Os aplicativos de monitoramento do ciclo menstrual são seguros? O que os registros mostram

A resposta honesta: depende inteiramente de como o aplicativo é construído, porque a lei em grande parte não vai proteger você. Os aplicativos de ciclo menstrual voltados ao consumidor não são cobertos pela HIPAA — a lei americana de privacidade de saúde se aplica a prestadores de serviços de saúde e seguradoras, não a aplicativos de bem-estar. Isso significa que a arquitetura do próprio aplicativo e sua política de privacidade são, na prática, tudo o que importa.

Todas as falhas documentadas têm o mesmo formato. Em 2021, a FTC alegou que o Flo, o aplicativo de monitoramento mais popular, compartilhou dados de saúde das usuárias — incluindo status de gravidez — com as divisões de análise do Facebook e do Google entre 2016 e 2019, por meio de kits de desenvolvimento de software (SDKs) incorporados, contrariando suas próprias promessas de privacidade. Em 2023, a FTC processou o aplicativo de ovulação Premom por compartilhar dados de saúde com Google, AppsFlyer e duas empresas de análise sediadas na China sem consentimento. Em 2016, a Consumer Reports descobriu que o fluxo de alteração de senha do aplicativo Glow permitia que qualquer pessoa assumisse qualquer conta e lesse seus dados de fertilidade.

Nenhum desses incidentes aconteceu porque alguém monitorou seu ciclo menstrual. Aconteceram porque os dados saíram do telefone — indo para SDKs de publicidade ou para servidores com controles fracos. Essa é a variável a avaliar: não se deve monitorar, mas onde seus dados fisicamente residem e quem mais está na sala.

Vale a pena separar os casos documentados dos boatos da internet. Os registros contêm quatro incidentes centrais.

Flo Health: a denúncia da FTC de 2021 alegou que o Flo compartilhou dados menstruais e de gravidez das usuárias com empresas de análise terceirizadas de 2016 a 2019, apesar de prometer privacidade; o Flo fez um acordo sem admitir culpa. A ação coletiva relacionada terminou em 2025 com o Google pagando US$ 48 milhões, o Flo US$ 8 milhões e a empresa de análise Flurry US$ 3,5 milhões — um fundo combinado de US$ 59,5 milhões — enquanto um júri federal considerou separadamente a Meta responsável sob a lei de escutas da Califórnia por coletar dados de usuárias do Flo. Todas as empresas que fizeram acordo negam qualquer irregularidade.

Premom: em 2023, a FTC processou sua fabricante por compartilhar informações de saúde identificáveis e localização precisa com empresas de análise terceirizadas, incluindo duas sediadas na China, sem consentimento do usuário. A empresa pagou uma multa de US$ 100.000 e está permanentemente proibida de compartilhar dados de saúde para fins de publicidade.

Glow: o Procurador-Geral da Califórnia fez um acordo com a Glow por US$ 250.000 em 2020 por falhas de segurança entre 2013 e 2016, incluindo uma falha que permitia que qualquer pessoa alterasse a senha de qualquer usuário.

Em todo o setor: a revisão da Mozilla em 2022 de 25 aplicativos e dispositivos de saúde reprodutiva deu a 18 deles o selo de alerta *Privacy Not Included*, e 8 falharam nos padrões mínimos de segurança. Esse é um retrato de 2022 — as práticas mudam — mas mostra o quanto as configurações padrão fracas eram generalizadas.

Esse medo se espalhou após a decisão Dobbs em 2022, por isso merece uma resposta precisa. Grupos de direitos digitais que rastreiam processos reais, incluindo a Electronic Frontier Foundation, relatam que dados de aplicativos de ciclo menstrual não foram a evidência principal em casos relacionados a aborto — mensagens de texto, histórico de buscas e mensagens de redes sociais foram. Portanto, o risco documentado é menor do que as manchetes sugeriram.

Mas "não foi" não é o mesmo que "não pode ser". Quaisquer dados que existam em um servidor de uma empresa podem, em princípio, ser intimados judicialmente, e os aplicativos diferem enormemente em como responderiam. O MIT Technology Review informou em junho de 2022 que a política de privacidade do Stardust na época dizia que compartilharia dados com autoridades "independentemente de ser legalmente exigido" (linguagem que a empresa depois revisou), enquanto a Clue, sediada em Berlim, declarou que não responderia a intimações dos EUA por dados de saúde sob o GDPR.

