Penjejak Kitaran Haid Mengutamakan Privasi Pasca-Roe

Sebelum 2022, kebanyakan pengguna di AS tidak membaca dasar privasi penjejak kitaran haid. Selepas keputusan Dobbs, ramai yang mula membaca, sering kali buat kali pertama. Persoalannya tidak lagi abstrak: apakah yang sebenarnya disimpan oleh aplikasi ini, dan apa yang boleh berlaku kepada data tersebut?

Ini ialah panduan produk, bukan nasihat undang-undang. Ia menyenaraikan perkara yang perlu anda perhatikan apabila mengaudit mana-mana penjejak kitaran haid. Ia tidak menerangkan apa yang dilindungi atau tidak dilindungi daripada sebarang proses undang-undang tertentu. Jika anda mempunyai kebimbangan undang-undang, berbincanglah dengan peguam yang berlesen di tempat anda tinggal.

Dengan rangka itu sebagai panduan, inilah perkara yang perlu anda semak.

Ringkasnya

• Selepas keputusan Dobbs 2022, pengguna di AS mula membaca dasar privasi aplikasi penjejak kitaran buat kali pertama.
• Panduan ini menyenaraikan tujuh kriteria produk untuk menilai mana-mana penjejak haid: penyulitan sampul AES-256-GCM dengan kunci bagi setiap pengguna, hak untuk pemadaman yang memusnahkan kunci penyulitan dalam masa 24 jam, tiada dakwaan perubatan atau perancangan keluarga, tiada kandungan haid dalam pemberitahuan tolak, salinan yang peka bidang kuasa (pengguna di AS melihat "body day" dan bukannya "period"), pilihan mod tanpa nama, dan keizinan jelas mengikut Artikel 9 GDPR.
• Artikel ini menegaskan dengan jelas bahawa ia merupakan kriteria produk, bukan nasihat undang-undang - ia tidak menerangkan apa yang dilindungi atau tidak dilindungi daripada sebarang proses undang-undang tertentu.

Apa yang berubah dari segi penyampaian, bukan matematik

Amalan kriptografi dan perisian di bawah telah wujud bertahun-tahun lamanya. Apa yang berubah selepas Dobbs ialah keterlihatannya. Amalan yang dahulunya hanya butiran tersembunyi dalam spesifikasi kini menjadi komitmen utama dalam aplikasi. Aplikasi yang serius tentang privasi membincangkannya secara terbuka; aplikasi yang tidak, selalunya tidak akan berbuat demikian.

Tujuh kriteria dalam panduan ini ialah perkara yang sepatutnya sanggup dinyatakan dengan jelas oleh sesebuah penjejak yang mengutamakan privasi.

Tujuh kriteria yang patut diperiksa

Senarai semak praktikal sebelum memasang sebarang penjejak kitaran. Aplikasi paling ketat memenuhi kesemua tujuh kriteria.

• Penyulitan sampul AES-256-GCM. Setiap pengguna mempunyai kunci penyulitan data (DEK) yang unik, dibalut oleh kunci induk dalam perkhidmatan pengurusan kunci. Data pada cakera ialah teks sifer; pelanggaran pelayan mendedahkan teks sifer, bukan data kitaran yang boleh dibaca.
• Hak untuk dipadam memusnahkan kunci. Apabila anda memadam akaun, vendor memusnahkan DEK, bukan sekadar baris pangkalan data. Dengan kunci yang sudah tiada, teks sifer asas itu kekal tidak boleh dibaca selama-lamanya, termasuk dalam mana-mana sandaran yang mengandunginya.
• Tempoh pemadaman 24 jam. Vendor berkomitmen secara bertulis untuk menyiapkan pemadaman dalam 24 jam selepas permintaan, termasuk pembenaman vektor yang digunakan oleh ciri AI.
• Tiada dakwaan perubatan. Tiada ramalan perancangan keluarga, tiada dakwaan klinikal dalam apa jua bentuk, tiada teks "hari MERAH". Penjejak pengguna yang kekal jauh daripada bingkai perubatan mempunyai permukaan kawal selia dan pendedahan yang jauh lebih sempit.
• Tiada kandungan haid dalam pemberitahuan tolak. Tajuk dan kandungan pemberitahuan tolak tidak pernah mengandungi kandungan kitaran, haid, atau perancangan keluarga. Pratonton skrin kunci adalah selamat.
• Teks yang peka bidang kuasa. Pengguna AS melihat istilah neutral ("hari badan," "log ini") secara lalai; aplikasi tidak menganggap pengguna mahu perkataan "haid" dipaparkan.
• Persetujuan yang jelas dan ditangkap secara berasingan. Perkara 9 GDPR telah melakukan ini selama bertahun-tahun; selepas Dobbs, pengguna AS mula meminta perkara yang sama. Persetujuan yang dibungkus atau tersirat tidak mencukupi.

