Это личное! Как femtech-приложения защищают наши данные

Привет! Я Ангелина работаю аналитиком и с недавнего времени пишу тексты для FemTech Force . Это моя первая статья на Хабре, которая затронет одну из важных тем в сфере фемтех — безопасность данных. 

Правда ли, что женские данные нужно хранить надёжнее, чем мужские? Что будет, если этого не делать? Какие фемтех-приложения уделяют особое внимание вопросам обеспечения безопасности? И почему компания Flo Health скоро предстанет перед судом присяжных? Обо всём этом расскажу в своем личном исследовании. 

Неважно, новичок вы в этой области, просто интересующийся или активная пользовательница фемтех-продуктов — добро пожаловать под кат!

Кстати, рассказывать буду не только я. Специально для статьи взяла комментарий у Кати Меркуловой — основательницы крупнейшего российского трекера цикла Clatch. Так что забегайте за инсайдерской информацией.

Кратко о термине

Существует распространенный миф, будто фемтех — это «феминисткий тех». Но на самом деле такое представление далеко от истины, и все гораздо интереснее.
Фемтех (femtech) — это продукты и технологии в сфере женского здоровья.

Этот термин в 2016 году предложила Ида Тин — основательница трекера менструального цикла Clue.

Кстати, а вы знали, что некоторые состояния проявляются у женщин иначе, чем у мужчин  (например, сердечно-сосудистые и онкологические заболевания) или случаются чаще (например, аутоиммунные и ментальные заболевания)? Фемтех возник как попытка преодолеть gender health data gap — недостаток данных и исследований женского здоровья

Самые известные примеры фемтех-продуктов — трекеры менструального цикла, хотя ассортимент гораздо шире: носимые устройства, мобильные приложения, потребительские товары (например, тренажеры для мышц тазового дна или молокоотсосы), лекарственные препараты, диагностические тесты и т.д.

Конечными пользователями фемтех-продуктов являются женщины, но разработчиками могут быть как мужчины, так и женщины.

Если вас интересует емкость и потенциал российского фемтех-рынка, можно посмотреть отчет за 2024 год, подготовленный Femtech Force и инвестиционной компанией Kama Flow

Особенности данных в фемтех-приложениях

Существует большое количество мобильных фемтех-приложений, решающих разные задачи: трекинг менструации или беременности, менеджмент симптомов, спортивные тренировки и питание для женщин в зависимости от цикла, счетчик схваток. Для простоты анализа мы будем приводить в примеры только трекеры цикла, однако обозначенные нами вопросы касаются всех типов фемтех-приложений

Давайте рассмотрим типы данных, с которыми работают фемтех-приложения.

Категории данных в фемтех-приложениях:

• Персональные данные о здоровье: сведения о репродуктивном здоровье, включая выкидыши и аборты, психическом состоянии,  сексуальных предпочтениях и взаимодействиях.

• Агрегированные анонимизированные данные: информация для научных исследований в области женского здоровья.
  Пример таких данных: статистика по продолжительности менструальных циклов среди определенной возрастной группы.

• Данные об учетной записи и использовании приложения — это, в принципе, общая категория для всех приложений.

Обратимся к законодательству. Например, в РФ персональные данные о здоровье относятся к специальной категории персональных данных (Федеральный закон от 27 июля 2006 года №152-ФЗ «О персональных данных»). Обработка данных специальной категории требует письменного согласия пользователя за исключением случаев, предусмотренных законодательством. Это согласие пользовательницы дают при регистрации в приложении.

Закон не предусматривает отдельной категории данных о женском здоровье, а ведь степень чувствительности таких данных может отличаться в зависимости от культурных, религиозных и правовых факторов.

Фемтех-приложения собирают не только персональные данные специальной категории в юридическом, но и интимные данные в культурном смысле. А в случае изменения законодательства в отдельных странах (например, введения запретов на аборты), доступ к данным со стороны третьих лиц может привести к уголовному преследованию или принудительному вмешательству.

Раскрытие данных о женском здоровье может сильно повлиять на психическое состояние женщины и на ее безопасность

В разных странах разное отношение к абортам: от полного запрета до разрешения при определенных условиях. Также стоит учитывать, что правовой ландшафт может меняться.

Например, можно вспомнить про отмену решения по делу Roe против Wade в США в 2022 году, которое ранее закрепляло право женщин на аборт. После отмены многие штаты ввели строгие ограничения, либо полный запрет на проведение абортов.
Таким образом, процедура прерывания беременности превратилась в нарушение закона, а правоохранительные органы штатов получили потенциальную возможность запрашивать данные и проводить расследования для выявлений случаев нарушения законодательства.

