Jakie dane naprawdę zbierają aplikacje do miesiączki?

Aplikacja do miesiączki zbiera trzy osobne rodzaje danych i tylko pierwszy jest tym, który chciałaś oddać. Jest to, co wpisujesz: daty, krwawienie, ból, nastrój, seks, leki, notatki. Jest to, co aplikacja z tego wylicza, łącznie z faktami, których nigdy nie zapisałaś, jak prawdopodobny dzień owulacji albo ciąża. I jest to, co przychodzi bez dotknięcia ekranu: model urządzenia, raporty o awariach, które ekrany otwierałaś, a w części aplikacji identyfikator reklamowy i zapis reklamy, którą kliknęłaś przed instalacją. Który z tych trzech trzyma konkretna aplikacja, nikt ci nie powie z zewnątrz. Stoi to w jej własnej etykiecie w sklepie i w polityce prywatności, a te dwa dokumenty są jedynym uczciwym miejscem do sprawdzenia.

Dalej stoi pełna klasyfikacja, to, co etykieta w sklepie dowodzi, a czego nie, i to, co regulatorzy naprawdę znaleźli, gdy poszli sprawdzić. Zbieranie jest osobnym pytaniem od udostępniania, a ten artykuł jest o tym pierwszym.

Warstwa pierwsza: to, co wpisujesz

Daty początku cyklu są podłogą. Prawie nic innego w kalendarzu bez nich nie działa, a same w sobie są już zapisem czegoś prywatnego.

Wszystko nad podłogą jest opcjonalne, a większość aplikacji prosi o dużo: natężenie krwawienia, skurcze, bóle głowy, plamienie, nastrój, sen, energię, apetyt, skórę, seks i to, czy był zabezpieczony, antykoncepcję i kiedy była brana, leki, wagę, temperaturę podstawową ciała, śluz szyjkowy, wyniki testów owulacyjnych i notatkę własnymi słowami. Część pyta, czy starasz się o ciążę, a część prosi o zapisanie ciąży albo jej zakończenia.

Warto zatrzymać się przy notatce własnymi słowami. Pola z gotowymi odpowiedziami są nudne z założenia — liczba, ptaszek, poziom. Notatka jest tym, co myślałaś o jedenastej w nocy, i jest polem, które najtrudniej czymkolwiek zanonimizować, bo się nie da. Pisz notatki tak, jakby były najbardziej wrażliwą rzeczą w aplikacji, bo są.

Kartka papieru natomiast zbiera dokładnie to, co na niej napiszesz, i nic więcej. Dlatego na tej stronie stoi Kalendarz miesiączkowy do druku, a dla osób, których lekarz poprosił o kilka miesięcy zapisu, dłuższy Dziennik objawów do druku. Papier nie umie się synchronizować, nie umie się zawiesić i nie umie zadzwonić do domu.

Warstwa druga: to, co aplikacja wylicza

To warstwa, której nikt nie liczy, a często bardziej odkrywcza.

• Prognoza Daty, których nie wpisałaś

  Twój następny okres, okno płodności, szacowany dzień owulacji. To arytmetyka na twojej własnej historii, to szacunki z przedziałem wokół siebie i to nie jest metoda antykoncepcji. Ale są też nowymi danymi o tobie, które nie istniały, zanim cokolwiek zainstalowałaś.

• Wniosek Stany, których nigdy nie zapisałaś

  Okres, który nie przychodzi na czas, a po nim cisza, to wzór. Tak samo zapisanie ciąży, a potem przerwanie zapisywania. Aplikacja nie potrzebuje pola z napisem „poronienie”, żeby trzymać jego kształt. Ten wniosek istnieje w danych niezależnie od tego, czy aplikacja kiedykolwiek ci go pokaże albo nazwie w swojej polityce.

• Wyliczenie Profil tego, jak się zachowujesz

  Średnia długość cyklu, jak bardzo się waha, które objawy chodzą razem, o której porze dnia otwierasz aplikację, ile dni z rzędu jej używasz. Część z tego jest tym, co czyni aplikację przydatną. Całość jest mimo to zapisem.

Arytmetyka pod pierwszym wierszem nie jest tajemnicą i możesz zobaczyć, jak się dzieje: Kalkulator długości cyklu bierze kilka dat początku i wylicza twoją średnią oraz to, jak daleko twoje własne cykle odchylają się w obie strony, bez konta. To mniej więcej ten sam rachunek, który robi kalendarz w telefonie. Różnica między narzędziem a aplikacją nie tkwi w matematyce. Tkwi w tym, gdzie ta matematyka się dzieje i co po sobie zostawia.

