Dönem takip uygulaması Stardust, web sitesinde kullanıcılarına oldukça net bir vaatte bulunuyor: "Verileriniz gizlidir. Nokta." Mozilla Foundation'ın dönem takip uygulamalarının gizlilik uygulamalarını inceleyen yeni araştırmasına göre ise bazı kullanıcılar bu iddiayı bir hayli zorlama bulabilir. Araştırma, Stardust'ın kullanıcıların hassas sağlık bilgilerini üçüncü taraf analiz şirketi RudderStack ile paylaştığını ortaya koydu.
Paylaşılan veriler arasında kullanıcının doğum tarihi, kullandığı doğum kontrolü türü, üreme hedefleri ve o sırada yaşadığı özgül semptomlar yer alıyordu. Bu kayıt, kişinin adı yerine benzersiz bir tanımlayıcıyla eşleştiriliyordu. Federal Ticaret Komisyonu (FTC) uzun süredir bu tür bir uygulamanın veriyi anonim hale getirmediği ve verinin kişiye geri bağlanmasını engellemediği konusunda uyarıda bulunuyor. Mozilla Foundation'ın araştırması, verilerini üçüncü taraflarla paylaşan dönem takip uygulamaları ve diğer sağlık uygulamaları etrafındaki güvenlik ve gizlilik risklerinin altını çiziyor.
Mozilla Foundation altı uygulamayı inceledi
Veri paylaşımı çoğu zaman uygulamanın içinde arka planda gerçekleşiyor ve kullanıcı tarafından görülemiyor. Uygulamaların verileri depolama, analiz ve ödeme hizmetleri için başka servislerle paylaşması sıra dışı bir durum değil. Ancak kullanıcı bilgilerinin üçüncü taraflara aktarılması, doğası gereği potansiyel güvenlik açıkları, veri ihlalleri ya da verinin kolluk kuvvetleri tarafından talep edilmesi gibi riskleri beraberinde getiriyor.
Mozilla Foundation'ın güvenlik araştırmacısı Shoshana Wodinsky, Stardust dahil birden fazla dönem takip uygulamasının ağ trafiğini inceleyerek uygulamaların verileri üçüncü taraflarla nasıl topladığını ve paylaşıp paylaşmadığını anlamaya çalıştı. Wodinsky, test edilen altı uygulama arasında kullanıcının hassas sağlık verilerini başka bir şirketle paylaşan tek uygulamanın Stardust olduğunu tespit etti.
Şifreleme iddiası ve 2022'deki ağ trafiği bulgusu
TechCrunch, Stardust hakkında ilk kez 2022'de, Amerika Birleşik Devletleri'nde kürtaj hakkının anayasal güvencesinin ortadan kalkmasının ardından uygulamanın indirilme sayısında yaşanan artış sonrasında yazmıştı. O dönemde Stardust, uçtan uca şifreleme kullandığını, yani şirketin bile kullanıcı verilerine erişemediğini öne sürüyordu. TechCrunch, uygulamanın ağ trafiğini inceleyerek şirketin bu iddiasının doğru olmadığını ortaya koymuştu. Wodinsky'nin yeni araştırmasında kullandığı yöntem de benzer bir yaklaşıma dayanıyor: uygulamaların ağ trafiğini analiz ederek veri toplama ve paylaşma pratiklerini tespit etmek.
Mozilla Foundation'ın bulguları, dönem takip uygulamalarını kullanan kişilerin sağlık verilerinin nereye gittiğini çoğu zaman bilmediğini ve bu sürecin kullanıcı arayüzünde görünür olmadığını gösteriyor. Araştırma, söz konusu veri akışının kullanıcının rızasına veya farkındalığına dayanmadığı durumlarda gizlilik açısından ciddi bir sorun oluşturduğunu vurguluyor.
Stardust'ın yanıtı ve hukuki belirsizlikler
BBC News'un aktardığına göre bir Stardust sözcüsü, RudderStack'in "veriyi satmasının veya kendi amaçları için kullanmasının sözleşmeyle yasaklandığını" belirtti. Ancak hem Stardust hem de RudderStack Amerika Birleşik Devletleri merkezli şirketler olduğu için, sunucularında saklanan kullanıcı sağlık bilgileri için kolluk kuvvetlerinden bilgi talebi almaları hâlâ mümkün. Bu durum, verinin yalnızca reklam veya analiz amacıyla paylaşılmış olmasının ötesinde, hukuki süreçlerde kullanılma riskini de gündeme getiriyor.
Stardust'ın kurucusu Rachel Moranis, TechCrunch'ın perşembe günü yönelttiği yorum talebine ve şirketin kullanıcı verileri için herhangi bir talep alıp almadığına ilişkin sorulara yanıt vermedi. Bir sözcü ise yayından sonra e-posta yoluyla yaptığı açıklamada, şirketin "yetkililerden veya üçüncü taraflardan kullanıcı verilerine ilişkin hiçbir talep, istem ya da hukuki süreç almadığını" ifade etti.
Mozilla Foundation'ın önerisi: Euki
Wodinsky'nin test ettiği altı uygulama arasında Mozilla Foundation, Euki'yi "tertemiz" olarak nitelendirerek önerdi. Araştırmaya göre Euki, temel işlevlerinde üçüncü taraflarla herhangi bir veri paylaşımında bulunmuyor ve kullanıcının sağlık verileri cihazından dışarı çıkmıyor.
Haber, Stardust'ın yorumuyla güncellendi ve metin boyunca kurumun adı Mozilla Foundation olarak düzeltildi.
Sıkça Sorulan Sorular
Stardust hangi verileri paylaşıyor?
Mozilla Foundation'ın araştırmasına göre Stardust, kullanıcının doğum tarihini, doğum kontrolü türünü, üreme hedeflerini ve yaşadığı özgül semptomları üçüncü taraf analiz şirketi RudderStack ile paylaşıyordu. Bu kayıt, kişinin adı yerine benzersiz bir tanımlayıcıyla eşleştiriliyordu.
Verinin benzersiz bir tanımlayıcıyla eşleştirilmesi onu anonim yapar mı?
Hayır. Kaynakta aktarıldığı üzere FTC uzun süredir, isim yerine benzersiz bir tanımlayıcı kullanılmasının veriyi anonim hale getirmediği ve verinin kişiye geri bağlanmasını engellemediği konusunda uyarıyor.
Stardust uçtan uca şifreleme kullandığı iddiasını doğrulayabildi mi?
Hayır. Stardust, uçtan uca şifreleme kullandığını ve şirketin bile kullanıcı verilerine erişemediğini öne sürmüştü. TechCrunch, uygulamanın ağ trafiğini inceleyerek şirketin bu iddiasının doğru olmadığını tespit etmişti.
RudderStack veriyi satabilir mi?
BBC News'un aktardığına göre bir Stardust sözcüsü, RudderStack'in veriyi satmasının veya kendi amaçları için kullanmasının sözleşmeyle yasaklandığını söyledi. Bununla birlikte her iki şirket de ABD merkezli olduğu için kolluk kuvvetlerinden kullanıcı bilgilerine ilişkin talep alabilir.
Mozilla Foundation hangi uygulamayı öneriyor?
Wodinsky'nin test ettiği altı uygulama arasında Mozilla Foundation, Euki'yi "tertemiz" olarak nitelendirerek önerdi. Kaynağa göre Euki, temel işlevlerinde üçüncü taraflarla veri paylaşmıyor ve kullanıcının sağlık verileri cihazından dışarı çıkmıyor.
