Passer au contenu
Simply Track

Confidentialité & confiance

Votre app de règles vend-elle vos données ?

En 2025, un jury californien a jugé Meta responsable dans une affaire de données liée à une app de suivi des règles, et des régulateurs ont documenté des cas réels de données de cycle parvenant à des annonceurs. Voici ce que montre le dossier public, ainsi qu’une liste de vérification à suivre avant d’installer quoi que ce soit.

Publié 27 juillet 2026

Graphique en forme de cadran de cycle portant la mention « Confidentialité des données », le titre « Vos données de cycle ne sont pas anonymes » et un cadran affichant « Attributs : 15 », le segment lutéal mis en évidence aux côtés des segments des règles, folliculaire et fertile.

L’app elle-même vend rarement une base de données. Le risque documenté, c’est ce qui tourne à l’intérieur : des kits d’analyse et de publicité tiers qui consignent les appuis sensibles sous forme de simples « événements d’app » et les transmettent automatiquement.

Le 1er août 2025, un jury californien a vu exactement ce mécanisme se dérouler devant un tribunal. L’app n’était pas la partie défenderesse qui a perdu. C’était Meta, et le jury l’a jugée responsable d’avoir obtenu des informations relatives aux règles et à la grossesse depuis l’intérieur du logiciel de quelqu’un d’autre.

Ce que montre réellement le dossier public

Le dossier public montre des mesures d’application nommées et spécifiques contre des apps individuelles, comme Flo Health, Premom et l’action collective Flo Health contre Meta, mais pas la preuve que les apps de règles, en tant que catégorie, vendent des données. En janvier 2021, la Federal Trade Commission (FTC) des États-Unis a annoncé un accord avec Flo Health, à la suite d’allégations selon lesquelles l’entreprise avait promis de garder privées les données de santé de ses utilisatrices, avant de les divulguer à la division analytique de Facebook, à la division analytique de Google, au service Fabric de Google, à AppsFlyer et à Flurry. La FTC a précisé que ces divulgations prenaient la forme d’« événements d’app » et incluaient le fait qu’une utilisatrice soit enceinte. L’ordonnance, devenue définitive en juin 2021, exige un consentement explicite avant tout partage de données de santé, ainsi qu’un audit de confidentialité indépendant. Une plainte de la FTC est émise selon la norme du « motif raisonnable de croire ».

Dans l’action collective associée, Frasco v. Flo Health, Inc., devant le tribunal fédéral du Northern District of California, un jury a jugé Meta responsable, au titre du California Invasion of Privacy Act, d’avoir intercepté ou enregistré les communications des utilisatrices avec l’app via son kit de développement logiciel (SDK). Le juge James Donato a rejeté les requêtes après procès de Meta le 15 septembre 2025. Google, Flurry et Flo Health ont préféré un accord à un verdict, acceptant de payer ensemble 59.5 millions de dollars sans reconnaître de faute.

En mai 2023, la FTC et le Department of Justice ont déposé une plainte et un projet d’ordonnance contre Easy Healthcare, l’éditeur de l’app d’ovulation Premom. Le tribunal fédéral a homologué cette ordonnance le 26 juin 2023. Elle fixe une sanction civile de 100,000 dollars pour violation de la Health Breach Notification Rule et interdit définitivement à l’entreprise de partager des données de santé à des fins publicitaires. La FTC a allégué que les données étaient transmises à AppsFlyer, à Google, ainsi qu’aux entreprises d’analyse Umeng et Jiguang.

En 2019, Privacy International a mené une analyse du trafic de six apps de règles et a constaté que Maya et MIA Fem envoyaient des informations à Facebook via le SDK Facebook, y compris l’usage de moyens de contraception et les entrées d’humeur, que l’utilisatrice ait ou non un compte Facebook. Quatre des six ont ensuite modifié leurs pratiques ou ouvert des enquêtes internes.

Vient ensuite le contrepoids. En février 2024, l’Information Commissioner’s Office (ICO), l’autorité britannique de protection des données, a publié le bilan de son étude sur les apps de règles et de fertilité, affirmant clairement qu’« aucun problème de conformité grave ni aucune preuve de préjudice n’ont été identifiés », tout en appelant les développeurs à améliorer la transparence, le consentement et la responsabilité. Les deux affirmations sont vraies. Des manquements documentés existent, et ils sont précis et déjà anciens, non généralisés.

