Period Tracker na Una ang Privacy Pagkatapos ng Roe

Bago ang 2022, karamihan sa mga user sa US ay hindi nagbabasa ng mga patakaran sa privacy ng mga cycle-tracker. Pagkatapos ng desisyong Dobbs, marami na ang nagbasa, kadalasan sa unang pagkakataon. Hindi na malabo ang tanong: ano ba talaga ang iniimbak ng app na ito, at ano ang puwedeng mangyari sa data na iyon?

Isa itong gabay sa produkto, hindi legal na payo. Inililista nito kung ano ang dapat hanapin kapag sinusuri mo ang anumang period tracker. Hindi nito inilalarawan kung ano ang protektado o hindi mula sa anumang partikular na legal na proseso. Kung may mga legal kang alalahanin, kausapin ang isang abogadong lisensyado sa lugar na tinitirhan mo.

Sa ganoong pananaw, narito kung ano ang dapat i-check.

Sa Madaling Salita

• Matapos ang 2022 Dobbs decision, sa unang pagkakataong nagsimulang basahin ng mga gumagamit sa US ang mga patakaran sa privacy ng cycle-tracker.
• Naglilista ang gabay na ito ng pitong pamantayan sa produkto para suriin ang anumang period tracker: AES-256-GCM envelope encryption na may per-user keys, right-to-erasure na sumisira sa encryption key sa loob ng 24 oras, walang anumang medikal o family-planning na pag-aangkin, walang nilalaman tungkol sa regla sa push notifications, jurisdiction-aware na teksto (nakikita ng mga gumagamit sa US ang "body day" sa halip na "period"), opsyon para sa anonymous-mode, at GDPR Article 9 na tahasang pahintulot.
• Malinaw sa artikulo na ito ay pamantayan sa produkto, hindi legal na payo - hindi nito inilalarawan kung ano ang protektado o hindi mula sa anumang partikular na legal na proseso.

Ang nagbago ay nasa pagsasalarawan, hindi sa matematika

Ang mga cryptographic at software na gawi sa ibaba ay umiiral na nang maraming taon. Ang nagbago pagkatapos ng Dobbs ay ang visibility. Ang mga gawi na dati'y nasa likod lang ng spec ay ngayo'y nasa harap na ng app bilang mga pangako. Ang mga app na seryoso sa privacy ay bukas na pinag-uusapan ang mga ito; ang mga app na hindi, kadalasan ay hindi.

Ang pitong pamantayan sa gabay na ito ang dapat na handang sabihin ng isang privacy-forward na tracker sa malinaw na salita.

Pitong pamantayan na dapat suriin

Isang praktikal na checklist bago mag-install ng anumang cycle tracker. Ang pinakamahigpit na apps ay pumapasa sa lahat ng pito.

• AES-256-GCM envelope encryption. Bawat user ay may natatanging data encryption key (DEK) na binabalot ng master key sa isang key-management service. Ang data sa disk ay ciphertext; kapag nasira ang seguridad ng server, ciphertext ang nalalantad, hindi ang nababasang cycle data.
• Sinisira ng right-to-erasure ang key. Kapag binura mo ang iyong account, sinisira ng vendor ang DEK, hindi lang ang row sa database. Kapag wala na ang key, ang nasa ilalim na ciphertext ay permanenteng hindi na mababasa, pati na sa anumang backup na naglalaman nito.
• 24-oras na window para sa pagbura. Nangangako ang vendor nang nakasulat na tatapusin ang pagbura sa loob ng 24 oras mula sa kahilingan, kabilang ang vector embeddings na ginagamit ng mga AI feature.
• Walang medikal na claim. Walang forecast para sa family-planning, walang anumang klinikal na claim, walang "RED day" na teksto. Ang isang consumer tracker na umiiwas sa medikal na framing ay may mas makitid na regulatory at disclosure surface.
• Walang menstrual na nilalaman sa push notifications. Ang mga titulo at katawan ng push ay hindi kailanman naglalaman ng cycle, period, o family-planning na nilalaman. Ligtas ang preview sa lock-screen.
• Teksto na may kamalayan sa hurisdiksyon. Ang mga user sa US ay nakakakita ng neutral na terminolohiya ("body day," "log this") bilang default; hindi ipinapalagay ng app na gusto ng user na ipakita ang salitang "period."
• Tahasan at hiwalay na nakuhang pahintulot. Matagal nang ginagawa ito ng GDPR Article 9; pagkatapos ng Dobbs, nagsimulang humingi ng parehong bagay ang mga user sa US. Hindi sapat ang bundled o implicit na pahintulot.

