Kto może zobaczyć twoje dane o miesiączce? Uczciwa mapa

Jeśli twoje dane o cyklu nigdy nie opuszczają telefonu, uczciwa odpowiedź brzmi: nikt — a jeśli je opuszczają, odpowiedzią nie jest nazwisko, tylko lista dróg. Jest ich siedem: sama firma, dostawcy, których wynajmuje do analityki i raportowania awarii, reklamodawcy tam, gdzie aplikacja zarabia na reklamie, nabywca, jeśli firma zostanie sprzedana, napastnik po włamaniu, strona składająca zgodne z prawem żądanie do tego, kto dane trzyma, oraz osoba, która bierze do ręki twój odblokowany telefon. Ta ostatnia jest najbardziej prawdopodobna i to na nią nikt się nie przygotowuje. To, które drogi są otwarte, zależy od tego, gdzie leżą dane, a nie od tego, jak szczerze brzmi firma.

Ta strona rysuje mapę tych dróg. Nie wskazuje żadnej aplikacji jako tej, która coś nimi wysłała, bo tylko dwie sprawy przeciwko aplikacjom miesiączkowym zostały kiedykolwiek udokumentowane przez regulatora i stoją niżej w jego własnych słowach. Cała reszta tutaj dotyczy tego, jak buduje się oprogramowanie.

Zacznij od kształtu, nie od złoczyńcy

Każde pytanie na tej stronie ma ten sam pierwszy krok: dowiedz się, gdzie leżą dane. Kształty są trzy i otwierają różne drogi.

Jeśli aplikacja pisze wyłącznie do bazy w twoim telefonie i nie wysyła żadnego zapytania sieciowego z twoim cyklem, większość poniższej mapy jest po prostu zamknięta. Nie ma kopii na serwerze, którą mógłby dostać dostawca, odziedziczyć nabywca, sięgnąć po nią napastnik albo o którą ktoś mógłby poprosić. Jeśli aplikacja synchronizuje się z chmurą za kontem, wszystkie te drogi są otwarte, niezależnie od tego, czy firma kiedykolwiek którejś użyła. Jeśli telefon jest oknem na bazę, którą firma ma u siebie, jest tak samo, a kopia jest oryginałem.

Nic z tego nie jest oskarżeniem. To opis tego, co jest architektonicznie możliwe, i jedyna część tego tematu, którą możesz sprawdzić sama. Co aplikacja w ogóle u siebie trzyma, to osobne pytanie, na które odpowiada tekst co naprawdę zbierają aplikacje miesiączkowe.

Siedem dróg

Przeczytaj ostatnią kolumnę w dół, a powtarza się jeden wzór. Sześć z siedmiu dróg zamyka się z tego samego powodu i nigdy nie jest nim obietnica. Jest nim to, że po drugiej stronie nie ma niczego.

Trzy, które ludzie lekceważą

Nabywca. To najcichszy zapis w każdej polityce prywatności i w prawie każdej stoi pod koniec. Zwykle mówi, że twoje dane przechodzą do kupującego razem z firmą. Każde dobre zdanie nad nim — deklaracje o udostępnianiu, wymienieni dostawcy, limity przechowywania — to polityka, którą napisał obecny właściciel, a nowy właściciel może napisać nową. Nie oceniasz tylko firmy, którą masz przed sobą. Oceniasz każdą firmę, która może ją później przejąć.

Włamanie. Szyfrowanie w spoczynku chroni bazę przed kimś, kto wyniesie dysk. Nie chroni jej przed kimś, kto wchodzi jako aplikacja, bo aplikacja musi umieć te dane czytać, żeby działać. To nie jest zarzut wobec czyjejkolwiek inżynierii; to powód, dla którego „wszystko szyfrujemy” odpowiada na węższe pytanie niż to, które ludziom się wydaje, że zadali.

Osoba trzymająca twój telefon. Partner, rodzic, współlokatorka, ktoś w pracy, kto podniósł go z biurka. Nie ma tu serwera, dostawcy ani polityki. To z dużą przewagą najczęstszy sposób, w jaki zapis miesiączki czyta ktoś, dla kogo nie był przeznaczony, a dwie rzeczy, które coś z tym robią, to blokada aplikacji i powiadomienia na ekranie blokady, które nie mówią nic konkretnego. Ustawienie obu zajmuje minutę i prawie nikt ich nie ustawia.

Co regulatorzy naprawdę stwierdzili

To ta część tematu, w której internet krzyczy najgłośniej, a dowodów jest najmniej, więc tu stoją wszystkie, w brzmieniu, które ma znaczenie.

W styczniu 2021 roku amerykańska Federal Trade Commission ogłosiła ugodę z twórcą szeroko używanej aplikacji do śledzenia płodności. Pozew FTC zarzucał, że firma obiecywała trzymać dane zdrowotne użytkowniczek w prywatności, ujawniając je jednocześnie zewnętrznym dostawcom analityki. Firma zawarła ugodę, ani nie przyznając się do zarzutów, ani im nie zaprzeczając, i zgodziła się uzyskiwać w przyszłości wyraźną zgodę przed udostępnieniem danych zdrowotnych.