Comment les données de cycle parviennent à un réseau publicitaire

Presque rien de tout cela ne vient d’une entreprise qui décide de vendre une base de données. Cela vient d’un kit de développement logiciel (SDK), du code tiers que le développeur intègre pour l’analyse, le signalement des plantages ou l’attribution des installations. Il est livré à l’intérieur de l’app et s’exécute avec ses autorisations.

Le terme employé par la FTC pour désigner ce qui est envoyé est « événements d’app ». Un événement peut être un lancement, l’affichage d’un écran ou un appui. Quand l’appui est « noter mes règles » ou « essayer de concevoir », l’événement lui-même constitue la divulgation de santé, même si aucun dossier médical ne circule jamais.

Le verdict Frasco est allé plus loin. La responsabilité ne s’est pas arrêtée à l’app, elle a atteint l’entreprise qui exploite le kit.

Ce que le label Confidentialité de l’app vous dit, et ce qu’il ne vous dit pas

Un label Confidentialité de l’app indique ce qu’une app et ses partenaires tiers déclarent collecter, mais il s’agit d’une auto-déclaration, non d’un audit indépendant. Apple exige que chaque app déclare ses pratiques en matière de données, et le résultat apparaît dans la section Confidentialité de l’app de la fiche produit. Sa consigne aux développeurs est explicite : « Vous devez identifier toutes les données que vous ou vos partenaires tiers collectez », ce qui englobe les outils d’analyse, les réseaux publicitaires et les SDK.

Le lire prend environ trente secondes. Ouvrez la fiche de l’App Store, faites défiler jusqu’à Confidentialité de l’app, puis appuyez sur Voir les détails. Trois rubriques comptent, par ordre décroissant de gravité : Données utilisées pour vous suivre, Données liées à vous, Données non liées à vous. Pour une app de suivi de cycle, la catégorie Santé et forme sous la première rubrique est le signal le plus fort qui existe avant l’installation.

Voici maintenant les limites. Le label repose sur une auto-déclaration, non un audit. Apple indique aux développeurs : « vous êtes responsable de la précision et de l’actualisation de vos réponses », ce qui relève d’une obligation plutôt que d’une vérification, et certaines exceptions permettent à des collectes facultatives de rester non déclarées. Un label sans reproche est bon signe, pas une garantie.

La Transparence du suivi des applications est le second garde-fou, appliqué par le système d’exploitation lui-même. Depuis iOS 14.5, les apps doivent demander votre autorisation avant de suivre votre activité sur les apps et sites web d’autres entreprises, et l’option « Demander à l’app de ne pas suivre » bloque l’accès à l’identifiant publicitaire. Ce qu’elle ne couvre pas, c’est ce qu’une app envoie à ses propres serveurs, ni ce que ces serveurs en font ensuite.

Pourquoi « anonymisé » est un mot faible pour les données de cycle

Les entreprises affirment rarement partager votre nom. Elles affirment que les données sont anonymisées, et c’est une affirmation technique à vérifier, pas un réconfort. Une étude publiée dans Nature Communications en 2019 par Rocher, Hendrickx et de Montjoye a estimé que 99.98 pour cent des Américains pourraient être correctement réidentifiés dans n’importe quel jeu de données à partir de quinze attributs démographiques. Les technologues de la FTC l’ont dit sans détour en 2024 : des données ne sont anonymes que si elles ne peuvent jamais être rattachées à une personne, et le hachage d’un identifiant n’y parvient pas. Ce billet cite la plainte visant Premom, où l’entreprise avait affirmé ne partager que des « données non identifiables ».

Les données de cycle posent aussi un problème qui leur est propre. Un journal de règles est une longue série temporelle rattachée à un seul appareil, et les longues séries temporelles se comportent comme des empreintes digitales. Ce qui a de la valeur, ce n’est de toute façon pas votre identité, c’est votre état. Enceinte, en essai, pas en essai. L’ICO est clair : une information de santé déduite constitue une catégorie particulière de données au sens du UK GDPR, et une entrée de fenêtre de fertilité permet précisément cette déduction. Retirer le nom ne retire pas la déduction. Les prédictions sont des estimations, jamais une méthode de contraception, mais la précision n’est pas le sujet ici. Juste ou fausse, la déduction elle-même reste une donnée sensible une fois qu’elle a quitté l’appareil.

