പിരീഡ് ട്രാക്കർ ആപ്പുകൾ സുരക്ഷിതമാണോ? രേഖകൾ എന്താണ് കാണിക്കുന്നത്

സത്യസന്ധമായ ഉത്തരം: ഇത് പൂർണ്ണമായും ആപ്പ് എങ്ങനെ നിർമ്മിച്ചിരിക്കുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു, കാരണം നിയമം മിക്കവാറും നിങ്ങളെ സംരക്ഷിക്കില്ല. ഉപഭോക്തൃ പിരീഡ് ട്രാക്കറുകൾ HIPAA യുടെ പരിധിയിൽ വരുന്നില്ല — യുഎസ് ആരോഗ്യ-സ്വകാര്യതാ നിയമം ആരോഗ്യ പരിരക്ഷാ ദാതാക്കൾക്കും ഇൻഷുറർമാർക്കും ബാധകമാണ്, വെൽനെസ് ആപ്പുകൾക്കല്ല. ഇതിനർത്ഥം ആപ്പിന്റെ സ്വന്തം ആർക്കിടെക്ചറും സ്വകാര്യതാ നയവുമാണ് ഫലത്തിൽ മുഴുവൻ കളിയും എന്നാണ്.

രേഖപ്പെടുത്തിയ പരാജയങ്ങളെല്ലാം ഒരേ രൂപം പങ്കിടുന്നു. 2021ൽ FTC ആരോപിച്ചത്, ഏറ്റവും ജനപ്രിയമായ ട്രാക്കറായ Flo, സ്വന്തം സ്വകാര്യതാ വാഗ്ദാനങ്ങൾക്ക് വിരുദ്ധമായി, 2016 മുതൽ 2019 വരെ ഉൾച്ചേർത്ത സോഫ്റ്റ്‌വെയർ ഡെവലപ്മെന്റ് കിറ്റുകൾ (SDKs) വഴി ഗർഭധാരണ നില ഉൾപ്പെടെയുള്ള ഉപയോക്താക്കളുടെ ആരോഗ്യ ഡാറ്റ Facebook, Google എന്നിവയുടെ അനലിറ്റിക്സ് ഡിവിഷനുകളുമായി പങ്കിട്ടു എന്നാണ്. 2023ൽ FTC, ഓവുലേഷൻ ആപ്പായ Premom-നെതിരെ, സമ്മതമില്ലാതെ Google, AppsFlyer, ചൈന ആസ്ഥാനമായുള്ള രണ്ട് അനലിറ്റിക്സ് സ്ഥാപനങ്ങൾ എന്നിവയുമായി ആരോഗ്യ ഡാറ്റ പങ്കിട്ടു എന്ന് കുറ്റം ചുമത്തി. 2016ൽ Consumer Reports കണ്ടെത്തിയത്, Glow ആപ്പിന്റെ പാസ്‌വേഡ്-മാറ്റ പ്രക്രിയ ആർക്കും ഏത് അക്കൗണ്ടും ഏറ്റെടുക്കാനും അതിന്റെ ഫെർട്ടിലിറ്റി ഡാറ്റ വായിക്കാനും അനുവദിച്ചു എന്നാണ്.

ഈ സംഭവങ്ങളിൽ ഒന്നും ആരെങ്കിലും തങ്ങളുടെ പിരീഡ് ട്രാക്ക് ചെയ്തതുകൊണ്ട് സംഭവിച്ചതല്ല. ഡാറ്റ ഫോണിൽ നിന്ന് പുറത്തുപോയതുകൊണ്ടാണ് അവ സംഭവിച്ചത് — പരസ്യ SDKകളിലേക്കോ ദുർബലമായ നിയന്ത്രണങ്ങളുള്ള സെർവറുകളിലേക്കോ. അതാണ് വിലയിരുത്തേണ്ട ഘടകം: ട്രാക്ക് ചെയ്യണോ വേണ്ടയോ എന്നതല്ല, മറിച്ച് നിങ്ങളുടെ ഡാറ്റ ശാരീരികമായി എവിടെയാണ് നിലനിൽക്കുന്നത്, ആ മുറിയിൽ മറ്റാരാണുള്ളത് എന്നതാണ്.

