Roe नंतरचा गोपनीयता-प्रथम पिरियड ट्रॅकर

2022, पूर्वी बहुतेक US वापरकर्ते सायकल-ट्रॅकरची गोपनीयता धोरणे वाचत नसत. Dobbs निर्णयानंतर मात्र अनेकांनी ती वाचली, बहुधा पहिल्यांदाच. प्रश्न आता काल्पनिक राहिला नव्हता: हे app प्रत्यक्षात काय साठवते, आणि त्या डेटाचे काय होऊ शकते?

हे एक प्रॉडक्ट मार्गदर्शक आहे, कायदेशीर सल्ला नाही. कोणत्याही पिरियड ट्रॅकरचा आढावा घेताना काय तपासायचे, याची यादी इथे दिली आहे. एखाद्या विशिष्ट कायदेशीर प्रक्रियेपासून काय सुरक्षित आहे किंवा नाही, याचे वर्णन यात नाही. तुम्हाला कायदेशीर चिंता असतील, तर तुम्ही राहता तिथे परवानाधारक वकिलाशी बोला.

ही चौकट लक्षात घेऊन, आता काय तपासायचे ते पाहूया.

थोडक्यात

• 2022 च्या Dobbs निर्णयानंतर, अमेरिकेतील वापरकर्त्यांनी पहिल्यांदाच सायकल-ट्रॅकर प्रायव्हसी पॉलिसी वाचायला सुरुवात केली.
• कोणत्याही पिरियड ट्रॅकरचे मूल्यांकन करण्यासाठी हे मार्गदर्शक सात प्रॉडक्ट निकष सांगते: प्रत्येक वापरकर्त्यासाठी स्वतंत्र की असलेले AES-256-GCM एन्व्हलप एन्क्रिप्शन, 24 तासांच्या आत एन्क्रिप्शन की नष्ट करणारा डिलीट-करण्याचा हक्क, कोणतेही वैद्यकीय किंवा कुटुंब-नियोजनाचे दावे नाहीत, पुश नोटिफिकेशनमध्ये मासिक पाळीसंबंधी कोणताही मजकूर नाही, अधिकारक्षेत्राची जाणीव असलेला मजकूर (अमेरिकेतील वापरकर्त्यांना "period" ऐवजी "body day" दिसते), अॅनॉनिमस-मोडचा पर्याय, आणि GDPR Article 9 नुसार स्पष्ट संमती.
• हा लेख स्पष्टपणे सांगतो की हे प्रॉडक्ट निकष आहेत, कायदेशीर सल्ला नाही - कोणत्याही विशिष्ट कायदेशीर प्रक्रियेपासून काय संरक्षित आहे किंवा नाही हे तो वर्णन करत नाही.

मांडणीत काय बदललं, गणितात नाही

खाली दिलेल्या क्रिप्टोग्राफिक आणि सॉफ्टवेअर पद्धती वर्षानुवर्षे अस्तित्वात आहेत. Dobbs नंतर जे बदललं ते म्हणजे त्यांची दृश्यता. ज्या पद्धती पूर्वी स्पेसिफिकेशनच्या मागच्या भागातल्या तपशिलापुरत्या होत्या, त्या आता app च्या समोरच्या बाजूच्या वचनबद्धता बनल्या आहेत. जे app प्रायव्हसी गांभीर्याने घेतात ते याबद्दल उघडपणे बोलतात; जे घेत नाहीत, ते बहुधा बोलणार नाहीत.

या मार्गदर्शकातील सात निकष म्हणजे प्रायव्हसीला प्राधान्य देणाऱ्या ट्रॅकरने सोप्या भाषेत सांगायला तयार असावं असं काही आहे.

तपासण्यायोग्य सात निकष

कोणताही सायकल ट्रॅकर इन्स्टॉल करण्यापूर्वीची एक व्यावहारिक चेकलिस्ट. सर्वात कडक apps हे सातही निकष पूर्ण करतात.

