Seu app de hábitos é privado mesmo? O que checar antes de registrar a sua vida

Pense no que um ano de registros diz sobre alguém. “Sem álcool” com a sequência quebrada toda sexta. Um check diário de remédio. Horário de dormir. Uma nota de humor que despenca todo fevereiro. “Cigarros: 4.” Nada disso parece grave isoladamente, mas junto vira um prontuário. E, em muitos apps, esse prontuário fica num servidor que você nunca viu, ao lado do seu e-mail.

Este guia é sobre descobrir para onde esse prontuário vai. Ele não cita nem avalia nenhum app de hábitos. Mostra o que já deu errado em apps de saúde e bem-estar em geral, o que o rótulo de privacidade da App Store diz (e o que não diz) e como pesar um app que sincroniza na nuvem contra um que guarda tudo no celular.

Por que registros de hábitos contam como dados de saúde

A lei europeia já trata boa parte disso como caso especial. No GDPR (o regulamento europeu de proteção de dados), dados relativos à saúde e dados sobre a vida sexual ou a orientação sexual de uma pessoa são categorias especiais de dados pessoais (GDPR, Art. 9): tratá-los é proibido, salvo numa lista curta de exceções, sendo a mais comum o consentimento explícito da pessoa para uma finalidade específica. Um hábito chamado “tomar antidepressivo” não é contagem de passos. Se um registro específico conta juridicamente como dado de saúde depende do contexto, mas quem escreveu essas regras tinha exatamente esse tipo de informação em mente.

Nos Estados Unidos o cenário é mais fragmentado. Em abril de 2024, a Federal Trade Commission atualizou a sua Health Breach Notification Rule (FTC, 2024) para deixar claro que ela vale para apps de saúde e tecnologias parecidas que a HIPAA não cobre. E passou a tratar como “violação de segurança” também a divulgação não autorizada de informações de saúde identificáveis, não só um ataque hacker.

O que já deu errado com apps de saúde

Os casos abaixo envolvem apps de menstruação, de receitas e de terapia, não apps de hábitos. Eles importam aqui porque o mecanismo é o mesmo que qualquer app pode usar: um kit de software de uma empresa de análise ou de anúncios, embutido no app, relatando em silêncio o que você faz.

• Flo Health (2021). Segundo a FTC, o app de ciclo menstrual e ovulação, usado por mais de 100 milhões de pessoas, prometia manter os dados de saúde em sigilo e depois os compartilhou, inclusive a informação de que a usuária estava grávida, com as divisões de análise do Facebook e do Google e com outras empresas de marketing e análise, por meio de “app events”. O acordo obrigou a Flo a pedir consentimento antes de compartilhar dados de saúde e a mandar os destinatários destruírem o que tinham recebido (FTC, 2021).
• GoodRx (2023). Primeiro caso da FTC com base na Health Breach Notification Rule. A acusação: o serviço de descontos em remédios compartilhou os medicamentos e as condições de saúde dos usuários com Facebook, Google, Criteo e outros, e em 2019 enviou ao Facebook os contatos de quem tinha comprado remédios para coração e pressão, para mirar anúncios nessas pessoas. A GoodRx aceitou pagar uma multa civil de US$ 1,5 milhão (FTC, fevereiro de 2023).
• BetterHelp (2023). O serviço de terapia online teria repassado e-mails, endereços IP e respostas a um questionário de saúde (com perguntas sobre depressão, pensamentos suicidas e medicação) a Facebook, Snapchat, Criteo e Pinterest para fins de publicidade. Aceitou pagar US$ 7,8 milhões para reembolsos parciais (FTC, março de 2023).

Pesquisadores encontram o mesmo padrão quando testam os apps por conta própria. Grundy e colegas (2019) rodaram em laboratório 24 apps Android bem avaliados ligados a medicamentos, alimentaram os apps com dados fictícios e observaram o tráfego de rede.

Esses destinatários ainda anunciavam que podiam repassar dados a outras 216 empresas, os chamados “fourth parties”. O resumo dos autores: o compartilhamento de dados é “rotineiro, mas nada transparente”. Quando a equipe *Privacy Not Included, da Mozilla, analisou 32 apps de saúde mental e de oração em 2022, 28 receberam o selo de alerta de privacidade e 25 não atingiram os padrões mínimos de segurança (Mozilla Foundation, 2022). Um ano depois, quase um terço tinha melhorado, 40% tinham piorado e 59% dos apps analisados receberam o alerta (Mozilla Foundation, 2023).

Checklist de um app de hábitos privado: sete coisas para conferir

Dá para fazer tudo pela página da App Store e pela política de privacidade, antes de instalar qualquer coisa.

1. Exige conta? Uma conta liga seus registros a um e-mail e, em geral, significa que existe uma cópia nos servidores da empresa. Fazer login pode valer a pena pela sincronização, mas um app que não deixa você começar sem conta já está coletando algo desde o primeiro minuto.
2. Onde os dados ficam? Procure uma frase clara na política: só no aparelho, nos servidores da empresa ou sincronizados pelo seu próprio iCloud. Se ficam nos servidores deles, veja se dizem “criptografia de ponta a ponta” (eles não conseguem ler) ou só “criptografados”, o que pode significar que a chave está com eles.
3. Quais terceiros estão no app? Busque na política por “análise”, “analytics”, “publicidade”, “parceiros” e “SDK”. Cada SDK de análise ou de anúncio é mais uma empresa com código rodando dentro do app, exatamente a rota descrita na acusação contra a Flo.
4. O que diz o rótulo de privacidade? Em app que encosta em saúde, leia primeiro “Dados Usados para Rastrear Você”. Qualquer coisa de saúde, fitness ou informação sensível em “Dados Vinculados a Você” significa que sai do celular ligada à sua identidade. Mais sobre o rótulo abaixo.
5. Quais permissões ele pede? Um app de hábitos precisa de notificações para os lembretes. Localização, contatos ou seus dados do app Saúde deveriam vir com um motivo que faça sentido para você.
6. Dá para exportar tudo? Uma exportação legível (CSV ou JSON) deixa você ir embora sem perder anos de histórico. Sem exportação, na prática o app é dono do seu registro.
7. Dá para apagar tudo? Apagar o app só limpa o celular. Se existe conta, procure “excluir conta” dentro do app e uma frase dizendo que as cópias no servidor e nos backups são removidas. Na União Europeia, o GDPR ainda garante o direito ao apagamento.