രേഖപ്പെടുത്തിയ കേസുകളെ ഇന്റർനെറ്റ് കിംവദന്തികളിൽ നിന്ന് വേർതിരിക്കുന്നത് പ്രധാനമാണ്. രേഖയിൽ നാല് പ്രധാന സംഭവങ്ങളുണ്ട്.

Flo Health: Flo സ്വകാര്യത വാഗ്ദാനം ചെയ്തിട്ടും 2016 മുതൽ 2019 വരെ ഉപയോക്താക്കളുടെ ആർത്തവ, ഗർഭധാരണ ഡാറ്റ തേർഡ്-പാർട്ടി അനലിറ്റിക്സ് സ്ഥാപനങ്ങളുമായി പങ്കിട്ടു എന്ന് 2021ലെ FTC പരാതി ആരോപിച്ചു; Flo തെറ്റ് സമ്മതിക്കാതെ കേസ് ഒത്തുതീർപ്പാക്കി. ബന്ധപ്പെട്ട ക്ലാസ് ആക്ഷൻ 2025ൽ അവസാനിച്ചു, Google $48M-ഉം Flo $8M-ഉം അനലിറ്റിക്സ് സ്ഥാപനമായ Flurry $3.5M-ഉം നൽകി — മൊത്തം $59.5M ഫണ്ട് — അതേസമയം ഒരു ഫെഡറൽ ജൂറി, Flo ഉപയോക്താക്കളുടെ ഡാറ്റ ശേഖരിച്ചതിന് കാലിഫോർണിയയുടെ വയർടാപ്പിംഗ് നിയമപ്രകാരം Meta ഉത്തരവാദിയാണെന്ന് പ്രത്യേകം കണ്ടെത്തി. ഒത്തുതീർപ്പിലെത്തിയ എല്ലാ കമ്പനികളും ഏതെങ്കിലും തെറ്റ് നിഷേധിക്കുന്നു.

Premom: 2023ൽ FTC, ഉപയോക്തൃ സമ്മതമില്ലാതെ തിരിച്ചറിയാവുന്ന ആരോഗ്യ വിവരങ്ങളും കൃത്യമായ ലൊക്കേഷൻ ഡാറ്റയും, ചൈന ആസ്ഥാനമായുള്ള രണ്ടെണ്ണം ഉൾപ്പെടെയുള്ള തേർഡ്-പാർട്ടി അനലിറ്റിക്സ് സ്ഥാപനങ്ങളുമായി പങ്കിട്ടതിന് ഇതിന്റെ നിർമ്മാതാവിനെതിരെ കുറ്റം ചുമത്തി. കമ്പനി $100,000 പിഴ അടച്ചു, പരസ്യത്തിനായി ആരോഗ്യ ഡാറ്റ പങ്കിടുന്നതിൽ നിന്ന് സ്ഥിരമായി വിലക്കപ്പെട്ടു.

Glow: ആർക്കും ഏത് ഉപയോക്താവിന്റെയും പാസ്‌വേഡ് മാറ്റാൻ അനുവദിച്ച ഒരു പിഴവ് ഉൾപ്പെടെ 2013–2016 കാലത്തെ സുരക്ഷാ പരാജയങ്ങൾക്ക് കാലിഫോർണിയ അറ്റോർണി ജനറൽ 2020ൽ Glow-മായി $250,000-ന് ഒത്തുതീർപ്പാക്കി.

വ്യവസായ വ്യാപകമായി: 25 പ്രത്യുൽപ്പാദന-ആരോഗ്യ ആപ്പുകളും ഉപകരണങ്ങളും സംബന്ധിച്ച Mozilla-യുടെ 2022 അവലോകനം അവയിൽ 18-ന് *Privacy Not Included* മുന്നറിയിപ്പ് ലേബൽ നൽകി, 8 എണ്ണം കുറഞ്ഞ സുരക്ഷാ മാനദണ്ഡങ്ങൾ പോലും പാലിച്ചില്ല. ഇത് 2022-ലെ ഒരു നിമിഷചിത്രമാണ് — രീതികൾ മാറുന്നു — എന്നാൽ ദുർബലമായ ഡിഫോൾട്ടുകൾ എത്രത്തോളം വ്യാപകമായിരുന്നു എന്ന് ഇത് കാണിക്കുന്നു.

