Verificação de privacidade: avalie qualquer app menstrual em dez minutos

Você consegue avaliar um app menstrual em dez minutos com seis verificações, e nenhuma delas exige confiar no marketing. Leia o selo de privacidade da loja e repare que ele é uma declaração da própria desenvolvedora. Veja se o app obriga você a criar uma conta. Use o app por alguns minutos em modo avião. Procure quatro palavras na política de privacidade: vender, compartilhar, parceiros, aquisição. Encontre a exclusão e a exportação, e confira se dá para apagar os dados de fora do app quando existe uma conta. Depois coloque uma trava no app e desligue a prévia das notificações na tela bloqueada. O que você tem no fim é um retrato honesto do que o app foi construído para ser capaz de fazer — o que não é a mesma coisa que saber como a empresa se comporta, e a última seção explica por quê.

Este é o roteiro. O argumento mais longo por trás dele, inclusive as sete perguntas que valem ser feitas e o motivo de uma arquitetura valer mais do que uma promessa, está em o que de fato torna um app menstrual privado. Leia aquele se você quer entender o raciocínio. Leia este se você quer abrir o app agora e decidir até a hora do almoço.

Minutos 0 a 2: leia o selo, depois desconte o valor dele

Abra a página do app na loja e ache a seção de privacidade — Privacidade do app na App Store, Segurança dos dados no Google Play. Você está procurando duas coisas: se há algo declarado como rastreamento ou publicidade, e se dados de saúde aparecem lá.

A Apple define as duas categorias que vale entender. "Dados vinculados a você" quer dizer dados coletados de um jeito que os liga à sua identidade, como à sua conta ou ao seu aparelho. "Dados usados para rastrear você" quer dizer dados do app ligados a dados coletados em apps, sites ou registros offline de outras empresas, e usados para publicidade ou compartilhados com um corretor de dados. Um app que não declara nada na segunda categoria te disse algo concreto.

Agora o desconto, nas palavras das próprias plataformas. A Apple afirma que as informações dessa seção são autodeclaradas pela desenvolvedora. A seção Segurança dos dados do Google é, do mesmo jeito, a declaração da própria desenvolvedora sobre como o app dela coleta, compartilha e lida com dados, incluindo as práticas de segurança e as opções de exclusão; o Google acrescenta que, quando um app exibe uma revisão de segurança independente, essa revisão não verifica a exatidão nem a completude do que a desenvolvedora declarou.

Então o selo é um compromisso, não uma auditoria. Dois minutos bem gastos, e nenhum peso além disso. Se as categorias dele parecerem uma língua estrangeira, os três tipos de dado que um app menstrual pode guardar estão em o que os apps menstruais de fato coletam.

Minutos 2 a 5: o muro da conta, e o modo avião

Instale e observe o que a primeira tela pede. Uma conta existe para que os dados possam morar em outro lugar que não o seu celular; um app que abre direto no calendário, sem e-mail e sem cadastro, te disse para onde os seus dados vão antes de você digitar uma data. Anote qual dos dois você encontrou.

Depois, o teste que nenhum marketing sobrevive. Coloque o celular em modo avião e use o app direito por alguns minutos: registre o início de uma menstruação, abra o histórico, olhe a estimativa, mude uma configuração. Se tudo funcionar, os cálculos estão rodando no seu aparelho. Se travar, ficar girando ou mostrar um erro, não estão.

Uma ressalva honesta, porque esse teste costuma ser vendido além do que vale. Funcionar offline prova que a aritmética é local. Não prova que nada é enviado depois, quando a conexão volta. Isso estreita a pergunta de "este app depende de um servidor?" para "este app também conversa com um?", e é para isso que servem os três minutos seguintes.

Minutos 5 a 8: quatro palavras na política de privacidade

Abra a política em um navegador e use a busca da página. Você não vai ler de ponta a ponta — ninguém lê, e é justamente por isso que elas são escritas do jeito que são. Quatro palavras, nesta ordem.

1. Vender. A maioria das políticas diz que não vende os seus dados. Leia a cláusula seguinte mesmo assim, porque compartilhar não é vender, e uma empresa pode honestamente recusar a venda enquanto compartilha para publicidade.
2. Compartilhar. É aqui que está a substância. Faça uma pergunta a cada frase que encontrar: os terceiros são nomeados ou descritos como uma categoria? "Parceiros de análise" pode ser qualquer um. Uma lista com nomes de empresas é algo que você pode ir conferir.
3. Parceiros. Busque essa palavra separadamente, porque ela costuma aparecer onde "compartilhar" não aparece, e normalmente é a frase que faz o trabalho de verdade.
4. Aquisição. Tente também "fusão" e "venda de ativos". Quase toda política diz que os seus dados são transferidos junto com o negócio se a empresa for vendida, e essa única cláusula silenciosamente vale mais do que toda promessa acima dela, porque quem compra é quem escreve a próxima política.

Uma quinta busca vale trinta segundos: a palavra saúde. Uma boa política nomeia os dados do seu ciclo separadamente dos registros de falhas e das estatísticas de uso. Uma política vaga joga tudo em "informações que coletamos", e a parte interessante se esconde na brecha.

