L’application de règles la plus respectueuse de la vie privée : ce qui protège vraiment

L’application de suivi des règles la plus privée est celle qui ne détient jamais vos données. Une application qui garde tout sur votre appareil, ne demande pas de compte et n’envoie aucune requête réseau contenant votre cycle ne peut ni le laisser fuiter, ni le vendre, ni être contrainte de le remettre — non parce que l’entreprise est digne de confiance, mais parce qu’il n’y a rien, nulle part, à donner. Toute autre forme de promesse de confidentialité est un engagement sur un comportement futur, et un engagement dépend du fait que l’entreprise reste la même entreprise.

Cette distinction — entre une promesse et une architecture — est tout le sujet de cet article. Tout ce qui suit est soit la preuve que la distinction compte, soit un moyen de savoir laquelle des deux on vous propose.

Ce qu’une application de règles peut voir de vous

Une application de suivi du cycle détient un portrait inhabituellement complet d’une vie. Pas seulement des dates : saignements, douleurs, humeur, rapports, contraception, médicaments, sommeil, poids, le fait que vous essayez de concevoir, le fait que vous avez arrêté. De quoi déduire une grossesse, une perte, un diagnostic ou une relation, souvent avant que votre entourage ne le sache. C’est l’un des jeux de données les plus sensibles qu’une personne ordinaire conserve, et la plupart d’entre nous le remettent dans un formulaire d’inscription.

Que ce soit un problème dépend entièrement de ce qu’il devient ensuite. Il existe trois architectures sur ce marché, et elles sont loin d’être équivalentes :

• Sur votre appareil uniquement. L’application écrit dans une base de données sur le téléphone. Pas de compte, pas de synchronisation, pas de serveur. Rien à faire fuiter, rien à vendre, rien à réquisitionner, rien à hériter si l’entreprise est rachetée.
• Sur votre appareil, avec une sauvegarde dans le cloud. Une copie existe sur les serveurs de quelqu’un, généralement chiffrée au repos, généralement derrière un compte. L’entreprise détient les clés, ce qui veut dire qu’elle — ou quiconque l’y contraint — peut la lire.
• Sur un serveur d’abord. Le téléphone est une fenêtre sur une base de données que l’entreprise possède. C’est le modèle le plus courant, car il permet la synchronisation, l’accès web, des fonctions nourries par des données agrégées, et la publicité.

Rien dans le troisième modèle n’est malhonnête en soi. C’est simplement un autre pari : vous pariez sur les politiques de l’entreprise, sa sécurité, ses repreneurs et les juridictions où elle opère, aussi longtemps que vos données existent.

Ce que les régulateurs ont réellement constaté

Ici, il faut être prudente, car ce sujet attire plus de passion que de preuves. Ce qui suit se limite aux actions officielles assorties de documents publics, et la formulation compte.

En janvier 2021, la Federal Trade Commission américaine a annoncé un accord avec l’éditeur d’une application de suivi de fertilité très utilisée. La plainte de la FTC alléguait que l’entreprise promettait de garder privées les données de santé de ses utilisatrices tout en les communiquant à des prestataires d’analyse tiers. L’entreprise a transigé, sans reconnaître ni nier les allégations, et s’est engagée à obtenir un consentement exprès avant tout partage futur d’informations de santé. Il faut ajouter, parce que cela figure dans la plainte de la FTC elle-même, que les destinataires des données d’analyse n’ont fait l’objet d’aucune poursuite et n’avaient pas été informés que les données contenaient des informations de santé.

En mai 2023, la FTC a mis en cause l’éditeur d’une application d’ovulation pour avoir partagé des informations personnelles sensibles de ses utilisatrices avec des tiers sans les en informer, en violation de la Health Breach Notification Rule. Cette affaire s’est aussi réglée par une ordonnance négociée, là encore sans reconnaissance ni dénégation de l’entreprise, et a comporté une amende civile de 100 000 $.

