Cikluskövető adatvédelem — A 2026-os ellenőrzőlista

Cikluskövető adatvédelem — A 2026-os ellenőrzőlista

Közvetlen válasz: Ellenőrizz öt dolgot, mielőtt megbízol bármely ciklusalkalmazásban: hol tárolják az adatokat (csak helyi a felhő helyett), minden harmadik féltől származó SDK fel van-e tüntetve az adatvédelmi irányelvekben, véglegesen törölheted-e az összes adatot, hogyan válaszol a cég a jogi adatkérésekre, és az üzleti modellje függ-e az adataidtól. A 2025-ös független auditok népszerű követőkben olyan harmadik feleket találtak, amelyeket az irányelvek sosem említettek — az irányelv, nem a marketingoldal számít.

A 2022-es Dobbs-döntés után az amerikai felhasználók először kezdték el elolvasni a cikluskövetők adatvédelmi irányelveit. Négy évvel később a tájkép megváltozott, de nem rendeződött. A Privacy International 2025 májusában közzétett egy utánkövető auditot. Az FTC 2021-es Flo wellness elleni beleegyezési rendelete 59,5 millió dolláros csoportos per egyezséghez vezetett 2025 szeptemberében. Új állami egészségügyi adatvédelmi törvények hatályban vannak. És a alapvető probléma továbbra is fennáll: a legtöbb cikluskövető szervereken tárolja az adataidat, harmadik féltől származó kódot ágyaz be, amelyet az irányelvek nem teljesen fednek fel, és olyan üzleti modellel rendelkezik, amely az adataik megtartásától függ.

Ez egy gyakorlati ellenőrzőlista bármely ciklusalkalmazás értékeléséhez. Nem jogi tanács. Nem végeláthatatlan aggodalom. Ez egy keretrendszer a megfelelő kérdések feltételéhez és a homályos válaszok figyelmeztető jelként való támogatás és önreflexióéhez.

Röviden

• A csak helyi tárolás és a teljes törlés a két legerősebb adatvédelmi jelzés.
• A nem nyilvánított harmadik féltől származó SDK-k a leggyakoribb audit-megállapítás.
• Az adatvédelmi irányelv, nem a marketingoldal számít.
• Egy reflexiós, nem támogatás és önreflexió követő sokkal kevesebb érzékeny adatot igényel tervezéséből fakadóan.
• Ez a cikk termék-kritérium, nem jogi tanács.

Miért egyedülállóan érzékeny a ciklusadat

A cikluskövető alkalmazások a legérzékenyebb egészségügyi információid egy részét ismerik: ciklusdátumok, szexuális aktivitás, terhességi kísérletek, támogatás és önreflexió és hangulati mintázatok. A 2022-es Dobbs-döntés után ezek az adatok jogilag relevánssá váltak olyan módokon, amelyeket a legtöbb felhasználó sosem fontolgatott, amikor először letöltött egy ingyenes alkalmazást.

A probléma nem az, hogy minden alkalmazás aktívan eladja az adataidat. Néhány igen. De a nagyobb probléma az, hogy sok alkalmazás úgy tárolja az adataidat, hogy azok hozzáférhetők lesznek harmadik felek számára — legyen az beágyazott hirdetési SDK-kon, analitikai platformokon vagy egyszerűen egy szerveren tartáson keresztül, amely idézhető. Egy idézés nem törődik a cég adatvédelmi értékeire. Arra törődik, milyen adatok léteznek a szervereiken.

Ez nem elméleti. Az amerikai bűnüldözés használt online adatokat — beleértve Facebook chat-naplókat és Google keresési előzményeket — reprodukciós egészségügyvel kapcsolatos ügyekben. Az ügyek még folynak, de a mintázat világos: a szerveren lévő adatok kikényszeríthetők. Az adatok, amelyek csak a telefonodon léteznek, nem.