Mengapa butiran penyulitan sebenarnya penting

Beberapa kriteria di atas kedengaran teknikal. Ia penting kerana ia mengubah apa yang boleh dipulihkan.

Jika sesebuah vendor menyimpan data kitaran dalam teks biasa, setiap sandaran, setiap replika, dan setiap saluran analitik boleh membacanya. Permintaan pemadaman boleh memadam baris itu, tetapi data tersebut mungkin terus wujud dalam sandaran selama berbulan-bulan atau bertahun-tahun.

Jika vendor itu menggunakan penyulitan sampul dengan kunci setiap pengguna, data pada cakera tidak boleh dibaca tanpa DEK pengguna. Apabila DEK dimusnahkan semasa pemadaman, teks sifer yang masih tinggal dalam sandaran juga tidak boleh dibaca, walaupun sandaran itu dipulihkan. Pemadaman itu nyata secara matematik, bukan sekadar kelihatan pada UI.

Ini bukan bermakna "tidak boleh digodam." Kriptografi ada hadnya, dan mana-mana vendor yang mendakwa keselamatan mutlak sama ada tersalah maklumat atau berbohong. Apa yang dilakukan oleh penyulitan kukuh dengan pengurusan kunci yang betul ialah menetapkan satu mod kegagalan yang jelas: data tidak boleh dibaca selagi kunci dilindungi, dan tidak boleh dibaca selama-lamanya sebaik sahaja kunci dimusnahkan.

Apa maksud sebenar "tiada kandungan haid dalam tolak"

Pratonton pada skrin kunci ialah permukaan pendedahan yang senyap. Aplikasi yang menghantar "Haid anda akan bermula esok" sebagai isi notifikasi tolak telah mendedahkan data kitaran kepada sesiapa sahaja yang mengerling telefon itu.

Penjejak yang serius menguatkuasakan ketiadaan kandungan haid dalam notifikasi tolak di dalam CI. Saluran binaan Soulwise mengimbas rentetan tajuk dan isi tolak terhadap senarai istilah yang dilarang; mana-mana binaan yang mengandungi kandungan haid atau perancangan keluarga dalam tolak akan gagal sebelum ia dihantar. Pengguna menerima gesaan ritual harian yang berbunyi seperti "Mulakan dengan lembut. Apa yang ada pada agenda anda hari ini?" - tanpa fasa kitaran, tanpa rujukan haid, tanpa rangka perubatan.

Tempatan sahaja lawan awan disulitkan: pilih kompromi anda

Dua seni bina yang sah, dengan model ancaman yang berbeza.

Penjejak tempatan sahaja (Drip, Euki). Data tersimpan dalam peranti anda. Tiada salinan awan yang boleh disabit dengan saman, tetapi juga tiada penyegerakan merentas peranti dan ciri AI yang terhad. Sandaran menjadi tanggungjawab anda; begitu juga kecurian peranti dan sandaran sistem pengendalian (yang mungkin disulitkan atau tidak pada peringkat OS).

Penjejak awan disulitkan (Soulwise, Clue, dan lain-lain). Data disegerakkan merentas peranti dan menggerakkan ciri AI. Privasi bergantung pada amalan penyulitan dan pemadaman vendor. Model ancaman ini mengandaikan vendor yang cekap serta postur pengurusan kunci yang kukuh.

Tiada satu pun yang "lebih selamat" secara menyeluruh. Jawapan yang betul bergantung pada apa yang anda risaukan. Tempatan sahaja ialah pilihan yang lebih sukar dari segi pengalaman pengguna tetapi lebih mudah dari segi luas permukaan data. Awan disulitkan pula sebaliknya.

