經期追蹤應用程式安全嗎？記錄顯示了什麼

誠實的答案是：這完全取決於應用程式的建構方式，因為法律基本上無法保護您。消費者經期追蹤應用程式不受 HIPAA 保護——這部美國健康隱私法適用於醫療服務提供者和保險公司，而不是健康類應用程式。這意味著應用程式本身的架構和隱私政策，實際上就是全部的保障。

已記錄的失敗案例都有著相同的模式。2021年，FTC 指控最受歡迎的追蹤應用程式 Flo，在2016年至2019年間，透過嵌入式軟體開發套件（SDK），將使用者的健康資料——包括懷孕狀態——與 Facebook 和 Google 的分析部門共享，違背了自己的隱私承諾。2023年，FTC 指控排卵應用程式 Premom 在未經同意的情況下，將健康資料共享給 Google、AppsFlyer，以及兩家總部位於中國的分析公司。2016年，《消費者報告》（Consumer Reports）發現 Glow 應用程式的密碼變更流程存在漏洞，任何人都能接管任何帳號並讀取其生育資料。

這些事件都不是因為有人追蹤了自己的經期而發生的。它們之所以發生，是因為資料離開了手機——流向了廣告SDK，或流向了控管薄弱的伺服器。這才是需要評估的變數：不是要不要追蹤，而是您的資料實際存放在哪裡，還有誰能接觸到它。

有必要把已記錄的案例和網路上的傳言區分開來。記錄中包含四起核心事件。

Flo Health：FTC 在2021年的投訴指控，Flo 在2016年至2019年間，儘管承諾保護隱私，仍與第三方分析公司共享使用者的月經和懷孕資料；Flo 在未承認任何不當行為的情況下和解。相關的集體訴訟於2025年結案，Google 支付4800萬美元，Flo 支付800萬美元，分析公司 Flurry 支付350萬美元——總計5950萬美元的和解基金；與此同時，一個聯邦陪審團另外裁定 Meta 因蒐集 Flo 使用者的資料，違反了加州的竊聽法。所有和解公司均否認有任何不當行為。

Premom：2023年，FTC 指控其開發商在未經使用者同意的情況下，將可識別身分的健康資訊和精確位置資料，共享給第三方分析公司，其中包括兩家總部位於中國的公司。該公司支付了10萬美元的罰款，並被永久禁止將健康資料用於廣告用途。

Glow：加州檢察總長於2020年，就2013年至2016年間的安全漏洞（包括一個能讓任何人更改任何使用者密碼的缺陷），與 Glow 達成25萬美元的和解。

整體產業情況：Mozilla 在2022年對25款生殖健康應用程式和裝置的評測中，給予其中18款「隱私未達標」（Privacy Not Included）的警示標籤，8款未能達到最低安全標準。這是2022年的一份快照——實際做法會隨時間改變——但它顯示出當時薄弱預設值有多麼普遍。

這種擔憂在2022年 Dobbs 案之後變得普遍，因此值得給出一個精確的答案。追蹤實際起訴案件的數位權利組織，包括電子前哨基金會（Electronic Frontier Foundation），報告指出經期應用程式的資料並非墮胎相關案件中的關鍵證據——簡訊、搜尋紀錄和社群媒體訊息才是。因此，已記錄的風險低於新聞標題所暗示的程度。

但「尚未發生」不等於「不可能發生」。任何存在於公司伺服器上的資料，原則上都可能被傳票調取，而不同應用程式在應對方式上差異極大。《麻省理工科技評論》（MIT Technology Review）在2022年6月報導，Stardust 當時的隱私政策表示，無論是否有法律要求，都會與執法部門共享資料（該措辭後來遭公司修改），而總部位於柏林的 Clue 則表示，根據 GDPR，它不會回應美國針對健康資料的傳票。

無論政策措辭如何，結構性的重點始終成立：傳票只能調取確實存在於某處的資料。如果您的週期紀錄只儲存在您的手機上——不在任何伺服器上，也不與任何帳號綁定——那麼就沒有第三方副本可供法律請求鎖定。這就是對一個法律層面憂慮的架構層面答案。

