Anonimowe śledzenie cyklu: co to znaczy, a czego znaczyć nie może

Anonimowe to jedno słowo wykonujące trzy różne zadania, a nie są one warte tyle samo. Może znaczyć bez konta, czyli nigdy nie wpisujesz imienia ani adresu e-mail. Może znaczyć niepowiązane, gdzie twój cykl wciąż podróżuje na serwery firmy, ale jest celowo odseparowany od wszystkiego, co cię identyfikuje. Albo może znaczyć nigdy nieprzesyłane, gdzie nic o twoim cyklu w ogóle nie opuszcza telefonu. Tylko to trzecie jest obietnicą, którą sprawdzisz sama, w minutę, wyłączając połączenie.

Dalej idzie to, jak odróżnić te trzy z zewnątrz, co firmy składające każdą z tych obietnic naprawdę o nich publikują i to, czego żadna z nich nie obejmuje.

Trzy znaczenia, według tego, ile zaufania od ciebie żądają

• Bez konta

  Aplikacja otwiera się prosto w kalendarzu. Bez e-maila, bez hasła, bez ściany z rejestracją. To jest prawdziwe i warte posiadania, ale jest faktem o drzwiach wejściowych, a nie o budynku.

  Zapytaj: czy cokolwiek nadal opuszcza telefon?
• Niepowiązane

  Twoje dane o cyklu docierają na serwer, a firma zbudowała coś, co ma powstrzymać powiązanie tych danych z tobą. To prawdziwa dyscyplina inżynierska i zarazem ta, której nie możesz obejrzeć.

  Zapytaj: kto trzyma którą połowę i kto tak mówi?
• Nigdy nieprzesyłane

  Nic o twoim cyklu nigdzie nie jest wysyłane. Nie ma serwerowej opowieści, której trzeba zaufać, bo nie ma serwerowej strony.

  Zapytaj: czy działa w trybie samolotowym?

Prawie każdy spór o anonimowe śledzenie cyklu jest naprawdę sporem o to, które z tych trzech się komuś sprzedaje. Słowo na wpisie w sklepie jest we wszystkich trzech przypadkach to samo.

Bez konta to rzecz najłatwiejsza do sprawdzenia i najłatwiejsza do przecenienia

Konto istnieje po to, żeby dane mogły żyć gdzieś poza twoim telefonem. Jeśli aplikacja nigdy o nie nie prosi, powiedziała ci coś konkretnego, zanim wpisałaś jedną datę, i dlatego tekst używanie kalendarza bez konta zadaje pierwsze pytanie warte zadania o którejkolwiek z nich.

Nie jest to pytanie ostatnie. Brak e-maila nie znaczy braku identyfikatora. Oprogramowanie rozmawiające z serwerem może doczepić do tego, co wysyła, losowy identyfikator instalacji, model urządzenia, wersję systemu i adres IP, nigdy nie znając twojego imienia. Nic z tego nie jest twoją tożsamością w taki sposób, w jaki jest nią adres e-mail. Wszystko to jest uchwytem, a uchwyty można łączyć z innymi uchwytami.

„Bez rejestracji” odpowiada więc uczciwie na wąskie pytanie i zostawia szerokie otwartym. Szerokie brzmi: czy twoje krwawienie, twój ból, twoje nastroje i twoje życie seksualne gdziekolwiek idą.

Jak wygląda konstrukcja rozdzielająca, słowami samej firmy

Najjaśniejszy opublikowany przykład drugiego rodzaju pochodzi od Flo. Flo opisuje swój Anonymous Mode jako funkcję pozwalającą prowadzić zapis zdrowia bez wiązania z danymi zdrowotnymi twojego imienia, adresu e-mail, adresu IP ani żadnych innych identyfikatorów. Flo stwierdza, że zapytania idą przez przekaźnik Oblivious HTTP, tak że przekaźnik widzi adres IP, ale nie dane zdrowotne, a Flo widzi dane zdrowotne, ale nie tożsamość, oraz że nawet Flo nie jest w stanie zidentyfikować osób z tego korzystających.

Zdejmij żargon, a pomysł jest prosty i całkiem dobry. Dwie strony trzymają po jednej połowie tego, czego trzeba, żeby wskazać ciebie. Pośrednik wie, skąd przyszła wiadomość, ale nie umie jej odczytać. Cel umie ją odczytać, ale nie wie, skąd przyszła. Żadne z nich nie ma obu połów, więc żadne nie może ich połączyć.