A 10 pontos adatvédelmi ellenőrzőlista

Minden pont megmondja, mit ellenőrizz és hol találod meg egy tipikus adatvédelmi irányelvben. Ha egy alkalmazás nem tud világosan válaszolni, az a válasz.

1. Adattárolás helye: hol élnek az adataid?

Mit ellenőrizz: Azt mondja-e az adatvédelmi irányelv, hogy „szervereinken", „felhő-alapú tárolás" vagy „rendszereinkre továbbítva"? Vagy azt mondja, hogy „az eszközödön helyileg tárolva"?

Miért számít: Ha az adatok cégszerveren vannak, a cég hozzáférhet, bíróság idézheti, vagy adatvédelmi incidens során nyilvánosságra kerülhet. A csak helyi tárolás azt jelenti, hogy nincs elérhető felhőmásolat.

Legerősebb jelzés: Az adatok csak az eszközödön tárolódnak, felhő-szinkronizálás nélkül. Ha van felhő-szinkronizálás, az opcionális és alapértelmezetten kikapcsolt. Ha felhőtárolást használnak, az adatok végponttól végpontig titkosítva kerülnek az eszközödről.

2. Harmadik féltől származó SDK-k: minden követő meg van nevezve?

Mit ellenőrizz: Keresd az adatvédelmi irányelvekben a „harmadik fél", „partnerek", „hirdetési hálózatok", „analitikai szolgáltatók", „marketing partnerek" és „szolgáltatók" kifejezéseket. Megnevezi-e az irányelv minden harmadik féltől származó SDK-t, amely be van ágyazva az alkalmazásba, vagy homályos nyelvezetet használ, mint „megoszthatunk adatokat partnereinkkel"?

Miért számít: A leggyakoribb audit-megállapítás a nem nyilvánított harmadik féltől származó SDK-k. A Privacy International 2025-ös vizsgálata megállapította, hogy bár az alkalmazások már nem osztották meg közvetlenül a ciklusadatokat a Facebookkal, mint 2019-ben, sokan még mindig beágyaztak hirdetési és analitikai SDK-kat, amelyek eszközazonosítókat és használati adatokat dolgoztak fel. Az FTC Flo wellness elleni ügye kifejezetten beágyazott SDK-król szólt, amelyek egészségügyi kontextust továbbítottak a Facebooknak és a Google-nek — annak ellenére, hogy Flo irányelve ígéretet tett arra, hogy nem oszt meg egészségügyi adatokat.

Legerősebb jelzés: Az irányelv megnevezi minden harmadik féltől származó SDK-t, vagy az alkalmazás egyáltalán nem rendelkezik harmadik féltől származó SDK-kkal. A hirdetési bevételre támaszkodó alkalmazások szinte sosem érik el ezt a szintet.

3. Törlési útvonal: mindent törölhetsz?

Mit ellenőrizz: Az alkalmazás kínál-e végleges fióktörlést (nem csak eltávolítást)? Meghatározza-e az irányelv egy időkeretet? Tartalmazza-e a törlés a biztonsági mentéseket és analitikai adatokat?

Miért számít: Egy alkalmazás eltávolítása nem törli az adataidat a cég szervereiről. A GDPR és több amerikai állami adatvédelmi törvény szerint a cégeknek kérésre törölniük kell az adataidat — de a kérdés az, hogy ténylegesen megteszik-e, beleértve a biztonsági mentéseket is.

Legerősebb jelzés: A szolgáltató írásban vállalja, hogy egy meghatározott időablakon belül befejezi a törlést (24 óra erős; 30 nap standard), és kifejezetten magában foglalja a biztonsági mentéseket és minden származtatott adatot (mint AI vektor-beágyazások).

4. Idézés-politika: mi történik, amikor a bűnüldözés kér?

Mit ellenőrizz: Van-e az irányelvben egy szakasz a jogi kérésekről? Vállalja-e a felhasználók értesítését, amikor jogilag lehetséges? Közzétesz-e átláthatósági jelentést?