Warstwa trzecia: to, co przychodzi bez wpisywania

Najjaśniejszym dowodem na to, że ta warstwa istnieje, jest to, że oba sklepy każą deweloperom ją zadeklarować. Strona pomocy Apple opisuje sekcję z informacjami o prywatności w App Store w dwóch kategoriach, które warto czytać powoli. „Dane powiązane z tobą” to dane zbierane w sposób powiązany z twoją tożsamością, na przykład z twoim kontem albo urządzeniem. „Dane używane do śledzenia cię” to dane z aplikacji łączone z danymi zebranymi z aplikacji, stron albo zasobów offline innych firm i używane do reklamy lub udostępniane brokerowi danych. Google pisze, że deweloperzy używają sekcji Bezpieczeństwo danych, żeby opisać, jak ich aplikacja zbiera dane, udostępnia je i się z nimi obchodzi, łącznie z praktykami bezpieczeństwa i możliwościami usunięcia danych.

W praktyce w tej warstwie lądują zwyczajne meble tworzenia aplikacji: model urządzenia i wersja systemu, raporty o awariach, które funkcje są używane i jak długo, identyfikator instalacji oraz — tam, gdzie aplikacja niesie reklamy albo mierzy, skąd wzięły się jej instalacje — identyfikator reklamowy i dane atrybucji łączące twoją instalację z reklamą, którą kliknęłaś.

Nic z tego samo w sobie nie jest złowrogie; raport o awarii jest sposobem, w jaki naprawia się błędy. Rodzajem różni się identyfikator reklamowy, bo jest zaprojektowany tak, żeby był tym samym identyfikatorem w aplikacjach innych firm. Czy konkretny kalendarz go niesie, nie sprawdzimy za ciebie. Deklaruje to jego własna etykieta w sklepie.

Czego dowodzi etykieta prywatności w sklepie, a czego nie

Obie etykiety są przydatne i obie czyta się często źle, więc oto granica słowami każdej z firm.

Apple pisze, że informacje w sekcji prywatności w App Store podaje o sobie sam deweloper. Sekcja Bezpieczeństwo danych Google jest tak samo własną deklaracją dewelopera o jego aplikacji. Google idzie dalej i pisze, że jeśli aplikacja pokazuje niezależny przegląd bezpieczeństwa, ten przegląd nie weryfikuje poprawności ani kompletności deklaracji dewelopera w sekcji Bezpieczeństwo danych.

Etykieta prywatności to oświadczenie, które deweloper złożył o sobie. Nie jest audytem i żaden ze sklepów nie twierdzi, że jest.

To nie czyni etykiet bezwartościowymi. Deklaracja jest zobowiązaniem, do którego firmę można przypiąć, a przeczytanie jej zajmuje minutę. Znaczy tylko tyle, że etykieta stoi na początku twojego sprawdzania, a nie na końcu. Jeśli chcesz procedury zamiast zasady, dziesięciominutowa kontrola prywatności jest tą musztrą: co otworzyć, w jakiej kolejności i ile warta jest każda odpowiedź.

Co regulatorzy naprawdę znaleźli

Ten temat przyciąga znacznie więcej emocji niż dowodów, więc dalej stoją wyłącznie oficjalne działania z publicznymi dokumentami, a sformułowania są ich sformułowaniami.

W styczniu 2021 amerykańska Federal Trade Commission ogłosiła ugodę z twórcą szeroko używanej aplikacji do śledzenia płodności. Skarga FTC zarzucała, że firma obiecywała zachować dane o zdrowiu użytkowniczek w prywatności, a jednocześnie ujawniała je zewnętrznym dostawcom analityki. Firma zawarła ugodę, ani nie przyznając się do zarzutów, ani im nie zaprzeczając, i zgodziła się uzyskiwać wyraźną zgodę przed udostępnianiem danych o zdrowiu w przyszłości.

W maju 2023 FTC postawiła twórcy aplikacji do owulacji zarzut udostępniania wrażliwych informacji osobowych użytkowniczek stronom trzecim i niepoinformowania ich o tym, wbrew Health Breach Notification Rule. Sprawa zakończyła się orzeczeniem na wniosek stron, znowu bez przyznania się firmy do zarzutów i bez zaprzeczenia im, i objęła karę cywilną w wysokości stu tysięcy dolarów.

