Application de Suivi du Cycle Menstruel Axée sur la Confidentialité

Avant 2022, la plupart des utilisatrices américaines ne lisaient pas les politiques de confidentialité des applications de suivi du cycle. Après la décision Dobbs, beaucoup le firent, souvent pour la première fois. La question n'était plus abstraite : que stocke réellement cette application, et que pourrait-il arriver à ces données ?

Il s'agit d'un guide produit, pas d'un conseil juridique. Il liste ce qu'il faut vérifier lorsque vous auditez n'importe quelle application de suivi du cycle. Il ne décrit pas ce qui est ou n'est pas protégé par une procédure judiciaire spécifique. Pour des préoccupations juridiques, parlez à un avocat habilité là où vous vivez.

Avec ce cadrage en place, voici ce qu'il faut vérifier.

Ce qui a changé dans le discours, pas dans les mathématiques

Les pratiques cryptographiques et logicielles décrites ci-dessous existent depuis des années. Ce qui a changé après Dobbs, c'est leur visibilité. Des pratiques qui étaient autrefois des détails techniques en coulisses sont désormais des engagements affichés en première page de l'application. Les applications qui prennent la confidentialité au sérieux en parlent ouvertement ; celles qui ne le font pas, souvent n'en parlent pas.

Les sept critères de ce guide représentent ce qu'un tracker respectueux de la vie privée devrait être prêt à déclarer en langage clair.

Sept critères à vérifier

Une liste de contrôle pratique avant d'installer n'importe quelle application de suivi du cycle. Les applications les plus rigoureuses satisfont les sept critères.

• Chiffrement par enveloppe AES-256-GCM. Chaque utilisatrice dispose d'une clé de chiffrement des données (DEK) unique encapsulée par une clé maîtresse dans un service de gestion des clés. Les données sur disque sont du texte chiffré ; une violation du serveur expose du texte chiffré, pas les données du cycle lisibles.
• Le droit à l'effacement détruit la clé. Lorsque vous supprimez votre compte, le fournisseur détruit la DEK, pas seulement l'entrée en base de données. Une fois la clé supprimée, le texte chiffré sous-jacent est définitivement illisible, y compris dans toute sauvegarde qui le contenait.
• Fenêtre d'effacement de 24 heures. Le fournisseur s'engage par écrit à compléter l'effacement dans les 24 heures suivant la demande, y compris les embeddings vectoriels utilisés par les fonctionnalités IA.
• Aucune déclaration médicale. Aucune prévision de planification familiale, aucune déclaration clinique d'aucune sorte, aucun texte "jour ROUGE". Une application grand public qui reste en dehors du cadre médical a une surface réglementaire et de divulgation beaucoup plus réduite.
• Aucun contenu menstruel dans les notifications push. Les titres et contenus des notifications ne contiennent jamais de contenu relatif au cycle, aux règles ou à la planification familiale. L'aperçu sur l'écran de verrouillage est sûr.
• Texte adapté à la juridiction. Les utilisatrices américaines voient une terminologie neutre par défaut ("jour du corps", "enregistrer ceci") ; l'application ne présuppose pas que l'utilisatrice souhaite voir le mot "règles" affiché.
• Consentement explicite et capturé séparément. L'Article 9 du RGPD le prévoit depuis des années ; après Dobbs, les utilisatrices américaines ont commencé à demander la même chose. Le consentement groupé ou implicite ne suffit pas.

Pourquoi les détails du chiffrement importent vraiment

Certains des critères ci-dessus semblent techniques. Ils importent parce qu'ils changent ce qui est récupérable.

Si un fournisseur stocke les données du cycle en texte clair, chaque sauvegarde, chaque réplique et chaque pipeline d'analyse peut les lire. Une demande de suppression peut effacer l'entrée, mais les données peuvent subsister dans les sauvegardes pendant des mois ou des années.

Si le fournisseur utilise le chiffrement par enveloppe avec des clés par utilisatrice, les données sur disque sont illisibles sans la DEK de l'utilisatrice. Lorsque la DEK est détruite lors de la suppression, le texte chiffré qui subsiste dans les sauvegardes est également illisible, même si une sauvegarde est restaurée. La suppression est mathématiquement réelle, pas seulement visible dans l'interface.