Miért számít: Minden cég megfelel az érvényes jogi eljárásnak. A kérdés az, hogy a cég egyáltalán rendelkezik-e az adataiddal, amit megoszthat. Egy felhő-elsődleges alkalmazás mindent tud. Egy csak helyi alkalmazás semmit.

Legerősebb jelzés: Az alkalmazás csak helyi, így nincs mit átadni. Vagy a cég közzétesz átláthatósági jelentéseket és vállalja a felhasználói értesítést, amikor jogilag engedélyezett.

5. Névtelen mód: használhatod fiók nélkül?

Mit ellenőrizz: Használhatod-e az alkalmazás alapvető funkcióit fiók létrehozása vagy e-mail-cím megadása nélkül? Ha az alkalmazás azt mondja, „nincs szükség fiókra", ellenőrizd ezt — egyes alkalmazások lehetővé teszik a kihagyást kezdetben, de nyaggatnak vagy funkciókat zárnak el a regisztráció mögé.

Miért számít: Ha egy alkalmazás fiókot igényel, a ciklusadatok az identitásodhoz vannak kötve a szervereiken. A fióklétrehozás nem technikailag szükséges a cikluskövetéshez. Az alkalmazások, amelyek megkövetelik, termékválasztást hoznak, nem technikai szükségszerűséget.

Legerősebb jelzés: Teljes funkcionalitás fiók nélkül, nincs nyaggató képernyő, nincs funkció-zár.

6. Fizetés-kapcsolat: az egészségügyi adataid a számlázáshoz vannak kötve?

Mit ellenőrizz: Ha az alkalmazásnak van prémium szintje, a fizetésfeldolgozó összekapcsolja-e a számlázási identitásodat az egészségügyi adataiddal? Vagy a fizetést külön támogatás és önreflexió az egészségügyi adatok tárolásától?

Miért számít: Ha a neved, kártyád és cikluselőzményeid ugyanabban az adatbázisban vannak, egy adatvédelmi incidens vagy idézés mindent egyszerre tár fel.

Legerősebb jelzés: A fizetést egy harmadik fél feldolgozó támogatás és önreflexió (Stripe, Apple/Google), és az alkalmazás belsőleg nem köti össze a számlázási rekordokat az egészségügyi adatokkal.

7. Egészségügyi adatjogi lefedettség: mely joghatóság érvényes?

Mit ellenőrizz: Hol alapították a céget? Milyen egészségügyi adatvédelmi törvények érvényesek? Az Egyesült Államokban Washington My wellness My Data Act-je és Nevada fogyasztói egészségügyi adatvédelmi törvénye már hatályban van. A GDPR 9. cikke fedi az egészségügyi adatokat az EU-ban.

Miért számít: Egy olyan joghatóságban alapított cég, amely erős egészségügyi adatvédelmi törvényekkel rendelkezik, elszámoltathatóbb. Egy olyan joghatóságban alapított cég, amely nem rendelkezik specifikus egészségügyi adatvédelmi védelemmel, magasabb kockázatot jelent.

Legerősebb jelzés: A cég a GDPR (EU), az UK Data Protection Act vagy az amerikai állami egészségügyi adatvédelmi törvények (WA, NV és bővülő) hatálya alá tartozik, és az irányelve kifejezetten hivatkozik rájuk.

8. Adatvédelmi incidens előzmények: volt-e a cégnek adatvédelmi incidense?

Mit ellenőrizz: Keresd a „alkalmazás neve adatvédelmi incidens" vagy „alkalmazás neve biztonsági incidens" kifejezéseket. Ellenőrizd a Have I Been Pwned oldalt az alkalmazás domainjére.

Miért számít: Még azok az alkalmazások is, amelyek nem adják el az adatokat, szivárogtathatják ki. Az egészségügyi és termékenységi alkalmazások kategóriaként dokumentált biztonsági incidensekkel rendelkeztek — a hibásan konfigurált API-któl a nem biztonságos adatbázisokig. Az egyetlen védelem az adatvédelmi incidens ellen az, ha az adataid egyáltalán nincsenek szerveren.

