Annotare il ciclo in modo anonimo: cosa significa e cosa non può significare

Anonimo è una parola sola che fa tre lavori diversi, e non valgono lo stesso. Può voler dire senza account, così non digiti mai un nome o un'email. Può voler dire non collegato, dove il tuo ciclo viaggia comunque verso i server di un'azienda ma viene separato apposta da tutto quello che ti identifica. Oppure può voler dire mai trasmesso, dove del tuo ciclo non esce proprio niente dal telefono. Solo la terza è una promessa che puoi verificare da sola, in un minuto, spegnendo la connessione.

Quello che segue è come distinguere le tre cose da fuori, cosa pubblicano davvero le aziende che fanno ognuna di quelle promesse, e la cosa che nessuna delle tre copre.

I tre significati, in ordine di quanta fiducia ti chiedono

• Senza account

  L'app si apre dritta sul calendario. Nessuna email, nessuna password, nessun muro di registrazione. È una cosa vera e vale la pena averla, ma è un fatto sulla porta d'ingresso, non sull'edificio.

  Chiedi: esce comunque qualcosa dal telefono?
• Non collegato

  I dati del tuo ciclo arrivano a un server, e l'azienda ha costruito qualcosa che dovrebbe impedire di ricollegarli a te. È una disciplina ingegneristica vera, ed è anche quella che non puoi ispezionare.

  Chiedi: chi tiene quale metà, e chi lo dice?
• Mai trasmesso

  Del tuo ciclo non viene mandato niente da nessuna parte. Non c'è nessuna storia lato server di cui fidarsi, perché non c'è nessun lato server.

  Chiedi: funziona in modalità aereo?

Quasi ogni discussione sulle app del ciclo anonime è in realtà una discussione su quale delle tre cose stanno vendendo a qualcuna. La parola sulla scheda dello store è la stessa in tutti e tre i casi.

Senza account è la cosa più facile da verificare e la più facile da gonfiare

Un account esiste perché i dati possano vivere da qualche parte che non è il tuo telefono. Se un'app non lo chiede mai, ti ha detto qualcosa di concreto prima che tu abbia inserito una sola data, ed è per questo che usare un'app del ciclo senza account è la prima domanda da fare su qualunque app.

Non è l'ultima. Niente email non vuol dire niente identificatore. Un software che parla con un server può attaccare a quello che manda un ID di installazione casuale, un modello di dispositivo, una versione del sistema operativo e un indirizzo IP, senza mai sapere il tuo nome. Niente di tutto questo è la tua identità nel modo in cui lo è un indirizzo email. Tutto questo è una maniglia, e le maniglie si possono unire ad altre maniglie.

Quindi "niente registrazione" risponde onestamente a una domanda stretta e lascia aperta quella larga. Quella larga è se il tuo sanguinamento, il tuo dolore, i tuoi umori e la tua vita sessuale vadano da qualche parte.

Che aspetto ha un progetto di scollegamento, con le parole dell'azienda

L'esempio pubblicato più chiaro del secondo tipo viene da Flo. Flo descrive la sua Modalità anonima come una funzione che ti permette di annotare la tua salute senza che il tuo nome, l'email, l'indirizzo IP o qualunque altro identificatore vengano collegati ai tuoi dati sanitari. Flo dichiara che le richieste passano attraverso un relay Oblivious HTTP, così che il relay vede l'indirizzo IP ma non i dati sanitari, mentre Flo vede i dati sanitari ma non l'identità, e che nemmeno Flo può identificare chi la usa.

Togli il gergo e l'idea è semplice, e anche piuttosto buona. Due parti tengono ognuna una metà di quello che servirebbe per puntarti addosso un dito. Chi sta in mezzo sa da dove viene il messaggio ma non lo può leggere. Chi lo riceve lo può leggere ma non sa da dove viene. Nessuna delle due tiene tutte e due le metà, quindi nessuna delle due le può unire.

È un progetto vero, non uno slogan, ed è più di quello che tenta la maggior parte delle app di questa categoria. Vale la pena dirlo chiaramente, perché la critica onesta che segue non è che l'idea sia brutta.

La parte che non puoi verificare

Tu stai fuori. Da lì puoi leggere la descrizione di un'architettura; non puoi vedere i server, il codice che gira davvero su di loro, chi gestisce il relay, cosa viene registrato alle due estremità, o cosa cambia l'anno prossimo. Ogni affermazione del secondo tipo è un'affermazione su un software che non eseguirai mai e non puoi osservare. Non lo possiamo verificare noi, e non lo puoi verificare tu.

È per questo che la domanda si pone. Nel gennaio 2021 la Federal Trade Commission statunitense ha annunciato un accordo con lo sviluppatore di un'app per la fertilità molto usata; la FTC sosteneva che l'azienda avesse promesso di tenere riservati i dati sanitari delle utenti mentre li comunicava a fornitori esterni di analisi, e l'azienda ha chiuso con un accordo senza ammettere né negare le accuse. Il contrappeso onesto sta nello stesso respiro: quando l'Information Commissioner's Office britannico ha esaminato le app del ciclo e della fertilità nel 2024, ha riferito che non sono stati individuati problemi gravi di conformità né prove di danni, pur esortando gli sviluppatori a mettere la privacy al primo posto.

Nessuna delle due cose ti dice cosa stia facendo oggi un server in particolare. Il punto è proprio questo. Un progetto che non puoi ispezionare o lo si crede o no, e la fiducia è una cosa ragionevole da dare — è solo una categoria diversa dalla prova.