В законодательстве есть указания о необходимости применения мер защиты персональных данных специальной категории (например шифрование), но некоторые компании решают повысить уровень защиты для хранения и обработки такой информации.

Поэтому в следующих разделах предлагаю рассмотреть приложения, разработчики которых открыто признают проблему и прилагают дополнительные усилия для обеспечения безопасности данных.

Подчеркну, что в исключительных случаях, когда информация в приложении подтверждает факт нарушения закона, компания будет обязана раскрыть эту информацию соответствующим органам.

На что стоит обратить внимание при установке фемтех — приложения

Перед тем как перейти к приложениям, я решила выделить критерии, которые могут помочь нам, — пользовательницам, выбрать безопасное приложение (если вы подскажете, чем можно дополнить этот список, буду только рада).

Приступим:

1. Политика конфиденциальности, которая написана доступным языком и отвечает на вопросы «какие данные, куда передаются и зачем».

   Как здесь (Clue):

   

   Или здесь (Clue X Oura Ring):

   

2. Возможность выбрать, какие данные обрабатывать, а какие нет.
   Иногда согласие на обработку данных доступно в явном виде, а иногда интегрировано в политику конфиденциальности.
   Но удобней, когда пользовательница может видеть и изменять выбранные для обработки категории данных в самом приложении через кнопки меню на отдельном экране.

   Как здесь (Clue):

   

   Переход по ссылке дает еще более подробное описание как это работает и как хранятся данные пользовательниц. Мне очень понравилась эта функциональность.

3. Возможность удалить данные и получить копию собранных данных.
   Удалить или запросить копию собранных данных можно через кнопки меню или запрос в техподдержку, если это предусмотрено компанией-разработчиком.

   Как здесь (Natural Cycles):

   

   Или здесь (Flo Health):

   

   Кстати, информацию о возможности удаления аккаунта/ данных обычно можно посмотреть в разделе «Безопасность данных» в магазине приложений.

4. Позиция компании относительно защиты чувствительных данных. Заявляет ли компания открыто о понимании особенностей данных, с которыми она работает и о мерах, предпринимаемых для защиты этой информации? Если да, это хорошо.

   Как здесь (Flo Health):

   

   Или здесь (Natural Cycles):

   

5. Разумное количество разрешений для работы приложения. Иногда приложение запрашивает столько доступов, что невольно появляются сомнения в их целесообразности. Стоит задуматься, зачем приложению доступ к камере и контактам, если все, что может делать пользовательница, — отмечать дни в календаре.

6. Способ монетизации продукта.
   Если вы скачали бесплатное приложение, возможно, разработчики монетизируют свой продукт с помощью таргетированной рекламы.
   Некоторым пользователям это совершенно не мешает (шоколадки-то иногда и правда хочется), однако важно осознавать, что в этом случае данные передаются третьей стороне.
   Опять-таки в политике конфиденциальности можно посмотреть кому именно (если это указано).

   Ну и стоит не забывать, что политики конфиденциальности периодически обновляются и ваша осведомленность об этих изменениях позволит осознанно решить стоит ли продолжать использовать приложение или лучше от него отказаться в пользу другого.

Тенденции на западном рынке

Перемены, увы, часто начинают происходить только после огласки резонансных случаев. Но пользователи благодаря этому в итоге становятся более осведомленными о своих правах и возможностях.

Например, в 2019 году компания Flo Health была обвинена Федеральной торговой комиссией США (FTC) в передаче данных пользователей без их согласия третьим лицам, включая Facebook и Google. Эти данные включали информацию о менструальном цикле, планируемой беременности и других аспектах репродуктивного здоровья. В 2021 году Flo урегулировала конфликт и прошла аудит, хотя отдельные коллективные иски продолжаются до сих пор.

На сайте компании теперь висит плашка о мировом соглашении с FTC, по которому компания обязуется не передавать информацию без согласия пользователей. 

Кстати, компания добавила возможность перейти в анонимный режим как раз после отмены дела Roe против Wade. Более того, их функция «Анонимный режим» стала стандартом фемтех-рынка и получила несколько наград: Лучшее изобретение 2023 года по версии журнала TIME, стала финалистом премии Fast Company 2023 World Changing Ideas Awards, а также получила премию IAPP Privacy Innovation Award 2022

Но суды пока не закончились и в июле 2025 Flo предстанет в США перед судом присяжных по обвинению в ненадлежащем обращении с конфиденциальными данными о здоровье пользователей в период с 2017 по 2019 год

Как защищают данные популярные приложения на Западе?