To prawdziwa konstrukcja, a nie hasło, i jest czymś więcej, niż próbuje większość aplikacji w tej kategorii. Warto powiedzieć to wprost, bo uczciwa krytyka, która za tym idzie, nie mówi, że pomysł jest zły.

Część, której nie sprawdzisz

Jesteś na zewnątrz. Stamtąd możesz przeczytać opis architektury; nie zobaczysz serwerów, kodu faktycznie na nie wgranego, tego, kto obsługuje przekaźnik, co jest logowane po obu stronach ani co zmieni się w przyszłym roku. Każde twierdzenie drugiego rodzaju jest twierdzeniem o oprogramowaniu, którego nigdy nie uruchomisz i nie zaobserwujesz. Nie możemy tego sprawdzić i ty też nie.

Właśnie dlatego ludzie w ogóle zadają to pytanie. W styczniu 2021 roku amerykańska Federal Trade Commission ogłosiła ugodę z twórcą szeroko używanej aplikacji do śledzenia płodności; FTC zarzucała, że firma obiecywała trzymać dane zdrowotne użytkowniczek w prywatności, ujawniając je jednocześnie zewnętrznym dostawcom analityki, a firma zawarła ugodę, ani nie przyznając się do zarzutów, ani im nie zaprzeczając. Uczciwa przeciwwaga należy do tego samego oddechu: kiedy brytyjskie Information Commissioner's Office przejrzało w 2024 roku aplikacje miesiączkowe i płodnościowe, podało, że nie stwierdzono poważnych problemów ze zgodnością ani dowodów szkód, jednocześnie wzywając twórców, by traktowali prywatność priorytetowo.

Żadna z tych rzeczy nie mówi ci, co jakiś konkretny serwer robi dzisiaj. I o to chodzi. Konstrukcji, której nie możesz obejrzeć, albo się ufa, albo nie, a zaufanie jest rozsądną rzeczą do dania — po prostu należy do innej kategorii niż dowód.

Obietnica o obchodzeniu się z danymi jest tak trwała, jak firma, która się z nimi obchodzi. Konstrukcja, w której dane nigdy się nie ruszyły, nie potrzebuje, żeby firma dotrzymała słowa.

Nigdy nieprzesyłane i polityki, które to opisują

Trzeci rodzaj jest najprostszy do powiedzenia i najprostszy do przetestowania. Aplikacje zbudowane w ten sposób opisują dwie opublikowane polityki.

Polityka prywatności drip stwierdza, że nie ma zbierania danych o użyciu ani informacji osobowych, nie ma reklam ani oprogramowania szpiegującego; że dane o cyklu miesiączkowym przechowywane są lokalnie na urządzeniu i inne aplikacje nie mają do nich dostępu; oraz że usunięcie danych aplikacji w ustawieniach albo jej odinstalowanie te dane kasuje. Niesie też zastrzeżenie warte więcej niż większość marketingu prywatności: mówi, że automatyczna kopia zapasowa w chmurze może mimo to powstać, zależnie od ustawień twojego urządzenia. Polityka dodaje, że kod źródłowy można przeczytać, żeby sprawdzić, czy to wszystko jest prawdą.

Polityka prywatności Euki stwierdza, że nie zbiera od użytkowników żadnych informacji osobowych ani innych, w tym przez korzystanie przez nich z aplikacji, poza informacjami wysłanymi dobrowolnie przy kontakcie z pomocą, i że aplikacja nie śledzi swoich użytkowników na potrzeby reklamy kierowanej.

Zastrzeżenie drip to ta rzecz, którą warto zabrać ze sobą, bo dotyczy każdej aplikacji działającej tylko lokalnie, łącznie z tą. Własna kopia zapasowa twojego telefonu potrafi zdjąć lokalną bazę z urządzenia nawet wtedy, gdy aplikacja nigdy nic nie wysyła. Konstrukcja aplikacji nie jest końcem tej opowieści; częścią są ustawienia kopii zapasowej twojego systemu, a te możesz obejrzeć sama. To jedno pasmo szerszej wymiany i warto je przeczytać porządnie, zanim wybierzesz stronę: z czego rezygnujesz, gdy nie ma synchronizacji w chmurze.

