Quali dati raccolgono davvero le app del ciclo?

Un'app del ciclo raccoglie tre tipi di dati diversi, e solo il primo è quello che volevi consegnare. C'è quello che scrivi tu: date, flusso, dolore, umore, rapporti, farmaci, note. C'è quello che l'app ricava da lì, comprese cose che non hai mai scritto, come un probabile giorno di ovulazione o una gravidanza. E c'è quello che arriva senza che tu tocchi lo schermo: il modello del dispositivo, i rapporti sui crash, quali schermate hai aperto e, in alcune app, un identificativo pubblicitario e la traccia dell'annuncio che hai toccato prima di installarla. Quale dei tre una certa app detenga non è una cosa che qualcuno possa dirti dall'esterno. È scritta nell'etichetta dello store di quell'app e nella sua privacy policy, e quei due documenti sono l'unico posto onesto in cui guardare.

Quello che segue è la tassonomia per intero, cosa dimostra e cosa non dimostra l'etichetta dello store, e cosa hanno trovato davvero le autorità quando sono andate a guardare. La raccolta è una questione separata dalla condivisione, e questo articolo parla della prima.

Primo strato: quello che scrivi tu

Le date di inizio del ciclo sono il pavimento. Quasi nient'altro in un'app del ciclo funziona senza, e già da sole sono il registro di una cosa privata.

Tutto quello che sta sopra il pavimento è facoltativo e quasi tutte le app ne chiedono parecchio: intensità del flusso, crampi, mal di testa, spotting, umore, sonno, energia, appetito, pelle, rapporti e se erano protetti, contraccezione e quando l'hai presa, farmaci, peso, temperatura basale, muco cervicale, risultati dei test di ovulazione e una nota a testo libero. Alcune chiedono se stai cercando una gravidanza, e alcune ti chiedono di annotare una gravidanza o la sua fine.

La nota a testo libero è la parte su cui vale la pena fermarsi. I campi strutturati sono noiosi per costruzione — un numero, una spunta, un livello. Una nota è qualsiasi cosa tu stessi pensando alle undici di sera, ed è il campo che ha meno probabilità di essere reso anonimo da qualsiasi cosa, perché non si può. Scrivi le note come se fossero la cosa più sensibile dentro l'app, perché lo sono.

Un foglio di carta, al contrario, raccoglie esattamente quello che ci scrivi sopra e nient'altro. È per questo che su questo sito esiste il Calendario mestruale da stampare, e per questo c'è un Diario dei sintomi da stampare più lungo per chi si è sentita chiedere dalla propria dottoressa qualche mese di appunti. La carta non si sincronizza, non va in crash e non telefona a casa.

Secondo strato: quello che l'app ricava

È lo strato che nessuno conta, e spesso è quello che rivela di più.

• Stimato Date che non hai inserito

  Le prossime mestruazioni, una finestra fertile, un giorno stimato di ovulazione. Sono aritmetica sulla tua storia, sono stime con un intervallo intorno e non sono un metodo contraccettivo. Ma sono anche dati nuovi su di te che non esistevano prima che installassi qualcosa.

• Dedotto Stati che non hai mai annotato

  Mestruazioni che non arrivano puntuali, seguite dal silenzio, sono uno schema. Lo è anche annotare una gravidanza e poi smettere. A un'app non serve un campo chiamato "aborto spontaneo" per contenerne la forma. La deduzione esiste dentro i dati, che l'app te la mostri o la nomini nella sua policy oppure no.

• Derivato Un profilo di come ti comporti

  Durata media del ciclo, quanto varia, quali sintomi si presentano insieme, a che ora del giorno apri l'app, quanti giorni di fila l'hai usata. Una parte di tutto questo è ciò che rende l'app utile. Resta comunque tutto un registro.

L'aritmetica sotto la prima riga non è misteriosa, e puoi guardarla mentre succede: il Calcolatore della durata del ciclo prende qualche data di inizio e ricava la tua media e quanto i tuoi cicli oscillano intorno a quella, senza account. È più o meno il calcolo che fa un'app del ciclo. La differenza fra lo strumento e un'app non sta nella matematica. Sta in dove gira la matematica e in cosa lascia dietro di sé.

