Куда на самом деле уходят данные из приложений о здоровье

Ваши показатели лежат в одном из двух мест: только в телефоне или на сервере того, кто написал приложение. Ни дневнику давления, ни трекеру сна второе не нужно ничем. Год измерений — это несколько килобайт, а вся арифметика — среднее, поэтому приложение, требующее аккаунт, сделало выбор, а не столкнулось с ограничением. Оба магазина заставляют разработчика заявить, что именно из этого, и заявление лежит на странице приложения.

Такие формы мы заполняем и для собственного приложения о здоровье, так что дальше идёт описание бумаг, которые мы отправляли, а не догадки о них.

Почему «нужен аккаунт» — это и есть подсказка

Спросите, для чего здесь сервер. Есть честные ответы: синхронизация между устройствами, общий доступ для врача, резервная копия, которую можно восстановить после потери телефона. Каждое — настоящая возможность, и каждая необязательна.

Хранение честным ответом не является. Телефон справляется со списками чисел без посторонней помощи пятнадцать лет. Поэтому, когда трекер требует аккаунт прежде, чем записать хоть одно измерение, аккаунт нужен для чего-то другого — и обычно это учётная запись, которая переживёт ваш интерес к приложению.

Как читать заявления

Google Play — «Безопасность данных». Карточка на странице приложения, выше отзывов. Читать по порядку три вещи:

• Собираются против передаются. «Собираются» означает, что данные покидают устройство и уходят разработчику; «передаются» — что они идут дальше, третьей стороне. Серьёзное — второе.
• Появляется ли вообще «Здоровье и фитнес». Это отдельная категория, поэтому спрятать её внутри более расплывчатого заголовка нельзя.
• Строка «Данные нельзя удалить». Если данные собираются, а пути запросить удаление нет, к такому сочетанию стоит отнестись серьёзно.

App Store — «Конфиденциальность приложения». Та же мысль в трёх корзинах:

• Данные для отслеживания вас — самый сильный сигнал на странице. У приложения о здоровье здесь должно быть пусто.
• Данные, связанные с вами — собираются и привязаны к вашей личности.
• Данные, не связанные с вами — собираются, но к вам не привязаны. Отчёты о сбоях и сводные счётчики использования обычно живут здесь, и это законно.

И то и другое — самодекларации, которые проверяют выборочно, а не досмотром. Это всё же чего-то стоит: ложная декларация — нарушение правил с реальными последствиями. Но читайте их как заявление, которое кто-то подписал, а не как факт, который кто-то проверил. Проверка режимом полёта — та половина, которую вы можете сделать сами.

Смотреть надо не на длину списка. Смотреть надо на то, есть ли в нём важная для вас категория и написано ли где-нибудь передаются вместо собираются.

Закон о врачебной тайне, скорее всего, здесь ни при чём

Это обычно удивляет, поэтому скажем прямо. Правила, написанные для медицинских записей, — HIPAA в США и его аналоги в других странах — охватывают медицинские организации и компании, обрабатывающие данные по их поручению. Приложение, которое вы нашли в магазине и установили сами, они не охватывают.

Вместо них действуют общее законодательство о персональных данных и правила самого магазина. И то и другое заметно слабее того медицинского режима, под которым люди себя считают. На практике это значит, что защита у вас идёт от того, как приложение сделано, а не от свода законов, вне которого оно находится.

Синхронизация с «Здоровьем» или Fit — это другое

Словом «синхронизация» называют два никак не связанных поведения.

Запись в Apple Health или Google Fit кладёт данные в хранилище на вашем собственном устройстве, откуда их могут прочитать другие приложения, если вы разрешите. Разработчик не видит из этого ничего. Это хорошая разновидность, и она полезна: именно она позволяет измерению встать рядом со всем остальным, что знает ваш телефон.

Синхронизация с облаком компании отправляет данные на её серверы. Это совершенно законно, если вы просили резервную копию. И означает совсем другое.

Когда на странице написано «синхронизируется», но не написано куда, это и есть вопрос, на который стоит ответить, прежде чем что-то вводить.

Что делаем мы

Blood Pressure Diary держит показатели на устройстве. Входа нет, создавать нечего, и всё приложение целиком работает с телефоном в режиме полёта. Последнее — та версия обещания, которую вы можете проверить сами за минуту.

Его декларация «Безопасность данных» — та самая, что в вопросе выше: история покупок, журналы сбоев, взаимодействия с приложением и идентификатор устройства, всё собирается, ничего не передаётся, аккаунт не создаётся, путь запросить удаление есть. Данные категории «Здоровье и фитнес» не заявлены, потому что не собираются. Это весь список, и лежит он на странице в Play, а не только в этом абзаце.

Somnia отправлять нечего: пятнадцать звуковых петель едут внутри загрузки, а микс — это локальная настройка.

Ни одно из них ничего не передаёт третьим сторонам, и между нашими приложениями ничего не связывается. Общего идентификатора, по которому это можно было бы связать, просто не существует. Более широкое утверждение о том, что мы будем и чего не будем заявлять, — на странице «О нас».

Если вы собираете измерения к приёму, дневник давления, которым врач сможет воспользоваться разбирает, что записывать и как это подать, а как собрать звуковой фон, который заглушает шум делает то же для Somnia. Остальное, что мы делаем для отслеживания показателей и сна, — на странице «Здоровье и сон».