Minutos 8 a 10: as saídas, e o celular na sua mão

Exclusão, em dois lugares. Ache o botão de apagar nas configurações do app. Depois, se o app tem contas, procure um caminho de exclusão na web. Isso não é um desejo: o Google Play exige que um app que permite criar uma conta ofereça um caminho dentro do app para apagar a conta e os dados associados a ela, visível o bastante para ser encontrado nas configurações da conta ou em lugar parecido, e um link na web onde a exclusão da conta e dos dados possa ser pedida — o caminho na web existe justamente para você ainda poder pedir depois de desinstalar. Um app com conta que oferece só o caminho interno é uma falha que você consegue nomear.

Exportação. Dá para tirar o seu histórico de lá, em um formato que você consiga abrir? Essa é a saída, e um app confiante no próprio valor deixa você ir embora com o que colocou nele. Isso também importa em um app que só guarda no aparelho, pelo motivo oposto: o armazenamento local não tem backup automático, então a exportação é a única cópia que sobrevive a um celular perdido.

A trava. Coloque um PIN ou o Face ID no app, se ele oferecer, depois mande um lembrete de teste para você mesma e olhe a sua tela bloqueada. O jeito mais provável de outra pessoa ler o seu registro menstrual é ela pegar o seu celular destravado, e o segundo mais provável é uma notificação ter anunciado algo em uma tela que qualquer um vê. O mapa completo de quem mais poderia chegar até ele está em quem pode ver os dados do seu ciclo.

Dê uma nota de zero a dez

• 2Não exige conta. Você chegou ao calendário sem um endereço de e-mail.
• 2Tudo funciona em modo avião. Registro, histórico e estimativas, sem conexão.
• 1Nada sob rastreamento ou publicidade no selo de privacidade da loja.
• 1Os dados de saúde são nomeados separadamente dos dados de uso na política.
• 1Os terceiros são nomeados, não descritos como uma categoria.
• 1A exclusão funciona nos dois lugares se existe conta, ou só pelo app se não existe.
• 1A exportação gera um arquivo que você consegue ler.
• 1Trava no app, e nada específico na tela bloqueada.

Oito ou mais e o app foi construído de um jeito que fecha a maioria das saídas do seu celular. De cinco a sete e é um app razoável cuja privacidade depende de a empresa continuar se comportando como a política dela diz. Abaixo de cinco você está confiando inteiramente na política, o que algumas pessoas vão fazer com consciência disso, e a escolha é delas.

O que o roteiro não consegue te dizer

Aqui está o teto, dito com todas as letras, porque um checklist que finge ser mais do que é seria pior do que nenhum.

Toda verificação acima mede capacidade e declarações. Nenhuma delas mede conduta. Um app pode tirar nove e ainda assim ser tocado por uma empresa que faz algo que a política dela não descreve, e você não teria como enxergar isso de fora. Isso não é hipótese: os dois casos documentados de fiscalização contra apps de ciclo foram os dois sobre o que teria sido feito, e não sobre o que foi declarado, e os dois só ficaram visíveis porque um regulador foi olhar.

O contrapeso também merece ficar à vista. Quando o Information Commissioner's Office do Reino Unido revisou apps de menstruação e fertilidade em 2024, ele relatou que não foram identificados problemas sérios de conformidade nem evidência de danos, ao mesmo tempo em que pediu às desenvolvedoras que priorizassem a privacidade. E a categoria mais ampla é o motivo para fazer o roteiro: uma revisão de escopo revisada por pares sobre apps de saúde encontrou que a maioria dos examinados, vinte de vinte e três, compartilhava dados das usuárias com terceiros.

A lei também não é a rede de proteção que a maioria imagina. A própria orientação da FTC diz que muitas empresas que coletam informações de saúde das pessoas — um monitor de atividade física, um app de dieta, um medidor de pressão conectado — não são cobertas pela HIPAA, e que o FTC Act e a Health Breach Notification Rule se aplicam a elas no lugar. Útil, real, e basicamente sobre te avisar depois.

Então o roteiro responde bem a uma pergunta: o que este app é capaz de fazer com o que eu dou a ele? Essa é a pergunta que tem resposta. "Eles vão se comportar?" não tem, e é por isso que um app que não guarda nada vale mais do que um app que promete tudo.

Onde a Athena está, e o que usar enquanto isso

A Athena é o app por trás deste site. It is on the App Store and Google Play. Nada neste site está à venda e não há nada para se cadastrar. Faça este roteiro nela em vez de acreditar em uma descrição. O desenho: os dados do ciclo gravados em um banco de dados privado no celular, as estimativas calculadas no aparelho, sem conta e sem cópia em servidor. O que sai são diagnósticos anônimos para o Firebase — quais recursos são usados, falhas, modelo do aparelho — e não carregam nada do que você registra. Guardar só no aparelho também quer dizer nenhum backup automático, então a exportação não é um luxo ali; é a única cópia.

Até lá, as ferramentas daqui são grátis e não precisam de conta. A Calculadora menstrual estima as suas próximas menstruações a partir da última e da sua duração de ciclo habitual, com a faixa impressa ao lado de cada data, e essas são estimativas, não promessas, e nunca são método contraceptivo. E o Calendário menstrual para imprimir tira dez de dez no roteiro acima pelo método menos interessante possível: ele é uma folha de papel.