L'app del ciclo più privata: cosa ti protegge davvero

L'app del ciclo più privata è quella che i tuoi dati non li tiene proprio. Un'app che conserva tutto sul dispositivo, non chiede un account e non fa nessuna richiesta di rete che contenga il tuo ciclo non può perderlo, venderlo o essere costretta a consegnarlo — non perché l'azienda sia affidabile, ma perché non c'è niente, da nessuna parte, da dare. Ogni altro tipo di promessa sulla privacy è una promessa sul comportamento futuro, e le promesse dipendono dal fatto che l'azienda resti la stessa azienda.

Quella distinzione — fra una promessa e un'architettura — è tutto questo articolo. Tutto quello che segue o è la prova che la distinzione conta, o è un modo per capire quale delle due ti stanno offrendo.

Che cosa può vedere di te un'app del ciclo

Un'app che segue il ciclo tiene un quadro insolitamente completo di una vita. Non solo date: sanguinamento, dolore, umore, sesso, contraccezione, farmaci, sonno, peso, se stai cercando una gravidanza, se hai smesso. Abbastanza per dedurre una gravidanza, una perdita, una diagnosi o una relazione, spesso prima che lo sappiano le persone intorno a te. È uno degli insiemi di dati più sensibili che una persona comune conservi, e quasi tutte lo consegniamo in una schermata di registrazione.

Se questo sia un problema dipende interamente da dove va a finire dopo. In questo mercato ci sono tre architetture, e non sono neanche lontanamente equivalenti:

• Solo sul tuo dispositivo. L'app scrive su un archivio dentro il telefono. Nessun account, nessuna sincronizzazione, nessun server. Non c'è niente da violare, niente da vendere, niente da chiedere per via giudiziaria e niente da ereditare se l'azienda viene comprata.
• Sul tuo dispositivo, con un backup sul cloud. Una copia sta sui server di qualcuno, di solito cifrata a riposo, di solito dietro un account. Le chiavi le tiene l'azienda, il che vuol dire che l'azienda — o chiunque possa obbligare l'azienda — può leggerla.
• Prima di tutto su un server. Il telefono è una finestra su un archivio che l'azienda possiede. È il modello più comune, perché rende possibili la sincronizzazione, l'accesso dal web, funzioni basate su dati aggregati e la pubblicità.

Non c'è niente di intrinsecamente disonesto nel terzo modello. È semplicemente una scommessa diversa: stai scommettendo sulle politiche dell'azienda, sulla sua sicurezza, su chi la comprerà e sulle giurisdizioni in cui opera, per tutto il tempo in cui i tuoi dati esisteranno.

Che cosa hanno accertato davvero le autorità

Qui vale la pena essere precise, perché questo argomento attira più calore che prove. Quello che segue si limita alle azioni ufficiali con documenti pubblici, e le parole contano.

Nel gennaio 2021 la Federal Trade Commission statunitense ha annunciato un accordo con lo sviluppatore di un'app per la fertilità molto usata. Il ricorso della FTC sosteneva che l'azienda avesse promesso di tenere riservati i dati sanitari delle utenti mentre li comunicava a fornitori esterni di analisi. L'azienda ha chiuso con un accordo, senza ammettere né negare le accuse, e si è impegnata a ottenere in futuro un consenso esplicito prima di condividere informazioni sanitarie. Vale la pena aggiungere, perché sta nel ricorso stesso della FTC, che ai destinatari delle analisi non è stato contestato nulla e che non era stato detto loro che i dati contenevano informazioni sanitarie.

Nel maggio 2023 la FTC ha accusato lo sviluppatore di un'app per l'ovulazione di aver condiviso informazioni personali sensibili delle utenti con terze parti senza avvisarle, in violazione della Health Breach Notification Rule. Anche quella vicenda si è chiusa con un provvedimento concordato, di nuovo con l'azienda che non ammetteva né negava, e portava una sanzione civile di 100.000 dollari.

