经期追踪应用安全吗？记录显示了什么

诚实的答案是：这完全取决于应用的构建方式，因为法律基本上无法保护你。消费者经期追踪应用不受 HIPAA 保护——这部美国健康隐私法适用于医疗服务提供者和保险公司，而非健康类应用。这意味着应用自身的架构和隐私政策，实际上就是全部保障。

已记录的失败案例都有着相同的模式。2021年，FTC 指控最受欢迎的追踪应用 Flo 在2016年至2019年间，通过嵌入式软件开发工具包（SDK），将用户的健康数据——包括怀孕状态——与 Facebook 和 Google 的分析部门共享，违背了其自身的隐私承诺。2023年，FTC 指控排卵应用 Premom 在未经同意的情况下，将健康数据共享给 Google、AppsFlyer 以及两家总部位于中国的分析公司。2016年，《消费者报告》（Consumer Reports）发现 Glow 应用的密码更改流程存在漏洞，任何人都可以接管任何账户并读取其生育数据。

这些事件都不是因为有人追踪了自己的经期而发生的。它们的发生，是因为数据离开了手机——流向了广告SDK，或流向了控制薄弱的服务器。这才是需要评估的变量：不是是否要追踪，而是你的数据实际存放在哪里，还有谁能接触到它。

有必要把已记录的案例和网络传言区分开来。记录中包含四起核心事件。

Flo Health：FTC 在2021年的投诉指控，Flo 在2016年至2019年间，尽管承诺保护隐私，仍与第三方分析公司共享用户的月经和怀孕数据；Flo 在未承认任何不当行为的情况下和解。相关的集体诉讼于2025年结案，Google 支付4800万美元，Flo 支付800万美元，分析公司 Flurry 支付350万美元——共计5950万美元的赔偿基金；与此同时，一个联邦陪审团另外裁定 Meta 因收集 Flo 用户数据而违反加州的窃听法。所有和解公司均否认存在不当行为。

Premom：2023年，FTC 指控其开发商在未经用户同意的情况下，将可识别身份的健康信息和精确位置数据共享给第三方分析公司，其中包括两家总部位于中国的公司。该公司支付了10万美元的罚款，并被永久禁止将健康数据用于广告用途。

Glow：加州总检察长于2020年就2013年至2016年间的安全漏洞（包括一个允许任何人更改任何用户密码的缺陷）与 Glow 达成25万美元的和解。

行业整体情况：Mozilla 在2022年对25款生殖健康应用和设备的评测中，给予其中18款“隐私未达标”（Privacy Not Included）的警示标签，8款未能达到最低安全标准。这是2022年的一份快照——做法会随时间变化——但它显示出当时弱默认设置的普遍程度。

这种担忧在2022年 Dobbs 案后变得普遍，因此值得给出一个精确的回答。追踪实际起诉案件的数字权利组织，包括电子前沿基金会（Electronic Frontier Foundation），报告称经期应用数据并非堕胎相关案件的关键证据——短信、搜索记录和社交媒体消息才是。因此，已记录的风险低于新闻标题所暗示的程度。

但“尚未发生”不等于“不可能发生”。任何存在于公司服务器上的数据，原则上都可能被传票调取，而不同应用在应对方式上差异巨大。《麻省理工科技评论》（MIT Technology Review）在2022年6月报道称，Stardust 当时的隐私政策表示，无论是否有法律要求，都会与执法部门共享数据（该措辞后来被公司修改），而总部位于柏林的 Clue 则表示，根据 GDPR，它不会响应美国针对健康数据的传票。

无论政策措辞如何，结构性的要点始终成立：传票只能调取确实存在于某处的数据。如果你的周期记录只存储在你的手机上——不在任何服务器上，也不与任何账户绑定——那么就没有第三方副本可供法律请求锁定。这就是对一个法律层面担忧的架构层面答案。

不——这可能是这个领域中最重要的一个误解。HIPAA 涵盖“受保实体”：医疗服务提供者、医疗保险计划及其业务伙伴。你从 App Store 下载的消费应用不属于其中任何一类。你妇科医生的病历受 HIPAA 保护；而输入到经期应用中的同样信息，通常不受保护。

实际适用的是一套拼凑而成的规则：FTC 法案中对欺骗性行为的禁令（这正是让 Flo 被抓的原因——承诺保护隐私却未能做到）、FTC 的《健康信息泄露通知规则》（Health Breach Notification Rule，这是该规则历史上第二次被用于执法，用于处罚 Premom）、加州 CMIA 等州法律，以及适用于欧洲用户的欧盟 GDPR。这些法律都是在事后惩罚被打破的承诺；只要应用的隐私政策在细则中有所披露，这些法律都无法阻止应用共享你的数据。

实际的结论是：阅读隐私政策对经期应用而言，比对你使用的几乎任何其他应用都更重要。请特别留意与“合作伙伴”或“服务提供商”共享了哪些内容、数据是否用于广告，以及政策中关于法律请求的说明。

五项检查涵盖了大部分风险，而且这些检查都直接来自已记录失败事件的真实成因。

1. 数据存放在哪里？设备本地存储意味着不存在服务器副本——这是目前能获得的最强保障。如果数据被上传到云端，那么下面的每一项都变得更加重要。

2. 是否存在第三方SDK？两起 FTC 案件（Flo、Premom）都表明，嵌入式分析和广告SDK正是数据泄露的途径。如果应用展示广告，或其政策中提到分析合作伙伴，就应假定数据在向外流动。

3. 是否需要账户？与电子邮箱绑定的账户会将你的身份与周期记录关联起来。没有账户，就不存在身份关联。

4. 删除应用会发生什么？删除应用并不会删除服务器端的数据。请查看应用是否提供明确的删除权，以及公司是否声明会通知第三方一并删除数据。

5. 执法配合政策是什么？关于公司如何处理传票的清晰说明是一个好迹象；沉默不谈，或使用“我们配合执法部门”这类笼统措辞，则是研究者特别指出的危险信号。

能通过这些检查的应用确实存在。Mozilla 在2022年的评测中，将完全本地存储数据的 Euki 评为唯一的“最佳之选”（Best Of）；PinkyBloom 也是基于同样的原则设计的：数据保存在你的手机上、无需账户、不嵌入第三方SDK，因此第1至4项检查从设计上就自然通过。

按照每个选项消除已记录风险的程度排序：

本地应用是依然便利的最强选项。当周期数据只在你的手机上存储和处理时，整整一类服务器端事件——SDK数据共享、数据泄露、对公司服务器的传票调取——就在结构上变得不可能发生，而不仅仅是靠合同承诺来防止。这正是 PinkyBloom 的架构，也是隐私评测者青睐 Euki 纯本地设计的原因：保障来自数据存放的位置，而不是来自一份可能改变的政策。

如果你需要多设备同步，具备良好治理的云端应用是一个可行的折中方案：优先选择受 GDPR 管辖、明确承诺不做广告、不出售数据，并对法律请求有明确立场的公司。你信任的是承诺，但至少是受到良好监管的承诺。

纸笔记录或普通日历确实能提供真正的隐私，但会失去让追踪具有临床价值的部分——模式识别、预测、可以出示给医生查看的症状历史。

你不应该做的是因为恐惧而停止追踪。周期数据是你拥有的最有用的健康信号之一——美国妇产科医师学会（American College of Obstetricians and Gynecologists）将月经周期视为一项生命体征。有证据支持的做法是：保留数据，改变数据存放的位置。