Qui peut voir vos données de règles ? Une carte honnête

Si les données de votre cycle ne quittent jamais votre téléphone, la réponse honnête est personne — et si elles le quittent, la réponse n’est pas un nom mais une liste de chemins. Il en existe sept : l’entreprise elle-même, les prestataires qu’elle engage pour les statistiques d’usage et les rapports de plantage, les annonceurs quand l’application a un modèle publicitaire, un repreneur si l’entreprise est vendue, un attaquant après une fuite, une partie qui adresse une demande légale à celui qui détient les données, et la personne qui ramasse votre téléphone déverrouillé. Ce dernier chemin est le plus probable, et c’est celui que personne n’anticipe. Les chemins ouverts dépendent de l’endroit où les données sont stockées, pas de la sincérité apparente de l’entreprise.

Cette page cartographie les chemins. Elle ne désigne aucune application comme ayant envoyé quoi que ce soit par l’un d’eux, car seules deux affaires visant des applications de règles ont été documentées par un régulateur, et elles sont exposées plus bas dans les mots du régulateur. Tout le reste ici porte sur la façon dont un logiciel est construit.

Commencez par la forme, pas par le coupable

Toutes les questions de cette page ont la même première étape : savoir où se trouvent les données. Il y a trois formes, et elles ouvrent des chemins différents.

Si l’application n’écrit que dans une base de données sur votre téléphone et n’envoie aucune requête réseau contenant votre cycle, l’essentiel de la carte ci-dessous est tout simplement fermé. Il n’y a pas de copie serveur qu’un prestataire puisse recevoir, qu’un repreneur puisse hériter, qu’un attaquant puisse atteindre ou que quiconque puisse réclamer. Si l’application synchronise dans le cloud derrière un compte, tous ces chemins sont ouverts, que l’entreprise en ait déjà emprunté un ou non. Si le téléphone est une fenêtre sur une base de données que l’entreprise possède, c’est pareil, et la copie est l’original.

Rien de tout cela n’est une accusation. C’est une description de ce qui est possible sur le plan de l’architecture, et c’est la seule partie du sujet que vous pouvez vérifier vous-même. Ce que l’application détient au départ est une autre question, traitée dans ce que les applications de règles collectent vraiment.

Les sept chemins

Lisez la dernière colonne de haut en bas et un schéma se répète. Six des sept chemins se ferment pour la même raison, et ce n’est jamais une promesse. C’est qu’il n’y a rien au bout.

Les trois que l’on sous-estime

Le repreneur. C’est la clause la plus discrète de toute politique de confidentialité et elle se trouve près du bas de presque toutes. Elle dit en général que vos données passent à l’acheteur avec l’entreprise. Chaque bonne phrase au-dessus — les engagements sur le partage, les prestataires nommés, les durées de conservation — est une politique écrite par le propriétaire actuel, et un nouveau propriétaire peut en écrire une nouvelle. Vous ne jugez pas seulement l’entreprise devant vous. Vous jugez toutes les entreprises qui pourraient la posséder plus tard.

La fuite. Le chiffrement au repos protège une base de données de quelqu’un qui repart avec le disque. Il ne la protège pas de quelqu’un qui entre en se faisant passer pour l’application, car l’application doit pouvoir lire les données pour fonctionner. Ce n’est pas une critique du travail de qui que ce soit ; c’est pourquoi « nous chiffrons tout » répond à une question plus étroite que celle que les gens croient avoir posée.

La personne qui tient votre téléphone. Un conjoint, un parent, un colocataire, quelqu’un au travail qui l’a pris sur le bureau. Aucun serveur, aucun prestataire et aucune politique là-dedans. C’est de loin la façon la plus fréquente dont un relevé de règles est lu par quelqu’un à qui il n’était pas destiné, et les deux choses qui y répondent sont un verrouillage de l’application et des notifications d’écran verrouillé qui ne disent rien de précis. Les deux prennent une minute à régler, et presque personne ne les règle.

Ce que les régulateurs ont réellement constaté

C’est la partie du sujet où internet fait le plus de bruit et où les preuves sont les plus minces, alors les voici toutes, dans la formulation qui compte.

En janvier 2021, la Federal Trade Commission américaine a annoncé un accord avec l’éditeur d’une application de suivi de fertilité très utilisée. La plainte de la FTC alléguait que l’entreprise promettait de garder privées les données de santé de ses utilisatrices tout en les communiquant à des prestataires d’analyse tiers. L’entreprise a transigé, sans reconnaître ni nier les allégations, et s’est engagée à obtenir un consentement exprès avant tout partage futur de données de santé.

