Privacidad en apps menstruales: qué revisar

Antes de introducir la fecha de una regla, consulta la información de privacidad de la app y comprueba qué recopila, adónde va la información y cómo puedes dejar de utilizar el servicio. Busca explicaciones claras sobre las finalidades, la conservación y el intercambio de datos.

Utiliza estas preguntas con cualquier app de seguimiento del ciclo, antes de añadir información personal de salud. Si una respuesta no está clara, anótalo y pregunta al proveedor.

Lee la política junto con la etiqueta de la tienda

Busca la política enlazada desde la ficha de la propia app o desde sus ajustes. Comprueba a qué organización y producto se aplica, su fecha y con quién puedes contactar si tienes dudas sobre privacidad. Busca información sobre la recopilación, los destinatarios, la conservación y tus opciones.

Escribe cada respuesta con palabras sencillas. Si lo único que puedes copiar es «valoramos tu privacidad», sigue buscando. El ICO pide información de privacidad concisa y accesible; pide al proveedor que aclare las explicaciones imprecisas antes de confiar en ellas.

Por ejemplo: «¿Desactivar la copia de seguridad elimina una copia ya existente en la nube o solo detiene las futuras copias?».

Las etiquetas de privacidad o seguridad de los datos de las tiendas de apps pueden ayudar antes de la descarga. El ICO describe su valor para la transparencia y la confusión que puede causar una redacción incoherente. Compara la etiqueta con la política completa y busca respuestas coherentes sobre la información de salud, los identificadores y el intercambio de datos. Si difieren, pregunta qué explicación corresponde a la versión y las funciones que piensas utilizar.

Elige qué registrar

Empieza por lo que piensas escribir: quizá fechas de la regla, cantidad de sangrado o notas personales. Después, comprueba qué información procede de tu dispositivo o de servicios conectados. Pregunta por los identificadores del dispositivo, la ubicación y el acceso a contactos o fotos. ¿Qué datos son obligatorios y cuáles puedes omitir?

La FTC recomienda limitar la recopilación de datos y los permisos a lo que necesita la app. Decide cuánto quieres registrar; cómo empezar a registrar tu ciclo puede ayudarte a elegir.

Comprueba dónde están tus datos: teléfono, nube y copias de seguridad

Pregunta si los registros se quedan en una base de datos en tu teléfono, van a los servidores del proveedor o se guardan en ambos lugares. ¿Qué cambia si activas las copias de seguridad o conectas otro servicio? ¿Las copias de seguridad del dispositivo incluyen los datos de la app?

La FTC recomienda a quienes desarrollan apps saber adónde van los datos, incluidas sus responsabilidades respecto al almacenamiento en la nube. Pregunta a qué copias se refieren las explicaciones del proveedor. Pide detalles por separado sobre la protección en el teléfono, durante la transferencia y en cualquier copia en la nube. Un bloqueo de pantalla no responde a las tres preguntas.

Comprueba cómo funciona el inicio de sesión

¿Para usar las funciones básicas de registro hace falta una dirección de correo electrónico, un número de teléfono o una cuenta vinculada? Si hay una opción sin cuenta, pregunta qué identificador utiliza el servicio en su lugar. Pregunta también cómo se recupera el acceso si cambias de teléfono.

La información de salud combinada con identificadores móviles puede identificar a alguien sin necesidad de su nombre. Pregunta qué significa «anónimo» en el funcionamiento concreto del servicio.

Identifica los destinatarios y el software integrado

Busca destinatarios identificados por su nombre o categorías como proveedores de alojamiento, servicios de analítica y anunciantes. Pregunta qué recibe cada uno y por qué. Comprueba si el intercambio opcional de datos está desactivado por defecto y qué ocurre si lo rechazas.

Revisa las finalidades y los destinatarios del intercambio de datos aunque el proveedor diga que no vende información. El ICO pide explicaciones sobre con quién se comparten los datos. Pregunta por separado sobre la publicidad y la prestación del servicio.

Un SDK, o kit de desarrollo de software, es software que se puede integrar en una app al desarrollarla. Los SDK integrados pueden facilitar la analítica o funciones como el inicio de sesión, lo que implica almacenar información en el dispositivo o acceder a ella.

Pregunta qué SDK se utilizan, qué envían y a quién. ¿La analítica registra solo un evento técnico o podría incluir el contenido de un registro? ¿Puedes rechazar la analítica opcional y conservar tu historial? Revisa cada herramienta por separado: la mera presencia de un SDK no indica qué recopila.