Terzo strato: quello che arriva senza che tu scriva niente

La prova più chiara che questo strato esista è che tutti e due gli store obbligano gli sviluppatori a dichiararlo. La pagina di assistenza di Apple descrive la sezione delle informazioni sulla privacy su App Store in due categorie che vale la pena leggere piano. "Dati collegati a te" vuol dire dati raccolti in un modo collegato alla tua identità, per esempio al tuo account o al tuo dispositivo. "Dati usati per tracciarti" vuol dire dati dell'app messi insieme a dati raccolti dalle app, dai siti o dalle proprietà offline di altre società, e usati per la pubblicità o condivisi con un data broker. Google dice che gli sviluppatori usano la sezione Sicurezza dei dati per descrivere come la loro app raccoglie, condivide e gestisce i dati, comprese le pratiche di sicurezza e le opzioni di cancellazione.

Nei fatti, le cose che finiscono in questo strato sono l'arredamento ordinario dello sviluppo di un'app: modello del dispositivo e versione del sistema operativo, rapporti sui crash, quali funzioni vengono usate e per quanto, un identificativo di installazione e — dove l'app porta pubblicità o misura da dove arrivano le installazioni — un identificativo pubblicitario e i dati di attribuzione che collegano la tua installazione all'annuncio che hai toccato.

Niente di tutto questo è sinistro di per sé; un rapporto sui crash è il modo in cui si sistemano i bug. La voce che è diversa per natura è l'identificativo pubblicitario, perché è progettato per essere lo stesso identificativo dentro le app di altre società. Se una certa app del ciclo ne porti uno, non possiamo verificarlo al posto tuo. È nella sua etichetta sullo store che questo si dichiara.

Cosa dimostra un'etichetta privacy di uno store, e cosa no

Tutte e due le etichette sono utili e tutte e due vengono spesso lette male, quindi ecco il limite con le parole di ciascuna società.

Apple afferma che le informazioni nella sezione privacy dell'App Store sono dichiarate dallo sviluppatore stesso. Anche la sezione Sicurezza dei dati di Google è la dichiarazione che lo sviluppatore fa sulla propria app. Google va oltre e dice che, quando un'app mostra una revisione di sicurezza indipendente, quella revisione non verifica l'accuratezza e la completezza della dichiarazione sulla Sicurezza dei dati fatta dallo sviluppatore.

Un'etichetta privacy è un'affermazione che lo sviluppatore ha fatto su se stesso. Non è un audit, e nessuno dei due store dice che lo sia.

Questo non rende le etichette inutili. Una dichiarazione è un impegno di cui una società può essere chiamata a rispondere, e leggerne una richiede un minuto. Vuol dire però che l'etichetta sta all'inizio dei tuoi controlli, non alla fine. Se vuoi la procedura invece del principio, il controllo privacy in dieci minuti è l'esercizio: cosa aprire, in che ordine, e quanto vale ogni risposta.

Cosa hanno trovato davvero le autorità

Questo argomento attira molto più calore che prove, quindi quello che segue si limita ai provvedimenti ufficiali con documenti pubblici, e le parole sono quelle.

Nel gennaio 2021 la Federal Trade Commission statunitense ha annunciato un accordo transattivo con lo sviluppatore di un'app per il monitoraggio della fertilità molto usata. Il ricorso della FTC sosteneva che la società avesse promesso di tenere privati i dati sanitari delle utenti mentre li comunicava a fornitori terzi di analisi. La società ha transatto, senza ammettere né negare le accuse, e ha accettato di ottenere in futuro un consenso esplicito prima di condividere dati sanitari.

Nel maggio 2023 la FTC ha accusato lo sviluppatore di un'app per l'ovulazione di aver condiviso informazioni personali sensibili delle utenti con terze parti e di non averle avvisate, in violazione della Health Breach Notification Rule. Il caso si è chiuso con un provvedimento concordato, di nuovo con la società che non ammetteva né negava le accuse, e con una sanzione civile di centomila dollari.

