Registro menstrual anônimo: o que significa e o que não pode significar

Anônimo é uma palavra fazendo três trabalhos diferentes, e eles não valem a mesma coisa. Pode querer dizer sem conta, em que você nunca digita um nome nem um e-mail. Pode querer dizer desvinculado, em que o seu ciclo ainda viaja até os servidores de uma empresa, mas é separado de propósito de qualquer coisa que te identifique. Ou pode querer dizer nunca transmitido, em que nada sobre o seu ciclo sai do celular. Só a terceira é uma promessa que você mesma consegue conferir, em um minuto, desligando a conexão.

O que vem a seguir é como distinguir as três de fora, o que as empresas que fazem cada tipo de promessa de fato publicam sobre isso, e a coisa que nenhuma delas cobre.

Os três sentidos, em ordem de quanta confiança eles te pedem

• Sem conta

  O app abre direto no calendário. Sem e-mail, sem senha, sem muro de cadastro. Isso é real e vale ter, mas é um fato sobre a porta da frente, não sobre o prédio.

  Pergunte: ainda sai alguma coisa do celular?
• Desvinculado

  Os dados do seu ciclo chegam a um servidor, e a empresa construiu algo que deveria impedir que esses dados sejam ligados de volta a você. Isso é uma disciplina de engenharia de verdade, e também é a que você não consegue inspecionar.

  Pergunte: quem segura qual metade, e quem diz isso?
• Nunca transmitido

  Nada sobre o seu ciclo é enviado para lugar nenhum. Não existe história do lado do servidor para confiar, porque não existe lado do servidor.

  Pergunte: funciona em modo avião?

Quase toda discussão sobre registro menstrual anônimo é, na verdade, uma discussão sobre qual dessas três estão vendendo a alguém. A palavra na página da loja é a mesma nos três casos.

Sem conta é a coisa mais fácil de conferir e a mais fácil de exagerar

Uma conta existe para que os dados possam morar em outro lugar que não o seu celular. Se um app nunca pede uma, ele te disse algo concreto antes de você ter digitado uma única data, e é por isso que usar um app menstrual sem conta é a primeira pergunta que vale fazer sobre qualquer um deles.

Não é a última pergunta. Sem e-mail não quer dizer sem identificador. Um software que conversa com um servidor pode anexar um ID aleatório de instalação, um modelo de aparelho, uma versão de sistema operacional e um endereço IP a tudo o que envia, sem nunca saber o seu nome. Nada disso é a sua identidade do jeito que um endereço de e-mail é. Tudo isso é uma alça, e alças podem ser unidas a outras alças.

Então "sem cadastro" responde a uma pergunta estreita com honestidade e deixa a pergunta larga em aberto. A larga é se o seu sangramento, a sua dor, o seu humor e a sua vida sexual vão para algum lugar.

Como é um desenho de desvinculação, nas palavras da própria empresa

O exemplo publicado mais claro do segundo tipo vem da Flo. A Flo descreve o Modo Anônimo dela como um recurso que permite acompanhar a sua saúde sem que o seu nome, e-mail, endereço IP ou qualquer outro identificador seja ligado aos seus dados de saúde. A Flo afirma que as requisições são encaminhadas por um relé Oblivious HTTP, de modo que o relé vê o endereço IP mas não os dados de saúde, enquanto a Flo vê os dados de saúde mas não a identidade, e que nem a Flo consegue identificar quem usa esse modo.

Tire o jargão e a ideia é simples, e bastante boa. Duas partes seguram cada uma metade do que seria necessário para apontar para você. O intermediário sabe de onde a mensagem veio, mas não consegue lê-la. O destino consegue ler, mas não sabe de onde veio. Nenhum dos dois segura as duas metades, então nenhum dos dois consegue uni-las.

Isso é um desenho real, não um slogan, e é mais do que a maioria dos apps desta categoria tenta. Vale dizer isso com todas as letras, porque a crítica honesta que vem a seguir não é que a ideia seja ruim.

A parte que você não consegue conferir

Você está do lado de fora. De lá você consegue ler a descrição de uma arquitetura; você não consegue ver os servidores, o código que de fato está rodando neles, quem opera o relé, o que é registrado em cada ponta, nem o que muda no ano que vem. Toda afirmação do segundo tipo é uma afirmação sobre um software que você nunca vai rodar e não consegue observar. Nós não conseguimos conferir, e você também não.

É por isso que as pessoas fazem essa pergunta. Em janeiro de 2021 a Federal Trade Commission dos Estados Unidos anunciou um acordo com a desenvolvedora de um app de fertilidade bastante usado; a FTC alegou que a empresa tinha prometido manter privados os dados de saúde das usuárias enquanto os revelava a provedores de análise terceirizados, e a empresa fez o acordo sem admitir nem negar as alegações. O contrapeso honesto cabe no mesmo fôlego: quando o Information Commissioner's Office do Reino Unido revisou apps de menstruação e fertilidade em 2024, ele relatou que não foram identificados problemas sérios de conformidade nem evidência de danos, ao mesmo tempo em que pediu às desenvolvedoras que priorizassem a privacidade.

Nenhum dos dois te diz o que um servidor específico está fazendo hoje. É esse o ponto. Um desenho que você não consegue inspecionar é confiado ou não é, e confiar é uma coisa razoável de se fazer — só é uma categoria diferente de coisa em relação a prova.