Revisa la exportación y la eliminación por separado

• Exportación: pregunta qué registros incluye, en qué formato los recibes y si puedes seleccionar un intervalo de fechas. Para una consulta, decide qué compartir antes de generar el archivo. Preparar notas para una consulta médica puede ayudarte a elegir los detalles pertinentes.
• Eliminación: pregunta cómo borrar registros individuales o todo el historial, si es necesario cerrar una cuenta y qué ocurre con las copias de seguridad y las copias compartidas anteriormente. Pide información sobre los plazos y las posibles excepciones.

El ICO indica que deben explicarse los plazos de conservación, y la FTC recomienda planificar el cierre de cuentas. No des por hecho que desinstalar la app equivale al proceso de eliminación del proveedor. Comprueba qué opciones de exportación y eliminación ofrece la app.

Protege el acceso desde tu teléfono

¿Alguien que utilice tu teléfono podría abrir la app, leer las notificaciones o encontrar archivos exportados? Pregunta por un bloqueo de la app independiente, las vistas previas de las notificaciones y la recuperación del acceso tras perder el dispositivo. Si hay una cuenta, averigua cómo cerrar el acceso desde el teléfono perdido.

La guía de los reguladores del Reino Unido sobre seguridad en apps móviles recomienda proteger el teléfono con una contraseña y mantener las apps actualizadas. Revisa los ajustes del dispositivo que utilizas, especialmente si lo compartes, aunque confíes en las prácticas de tratamiento de datos del proveedor. Evita probar los controles de privacidad con información que no querrías exponer.

Elige qué puede ver tu pareja

Si se ofrece la opción de compartir, pregunta exactamente qué incluye: un resumen seleccionado, registros anteriores o futuras actualizaciones. ¿Puedes ver una vista previa? ¿Puedes detener el acceso sin borrar tu propio historial? Pregunta qué ocurre con la información ya recibida cuando dejas de compartir.

Habla de lo que quieres compartir antes de enviar la invitación, incluido si quieres dar acceso a todo tu historial. La FTC recomienda ajustes privados por defecto para las funciones opcionales de compartir con otras personas.

Lee con atención qué se afirma sobre las leyes que protegen los datos de salud

No des por hecho que una app de seguimiento para consumidores está amparada por HIPAA del mismo modo que tu historia clínica. La herramienta de la FTC sobre apps móviles de salud explica que probablemente HIPAA no se aplique a la información de salud de apps para consumidores que no sean ofrecidas por una entidad sanitaria cubierta por esa ley o por su asociado comercial.

La guía de la FTC sobre su Health Breach Notification Rule describe las obligaciones de notificación de las organizaciones sujetas a la norma tras brechas que afecten a información de salud identificable sin protección. Una brecha puede incluir una divulgación no autorizada, además de un ataque informático. Esta información ofrece un contexto general; no determina qué leyes se aplican a una app o a tu situación.

Pregunta cómo te informaría el proveedor de un incidente.

Aplica las mismas comprobaciones a Veya

Veya aún no se ha lanzado. Está diseñada para que los registros permanezcan en una base de datos local en tu teléfono y para que no necesites una cuenta. Si quieres trasladar tu historial a un teléfono nuevo mediante una copia de seguridad en la nube, está previsto que puedas vincular una cuenta de Google en Android o utilizar Iniciar sesión con Apple en iOS; Veya recibirá solo la dirección de correo electrónico para reconocer la cuenta, y los datos de tu ciclo no se compartirán con Google ni con Apple. El resumen para tu pareja y la comunidad anónima serán opcionales y utilizarán un identificador anónimo.

No habrá anuncios, todas las funciones serán gratuitas y Veya no venderá datos. Podrás descargarlo todo en cualquier momento, como un archivo JSON que podrá restaurarse en Veya en otro teléfono sin una cuenta y como un CSV para hojas de cálculo, y también podrás borrarlo todo.

La Política de privacidad de Veya ya está publicada. Comprueba sus respuestas con esta misma lista, especialmente en lo relativo a los proveedores de servicios, la conservación y qué ocurre con las copias en la nube después de la eliminación. Eliminación de la cuenta y los datos explica exactamente qué borra cada paso.

Para ver cómo responden a estas preguntas algunas apps de seguimiento muy usadas, con una fuente para cada respuesta, consulta cómo se compara Veya con otras apps.