Dwa postępowania to nie werdykt o całej branży, a przeciwwaga należy do tego samego oddechu. Gdy brytyjskie Information Commissioner's Office przejrzało w 2024 roku aplikacje do miesiączki i płodności, zgłosiło, że nie stwierdzono poważnych naruszeń ani dowodów szkód, wzywając jednocześnie deweloperów, by traktowali prywatność priorytetowo.

Szerszy obraz aplikacji zdrowotnych w ogóle jest mniej wygodny i to powód, żeby sprawdzać, a nie zakładać. Recenzowany przegląd aplikacji zdrowotnych wykazał, że większość zbadanych, dwadzieścia z dwudziestu trzech, udostępniała dane użytkowników stronom trzecim.

Jeszcze jedno, co ludzi zaskakuje: w Stanach dane o zdrowiu w aplikacji, którą pobrałaś sama, zwykle nie podlegają prawu o prywatności medycznej. Własne wytyczne FTC mówią, że wiele firm zbierających informacje o zdrowiu ludzi — opaska fitness, aplikacja do diety, połączony ciśnieniomierz — nie podlega HIPAA i że stosuje się do nich zamiast tego FTC Act oraz Health Breach Notification Rule.

Trzymanie i wysyłanie to dwa różne pytania

Wszystko powyżej dotyczy tego, co kalendarz ma. Dokąd to idzie dalej, jest osobną mapą z własnymi trasami: firma, jej dostawcy analityki i raportów o awariach, reklamodawcy tam, gdzie jest model reklamowy, nabywca, jeśli firma zostanie sprzedana, i osoba, która podnosi twój odblokowany telefon. Tę mapę rysuje kto może zobaczyć twoje dane o cyklu i warto czytać ją obok tej, bo aplikacja może zbierać bardzo dużo i wysyłać prawie nic albo zbierać mało i wysyłać wszystko.

Strukturalny argument za tym, dlaczego oba pytania zlewają się w jedno, gdy dane nigdy nie opuszczają telefonu, stoi w różnicy między obietnicą prywatności a architekturą. Krótka wersja: obietnica ma trzy sposoby zawodzenia, które nie mają nic wspólnego z intencją, a aplikacja, która nic nie trzyma, przeżywa wszystkie trzy.

Cztery rzeczy, które możesz zrobić w tym tygodniu

1. Przeczytaj etykietę swojego kalendarza. Stoi na stronie w sklepie pod „Prywatność w aplikacji” albo „Bezpieczeństwo danych”. Zauważ, czy cokolwiek pojawia się przy śledzeniu albo reklamie.
2. Wyłącz połączenie i użyj aplikacji przez dzień. Jeśli zapisywanie, historia i prognozy dalej działają w trybie samolotowym, praca dzieje się na twoim urządzeniu.
3. Opróżnij pole notatek z wszystkiego, czego nie chciałabyś usłyszeć na głos. Pola z gotowymi odpowiedziami bywają nudne. Wolny tekst nigdy.
4. Znajdź eksport, zanim będzie ci potrzebny. Aplikacja, z której możesz odejść z nienaruszoną historią, to aplikacja, co do której możesz zmienić zdanie.

Gdzie stoi Athena

Athena to aplikacja stojąca za tą stroną. It is on the App Store and Google Play. Nic na tej stronie nie jest na sprzedaż i nie ma się do czego zapisywać. Dalej jest opis tego, jak aplikacja jest zbudowana; sprawdzić go można na samej aplikacji.

Warstwa pierwsza jest zapisywana w prywatnej bazie w telefonie. Warstwa druga jest liczona na urządzeniu z warstwy pierwszej. Nie ma konta, więc żadna z tych warstw nie ma kopii na serwerze. Warstwa trzecia nie jest niczym, a udawanie inaczej oblałoby własny test tego artykułu: aplikacja wysyła anonimową diagnostykę do Firebase — z których funkcji się korzysta, raporty o awariach, model urządzenia — niosącą nic, co zapisujesz, i żadnego identyfikatora reklamowego. To cała lista.

Koszt tego projektu warto powiedzieć wprost, bo jest prawdziwy. Dane, które żyją tylko w twoim telefonie, nie mają automatycznej kopii zapasowej. Jeśli telefon zginie, a nigdy nic nie wyeksportowałaś, historia przepada. Aplikacja zbudowana w ten sposób jest ci winna porządny eksport, a ty jesteś sobie winna nawyk korzystania z niego.