Quais dados os apps de menstruação realmente coletam?

Um app de menstruação coleta três tipos separados de dados, e só o primeiro é o que você pretendia entregar. Tem o que você digita: datas, fluxo, dor, humor, sexo, medicação, anotações. Tem o que o app deduz disso, inclusive fatos que você nunca escreveu, como um provável dia de ovulação ou uma gravidez. E tem o que chega sem você tocar na tela: o modelo do seu aparelho, relatórios de falhas, quais telas você abriu e, em alguns apps, um identificador de publicidade e o registro do anúncio em que você tocou antes de instalar. Qual dos três um app específico guarda não é algo que alguém consiga te dizer de fora. Está escrito no rótulo da loja e na política de privacidade desse app, e esses dois documentos são o único lugar honesto para olhar.

O que vem a seguir é a classificação completa, o que o rótulo da loja prova e o que não prova, e o que os reguladores de fato encontraram quando foram olhar. Coletar é uma pergunta separada de compartilhar, e este artigo é sobre a primeira.

Camada um: o que você digita

As datas de início do ciclo são o piso. Quase nada mais num rastreador funciona sem elas, e sozinhas elas já são o registro de algo privado.

Tudo acima do piso é opcional e a maioria dos apps pede bastante coisa: nível de fluxo, cólicas, dores de cabeça, escape, humor, sono, energia, apetite, pele, sexo e se foi com proteção, contracepção e quando foi tomada, medicação, peso, temperatura basal, muco cervical, resultados de teste de ovulação e uma anotação em texto livre. Alguns perguntam se você está tentando engravidar, e alguns pedem que você registre uma gravidez ou o fim de uma.

A anotação em texto livre é a parte em que vale parar. Campos estruturados são sem graça por desenho — um número, um toque, um nível. Uma anotação é o que quer que você estivesse pensando às onze da noite, e é o campo com menos chance de ser anonimizado por qualquer coisa, porque não dá para anonimizar. Escreva as suas anotações como se fossem a coisa mais sensível do app, porque são.

Uma folha de papel, em contrapartida, coleta exatamente o que você escreve nela e nada mais. É por isso que o Calendário menstrual para imprimir existe neste site, e por que há um Registro de sintomas para imprimir mais longo para quem teve alguns meses de registro pedidos pela médica. Papel não sincroniza, não trava e não liga para casa.

Camada dois: o que o app deduz

Essa é a camada que ninguém conta, e muitas vezes é a mais reveladora.

• Estimado Datas que você não inseriu

  A sua próxima menstruação, uma janela fértil, um dia estimado de ovulação. Isso é aritmética sobre o seu próprio histórico, são estimativas com uma faixa em volta, e não são método contraceptivo. Mas também são dados novos sobre você que não existiam antes de você instalar qualquer coisa.

• Inferido Estados que você nunca registrou

  Uma menstruação que não chega no prazo, seguida de silêncio, é um padrão. Registrar uma gravidez e depois parar também é. Um app não precisa de um campo chamado "aborto espontâneo" para guardar o formato de um. A inferência existe nos dados, independentemente de o app mostrá-la a você ou de nomeá-la na política dele.

• Derivado Um perfil de como você se comporta

  Duração média do ciclo, o quanto ela varia, quais sintomas aparecem juntos, a que horas do dia você abre o app, quantos dias seguidos você o usou. Parte disso é o que torna o app útil. Tudo isso continua sendo um registro.

A aritmética por trás da primeira linha não é misteriosa, e você pode vê-la acontecer: a Calculadora de duração do ciclo pega algumas datas de início e calcula a sua média e o quanto os seus próprios ciclos oscilam para cada lado dela, sem conta. É mais ou menos a conta que um rastreador faz. A diferença entre a ferramenta e um app não é a matemática. É onde a matemática roda e o que ela deixa para trás.

Camada três: o que chega sem você digitar

A prova mais clara de que essa camada existe é que as duas lojas de apps obrigam as desenvolvedoras a declará-la. A página de suporte da Apple descreve a seção de informações de privacidade da App Store em duas categorias que vale ler devagar. "Dados Vinculados a Você" quer dizer dados coletados de um jeito que está ligado à sua identidade, como à sua conta ou ao seu aparelho. "Dados Usados para Rastrear Você" quer dizer dados do app ligados a dados coletados de apps, sites ou propriedades offline de outras empresas, e usados para publicidade ou compartilhados com uma corretora de dados. O Google diz que as desenvolvedoras usam a seção de Segurança dos dados para descrever como o app delas coleta, compartilha e trata dados, incluindo as práticas de segurança e as opções de exclusão de dados.

Na prática, o que acaba nessa camada é a mobília comum do desenvolvimento de apps: modelo do aparelho e versão do sistema operacional, relatórios de falhas, quais recursos são usados e por quanto tempo, um identificador de instalação e — onde o app carrega publicidade ou mede de onde vieram as instalações — um identificador de publicidade e dados de atribuição ligando a sua instalação ao anúncio em que você tocou.

Nada disso é sinistro por si só; um relatório de falha é como os bugs são corrigidos. O item que é diferente em natureza é o identificador de publicidade, porque ele é feito para ser o mesmo identificador em apps de outras empresas. Se um rastreador específico carrega um, não temos como conferir por você. O rótulo dele na loja é onde isso é declarado.

O que um rótulo de privacidade da loja prova, e o que não prova

Os dois rótulos são úteis e os dois são comumente mal lidos, então aqui está o limite nos termos de cada empresa.