Una promessa su come vengono trattati i dati dura quanto l'azienda che li tratta. Un progetto in cui i dati non si sono mai mossi non ha bisogno che l'azienda mantenga la parola.

Mai trasmesso, e le informative che lo descrivono

Il terzo tipo è il più semplice da dire e il più semplice da provare. Due informative pubblicate descrivono app costruite così.

L'informativa sulla privacy di drip dichiara che non c'è nessuna raccolta di dati d'uso o di informazioni personali, nessuna pubblicità e nessuno spyware; che i dati del ciclo mestruale sono conservati localmente sul dispositivo e non sono accessibili ad altre app; e che cancellare i dati dell'app dalle impostazioni, o disinstallarla, li rimuove. Porta anche un'avvertenza che vale più di quasi tutto il marketing sulla privacy: dice che un backup automatico sul cloud può comunque avvenire a seconda delle impostazioni del dispositivo. L'informativa aggiunge che il codice sorgente si può leggere per controllare che tutto questo sia vero.

L'informativa sulla privacy di Euki dichiara che non raccoglie nessuna informazione personale o di altro tipo dalle persone che la usano, nemmeno attraverso l'uso dell'app, a parte le informazioni che qualcuna manda volontariamente scrivendo all'assistenza, e che l'app non traccia chi la usa per fornire pubblicità mirata.

L'avvertenza di drip è quella da portarsi via, perché vale per ogni app che sta solo in locale, questa compresa. Il backup del tuo telefono può sollevare dal dispositivo un archivio locale anche quando l'app non manda mai niente. Come è progettata l'app non è la fine della storia; le impostazioni di backup del tuo sistema operativo ne fanno parte, e sono tue da guardare. È un filo di uno scambio più ampio, e vale la pena leggerlo per bene prima di scegliere da che parte stare: a cosa rinunci quando non c'è la sincronizzazione nel cloud.

Cosa ti dice l'etichetta di uno store, e cosa no

Adesso tutti e due gli store pubblicano un riassunto sulla privacy, e il vocabolario serve davvero. Apple descrive la sezione sulla privacy dell'App Store come un sistema in cui le informazioni sono dichiarate dallo sviluppatore stesso. Con le parole di Apple, "Dati collegati a te" vuol dire dati raccolti in un modo che li lega alla tua identità, per esempio al tuo account o al tuo dispositivo, e "Dati usati per tracciarti" vuol dire dati dell'app collegati a dati raccolti dalle app, dai siti o dalle attività offline di altre aziende e usati per la pubblicità, oppure condivisi con un data broker.

Quella distinzione è esattamente quella di cui parla questo articolo, stampata sulla scheda prima che tu installi. Un'app che si dichiara anonima e intanto dichiara dati sanitari collegati a te si è contraddetta in pubblico, ed è una cosa che ti costa poco notare.

Il limite sta nella parola che usa Apple: dichiarate dallo sviluppatore. Un'etichetta è una dichiarazione di chi sviluppa, non una revisione. È un filtro veloce e una prova debole, ed è per questo che sta all'inizio di una verifica di dieci minuti su qualunque app e non alla fine.

Cosa non ti compra l'anonimato

Nessuna delle tre promesse protegge il telefono che hai in mano. Il modo più probabile in cui un registro del ciclo viene letto da qualcun altro non è una violazione né un'ordinanza di un giudice. È una persona che prende in mano un telefono sbloccato.

Quindi le cose che contano davvero a quella distanza sono noiose e locali. Se l'app ha un PIN o uno sblocco col volto suo. Cosa dicono le tue notifiche sulla schermata di blocco, perché un promemoria utile è anche un annuncio a chiunque ti sia vicino. Se il telefono è condiviso, o è mai stato salvato su un computer che usa qualcun altro. E se una copia della tua cronologia sta già dentro qualche altra app a cui ti sei iscritta anni fa, cosa su cui l'anonimato di un'app nuova non può niente — quella copia va cancellata dove sta.

Se niente di tutto questo si può mettere in sicurezza, c'è un'opzione senza nessun software dentro. Il Calendario mestruale da stampare ti dà un foglio di carta, che non si può sincronizzare, violare, chiedere per via giudiziaria o ricollegare, e che puoi tenere dove tieni le tue cose. E se quello che volevi davvero da un'app erano i conti invece dell'archivio, il Calcolatore della durata del ciclo ricava la tua media e quanto si muove da qualche data di inizio, senza account. Il ragionamento più a fondo sul giudicare l'architettura invece delle politiche sta in cosa rende davvero privata un'app del ciclo.

Dove sta Athena

Athena è l'app dietro questo sito. It is on the App Store and Google Play. Su questo sito non c'è niente in vendita e non c'è niente per cui iscriversi. Quello che segue è la descrizione di come è costruita; l'app stessa è la cosa con cui verificarla.

È del terzo tipo. Mestruazioni, sintomi, note e temperature vengono scritti in un archivio privato sul telefono, le stime sono calcolate sul dispositivo, e non c'è un account, quindi non c'è niente su un server da ricollegare a te. Un'eccezione onesta, detta perché lasciarla fuori renderebbe questa pagina la cosa di cui si lamenta: l'app manda diagnostica anonima a Firebase — quali funzioni vengono usate, i rapporti sui crash, il modello del dispositivo, mai niente di quello che annoti. Non c'è dentro niente di quello che registri sul tuo ciclo. Il modo per verificarlo è lo stesso che tutto questo articolo consiglia: spegni la connessione e guarda se smette di funzionare qualcosa.