Bakit talagang mahalaga ang mga detalye ng encryption

Ilan sa mga pamantayan sa itaas ay tila teknikal. Mahalaga ang mga ito dahil binabago nila kung ano ang maaaring mabawi.

Kung ang isang vendor ay nag-iimbak ng cycle data sa plaintext, mababasa ito ng bawat backup, bawat replica, at bawat analytics pipeline. Maaaring burahin ng isang deletion request ang row, pero maaaring manatili pa rin ang data sa mga backup nang ilang buwan o taon.

Kung ginagamit ng vendor ang envelope encryption na may per-user keys, hindi mababasa ang data sa disk kung wala ang DEK ng user. Kapag winasak ang DEK habang nagde-delete, hindi rin mababasa ang ciphertext na nananatili sa mga backup, kahit na ma-restore ang isang backup. Tunay ang pagbura sa paraang matematikal, hindi lang nakikita sa UI.

Hindi ito "hindi maha-hack." May limitasyon ang cryptography, at sinumang vendor na nag-aangkin ng ganap na seguridad ay maling-akala o nagsisinungaling. Ang ginagawa ng malakas na encryption na may wastong key management ay nagtatakda ng malinaw na failure mode: hindi mababasa ang data hangga't protektado ang mga key, at hindi na mababasa kailanman kapag winasak na ang mga key.

Ano ang ibig sabihin ng "walang nilalaman tungkol sa regla sa push"

Ang preview sa lock-screen ay isang tahimik na espasyo ng pagbubunyag. Ang mga app na nagpapadala ng "Magsisimula ang regla mo bukas" bilang push body ay naihayag na ang datos ng cycle mo sa kahit sino na sumulyap sa telepono.

Ang seryosong tracker ay tinitiyak na walang nilalaman tungkol sa regla sa mga push notification sa CI. Ini-scan ng build pipeline ng Soulwise ang mga string ng push title at body laban sa listahan ng mga ipinagbabawal na tuntunin; anumang build na may nilalaman tungkol sa regla o family-planning sa isang push ay nabibigo bago pa ito mailabas. Ang user ay nakakakuha ng mga prompt para sa daily ritual na nagsasabi ng mga bagay tulad ng "Banayad na simula. Ano ang nakaharap mo ngayong araw?" - walang cycle phase, walang banggit sa regla, walang medikal na pananaw.

Local-only vs encrypted cloud: piliin ang iyong trade-off

Dalawang lehitimong arkitektura, magkaibang threat models.

Local-only trackers (Drip, Euki). Nasa device mo lang nakatira ang data. Walang kopya sa cloud na puwedeng i-subpoena, pero wala ring sync sa iba't ibang device at limitado ang mga AI feature. Problema mo ang backup; pati na ang pagkanakaw ng device at ang mga backup ng operating system (na puwedeng naka-encrypt o hindi sa antas ng OS).

Encrypted cloud trackers (Soulwise, Clue, at iba pa). Nagsi-sync ang data sa iba't ibang device at pinapatakbo ang mga AI feature. Nakadepende ang privacy sa encryption at erasure practices ng vendor. Inaasahan ng threat model na may kompetenteng vendor at matibay na key-management posture.

Wala sa kanilang dalawa ang unibersal na "mas ligtas." Nakadepende ang tamang sagot sa kung ano ang ikinababahala mo. Mas mahirap ang local-only pagdating sa karanasan ng user pero mas simple pagdating sa data surface area. Kabaligtaran naman ang encrypted cloud.

Ang sadyang hindi namin ipinapangako

Narito ang listahan ng mga bagay na dapat mong pagdudahan sa anumang marketing copy:

• "Hindi mahahack." Walang sistemang hindi mahahack. Sinumang nagsasabi nito ay may ipinagbibili sa iyo.
• "Ligtas ang data mo sa law enforcement." Isa itong legal na pahayag, hindi teknikal. Ang teknikal na pahayag ay "naka-encrypt ang data mo habang naka-imbak at sinisira ang key sa pagde-delete." Ang legal na bunga ng anumang partikular na proseso ay isang bagay na abogado lang ang makakatugon.
• "100% secure." Tingnan ang nasa itaas. Ang seguridad ay katangian ng threat models, hindi isang absolute.
• "Garantisadong privacy." Ang privacy ay isang praktis, hindi garantiya.

