Privacidad de apps de ciclo — El checklist 2026

Privacidad de apps de ciclo — El checklist 2026

Respuesta directa: Revisa cinco cosas antes de confiar en cualquier app de ciclo: dónde se almacenan los datos (local supera a nube), si cada SDK de terceros está nombrado en la política de privacidad, si puedes eliminar todos los datos permanentemente, cómo responde la empresa a solicitudes legales de datos y si su modelo de negocio depende de tus datos. Auditorías independientes en 2025 encontraron trackers populares integrando terceros que sus políticas nunca mencionaban — la política, no la página de marketing, es lo que cuenta.

Después de la decisión Dobbs de 2022, los usuarios de EE.UU. empezaron a leer las políticas de privacidad de apps de ciclo por primera vez. Cuatro años después, el panorama ha cambiado pero no se ha asentado. Privacy International publicó una auditoría de seguimiento en mayo de 2025. La orden de consentimiento de la FTC de 2021 contra Flo bienestar llevó a un acuerdo de demanda colectiva de $59.5 millones en septiembre de 2025. Nuevas leyes estatales de datos de salud están en vigor. Y el problema central sigue: la mayoría de las apps de ciclo almacenan tus datos en servidores, integran código de terceros que sus políticas no revelan completamente y tienen un modelo de negocio que depende de mantenerlos.

Este es un checklist práctico para evaluar cualquier app de ciclo. No es consejo legal. No es un doom scroll. Es un marco para hacer las preguntas correctas y tratar las respuestas vagas como señales de alerta.

De un vistazo

• El almacenamiento local y la eliminación completa son las dos señales de privacidad más fuertes.
• Los SDKs de terceros no revelados son el hallazgo de auditoría más común.
• La política de privacidad, no la página de marketing, es lo que cuenta.
• Un tracker reflexivo y no médica necesita muchos menos datos sensibles por diseño.
• Este artículo es criterio de producto, no consejo legal.

Por qué los datos del ciclo son únicamente sensibles

Las apps de seguimiento de ciclo conocen parte de la información de salud más sensible que tienes: fechas del ciclo, actividad sexual, intentos de embarazo, salud y patrones de humor. Después de la decisión Dobbs de 2022, estos datos se volvieron legalmente relevantes de formas que la mayoría de los usuarios nunca consideraron cuando descargaron una app gratis.

El problema no es que cada app esté vendiendo activamente tus datos. Algunas lo hacen. Pero el problema mayor es que muchas apps almacenan tus datos de formas que los hacen accesibles a terceros — ya sea через SDKs de publicidad integrados, plataformas de analítica o simplemente manteniéndolos en un servidor que puede ser citado. Una solicitud judicial no se preocupa por los valores de privacidad de la empresa. Se preocupa por qué datos existen en sus servidores.

Esto no es teórico. Las fuerzas del orden de EE.UU. han usado datos en línea — incluidos registros de chat de Facebook e historial de búsqueda de Google — en casos que involucran salud reproductiva. Los casos aún se están desarrollando, pero el patrón es claro: los datos que existen en un servidor pueden ser compelidos. Los datos que viven solo en tu teléfono no.

El checklist de privacidad de 10 puntos

Cada punto te dice qué revisar y dónde encontrarlo en una política de privacidad típica. Si una app no puede responder claramente, esa es la respuesta.

1. Ubicación de datos: ¿dónde viven tus datos?

Qué revisar: ¿Dice la política de privacidad "en nuestros servidores", "almacenamiento basado en nube" o "transmitido a nuestros sistemas"? ¿O dice "almacenado localmente en tu dispositivo"?

Por qué importa: Si los datos están en un servidor de la empresa, pueden ser accedidos por la empresa, citados por tribunales o expuestos en una brecha. El almacenamiento local significa que no hay copia en la nube que alcanzar.

Señal más fuerte: Los datos se almacenan solo en tu dispositivo, sin sincronización en la nube. Si la sincronización en la nube existe, es opcional y desactivada por defecto. Si se usa almacenamiento en la nube, los datos están cifrados de extremo a extremo antes de salir de tu dispositivo.

2. SDKs de terceros: ¿está nombrado cada tracker?

Qué revisar: Busca en la política de privacidad "terceros", "socios", "redes de publicidad", "proveedores de analítica", "socios de marketing" y "proveedores de servicios". ¿La política nombra cada SDK de terceros integrado en la app, o usa lenguaje vago como "podemos compartir datos con nuestros socios"?