A Apple afirma que a informação da seção de privacidade da App Store é autodeclarada pela desenvolvedora. A seção de Segurança dos dados do Google é, do mesmo jeito, a declaração da própria desenvolvedora sobre o app dela. O Google vai além e diz que, quando um app exibe uma revisão de segurança independente, essa revisão não verifica a exatidão e a integridade da declaração de Segurança dos dados da desenvolvedora.

Um rótulo de privacidade é uma afirmação que a desenvolvedora fez sobre si mesma. Não é uma auditoria, e nenhuma das duas lojas diz que é.

Isso não torna os rótulos inúteis. Uma declaração é um compromisso pelo qual uma empresa pode ser cobrada, e ler um leva um minuto. Quer dizer, sim, que o rótulo fica no começo da sua conferência, não no fim. Se você quer o procedimento em vez do princípio, a checagem de privacidade de dez minutos é o roteiro: o que abrir, em que ordem, e quanto vale cada resposta.

O que os reguladores de fato encontraram

Este assunto atrai muito mais calor do que evidência, então o que vem a seguir se limita a ações oficiais com documentos públicos, e as palavras são as palavras.

Em janeiro de 2021 a Federal Trade Commission dos Estados Unidos anunciou um acordo com a desenvolvedora de um app de fertilidade muito usado. A denúncia da FTC alegava que a empresa prometia manter privados os dados de saúde das usuárias enquanto os divulgava a empresas terceirizadas de análise. A empresa fez acordo, sem admitir nem negar as alegações, e concordou em obter consentimento expresso antes de compartilhar dados de saúde no futuro.

Em maio de 2023 a FTC acusou a desenvolvedora de um app de ovulação de compartilhar informações pessoais sensíveis das usuárias com terceiros e de não avisá-las, violando a Health Breach Notification Rule. O caso se resolveu por ordem consensual, de novo com a empresa sem admitir nem negar as acusações, e trouxe uma multa civil de cem mil dólares.

Duas ações de fiscalização não são um veredito sobre um setor, e o contrapeso pertence à mesma respiração. Quando o Information Commissioner's Office do Reino Unido revisou apps de menstruação e fertilidade em 2024, ele relatou que nenhum problema sério de conformidade nem evidência de danos foi identificado, ao mesmo tempo em que instava as desenvolvedoras a priorizar a privacidade.

O quadro mais amplo dos apps de saúde em geral é menos confortável, e é o motivo para conferir em vez de supor. Uma revisão de escopo revisada por pares sobre apps de saúde encontrou que a maioria dos examinados, vinte de vinte e três, compartilhava dados das usuárias com terceiros.

Mais uma coisa que surpreende as pessoas: nos Estados Unidos, dados de saúde em um app que você mesma baixou normalmente não são cobertos pela lei de privacidade médica. A orientação da própria FTC diz que muitas empresas que coletam informações de saúde das pessoas — um monitor de atividade física, um app de dieta, um aparelho de pressão conectado — não são cobertas pela HIPAA, e que valem para elas o FTC Act e a Health Breach Notification Rule.

Guardar e enviar são perguntas diferentes

Tudo acima é sobre o que um rastreador tem. Para onde isso vai depois é outro mapa, com rotas próprias: a empresa, as fornecedoras de análise e de relatório de falhas, anunciantes onde existe um modelo de publicidade, uma compradora se o negócio for vendido, e a pessoa que pega o seu celular desbloqueado. Esse mapa está desenhado em quem pode ver os seus dados de menstruação, e vale ler ao lado deste, porque um app pode coletar muita coisa e enviar quase nada, ou coletar pouco e enviar tudo.

O argumento estrutural de por que as duas perguntas viram uma só quando os dados nunca saem do celular está em a diferença entre uma promessa de privacidade e uma arquitetura. Versão curta: uma promessa tem três modos de falha que nada têm a ver com intenção, e um app que não guarda nada sobrevive aos três.

Quatro coisas para fazer esta semana

1. Leia o rótulo do seu próprio rastreador. Ele fica na página da loja, em Privacidade do app ou Segurança dos dados. Repare se aparece algo em rastreamento ou publicidade.
2. Desligue a conexão e use o app por um dia. Se registrar, histórico e estimativas continuarem funcionando no modo avião, o trabalho está acontecendo no seu aparelho.
3. Esvazie o campo de anotações de qualquer coisa que você não gostaria de ouvir lida em voz alta. Campos estruturados podem ser sem graça. Texto livre nunca é.
4. Ache a exportação antes de precisar dela. Um app do qual você consegue sair com o histórico inteiro é um app sobre o qual você pode mudar de ideia.

Onde a Athena está nessa história

A Athena é o app por trás deste site. It is on the App Store and Google Play. Nada neste site está à venda e não há nada para se cadastrar. O que vem a seguir é uma descrição de como ela é feita; o próprio app é a coisa contra a qual conferir isso.

A camada um é gravada em um banco de dados privado no celular. A camada dois é calculada no aparelho a partir da camada um. Não há conta, então nenhuma das duas camadas tem cópia em servidor. A camada três não é zero, e fingir o contrário reprovaria no teste deste próprio artigo: o app envia diagnósticos anônimos para o Firebase — quais recursos são usados, relatórios de falhas, modelo do aparelho — sem levar nada do que você registra e sem identificador de publicidade. Essa é a lista inteira.

O custo desse desenho vale ser dito com todas as letras, porque é real. Dados que vivem só no seu celular não têm backup automático. Se o celular se perder e você nunca tiver exportado nada, o histórico se foi. Um app feito assim te deve uma exportação decente, e você deve a si mesma o hábito de usá-la.