Millones de personas en todo el mundo usan aplicaciones para llevar el control de su ciclo menstrual. Disponibles en cualquier celular, registran síntomas, estados de ánimo, vida sexual, uso de anticonceptivos y posibles embarazos. Es información profundamente íntima. Pero un informe deja una pregunta inquietante sobre ellas ¿quién más tiene acceso a esos datos?
La Fundación Mozilla, creadora del navegador Firefox, analizó las prácticas de privacidad de seis aplicaciones populares de seguimiento del ciclo: Flo, Clue, Stardust, Spot On, Period Calendar y Euki. El resultado muestra un panorama desigual: algunas apps protegen razonablemente bien la información de sus usuarias; otras la comparten de maneras que muchas personas encontrarían perturbadoras, incluyendo con gigantes tecnológicos como Google, Meta y TikTok, además de empresas de análisis de datos casi desconocidas para el público.
Nada de esto es necesariamente ilegal. Pero desde que la Corte Suprema de Estados Unidos eliminó la protección federal al aborto en 2022, especialistas en privacidad advierten que los datos generados por estas aplicaciones podrían terminar utilizados en procesos judiciales, y ya existen precedentes de fuerzas de seguridad que obtuvieron información de empresas tecnológicas y la usaron para encarcelar a mujeres.
¿Quién ve tus datos de salud?
De las seis aplicaciones analizadas, Stardust —que combina el seguimiento menstrual con astrología y horóscopos— fue la única que, según Mozilla, comparte información reproductiva detallada con otra empresa. El informe detalla que Stardust envía datos como estado de embarazo, uso de anticonceptivos, estados de ánimo, consumo de alcohol y síntomas físicos específicos a una compañía de gestión de datos llamada RudderStack, que ni siquiera aparece mencionada en su política de privacidad.
Compartir información con terceros para procesarla o analizar el comportamiento de los usuarios es una práctica habitual en la industria tecnológica. Sin embargo, los expertos consultados coinciden en que cada empresa adicional que accede a esos datos representa un riesgo más: otra posible brecha de seguridad, otro punto donde podría llegar un pedido judicial.
Una vocera de Stardust explicó que la empresa utiliza RudderStack únicamente como una vía técnica para dirigir los datos hacia sus propios sistemas de análisis, y que la información compartida no permite identificar el nombre ni los datos de contacto de las usuarias. Según la vocera, RudderStack tiene prohibido contractualmente vender esos datos o usarlos con fines propios, y no los almacena de forma permanente.
Shoshana Wodinsky, analista de privacidad que realizó las pruebas para Mozilla, sostiene que como mínimo las usuarias merecen saber exactamente qué ocurre con su información.
El caso de Spot On, desarrollada por la organización de salud sexual Planned Parenthood, resultó más matizado. La aplicación en sí no comparte datos con terceros ni rastrea a sus usuarias, según Mozilla.
El problema aparece cuando se usan ciertas funciones —como el chatbot de inteligencia artificial Roo o el buscador de proveedores de salud— que redirigen a la usuaria al sitio web de Planned Parenthood, considerado menos seguro por los investigadores. Ese sitio comparte con una empresa de análisis llamada AB Tasty información sobre qué tipo de atención médica busca la persona, incluyendo si consulta por pruebas de VIH o atención de afirmación de género. Wodinsky consideró que ese problema técnico podría corregirse rápidamente.
¿Quién sabe que usás la aplicación?
Aunque la mayoría de las apps analizadas no comparte datos de salud propiamente dichos, muchas sí informan a plataformas publicitarias y de análisis —operadas por Google, Meta, Microsoft y TikTok— cuándo y cómo se usa la aplicación. Generalmente se trata de identificadores u otra información que permite reconocer al usuario para publicidad dirigida o para rastrearlo en otras partes de internet, algo a lo que en teoría se accede al aceptar los términos de uso.
Sara Geoghegan, directora del Programa de Privacidad del Consumidor en el Electronic Privacy Information Center, advierte que el solo hecho de revelar que alguien usa una app de salud reproductiva puede tener consecuencias, ya que le indicaría a las autoridades dónde buscar información sensible.
Period Calendar, por ejemplo, envía identificadores y datos del dispositivo a Google y a la empresa publicitaria InMobi, sin ninguna forma de desactivar esa práctica, según el informe. Stardust comparte datos similares con Facebook y con la firma de análisis publicitario AppsFlyer, aunque en este caso existe la opción de desactivarlo desde la configuración de privacidad del teléfono. Al acceder al sitio de Planned Parenthood a través de Spot On, se comparte información equivalente con Google, Microsoft, TikTok y Pinterest, sin posibilidad de bloquearlo.
Desde Stardust remarcaron que no comparten datos de salud con plataformas publicitarias, y que usan AppsFlyer y Meta únicamente para medir y optimizar sus campañas de marketing. Period Calendar no respondió a la consulta.
¿Dónde guarda tus datos la aplicación?
Euki fue la única app que Mozilla recomendó sin reservas. A diferencia de las demás, mantiene toda la información de salud almacenada exclusivamente en el dispositivo de la usuaria, sin enviarla nunca a servidores propios. Tampoco exige crear una cuenta, lo que permite un uso completamente anónimo, e incluye una función de “señuelo” que muestra información falsa e inofensiva si alguien más accede al teléfono. Para Geoghegan, Euki demuestra que existe una manera distinta —y mejor— de diseñar este tipo de tecnología.
Flo y Clue no llegaron a ese nivel de hermetismo, pero obtuvieron buenos resultados gracias a políticas transparentes y controles de privacidad detallados.
Según el informe, ninguna de las dos comparte información de salud con terceros bajo ninguna circunstancia, aunque sí notifican a sus socios publicitarios cuándo se usa la app —algo que puede desactivarse fácilmente—. El punto débil, señala Mozilla, es que ambas recopilan mucha más información de salud que otras aplicaciones y la guardan en sus propios servidores, lo que las expone a filtraciones o pedidos legales, algo que no ocurre con Euki.
Voceros de ambas empresas rechazan que esto implique una desventaja: sostienen que almacenar los datos en la nube es necesario para su funcionamiento y que cuentan con protecciones adecuadas. Flo señaló que su modo anónimo impide que la propia empresa vincule identidad y datos de salud de una misma persona, y afirmó no haber recibido nunca una citación judicial por datos de usuarias. Clue, por su parte, aseguró que jamás entregó información de salud privada a ninguna autoridad.
Los especialistas insisten en que evaluar la privacidad de una app requiere mirar más allá de sus políticas actuales. Flo llegó a un acuerdo con la Comisión Federal de Comercio de Estados Unidos en 2021 por compartir datos sensibles con Meta y Google pese a haber prometido mantenerlos privados. Aunque sus prácticas mejoraron después de ese escándalo, con el tiempo volvió a sumar socios publicitarios. La empresa sostiene que esas prácticas cuestionadas cesaron hace siete años y que nunca admitió haber actuado mal.
El sitio de Planned Parenthood también acumula críticas de privacidad desde hace años, y una investigación de 2022 encontró que listas de dispositivos que usaban Clue, Period Calendar y otras apps similares se vendían en línea. Además, Stardust había sugerido en su sitio que ofrecía cifrado de extremo a extremo —una protección particularmente fuerte— pero eliminó esas menciones después de que periodistas comenzaran a hacer preguntas al respecto.
Los riesgos de privacidad, además, tienen un costo que va más allá de lo legal: el miedo y la desconfianza pueden alejar a las personas de herramientas de salud que, en principio, están pensadas para ayudarlas.