• AES-256-GCM envelope encryption. प्रत्येक वापरकर्त्याकडे एक युनिक डेटा एन्क्रिप्शन की (DEK) असते, जी key-management service मधील मास्टर कीने रॅप केलेली असते. डिस्कवरील डेटा हा सायफरटेक्स्ट असतो; सर्व्हर ब्रीच झाल्यास सायफरटेक्स्ट उघड होतो, वाचता येणारा सायकल डेटा नाही.
• इरेजरचा अधिकार ही की नष्ट करतो. तुम्ही तुमचे खाते डिलीट करता तेव्हा व्हेंडर फक्त डेटाबेसमधील ओळ नव्हे, तर DEK नष्ट करतो. की निघून गेल्यावर त्याखालचा सायफरटेक्स्ट कायमचा न वाचता येणारा होतो, तो असलेल्या कोणत्याही बॅकअपसह.
• 24-तासांची डिलीशन विंडो. व्हेंडर लेखी वचन देतो की विनंतीनंतर 24 तासांच्या आत इरेजर पूर्ण होईल, ज्यात AI फीचर्स वापरत असलेले व्हेक्टर एम्बेडिंग्जही येतात.
• कोणतेही वैद्यकीय दावे नाहीत. कुटुंबनियोजनाचे अंदाज नाहीत, कोणत्याही प्रकारचे क्लिनिकल दावे नाहीत, "RED day" असा मजकूर नाही. वैद्यकीय चौकटीपासून दूर राहणाऱ्या कन्झ्युमर ट्रॅकरचा रेग्युलेटरी आणि डिस्क्लोजर पृष्ठभाग खूपच कमी असतो.
• पुश नोटिफिकेशनमध्ये मासिक पाळीशी संबंधित मजकूर नाही. पुश टायटल आणि बॉडीमध्ये सायकल, पीरियड किंवा कुटुंबनियोजनाचा मजकूर कधीच नसतो. लॉक-स्क्रीन प्रिव्ह्यू सुरक्षित असतो.
• अधिकारक्षेत्रानुसार मजकूर. US वापरकर्त्यांना डिफॉल्टनुसार न्यूट्रल संज्ञा दिसतात ("body day," "log this"); वापरकर्त्याला "period" हा शब्द दाखवायचा आहे असे app गृहीत धरत नाही.
• स्पष्ट आणि वेगळी घेतलेली संमती. GDPR Article 9 हे वर्षानुवर्षे करत आहे; Dobbs नंतर US वापरकर्त्यांनीही तेच मागायला सुरुवात केली. एकत्रित किंवा गृहीत संमती पुरेशी नाही.

एन्क्रिप्शनचे तपशील प्रत्यक्षात महत्त्वाचे का आहेत

वरील काही निकष तांत्रिक वाटतात. ते महत्त्वाचे आहेत कारण काय परत मिळवता येईल हे ते बदलतात.

जर एखादा vendor सायकल डेटा plaintext मध्ये साठवत असेल, तर प्रत्येक backup, प्रत्येक replica, आणि प्रत्येक analytics pipeline तो वाचू शकतो. एखादी डिलीशन विनंती ती row हटवू शकते, पण तो डेटा backups मध्ये महिने किंवा वर्षभर टिकून राहू शकतो.

जर vendor प्रत्येक यूजरसाठी वेगळ्या keys सोबत envelope encryption वापरत असेल, तर डिस्कवरील डेटा यूजरच्या DEK शिवाय वाचता येत नाही. डिलीशनदरम्यान जेव्हा DEK नष्ट होते, तेव्हा backups मध्ये उरलेला ciphertext देखील वाचता येत नाही, अगदी backup पुन्हा restore केले तरीही. ही डिलीशन गणिती दृष्ट्या खरी असते, फक्त UI मध्ये दिसणारी नाही.

हे "हॅक न होणारे" नाही. क्रिप्टोग्राफीला मर्यादा आहेत, आणि जो vendor संपूर्ण सुरक्षेचा दावा करतो तो एकतर चुकीच्या माहितीवर आहे किंवा खोटं बोलतोय. योग्य key management सोबतचे मजबूत encryption जे करते ते म्हणजे एक स्पष्ट failure mode ठरवते: जोपर्यंत keys सुरक्षित आहेत तोपर्यंत डेटा वाचता येत नाही, आणि एकदा keys नष्ट झाल्या की तो कायमचा वाचता येत नाही.

"push मध्ये मासिक पाळीचा मजकूर नाही" याचा खरा अर्थ काय

लॉक-स्क्रीनवर दिसणारा preview ही एक छुपी माहिती उघड करणारी जागा आहे. जे apps "तुमची मासिक पाळी उद्यापासून सुरू होणार आहे" असा मजकूर push च्या रूपात पाठवतात, ते फोनकडे ओझरती नजर टाकणाऱ्या कोणालाही तुमचा सायकल डेटा उघड करतात.