Apa yang sengaja kami tidak janjikan

Ini ialah senarai perkara yang patut anda curigai dalam mana-mana bahan pemasaran:

• "Tidak boleh digodam." Tiada sistem yang tidak boleh digodam. Sesiapa yang mendakwa begini sedang menjual sesuatu kepada anda.
• "Data anda selamat daripada penguatkuasaan undang-undang." Ini ialah dakwaan undang-undang, bukan dakwaan teknikal. Dakwaan teknikalnya ialah "data anda disulitkan semasa disimpan dan kuncinya dimusnahkan apabila dipadam." Akibat undang-undang bagi sebarang proses tertentu hanya boleh ditangani oleh seorang peguam.
• "100% selamat." Lihat di atas. Keselamatan ialah sifat model ancaman, bukan sesuatu yang mutlak.
• "Privasi terjamin." Privasi ialah satu amalan, bukan jaminan.

Komitmen privasi Soulwise adalah konkrit dan boleh dibuktikan salah. AES-256-GCM semasa disimpan. DEK setiap pengguna dibalut oleh kunci induk KMS. Pemadaman dalam 24 jam termasuk pembenaman vektor. Tiada kandungan haid dalam notifikasi tolak. Persetujuan jelas GDPR Artikel 9. Halaman privasi Soulwise menyenaraikan setiap satunya bersama rujukan spesifikasi yang mendasarinya.

Mengapa ini penting melangkaui senario terburuk

Wacana pasca-Dobbs mendorong orang untuk memikirkan tentang privasi penjejak kitaran dalam senario yang melampau. Kriteria yang sama turut penting dalam keadaan yang jauh lebih lazim: telefon yang dikongsi dengan rakan sebilik, pasangan yang ganas yang meminjam peranti itu, majikan yang ingin tahu yang ternampak notifikasi, atau sandaran yang berakhir dalam akaun iCloud keluarga.

Privasi lalai yang kukuh bukan sekadar untuk senario terburuk. Ia untuk setiap hari.

Versi yang lebih ringkas: penjejak yang tepat ialah penjejak yang komitmen privasinya khusus, boleh disangkal, dan dinyatakan dalam bahasa yang jelas. Tanyakan mana-mana aplikasi tentang tujuh kriteria di atas. Jika sesebuah vendor tidak dapat menjawab dengan tegas, itulah jawapannya. Untuk perbandingan langsung dengan aplikasi sedia ada yang paling popular, lihat panduan alternatif Flo yang mengutamakan privasi; untuk tetapan lalai inklusif yang lahir daripada prinsip yang sama, lihat Penjejak kitaran untuk pengguna bukan binari.

Soalan Lazim

Adakah artikel ini nasihat undang-undang?

Tidak. Ini ialah kriteria produk untuk menilai aplikasi pengguna. Jika anda mempunyai kebimbangan undang-undang khusus tentang data kitaran, rujuk peguam yang berlesen dalam bidang kuasa anda. Tiada apa-apa dalam artikel ini yang menerangkan apa yang dilindungi atau tidak dilindungi daripada sebarang proses undang-undang tertentu.

Mengapa rangka kerja privasi berubah selepas Dobbs?

Keputusan Dobbs 2022 mengalihkan semula kawalan pengguguran kepada negeri-negeri individu di Amerika Syarikat, dan beberapa daripadanya kini menyekat atau menjenayahkan pengguguran dalam keadaan tertentu. Ini mengubah cara orang memikirkan sebarang jejak digital data haid atau kehamilan, dan menjadikan privasi penjejak kitaran sebagai kriteria pembelian yang disedari oleh ramai pengguna buat kali pertama.

Apakah "penyulitan sampul" dan mengapa ia penting?

Penyulitan sampul membungkus kunci penyulitan data (DEK) setiap pengguna di dalam kunci induk yang dipegang oleh perkhidmatan pengurusan kunci. Data pengguna pada cakera disulitkan dengan DEK mereka; pelanggaran pelayan mendedahkan teks sifer, bukan data kitaran yang boleh dibaca. Memusnahkan DEK semasa pemadaman menjadikan teks sifer kekal tidak boleh dibaca.

Adakah penjejak setempat sahaja lebih selamat daripada penjejak awan tersulit?

Pertukaran yang berbeza. Penjejak setempat sahaja (Drip, Euki) menyimpan data pada peranti anda, yang mengehadkan pendedahan awan tetapi tidak melindungi peranti itu sendiri. Penjejak awan tersulit (Soulwise) membolehkan ciri penyegerakan dan AI dengan kos mempercayai amalan penyulitan dan pemadaman vendor. Tiada satu pun yang "lebih selamat" secara menyeluruh - persoalannya ialah ancaman apa yang paling anda bimbangkan.