O que procurar numa app de nutrição que respeita a privacidade

Eu faço uma app de registo alimentar, por isso lê isto com essa ressalva à cabeça. A lista abaixo serve para qualquer app de saúde, e tentei escrevê-la de forma a continuar útil se escolheres outra coisa que não a minha. Onde o GreaseFit responde mal a uma pergunta, digo-o. Um guia de compra em que o autor tem nota máxima não é um guia de compra.

Os diários alimentares revelam muito mais do que parece. Sabem a que horas comes, quanto comes, se bebes, se deixaste de registar durante três semanas em fevereiro. Junta-lhes o histórico de peso e tens um registo clínico com outro nome. Vale bem dez minutos de verificação.

Quem é que paga a app?

Esta é a primeira pergunta, porque é ela que te diz quem é o cliente. Se uma app é gratuita, não mostra publicidade e não vende nada, o dinheiro vem de algum lado, e esse algum lado costumas ser tu, de uma maneira com que nunca concordaste explicitamente.

Procura uma resposta clara: uma subscrição, uma compra única, um modelo de donativos, ou publicidade. A falta de clareza aqui é o sinal de alarme.

GreaseFit: a versão gratuita é a app inteira. A leitura de códigos de barras, os alimentos personalizados, as receitas que constróis à mão, os treinos, a água, o peso e todos os nutrientes que a app acompanha são gratuitos. Há uma versão paga chamada GreaseFit Supporter, semanal ou anual. Muda duas coisas: a quota de IA passa de cinco créditos por dia para vinte e cinco, e desbloqueia a leitura de receitas por IA, que lê uma página de receita e cria a receita e os alimentos dela por ti. Essa leitura é a chamada mais cara que a app faz, que é a razão honesta para não ser gratuita. Todas as contas novas têm trinta dias para a usar. Não há mais nada atrás do paywall. Quem paga o Supporter está a financiar a app para toda a gente.

A nota de rodapé honesta: é um modelo de negócio pequeno, e isso deve entrar nas tuas contas quando pensas em quanto tempo é que uma app independente vai durar. Há mais sobre quem a faz na página sobre o projeto.

Há algum SDK de publicidade dentro da app?

Isto não é a mesma pergunta que «esta app mostra-me anúncios». Um SDK de publicidade pode estar dentro de uma app a recolher identificadores sem nunca mostrar um único banner. O sinal está na etiqueta de privacidade da loja. Se ela referir publicidade, rastreio ou «dados associados a ti» para fins de marketing, o SDK está lá, seja qual for o aspeto da interface.

Pergunta em concreto se a app recolhe o teu ID de publicidade, o IDFA no iOS ou o equivalente no Android. É esse identificador que permite ligar um diário alimentar ao resto da tua vida online.

GreaseFit: sem anúncios e sem SDKs de publicidade, e a recolha do ID de publicidade está explicitamente desativada na configuração das analíticas. Não consegues verificar isso a partir de fora, e é precisamente por isso que o conselho geral acima vale mais do que a minha palavra.

Que dados analíticos são recolhidos, e consegues desligá-los?

Não haver anúncios não quer dizer não haver telemetria. Quase todas as apps medem alguma coisa. As perguntas úteis são o quê, porquê, e se existe mesmo uma forma de recusar dentro da própria app em vez de uma ligação para uma definição do sistema operativo.

GreaseFit: o Firebase Analytics e o Firebase Crashlytics estão os dois presentes. O Crashlytics diz-me quando alguma coisa se partiu e em que aparelho. O Analytics diz-me que ecrãs é que as pessoas usam mesmo, que é como um projeto de uma pessoa só decide o que fazer a seguir. A recolha do ID de publicidade está desligada. Há um interruptor no teu perfil para recusar, e funciona.

Podia dizer que não há analíticas nenhumas, e não seria verdade. A política de privacidade nota ainda que estes serviços podem tratar dados fora da UE ao abrigo das Cláusulas Contratuais-Tipo. Isso é uma ressalva a sério, não uma nota de rodapé para enterrar.

Consegues tirar de lá os teus dados?

A exportação é a diferença entre uma app de registo e um sequestro. Pergunta que formato te dão, se a fazes sozinho ou se implica um pedido por email, e quanto tempo demora esse pedido. Uma app confiante no que faz não dificulta a saída.

GreaseFit: hoje não existe um botão de exportação com um clique. Ao abrigo do RGPD podes pedir acesso aos teus dados por email para o suporte, e eu cumpro, mas uma exportação que faças sozinho é uma falha a sério. Prefiro dizê-lo do que deixar-te descobrir isso quando já estiveres de saída.

