Privacidad en apps menstruales: qué revisar

Antes de anotar la fecha de una regla, abre la información de privacidad de la app. Comprueba qué recoge, adónde va la información y cómo puedes dejar de usar el servicio. Busca explicaciones claras sobre para qué se usan los datos, cuánto tiempo se guardan y con quién se comparten.

Usa estas preguntas con cualquier app de seguimiento del ciclo antes de añadir información personal de salud. Si una respuesta no está clara, anótalo y pregunta al proveedor.

Lee la política además de la etiqueta de la tienda

Busca la política enlazada desde la ficha de la propia app o desde sus ajustes. Comprueba a qué empresa y producto se aplica, su fecha y a quién escribir si tienes dudas sobre privacidad. Busca qué datos recoge, quién los recibe, cuánto tiempo se guardan y qué opciones tienes.

Escribe cada respuesta con palabras sencillas. Si lo único que puedes copiar es «valoramos tu privacidad», sigue buscando. El ICO pide información de privacidad breve y fácil de entender. Si algo es impreciso, pide al proveedor que lo aclare antes de confiar en ello.

Por ejemplo: «¿Desactivar la copia de seguridad borra la copia que ya está en la nube o solo detiene las copias futuras?».

Las etiquetas de privacidad o de seguridad de los datos de las tiendas de apps pueden ayudarte antes de descargar. El ICO dice que estas etiquetas ayudan a la transparencia, pero que una redacción incoherente puede confundir. Compara la etiqueta con la política completa. Busca respuestas que coincidan sobre la información de salud, los identificadores y los datos compartidos. Si no coinciden, pregunta cuál se aplica a la versión y las funciones que piensas usar.

Elige qué registrar

Empieza por lo que piensas escribir, como fechas de la regla, cantidad de sangrado o notas personales. Después, comprueba qué información llega de tu dispositivo o de servicios conectados. Pregunta por los identificadores del dispositivo, la ubicación y el acceso a contactos o fotos. Averigua qué datos son obligatorios y cuáles puedes dejar fuera.

La FTC recomienda limitar la recogida de datos y los permisos a lo que la app necesita. Decide cuánto quieres registrar. Cómo empezar a registrar tu ciclo puede ayudarte a elegir.

Comprueba dónde están tus datos: teléfono, nube y copias de seguridad

Pregunta si tus registros se quedan en una base de datos en tu teléfono, van a los servidores del proveedor o se guardan en los dos sitios. Pregunta qué cambia si activas la copia de seguridad o conectas otro servicio. Comprueba también si las copias de seguridad del propio teléfono incluyen los datos de la app.

La FTC recomienda a quienes crean apps saber adónde van los datos, incluidas sus obligaciones con el almacenamiento en la nube. Pregunta a qué copias se refieren las explicaciones del proveedor. Pide detalles por separado sobre cómo se protegen los datos en el teléfono, mientras se envían y en cualquier copia en la nube. Un bloqueo de pantalla no responde a las tres preguntas.

Comprueba cómo funciona el inicio de sesión

¿Hace falta un correo electrónico, un número de teléfono o una cuenta vinculada para el registro básico? Si puedes usar la app sin cuenta, pregunta qué identificador usa en su lugar. Pregunta también cómo recuperas el acceso si cambias de teléfono.

La información de salud junto con identificadores móviles puede identificar a alguien sin su nombre. Pregunta qué significa de verdad «anónimo» en la forma en que está hecha la app.

Identifica los destinatarios y el software integrado

Busca destinatarios con nombre o grupos como proveedores de alojamiento, servicios de analítica y anunciantes. Pregunta qué recibe cada uno y por qué. Comprueba si el intercambio opcional de datos viene desactivado y qué pasa si dices que no.

Aunque el proveedor diga que no vende información, comprueba con quién comparte los datos y por qué. El ICO pide explicar con quién se comparten los datos. Pregunta por la publicidad y por el funcionamiento del servicio como dos preguntas distintas.

Un SDK (kit de desarrollo de software) es software que se puede integrar en una app. Los SDK integrados pueden servir para la analítica o para funciones como el inicio de sesión. Para ello, pueden guardar información en tu dispositivo o acceder a ella.

Pregunta qué SDK usa la app, qué envían y a quién. ¿La analítica registra solo un evento técnico o podría incluir lo que escribiste en un registro? ¿Puedes desactivar la analítica opcional y seguir conservando tu historial? Revisa cada herramienta por separado. Saber que hay un SDK no te dice qué recoge.

Revisa la exportación y el borrado por separado

• Exportación: pregunta qué registros incluye, en qué formato recibes el archivo y si puedes elegir un intervalo de fechas. Para una consulta, decide qué compartir antes de crear el archivo. Preparar notas para una consulta médica puede ayudarte a elegir los detalles importantes.
• Borrado: pregunta cómo eliminar registros sueltos o todo el historial, y si tienes que cerrar una cuenta. Pregunta qué pasa con las copias de seguridad y con las copias que ya compartiste. Pregunta cuánto tarda y si hay excepciones.