Legerősebb jelzés: Nincs adatvédelmi incidens előzmény, vagy a cég átlátható volt a korábbi incidensekről és arról, mit javítottak.

9. Exportálási jogok: ki tudod hozni az adataidat?

Mit ellenőrizz: Az alkalmazás kínál-e adatexportálást? Olvasható formátumban (CSV, JSON)? A GDPR megköveteli ezt az EU-felhasználók számára, és sok alkalmazás kiterjeszti az összes felhasználóra.

Miért számít: Ha úgy döntesz, hogy alkalmazást váltasz, akarod az előzményeidet. Ha úgy döntesz, hogy mindent törölsz, előbb akarsz egy másolatot.

Legerősebb jelzés: Egykoppintásos exportálás standard formátumban, támogatás felkeresése nélkül elérhető.

10. Üzleti modell: hogyan keres pénzt a cég?

Mit ellenőrizz: Az alkalmazás ingyenes hirdetésekkel? Csak előfizetéses? Freemium? Az adatvédelmi irányelvek említik-e a hirdetést, adatmonetizációt vagy „de-identifikált adatmegosztást"?

Miért számít: Ha az alkalmazás ingyenes és hirdetés-támogatott, valószínűleg hirdetési SDK-kat ágyaz be, amelyek viselkedési adatokat gyűjtenek. A „de-identifikált" vagy „aggregált" adatmegosztás nehezebben anonimizálható, mint ahogy a cégek állítják — egy támogatás és önreflexió ciklusokból álló adathalmaz, amely életkorhoz, irányítószámhoz és eszköztípushoz van kötve, nem igazán anonim.

Legerősebb jelzés: Az alkalmazást előfizetések finanszírozzák, nem hirdetések. Az irányelv kifejezetten állítja, hogy „nem adjuk el az adataidat" és „nem osztjuk meg az adatokat hirdetési partnerekkel".

Alkalmazás: mit találtak az auditok

A Privacy International 2025 májusi jelentése („No Body's Business But Mine: Vol. 2") újra megvizsgálta a cikluskövető tájképet öt évvel az eredeti 2019-es vizsgálatuk után. Fő megállapítások:

• Általános javulás: Az alkalmazások már nem osztották meg közvetlenül a ciklusadatokat a Facebookkal, mint 2019-ben néhány. A legkirívóbb gyakorlatok csökkentek.
• Harmadik féltől származó SDK-k továbbra is fennállnak: Több alkalmazás még mindig integrált hirdetési hálózatokat (Google Ads, Meta Ads) és analitikai platformokat (Firebase, AppsFlyer), amelyek eszközazonosítókat és használati adatokat dolgoztak fel. Ezeket a harmadik feleket gyakran nem nevezték meg kifejezetten az alkalmazások adatvédelmi irányelveiben.
• Szerver-tárolás dominál: A legtöbb alkalmazás a felhasználók ciklus-bemeneti adatait saját szerverein vagy külső szervereken tárolta, nem pedig helyileg a felhasználó eszközén.
• Stardust: A jelentés megállapításokat tett közzé a Stardust alkalmazás forgalmában lévő harmadik féltől származó integrációkról. Ezek a 2025 májusi audit megállapításai — nem vádak az audit által megfigyeltén túl.

Az FTC 2021-es Flo wellness elleni beleegyezési rendelete megkövetelte, hogy a Flo kifejezett beleegyezést szerezzen az egészségügyi adatok megosztása előtt, 20 éven át független adatvédelmi értékeléseken eshessen át, és értesítse azokat a felhasználókat, akiknek az adatait megosztották. Egy egyesített csoportos per egyezsége a Flo, a Google és a Flurry ellen 59,5 millió dollárt ért el 2025 szeptemberében.