2022ലെ Dobbs വിധിക്ക് ശേഷം ഈ ഭയം വ്യാപകമായി, അതിനാൽ ഇതിന് കൃത്യമായ ഉത്തരം അർഹിക്കുന്നു. Electronic Frontier Foundation ഉൾപ്പെടെ യഥാർത്ഥ പ്രോസിക്യൂഷനുകൾ ട്രാക്ക് ചെയ്യുന്ന ഡിജിറ്റൽ-അവകാശ സംഘടനകൾ റിപ്പോർട്ട് ചെയ്യുന്നത്, ഗർഭഛിദ്ര-സംബന്ധിയായ കേസുകളിൽ പിരീഡ്-ആപ്പ് ഡാറ്റ പ്രധാന തെളിവായി വന്നിട്ടില്ല എന്നാണ് — ടെക്സ്റ്റ് സന്ദേശങ്ങൾ, തിരയൽ ചരിത്രം, സോഷ്യൽ-മീഡിയ സന്ദേശങ്ങൾ എന്നിവയാണ് ആ പങ്ക് വഹിച്ചത്. അതിനാൽ രേഖപ്പെടുത്തിയ അപകടസാധ്യത തലക്കെട്ടുകൾ സൂചിപ്പിച്ചതിനേക്കാൾ കുറവാണ്.

എന്നാൽ "ആയിട്ടില്ല" എന്നതിനർത്ഥം "ആകാൻ കഴിയില്ല" എന്നല്ല. ഒരു കമ്പനിയുടെ സെർവറിൽ നിലനിൽക്കുന്ന ഏതൊരു ഡാറ്റയും, തത്വത്തിൽ, സബ്‌പീന ചെയ്യപ്പെടാം, ആപ്പുകൾ അതിനോട് എങ്ങനെ പ്രതികരിക്കുമെന്നതിൽ വളരെയധികം വ്യത്യാസപ്പെട്ടിരിക്കുന്നു. Stardust-ന്റെ അന്നത്തെ സ്വകാര്യതാ നയം, "നിയമപരമായി ആവശ്യമായാലും ഇല്ലെങ്കിലും" അധികാരികളുമായി ഡാറ്റ പങ്കിടുമെന്ന് പറഞ്ഞിരുന്നു എന്ന് (ഈ ഭാഷ കമ്പനി പിന്നീട് പുതുക്കി) MIT Technology Review 2022 ജൂണിൽ റിപ്പോർട്ട് ചെയ്തു, അതേസമയം ബെർലിൻ ആസ്ഥാനമായുള്ള Clue, GDPR പ്രകാരം ആരോഗ്യ ഡാറ്റയ്ക്കായുള്ള യുഎസ് സബ്‌പീനകളോട് പ്രതികരിക്കില്ലെന്ന് പ്രസ്താവിച്ചു.

നയത്തിന്റെ വാക്കുകൾ എന്തായാലും ഘടനാപരമായ കാര്യം ശരിയായി നിലനിൽക്കുന്നു: ഒരു സബ്‌പീനയ്ക്ക് എവിടെയെങ്കിലും നിലനിൽക്കുന്ന ഡാറ്റയിലേക്ക് മാത്രമേ എത്താൻ കഴിയൂ. നിങ്ങളുടെ സൈക്കിൾ ചരിത്രം നിങ്ങളുടെ ഫോണിൽ മാത്രം സൂക്ഷിച്ചിരിക്കുന്നുവെങ്കിൽ — ഏതെങ്കിലും സെർവറിലല്ല, ഏതെങ്കിലും അക്കൗണ്ടുമായി ബന്ധിപ്പിച്ചിട്ടില്ലെങ്കിൽ — അപ്പോൾ ഒരു നിയമപരമായ അഭ്യർത്ഥനയ്ക്ക് ലക്ഷ്യമിടാൻ കഴിയുന്ന തേർഡ്-പാർട്ടി പകർപ്പ് നിലവിലില്ല. ഇത് ഒരു നിയമപരമായ തലത്തിലുള്ള ആശങ്കയ്ക്കുള്ള ആർക്കിടെക്ചർ-തല ഉത്തരമാണ്.