Ang mga commitment ng Soulwise sa privacy ay kongkreto at nasusubok. AES-256-GCM habang naka-imbak. Per-user DEK na naka-wrap ng KMS master key. 24-oras na pagbura kasama ang vector embeddings. Walang nilalaman ukol sa menstruation sa push. Tahasang pahintulot ayon sa GDPR Article 9. Inililista ng Soulwise privacy page ang bawat isa kasama ang kaukulang spec reference.

Bakit mahalaga ito higit pa sa pinakamalalang sitwasyon

Itinutulak tayo ng post-Dobbs na pananaw na isipin ang privacy ng cycle-tracker sa mga sobrang sukdulang sitwasyon. Pero ang parehong pamantayan ay mahalaga rin sa mas karaniwang mga pangyayari: isang teleponong pinagsasaluhan ng roommate, isang mapang-abusong partner na nanghihiram ng device, isang mausisang employer na nakakakita ng notification, isang backup na napupunta sa iCloud account ng pamilya.

Ang matibay na default na privacy ay hindi lang para sa pinakamalalang sitwasyon. Para ito sa araw-araw.

Sa mas maikling bersyon: ang tamang tracker ay iyong may mga pangako sa privacy na tiyak, mapapatunayang mali, at nakasulat sa simpleng wika. Tanungin ang kahit anong app tungkol sa pitong pamantayan sa itaas. Kung hindi makakasagot nang malinaw ang isang vendor, iyon na ang sagot. Para sa magkatabing paghahambing sa pinakasikat na incumbent, tingnan ang Flo alternative privacy-first guide; para naman sa mga inklusibong default na sumusunod sa parehong prinsipyo, tingnan ang Cycle tracker for non-binary users.

Mga Madalas Itanong

Legal advice ba ang artikulong ito?

Hindi. Ito ay pamantayan ng produkto para sa pagsusuri ng mga consumer app. Kung may mga tukoy kang alalahanin tungkol sa legal na aspeto ng cycle data, kumonsulta sa isang abogadong lisensiyado sa iyong hurisdiksiyon. Walang anuman sa artikulong ito ang naglalarawan kung ano ang protektado o hindi mula sa anumang tukoy na legal na proseso.

Bakit nagbago ang pananaw sa privacy matapos ang Dobbs?

Inilipat ng desisyong Dobbs noong 2022 ang regulasyon sa aborsyon pabalik sa mga indibidwal na estado ng US, na ngayon ay naghihigpit o nagkri-krimen ng aborsyon sa ilang sitwasyon. Binago nito kung paano iniisip ng mga tao ang anumang digital na bakas ng menstrual o pregnancy data, at sa unang pagkakataon ay ginawang isang sadyang pamantayan sa pagbili ang privacy ng cycle-tracker para sa maraming user.

Ano ang "envelope encryption" at bakit ito mahalaga?

Binabalot ng envelope encryption ang data encryption key (DEK) ng bawat user sa loob ng isang master key na hawak ng isang key-management service. Ang data ng user sa disk ay naka-encrypt gamit ang kanilang DEK; ang isang server breach ay maglalantad ng ciphertext, hindi ng nababasang cycle data. Ang pagsira sa DEK kapag nag-delete ang gumagawa sa ciphertext na permanenteng hindi mababasa.

Mas ligtas ba ang local-only trackers kaysa sa encrypted cloud trackers?

Magkaibang trade-off. Ang local-only trackers (Drip, Euki) ay nag-iimbak ng data sa iyong device, na naglilimita sa cloud exposure ngunit hindi nagpoprotekta sa device mismo. Ang encrypted cloud trackers (Soulwise) ay nagbibigay-daan sa sync at AI features kapalit ng pagtitiwala sa encryption at erasure practices ng vendor. Wala ni isa sa mga ito ang pangkalahatang "mas ligtas" - ang tanong ay kung anong banta ang pinaka-iniaalala mo.