Une liste de vérification avant d’installer quoi que ce soit

Sept vérifications, à effectuer avant toute installation, portent sur le compte, le stockage, le modèle économique, le label de confidentialité, la suppression, les autorisations et le bouton de suivi.

  1. Exige-t-elle un compte ? Cela crée une copie sur le serveur de quelqu’un d’autre.
  2. Où les données sont-elles stockées, et est-ce indiqué clairement ?
  3. Comment gagne-t-elle de l’argent ? Une app gratuite, sans pub et sans abonnement, mérite qu’on s’interroge.
  4. Lisez le label Confidentialité de l’app, en commençant par Données utilisées pour vous suivre.
  5. Vérifiez ce que fait la suppression, et si elle atteint une éventuelle copie sur serveur.
  6. N’accordez que les autorisations dont vous avez réellement besoin.
  7. Désactivez Autoriser les applications à demander à suivre, dans Réglages, Confidentialité et sécurité, Suivi.

La version courte

Aucun régulateur n’a établi que les apps de règles vendent des données en tant que catégorie, et l’ICO n’a trouvé aucune preuve de préjudice dans son étude au Royaume-Uni. Ce qui a été documenté, à plusieurs reprises et nommément, c’est que des informations sensibles parviennent à des entreprises de publicité et d’analyse par le biais de code tiers intégré. Ce risque existe partout où il y a un serveur et le SDK de quelqu’un d’autre.

La position de Simply Track est assez simple pour être vérifiée. Il n’y a pas de compte, donc aucune copie côté serveur à pirater ou à réclamer par voie judiciaire. Les données restent sur l’appareil, avec synchronisation facultative vers votre iCloud privé, verrouillage Face ID facultatif et intégration facultative à Apple Santé. Pas de pub, aucune donnée vendue. Le suivi, le calendrier et chaque guide sur les premières règles sont gratuits. L’onglet Journal, les Statistiques et le rapport PDF médecin sont réservés à Premium, qui finance l’app.

Sources

Questions fréquentes

Les apps de suivi des règles vendent-elles vos données ?

Aucun régulateur n’a établi que les apps de règles vendent des données en tant que catégorie, et l’ICO britannique n’a signalé aucun problème de conformité grave dans son étude de 2024 sur les apps de règles et de fertilité. Ce qui a été documenté, à plusieurs reprises et nommément, ce sont des apps précises, comme Flo Health et Premom, partageant des données sensibles avec des entreprises de publicité et d’analyse par le biais de code tiers.

Si les apps ne vendent pas les données directement, comment les données menstruelles parviennent-elles aux annonceurs ?

Par des kits de développement logiciel (SDK), du code tiers intégré pour l’analyse, le signalement des plantages ou l’attribution des installations. Ceux-ci consignent des « événements d’app », et un appui comme « noter mes règles » devient en lui-même une divulgation de santé. Dans le contentieux Flo Health, un jury a jugé Meta responsable pour avoir obtenu des données via son SDK, et non par une quelconque vente de données.

Les données de cycle « anonymisées » sont-elles vraiment privées ?

Pas de manière fiable. Une étude publiée dans Nature Communications a montré que 99.98 pour cent des Américains pourraient être correctement réidentifiés à partir de seulement quinze attributs démographiques, et les technologues de la FTC affirment que le hachage d’un identifiant ne rend pas les données anonymes. Un journal de règles est aussi une longue série temporelle rattachée à un seul appareil, qui se comporte comme une empreinte digitale même sans nom associé.

Pas un avis médical

Informations générales, pas un avis médical. Si quelque chose dans votre cycle vous inquiète, parlez-en à un médecin.

Simply Track

Suivez votre propre cycle

Simply Track enregistre vos règles sur votre iPhone et votre Apple Watch, et ses prévisions s’affinent à mesure que vous consignez. Vos données restent dans votre propre compte iCloud.

Télécharger dansl’App Store

À lire ensuite

Tous les articles