Due azioni sanzionatorie non sono un verdetto su un settore, e il contrappeso onesto sta nello stesso paragrafo: quando l'Information Commissioner's Office britannico ha esaminato le app del ciclo e della fertilità nel 2024, ha riferito che non sono stati individuati problemi gravi di conformità né prove di danni, pur esortando gli sviluppatori a mettere la privacy al primo posto. Nel Regno Unito non c'è stata nessuna azione sanzionatoria contro un'app del ciclo.

Lo schema più ampio delle app per la salute in generale è meno tranquillizzante. Una scoping review sottoposta a revisione fra pari sulle app per la salute ha trovato che la maggior parte di quelle esaminate — 20 su 23 — condivideva dati degli utenti con terze parti. È la categoria in cui questo genere di app sta, ed è il motivo per chiedere dell'architettura invece di pensare il peggio di un nome in particolare.

La legge probabilmente ti protegge meno di quanto pensi

Quasi tutti danno per scontato che i dati sanitari dentro un'app siano coperti dalle leggi sulla privacy medica. Negli Stati Uniti di solito non lo sono. Le linee guida della FTC lo dicono chiaramente: molte aziende che raccolgono informazioni sulla salute — un contapassi, un'app per la dieta, un misuratore di pressione connesso — non rientrano nell'HIPAA. L'HIPAA regola chi eroga prestazioni sanitarie, le assicurazioni sanitarie e i loro fornitori. Un'app che hai trovato da sola e scaricato di solito non è nessuna di queste cose.

Quello che si applica è il diritto generale dei consumatori: l'FTC Act e la Health Breach Notification Rule, che obbliga le app che trattano dati sanitari ad avvisare gli utenti quando quei dati vengono comunicati senza autorizzazione. È una cosa reale, ed è la base su cui sono state portate tutte e due le azioni qui sopra. È anche una regola sull'avvisarti dopo, che è un tipo di protezione diverso dal fatto che i dati non escano mai dal telefono.

Una promessa, o un'architettura

Leggi abbastanza informative sulla privacy e ti accorgi che sono scritte per essere vere, non per essere chiare. "Non vendiamo i tuoi dati" può convivere con il condividerli per la pubblicità, perché condividere non è vendere. "I tuoi dati sono cifrati" di solito vuol dire cifrati in transito e a riposo su un server che l'azienda può decifrare. "Potremmo condividerli con partner fidati" è la frase che fa il lavoro, e non li nomina mai.

Niente di tutto questo è per forza una bugia. È una promessa su come un'azienda intende comportarsi, e una promessa ha tre modi di rompersi che non hanno niente a che fare con le intenzioni: l'azienda viene comprata e vale la politica del nuovo proprietario; l'azienda subisce una violazione; oppure l'azienda viene obbligata da un giudice. Una promessa non sopravvive a nessuno dei tre. Un'architettura in cui i dati non sono mai usciti dal dispositivo sopravvive a tutti e tre, perché non c'è nessuna copia che il nuovo proprietario, l'attaccante o il giudice possano raggiungere.

La domanda che vale la pena fare non è "lo condividerebbero?" ma "potrebbero farlo, se volessero o se fossero costretti?"

Sette domande per giudicare qualunque app del ciclo

Questo elenco lo percorri in circa cinque minuti, quasi tutto dalla scheda dell'app nello store e dalla sua informativa sulla privacy, prima di digitare una sola data.