ഇല്ല — ഇത് ഒരുപക്ഷേ ഈ മേഖലയിലെ ഏറ്റവും പ്രധാനപ്പെട്ട തെറ്റിദ്ധാരണയാണ്. HIPAA "കവേർഡ് എന്റിറ്റികളെ" ഉൾക്കൊള്ളുന്നു: ആരോഗ്യ പരിരക്ഷാ ദാതാക്കൾ, ആരോഗ്യ പദ്ധതികൾ, അവരുടെ ബിസിനസ് പങ്കാളികൾ. നിങ്ങൾ App Store-ൽ നിന്ന് ഡൗൺലോഡ് ചെയ്ത ഒരു ഉപഭോക്തൃ ആപ്പ് ഇവയിലൊന്നും അല്ല. നിങ്ങളുടെ ഗൈനക്കോളജിസ്റ്റിന്റെ രേഖകൾ HIPAA-സംരക്ഷിതമാണ്; ഒരു പിരീഡ് ആപ്പിൽ ടൈപ്പ് ചെയ്ത അതേ വിവരങ്ങൾ പൊതുവെ അങ്ങനെയല്ല.

പകരം ബാധകമാകുന്നത് ഒരു തുണ്ടുതുണ്ട് വ്യവസ്ഥയാണ്: വഞ്ചനാപരമായ രീതികൾക്കെതിരെയുള്ള FTC Act-ന്റെ നിരോധനം (സ്വകാര്യത വാഗ്ദാനം ചെയ്ത് നൽകാതിരുന്നതിന് Flo-യെ പിടികൂടിയത് ഇതാണ്), FTC-യുടെ Health Breach Notification Rule (Premom-നെതിരെ ഇത് ഇന്നേവരെയുള്ള അതിന്റെ രണ്ടാമത്തെ നടപടിയിൽ ഉപയോഗിച്ചു), കാലിഫോർണിയയുടെ CMIA പോലുള്ള സംസ്ഥാന നിയമങ്ങൾ, യൂറോപ്യൻ ഉപയോക്താക്കൾക്കായി EU-യുടെ GDPR. ഇവയെല്ലാം പിന്നീട് ലംഘിക്കപ്പെട്ട വാഗ്ദാനങ്ങളെ ശിക്ഷിക്കുന്നു; ഇവയൊന്നും തന്നെ, ഒരു ആപ്പിന്റെ സ്വകാര്യതാ നയം ചെറിയ അക്ഷരത്തിൽ അത് വെളിപ്പെടുത്തുന്നുവെങ്കിൽ നിങ്ങളുടെ ഡാറ്റ പങ്കിടുന്നത് തടയുന്നില്ല.

പ്രായോഗിക പരിണിതഫലം: നിങ്ങൾ ഉപയോഗിക്കുന്ന മറ്റേതൊരു ആപ്പിനേക്കാളും ഒരു പിരീഡ് ആപ്പിന് സ്വകാര്യതാ നയം വായിക്കുന്നത് പ്രധാനമാണ്. "പങ്കാളികളുമായോ" "സേവന ദാതാക്കളുമായോ" എന്താണ് പങ്കിടുന്നത്, ഡാറ്റ പരസ്യത്തിനായി ഉപയോഗിക്കുന്നുണ്ടോ, നിയമപരമായ അഭ്യർത്ഥനകളെക്കുറിച്ച് നയം എന്താണ് പറയുന്നത് എന്നിവ പ്രത്യേകം പരിശോധിക്കുക.

അഞ്ച് പരിശോധനകൾ മിക്ക അപകടസാധ്യതയും ഉൾക്കൊള്ളുന്നു, ഇവയെല്ലാം രേഖപ്പെടുത്തിയ പരാജയങ്ങൾ എങ്ങനെ സംഭവിച്ചു എന്നതിൽ നിന്ന് നേരിട്ട് വരുന്നതാണ്.

1. ഡാറ്റ എവിടെയാണ് നിലനിൽക്കുന്നത്? ഉപകരണത്തിലെ സ്റ്റോറേജ് അർത്ഥമാക്കുന്നത് സെർവർ പകർപ്പ് നിലവിലില്ല എന്നാണ് — ലഭ്യമായ ഏറ്റവും ശക്തമായ ഉറപ്പ്. ഡാറ്റ ക്ലൗഡിലേക്ക് പോകുന്നുവെങ്കിൽ, ഈ പട്ടികയിലെ മറ്റെല്ലാ കാര്യങ്ങളും കൂടുതൽ പ്രധാനമാകുന്നു.

