Votre application de suivi des règles peut envoyer vos données de santé à des étrangers

Points clés

• La Mozilla Foundation, en collaboration avec le Berkman Klein Center de Harvard, a évalué six applications populaires de suivi des règles en matière de confidentialité en 2025.
• Stardust, un suivi des règles à thème astrologique, a obtenu 2 sur 10, le score le plus bas du groupe.
• Stardust envoie les détails de santé reproductive des utilisateurs à une entreprise de données tierce non mentionnée dans sa propre politique de confidentialité, selon un premier rapport de la BBC.
• Euki, un suivi gérée par une organisation à but non lucratif, a obtenu une note parfaite de 10 et stocke toutes les données de santé uniquement sur le téléphone de l'utilisateur.
• Stardust transmet également un identifiant publicitaire à Facebook, reliant le comportement dans l'application aux profils Facebook existants des utilisateurs.

Imaginez ouvrir une application pour enregistrer un mal de tête ou une humeur, avant même d'avoir tapé une seule lettre, et votre téléphone a déjà dit à une entreprise de données que vous êtes là. C'est ce que la chercheuse de Mozilla, Shoshana Wodinsky, a découvert avec Stardust, l'une des applications de suivi des règles les plus téléchargées aux États-Unis.

Stardust envoie un signal à un logiciel de suivi tiers dès que l'application s'ouvre. Lorsqu'un utilisateur enregistre un symptôme, les détails incluant le statut de grossesse, le type de contraception et les symptômes physiques spécifiques sont transmis à une entreprise d'analyse appelée RudderStack, accompagnés d'un identifiant persistant qui suit l'utilisateur entre les sessions. Il n'y a pas d'interrupteur dans l'application pour désactiver cela.

RudderStack est conçu pour transférer les données vers d'autres destinations. Mozilla n'a pas pu voir où elle allait ensuite.

Stardust transmet également à Facebook un identifiant publicitaire, une petite balise qui connecte ce que vous faites dans l'application à votre profil Facebook existant. L'entreprise a déclaré aux journalistes qu'elle n'a jamais reçu de demande légale de données utilisateur. Ce n'est pas la même chose que de dire que les données restent privées.

L'audit a noté Stardust à 2 sur 10.

Le contraste avec le meilleur candidat ne pourrait être plus frappant. Euki, gérée par une organisation à but non lucratif, a obtenu une note parfaite de 10. Elle ne nécessite aucun compte. Les données de santé ne quittent jamais votre téléphone. Les utilisateurs peuvent définir un code PIN, programmer une suppression automatique ou activer un écran leurre si quelqu'un les force à ouvrir l'application. Son seul point faible est un navigateur intégré pour les articles éducatifs, qui charge les traceurs web standard, bien qu'il réinitialise les identifiants entre les visites.

Devriez-vous supprimer votre application de suivi des règles ?

Pas nécessairement, mais vous devriez vérifier celle que vous utilisez. Si c'est Stardust, l'audit suggère que vos détails intimes de santé parviennent à des entreprises que vous n'avez jamais entendu parler, sans moyen clair de l'arrêter. Passer à Euki ne coûte rien et ne nécessite aucune inscription.

Cela compte au-delà de la commodité. Les données de santé reproductive figurent parmi les informations les plus sensibles qu'un téléphone puisse contenir. Dans les États où l'accès à l'avortement est limité, les dossiers de règles manquées ou le statut de grossesse pourraient, en théorie, refaire surface dans les procédures judiciaires.

Quelques points à vérifier sur toute application de santé à laquelle vous faites confiance : lisez la politique de confidentialité avant de lui confier des détails médicaux, recherchez le nom de l'application aux côtés du mot « audit de confidentialité », et cherchez une option pour exporter ou supprimer vos données. Si ces options n'existent pas, cela vous dit quelque chose.

Si vous gérez des données personnelles au travail ou gérez une équipe qui le fait, une formation de sensibilisation à la sécurité qui couvre les risques de partage de données est une prochaine étape pratique. Train2Secure propose exactement ce type de formation, y compris des modules sur la façon dont les applications et les attaques de phishing exploitent les informations personnelles.