تطبيق تتبّع الدورة الذي يضع الخصوصية أولًا بعد إلغاء قرار رو

قبل عام 2022,، لم يكن معظم المستخدمين في الولايات المتحدة يقرؤون سياسات الخصوصية الخاصة بتطبيقات تتبّع الدورة. وبعد قرار دوبز، قرأها كثيرون، وغالبًا للمرة الأولى. لم يعد السؤال مجرّدًا بعد الآن: ما الذي يخزّنه هذا التطبيق فعلًا، وما الذي قد يحدث لتلك البيانات؟

هذا دليل للمنتج، وليس استشارة قانونية. فهو يسرد ما ينبغي البحث عنه عند تدقيق أي تطبيق لتتبّع الدورة. ولا يصف ما هو محميّ أو غير محميّ من أي إجراء قانوني محدّد. إذا كانت لديك مخاوف قانونية، فتحدّث إلى محامٍ مرخّص في المكان الذي تعيش فيه.

بعد توضيح هذا الإطار، إليك ما ينبغي التحقق منه.

ما الذي تغيّر في الطرح، لا في الجوهر

الممارسات التشفيرية والبرمجية الواردة أدناه موجودة منذ سنوات. ما تغيّر بعد قضية Dobbs هو مدى وضوحها. فالممارسات التي كانت تُذكر في تفاصيل المواصفات الخفية أصبحت اليوم التزامات معلنة في واجهة التطبيق. التطبيقات التي تأخذ الخصوصية على محمل الجد تتحدث عنها بصراحة؛ أما التي لا تفعل، فغالبًا لن تفعل.

المعايير السبعة في هذا الدليل هي ما ينبغي لأي تطبيق تتبّع يُعلي شأن الخصوصية أن يكون مستعدًا للتصريح به بوضوح.

سبعة معايير تستحق التحقق منها

قائمة عملية تراجعها قبل تثبيت أي تطبيق لتتبّع الدورة. أكثر التطبيقات صرامةً تستوفي المعايير السبعة كلها.

• التشفير المغلّف بنظام AES-256-GCM. يملك كل مستخدم مفتاح تشفير بيانات فريدًا (DEK) مغلّفًا بمفتاح رئيسي ضمن خدمة لإدارة المفاتيح. البيانات على القرص نص مشفّر؛ وأي اختراق للخادم يكشف نصًا مشفّرًا لا بيانات دورة قابلة للقراءة.
• حق المحو يدمّر المفتاح. عند حذفك لحسابك، يدمّر المزوّد مفتاح DEK لا مجرد سطر قاعدة البيانات. وبزوال المفتاح يصبح النص المشفّر الأساسي غير قابل للقراءة نهائيًا، بما في ذلك أي نسخة احتياطية كانت تحتويه.
• نافذة حذف خلال 24 ساعة. يتعهّد المزوّد كتابيًا بإتمام المحو خلال 24 ساعة من الطلب، بما في ذلك المتجهات الرقمية (vector embeddings) التي تستخدمها ميزات الذكاء الاصطناعي.
• لا ادّعاءات طبية. لا توقّعات لتنظيم الأسرة، ولا أي ادّعاءات سريرية من أي نوع، ولا عبارات مثل "يوم أحمر". فالتطبيق الاستهلاكي الذي يبتعد عن الإطار الطبي يتمتع بمساحة تنظيمية وإفصاحية أضيق بكثير.
• لا محتوى عن الحيض في الإشعارات. لا تتضمن عناوين الإشعارات أو نصوصها أبدًا أي محتوى عن الدورة أو الحيض أو تنظيم الأسرة. والمعاينة على شاشة القفل آمنة.
• نص واعٍ بالولاية القضائية. يرى المستخدمون في الولايات المتحدة مصطلحات محايدة افتراضيًا ("يوم جسدي"، "سجّل هذا")؛ ولا يفترض التطبيق أن المستخدم يريد ظهور كلمة "حيض".
• موافقة صريحة تُلتقط على حدة. تطبّق المادة 9 من اللائحة العامة لحماية البيانات (GDPR) هذا منذ سنوات؛ وبعد قضية دوبز بدأ المستخدمون في الولايات المتحدة يطلبون الأمر ذاته. فالموافقة المجمّعة أو الضمنية لا تكفي.

لماذا تهمّ تفاصيل التشفير فعلاً

تبدو بعض المعايير أعلاه تقنية. لكنها مهمة لأنها تغيّر ما يمكن استرجاعه.

إذا خزّن مزوّد الخدمة بيانات الدورة بنص صريح، فإن كل نسخة احتياطية، وكل نسخة مكررة، وكل مسار تحليلي يستطيع قراءتها. قد يحذف طلب الحذف السجل، لكن البيانات قد تظل حيّة في النسخ الاحتياطية لأشهر أو سنوات.

أما إذا استخدم المزوّد التشفير المغلّف بمفاتيح خاصة لكل مستخدم، فإن البيانات على القرص تصبح غير قابلة للقراءة دون مفتاح تشفير بيانات المستخدم (DEK). وعندما يُتلَف هذا المفتاح أثناء الحذف، فإن النص المشفّر المتبقي في النسخ الاحتياطية يصبح هو الآخر غير قابل للقراءة، حتى لو استُعيدت نسخة احتياطية. حينها يكون الحذف حقيقياً رياضياً، لا مجرد شيء يظهر في الواجهة.

هذا لا يعني أنه "عصيٌّ على الاختراق". فللتشفير حدوده، وأي مزوّد يدّعي أمناً مطلقاً إما مضلَّل أو كاذب. ما يفعله التشفير القوي مع إدارة سليمة للمفاتيح هو أنه يرسم نمط فشل واضحاً: البيانات غير قابلة للقراءة ما دامت المفاتيح محمية، وغير قابلة للقراءة إلى الأبد بمجرد إتلاف المفاتيح.