2. തേർഡ്-പാർട്ടി SDKകൾ ഉണ്ടോ? രണ്ട് FTC കേസുകളും (Flo, Premom) ഉൾച്ചേർത്ത അനലിറ്റിക്സ്, പരസ്യ SDKകളെ ചോർച്ചയുടെ വഴിയായി വിവരിക്കുന്നു. ആപ്പ് പരസ്യങ്ങൾ കാണിക്കുകയോ അതിന്റെ നയം അനലിറ്റിക്സ് പങ്കാളികളെ പരാമർശിക്കുകയോ ചെയ്യുന്നുവെങ്കിൽ, ഡാറ്റ പുറത്തേക്ക് ഒഴുകുന്നുവെന്ന് കരുതുക.

3. അക്കൗണ്ട് ആവശ്യമാണോ? ഇമെയിൽ-ലിങ്ക്ഡ് അക്കൗണ്ട് നിങ്ങളുടെ ഐഡന്റിറ്റിയെ നിങ്ങളുടെ സൈക്കിൾ ചരിത്രവുമായി ബന്ധിപ്പിക്കുന്നു. അക്കൗണ്ട് ഇല്ലെങ്കിൽ ഐഡന്റിറ്റി ബന്ധിപ്പിക്കൽ ഇല്ല എന്നാണർത്ഥം.

4. നിങ്ങൾ ഡിലീറ്റ് ചെയ്യുമ്പോൾ എന്ത് സംഭവിക്കുന്നു? ഒരു ആപ്പ് ഡിലീറ്റ് ചെയ്യുന്നത് സെർവർ-സൈഡ് ഡാറ്റ ഇല്ലാതാക്കുന്നില്ല. വ്യക്തമായ ഡിലീഷൻ അവകാശത്തിനും, തേർഡ്-പാർട്ടികളോടും ഇല്ലാതാക്കാൻ നിർദ്ദേശിക്കുന്നുവെന്ന് കമ്പനി പറയുന്നുണ്ടോ എന്നും നോക്കുക.

5. നിയമപാലന നയം എന്താണ്? കമ്പനി സബ്‌പീനകൾ എങ്ങനെ കൈകാര്യം ചെയ്യുന്നു എന്നതിനെക്കുറിച്ചുള്ള വ്യക്തമായ ഭാഷ ഒരു നല്ല സൂചനയാണ്; നിശബ്ദതയോ വിശാലമായ "ഞങ്ങൾ അധികാരികളുമായി സഹകരിക്കുന്നു" എന്ന ഭാഷയോ ഗവേഷകർ പ്രത്യേകം ചൂണ്ടിക്കാട്ടിയ ഒരു മുന്നറിയിപ്പ് അടയാളമാണ്.

ഈ പരിശോധനകൾ വിജയിക്കാൻ നിർമ്മിച്ച ആപ്പുകൾ നിലവിലുണ്ട്. എല്ലാം പ്രാദേശികമായി സൂക്ഷിക്കുന്ന Euki-യെ Mozilla-യുടെ 2022 അവലോകനം അതിന്റെ ഏക "Best Of" തിരഞ്ഞെടുപ്പായി പേരിട്ടു, PinkyBloom അതേ തത്വത്തിന് ചുറ്റും രൂപകൽപ്പന ചെയ്തതാണ്: ഡാറ്റ നിങ്ങളുടെ ഫോണിൽ തന്നെ നിലനിൽക്കുന്നു, അക്കൗണ്ട് ഇല്ല, തേർഡ്-പാർട്ടി SDKകൾ ഇല്ല, അതിനാൽ 1–4 പരിശോധനകൾ ഘടനയാൽ തന്നെ വിജയിക്കുന്നു.