Por qué importa: El hallazgo de auditoría más común son los SDKs de terceros no revelados. La investigación de Privacy International de 2025 encontró que, aunque las apps ya no compartían datos del ciclo directamente con Facebook, muchas aún integraban SDKs de publicidad y analítica que procesaban identificadores de dispositivo y datos de uso. El caso de la FTC contra Flo bienestar fue específicamente sobre SDKs integrados que transmitían contexto de salud a Facebook y Google — a pesar de la política de Flo prometiendo no compartir datos de salud.

Señal más fuerte: La política nombra cada SDK de terceros, o la app no tiene SDKs de terceros en absoluto. Las apps con ingresos por publicidad casi nunca cumplen este estándar.

3. Ruta de eliminación: ¿puedes borrar todo?

Qué revisar: ¿La app ofrece eliminación permanente de la cuenta (no solo desinstalar)? ¿La política especifica un plazo? ¿La eliminación incluye copias de seguridad y datos de analítica?

Por qué importa: Desinstalar una app no elimina tus datos de los servidores de la empresa. Bajo el RGPD y varias leyes estatales de privacidad de EE.UU., las empresas deben eliminar tus datos a petición — pero la cuestión es si realmente lo hacen, incluidas las copias de seguridad.

Señal más fuerte: La empresa se compromete por escrito a completar la eliminación dentro de un plazo específico (24 horas es fuerte; 30 días es estándar) e incluye explícitamente copias de seguridad y cualquier dato derivado (como embeddings vectoriales de IA).

4. Política de solicitud judicial: ¿qué pasa cuando las fuerzas del orden preguntan?

Qué revisar: ¿La política tiene una sección sobre solicitudes legales? ¿Se compromete a notificar a los usuarios cuando sea legalmente posible? ¿Publica un informe de transparencia?

Por qué importa: Toda empresa cumplirá con un proceso legal válido. La cuestión es si la empresa tiene tus datos para compartir. Una app cloud-first lo tiene todo. Una app local no tiene nada.

Señal más fuerte: La app es local, así que no hay nada que entregar. O la empresa publica informes de transparencia y se compromete a notificar al usuario cuando sea legalmente permitido.

5. Modo anónimo: ¿puedes usarla sin cuenta?

Qué revisar: ¿Puedes usar las funciones principales de la app sin crear una cuenta o introducir un correo electrónico? Si la app dice "no se necesita cuenta", verifícalo — algunas apps te dejan saltar inicialmente pero te presionan o bloquean funciones detrás del registro.

Por qué importa: Si una app requiere una cuenta, tus datos del ciclo están vinculados a tu identidad en sus servidores. La creación de cuenta no es técnicamente necesaria para el seguimiento de ciclo. Las apps que la requieren están haciendo una elección de producto, no una necesidad técnica.

Señal más fuerte: Funcionalidad completa sin cuenta, sin pantallas de presión, sin bloqueos de funciones.

6. Vinculación de pagos: ¿están tus datos de salud vinculados a la facturación?

Qué revisar: Si la app tiene un nivel premium, ¿el procesador de pagos vincula tu identidad de facturación a tus datos de salud? ¿O el pago se maneja por separado del almacenamiento de datos de salud?

Por qué importa: Si tu nombre, tarjeta e historial de ciclo están en la misma base de datos, una brecha o solicitud judicial expone todo a la vez.

Señal más fuerte: El pago es manejado por un procesador de terceros (Stripe, Apple/Google), y la app no vincula internamente los registros de facturación con los datos de salud.

7. Cobertura de leyes de datos de salud: ¿qué jurisdicción aplica?

Qué revisar: ¿Dónde tiene su sede la empresa? ¿Qué leyes de datos de salud aplican? En EE.UU., la ley My bienestar My Data de Washington y la ley de datos de salud del consumidor de Nevada están ahora en vigor. El artículo 9 del RGPD cubre datos de salud en la UE.

Por qué importa: Una empresa con sede en una jurisdicción con leyes fuertes de datos de salud es más responsable. Una empresa con sede en una jurisdicción sin protecciones específicas de datos de salud es de mayor riesgo.

Señal más fuerte: La empresa está sujeta al RGPD (UE), la Ley de Protección de Datos del Reino Unido, o leyes estatales de datos de salud de EE.UU. (WA, NV y creciendo), y su política las referencia específicamente.

8. Historial de brechas: ¿ha sido vulnerada la empresa?

Qué revisar: Busca "nombre app brecha" o "nombre app incidente de seguridad". Revisa Have I Been Pwned para el dominio de la app.

Por qué importa: Incluso las apps que no venden datos pueden filtrarlos. Las apps de salud y fertilidad como categoría han tenido incidentes de seguridad documentados — desde APIs mal configuradas hasta bases de datos no seguras. La única protección contra brechas es no tener tus datos en un servidor en primer lugar.

