ABD'de faaliyet gösteren adet takip uygulaması Stardust, internet sitesinde kullanıcılarına “Verileriniz özeldir. Nokta.” mesajını veriyor. Ancak Mozilla Foundation'ın adet takip uygulamalarının gizlilik pratiklerini inceleyen yeni araştırmasına göre, bu iddia bazı kullanıcılar için fazlasıyla iyimser bir tablo çiziyor. Araştırma kapsamında Stardust'ın kullanıcıların hassas sağlık bilgilerini üçüncü taraf analitik şirketi RudderStack ile paylaştığı ortaya çıktı.
Paylaşılan veriler arasında kullanıcının doğum tarihi, kullandığı doğum kontrol yöntemi, üreme hedefleri ve yaşadığı belirli semptomlar yer alıyordu. Mozilla Foundation'ın bulgularına göre bu kayıt, kişinin adı yerine benzersiz bir tanımlayıcıyla eşleştiriliyordu. ABD Federal Ticaret Komisyonu'nun (FTC) uzun süredir uyardığı gibi, isim yerine bir tanımlayıcı kullanılması veriyi anonim hale getirmiyor ve kaydın yeniden bir kişiyle ilişkilendirilmesini engellemiyor.
Araştırma, verilerini üçüncü taraflarla paylaşan adet takip ve benzeri sağlık uygulamalarının taşıdığı güvenlik ve gizlilik risklerini bir kez daha gündeme getiriyor. Bu tür paylaşımlar çoğu zaman uygulamanın arka plan faaliyeti olarak gerçekleşiyor ve kullanıcı tarafından görülmüyor.
Altı uygulama test edildi, veri paylaşan tek uygulama Stardust oldu
Uygulamaların verileri depolama, analitik ve ödeme gibi amaçlarla başka servislerle paylaşması yaygın bir uygulama. Ancak kullanıcı bilgilerinin üçüncü taraflara aktarılması beraberinde riskler getiriyor: olası güvenlik açıkları, veri ihlalleri ve verilerin kolluk kuvvetleri tarafından talep edilmesi bu riskler arasında sayılıyor.
Mozilla Foundation güvenlik araştırmacısı Shoshana Wodinsky, Stardust dahil birden fazla adet takip uygulamasının ağ trafiğini analiz ederek bu uygulamaların verileri nasıl topladığını ve üçüncü taraflarla paylaşıp paylaşmadığını inceledi. Wodinsky'nin bulgusu, test edilen altı uygulama arasında kullanıcının hassas sağlık verilerini başka bir şirketle paylaşan tek uygulamanın Stardust olduğunu gösterdi.
Stardust'ın uçtan uca şifreleme iddiası
Stardust daha önce uygulamasının uçtan uca şifreli olduğunu, yani şirketin bile kullanıcı verilerine erişemediğini öne sürmüştü. TechCrunch, uygulamanın ağ trafiğini inceleyerek şirketin bu iddiasının doğru olmadığını tespit etti. TechCrunch, Stardust hakkında ilk olarak 2022'de, ABD'de kürtaj hakkının anayasal güvence altında olmasının sona ermesinin ardından uygulamanın indirilme sayısında yaşanan artışın ardından yazmıştı.
Stardust'tan yanıt: RudderStack için “sözleşmeyle yasak”
BBC News'a konuşan bir Stardust sözcüsü, RudderStack'in söz konusu verileri satmasının veya kendi amaçları için kullanmasının sözleşmeyle yasaklandığını belirtti. Stardust ve RudderStack'in ABD merkezli şirketler olması nedeniyle, her iki şirket de sunucularında saklanan kullanıcı sağlık bilgileri için kolluk kuvvetlerinden gelebilecek talepleri karşılamak durumunda kalabiliyor.
Stardust'ın kurucusu Rachel Moranis, TechCrunch'ın yorum talebine ve şirketin kullanıcı verilerine yönelik talepler alıp almadığına ilişkin sorulara yanıt vermedi. Yayının ardından e-posta yoluyla açıklama yapan bir sözcü, şirketin “yetkililerden veya üçüncü taraflardan kullanıcı verilerine ilişkin hiçbir talep, istek veya hukuki süreç almadığını” ifade etti.
Mozilla'nın öne çıkardığı uygulama: Euki
Wodinsky'nin incelediği altı uygulama arasında Mozilla Foundation, Euki'yi “tertemiz” olarak nitelendirdi. Uygulamanın temel işlevlerinde herhangi bir üçüncü tarafla veri paylaşmadığı gözlemlenirken, kullanıcının sağlık verilerinin cihazından çıkmadığı belirtildi.
Sıkça Sorulan Sorular
Mozilla Foundation araştırması Stardust hakkında ne ortaya koydu?
Araştırma, Stardust'ın kullanıcıların hassas sağlık bilgilerini üçüncü taraf analitik şirketi RudderStack ile paylaştığını tespit etti. Bulgular, adet takip uygulamalarının gizlilik pratiklerine ilişkin inceleme kapsamında yayımlandı.
Stardust hangi verileri üçüncü tarafla paylaştı?
Paylaşılan veriler kullanıcının doğum tarihi, doğum kontrol yöntemi, üreme hedefleri ve yaşadığı belirli semptomları içeriyordu. Bu kayıt, kişinin adı yerine benzersiz bir tanımlayıcıyla eşleştiriliyordu.
Stardust'ın uçtan uca şifreleme iddiası doğru muydu?
Stardust, uygulamasının uçtan uca şifreli olduğunu ve şirketin bile kullanıcı verilerine erişemediğini öne sürmüştü. TechCrunch, uygulamanın ağ trafiğini inceleyerek şirketin bu iddiasının doğru olmadığını tespit etti.
Mozilla Foundation hangi adet takip uygulamasını önerdi?
Test edilen altı uygulama arasında Mozilla Foundation, Euki'yi “tertemiz” olarak nitelendirdi. Uygulamanın temel işlevlerinde üçüncü taraflarla veri paylaşmadığı ve kullanıcının sağlık verilerinin cihazından çıkmadığı belirtildi.
Stardust, kullanıcı verilerine yönelik talepler konusunda ne açıkladı?
Stardust'ın kurucusu Rachel Moranis, TechCrunch'ın yorum talebine ve şirketin kullanıcı verilerine yönelik talepler alıp almadığına ilişkin sorulara yanıt vermedi. Yayının ardından bir sözcü, şirketin yetkililerden veya üçüncü taraflardan kullanıcı verilerine ilişkin hiçbir talep, istek veya hukuki süreç almadığını söyledi.
