Dónde acaban de verdad los datos de tu app de salud

Tus mediciones están en uno de dos sitios: solo en tu móvil, o en un servidor de quien escribió la app. Nada en un registro de tensión o de sueño necesita lo segundo. Un año de mediciones son unos pocos kilobytes y la aritmética es una media, así que una app que insiste en una cuenta ha tomado una decisión en lugar de encontrarse con una limitación. Las dos tiendas obligan a los desarrolladores a declarar cuál de las dos es, y la declaración está en la ficha.

Nosotros rellenamos esos formularios para una app de salud propia, así que lo que sigue describe papeles que hemos presentado, no una suposición sobre ellos.

Por qué «necesita una cuenta» es la señal

Pregunta para qué está el servidor. Hay respuestas honestas: sincronizar entre dispositivos, una vista compartida para el profesional, una copia de seguridad que puedas restaurar tras perder el móvil. Cada una es una función real, y cada una es opcional.

Guardar no es una respuesta honesta. Un teléfono lleva quince años guardando listas de números sin ayuda. Así que cuando un registro exige una cuenta antes de anotar una sola medición, la cuenta está ahí para otra cosa, y esa otra cosa suele ser un expediente de usuario que sobrevive a tu interés por la app.

Cómo leer las declaraciones

Google Play — Seguridad de los datos. Una tarjeta en la ficha, encima de las reseñas. Tres cosas que leer, en orden:

• Datos recogidos frente a datos compartidos. Recogidos significa que salen del dispositivo hacia el desarrollador; compartidos significa que van más allá, a un tercero. Lo serio es lo segundo.
• Si aparece siquiera Salud y forma física. Es una categoría propia, así que no se puede esconder dentro de un encabezado más vago.
• «Los datos no se pueden eliminar» como línea declarada. Si se recogen datos y no hay ninguna vía para pedir su borrado, esa combinación merece tomarse en serio.

App Store — Privacidad de la app. La misma idea en tres cubos:

• Datos usados para rastrearte: la señal más fuerte de la página. En una app de salud esto debería estar vacío.
• Datos vinculados contigo: recogidos y atados a tu identidad.
• Datos no vinculados contigo: recogidos pero no atados a ti. Los informes de fallos y los recuentos de uso agregados suelen vivir aquí, legítimamente.

Las dos son autodeclaraciones, comprobadas por auditoría de muestreo y no por inspección. Eso cuenta para algo, porque una declaración falsa es un incumplimiento de política con consecuencias reales. Pero léelas como algo que alguien firmó, no como un hecho que alguien verificó. La prueba del modo avión es la mitad que puedes comprobar tú.

Lo que hay que mirar no es la longitud de la lista. Es si aparece en ella la categoría que te importa, y si algo pone compartido en lugar de recogido.

La ley de privacidad médica probablemente no aplica

Esto sorprende, así que merece decirse sin rodeos. Las normas escritas para historiales médicos, la HIPAA en Estados Unidos y sus equivalentes en otros países, cubren a proveedores sanitarios y a las empresas que tratan datos por cuenta de ellos. No cubren una app que encontraste en una tienda e instalaste tú.

Lo que aplica en su lugar es la ley general de protección de datos y las políticas de la propia tienda. Ambas son bastante más débiles que el régimen médico bajo el que la gente se cree. En la práctica, eso significa que tu protección viene de cómo se construyó la app, no de un cuerpo legal fuera del cual está.

Sincronizar con Salud o con Fit es otra cosa

«Sincronizar» se usa para dos comportamientos sin relación.

Escribir en Salud de Apple o en Google Fit mete los datos en un almacén de tu propio dispositivo que otras apps pueden leer una vez lo permites. El desarrollador no ve nada de eso. Es el tipo bueno, y merece la pena, porque es lo que hace que una medición aparezca junto a todo lo demás que sabe tu móvil.

Sincronizar con la nube de una empresa lo envía a sus servidores. Es perfectamente legítimo si pediste una copia de seguridad. Y significa algo completamente distinto.

Cuando una ficha dice «sincroniza» sin decir con qué, esa es la pregunta que hay que responder antes de escribir nada.

Lo que hacemos nosotros

Blood Pressure Diary guarda las mediciones en el dispositivo. No hay inicio de sesión ni nada que crear, y la app entera funciona con el móvil en modo avión. Esa última parte es la versión de la promesa que puedes comprobar tú en un minuto.

Su declaración de seguridad de los datos es la de la pregunta de arriba: historial de compras, registros de fallos, interacciones con la app y un identificador de dispositivo, todo recogido y nada compartido, sin creación de cuenta y con una vía para pedir el borrado. Los datos de Salud y forma física no están declarados, porque no se recoge ninguno. Esa es la lista entera, y está en la ficha de Play y no solo en este párrafo.

Somnia no tiene nada que enviar: los quince bucles de audio viajan dentro de la descarga y una mezcla es un ajuste local.

Ninguna de las dos comparte nada con terceros, y nada se cruza entre nuestras apps. No existe un identificador compartido con el que cruzarlo. La declaración más amplia de lo que vamos a afirmar y lo que no está en la página Quiénes somos.

Si estás reuniendo mediciones para una consulta, un registro de tensión que tu médico pueda usar cubre qué anotar y cómo presentarlo, y cómo mezclar sonidos que enmascaren el ruido hace lo mismo con Somnia. El resto de lo que hacemos para seguimiento y sueño está en la página de Salud y sueño.