Señal más fuerte: Sin historial de brechas, o la empresa ha sido transparente sobre incidentes pasados y lo que arreglaron.

9. Derechos de exportación: ¿puedes sacar tus datos?

Qué revisar: ¿La app ofrece exportación de datos? ¿En un formato legible (CSV, JSON)? El RGPD lo requiere para usuarios de la UE, y muchas apps lo extienden a todos los usuarios.

Por qué importa: Si decides cambiar de app, quieres tu historial. Si decides eliminar todo, quieres una copia primero.

Señal más fuerte: Exportación con un toque en un formato estándar, disponible sin contactar soporte.

10. Modelo de negocio: ¿cómo gana dinero la empresa?

Qué revisar: ¿La app es gratis con anuncios? ¿Solo suscripción? ¿Freemium? ¿La política de privacidad menciona publicidad, monetización de datos o "compartir datos desidentificados"?

Por qué importa: Si la app es gratis y con soporte publicitario, probablemente integra SDKs de publicidad que recopilan datos conductuales. La compartición de datos "desidentificados" o "agregados" es más difícil de anonimizar de lo que las empresas afirman — un conjunto de datos de ciclos del ciclo vinculado a edad, código postal y tipo de dispositivo no es verdaderamente anónimo.

Señal más fuerte: La app se financia con suscripciones, no publicidad. La política declara explícitamente "no vendemos tus datos" y "no compartimos datos con socios publicitarios".

Aplicándolo: qué encontraron las auditorías

El informe de mayo de 2025 de Privacy International ("No Body's Business But Mine: Vol. 2") reexaminó el panorama de apps de seguimiento de ciclo cinco años después de su investigación original de 2019. Hallazgos clave:

• Mejora general: Las apps ya no compartían datos del ciclo directamente con Facebook, como algunas lo hacían en 2019. Las prácticas más graves habían disminuido.
• SDKs de terceros persisten: Varias apps aún integraban redes de publicidad (Google Ads, Meta Ads) y plataformas de analítica (Firebase, AppsFlyer) que procesaban identificadores de dispositivo y datos de uso. Estos terceros a menudo no estaban nombrados explícitamente en las políticas de privacidad de las apps.
• Almacenamiento en servidor domina: La mayoría de las apps almacenaban datos de ciclo de los usuarios en sus propios servidores o servidores externos, en lugar de localmente en el dispositivo del usuario.
• Stardust: El informe notó hallazgos sobre integraciones de terceros en el tráfico de la app de Stardust. Estos son hallazgos reportados de la auditoría, fechados en mayo de 2025 — no acusaciones más allá de lo que la auditoría observó.

La orden de consentimiento de la FTC de 2021 contra Flo bienestar requirió que Flo obtuviera consentimiento afirmativo antes de compartir datos de salud, se sometiera a evaluaciones independientes de privacidad durante 20 años y notificara a los usuarios cuyos datos fueron compartidos. Un acuerdo de demanda colectiva combinada contra Flo, Google y Flurry alcanzó $59.5 millones en septiembre de 2025.

La lección de ambos: la política de privacidad es necesaria pero no suficiente. También necesitas saber qué código de terceros está en la app y qué hace ese código.

Banderas rojas vs banderas verdes

La alternativa de reflexión astrológica

Aquí está el autoposicionamiento honesto. Una compañera de ciclo reflexiva y no médica como Soulwise Natural Cycles necesita menos datos sensibles por diseño. No predice ovulación, fertilidad ni embarazo. No hace afirmaciones médicas. Es un registro breve diario de 20 segundos que registra cómo se sintió el día y detecta patrones a lo largo del tiempo, con fase lunar o contexto de tránsitos opcional para reflexión.

Esto significa que la superficie de datos es menor. No hay datos de predicción de ciclo, no hay ventana de fertilidad, no hay registro de salud vinculado a un contexto sanitario. La postura de privacidad sigue de la postura del producto: si no recopilas datos médicos sensibles, no tienes que protegerlos.

Soulwise usa cifrado de sobre AES-256-GCM con claves por usuario, destruye la clave de cifrado al eliminar dentro de 24 horas, nunca pone contenido menstrual en notificaciones push y ofrece un modo anónimo. Estos compromisos son concretos y falsables. Para la especificación completa, ver la página de privacidad de Soulwise.

Para el posicionamiento más amplio de privacidad, consulta el rastreador menstrual de privacidad prioritaria y el rastreador menstrual sin afirmaciones médicas. Para defaults inclusivos, consulta el rastreador de ciclo para usuarios no binarios.

