O aplicativo de monitoramento de ciclo Stardust compartilha dados de saúde de usuárias com empresa de análise, diz pesquisa da Mozilla

“Seus dados são privados. Ponto final”, diz o aplicativo de rastreamento de ciclo menstrual Stardust em seu site. Conforme descoberto por uma nova pesquisa da Mozilla, alguns usuários podem achar essa afirmação um pouco exagerada.

De acordo com as descobertas mais recentes da Mozilla que examinam as práticas de privacidade de aplicativos de rastreamento de ciclo menstrual, constatou-se que o Stardust compartilhava informações de saúde confidenciais dos usuários com a empresa terceirizada de análise de dados RudderStack. Esses dados incluíam a data de nascimento do usuário, o tipo de anticoncepcional, os objetivos reprodutivos e os sintomas específicos que o usuário estava sentindo, e vinculavam esse registro a um identificador exclusivo em vez do nome da pessoa. (A FTC já havia alertado há muito tempo que isso não torna os dados anônimos nem impede que eles sejam vinculados novamente a uma pessoa).

A pesquisa da Mozilla ressalta os riscos de segurança e privacidade associados ao uso de rastreadores de ciclo menstrual e outros aplicativos de saúde que compartilham dados com terceiros. Muitas vezes, isso acontece como atividade em segundo plano no aplicativo e não fica visível para o usuário. Não é incomum que aplicativos compartilhem dados com outros serviços para armazenamento, análise e pagamentos, mas o compartilhamento de informações dos usuários com terceiros traz riscos inerentes, como potenciais falhas de segurança, vazamentos de dados ou a solicitação de dados por autoridades policiais.

O TechCrunch escreveu anteriormente sobre o Stardust em 2022, após o aplicativo disparar em downloads com a revogação do direito constitucional de realizar um aborto nos Estados Unidos. O Stardust afirmava que era criptografado de ponta a ponta — o que significa que nem mesmo a empresa conseguiria acessar os dados de seus usuários —, mas, ao analisar o tráfego de rede do aplicativo, o TechCrunch descobriu que a afirmação da empresa era falsa.

A pesquisadora de segurança da Mozilla, Shoshana Wodinsky, usou uma técnica semelhante de análise do tráfego de rede de vários rastreadores de ciclo menstrual, incluindo o Stardust, para entender como os aplicativos coletavam e compartilhavam dados (se é que o faziam) com terceiros. Wodinsky descobriu que o Stardust foi o único aplicativo entre os seis testados que compartilhou os dados confidenciais de saúde do usuário com outra empresa.

Conforme citado pela BBC News, um porta-voz do Stardust afirmou que a RudderStack é “proibida por contrato de vender ou usar os dados para seus próprios fins”. Sendo empresas com sede nos EUA, tanto o Stardust quanto a RudderStack ainda podem receber intimações de autoridades policiais para fornecer informações de saúde dos usuários armazenadas em seus servidores.

A fundadora do Stardust, Rachel Moranis, não respondeu ao pedido de comentário do TechCrunch na quinta-feira, nem às perguntas sobre se a empresa recebeu solicitações de dados de seus usuários. Um porta-voz confirmou o recebimento de um e-mail, mas não forneceu comentários.

Dos seis aplicativos testados por Wodinsky, a Mozilla recomendou o Euki como “totalmente seguro”, já que o aplicativo não apresentou compartilhamento de dados com terceiros em seus recursos principais, e os dados de saúde do usuário não saíam de seus dispositivos.