Deux actions répressives ne sont pas un verdict sur un secteur, et le contrepoids honnête a sa place dans le même paragraphe : lorsque l’Information Commissioner’s Office britannique a examiné les applications de règles et de fertilité en 2024, il a indiqué qu’aucun problème grave de conformité ni aucune preuve de préjudice n’avaient été identifiés, tout en appelant les développeurs à faire de la vie privée une priorité. Il n’y a eu au Royaume-Uni aucune action répressive contre une application de règles.

Le schéma plus large des applications de santé en général est moins confortable. Une revue exploratoire évaluée par des pairs portant sur des applications de santé a constaté que la plupart de celles examinées — 20 sur 23 — partageaient les données des utilisateurs avec des tiers. C’est la catégorie dans laquelle se range ce genre d’applications, et c’est la raison de poser la question de l’architecture plutôt que de présumer le pire d’un nom en particulier.

La loi vous protège sans doute moins que vous ne le croyez

La plupart des gens supposent que les données de santé dans une application sont couvertes par le droit de la confidentialité médicale. Aux États-Unis, ce n’est généralement pas le cas. Les recommandations de la FTC elle-même le disent clairement : beaucoup d’entreprises qui collectent des informations de santé — un bracelet d’activité, une application de régime, un tensiomètre connecté — ne sont pas couvertes par la loi HIPAA. HIPAA encadre les professionnels de santé, les assureurs et leurs sous-traitants. Une application que vous avez trouvée et téléchargée vous-même n’est en général rien de tout cela.

Ce qui s’applique, c’est le droit général de la protection des consommateurs : le FTC Act, et la Health Breach Notification Rule, qui oblige les applications traitant des données de santé à prévenir leurs utilisatrices quand ces données sont divulguées sans autorisation. C’est réel, et les deux actions ci-dessus ont été engagées sur ce fondement. C’est aussi une règle sur le fait de vous prévenir après coup, ce qui est une protection d’une autre nature que des données qui ne quittent jamais votre téléphone.

Une promesse, ou une architecture

À force de lire des politiques de confidentialité, on remarque qu’elles sont écrites pour être vraies plutôt que pour être claires. « Nous ne vendons pas vos données » peut coexister avec un partage à des fins publicitaires, parce que partager n’est pas vendre. « Vos données sont chiffrées » veut généralement dire chiffrées en transit et au repos sur un serveur que l’entreprise peut déchiffrer. « Nous pouvons partager avec des partenaires de confiance » est la phrase qui fait le travail, et elle ne les nomme jamais.

Rien de tout cela n’est forcément un mensonge. C’est un engagement sur la façon dont une entreprise compte se comporter, et un engagement a trois modes de défaillance qui n’ont rien à voir avec l’intention : l’entreprise est rachetée et la politique du nouveau propriétaire s’applique ; l’entreprise subit une fuite ; ou l’entreprise est contrainte par un tribunal. Aucune promesse ne survit à cela. Une architecture où les données n’ont jamais quitté l’appareil survit aux trois, car il n’y a pas de copie que le nouveau propriétaire, l’attaquant ou le tribunal puisse atteindre.

La question qui vaut la peine d’être posée n’est pas « le partageraient-ils ? » mais « le pourraient-ils, s’ils le voulaient ou s’ils y étaient contraints ? »

Sept questions pour juger n’importe quelle application de règles

Vous pouvez dérouler cette liste en cinq minutes environ, à partir de la fiche de l’application sur le store et de sa politique de confidentialité, avant de taper la moindre date.