Ce n'est pas "inviolable". La cryptographie a des limites, et tout fournisseur affirmant une sécurité absolue est soit mal informé soit menteur. Ce que fait un chiffrement solide avec une gestion appropriée des clés, c'est établir un mode d'échec clair : les données sont illisibles tant que les clés sont protégées, et illisibles à jamais une fois les clés détruites.

Ce que signifie réellement "aucun contenu menstruel dans les push"

L'aperçu sur l'écran de verrouillage est une surface de divulgation discrète. Les applications qui envoient "Vos règles commencent demain" comme corps d'une notification push ont révélé des données du cycle à quiconque regarde le téléphone.

Un tracker sérieux impose l'absence de contenu menstruel dans les notifications push dans son pipeline d'intégration continue. Le pipeline de build de Soulwise analyse les titres et contenus des notifications push en les comparant à une liste de termes interdits ; tout build contenant du contenu menstruel ou de planification familiale dans une notification échoue avant d'être déployé. L'utilisatrice reçoit des invitations de rituel quotidien qui disent des choses comme "Début en douceur. Qu'avez-vous prévu aujourd'hui ?" - aucune phase du cycle, aucune référence aux règles, aucun cadre médical.

Local uniquement vs cloud chiffré : choisissez votre compromis

Deux architectures légitimes, des modèles de menace différents.

Trackers locaux uniquement (Drip, Euki). Les données vivent sur votre appareil. Il n'y a pas de copie cloud à réquisitionner, mais pas non plus de synchronisation entre appareils et des fonctionnalités IA limitées. La sauvegarde est votre responsabilité ; il en va de même pour le vol d'appareil et les sauvegardes du système d'exploitation (qui peuvent ou non être chiffrées au niveau OS).

Trackers cloud chiffrés (Soulwise, Clue et autres). Les données se synchronisent entre les appareils et alimentent les fonctionnalités IA. La confidentialité dépend des pratiques de chiffrement et d'effacement du fournisseur. Le modèle de menace suppose un fournisseur compétent et une solide gestion des clés.

Aucun n'est universellement "plus sûr". La bonne réponse dépend de ce qui vous préoccupe. Local uniquement est le choix le plus difficile en termes d'expérience utilisateur et le plus simple en termes de surface des données. Cloud chiffré, c'est l'inverse.

Ce que nous ne promettons délibérément pas

Voici une liste d'affirmations dont vous devriez vous méfier dans tout texte marketing :

• "Inviolable." Aucun système n'est inviolable. Quiconque affirme cela vous vend quelque chose.
• "Vos données sont à l'abri des forces de l'ordre." C'est une affirmation juridique, pas technique. L'affirmation technique est "vos données sont chiffrées au repos et la clé est détruite lors de la suppression." Les conséquences juridiques de toute procédure spécifique relèvent uniquement d'un avocat.
• "100 % sécurisé." Voir ci-dessus. La sécurité est une propriété des modèles de menace, pas un absolu.
• "Confidentialité garantie." La confidentialité est une pratique, pas une garantie.

Les engagements de Soulwise en matière de confidentialité sont concrets et vérifiables. AES-256-GCM au repos. DEK par utilisatrice encapsulée par la clé maîtresse KMS. Effacement en 24 heures incluant les embeddings vectoriels. Aucun contenu menstruel dans les push. Consentement explicite selon l'Article 9 du RGPD. La page confidentialité de Soulwise liste chacun de ces engagements avec la référence aux spécifications techniques sous-jacentes.

Pourquoi cela compte au-delà du pire scénario

Le contexte post-Dobbs pousse les gens à envisager la confidentialité des applications de suivi du cycle dans des scénarios extrêmes. Les mêmes critères importent dans des situations bien plus courantes : un téléphone partagé avec un colocataire, un partenaire abusif qui emprunte l'appareil, un employeur curieux qui voit une notification, une sauvegarde qui se retrouve dans un compte iCloud familial.

Une confidentialité solide par défaut ne s'applique pas seulement au pire scénario. Elle s'applique chaque jour.

La version courte : la bonne application est celle dont les engagements en matière de confidentialité sont spécifiques, vérifiables et énoncés en langage clair. Demandez à n'importe quelle application les sept critères ci-dessus. Si un fournisseur ne peut pas répondre de manière précise, c'est déjà une réponse.