As Aplicações de Registo do Ciclo São Seguras? O Que os Factos Mostram

A resposta honesta: depende inteiramente da forma como a aplicação foi construída, porque a lei, na maior parte dos casos, não o vai proteger. As aplicações de registo do ciclo destinadas a consumidores não estão abrangidas pela HIPAA — a lei norte-americana de privacidade em saúde aplica-se a prestadores de cuidados de saúde e seguradoras, não a aplicações de bem-estar. Isso significa que a arquitetura da própria aplicação e a sua política de privacidade são, na prática, tudo o que importa.

As falhas documentadas partilham todas a mesma estrutura. Em 2021, a FTC alegou que a Flo, o tracker mais popular, partilhou dados de saúde dos utilizadores — incluindo o estado de gravidez — com divisões de análise da Facebook e da Google entre 2016 e 2019, através de kits de desenvolvimento de software (SDKs) integrados, contrariando as suas próprias promessas de privacidade. Em 2023, a FTC acusou a aplicação de ovulação Premom de partilhar dados de saúde com a Google, a AppsFlyer e duas empresas de análise sediadas na China sem consentimento. Em 2016, a Consumer Reports descobriu que o processo de alteração de palavra-passe da aplicação Glow permitia que qualquer pessoa assumisse o controlo de qualquer conta e lesse os respetivos dados de fertilidade.

Nenhum destes incidentes aconteceu porque alguém registou o seu ciclo. Aconteceram porque os dados saíram do telemóvel — para SDKs publicitários ou para servidores com controlos fracos. É essa a variável a avaliar: não se deve ou não registar, mas onde vivem fisicamente os seus dados e quem mais está na sala.

Vale a pena separar os casos documentados dos rumores da internet. O registo contém quatro incidentes de referência.

Flo Health: a queixa da FTC de 2021 alegou que a Flo partilhou dados menstruais e de gravidez dos utilizadores com empresas de análise terceiras entre 2016 e 2019, apesar de prometer privacidade; a Flo chegou a um acordo sem admitir culpa. A ação coletiva relacionada terminou em 2025, com a Google a pagar 48 milhões de dólares, a Flo 8 milhões e a empresa de análise Flurry 3,5 milhões — um fundo combinado de 59,5 milhões de dólares — enquanto um júri federal considerou separadamente a Meta responsável ao abrigo da lei californiana de escutas, pela recolha de dados de utilizadores da Flo. Todas as empresas que chegaram a acordo negam qualquer irregularidade.

Premom: em 2023, a FTC acusou o fabricante de partilhar informações de saúde identificáveis e dados de localização precisos com empresas de análise terceiras, incluindo duas sediadas na China, sem o consentimento dos utilizadores. A empresa pagou uma multa de 100.000 dólares e está permanentemente proibida de partilhar dados de saúde para fins publicitários.

Glow: o Procurador-Geral da Califórnia chegou a um acordo com a Glow no valor de 250.000 dólares em 2020, relativo a falhas de segurança do período 2013–2016, incluindo uma vulnerabilidade que permitia que qualquer pessoa alterasse a palavra-passe de qualquer utilizador.

A nível da indústria: a análise da Mozilla de 2022 a 25 aplicações e dispositivos de saúde reprodutiva atribuiu a 18 deles o rótulo de aviso *Privacy Not Included*, e 8 não cumpriram os padrões mínimos de segurança. Trata-se de um retrato de 2022 — as práticas mudam — mas mostra o quão generalizadas eram as configurações predefinidas fracas.

Este receio generalizou-se após a decisão Dobbs em 2022, pelo que merece uma resposta precisa. Grupos de direitos digitais que acompanham processos judiciais reais, incluindo a Electronic Frontier Foundation, relatam que os dados de aplicações de ciclo não têm sido a prova principal em casos relacionados com aborto — mensagens de texto, histórico de pesquisas e mensagens em redes sociais têm sido. Assim, o risco documentado é menor do que as manchetes sugeriram.

Mas "não foi" não é o mesmo que "não pode ser". Quaisquer dados que existam no servidor de uma empresa podem, em princípio, ser objeto de intimação, e as aplicações diferem enormemente na forma como responderiam. A MIT Technology Review relatou em junho de 2022 que a então política de privacidade da Stardust afirmava que a empresa partilharia dados com as autoridades "quer seja legalmente exigido ou não" (uma formulação que a empresa reviu posteriormente), enquanto a Clue, sediada em Berlim, declarou que não responderia a intimações dos EUA para dados de saúde ao abrigo do GDPR.