En mai 2023, la FTC a mis en cause l’éditeur d’une application d’ovulation pour avoir partagé des informations personnelles sensibles de ses utilisatrices avec des tiers sans les en informer, en violation de la Health Breach Notification Rule. Cette affaire s’est aussi réglée par une ordonnance négociée, là encore sans que l’entreprise reconnaisse ni nie les faits.

Face à ces deux affaires, le contrepoids a sa place dans la même phrase : lorsque l’Information Commissioner’s Office britannique a examiné les applications de règles et de fertilité en 2024, il a indiqué qu’aucun problème grave de conformité ni aucune preuve de préjudice n’avaient été identifiés, tout en appelant les développeurs à faire de la vie privée une priorité.

La catégorie autour de celle-ci est moins confortable. Une revue exploratoire évaluée par des pairs portant sur des applications de santé a constaté que la plupart de celles examinées, vingt sur vingt-trois, partageaient les données des utilisateurs avec des tiers. C’est la raison de poser la question des chemins plutôt que de présumer le pire d’un nom en particulier, et c’est pourquoi Google impose aux développeurs de déclarer dans la section Sécurité des données comment leur application collecte, partage et traite les données.

La loi vous couvre sans doute moins que vous ne le croyez

La plupart des gens supposent que les informations de santé dans une application relèvent du droit de la confidentialité médicale. Aux États-Unis, ce n’est généralement pas le cas. Les recommandations de la FTC elle-même indiquent que beaucoup d’entreprises qui collectent des informations de santé — un bracelet d’activité, une application de régime, un tensiomètre connecté — ne sont pas couvertes par la loi HIPAA, et que ce sont le FTC Act et la Health Breach Notification Rule qui s’appliquent à la place.

C’est une vraie protection, et elle a produit les deux actions ci-dessus. C’est aussi, pour l’essentiel, une règle sur le fait d’être informée après qu’une divulgation a eu lieu, ce qui est une protection d’une autre nature que l’impossibilité d’une divulgation. Rien sur cette page n’est un conseil juridique, et vos droits dépendent de l’endroit où vous vivez ; le propos ici est plus étroit et porte sur des mécanismes. Une règle peut obliger une entreprise à vous prévenir. Elle ne peut pas annuler un envoi.

Comment raccourcir votre propre liste

Quatre choses, dans l’ordre de leur utilité. Mettez un verrouillage sur l’application et désactivez les aperçus détaillés sur l’écran verrouillé pour votre application de suivi. Vérifiez si l’application fonctionne connexion coupée, car une application qui continue de marcher en mode avion fait ses calculs là où vous pouvez les voir. Lisez la clause de vente et de fusion de la politique, pas le titre. Et trouvez l’export, pour que changer d’avis plus tard ne vous coûte rien.

La procédure complète, chronométrée, est dans la vérification de confidentialité en dix minutes, et l’argument expliquant pourquoi l’architecture vaut mieux qu’une promesse est dans ce qui rend vraiment une application privée. Si vous préférez vous tenir à l’écart de tout cela, un Calendrier des règles à imprimer n’a aucun de ces chemins : le papier n’a ni prestataires, ni repreneur, ni fuite. Il n’a pas non plus de sauvegarde, ce qui est le même échange sous un autre manteau.

Où se situe Athena

Athena est l’application derrière ce site. It is on the App Store and Google Play. Rien sur ce site n’est à vendre et il n’y a nulle part où s’inscrire. Ce qui suit est une description de sa construction ; c’est l’application elle-même qu’il faut confronter à cette description.

Les données du cycle sont écrites dans une base de données privée sur le téléphone et les estimations sont calculées sur l’appareil. Il n’y a pas de compte, donc pas de copie serveur qu’un prestataire, un repreneur, un attaquant ou une demande puisse atteindre. Ce qui sort quand même, et que cette page serait malhonnête d’omettre : l’application envoie des diagnostics anonymes à Firebase — quelles fonctions sont utilisées, rapports de plantage, modèle d’appareil et version du système — sans rien de ce que vous notez et sans identifiant publicitaire. Le septième chemin, la personne qui a votre téléphone, n’est pas fermé du tout par l’architecture, et c’est pourquoi un verrouillage de l’application et des notifications discrètes valent plus que la plupart des fonctions de confidentialité.

Le prix de cette conception est la seule chose que tout article de ce genre devrait dire à voix haute. Tout en local veut dire aucune sauvegarde automatique. Perdez le téléphone sans avoir rien exporté et l’historique est perdu, et aucune équipe d’assistance ne peut restaurer ce que personne n’a jamais eu.

En attendant, les outils de ce site font le calcul qu’une application ferait. Le Calculateur de durée du cycle prend quelques dates de début et vous donne votre moyenne, votre cycle le plus court et le plus long, et l’écart autour d’eux — le chiffre qui vous dit vraiment à quel point votre cycle est prévisible.