ماذا يعني فعلاً "عدم وجود محتوى عن الدورة الشهرية في الإشعارات"

معاينة شاشة القفل هي سطح إفصاح صامت. التطبيقات التي ترسل "ستبدأ دورتك الشهرية غداً" في نص الإشعار قد كشفت بيانات الدورة لأي شخص يلقي نظرة على الهاتف.

التطبيق الجاد يفرض غياب المحتوى المتعلق بالدورة الشهرية في الإشعارات ضمن نظام التكامل المستمر (CI). يقوم خط بناء Soulwise بفحص نصوص عنوان الإشعار ومتنه مقابل قائمة من المصطلحات المحظورة؛ وأي نسخة تحتوي على محتوى عن الدورة الشهرية أو تنظيم الأسرة في إشعار تفشل قبل إطلاقها. يتلقى المستخدم تنبيهات الطقوس اليومية التي تقول أشياء مثل "بداية هادئة. ما الذي تنوي إنجازه اليوم؟" - دون ذكر مرحلة الدورة، ودون إشارة إلى الطمث، ودون إطار طبي.

التخزين المحلي حصراً مقابل السحابة المشفّرة: اختر المقايضة المناسبة لك

بنيتان مشروعتان، ونموذجا تهديد مختلفان.

أدوات التتبع المحلية حصراً (Drip، Euki). تبقى بياناتك على جهازك. لا توجد نسخة سحابية يمكن استدعاؤها قضائياً، لكن في المقابل لا يوجد تزامن بين الأجهزة، وميزات الذكاء الاصطناعي محدودة. النسخ الاحتياطي مسؤوليتك؛ وكذلك سرقة الجهاز والنسخ الاحتياطية لنظام التشغيل (التي قد تكون مشفّرة على مستوى النظام أو لا تكون).

أدوات التتبع السحابية المشفّرة (Soulwise، Clue، وغيرها). تتزامن البيانات بين الأجهزة وتُشغّل ميزات الذكاء الاصطناعي. تعتمد الخصوصية على ممارسات التشفير والمحو لدى المزوّد. ويفترض نموذج التهديد وجود مزوّد كفؤ وموقف قوي في إدارة المفاتيح.

لا أحد منهما "أكثر أماناً" بإطلاق. تتوقف الإجابة الصحيحة على ما يقلقك. التخزين المحلي حصراً هو الخيار الأصعب من حيث تجربة المستخدم، والأبسط من حيث مساحة تعرّض البيانات. أما السحابة المشفّرة فالعكس تماماً.

ما الذي نمتنع عمداً عن الوعد به

هذه قائمة بأمور ينبغي أن تكون حذراً منها في أي محتوى تسويقي:

• "غير قابل للاختراق." لا يوجد نظام غير قابل للاختراق. وكل من يدّعي ذلك إنما يحاول بيعك شيئاً.
• "بياناتك في مأمن من جهات إنفاذ القانون." هذا ادعاء قانوني، لا تقني. أما الادعاء التقني فهو "بياناتك مشفّرة في حالة السكون، والمفتاح يُتلف عند الحذف." والعواقب القانونية لأي إجراء بعينه أمر لا يستطيع البتّ فيه سوى محامٍ.
• "آمن بنسبة 100%." انظر ما سبق. الأمان خاصية مرتبطة بنماذج التهديد، وليس قيمة مطلقة.
• "خصوصية مضمونة." الخصوصية ممارسة، وليست ضماناً.

التزامات Soulwise بشأن الخصوصية ملموسة وقابلة للتحقق. تشفير AES-256-GCM في حالة السكون. مفتاح تشفير بيانات (DEK) خاص بكل مستخدم مغلّف بمفتاح KMS الرئيسي. مسح خلال 24 ساعة يشمل المتجهات المضمّنة. لا محتوى عن الدورة الشهرية في الإشعارات. موافقة صريحة وفق المادة 9 من اللائحة العامة لحماية البيانات (GDPR). تسرد صفحة خصوصية Soulwise كل بند منها مع الإشارة إلى المواصفة الأساسية الخاصة به.

لماذا يتجاوز هذا الأمر أسوأ السيناريوهات

تدفع المقاربة التي سادت بعد قرار Dobbs الناس إلى التفكير في خصوصية تطبيقات تتبّع الدورة ضمن سيناريوهات متطرفة. لكن المعايير نفسها مهمة في حالات أكثر شيوعًا: هاتف مشترك مع زميل السكن، شريك مُسيء يستعير الجهاز، رب عمل فضولي يلمح إشعارًا، نسخة احتياطية ينتهي بها المطاف في حساب iCloud عائلي.

الخصوصية الافتراضية القوية ليست لأسوأ الحالات فحسب، بل لكل يوم.

باختصار: التطبيق الصحيح هو الذي تكون التزاماته بالخصوصية محددة، وقابلة للدحض، ومذكورة بلغة واضحة. اسأل أي تطبيق عن المعايير السبعة أعلاه. وإذا عجز المزوّد عن الإجابة بوضوح، فتلك هي الإجابة. للاطلاع على مقارنة جنبًا إلى جنب مع التطبيق الأكثر شيوعًا، راجع دليل بدائل Flo التي تضع الخصوصية أولًا؛ وللتعرف على الإعدادات الافتراضية الشاملة المنبثقة من المبادئ نفسها، راجع تطبيق تتبّع الدورة لغير الثنائيين جندريًا.