A tanulság mindkettőből: az adatvédelmi irányelv szükséges, de nem elegendő. Azt is tudnod kell, milyen harmadik féltől származó kód van az alkalmazásban, és mit csinál az a kód.

Vörös zászlók vs zöld zászlók

Az asztrológia-reflexió alternatíva

Íme az őszinte önpozicionálás. Egy reflexiós, nem támogatás és önreflexió ciklustárs, mint a Soulwise Natural Cycles, kevesebb érzékeny adatot igényel tervezéséből fakadóan. Nem jósol ovulációt, termékenységet vagy terhességet. Nem tesz támogatás és önreflexió állításokat. Ez egy 20 másodperces napi ellenőrzés, amely naplózza, milyen volt a nap, és idővel felismeri a mintázatokat, opcionális holdfázis vagy tranzit kontextussal reflexióhoz.

Ez azt jelenti, hogy az adatfelszín kisebb. Nincs ciklusjóslási adat, nincs termékenységi ablak, nincs támogatás és önreflexióó támogatás és önreflexió kontextushoz kötve. Az adatvédelmi tartás a termék-tartásból következik: ha nem gyűjtesz érzékeny támogatás és önreflexió adatokat, nem kell védened őket.

A Soulwise AES-256-GCM borítéktitkosítást használ felhasználónkénti kulcsokkal, megsemmisíti a titkosítási kulcsot törléskor 24 órán belül, sosem tesz támogatás és önreflexió tartalmat push-értesítésekbe, és névtelen módot kínál. Ezek az elkötelezettségek konkrétak és cáfolhatók. A teljes specifikációért lásd a Soulwise adatvédelmi oldalt.

A szélesebb adatvédelem-elsődleges pozicionálásért lásd az adatvédelem-elsődleges cikluskövető a Roe után és a cikluskövető támogatás és önreflexió állítások nélkül cikket. Az inkluzív alapbeállításokért lásd a cikluskövető nem-bináris felhasználók számára cikket.

A négy kérdéses gyors ellenőrzés

Ha nincs időd a teljes 10 pontos ellenőrzőlistára, futtasd ezt a négy kérdést bármely ciklusalkalmazás telepítése előtt:

1. Fiókot igényel? Ha igen, az identitásod az adataidhoz van kötve.
2. Az adatvédelmi irányelvek említenek harmadik féltől származó partnereket? Ha igen, adatok hagyják el az eszközt.
3. Az alkalmazás működik offline? Ha nem, az adatok valahova szinkronizálódnak.
4. A cég egy olyan joghatóságban alapított, amely erős egészségügyi adatjoggal rendelkezik? Ha nem tudod, nézd meg.

Egy alkalmazás, amely nem, nem, igen, igen válaszokat ad, strukturáltan biztonságosabb. Egy alkalmazás, amely igen, igen, nem, nem válaszokat ad, strukturáltan kockázatosabb, bármmit is mond a marketing.

Jogi nyilatkozat

Ez a cikk termék-kritérium és oktatási információ, nem jogi tanács. Nem írja le, mi védett vagy nem védett bármely specifikus jogi eljárással szemben. Ha konkrét jogi aggályaid vannak a ciklusadatokkal kapcsolatban, fordulj az adott joghatóságodban engedéllyel rendelkező ügyvédhez. A Privacy Internationaltól és az FTC-től idézett megállapítások nyilvános feljegyzések, a jelzett dátumokkal; ellenőrizd a jelenlegi forrásokat a frissítésekért.

GYIK

Mely cikluskövetők adják el az adatokat?