Due provvedimenti non sono un verdetto su un settore, e il contrappeso va detto nello stesso respiro. Quando l'Information Commissioner's Office britannico ha esaminato le app del ciclo e della fertilità nel 2024, ha riferito che non sono stati individuati problemi seri di conformità né prove di danni, pur invitando gli sviluppatori a mettere la privacy al primo posto.

Il quadro più ampio delle app sanitarie in generale è meno confortante, ed è il motivo per controllare invece di dare per scontato. Una scoping review sottoposta a revisione fra pari sulle app sanitarie ha trovato che gran parte di quelle esaminate, venti su ventitré, condivideva i dati delle utenti con terze parti.

Un'altra cosa che sorprende: negli Stati Uniti, i dati sanitari dentro un'app che hai scaricato tu di solito non sono coperti dalla legge sulla privacy medica. Le indicazioni della FTC dicono che molte società che raccolgono informazioni sanitarie delle persone — un tracker per l'attività fisica, un'app per la dieta, un misuratore della pressione connesso — non sono coperte dall'HIPAA, e che al loro posto si applicano l'FTC Act e la Health Breach Notification Rule.

Detenerli e mandarli sono domande diverse

Tutto quello che c'è sopra riguarda quello che un'app del ciclo ha. Dove va dopo è un'altra mappa, con le sue strade: la società, i suoi fornitori di analisi e di rapporti sui crash, gli inserzionisti dove c'è un modello pubblicitario, chi la compra se l'azienda viene venduta, e la persona che raccoglie il tuo telefono sbloccato. Quella mappa è disegnata in chi può vedere i dati del tuo ciclo, e vale la pena leggerla accanto a questa, perché un'app può raccogliere moltissimo e mandarne quasi niente, oppure raccogliere poco e mandarlo tutto.

L'argomento strutturale per cui le due domande diventano una sola quando i dati non escono mai dal telefono sta in la differenza fra una promessa di privacy e un'architettura. Versione breve: una promessa ha tre modi di fallire che non hanno niente a che vedere con le intenzioni, e un'app che non detiene niente sopravvive a tutti e tre.

Quattro cose che puoi fare questa settimana

1. Leggi l'etichetta della tua app del ciclo. Sta nella scheda dello store sotto Privacy dell'app o Sicurezza dei dati. Nota se compare qualcosa sotto tracciamento o pubblicità.
2. Spegni la connessione e usa l'app per un giorno. Se annotare, la cronologia e le stime funzionano ancora in modalità aereo, il lavoro sta succedendo sul tuo dispositivo.
3. Svuota il campo delle note di tutto quello che non vorresti sentir leggere ad alta voce. I campi strutturati possono essere noiosi. Il testo libero non lo è mai.
4. Trova l'esportazione prima che ti serva. Un'app che puoi lasciare con la cronologia intatta è un'app su cui puoi cambiare idea.

Dove sta Athena

Athena è l'app dietro questo sito. It is on the App Store and Google Play. Niente su questo sito è in vendita e non c'è niente per cui iscriversi. Quello che segue descrive com'è costruita; l'app stessa è la cosa su cui verificarlo.

Il primo strato è scritto in un database privato sul telefono. Il secondo è calcolato sul dispositivo a partire dal primo. Non c'è account, quindi nessuno dei due strati ha una copia su server. Il terzo strato non è niente, e far finta del contrario tradirebbe la prova che questo articolo stesso propone: l'app manda diagnostica anonima a Firebase — quali funzioni vengono usate, i rapporti sui crash, il modello del dispositivo — senza niente di quello che annoti e senza identificativo pubblicitario. L'elenco è tutto qui.

Il costo di quel progetto va detto chiaramente, perché è reale. I dati che vivono solo sul tuo telefono non hanno backup automatico. Se il telefono si perde e non hai mai esportato niente, la cronologia è persa. Un'app costruita così ti deve un'esportazione fatta bene, e tu devi a te stessa l'abitudine di usarla.