Sprawdzian prywatności aplikacji do miesiączki: oceń każdą w dziesięć minut

Kalendarz miesiączkowy da się ocenić w dziesięć minut sześcioma sprawdzianami i żaden z nich nie wymaga wiary w marketing. Przeczytaj etykietę prywatności w sklepie i zauważ, że to deklaracja samego dewelopera. Sprawdź, czy aplikacja każe założyć konto. Poużywaj jej kilka minut w trybie samolotowym. Poszukaj w polityce prywatności czterech słów: sprzedaż, udostępnianie, partnerzy, przejęcie. Znajdź usuwanie i eksport oraz sprawdź, czy przy koncie da się usunąć dane spoza aplikacji. Potem ustaw blokadę aplikacji i wyłącz podgląd na ekranie blokady. Na końcu masz uczciwy obraz tego, co aplikacja jest zbudowana móc zrobić — a to nie to samo co wiedza o tym, jak firma się zachowuje, i ostatnia sekcja mówi dlaczego.

To jest ćwiczenie. Dłuższy wywód za nim, razem z siedmioma pytaniami wartymi zadania i z powodem, dla którego architektura bije obietnicę, stoi w tekście co naprawdę czyni kalendarz miesiączkowy prywatnym. Tamten przeczytaj, jeśli chcesz zrozumieć rozumowanie. Ten przeczytaj, jeśli chcesz otworzyć aplikację teraz i rozstrzygnąć do obiadu.

Minuty 0 do 2: przeczytaj etykietę, potem ją zdyskontuj

Otwórz wpis aplikacji w sklepie i znajdź sekcję prywatności — App Privacy w App Store, Bezpieczeństwo danych w Google Play. Szukasz dwóch rzeczy: czy cokolwiek jest zadeklarowane pod śledzeniem albo reklamą i czy w ogóle pojawiają się dane zdrowotne.

Apple definiuje dwie kategorie, które warto rozumieć. „Dane powiązane z tobą” to dane zbierane w sposób powiązany z twoją tożsamością, na przykład z kontem albo z urządzeniem. „Dane używane do śledzenia cię” to dane z aplikacji łączone z danymi zebranymi z aplikacji, stron albo zbiorów innych firm i używane do reklam lub udostępniane brokerowi danych. Aplikacja, która w tej drugiej kategorii nie deklaruje niczego, powiedziała ci coś konkretnego.

Teraz dyskonto, słowami samych platform. Apple stwierdza, że informacje w tej sekcji podaje o sobie sam deweloper. Sekcja Bezpieczeństwo danych w Google też jest własną deklaracją dewelopera o tym, jak jego aplikacja zbiera, udostępnia i obchodzi się z danymi, łącznie z praktykami bezpieczeństwa i opcjami usuwania; Google dodaje, że jeśli aplikacja pokazuje niezależną recenzję bezpieczeństwa, taka recenzja nie weryfikuje trafności ani kompletności deklaracji dewelopera.

Etykieta jest więc zobowiązaniem, a nie audytem. Dwie dobrze wydane minuty i ani grama więcej wagi. Jeśli kategorie na niej brzmią jak obcy język, trzy rodzaje danych, jakie może trzymać kalendarz cyklu, rozpisuje tekst co naprawdę zbierają aplikacje miesiączkowe.

Minuty 2 do 5: ściana rejestracji i tryb samolotowy

Zainstaluj i patrz, o co prosi pierwszy ekran. Konto istnieje po to, żeby dane mogły żyć gdzieś poza twoim telefonem; aplikacja, która otwiera się prosto w kalendarzu, bez e-maila i bez rejestracji, powiedziała ci, dokąd idą twoje dane, zanim wpisałaś choć jedną datę. Zanotuj, którą dostałaś.

Potem test, którego nie przetrwa żaden marketing. Włącz tryb samolotowy i poużywaj aplikacji porządnie przez kilka minut: zapisz początek miesiączki, otwórz historię, spójrz na prognozę, zmień ustawienie. Jeśli wszystko działa, obliczenia idą na twoim urządzeniu. Jeśli się zacina, kręci albo pokazuje błąd, nie idą.