O argumento estrutural mantém-se válido independentemente da formulação da política: uma intimação só pode alcançar dados que existam algures para serem solicitados. Se o histórico do seu ciclo estiver armazenado apenas no seu telemóvel — não em nenhum servidor, não associado a nenhuma conta — não existe nenhuma cópia de terceiros que um pedido legal possa visar. Essa é a resposta ao nível da arquitetura para uma preocupação ao nível legal.

Não — e este é provavelmente o mal-entendido mais consequente nesta área. A HIPAA abrange "entidades cobertas": prestadores de cuidados de saúde, planos de saúde e os seus associados comerciais. Uma aplicação de consumo que descarregou da App Store não é nenhuma dessas. Os registos do seu ginecologista são protegidos pela HIPAA; a mesma informação digitada numa aplicação de ciclo geralmente não é.

O que se aplica em vez disso é um conjunto fragmentado: a proibição de práticas enganosas da FTC Act (foi isso que apanhou a Flo — prometer privacidade e não cumprir), a Health Breach Notification Rule da FTC (usada contra a Premom na sua segunda ação de aplicação da lei de sempre), leis estaduais como a CMIA da Califórnia, e o GDPR da UE para utilizadores europeus. Estas punem promessas quebradas após o facto; nenhuma delas impede uma aplicação de partilhar os seus dados se a sua política de privacidade o divulgar em letra pequena.

Consequência prática: ler a política de privacidade importa mais para uma aplicação de ciclo do que para quase qualquer outra aplicação que utilize. Procure especificamente o que é partilhado com "parceiros" ou "prestadores de serviços", se os dados são usados para publicidade, e o que a política diz sobre pedidos legais.

Cinco verificações cobrem a maior parte do risco, e todas resultam diretamente da forma como as falhas documentadas aconteceram.

1. Onde vivem os dados? O armazenamento no dispositivo significa que não existe cópia no servidor — a garantia mais forte disponível. Se os dados forem para a nuvem, tudo o resto nesta lista importa mais.

2. Existem SDKs de terceiros? Ambos os casos da FTC (Flo, Premom) descrevem SDKs de análise e publicidade integrados como o vetor de fuga. Se a aplicação mostrar anúncios ou a sua política mencionar parceiros de análise, assuma que os dados fluem para fora.

3. É necessária uma conta? Uma conta associada a um e-mail liga a sua identidade ao histórico do seu ciclo. Sem conta significa sem associação de identidade.

4. O que acontece quando elimina a aplicação? Eliminar uma aplicação não elimina os dados do lado do servidor. Procure um direito explícito de eliminação e se a empresa afirma instruir também terceiros a eliminar dados.

5. Qual é a política de aplicação da lei? Uma linguagem clara sobre como a empresa lida com intimações é um bom sinal; o silêncio ou uma linguagem vaga como "cooperamos com as autoridades" é um sinal de alerta que os investigadores destacaram especificamente.

Existem aplicações construídas para passar nestas verificações. A análise da Mozilla de 2022 nomeou a Euki — que armazena tudo localmente — como a sua única escolha "Best Of", e a PinkyBloom foi concebida segundo o mesmo princípio: os dados permanecem no seu telemóvel, sem conta, sem SDKs de terceiros, pelo que as verificações 1–4 passam pela própria construção.

Classificadas de acordo com a quantidade de risco documentado que cada opção elimina:

As aplicações no dispositivo são a opção mais forte que ainda é conveniente. Quando os dados do ciclo são armazenados e processados apenas no seu telemóvel, toda a categoria de incidentes do lado do servidor — partilha via SDK, violações, intimações aos servidores da empresa — torna-se estruturalmente impossível, em vez de apenas prometida contratualmente. Esta é a arquitetura da PinkyBloom, e é por isso que os revisores de privacidade preferiram o design exclusivamente local da Euki; a garantia vem de onde os dados estão, não de uma política que pode mudar.

As aplicações na nuvem com uma governação sólida são um meio-termo viável se precisar de sincronização entre vários dispositivos: dê preferência a empresas sob jurisdição do GDPR, com políticas explícitas de não publicidade, não venda de dados e uma posição declarada sobre pedidos legais. Está a confiar em promessas, mas bem reguladas.

Caneta e papel ou um calendário simples são genuinamente privados, mas perdem o que torna o registo clinicamente útil — deteção de padrões, previsão, histórico de sintomas que pode mostrar a um médico.

O que não deve fazer é deixar de registar por medo. Os dados do ciclo são um dos sinais de saúde mais úteis que tem — o American College of Obstetricians and Gynecologists trata o ciclo menstrual como um sinal vital. A ação apoiada por evidências é manter os dados e mudar onde eles vivem.