El ICO dice que las apps deben explicar cuánto tiempo guardan los datos. La FTC recomienda planificar el cierre de cuentas. No des por hecho que desinstalar la app es lo mismo que borrar tus datos. Comprueba qué opciones de exportación y borrado ofrece la app.

Protege el acceso desde tu teléfono

¿Alguien que use tu teléfono podría abrir la app, leer sus notificaciones o encontrar archivos exportados? Pregunta por un bloqueo propio de la app, las vistas previas de las notificaciones y qué pasa si pierdes el teléfono. Si hay una cuenta, averigua cómo quitar el acceso desde el teléfono perdido.

La guía de los reguladores del Reino Unido sobre seguridad en apps móviles recomienda proteger el teléfono con una contraseña y mantener las apps actualizadas. Revisa los ajustes del teléfono que usas, sobre todo si lo compartes. Hazlo aunque confíes en cómo trata los datos el proveedor. No pruebes los controles de privacidad con información que no querrías que otros vieran.

Elige qué puede ver tu pareja

Si la app permite compartir, pregunta exactamente qué incluye: un resumen elegido, registros anteriores o novedades futuras. ¿Puedes ver una vista previa? ¿Puedes cortar el acceso sin borrar tu propio historial? Pregunta qué pasa con la información que tu pareja ya recibió cuando dejas de compartir.

Antes de enviar la invitación, habla con tu pareja sobre lo que quieres compartir. Eso incluye si quieres dar acceso a todo tu historial. La FTC recomienda que las funciones opcionales para compartir con otras personas sean privadas por defecto.

Lee con atención lo que se dice sobre las leyes de datos de salud

No des por hecho que una app de seguimiento para consumidores tiene la misma protección de HIPAA que tu historia clínica. La herramienta de la FTC sobre apps móviles de salud lo explica. Probablemente HIPAA no se aplica a la información de salud de las apps para consumidores, salvo que la app la ofrezca una entidad sanitaria cubierta por esa ley o su asociado comercial.

La guía de la FTC sobre su Health Breach Notification Rule explica cuándo las organizaciones sujetas a la norma deben avisar de una brecha. Se aplica a información de salud sin protección que puede identificar a alguien. Una brecha puede ser una divulgación no autorizada, no solo un ataque informático. Esto es contexto general. No decide qué leyes se aplican a una app o a tu caso.

Pregunta cómo te avisaría el proveedor de un incidente.

Aplica las mismas comprobaciones a Ruva

Ruva ya funciona en tu navegador y en Android, y su app para iPhone llega pronto. Tus registros se quedan en una base de datos local en tu dispositivo (en la app web, es tu navegador), y no necesitas una cuenta. Con una cuenta vinculada, la sincronización mantiene tu historial al día en todos tus dispositivos. Sin ella, la copia de seguridad en la nube guarda una copia que envías cuando tocas Hacer copia ahora. Para vincular una cuenta, puedes elegir una cuenta de Google en Android o en la web, Iniciar sesión con Apple en iOS o una cuenta con tu dirección de correo electrónico. Con Google o Apple, Ruva recibe solo la dirección de correo electrónico, para reconocer la cuenta. Con una cuenta de correo electrónico, tu nombre solo se usa en los correos sobre tu cuenta, y Ruva nunca recibe tu contraseña. Los datos de tu ciclo no se comparten con Google ni con Apple. El resumen para tu pareja es opcional y usa un identificador anónimo, sin nombre ni correo electrónico asociados. Solo contiene el nombre que introduces y las líneas breves que eliges, y la persona con quien lo compartes no puede ver tu identificador. La comunidad también es opcional. Para unirte, vinculas una cuenta de Google, de Apple o de correo electrónico, y las demás personas solo ven tu nombre visible.

No hay anuncios, todas las funciones son gratuitas y Ruva no vende datos. Usa Google Analytics for Firebase, con la publicidad desactivada, para ver cómo se usa la app, y cuenta por sí misma las pantallas relacionadas con la salud para que nunca lleguen a Google. Puedes desactivarlo. Puedes descargarlo todo en cualquier momento, y también borrarlo todo. La descarga incluye dos archivos. El archivo JSON se puede restaurar en Ruva en otro dispositivo, sin cuenta. El archivo CSV sirve para hojas de cálculo.

La Política de privacidad de Ruva ya está publicada. Compara sus respuestas con esta misma lista. Fíjate sobre todo en los proveedores de servicios, cuánto tiempo se guardan los datos y qué pasa con las copias en la nube después del borrado. Eliminación de la cuenta y los datos explica exactamente qué borra cada paso.

Para ver cómo responden a estas preguntas algunas apps de seguimiento muy usadas, con una fuente para cada respuesta, consulta cómo se compara Ruva con otras apps.