W maju 2023 roku FTC postawiła twórcy aplikacji owulacyjnej zarzut udostępniania wrażliwych danych osobowych użytkowniczek stronom trzecim i niepoinformowania ich o tym, z naruszeniem Health Breach Notification Rule. Ta sprawa też zakończyła się postanowieniem ugodowym, znów bez przyznania się firmy do zarzutów i bez zaprzeczenia im.

Przeciwwaga do tych dwóch należy do tego samego oddechu: kiedy brytyjskie Information Commissioner's Office przejrzało w 2024 roku aplikacje miesiączkowe i płodnościowe, podało, że nie stwierdzono poważnych problemów ze zgodnością ani dowodów szkód, jednocześnie wzywając twórców, by traktowali prywatność priorytetowo.

Kategoria wokół tej jednej wypada mniej wygodnie. Recenzowany przegląd zakresowy aplikacji zdrowotnych wykazał, że większość zbadanych, dwadzieścia z dwudziestu trzech, udostępniała dane użytkowników stronom trzecim. To powód, żeby pytać o drogi, a nie zakładać najgorsze o jakiejś konkretnej nazwie, i dlatego Google wymaga od twórców zadeklarowania w sekcji Bezpieczeństwo danych, jak ich aplikacja zbiera dane, udostępnia je i się z nimi obchodzi.

Prawo chroni cię pewnie mniej, niż myślisz

Większość ludzi zakłada, że informacje zdrowotne w aplikacji podlegają prawu o prywatności medycznej. W Stanach zwykle nie podlegają. Własne wytyczne FTC mówią, że wiele firm zbierających informacje zdrowotne — opaska fitness, aplikacja dietetyczna, połączony z siecią ciśnieniomierz — nie jest objętych HIPAA i że zamiast tego stosują się do nich FTC Act i Health Breach Notification Rule.

To realna ochrona i to ona doprowadziła do obu powyższych spraw. To także w większości przepis o tym, że masz zostać poinformowana po tym, jak ujawnienie już nastąpiło, a to inny rodzaj ochrony niż to, że ujawnienie jest niemożliwe. Nic na tej stronie nie jest poradą prawną, a twoje prawa zależą od tego, gdzie mieszkasz; chodzi tu o coś węższego i o mechanizmy. Przepis może zobowiązać firmę, żeby ci powiedziała. Nie może cofnąć wysłanego zapytania.

Jak skrócić własną listę

Cztery rzeczy, w kolejności, w jakiej się zwracają. Ustaw blokadę aplikacji i wyłącz szczegółowe podglądy na ekranie blokady dla swojego kalendarza. Sprawdź, czy aplikacja działa z wyłączonym połączeniem, bo aplikacja, która nadal działa w trybie samolotowym, robi swoją arytmetykę tam, gdzie to widzisz. Przeczytaj w polityce zapis o sprzedaży i fuzji, a nie nagłówek. I znajdź eksport, żeby zmiana zdania później nic cię nie kosztowała.

Cała procedura, na czas, stoi w tekście dziesięciominutowy sprawdzian prywatności, a argument, dlaczego architektura bije obietnicę, w tekście co naprawdę czyni kalendarz prywatnym. Jeśli wolisz stanąć poza tym wszystkim, Kalendarz miesiączkowy do druku nie ma żadnej z tych dróg: papier nie ma dostawców, nabywcy ani włamania. Nie ma też kopii zapasowej, a to ta sama wymiana w innym płaszczu.

Gdzie w tym wszystkim stoi Athena

Athena to aplikacja stojąca za tą stroną. It is on the App Store and Google Play. Nic na tej stronie nie jest na sprzedaż i nie ma się do czego zapisywać. Dalej idzie opis tego, jak jest zbudowana; sprawdzić to trzeba na samej aplikacji.

Dane o cyklu zapisują się do prywatnej bazy w telefonie, a prognozy liczą się na urządzeniu. Nie ma konta, więc nie ma kopii na serwerze, do której mógłby sięgnąć dostawca, nabywca, napastnik albo żądanie. Co stąd wychodzi i czego pominięcie byłoby na tej stronie nieuczciwe: aplikacja wysyła anonimową diagnostykę do Firebase — z których funkcji się korzysta, raporty awarii, model urządzenia i wersję systemu — nie niosąc niczego, co zapisujesz, ani żadnego identyfikatora reklamowego. Droga siódma, osoba z twoim telefonem, w ogóle nie zamyka się architekturą i dlatego blokada aplikacji i ciche powiadomienia są warte więcej niż większość funkcji prywatnościowych.

Koszt tego projektu to jedna rzecz, którą każdy taki tekst powinien powiedzieć na głos. Tylko lokalnie znaczy brak automatycznej kopii zapasowej. Zgub telefon bez wyeksportowanych danych, a historia przepada, i żadne wsparcie nie odtworzy tego, czego nikt nigdy nie miał.

W międzyczasie narzędzia na tej stronie robią tę arytmetykę, którą robiłaby aplikacja. Kalkulator długości cyklu bierze kilka dat początku i daje ci twoją średnią, najkrótszy i najdłuższy cykl oraz rozrzut wokół nich — a to jest ta liczba, która naprawdę mówi, jak przewidywalny jest twój cykl.