Verifica privacy di un'app del ciclo: giudicarne una in dieci minuti

Puoi giudicare un'app del ciclo in dieci minuti con sei verifiche, e nessuna ti chiede di fidarti del marketing. Leggi l'etichetta sulla privacy nello store e tieni presente che è una dichiarazione dello sviluppatore. Guarda se l'app ti obbliga a creare un account. Usala per qualche minuto in modalità aereo. Cerca nell'informativa sulla privacy quattro parole: vendere, condividere, partner, acquisizione. Trova la cancellazione e l'esportazione, e controlla che, se c'è un account, si possa cancellare anche da fuori dall'app. Poi metti un blocco sull'app e spegni le anteprime sulla schermata di blocco. Quello che ottieni alla fine è un quadro onesto di cosa quell'app è costruita per poter fare — che non è la stessa cosa che sapere come si comporta l'azienda, e l'ultima sezione spiega perché.

Questa è la prova pratica. Il ragionamento più lungo che ci sta dietro, con le sette domande che vale la pena fare e il motivo per cui un'architettura batte una promessa, sta in cosa rende davvero privata un'app del ciclo. Leggi quella se vuoi capire il perché. Leggi questa se vuoi aprire l'app adesso e decidere entro pranzo.

Minuti da 0 a 2: leggi l'etichetta, poi scontala

Apri la scheda dell'app nello store e trova la sezione sulla privacy — Privacy delle app sull'App Store, Sicurezza dei dati su Google Play. Stai cercando due cose: se c'è qualcosa dichiarato sotto tracciamento o pubblicità, e se i dati sanitari compaiono proprio.

Apple definisce le due categorie che vale la pena capire. "Dati collegati a te" vuol dire dati raccolti in un modo che li collega alla tua identità, per esempio al tuo account o al tuo dispositivo. "Dati usati per tracciarti" vuol dire dati dell'app messi insieme a dati raccolti dalle app, dai siti o dalle attività offline di altre aziende, e usati per la pubblicità o condivisi con un intermediario di dati. Un'app che nella seconda categoria non dichiara niente ti ha detto qualcosa di concreto.

Adesso lo sconto, con le parole delle piattaforme stesse. Apple afferma che le informazioni di questa sezione sono dichiarate dallo sviluppatore stesso. Anche la sezione Sicurezza dei dati di Google è la dichiarazione dello sviluppatore su come la sua app raccoglie, condivide e tratta i dati, comprese le pratiche di sicurezza e le opzioni di cancellazione; Google aggiunge che, dove un'app mostra una verifica di sicurezza indipendente, quella verifica non accerta l'esattezza e la completezza di quanto ha dichiarato lo sviluppatore.

Quindi l'etichetta è un impegno, non un controllo. Due minuti spesi bene, e non più peso di così. Se le categorie che ci leggi sopra ti sembrano una lingua straniera, i tre tipi di dati che un'app del ciclo può contenere sono spiegati in che cosa raccolgono davvero le app del ciclo.

Minuti da 2 a 5: il muro dell'account e la modalità aereo

Installala e guarda cosa chiede la prima schermata. Un account esiste perché i dati possano vivere da qualche parte che non è il tuo telefono; un'app che si apre dritta sul calendario, senza email e senza registrazione, ti ha detto dove finiranno i tuoi dati prima che tu abbia digitato una data. Segna quale delle due ti è capitata.

Poi la prova a cui nessun marketing sopravvive. Metti il telefono in modalità aereo e usa l'app per bene per qualche minuto: annota un inizio delle mestruazioni, apri la cronologia, guarda la stima, cambia un'impostazione. Se funziona tutto, i calcoli stanno avvenendo sul tuo dispositivo. Se si blocca, gira a vuoto o dà errore, no.

Un'avvertenza onesta, perché questa prova viene spesso venduta per più di quello che è. Funzionare offline dimostra che l'aritmetica è locale. Non dimostra che non venga mandato niente dopo, quando la connessione torna. Restringe la domanda da "quest'app dipende da un server?" a "quest'app parla anche con un server?", ed è a questo che servono i tre minuti successivi.

Minuti da 5 a 8: quattro parole nell'informativa sulla privacy

Apri l'informativa nel browser e usa la funzione di ricerca. Non la stai leggendo da cima a fondo — non lo fa nessuno, ed è proprio per questo che sono scritte come sono scritte. Quattro parole, in quest'ordine.

1. Vendere. Quasi tutte le informative dicono che non vendono i tuoi dati. Leggi comunque la clausola successiva, perché condividere non è vendere, e un'azienda può onestamente rifiutarsi di vendere mentre condivide per la pubblicità.
2. Condividere. È qui che sta la sostanza. Fai una sola domanda a ogni frase che trovi: le terze parti sono nominate, o descritte come una categoria? "Partner per le analisi" può voler dire chiunque. Un elenco di nomi di aziende è una cosa che puoi andare a controllare.
3. Partner. Cercala a parte, perché spesso compare dove "condividere" non c'è, ed è di solito la frase che fa il lavoro vero.
4. Acquisizione. Prova anche "fusione" e "cessione di ramo d'azienda". Quasi tutte le informative dicono che i tuoi dati passano insieme all'attività se l'azienda viene venduta, e quella singola clausola in silenzio scavalca tutte le promesse che stanno sopra, perché l'informativa successiva la scrive chi compra.

Una quinta ricerca vale trenta secondi: la parola salute. Una buona informativa nomina i dati del tuo ciclo a parte rispetto ai registri dei crash e alle statistiche d'uso. Una vaga mette tutto insieme in "informazioni che raccogliamo", e la parte interessante si nasconde nel vuoto.