Jedno uczciwe zastrzeżenie, bo ten test bywa przereklamowany. Działanie offline dowodzi, że arytmetyka jest lokalna. Nie dowodzi, że nic nie zostanie wysłane później, gdy wróci połączenie. Zawęża pytanie z „czy ta aplikacja zależy od serwera” do „czy ta aplikacja także z nim rozmawia”, a od tego są kolejne trzy minuty.

Minuty 5 do 8: cztery słowa w polityce prywatności

Otwórz politykę w przeglądarce i użyj wyszukiwania. Nie czytasz jej od deski do deski — nikt tego nie robi i o to właśnie chodzi w sposobie, w jaki są pisane. Cztery słowa, w tej kolejności.

1. Sprzedaż. Większość polityk pisze, że danych nie sprzedaje. I tak przeczytaj kolejne zdanie, bo udostępnianie to nie sprzedaż, a firma może szczerze odmawiać sprzedaży, udostępniając jednocześnie dane na potrzeby reklamy.
2. Udostępnianie. Tutaj jest treść. Do każdego znalezionego zdania zadaj jedno pytanie: czy strony trzecie są wymienione z nazwy, czy opisane jako kategoria? „Partnerzy analityczni” może znaczyć kogokolwiek. Listę nazw firm możesz pójść i sprawdzić.
3. Partnerzy. Poszukaj tego osobno, bo często stoi tam, gdzie nie stoi „udostępnianie”, i zwykle to właśnie to zdanie wykonuje całą pracę.
4. Przejęcie. Spróbuj też „fuzja” i „sprzedaż aktywów”. Prawie każda polityka mówi, że twoje dane przechodzą razem z firmą, jeśli firma zostanie sprzedana, a ten jeden zapis po cichu unieważnia każdą obietnicę stojącą nad nim, bo następną politykę pisze nabywca.

Piąte wyszukanie warte jest trzydziestu sekund: słowo zdrowie. Dobra polityka nazywa dane o twoim cyklu osobno od logów awarii i statystyk użycia. Mglista wrzuca wszystko do „informacji, które zbieramy”, a ciekawa część chowa się w tej szczelinie.

Minuty 8 do 10: wyjścia i telefon w twojej ręce

Usuwanie, w dwóch miejscach. Znajdź usuwanie w ustawieniach aplikacji. Potem, jeśli aplikacja ma konta, poszukaj drogi usunięcia przez stronę. To nie jest życzenie: Google Play wymaga, by aplikacja pozwalająca zakładać konto dawała zarówno ścieżkę usunięcia konta i powiązanych danych wewnątrz aplikacji, na tyle widoczną, by dało się ją znaleźć w ustawieniach konta albo podobnie, jak i link na stronie, gdzie można poprosić o usunięcie konta i danych — droga przez stronę istnieje właśnie po to, żebyś mogła poprosić także po odinstalowaniu. Aplikacja z kontem, która daje tylko ścieżkę wewnątrz siebie, ma lukę, którą potrafisz nazwać.

Eksport. Da się wyciągnąć historię w formacie, który potrafisz otworzyć? To jest wyjście, a aplikacja pewna własnej wartości pozwala ci odejść z tym, co włożyłaś. W aplikacji działającej tylko na urządzeniu liczy się to z odwrotnego powodu: lokalny zapis nie ma automatycznej kopii zapasowej, więc eksport to jedyna kopia, która przeżyje zgubiony telefon.

Blokada. Ustaw w kalendarzu PIN albo Face ID, jeśli je oferuje, potem wyślij sobie testowe przypomnienie i spójrz na ekran blokady. Najbardziej prawdopodobny sposób, w jaki zapis miesiączki czyta ktoś inny, to podniesienie twojego odblokowanego telefonu, a drugi najbardziej prawdopodobny to powiadomienie ogłaszające coś na ekranie, który widzi każdy. Pełną mapę tego, kto jeszcze mógłby tam sięgnąć, ma tekst kto może zobaczyć twoje dane o miesiączce.

Policz punkty na dziesięć

• 2Konto nie jest wymagane. Dotarłaś do kalendarza bez podawania adresu e-mail.
• 2Wszystko działa w trybie samolotowym. Zapisywanie, historia i prognozy, bez połączenia.
• 1Nic pod śledzeniem ani reklamą na etykiecie prywatności w sklepie.
• 1Dane zdrowotne są nazwane osobno od danych o użyciu w polityce.
• 1Strony trzecie są wymienione z nazwy, a nie opisane jako kategoria.
• 1Usuwanie działa z obu miejsc, jeśli jest konto, albo z samej aplikacji, jeśli konta nie ma.
• 1Eksport daje plik, który potrafisz odczytać.
• 1Blokada aplikacji i nic konkretnego na ekranie blokady.