एक गंभीर tracker push notifications मध्ये मासिक पाळीचा मजकूर नसण्याची खातरजमा CI मध्येच करतो. Soulwise चे build pipeline push च्या title आणि body स्ट्रिंग्स एका निषिद्ध-शब्दांच्या यादीशी तपासते; ज्या कोणत्याही build मध्ये push आत मासिक पाळी किंवा कुटुंब-नियोजनाचा मजकूर असेल, ती ती पाठवण्याआधीच fail होते. वापरकर्त्याला दैनंदिन-रिच्युअलचे संकेत मिळतात, जे असे काहीतरी म्हणतात - "हलकी सुरुवात. आज तुमच्या ताटात काय आहे?" - कोणताही सायकल टप्पा नाही, मासिक पाळीचा उल्लेख नाही, वैद्यकीय मांडणी नाही.

फक्त लोकल विरुद्ध एन्क्रिप्टेड क्लाउड: तुमची तडजोड निवडा

दोन वैध आर्किटेक्चर, वेगवेगळी threat model.

फक्त लोकल ट्रॅकर (Drip, Euki). डेटा तुमच्याच डिव्हाइसवर राहतो. subpoena करण्यासाठी क्लाउडवर कोणतीही प्रत नसते, पण डिव्हाइसमध्ये sync होत नाही आणि AI फीचर्स मर्यादित असतात. Backup ही तुमची जबाबदारी; तसेच डिव्हाइस चोरी आणि ऑपरेटिंग-सिस्टमचे backups (जे OS पातळीवर एनक्रिप्टेड असू शकतात किंवा नसूही शकतात).

एनक्रिप्टेड क्लाउड ट्रॅकर (Soulwise, Clue, इतर). डेटा डिव्हाइसमध्ये sync होतो आणि AI फीचर्स चालवतो. प्रायव्हसी ही व्हेंडरच्या एनक्रिप्शन आणि erasure पद्धतींवर अवलंबून असते. या threat model मध्ये एक सक्षम व्हेंडर आणि भक्कम key-management स्थिती गृहीत धरलेली असते.

यापैकी कोणतेही सर्वसामान्यपणे "अधिक सुरक्षित" नाही. योग्य उत्तर तुम्हाला कशाची काळजी आहे यावर अवलंबून असते. फक्त लोकल हा user experience बाबत कठीण पर्याय आहे आणि डेटा surface area बाबत सोपा पर्याय आहे. एनक्रिप्टेड क्लाउड याच्या उलट आहे.

आम्ही जाणूनबुजून काय वचन देत नाही

कोणत्याही मार्केटिंग मजकुरात ज्या गोष्टींबद्दल तुम्ही सावध राहावं, त्यांची ही यादी:

• "हॅक न होणारं." कोणतीही सिस्टम हॅक न होणारी नसते. असा दावा करणारा कोणीही तुम्हाला काहीतरी विकत आहे.
• "तुमचा डेटा कायदा-अंमलबजावणीपासून सुरक्षित आहे." हा कायदेशीर दावा आहे, तांत्रिक नाही. तांत्रिक दावा असा आहे की "तुमचा डेटा rest वर एन्क्रिप्टेड आहे आणि डिलीट केल्यावर की नष्ट होते." कोणत्याही विशिष्ट प्रक्रियेचे कायदेशीर परिणाम फक्त एक वकीलच सांगू शकतो.
• "100% सुरक्षित." वर पाहा. सुरक्षा ही threat model ची मालमत्ता आहे, ती निरपेक्ष नसते.
• "गॅरंटीड प्रायव्हसी." प्रायव्हसी ही एक सवय आहे, गॅरंटी नाही.

Soulwise ची प्रायव्हसी वचनं ठोस आणि पडताळता येणारी आहेत. rest वर AES-256-GCM. प्रत्येक युजरसाठी KMS मास्टर कीने wrap केलेली DEK. व्हेक्टर एम्बेडिंगसह 24-तास एरेजर. push मध्ये मासिक पाळीसंबंधी कोणताही मजकूर नाही. GDPR Article 9 स्पष्ट संमती. Soulwise प्रायव्हसी पेज वर प्रत्येक गोष्ट तिच्या मूळ स्पेसिफिकेशन संदर्भासह दिलेली आहे.