No sentido inverso é mais fácil: uma exportação do Lose It entra num único carregamento, como está descrito na página de alternativas ao Lose It. É o único importador que existe até agora.

Consegues mesmo apagar tudo?

Apagar devia querer dizer a conta e os dados que estão por trás dela, não esconder o ecrã de início de sessão. Pergunta se a eliminação está disponível dentro da app ou se exige um email, qual é o prazo, e o que fica guardado depois por razões legais ou de faturação.

GreaseFit: a eliminação da conta é suportada dentro da app. Também podes enviar um pedido de apagamento por email, e a política de privacidade compromete-se a agir sem demora injustificada e no prazo de 28 dias, prorrogável até dois meses para pedidos complexos ou repetidos. A eliminação é irreversível.

O que vale a pena copiar não é o prazo, é o facto de estar escrito na política e não num texto de blogue. Exige esse padrão a todas as apps, incluindo a esta.

Onde é que os dados vivem, e sob que lei?

O local de alojamento decide que lei se aplica e quem pode obrigar a dar acesso. Procura um país com nome e, de preferência, um fornecedor com nome. «Servidores seguros» não quer dizer nada. Vê também se os subcontratantes estão listados, porque os fornecedores de analíticas e de email fazem parte da resposta.

GreaseFit: a política de privacidade diz onde é. Servidores em Amesterdão, nos Países Baixos, na DigitalOcean. Sou um programador sozinho em Amesterdão, por isso o RGPD não é uma pose de conformidade adotada para efeitos de marketing. É a lei debaixo da qual vivo. A exceção, mais uma vez, é o Firebase, que pode tratar dados fora da UE.

Em trânsito está tudo cifrado segundo padrões modernos. As sessões usam tokens assinados e de curta duração, e as palavras-passe nunca são guardadas de forma legível. Os algoritmos e as bibliotecas específicos não são publicados, e isso é de propósito.

O que acontece no próprio dispositivo?

Vale a pena perguntar, e vale a pena desconfiar da resposta, porque «cifrado em repouso» é a expressão mais abusada do marketing de apps.

GreaseFit: no Android, as credenciais guardadas em cache local recebem uma camada extra de proteção dada pela plataforma. Isso é específico do Android. Não vou empolar isso numa afirmação genérica que cubra todos os dispositivos, porque do lado do iOS o equivalente ainda não está feito.

E já que estamos a ser diretos quanto a limitações: o GreaseFit exige uma conta e uma ligação à internet. Não há modo offline nem base de dados local, por isso o teu registo vive no servidor e não no telemóvel. Para algumas pessoas isso é um travão definitivo, e deve mesmo ser. O que a app faz e não faz está listado na página de funcionalidades.

O que acontece se a empresa for comprada?

As políticas de privacidade sobrevivem a aquisições mais ou menos como o gelo sobrevive a agosto. Quase todas as políticas têm uma cláusula que permite transferir os dados numa fusão ou venda. Lê-a, conta encontrar uma, e depois faz a pergunta mais útil: esta app tem algum ativo que valha a pena comprar e que seja feito dos teus dados?

Uma app financiada por publicidade e com muitos utilizadores tem. Uma app de subscrição sem negócio publicitário tem muito menos.

GreaseFit: é o projeto de uma pessoa, e não há aqui negócio de publicidade para vender. Mas ninguém pode prometer com honestidade seja o que for sobre daqui a uns anos, e deves desconfiar de quem o faça. A proteção prática é a mesma em todos os casos: podes apagar a conta.

A lista resumida

Faz estas oito perguntas a qualquer app de saúde:

1. Quem é que paga a app, e o que muda mesmo na versão paga?
2. A etiqueta de privacidade da loja fala em publicidade ou rastreio?
3. A app recolhe o teu ID de publicidade?
4. Que analíticas existem, e há mesmo forma de as recusar dentro da app?
5. Consegues exportar os teus dados sozinho, e em que formato?
6. Consegues apagar a conta, e o prazo está escrito em algum lado?
7. Que país aloja os dados, e que subcontratantes estão identificados?
8. O que diz a política sobre uma fusão ou uma venda?

Se uma app não conseguir responder a seis destas a partir do próprio site, a resposta é essa.

Há mais perguntas deste género nas perguntas frequentes. Se as respostas acima te servirem, criar uma conta é gratuito.