A Sua Aplicação de Controlo do Ciclo Menstrual Pode Estar a Enviar os Seus Dados de Saúde para Estranhos

Pontos-chave

• A Mozilla Foundation, em colaboração com o Berkman Klein Center de Harvard, avaliou seis aplicações populares de controlo do ciclo menstrual em matéria de privacidade em 2025.
• Stardust, uma aplicação de controlo do ciclo menstrual com tema astrológico, obteve 2 em 10, a pontuação mais baixa do grupo.
• Stardust envia detalhes de saúde reprodutiva dos utilizadores para uma empresa de dados terceirizada não mencionada na sua própria política de privacidade, conforme informado primeiro pela BBC.
• Euki, um rastreador gerido por uma organização sem fins lucrativos, obteve uma pontuação perfeita de 10 e armazena todos os dados de saúde apenas no telemóvel do utilizador.
• Stardust também passa um identificador publicitário ao Facebook, ligando o comportamento dentro da aplicação aos perfis existentes do Facebook dos utilizadores.

Imagine abrir uma aplicação para registar uma dor de cabeça ou um humor, antes de ter digitado uma única letra, e o seu telemóvel já informou uma empresa de dados que está presente. É isto que a investigadora da Mozilla Shoshana Wodinsky descobriu a acontecer com a Stardust, uma das aplicações de controlo do ciclo menstrual mais descarregadas nos Estados Unidos.

Stardust contacta software de rastreamento de terceiros no instante em que a aplicação se abre. Quando um utilizador regista um sintoma, detalhes incluindo estado de gravidez, tipo de contraceção e sintomas físicos específicos viajam para uma empresa de análise chamada RudderStack, embalados com um ID persistente que acompanha o utilizador ao longo das sessões. Não existe um interruptor dentro da aplicação para desativar isto.

RudderStack foi construído para reencaminhar dados para outros destinos. A Mozilla não conseguiu determinar para onde foi a seguir.

Stardust também fornece ao Facebook um identificador publicitário, uma pequena etiqueta que liga o que faz dentro da aplicação ao seu perfil existente do Facebook. A empresa informou os repórteres que nunca recebeu uma exigência legal para dados de utilizadores. Isto não é o mesmo que dizer que os dados permanecem privados.

A auditoria classificou Stardust com 2 em 10.

O contraste com a pontuação mais alta não poderia ser mais acentuado. Euki, gerida por uma organização sem fins lucrativos, obteve uma pontuação perfeita de 10. Não requer conta. Os dados de saúde nunca saem do seu telemóvel. Os utilizadores podem definir um PIN, agendar eliminação automática ou ativar um ecrã de köder se alguém os forçar a abrir a aplicação. O seu único ponto fraco é um navegador integrado para artigos educacionais, que carrega rastreadores web padrão, embora redefina identificadores entre visitas.

Deve eliminar a sua aplicação de controlo do ciclo menstrual?

Não necessariamente, mas deve verificar qual está a utilizar. Se for Stardust, a auditoria sugere que os seus detalhes íntimos de saúde estão a chegar a empresas que nunca ouviu falar, sem forma clara de o impedir. Mudar para Euki não custa nada e não requer inscrição.

Isto é importante para além da conveniência. Os dados de saúde reprodutiva estão entre as informações mais sensíveis que um telemóvel pode conter. Nos estados onde o acesso ao aborto é restringido, registos de períodos perdidos ou estado de gravidez poderiam, em teoria, surgir em procedimentos legais.

Algumas coisas que vale a pena verificar em qualquer aplicação de saúde que utilize: leia a política de privacidade antes de confiar dados médicos a ela, procure o nome da aplicação juntamente com a palavra "auditoria de privacidade" e procure uma opção para exportar ou eliminar os seus dados. Se essas opções não existirem, isso diz-lhe algo.

Se trabalha com dados pessoais ou gere uma equipa que o faz, a formação de consciência de segurança que cubra riscos de partilha de dados é o próximo passo prático. Train2Secure oferece exatamente esse tipo de formação, incluindo módulos sobre como as aplicações e ataques de phishing exploram informações pessoais.