Uma promessa sobre como os dados são tratados é tão duradoura quanto a empresa que os trata. Um desenho em que os dados nunca se moveram não precisa que a empresa cumpra a palavra.

Nunca transmitido, e as políticas que descrevem isso

O terceiro tipo é o mais simples de enunciar e o mais simples de testar. Duas políticas publicadas descrevem apps construídos assim.

A política de privacidade do drip afirma que não há coleta de dados de uso nem de informações pessoais, nem anúncios, nem spyware; que os dados do ciclo menstrual ficam guardados localmente no aparelho e não podem ser acessados por outros apps; e que apagar os dados do app nas configurações, ou desinstalá-lo, remove esses dados. Ela também traz uma ressalva que vale mais do que a maior parte do marketing de privacidade: diz que um backup automático na nuvem ainda pode acontecer dependendo das configurações do seu aparelho. A política acrescenta que o código-fonte pode ser lido para conferir se tudo isso é verdade.

A política de privacidade do Euki afirma que ele não coleta nenhuma informação pessoal nem de outro tipo das usuárias, inclusive pelo uso que elas fazem do app, exceto as informações que uma usuária envia voluntariamente ao entrar em contato com o suporte, e que o app não rastreia as usuárias para oferecer publicidade direcionada.

A ressalva do drip é a que vale levar embora, porque se aplica a todo app que só guarda localmente, incluindo este. O backup do seu próprio celular pode tirar um banco de dados local do aparelho mesmo quando o app nunca envia nada. O desenho do app não é o fim da história; as configurações de backup do seu sistema operacional fazem parte dela, e são suas para olhar. Isso é um fio de uma troca mais ampla, e vale ler direito antes de escolher um lado: o que você abre mão quando não há sincronização na nuvem.

O que um selo de loja te diz, e o que ele não diz

As duas lojas de apps hoje publicam um resumo de privacidade, e o vocabulário é genuinamente útil. A Apple descreve a seção de informações de privacidade da App Store como um sistema em que as informações são autodeclaradas pela desenvolvedora. Nas palavras da própria Apple, "Dados vinculados a você" quer dizer dados coletados de um jeito que os liga à sua identidade, como à sua conta ou ao seu aparelho, e "Dados usados para rastrear você" quer dizer dados do app ligados a dados coletados em apps, sites ou registros offline de outras empresas e usados para anúncios ou compartilhados com um corretor de dados.

Essa distinção é exatamente a de que trata este artigo, impressa na página da loja antes de você instalar. Um app que alega anonimato enquanto declara dados de saúde vinculados a você se contradisse em público, e isso é uma coisa barata de você notar.

O limite está na palavra que a Apple usa: autodeclaradas. Um selo é a declaração de uma desenvolvedora, não uma auditoria. É um filtro rápido e uma prova ruim, e é por isso que ele fica no começo de uma verificação de dez minutos em qualquer app menstrual, e não no fim dela.

O que o anonimato não te compra

Nenhuma das três promessas protege o celular na sua mão. O jeito mais provável de outra pessoa ler o seu registro menstrual não é uma invasão nem uma intimação. É alguém pegar um celular destravado.

Então as coisas que de fato importam nessa distância são sem graça e locais. Se o app tem um PIN ou um desbloqueio por rosto próprio. O que as suas notificações dizem na tela bloqueada, porque um lembrete prestativo também é um anúncio para quem estiver do seu lado. Se o celular é compartilhado, ou se algum dia teve backup em um computador que outra pessoa usa. E se uma cópia do seu histórico já está em algum outro app em que você se cadastrou anos atrás, coisa sobre a qual o anonimato em um app novo não faz nada — essa cópia precisa ser apagada onde ela mora.

Se nada disso puder ficar seguro, existe uma opção sem software nenhum. O Calendário menstrual para imprimir te dá uma folha de papel, que não pode ser sincronizada, invadida, intimada nem revinculada, e que você pode guardar onde guarda as suas coisas. E se o que você queria de um app era a aritmética e não o armazenamento, a Calculadora de duração do ciclo descobre a sua média e o quanto ela se mexe a partir de algumas datas de início, sem conta. O argumento mais fundo para julgar a arquitetura acima da política está em o que de fato torna um app menstrual privado.

Onde a Athena está

A Athena é o app por trás deste site. It is on the App Store and Google Play. Nada neste site está à venda e não há nada para se cadastrar. O que vem a seguir é a descrição de como ela é construída; o app em si é a coisa contra a qual conferir isso.

Ela é do terceiro tipo. Menstruações, sintomas, anotações e temperaturas são gravados em um banco de dados privado no celular, as estimativas são calculadas no aparelho, e não existe conta, então não há nada em servidor para ligar de volta a você. Uma exceção honesta, dita porque deixá-la de fora faria desta página exatamente aquilo de que ela reclama: o app envia diagnósticos anônimos para o Firebase — quais recursos são usados, relatórios de falhas, modelo do aparelho, nunca nada do que você registra. Nada do que você anota sobre o seu ciclo está ali. O jeito de conferir a afirmação é o mesmo que este artigo inteiro recomenda: desligue a conexão e veja se alguma coisa para de funcionar.