Regl takip uygulaması gizlilik vaat ediyor, verileri dışarı yolluyor: doğum tarihi, doğum kontrolü, semptomlar

Regl döngüsü takip uygulaması Stardust kendi sayfasında söz veriyor: „Verileriniz özeldir. Nokta.” Mozilla araştırmacıları uygulamanın ağ trafiğini açtı ve bu verilerin RudderStack adlı bir analitik şirketine gittiğini buldu.

Söz konusu olan „uygulamayı kaç kişi açtı” türünden anonim istatistik değil. Bulgulara göre dışarı çıkanlar doğum tarihi, doğum kontrol yöntemi, üreme hedefleri ve semptomlardı - bir isme değil, benzersiz bir tanımlayıcıya bağlı olarak. Pazarlama departmanlarının verilerin anonim olduğunu söylerken dayandığı ayrım tam da budur. Tanımlayıcı senin adını bilmez, ama senin hakkında geri kalan her şeyi bilir ve herhangi bir şifreden daha uzun yaşar.

Güvenlik araştırmacısı Shoshana Wodinsky altı döngü takip uygulamasını inceledi. Yalnızca biri hassas sağlık verilerini dış bir şirketle paylaşıyordu - Stardust. Mozilla temiz olarak Euki uygulamasını ayırdı: üçüncü taraflara veri göndermiyor ve sağlık bilgilerini kullanıcının kendi cihazında tutuyordu. Yani yapılabiliyor. Diğer beşi bir şekilde beceremedi.

Şirketin yanıtı, RudderStack'in „verileri satmasının veya kendi amaçları için kullanmasının sözleşmeyle yasaklandığı” yönünde. Sözleşme güzel şeydir - ta ki bir mahkeme kararı ortaya çıkana kadar. Her iki firma da sakladıkları veriler için kolluk kuvvetlerinden talep alabilir, ve o an aralarındaki sözleşme hiçbir şey ifade etmez - yalnızca artık bir yerine iki kapı olduğunu gösterir. Stardust'ın kurucusu Rachel Moranis, böyle bir talep karşısında şirketin ne yapacağı sorusunu yanıtsız bıraktı.

Bu ilk kez olmuyor. 2022 yılında yapılan bir araştırma, aynı uygulamanın tam şifreleme iddialarının doğru olmadığını göstermişti. Dört yıl sonra vaat yeniden formüle edilmiş, alıcı firma değişmiş, öz ise aynı: reklam bir şey söylüyor, trafik başka bir şey gösteriyor.

Bunu Amerikan yasalarına dair Amerikan hikâyesi diye silmek kolay. Ama döngü takip uygulamaları burada da aynı mağazalardan indiriliyor, aynı gizlilik metniyle, aynı çeviri aracından geçirilmiş hâliyle. Fark şu ki orada en azından trafiği açan ve dışarı ne çıktığını ölçen biri var. Okur için soru daha basit ve daha rahatsız edici: burada en son ne zaman herhangi bir kurum telefonundaki uygulamanın ne gönderdiğini kontrol etti - ve kime?