La verificación rápida de cuatro preguntas

Si no tienes tiempo para el checklist completo de 10 puntos, haz estas cuatro preguntas antes de instalar cualquier app de ciclo:

1. ¿Requiere una cuenta? Si sí, tu identidad está vinculada a tus datos.
2. ¿La política de privacidad menciona socios de terceros? Si sí, los datos salen del dispositivo.
3. ¿La app funciona sin conexión? Si no, los datos se sincronizan en algún lugar.
4. ¿La empresa está en una jurisdicción con leyes fuertes de datos de salud? Si no lo sabes, búscalo.

Una app que responde no, no, sí, sí es estructuralmente más segura. Una app que responde sí, sí, no, no es estructuralmente más riesgosa, no importa lo que diga el marketing.

Aviso

Este artículo es criterio de producto e información educativa, no consejo legal. No describe qué está o no está protegido de ningún proceso legal específico. Si tienes preocupaciones legales específicas sobre datos de ciclo, consulta a un abogado con licencia en tu jurisdicción. Los hallazgos citados de Privacy International y la FTC son registros públicos fechados como se indica; revisa fuentes actuales para actualizaciones.

FAQ

¿Qué apps de ciclo venden datos?

La mayoría de las apps de ciclo no venden datos del ciclo directamente. El problema más común es que integran SDKs de publicidad y analítica de terceros (de Google, Meta, AppsFlyer y otros) que recopilan identificadores de dispositivo y datos de uso, que pueden revelar contexto de salud. La auditoría de Privacy International de 2025 encontró varias apps integrando terceros que sus políticas no nombraban explícitamente. La FTC tomó acción contra Flo bienestar en 2021 por compartir datos de salud con Facebook y Google vía SDKs integrados. Revisa la política de privacidad por "terceros", "socios" y "proveedores de analítica" — cualquier cosa más allá de servicios básicos de plataforma significa que los datos salen del dispositivo.

¿Debería eliminar mi app de ciclo?

Eso depende de tu modelo de amenaza. Si estás en una jurisdicción de EE.UU. donde los datos del ciclo podrían ser citados en casos de salud reproductiva, y tu app almacena datos en servidores de la empresa, cambiar a un rastreador local es una precaución razonable. Si tu preocupación principal es la publicidad dirigida, revisa si tu app integra SDKs de publicidad y si puedes optar por salir. No tienes que dejar de registrar — puedes cambiar a una app privacidad prioritaria y exportar tu historial primero.

¿Qué es el seguimiento local?

El seguimiento local significa que tus datos del ciclo se almacenan en tu dispositivo y nunca se transmiten a un servidor de la empresa. Apps como Drip, Euki y Apple bienestar Cycle Seguimiento funcionan así. La ventaja es que no hay copia en la nube para citar, filtrar o vender. El trade-off es que no hay sincronización entre dispositivos y funciones de IA limitadas. Una app local debería funcionar en modo avión — si no lo hace, los datos salen de tu dispositivo.

¿Qué preguntas debería hacer antes de instalar una app de ciclo?

Haz cuatro preguntas: ¿Requiere una cuenta? (Si sí, tu identidad está vinculada a tus datos.) ¿La política de privacidad menciona socios de terceros o redes de publicidad? (Si sí, los datos salen del dispositivo.) ¿La app funciona sin conexión? (Si no, los datos se sincronizan en algún lugar.) ¿La empresa está en una jurisdicción con leyes fuertes de datos de salud? (Si no lo sabes, búscalo.) Una app que responde no, no, sí, sí es estructuralmente más segura.

Citas y lecturas adicionales

• Privacy International, "No Body's Business But Mine: Vol. 2" (mayo 2025): https://www.privacyinternational.org/sites/default/files/2025-05/period%20seguimiento%20with%20recs.pdf
• Orden de consentimiento de la FTC contra Flo bienestar (2021): https://www.ftc.gov/legal-library/browse/cases-proceedings/flo-bienestar-inc
• Washington My bienestar My Data Act: https://www.washingtonstate.gov/bienestar-data-privacy
• Ley de datos de salud del consumidor de Nevada: https://www.leg.state.nv.us
• Exodus Privacy (escáner de trackers de apps Android): https://exodus-privacy.eu.org
• Have I Been Pwned: https://haveibeenpwned.com
• Para la guía de privacidad post-Roe: rastreador menstrual de privacidad prioritaria
• Para la posición sin afirmaciones médicas: rastreador menstrual sin afirmaciones médicas
• Para defaults inclusivos: rastreador de ciclo para usuarios no binarios
• Para la comparación con Flo: guía de privacidad prioritaria alternativa a Flo