre son cycle sans application.

Ce dont ce compromis ne parle pas

Il est tentant de présenter le local contre le cloud comme un combat entre une entreprise digne de confiance et une autre qui ne l’est pas. Ce n’en est pas un. C’est une question sur l’endroit où une copie existe, et les copies ont leurs propres risques quelles que soient les intentions de qui que ce soit.

La loi ne comble pas non plus l’écart à votre place. Les orientations de la FTC disent clairement que de nombreuses entreprises collectant des informations de santé — un bracelet d’activité, une application de régime, un tensiomètre connecté ou autre chose — ne relèvent pas de HIPAA ; ce sont le FTC Act et la Health Breach Notification Rule qui s’appliquent. C’est une protection réelle, et c’est largement une protection du genre qui vous prévient après que quelque chose a mal tourné.

La catégorie plus large vaut aussi d’être connue : une revue de la littérature sur les applications de santé a constaté que la plupart de celles examinées, 20 sur 23, partageaient des données d’utilisateurs avec des tiers. Ce n’est pas un verdict sur une application nommée, et c’est la raison de se demander ce qu’une application est architecturalement capable de faire plutôt que ce que dit son marketing. La version longue de cet argument, c’est la différence entre une promesse et une architecture, et le vocabulaire qui l’entoure — sans compte, dissocié, jamais transmis — est décortiqué dans ce que le suivi anonyme peut et ne peut pas vouloir dire.

Choisir, sans faire comme s’il y avait une bonne réponse

La synchronisation est le choix par défaut raisonnable si perdre votre historique vous contrarierait plus qu’une entreprise qui le détient, si vous utilisez plusieurs appareils, ou si vous suivez votre cycle pour une raison médicale où la continuité compte. Le tout-local est le choix par défaut raisonnable si vous préféreriez qu’aucune copie n’existe, si votre situation fait d’une copie serveur un risque plutôt qu’un confort, ou si vous avez déjà hésité avant de noter quelque chose honnêtement. Cette hésitation mérite d’être écoutée : un relevé que vous modifiez par prudence est un relevé qui ne sert ni à vous ni à un médecin.

Dans les deux cas, l’historique ne vaut que ce que vous pouvez en lire. Le Calculateur de durée du cycle transforme une poignée de dates de début en votre propre moyenne et en l’amplitude de vos variations, et le Calculateur de règles en fait une fenêtre estimée avec l’incertitude imprimée à côté. Le NHS situe la fourchette habituelle à des règles environ tous les 28 jours, couramment de tous les 21 à tous les 35 jours — où vous vous situez dedans est un fait que seul votre propre relevé peut montrer. Les estimations de ces deux outils sont des estimations, pas des certitudes.

Où se situe Athena

Athena est l’application derrière ce site. It is on the App Store and Google Play. Rien sur ce site n’est à vendre et il n’y a rien à quoi s’inscrire.

Elle n’a pas de synchronisation. Les règles, les symptômes, les notes et les températures sont écrits dans une base privée sur le téléphone, les estimations sont calculées sur l’appareil, et il n’y a ni compte ni copie serveur des données de santé — ce qui veut dire toute la protection décrite plus haut et toute la fragilité. Si le téléphone est perdu et que rien n’a été exporté, l’historique est perdu, et personne ne peut vous le rendre. C’est pourquoi l’export n’est pas un supplément facultatif dans une application construite ainsi, et pourquoi l’habitude d’exporter se trouve au milieu de cette page plutôt qu’à la fin.

Une chose quitte le téléphone, et cette page ferait ce qu’elle reproche aux autres si elle l’omettait. L’application envoie des diagnostics anonymes à Firebase — quelles fonctionnalités sont utilisées, les rapports de plantage, le modèle d’appareil et la version du système — sans rien de ce que vous notez dedans. Ils ne portent aucune donnée de cycle, parce qu’il n’y en a aucune à porter. Ce qu’il advient de la copie sur l’appareil quand vous retirez l’application est une autre question avec sa propre réponse : supprimer l’application supprime-t-il vos données.