ഓരോ ഓപ്ഷനും രേഖപ്പെടുത്തിയ അപകടസാധ്യതയുടെ എത്രത്തോളം ഇല്ലാതാക്കുന്നു എന്നതനുസരിച്ച് റാങ്ക് ചെയ്തിരിക്കുന്നു:

ഉപകരണത്തിൽ പ്രവർത്തിക്കുന്ന ആപ്പുകളാണ് ഇപ്പോഴും സൗകര്യപ്രദമായ ഏറ്റവും ശക്തമായ ഓപ്ഷൻ. സൈക്കിൾ ഡാറ്റ നിങ്ങളുടെ ഫോണിൽ മാത്രം സൂക്ഷിക്കുകയും പ്രോസസ്സ് ചെയ്യുകയും ചെയ്യുമ്പോൾ, സെർവർ-സൈഡ് സംഭവങ്ങളുടെ മുഴുവൻ വിഭാഗവും — SDK പങ്കിടൽ, ലംഘനങ്ങൾ, കമ്പനി സെർവറുകളുടെ സബ്‌പീനകൾ — കരാർ പ്രകാരം വാഗ്ദാനം ചെയ്യപ്പെടുന്നതിന് പകരം ഘടനാപരമായി അസാധ്യമാകുന്നു. ഇതാണ് PinkyBloom-ന്റെ ആർക്കിടെക്ചർ, സ്വകാര്യതാ അവലോകകർ Euki-യുടെ പ്രാദേശികം-മാത്രം ഡിസൈനിനെ ഇഷ്ടപ്പെട്ടതും ഇതുകൊണ്ടാണ്; ഉറപ്പ് ലഭിക്കുന്നത് ഡാറ്റ എവിടെയാണെന്നതിൽ നിന്നാണ്, മാറ്റാൻ കഴിയുന്ന ഒരു നയത്തിൽ നിന്നല്ല.

നിങ്ങൾക്ക് മൾട്ടി-ഡിവൈസ് സിങ്ക് ആവശ്യമെങ്കിൽ ശക്തമായ ഭരണനിർവഹണമുള്ള ക്ലൗഡ് ആപ്പുകൾ പ്രായോഗികമായ ഒരു മധ്യമാർഗമാണ്: വ്യക്തമായ പരസ്യം-ഇല്ല, ഡാറ്റ-വിൽപ്പന-ഇല്ല നയങ്ങളും നിയമപരമായ അഭ്യർത്ഥനകളിൽ പ്രഖ്യാപിത നിലപാടും ഉള്ള GDPR-അധികാരപരിധിയിലുള്ള കമ്പനികൾക്ക് മുൻഗണന നൽകുക. നിങ്ങൾ വാഗ്ദാനങ്ങളെ വിശ്വസിക്കുകയാണ്, പക്ഷേ നന്നായി നിയന്ത്രിതമായ വാഗ്ദാനങ്ങളെ.

പേനയും കടലാസും അല്ലെങ്കിൽ ലളിതമായ ഒരു കലണ്ടറും യഥാർത്ഥത്തിൽ സ്വകാര്യമാണ്, പക്ഷേ ട്രാക്കിംഗിനെ ക്ലിനിക്കലായി ഉപകാരപ്രദമാക്കുന്ന കാര്യങ്ങൾ അത് നഷ്ടപ്പെടുത്തുന്നു — പാറ്റേൺ കണ്ടെത്തൽ, പ്രവചനം, ഒരു ഡോക്ടറെ കാണിക്കാൻ കഴിയുന്ന ലക്ഷണ ചരിത്രം.

നിങ്ങൾ ചെയ്യരുതാത്തത് ഭയം കൊണ്ട് ട്രാക്കിംഗ് നിർത്തുകയാണ്. നിങ്ങൾക്കുള്ള ഏറ്റവും ഉപകാരപ്രദമായ ആരോഗ്യ സൂചകങ്ങളിലൊന്നാണ് സൈക്കിൾ ഡാറ്റ — American College of Obstetricians and Gynecologists (ACOG) ആർത്തവചക്രത്തെ ഒരു സുപ്രധാന ലക്ഷണമായി കണക്കാക്കുന്നു. തെളിവുകൾ പിന്തുണയ്ക്കുന്ന നടപടി ഡാറ്റ സൂക്ഷിക്കുകയും അത് എവിടെയാണ് നിലനിൽക്കുന്നത് എന്ന് മാറ്റുകയും ചെയ്യുക എന്നതാണ്.