O ponto estrutural permanece independentemente da redação da política: uma intimação só pode alcançar dados que existam em algum lugar para serem intimados. Se o histórico do seu ciclo está armazenado apenas no seu telefone — não em nenhum servidor, não vinculado a nenhuma conta — não há cópia de terceiros para uma solicitação legal visar. Essa é a resposta em nível de arquitetura para uma preocupação em nível jurídico.

Não — e esse é provavelmente o mal-entendido mais consequente nessa área. A HIPAA cobre "entidades cobertas": prestadores de serviços de saúde, planos de saúde e seus associados comerciais. Um aplicativo de consumo que você baixou da App Store não é nada disso. Os registros da sua ginecologista são protegidos pela HIPAA; a mesma informação digitada em um aplicativo de ciclo menstrual geralmente não é.

O que se aplica em vez disso é uma colcha de retalhos: a proibição de práticas enganosas da Lei da FTC (foi isso que pegou o Flo — prometer privacidade e não cumprir), a Regra de Notificação de Violação de Saúde da FTC (usada contra o Premom em apenas sua segunda aplicação já feita), leis estaduais como a CMIA da Califórnia, e o GDPR da UE para usuárias europeias. Essas punem promessas quebradas depois do fato; nenhuma delas impede um aplicativo de compartilhar seus dados se sua política de privacidade divulgar isso em letras miúdas.

Consequência prática: ler a política de privacidade importa mais para um aplicativo de ciclo menstrual do que para quase qualquer outro aplicativo que você usa. Procure especificamente o que é compartilhado com "parceiros" ou "prestadores de serviços", se os dados são usados para publicidade e o que a política diz sobre solicitações legais.

Cinco verificações cobrem a maior parte do risco, e todas vêm diretamente de como as falhas documentadas aconteceram.

1. Onde os dados residem? O armazenamento no dispositivo significa que não existe cópia no servidor — a garantia mais forte disponível. Se os dados vão para a nuvem, tudo mais nesta lista importa mais.

2. Existem SDKs de terceiros? Ambos os casos da FTC (Flo, Premom) descrevem SDKs de análise e publicidade incorporados como o vetor de vazamento. Se o aplicativo exibe anúncios ou sua política menciona parceiros de análise, presuma que os dados fluem para fora.

3. É exigida uma conta? Uma conta vinculada a e-mail liga sua identidade ao histórico do seu ciclo. Sem conta, não há vínculo de identidade.

4. O que acontece quando você exclui? Excluir um aplicativo não exclui os dados do lado do servidor. Procure um direito explícito de exclusão e se a empresa diz que instrui terceiros a excluir também.

5. Qual é a política em relação a autoridades? Uma linguagem clara sobre como a empresa lida com intimações é um bom sinal; silêncio ou linguagem genérica de "cooperamos com as autoridades" é um sinal de alerta que pesquisadores apontaram especificamente.

Existem aplicativos construídos para passar nessas verificações. A revisão da Mozilla em 2022 nomeou o Euki — que armazena tudo localmente — como sua única escolha "Best Of", e o PinkyBloom foi projetado com o mesmo princípio: os dados ficam no seu telefone, sem conta, sem SDKs de terceiros, de modo que as verificações 1 a 4 são atendidas por construção.

Classificado por quanto do risco documentado cada opção elimina:

Aplicativos no dispositivo são a opção mais forte que ainda é conveniente. Quando os dados do ciclo são armazenados e processados apenas no seu telefone, toda a categoria de incidentes do lado do servidor — compartilhamento via SDK, violações, intimações a servidores da empresa — se torna estruturalmente impossível, em vez de apenas prometida contratualmente. Essa é a arquitetura do PinkyBloom, e é por isso que os avaliadores de privacidade favoreceram o design somente local do Euki; a garantia vem de onde os dados estão, não de uma política que pode mudar.

Aplicativos em nuvem com forte governança são um meio-termo viável se você precisar de sincronização entre vários dispositivos: prefira empresas sob jurisdição do GDPR com políticas explícitas de não publicidade, não venda de dados e uma posição declarada sobre solicitações legais. Você está confiando em promessas, mas bem regulamentadas.

Caneta e papel ou um calendário comum são genuinamente privados, mas perdem o que torna o monitoramento clinicamente útil — detecção de padrões, previsão, histórico de sintomas que você pode mostrar a um médico.

O que você não deve fazer é parar de monitorar por medo. Os dados do ciclo são um dos sinais de saúde mais úteis que você tem — o American College of Obstetricians and Gynecologists (ACOG) trata o ciclo menstrual como um sinal vital. A atitude respaldada por evidências é manter os dados e mudar onde eles residem.