A legtöbb cikluskövető nem közvetlenül adja el a ciklusadatokat. A gyakoribb probléma az, hogy harmadik féltől származó hirdetési és analitikai SDK-kat ágyaznak be (a Google-től, Metától, AppsFlyer-től és másoktól), amelyek eszközazonosítókat és használati adatokat gyűjtenek, ami egészségügyi kontextust fedhet fel. A Privacy International 2025-ös auditja több alkalmazásban olyan harmadik feleket talált, amelyeket az irányelvek nem neveztek meg kifejezetten. Az FTC 2021-ben lépett fel a Flo wellness ellen, amiért beépített SDK-kon keresztül megosztott egészségügyi adatokat a Facebookkal és a Google-lel. Ellenőrizd az adatvédelmi irányelvekben a „harmadik fél", „partnerek" és „analitikai szolgáltatók" kifejezéseket — bármi az alapvető platform-szolgáltatásokon túl azt jelenti, hogy adatok hagyják el az eszközt.

Törölnöm kell a cikluskövetőmet?

Ez a fenyegetettségi modell-edtől függ. Ha egy olyan amerikai joghatóságban vagy, ahol a ciklusadatok idézhetők lehetnek reprodukciós egészségügyi ügyekben, és az alkalmazásod cégszervereken tárolja az adatokat, a váltás egy csak helyi követőre ésszerű óvintézkedés. Ha az elsődleges aggályod a hirdetési célzás, ellenőrizd, hogy az alkalmazásod beágyaz-e hirdetési SDK-kat, és le tudsz-e mondani róluk. Nem kell abbahagynod a követést — válthatsz egy adatvédelem-elsődleges alkalmazásra, és előbb exportálhatod az előzményeidet.

Mi az a csak helyi követés?

A csak helyi követés azt jelenti, hogy a ciklusadatok az eszközödön tárolódnak és sosem kerülnek át egy cégszerverre. Az olyan alkalmazások, mint a Drip, az Euki és az Apple wellness Cycle Tracking így működnek. Az előny az, hogy nincs felhőmásolat, amit idézni, feltörni vagy eladni lehetne. A kompromisszum a nincs eszközök közötti szinkronizálás és korlátozott AI-funkciók. Egy csak helyi alkalmazásnak repülőgép üzemmódban is működnie kell — ha nem működik, adatok hagyják el az eszközödet.

Milyen kérdéseket kell feltennem egy ciklusalkalmazás telepítése előtt?

Tegyél fel négy kérdést: Fiókot igényel? (Ha igen, az identitásod az adataidhoz van kötve.) Az adatvédelmi irányelvek említenek harmadik féltől származó partnereket vagy hirdetési hálózatokat? (Ha igen, adatok hagyják el az eszközt.) Az alkalmazás működik offline? (Ha nem, az adatok valahova szinkronizálódnak.) A cég egy olyan joghatóságban alapított, amely erős egészségügyi adatjoggal rendelkezik? (Ha nem tudod, nézd meg.) Egy alkalmazás, amely nem, nem, igen, igen válaszokat ad, strukturáltan biztonságosabb.

Hivatkozások és további olvasás

• Privacy International, „No Body's Business But Mine: Vol. 2" (2025 május): https://www.privacyinternational.org/sites/default/files/2025-05/period%20tracking%20with%20recs.pdf
• FTC beleegyezési rendelet a Flo wellness ellen (2021): https://www.ftc.gov/legal-library/browse/cases-proceedings/flo-wellness-inc
• Washington My wellness My Data Act: https://www.washingtonstate.gov/wellness-data-privacy
• Nevada fogyasztói egészségügyi adatvédelmi törvény: https://www.leg.state.nv.us
• Exodus Privacy (Android alkalmazás-követő szkennelő): https://exodus-privacy.eu.org
• Have I Been Pwned: https://haveibeenpwned.com
• A post-Roe adatvédelmi útmutatóért: adatvédelem-elsődleges cikluskövető a Roe után
• A nem-támogatás és önreflexió-állítások pozícióért: cikluskövető támogatás és önreflexió állítások nélkül
• Az inkluzív alapbeállításokért: cikluskövető nem-bináris felhasználók számára
• A Flo-összehasonlításért: Flo alternatíva adatvédelem-elsődleges útmutató