Minuti da 8 a 10: le uscite e il telefono che hai in mano

La cancellazione, in due posti. Trova la cancellazione nelle impostazioni dell'app. Poi, se l'app ha gli account, cerca un percorso di cancellazione sul web. Non è un desiderio: Google Play obbliga un'app che permette di creare un account a offrire sia un percorso dentro l'app per cancellare l'account e i dati collegati, abbastanza in vista da trovarlo nelle impostazioni dell'account o simili, sia un link sul web da cui si possa chiedere la cancellazione di account e dati — la via web esiste proprio perché tu possa chiederla anche dopo aver disinstallato. Un'app con account che offre solo il percorso interno è una mancanza che sai nominare.

L'esportazione. Riesci a tirare fuori la tua cronologia, in un formato che sai aprire? Questa è l'uscita, e un'app sicura del proprio valore ti lascia andar via con quello che ci hai messo dentro. Su un'app che sta solo sul dispositivo conta anche per il motivo opposto: un archivio locale non ha nessun backup automatico, quindi l'esportazione è l'unica copia che sopravvive a un telefono perso.

Il blocco. Metti un PIN o il Face ID sull'app, se lo offre, poi mandati un promemoria di prova e guarda la schermata di blocco. Il modo più probabile in cui un registro del ciclo viene letto da qualcun altro è che ti prenda il telefono sbloccato, e il secondo più probabile è che una notifica abbia annunciato qualcosa su uno schermo che chiunque può vedere. La mappa completa di chi altro potrebbe arrivarci sta in chi può vedere i dati del tuo ciclo.

Dai un voto su dieci

• 2Nessun account richiesto. Sei arrivata al calendario senza un indirizzo email.
• 2Funziona tutto in modalità aereo. Annotare, cronologia e stime, senza connessione.
• 1Niente sotto tracciamento o pubblicità nell'etichetta sulla privacy dello store.
• 1I dati sanitari sono nominati a parte rispetto ai dati d'uso nell'informativa.
• 1Le terze parti sono nominate, non descritte come una categoria.
• 1La cancellazione funziona da tutti e due i posti se c'è un account, o dalla sola app se non c'è.
• 1L'esportazione produce un file che sai leggere.
• 1Blocco dell'app, e niente di specifico sulla schermata di blocco.

Otto o più e l'app è costruita in modo che quasi tutte le strade fuori dal tuo telefono siano chiuse. Da cinque a sette ed è un'app ragionevole, la cui riservatezza dipende dal fatto che l'azienda continui a comportarsi come dice la sua informativa. Sotto cinque ti stai fidando interamente dell'informativa: c'è chi lo farà sapendolo, ed è una scelta che spetta a lei.

Cosa questa prova non può dirti

Ecco il limite, detto chiaro, perché una checklist che finge di essere più di quello che è sarebbe peggio di nessuna checklist.

Ogni verifica qui sopra misura capacità e dichiarazioni. Nessuna misura la condotta. Un'app può prendere nove ed essere comunque gestita da un'azienda che fa qualcosa che la sua informativa non descrive, e tu da fuori non avresti modo di vederlo. Non è un'ipotesi di scuola: le due vicende sanzionatorie documentate contro app del ciclo riguardavano tutte e due quello che si sosteneva fosse stato fatto, non quello che era stato dichiarato, e tutte e due sono venute a galla solo perché un'autorità è andata a guardare.

Vale la pena tenere in vista anche il contrappeso. Quando l'Information Commissioner's Office britannico ha esaminato le app del ciclo e della fertilità nel 2024, ha riferito che non sono stati individuati problemi gravi di conformità né prove di danni, pur esortando gli sviluppatori a mettere la privacy al primo posto. E la categoria più ampia è il motivo per cui questa prova va fatta: una scoping review sottoposta a revisione fra pari sulle app per la salute ha trovato che la maggior parte di quelle esaminate, venti su ventitré, condivideva dati degli utenti con terze parti.

E la legge non è la rete di sicurezza che quasi tutti danno per scontata. Le linee guida della FTC dicono che molte aziende che raccolgono informazioni sulla salute — un contapassi, un'app per la dieta, un misuratore di pressione connesso — non rientrano nell'HIPAA, e che al loro posto si applicano l'FTC Act e la Health Breach Notification Rule. Utile, reale, e in gran parte una faccenda di avvisarti dopo.

Quindi questa prova risponde bene a una domanda: cosa può fare quest'app con quello che le do? Quella è la domanda che ha una risposta. "Si comporteranno bene?" non ce l'ha, ed è per questo che un'app che non tiene niente vale più di un'app che promette tutto.

Dove sta Athena, e cosa usare intanto

Athena è l'app dietro questo sito. It is on the App Store and Google Play. Su questo sito non c'è niente in vendita e non c'è niente per cui iscriversi. Fai questa prova su Athena invece di prendere per buona una descrizione. Il progetto: i dati del ciclo scritti in un archivio privato sul telefono, le stime calcolate sul dispositivo, nessun account e nessuna copia su un server. Quello che esce sono diagnostiche anonime verso Firebase — quali funzioni vengono usate, i crash, il modello di telefono — che non portano niente di quello che annoti. Solo-sul-dispositivo vuol dire anche nessun backup automatico, quindi lì l'esportazione non è un ammennicolo: è l'unica copia.

Nel frattempo gli strumenti di qui sono gratis, senza account e non c'è niente da installare. Il Calcolatore delle mestruazioni stima le prossime mestruazioni a partire dalle ultime e dalla tua durata abituale del ciclo, con l'intervallo stampato accanto a ogni data, e sono stime e non promesse e non sono mai un metodo contraccettivo. E il Calendario mestruale da stampare prende dieci su dieci nella prova qui sopra con il metodo meno interessante che esista: è un foglio di carta.