1. Puoi usarla senza un account? Un account esiste perché i dati possano vivere da qualche parte che non è il tuo telefono. Se l'app si apre dritta sul calendario, senza email e senza muro di registrazione, ti ha già detto qualcosa di concreto prima che tu abbia inserito niente.
2. Funziona in modalità aereo? Spegni la connessione e usala per un giorno. Se funziona ancora tutto — annotare, stime, cronologia — i calcoli stanno avvenendo sul dispositivo. Se si blocca, no.
3. I dati sanitari sono nominati a parte nell'informativa? Le buone informative distinguono i dati del tuo ciclo dai registri dei crash e dalle analisi d'uso. Quelle vaghe mettono tutto insieme in "informazioni che raccogliamo", e la parte interessante si nasconde nel vuoto.
4. Le terze parti sono elencate per nome o per categoria? "Partner per le analisi" può voler dire qualunque cosa. Un'informativa che nomina le aziende è un'informativa che puoi davvero verificare.
5. Che cosa succede se l'azienda viene venduta? Questa clausola ce l'hanno quasi tutte le informative e non la legge quasi nessuno. Di solito dice che i tuoi dati passano insieme all'attività, il che in silenzio scavalca tutto quello che sta sopra.
6. Puoi esportare tutto, in un formato che sai leggere? È l'uscita. Un'app sicura del proprio valore ti lascia andar via con la tua cronologia; un'app che ti tiene i dati in ostaggio ti ha detto quanto pensa che valgano.
7. Cancellare l'app cancella i dati? Su un'app che sta solo sul dispositivo sì, perché non c'è nessun altro posto. Su un'app con account, cancellare toglie la copia sul telefono e lascia quella sul server. Cerca una cancellazione dentro l'app che nomini esplicitamente la copia sul server.

Percorso col cronometro, quell'elenco diventa una prova di dieci minuti che puoi fare sul tuo telefono, e alla domanda su che cosa un'app tenga, prima di tutto, risponde che cosa raccolgono davvero le app del ciclo. Se quello che vuoi è la mappa di dove possono andare dopo, quella è chi può vedere i dati del tuo ciclo.

Ci sono altre due cose da controllare che non sono domande per l'informativa. La prima è se l'app ha un blocco — un PIN o il Face ID — perché il modo più probabile in cui un registro del ciclo viene letto da qualcun altro è che ti prenda il telefono sbloccato. La seconda è che cosa dicono le notifiche sulla schermata di blocco, visto che un promemoria utile è anche un annuncio.

Quanto vale davvero "niente pubblicità, niente abbonamento, niente account"

Queste tre espressioni finiscono insieme nelle ricerche, e vale la pena separarle.

Niente pubblicità è quella che conta di più, perché la pubblicità è il modello di business che crea un motivo per condividere i dati. Un'app finanziata dalla pubblicità ha un incentivo che punta lontano da te; un'app finanziata da un acquisto unico o da un miglioramento facoltativo no.

Niente abbonamento riguarda il costo, non la privacy, e le due cose a volte sono in tensione. Un'app gratuita senza pubblicità e senza abbonamento va comunque pagata in qualche modo, ed è giusto chiedersi come.

Niente account è quella che cambia l'architettura invece degli incentivi, ed è per questo che è la prima domanda dell'elenco qui sopra.

Dove sta Athena

Athena è l'app per cui esiste questo sito. It is on the App Store and Google Play. Su questo sito non c'è niente in vendita e non c'è niente per cui iscriversi. Quello che segue è la descrizione di come è costruita, e l'app stessa è la cosa con cui verificarla.

È costruita secondo la prima architettura di questa pagina. Mestruazioni, sintomi, note e temperature vengono scritti in un archivio privato sul telefono. Le stime sono calcolate sul dispositivo. Non c'è un account, quindi non c'è niente in cui accedere e niente su un server da violare, vendere o consegnare. Tutto si può esportare, e cancellare l'app cancella i dati perché non esiste una seconda copia. Il modo per verificare tutto questo è la domanda due: spegni la connessione e guarda se smette di funzionare qualcosa.

Intanto gli strumenti di questo sito fanno i conti senza il registro. Il Calcolatore della durata del ciclo ricava la tua media e la sua dispersione da qualche data di inizio, e il Calcolatore delle mestruazioni la trasforma in una finestra invece che in una data. Se preferisci non fidarti affatto del software, il Calendario mestruale da stampare produce un foglio di carta, che nessuno può sincronizzare, violare o richiedere.

Tre pagine applicano questa checklist alle app che la gente digita davvero in un motore di ricerca. Le alternative a Clue e le alternative a Flo partono da quello che ogni azienda pubblica su di sé, e scegliere la prima app per il ciclo fa lo stesso per una lettrice di tredici anni che non ne ha mai avuta una.