ही गोष्ट सर्वात वाईट परिस्थितीपलीकडे का महत्त्वाची आहे

Dobbs नंतरची मांडणी लोकांना सायकल-ट्रॅकरच्या गोपनीयतेचा विचार टोकाच्या परिस्थितींमध्ये करायला भाग पाडते. तेच निकष यापेक्षा कितीतरी सामान्य परिस्थितींमध्येही महत्त्वाचे ठरतात: रूममेटसोबत शेअर केलेला फोन, डिव्हाइस उसना घेणारा छळ करणारा जोडीदार, नोटिफिकेशन पाहणारा उत्सुक मालक, किंवा कुटुंबाच्या iCloud अकाउंटमध्ये जाऊन बसणारा बॅकअप.

मजबूत डीफॉल्ट गोपनीयता फक्त सर्वात वाईट परिस्थितीसाठी नसते. ती रोजच्या आयुष्यासाठी असते.

थोडक्यात: योग्य ट्रॅकर तोच, ज्याची गोपनीयतेची आश्वासने ठोस असतात, तपासून पाहता येतील अशी असतात, आणि साध्या भाषेत मांडलेली असतात. कोणत्याही app ला वरील सात निकषांबद्दल विचारा. जर एखादा विक्रेता स्पष्टपणे उत्तर देऊ शकत नसेल, तर तेच उत्तर समजा. सर्वात लोकप्रिय जुन्या पर्यायाशी तुलना पाहण्यासाठी Flo alternative privacy-first guide पाहा; याच तत्त्वांमधून येणाऱ्या सर्वसमावेशक डीफॉल्ट्ससाठी Cycle tracker for non-binary users पाहा.

वारंवार विचारले जाणारे प्रश्न

हा लेख कायदेशीर सल्ला आहे का?

नाही. हे ग्राहकांसाठी असलेल्या app चं मूल्यांकन करण्याचे product निकष आहेत. सायकल डेटाबद्दल तुम्हाला विशिष्ट कायदेशीर शंका असतील, तर तुमच्या अधिकारक्षेत्रात परवानाधारक असलेल्या वकिलाचा सल्ला घ्या. कोणत्याही विशिष्ट कायदेशीर प्रक्रियेपासून काय संरक्षित आहे किंवा नाही, याचं वर्णन या लेखात कुठेही केलेलं नाही.

Dobbs नंतर प्रायव्हसीची मांडणी का बदलली?

2022 च्या Dobbs निर्णयानं गर्भपाताचं नियमन पुन्हा अमेरिकेतील वैयक्तिक राज्यांकडे सोपवलं. यांपैकी काही राज्यं आता काही परिस्थितींमध्ये गर्भपातावर निर्बंध घालतात किंवा तो गुन्हा ठरवतात. यामुळे मासिक पाळी किंवा गर्भधारणेच्या डेटाच्या कोणत्याही डिजिटल खुणांबद्दल लोकांचा विचार बदलला, आणि अनेक वापरकर्त्यांसाठी सायकल-ट्रॅकरची प्रायव्हसी पहिल्यांदाच जाणीवपूर्वक खरेदीचा निकष बनली.

"envelope encryption" म्हणजे काय आणि त्याचं महत्त्व का?

Envelope encryption प्रत्येक वापरकर्त्याची डेटा एन्क्रिप्शन की (DEK) एका master key मध्ये गुंडाळतं, जी key-management service कडे असते. डिस्कवरचा वापरकर्त्याचा डेटा त्यांच्या DEK नं एन्क्रिप्ट केलेला असतो; सर्व्हरमध्ये घुसखोरी झाली, तर ती फक्त ciphertext उघड करते, वाचता येणारा सायकल डेटा नाही. डेटा हटवल्यावर DEK नष्ट केली, तर ciphertext कायमचा वाचता येत नाही.

local-only ट्रॅकर हे encrypted cloud ट्रॅकरपेक्षा सुरक्षित असतात का?

वेगवेगळे फायदे-तोटे आहेत. Local-only ट्रॅकर (Drip, Euki) डेटा तुमच्या device वरच ठेवतात, ज्यामुळे cloud वरचा धोका मर्यादित होतो, पण device स्वतःचं संरक्षण होत नाही. Encrypted cloud ट्रॅकर (Soulwise) sync आणि AI सुविधा देतात, मात्र त्यासाठी विक्रेत्याच्या encryption आणि डेटा पुसण्याच्या पद्धतींवर विश्वास ठेवावा लागतो. यांपैकी एकही सर्वस्वी "सुरक्षित" नाही — प्रश्न हा आहे की तुम्हाला कोणत्या धोक्याची सर्वाधिक काळजी आहे.