1. Peut-on l’utiliser sans compte ? Un compte existe pour que les données puissent vivre ailleurs que sur votre téléphone. Si l’application ouvre directement sur le suivi, sans e-mail et sans mur d’inscription, elle vous a dit quelque chose de concret avant que vous n’ayez rien saisi.
2. Fonctionne-t-elle en mode avion ? Coupez la connexion et utilisez-la une journée. Si tout marche encore — noter, estimations, historique — les calculs se font sur l’appareil. Si elle se bloque, non.
3. Les données de santé sont-elles nommées à part dans la politique ? Les bonnes politiques distinguent les données de votre cycle des journaux de plantage et des statistiques d’usage. Les vagues mettent tout dans « les informations que nous collectons », et l’intéressant se cache dans l’écart.
4. Les tiers sont-ils listés par nom ou par catégorie ? « Partenaires d’analyse » peut vouloir dire n’importe quoi. Une politique qui nomme les entreprises est une politique que vous pouvez réellement vérifier.
5. Que se passe-t-il si l’entreprise est vendue ? Presque toutes les politiques comportent cette clause et presque personne ne la lit. Elle dit en général que vos données sont transférées avec l’entreprise, ce qui annule discrètement tout ce qui la précède.
6. Pouvez-vous tout exporter, dans un format lisible ? C’est la sortie. Une application sûre de sa valeur vous laisse partir avec votre historique ; une application qui retient vos données en otage vous a dit ce qu’elle pense qu’elles valent.
7. Supprimer l’application supprime-t-il les données ? Sur une application qui ne stocke que sur l’appareil, oui, car il n’y a pas d’autre endroit. Sur une application à compte, la suppression retire la copie de votre téléphone et laisse celle du serveur. Cherchez une suppression dans l’application qui vise nommément la copie serveur.

Chronométrée, cette liste devient un exercice de dix minutes à faire sur votre propre téléphone, et la question de ce qu’une application détient au départ trouve sa réponse dans ce que les applications de règles collectent vraiment. Si ce que vous voulez, c’est la carte de ce qui peut arriver ensuite, c’est qui peut voir les données de vos règles.

Deux autres choses à vérifier qui ne sont pas des questions pour la politique. D’abord, si l’application a un verrouillage — un code ou Face ID — car la façon la plus probable dont un relevé de règles est lu par quelqu’un d’autre, c’est qu’il ramasse votre téléphone déverrouillé. Ensuite, ce que disent les notifications sur l’écran verrouillé, puisqu’un rappel serviable est aussi une annonce.

Ce que valent vraiment « sans publicité, sans abonnement, sans compte »

Ces trois expressions sont regroupées dans les recherches, et elles méritent d’être séparées.

Sans publicité compte le plus, car la publicité est le modèle économique qui crée une raison de partager des données. Une application financée par la publicité a un intérêt qui pointe ailleurs que vers vous ; une application financée par un achat unique ou une option payante, non.

Sans abonnement parle du coût, pas de la vie privée, et les deux sont parfois en tension. Une application gratuite, sans publicité et sans abonnement, doit bien être payée d’une manière ou d’une autre, et il est légitime de demander comment.

Sans compte est celle qui change l’architecture plutôt que les intérêts, et c’est pourquoi elle est la première question de la liste ci-dessus.

Où se situe Athena

Athena est l’application pour laquelle ce site existe. It is on the App Store and Google Play. Rien sur ce site n’est à vendre et il n’y a nulle part où s’inscrire. Ce qui suit est une description de sa construction, et c’est l’application elle-même qu’il faut confronter à cette description.

Elle est construite selon la première architecture de cette page. Règles, symptômes, notes et températures sont écrits dans une base de données privée sur le téléphone. Les estimations sont calculées sur l’appareil. Il n’y a pas de compte, donc rien où se connecter et rien sur un serveur à faire fuiter, vendre ou remettre. Tout peut être exporté, et supprimer l’application supprime les données parce qu’il n’y a pas de seconde copie. Pour vérifier tout cela, il y a la deuxième question : coupez la connexion et voyez si quelque chose cesse de fonctionner.

En attendant, les outils de ce site font le calcul sans le relevé. Le Calculateur de durée du cycle tire votre propre moyenne et son étalement de quelques dates de début, et le Calculateur de règles en fait une fenêtre plutôt qu’une date. Si vous préférez ne faire confiance à aucun logiciel, le Calendrier des règles à imprimer produit une feuille de papier, qui ne peut être ni synchronisée, ni compromise, ni réclamée par qui que ce soit.

Trois pages appliquent cette liste aux applications que les gens tapent réellement dans un moteur de recherche. Les alternatives à Clue et les alternatives à Flo partent de ce que chaque entreprise publie sur elle-même, et choisir une première application de suivi fait de même pour une lectrice de treize ans qui n’en a jamais eu.