Osiem albo więcej i aplikacja jest zbudowana tak, że większość dróg wyjścia z twojego telefonu jest zamknięta. Pięć do siedmiu i jest to rozsądna aplikacja, której prywatność zależy od tego, czy firma dalej będzie się zachowywać tak, jak mówi jej polityka. Poniżej pięciu ufasz wyłącznie polityce, co część osób zrobi świadomie i to ich decyzja.

Czego to ćwiczenie nie powie

Oto sufit, powiedziany wprost, bo lista udająca coś więcej, niż jest, byłaby gorsza niż żadna.

Każdy powyższy sprawdzian mierzy możliwości i deklaracje. Żaden nie mierzy postępowania. Aplikacja może zdobyć dziewięć punktów i nadal być prowadzona przez firmę, która robi coś, czego jej polityka nie opisuje, a ty nie miałabyś jak tego zobaczyć z zewnątrz. To nie jest teoretyczne: dwa udokumentowane postępowania przeciwko aplikacjom do śledzenia cyklu dotyczyły tego, co rzekomo zrobiono, a nie tego, co zadeklarowano, i oba były widoczne tylko dlatego, że regulator poszedł i sprawdził.

Warto mieć w polu widzenia także przeciwwagę. Kiedy brytyjskie Information Commissioner's Office przejrzało w 2024 roku aplikacje miesiączkowe i płodnościowe, podało, że nie stwierdzono poważnych problemów ze zgodnością ani dowodów szkód, jednocześnie wzywając twórców, by traktowali prywatność priorytetowo. A szersza kategoria jest powodem, żeby to ćwiczenie w ogóle zrobić: recenzowany przegląd zakresowy aplikacji zdrowotnych wykazał, że większość zbadanych, dwadzieścia z dwudziestu trzech, udostępniała dane użytkowników stronom trzecim.

Prawo też nie jest tym zabezpieczeniem, za jakie większość ludzi je bierze. Własne wytyczne FTC mówią, że wiele firm zbierających informacje zdrowotne — opaska fitness, aplikacja dietetyczna, połączony z siecią ciśnieniomierz — nie jest objętych HIPAA i że stosują się do nich zamiast tego FTC Act oraz Health Breach Notification Rule. Przydatne, realne i w dużej mierze polegające na poinformowaniu cię po fakcie.

To ćwiczenie odpowiada więc dobrze na jedno pytanie: co ta aplikacja może zrobić z tym, co jej dam? To pytanie ma odpowiedź. „Czy będą się zachowywać porządnie?” jej nie ma i dlatego aplikacja, która nic nie trzyma, jest warta więcej niż aplikacja, która obiecuje wszystko.

Gdzie stoi Athena i czego używać w międzyczasie

Athena to aplikacja, dla której istnieje ta strona. It is on the App Store and Google Play. Nic na tej stronie nie jest na sprzedaż i nie ma się do czego zapisywać. Zrób na niej to ćwiczenie, zamiast brać opis na wiarę. Konstrukcja: dane o cyklu zapisane w prywatnej bazie w telefonie, prognozy liczone na urządzeniu, bez konta i bez serwerowej kopii. Wychodzi anonimowa diagnostyka do Firebase — z których funkcji się korzysta, awarie, model urządzenia — nie niosąca nic z tego, co zapisujesz. Działanie tylko na urządzeniu znaczy też brak automatycznej kopii zapasowej, więc eksport nie jest tam dodatkiem; jest jedyną kopią.

Do tego czasu narzędzia na tej stronie robią tę arytmetykę za darmo i bez konta. Kalkulator miesiączki szacuje kilka kolejnych miesiączek z tej ostatniej i z twojej zwykłej długości cyklu, z przedziałem wydrukowanym obok każdej daty, a są to szacunki, a nie obietnice, i nigdy nie metoda antykoncepcji. A Kalendarz miesiączkowy do druku zdobywa w powyższym ćwiczeniu dziesięć na dziesięć najmniej ciekawą z dostępnych metod: jest kartką papieru.