Ну что ж, перейдем непосредственно к приложениям.

Я отобрала их не по количеству установок или рейтингу, а по информации о применении мер защиты персональных данных из политик конфиденциальности.

Таблица составлена не с целью сравнения функционала приложений, а для того, чтобы показать какие меры предпринимают компании для защиты данных в фемтех-приложениях, и какие есть возможности у пользователей при работе со своими данными.

Да, до сих пор можно встретить непрозрачные формулировки в юридических документах или столкнуться со сложностями внутри приложения при поиске той или иной функции (иногда приходилось гуглить как удалить данные), но все же хочу отметить положительную тенденцию в отношении безопасности данных в фемтех-приложениях, хотя бы в плане публичного заявления об усилиях в этом направлении.

Порадовало, что компании задумываются о пользователях из разных стран и возрастных групп, включая специальные разделы в своей политике конфиденциальности для зарубежных пользователей и несовершеннолетних.

Запутанных формулировок становится меньше, а у пользователей становится больше возможностей управлять своими данными. 

Если интересно, можете посмотреть исследование политик конфиденциальности фемтех-приложений по ссылке.

Тенденции на российском рынке

Недавно мы провели опрос среди читателей Femtech Force, чтобы выяснить насколько серьезно они относятся к защите своих данных.

Результаты показали, что только 26% задумываются о безопасности, а самыми популярными мерами для защиты данных стало использование пароля и ограничений доступа к данным. С другой стороны, не так уж и мало.

Чтобы лучше понять ситуацию на российском рынке, я взяла комментарий у Кати Меркуловой — основательницы трекера цикла Clatch. Мы порассуждали о том, насколько оправданы вложения компаний в защиту данных с точки зрения реальной безопасности. Или это только маркетинговый ход.

Катя Меркулова: «Инвестиции в безопасность данных сочетают в себе оба аспекта: это и необходимость, и маркетинговый инструмент. В сфере, связанной с чувствительными данными (циклы, репродуктивное здоровье, сексуальная активность), утечки могут привести к крайне печальным последствиям не только для пользователей, но и для продукта, ведь потеря подобных данных, скорее всего, просто убьет продукт».

Основательница Clatch уверена, что пользователи приложения по умолчанию заинтересованы в безопасности своих данных, поэтому команда разработки продукта использует все доступные технические средства (шифрование, анонимизацию и др.) и соблюдает рамки нормативного регулирования. 

Предлагаю рассмотреть для примера несколько российских фемтех-приложений:

Мне, как пользовательнице фемтех-приложений, было непросто понять отдельные формулировки. Возникало чувство неуверенности и тревоги от того, что самостоятельно нужно разбираться в сложных вопросах и ощущение, что некоторые приложения изначально находятся не на моей стороне. Мне важно ощущать возможность прозрачного и открытого общения между пользователем и приложением.

Не хватало деталей, примеров и инструкций что делать в той или иной ситуации.

Дополнительных возможностей для работы с данными внутри самих приложений я не увидела. Зато заметила на сайте Clatch информационную панель о безопасности данных. Значит, двигаемся в правильном направлении.

Буду искренне рада, если ситуация изменится в сторону большего удобства и прозрачности для российских пользовательниц.

Чек-лист для повышения уверенности пользователей

Если подытожить, я бы зафиксировала пожелания для компаний-разработчиков, реализация которых, как мне кажется, повысит уверенность девушек, задумывающихся о безопасности данных в приложении:

Создание более прозрачной и понятной политики конфиденциальности. Примеры и разъяснения приветствуются.

• Возможность выбора обрабатываемых данных (если это возможно). Пусть пользовательницы имеют право голоса и отмечают категории данных, которыми они хотят делиться.

• Осознание чувствительности информации, с которой работает приложение и ведение открытого диалога с пользователями по поводу предпринимаемых мер по защите данных (расскажите открыто как и почему вы обеспечиваете безопасность данных. Естественно то, о чем можно рассказать).

• Следование принципу минимизации данных, при котором собираются только те данные, которые нужны для корректной работы приложения.

• Хорошо продуманный пользовательский путь для управления настройками конфиденциальности. Это прямо крик души.

Ну а мы, — пользовательницы фемтех-приложений, если хотим реальных изменений, должны проявить любопытство и начать задавать вопросы. Мы имеем право знать, что происходит с нашими данными.