App menstrual offline ou com sincronização na nuvem: a troca honesta

Guardar só no aparelho é a escolha privada, e é a frágil. Um app que mantém o seu ciclo no celular não tem servidor para ser invadido, não tem conta para ser comprometida, não tem terceiro a quem entregar e não tem nada que um juiz possa pedir — e, exatamente pelo mesmo motivo, não tem cópia nenhuma do seu histórico em outro lugar. A sincronização te compra um celular novo, um segundo aparelho e uma resposta de verdade para uma tela quebrada, e paga por isso com uma cópia do registro mais sensível que você guarda parada nos servidores de outra pessoa, sob a política que valer na época. Se você escolhe guardar só no aparelho, exportar não é um extra simpático. É o plano de backup inteiro.

Esta página é escrita contra o próprio app dela, porque a troca só quer dizer alguma coisa se as duas metades forem ditas com força total.

O que a sincronização de fato te dá

Três coisas, e nenhuma delas é imaginária.

Um celular novo. As pessoas trocam de aparelho a cada poucos anos, e mudar para ele não deveria te custar um registro que você mantém há uma década. Com sincronização é um login. Sem ela, é um arquivo que é bom você ter feito.

Um segundo aparelho. Se você registra no celular e lê no tablet, ou quer o seu histórico no notebook enquanto preenche um formulário para uma clínica, uma conta sincronizada faz isso e um banco de dados local não faz.

Um desastre. Caiu, molhou, foi roubado, apagado por uma atualização que deu errado. Um celular é um objeto pequeno com uma vida dura, e a diferença entre um aborrecimento e uma perda é se os dados existiam em outro lugar.

Nada disso é marketing. Esses são os motivos de a sincronização existir, e por que a maioria dos apps menstruais é construída sobre uma conta.

O que guardar só no aparelho custa, dito com todas as letras

Se o celular cair num canal e você nunca tiver exportado nada, o histórico do seu ciclo foi embora. Não recuperável pelo suporte, não restaurável a partir de um recibo, não guardado em um backup que alguém consiga desenterrar para você. Não existe caminho de "esqueci minha senha" para um banco de dados que só existiu em um lugar. Isso não é um defeito do desenho; é o desenho, visto do outro lado.

O quanto isso importa depende de para que serve o histórico. Alguns meses de datas dá para reconstruir mal de memória e razoavelmente bem por um calendário. Dez anos de datas de início, padrões de sintomas e temperaturas não dá para reconstruir de jeito nenhum, e normalmente é o registro longo que tem algum valor — a coisa que você leva a uma consulta, a coisa que mostra que houve uma mudança em vez de que você sente que houve.

Três meios-termos, e o que cada um de fato promete

A escolha não é bem binária, e a versão honesta deste artigo diz isso.

Sincronização com criptografia de ponta a ponta. A mais forte das opções do meio, quando a empresa documenta. O guia da Apple afirma que, quando o iPhone está bloqueado com Face ID, Touch ID ou senha, todos os dados de saúde e forma física exceto a ID Médica são criptografados, e que, com a autenticação de dois fatores, os dados de saúde sincronizados com o iCloud são criptografados de ponta a ponta e a Apple não tem a chave para descriptografá-los. Leia com atenção, porque a última parte é tudo: uma empresa que diz que não consegue ler os seus dados está fazendo uma afirmação bem mais estreita do que uma que diz que não vai. O app Saúde da Apple também é onde mora um registro feito no celular se você nunca instalar um app menstrual, que é o assunto de acompanhar o ciclo no Apple Health.

Uma cópia criptografada guardada pela empresa. O formato mais comum. Os dados ficam em servidores que a empresa consegue ler, protegidos pelas políticas e pela segurança dela, e não pela matemática. A política de privacidade da Clue descreve a versão dela: afirma que criar uma conta Clue processa dados pessoais como nome de usuária, data de nascimento e endereço de e-mail, que todos os dados são guardados com segurança em servidores localizados na União Europeia, que os dados de perfil são guardados separadamente dos dados de saúde, que os dados de saúde registrados no app nunca são compartilhados com anunciantes nem vendidos a eles, e que um pedido de exclusão completa é executado dentro de um mês. Separar dados de perfil de dados de saúde é uma medida real e vale ser nomeada como tal. Ainda assim é uma promessa sobre como uma empresa se comporta, feita pela empresa, e você não consegue auditar isso do lugar onde está.

Exportação manual que você controla. A sem glamour. Sem conta, sem servidor, e um arquivo que você faz de propósito e coloca onde você escolheu. Tem a privacidade de guardar só no aparelho e tira o ponto único de falha, ao custo de você lembrar de fazer. É nessa última parte que ela costuma falhar.

Existe uma quarta coisa que não é bem um meio-termo, mas muitas vezes é tratada como um: o backup do seu próprio celular. A política de privacidade do drip é incomumente direta sobre isso, afirmando que os dados do ciclo ficam guardados localmente no aparelho e não podem ser acessados por outros apps, e que um backup automático na nuvem ainda pode acontecer dependendo das configurações do seu aparelho. Um app que só guarda localmente não coloca os seus dados na nuvem. O seu sistema operacional pode colocar, e essa é uma configuração que vale olhar, seja qual for o app que você usa.