不——這可能是這個領域裡最重要的一個誤解。HIPAA 涵蓋的是「受規範實體」：醫療服務提供者、醫療保險計畫，以及其業務夥伴。您從 App Store 下載的消費應用程式，不屬於其中任何一類。您婦科醫師的病歷受 HIPAA 保護；但輸入到經期應用程式中的同樣資訊，通常不受保護。

實際適用的是一套拼湊而成的規則：FTC 法案中對欺騙行為的禁令（這正是讓 Flo 被抓的原因——承諾保護隱私卻未能做到）、FTC 的《健康資訊外洩通知規則》（Health Breach Notification Rule，這是該規則史上第二次被用於執法，用來處罰 Premom）、加州 CMIA 等州法，以及適用於歐洲使用者的歐盟 GDPR。這些法律都是在事後懲罰被打破的承諾；只要應用程式的隱私政策在細則中有揭露，這些法律都無法阻止應用程式共享您的資料。

實際的結論是：閱讀隱私政策對經期應用程式而言，比對您使用的幾乎任何其他應用程式都更重要。請特別留意內容與「合作夥伴」或「服務供應商」共享了什麼、資料是否用於廣告，以及政策中關於法律請求的說明。

五項檢查涵蓋了大部分的風險，而且這些檢查都直接來自已記錄失敗事件的真正成因。

1. 資料存放在哪裡？裝置本機儲存意味著不存在伺服器副本——這是目前能取得的最強保障。如果資料會上傳到雲端，那麼下面的每一項都變得更加重要。

2. 是否有第三方SDK？兩起 FTC 案件（Flo、Premom）都顯示，嵌入式的分析和廣告SDK正是資料外洩的途徑。如果應用程式會顯示廣告，或其政策中提到分析合作夥伴，就應假設資料正在向外流動。

3. 是否需要帳號？與電子郵件綁定的帳號，會把您的身分與週期紀錄連結在一起。沒有帳號，就不存在身分連結。

4. 刪除應用程式後會發生什麼？刪除應用程式並不會刪除伺服器端的資料。請查看應用程式是否提供明確的刪除權，以及公司是否聲明會通知第三方一併刪除資料。

5. 配合執法的政策是什麼？關於公司如何處理傳票的清楚說明，是一個好跡象；隻字不提，或使用「我們配合執法部門」這類籠統措辭，則是研究者特別指出的警訊。

能通過這些檢查的應用程式確實存在。Mozilla 在2022年的評測中，將完全在本機儲存資料的 Euki 評為唯一的「最佳之選」（Best Of）；PinkyBloom 也是依照同樣的原則設計：資料保存在您的手機上、不需要帳號、不嵌入第三方SDK，因此第1至4項檢查從設計上就自然通過。

依照每個選項消除已記錄風險的程度排序：

本機應用程式，是依然方便的最強選項。當週期資料只在您的手機上儲存和處理時，整整一類伺服器端事件——SDK資料共享、資料外洩、針對公司伺服器的傳票調取——就在結構上變得不可能發生，而不只是靠合約承諾來防止。這正是 PinkyBloom 的架構，也是隱私評測者偏愛 Euki 純本機設計的原因：保障來自資料存放的位置，而不是來自一份可能改變的政策。

如果您需要多裝置同步，具備良好治理的雲端應用程式是一個可行的折衷方案：優先選擇受 GDPR 管轄、明確承諾不做廣告、不出售資料，並對法律請求有明確立場的公司。您信任的是承諾，但至少是受良好監管的承諾。

紙筆紀錄或普通日曆確實能提供真正的隱私，但會失去讓追蹤具有臨床價值的部分——模式辨識、預測、以及可以出示給醫師查看的症狀病史。

您不該做的，是因為恐懼而停止追蹤。週期資料是您擁有的最有用的健康訊號之一——美國婦產科醫學會（American College of Obstetricians and Gynecologists）將月經週期視為一項生命徵象。有實證支持的做法是：保留資料，改變資料存放的位置。