Co mówi etykieta w sklepie, a czego nie mówi

Oba sklepy publikują dziś podsumowanie prywatności, a słownictwo jest naprawdę użyteczne. Apple opisuje sekcję z informacjami o prywatności w App Store jako system, w którym informacje podaje o sobie sam deweloper. Własnymi słowami Apple: „dane powiązane z tobą” to dane zbierane w sposób powiązany z twoją tożsamością, na przykład z kontem albo urządzeniem, a „dane używane do śledzenia cię” to dane z aplikacji łączone z danymi zebranymi z aplikacji, stron albo zbiorów innych firm i używane do reklam lub udostępniane brokerowi danych.

To rozróżnienie jest dokładnie tym, o czym jest ten tekst, wydrukowanym na wpisie, zanim zainstalujesz. Aplikacja twierdząca, że jest anonimowa, a deklarująca dane zdrowotne powiązane z tobą, zaprzeczyła sobie publicznie, a to tania rzecz do zauważenia.

Granicą jest zwrot, którego używa Apple: podaje o sobie sam deweloper. Etykieta jest deklaracją dewelopera, a nie audytem. Jest szybkim filtrem i kiepskim dowodem, dlatego stoi wcześnie w tekście dziesięciominutowy sprawdzian każdego kalendarza, a nie na jego końcu.

Czego anonimowość ci nie kupuje

Żadna z tych trzech obietnic nie chroni telefonu w twojej ręce. Najbardziej prawdopodobny sposób, w jaki zapis miesiączki czyta ktoś inny, to nie wyciek ani wezwanie sądowe. To człowiek podnoszący odblokowany telefon.

Rzeczy, które naprawdę liczą się na tę odległość, są nudne i lokalne. Czy aplikacja ma własny PIN albo odblokowanie twarzą. Co mówią twoje powiadomienia na ekranie blokady, bo pomocne przypomnienie jest zarazem ogłoszeniem dla każdego, kto stoi obok. Czy telefon jest współdzielony albo czy kiedykolwiek robiono z niego kopię na komputerze, którego używa ktoś inny. I czy kopia twojej historii już leży w jakiejś innej aplikacji, do której zapisałaś się lata temu, z czym anonimowość nowej aplikacji nic nie robi — tę kopię trzeba usunąć tam, gdzie mieszka.

Jeśli niczego z tego nie da się zabezpieczyć, istnieje opcja w ogóle bez oprogramowania. Kalendarz miesiączkowy do druku daje kartkę papieru, której nie da się zsynchronizować, wykraść, zażądać sądownie ani powiązać z powrotem i którą trzymasz tam, gdzie trzymasz swoje rzeczy. A jeśli tym, czego naprawdę chciałaś od aplikacji, była arytmetyka, a nie przechowywanie, Kalkulator długości cyklu wylicza twoją średnią i to, jak bardzo się rusza, z kilku dat początku, za darmo i bez konta. Głębsze uzasadnienie oceniania architektury ponad politykę stoi w tekście co naprawdę czyni kalendarz prywatnym.

Gdzie stoi Athena

Athena to aplikacja, dla której istnieje ta strona. It is on the App Store and Google Play. Nic na tej stronie nie jest na sprzedaż i nie ma się do czego zapisywać. Dalej idzie opis tego, jak jest zbudowana; rzeczą do sprawdzenia tego jest sama aplikacja.

Jest trzeciego rodzaju. Miesiączki, objawy, notatki i temperatury zapisują się do prywatnej bazy w telefonie, prognozy liczą się na urządzeniu, a konta nie ma, więc nie ma na serwerze niczego, co dałoby się powiązać z tobą. Jeden uczciwy wyjątek, powiedziany, bo pominięcie go uczyniłoby tę stronę tym, na co narzeka: aplikacja wysyła anonimową diagnostykę do Firebase — z których funkcji się korzysta, raporty awarii, model urządzenia, nigdy nic, co zapisujesz. Nie ma w tym niczego, co zapisujesz o swoim cyklu. Sposób na sprawdzenie tego twierdzenia jest ten sam, który poleca cały ten tekst: wyłącz połączenie i zobacz, czy cokolwiek przestaje działać.