Mais uma cláusula para passar o olho: a de fusões e aquisições. Ela diz se os seus registros iriam para o comprador caso a empresa fosse vendida.

Como ler o rótulo de privacidade da App Store (e onde ele falha)

Na página de um app na App Store, a seção “Privacidade do App” organiza os dados em até quatro títulos. O resumo da Apple (Apple, rótulos de privacidade) define mais ou menos assim:

• Dados Usados para Rastrear Você: combinados com dados de apps, sites ou fontes offline de outras empresas para anúncios direcionados, ou compartilhados com um corretor de dados.
• Dados Vinculados a Você: coletados de um jeito ligado à sua identidade, pela sua conta, pelo seu aparelho ou por dados como seu número de telefone.
• Dados Não Vinculados a Você: coletados, mas sem identificadores e sem ligação de volta a você.
• Dados Não Coletados: o desenvolvedor afirma que o app não coleta dado nenhum.

As definições são mais rígidas do que parecem. A Apple explica aos desenvolvedores que “coletar” é enviar dados para fora do aparelho e guardá-los por mais tempo do que o necessário para atender ao pedido, que dados processados só no aparelho não contam e que o rótulo precisa incluir o que os SDKs de terceiros coletam (Apple, detalhes de privacidade). Ou seja, um app com SDKs de anúncio não pode afirmar com honestidade “Dados Não Coletados”.

O problema está no “com honestidade”. A Apple diz com todas as letras que as informações são declaradas pelo próprio desenvolvedor. Quando Koch e colegas (2022) capturaram o tráfego de rede de 1.687 apps da App Store alemã, pelo menos 276 enviavam dados que o rótulo não declarava, o que sugere que a precisão do rótulo não é verificada na revisão dos apps. Trate o rótulo como uma declaração assinada pelo desenvolvedor. Rótulo cheio de rastreamento é sinal vermelho confiável; rótulo limpo é bom sinal, mas precisa da política para confirmar.

No aparelho ou na nuvem: o que você ganha e o que perde

A sincronização na nuvem resolve problemas reais. O histórico vai com você para um celular novo ou um tablet, sobrevive a um celular que caiu na piscina e você nunca precisa pensar em backup. O custo é uma segunda cópia, legível pela empresa se não houver criptografia de ponta a ponta, que pode vazar, ser compartilhada por uma política que muda depois ou ser vendida junto com a empresa.

Guardar os dados só no celular elimina essa cópia, e com ela a maior parte dos caminhos que deram errado nos casos acima. Mas a responsabilidade passa para você, e vale ser direto sobre isso:

• Se você perder ou quebrar o celular sem backup, o histórico acabou. Ninguém consegue recuperar para você.
• Apagar o app normalmente apaga os dados junto.
• Não existe sincronização automática entre o celular e outro aparelho.
• O backup é por sua conta: o backup do próprio celular ou uma exportação manual que você lembre de fazer.

Vale saber também o que é o backup do seu celular. No iPhone, os dados locais de um app normalmente entram no backup do iCloud ou do computador. Com a “proteção de dados padrão” da Apple, que vem ativada de fábrica, o Backup do iCloud é criptografado, mas as chaves ficam nos data centers da Apple; só com a Proteção Avançada de Dados ativada ele passa a ter criptografia de ponta a ponta (Apple, segurança de dados do iCloud). É uma decisão de confiança diferente de um servidor de app, já que você já depende da Apple para o próprio celular, mas não é “ninguém nunca vai ver”.

Uma regra prática: quanto mais sensíveis os hábitos, mais faz sentido guardar no aparelho e manter uma exportação regular num lugar que você controla. Se você registra água e leitura, a comodidade da sincronização pode ganhar. Se registra bebida, remédios ou humor, provavelmente não deveria.

O que este checklist não consegue dizer

Ler o rótulo e a política mostra o que a empresa afirma. Só uma análise de tráfego como a de Grundy ou a de Koch mostra o que o app realmente envia, e pouca gente vai fazer isso em casa. As pesquisas também têm lacunas. O estudo de Grundy cobriu 24 apps Android de uma única categoria, testados em laboratório com usuários fictícios. As análises da Mozilla tratam de apps de saúde mental e oração, não de apps de hábitos, e dependem em parte de como as empresas responderam às perguntas. Os casos da FTC são acusações encerradas por acordo: mostram o que pode acontecer, não com que frequência acontece.

As políticas também mudam. Um app limpo hoje pode ganhar um SDK na atualização do mês que vem, e o rótulo só muda quando o desenvolvedor atualiza. Revisar uma vez por ano, ou quando um app de repente pede para você criar uma conta, já é um bom hábito.

Privacidade é um dos motivos para escolher um app. Se registrar hábitos ajuda de fato é outra pergunta, respondida em registrar hábitos funciona?, e o jeito como o app trata um dia perdido também pesa: veja o que um dia perdido faz com a sequência.