Où vont vraiment les données de votre application de santé

Vos mesures sont à l’un de deux endroits : uniquement sur votre téléphone, ou sur un serveur appartenant à celui qui a écrit l’application. Rien, dans un carnet de tension ou de sommeil, n’exige la seconde option. Une année de mesures pèse quelques kilo-octets et l’arithmétique se résume à une moyenne : une application qui insiste sur un compte a donc fait un choix plutôt qu’elle n’a rencontré une contrainte. Les deux boutiques obligent les développeurs à déclarer laquelle des deux, et la déclaration figure sur la fiche.

Nous remplissons ces formulaires pour une application de santé qui est la nôtre : ce qui suit décrit donc des dossiers que nous avons déposés, et non une supposition à leur sujet.

Pourquoi « il faut un compte » est le signe

Demandez à quoi sert le serveur. Il existe des réponses honnêtes : la synchronisation entre appareils, une vue partagée pour un soignant, une sauvegarde restaurable après la perte d’un téléphone. Chacune est une vraie fonctionnalité, et chacune est facultative.

Le stockage n’est pas une réponse honnête. Un téléphone tient des listes de nombres sans aide depuis quinze ans. Donc quand un carnet exige un compte avant d’enregistrer la moindre mesure, le compte est là pour autre chose — et cette autre chose est en général un dossier utilisateur qui survivra à votre intérêt pour l’application.

Comment lire les déclarations

Google Play — Sécurité des données. Une carte sur la fiche, au-dessus des avis. Trois choses à lire, dans cet ordre :

• Données collectées contre données partagées. Collectées signifie qu’elles quittent l’appareil vers le développeur ; partagées signifie qu’elles vont plus loin, vers un tiers. C’est la seconde qui est grave.
• Si « santé et forme » apparaît, tout simplement. C’est une catégorie distincte : elle ne peut donc pas se cacher sous un intitulé plus vague.
• « Les données ne peuvent pas être supprimées » en tant que ligne déclarée. Si des données sont collectées et qu’aucune voie n’existe pour en demander la suppression, cette combinaison mérite d’être prise au sérieux.

App Store — Confidentialité de l’app. La même idée en trois paniers :

• Données utilisées pour vous suivre — le signal le plus fort de la page. Pour une application de santé, cela devrait être vide.
• Données liées à vous — collectées et rattachées à votre identité.
• Données non liées à vous — collectées mais non rattachées à vous. Les rapports de plantage et les compteurs d’usage agrégés y vivent en général, à juste titre.

Les deux sont des déclarations sur l’honneur, contrôlées par audit par sondage et non par inspection. Cela compte tout de même, car une déclaration fausse est une infraction aux règles avec de vraies conséquences. Mais lisez-les comme une affirmation que quelqu’un a signée, pas comme un fait que quelqu’un a vérifié. Le test du mode avion est la moitié que vous pouvez vérifier vous-même.

Ce qu’il faut regarder, ce n’est pas la longueur de la liste. C’est si la catégorie qui vous importe y figure, et si quelque part il est écrit partagé plutôt que collecté.

Le droit du secret médical ne s’applique probablement pas

Cela surprend, alors disons-le clairement. Les règles écrites pour les dossiers médicaux — HIPAA aux États-Unis et ses équivalents ailleurs — couvrent les professionnels de santé et les entreprises qui traitent des données pour leur compte. Elles ne couvrent pas une application que vous avez trouvée dans une boutique et installée vous-même.

Ce qui s’applique à la place, c’est le droit général de la protection des données et les règles de la boutique. Les deux sont sensiblement plus faibles que le régime médical sous lequel la plupart des gens se croient. En pratique, cela signifie que votre protection vient de la façon dont l’application a été construite, et non d’un corpus juridique hors duquel elle se trouve.

Synchroniser avec Santé ou Fit est autre chose

« Synchroniser » sert à désigner deux comportements sans rapport.

Écrire dans Apple Santé ou Google Fit place les données dans un espace de votre propre appareil, que d’autres applications peuvent lire une fois que vous l’autorisez. Le développeur n’en voit rien. C’est la bonne sorte, et elle vaut la peine, car c’est ce qui permet à une mesure d’apparaître à côté de tout ce que votre téléphone sait déjà.

Synchroniser avec le nuage d’une entreprise envoie les données sur ses serveurs. C’est parfaitement légitime si vous avez demandé une sauvegarde. Et cela signifie tout autre chose.

Quand une fiche dit « synchronise » sans dire vers quoi, c’est la question à résoudre avant de saisir quoi que ce soit.

Ce que nous faisons

Blood Pressure Diary garde les mesures sur l’appareil. Il n’y a pas de connexion ni rien à créer, et toute l’application fonctionne avec le téléphone en mode avion. Cette dernière partie est la version de la promesse que vous pouvez vérifier vous-même en une minute.

Sa déclaration de sécurité des données est celle de la question ci-dessus : historique d’achats, journaux de plantage, interactions avec l’application et un identifiant d’appareil, le tout collecté et rien partagé, sans création de compte et avec une voie pour demander la suppression. Les données de santé et forme ne sont pas déclarées, parce qu’aucune n’est collectée. C’est la liste entière, et elle est sur la fiche Play et pas seulement dans ce paragraphe.

Somnia n’a rien à envoyer : les quinze boucles audio voyagent dans le téléchargement, et un mélange est un réglage local.

Aucune des deux ne partage quoi que ce soit avec un tiers, et rien n’est recoupé d’une de nos applications à l’autre. Il n’existe aucun identifiant commun permettant ce recoupement. L’énoncé plus large de ce que nous affirmerons et n’affirmerons pas est sur la page À propos.

Si vous rassemblez des mesures pour une consultation, un relevé de tension que votre médecin peut vraiment utiliser couvre quoi noter et comment le présenter, et comment mélanger des sons qui masquent le bruit fait de même pour Somnia. Le reste de ce que nous faisons pour le suivi et le sommeil est sur la page Santé et sommeil.