Um hábito de exportação que sobrevive ao contato com a vida real

O conselho de "exportar regularmente" não vale nada porque não nomeia momento nenhum. Um hábito precisa de uma ocasião e de um lugar.

1. Escolha um evento, não um intervalo. O dia em que você troca de celular, o dia em que você vai a uma consulta, e uma data fixa por ano — um aniversário funciona, porque você não vai esquecer. Qualquer coisa que você precise lembrar por cronograma você vai parar de fazer até março.
2. Mande o arquivo para um lugar onde ele ainda vai estar daqui a cinco anos. Um e-mail para você mesma serve e sobrevive à perda do celular. Uma cópia em um notebook serve. Uma cópia que mora só no mesmo celular do app não é backup; é o mesmo ovo na mesma cesta.
3. Abra uma vez. Uma exportação que você nunca olhou é um arquivo de qualidade desconhecida. Leia, confira se as datas são datas, e aí você sabe o que tem.
4. Mantenha uma linha em papel para a parte que mais importa. As datas de início levam um segundo para anotar e são a única coluna a partir da qual todo o resto é calculado. O Calendário menstrual para imprimir é um ano em uma folha, e ele não liga se o seu celular sobreviveu.

Se você está escolhendo o papel como registro principal e não como rede de segurança, o método é um assunto próprio e está em acompanhar o ciclo sem app.

Do que esta troca não trata

É tentador enquadrar local contra nuvem como uma briga entre uma empresa confiável e uma não confiável. Não é. É uma pergunta sobre onde existe uma cópia, e cópias têm riscos próprios, independentemente das intenções de quem quer que seja.

A lei também não fecha essa brecha para você. A própria orientação da FTC diz com todas as letras que muitas empresas que coletam informações de saúde das pessoas — um monitor de atividade física, um app de dieta, um medidor de pressão conectado ou outra coisa — não são cobertas pela HIPAA; o FTC Act e a Health Breach Notification Rule se aplicam no lugar. Isso é proteção real, e é em boa parte do tipo que te avisa depois que algo deu errado.

A categoria mais ampla também vale saber: uma revisão de escopo sobre apps de saúde encontrou que a maioria dos examinados, 20 de 23, compartilhava dados das usuárias com terceiros. Isso não é veredito sobre nenhum app nomeado, e é a razão para perguntar do que um app é arquiteturalmente capaz, em vez do que o marketing dele diz. A versão mais longa desse argumento é a diferença entre uma promessa e uma arquitetura, e o vocabulário em torno disso — sem conta, desvinculado, nunca transmitido — é desmontado em o que o registro anônimo pode e não pode significar.

Escolhendo, sem fingir que existe uma resposta certa

A sincronização é o padrão sensato se perder o seu histórico te incomodaria mais do que uma empresa guardá-lo, se você usa mais de um aparelho, ou se você registra por um motivo médico em que a continuidade importa. Guardar só no aparelho é o padrão sensato se você preferiria que nenhuma cópia existisse, se a sua situação faz de uma cópia em servidor um risco em vez de uma conveniência, ou se você já hesitou antes de registrar algo com honestidade. Vale escutar essa hesitação: um registro que você edita por segurança é um registro que não serve nem para você nem para uma médica.

De qualquer jeito, o histórico só vale o que você consegue ler dele. A Calculadora de duração do ciclo transforma um punhado de datas de início na sua própria média e no quanto ela se mexe, e a Calculadora menstrual transforma isso em uma janela estimada com a incerteza impressa ao lado. O NHS coloca a faixa comum em uma menstruação mais ou menos a cada 28 dias, normalmente indo de a cada 21 até a cada 35 — onde você está dentro dela é um fato que só o seu próprio registro consegue mostrar. As estimativas das duas ferramentas são estimativas, não certezas.

Onde a Athena está

A Athena é o app por trás deste site. It is on the App Store and Google Play. Nada neste site está à venda e não há nada para se cadastrar.

Ela não tem sincronização. Menstruações, sintomas, anotações e temperaturas são gravados em um banco de dados privado no celular, as estimativas são calculadas no aparelho, e não existe conta nem cópia dos dados de saúde em servidor — o que quer dizer toda a proteção descrita acima e toda a fragilidade. Se o celular se perder e nada tiver sido exportado, o histórico foi embora, e ninguém consegue trazer de volta para você. É por isso que exportar não é um extra opcional em um app construído assim, e por que um hábito de exportação fica no meio desta página em vez de no fim dela.

Uma coisa sai do celular, e esta página estaria fazendo aquilo de que reclama se a deixasse de fora. O app envia diagnósticos anônimos para o Firebase — quais recursos são usados, relatórios de falhas, modelo do aparelho e versão do sistema — sem nada do que você registra dentro deles. Ele não carrega dado nenhum de ciclo, porque não há nenhum a carregar. O que acontece com a cópia no aparelho quando você remove o app é outra pergunta, com outra resposta: apagar o app apaga os seus dados.