Rumore di Fondo E18S03 – Lines App: quando il ciclo diventa un dato. E il dato diventa mercato.
🗓️ Novembre (霜月) il mese della brina)
🎬 Il bunker atomico (2025)

#privacy #periodtracking #sicurezza

//.intro
“Rumore di Fondo“ è una pubblicazione altamente aperiodica, indipendente e senza alcuno scopo di lucro

//.signorina37
digital strategist, retrogamer, programmatrice COBOL, diabetica, cucino e parlo giapponese, ho scritto libri, ho visto cose, frequento gente discutibile

E18S03:

• Lines App: quando il ciclo diventa un dato. E il dato diventa mercato.

• 10 domande da farsi prima di installare una period-app

Lines App: quando il ciclo diventa un dato. E il dato diventa mercato.

C’è un paradosso affascinante – e anche un po’ inquietante – nel nostro tempo: più una cosa è intima, più finisce dentro un’app. Abbiamo iniziato con l’agenda, poi i passi, il battito cardiaco, gli spostamenti, il sonno, i pasti, il mood, il cane, il gatto, la lista della spesa sincronizzata con la zia. E nel grande Pentium del tracciamento è finito anche il ciclo mestruale.

Lines, brand storico di assorbenti, ha lanciato la sua app in Italia: un mix di calendario, consigli, concorsi, contenuti “educational”, community rosa pastello e una mascotte chiamata Cherry, una goccia di sangue kawaii che sembra uscita da un vecchio episodio di Sailor Moon. Non è il mio stile, ma io appartengo alla generazione dei floppy disk: forse non capisco l’appeal delle icone carine appese a un tema serissimo – e no, Clippy non si tocca =D

Ma torniamo al punto: voglio collegare questa app al tema più ampio del tracciamento dei dati personali da parte delle app.
Perché il ciclo non è solo fisiologia. È identità, salute riproduttiva, fertilità, vita sessuale, vulnerabilità. È potere informativo.

E nel 2025, il potere finisce sempre nelle mani di chi raccoglie dati.

Come funzionano le app del ciclo (e cosa chiedono davvero)

Le app del ciclo funzionano più o meno tutte allo stesso modo.
Lines compresa.

Ti chiedono:

• una email valida (se usate alias, non usate “lines.xyz”, meglio “robarosa.xyz”)

• nome e cognome

• altezza, peso, età

• fuso orario e zona geografica

• accesso al calendario

• accesso ai contatti ICE

• accesso ai dati sanitari (Apple Health & co.)

• informazioni su ciclo, ovulazione, flusso, sintomi, umore, rapporto sessuale, uso di contraccettivi

• eventuale gravidanza o sospetta tale

• preferenze, abitudini, contenuti consultati

• partecipazione a concorsi e quiz

Insomma: ti mappano come un personaggio di Mass Effect, solo che qui non puoi scegliere di rifiutare il potere dei Reapers.

E poi c’è lo studio “Privacy Not Included” di Mozilla Foundation (Mozilla Foundation – Privacy Not Included): su 25 app per il ciclo, 18 non rispettano gli standard minimi di privacy – ne ho scritto sulla prima edizione di RdF, il 19 settembre 2022.

Diciotto su venticinque.
Un fallimento collettivo.

“È sul mio telefono. Chi vuoi che lo veda?”

Domanda legittima.
Risposta semplice: lo vedono.
Eccome se lo vedono!

Non i tuoi amici, a meno che tu non voglia condividere screenshot creativi delle tue sindromi premestruali, ma chi sviluppa la app e soprattutto le terze parti commerciali con cui condividono i dati.

E nei Paesi sbagliati, questi dati sono letteralmente un’arma.

Dopo il ribaltone della Corte Suprema USA (Roe v. Wade annullata), i dati mestruali sono diventati materiali potenzialmente utilizzabili in indagini. Una donna con ciclo irregolare e ricerche su farmacie, cliniche o pillola del giorno dopo può diventare “sospetta”.
Il rischio non è teorico, è concreto.

Cosa fanno davvero con questi dati?

Li spremono per la profilazione.

Hai mal di testa durante il ciclo?
Pubblicità di antidolorifici.

Ti senti gonfia?
Esercizi “miracolosi”, acqua detox, enzimi digestivi.

Flusso abbondante?
Pacchi multipli in sconto.

Hai ritardi frequenti?
Contenuti su gravidanza, fertilità, pannolini.

Hai fatto ricerche su “cliniche abortive”?
La profilazione collega tutto.

La logica è brutale: se lo hai scritto o cercato, esiste e può essere venduto.

Le privacy policy: dove si nascondono i mostri

Le privacy policy non sono documenti buoni solo per scrollare e accettare – e sento già gli occhi di Christian Bernieri rotolare all’indietro.
Dentro trovi:

• il divieto di usare iTunes per costruire armi nucleari

• consenso di app a modificare e distribuire le tue foto1

• alcune aziende cinesi conservano dati per sorveglianza2

E nelle app mestruali spesso trovi policy di 30 pagine. Oppure, non le trovi affatto.

Amazon e Meta sono state già accusate di aver usato dati sanitari per pubblicità targettizzate3, e anche qui niente di nuovo. Ma ce lo dimentichiamo spesso che sia già successo, e che succederà ancora.

La mia esperienza: quando il supporto tecnico vede troppo

Torno ancora sulla mia esperienza, con un’app di tracciamento del ciclo (Clue) che ho usato qualche anno fa; avevo scritto al supporto tecnico, l’operatore mi descrisse esattamente cosa vedevo nella home – del mio telefono.
Ok, strano ma capita, in fondo al tempo c’erano poche widgets disponibili ed era facile che un utente utilizzasse la “visione” di default.

Poi mi dice che vede che il mese prima non ho segnato nulla.
E che può consultare il calendario del mio ciclo per “aiutarmi meglio”.

Ma io quei dati non li avevo condivisi con lui. Né con nessuno.
Tre secondi dopo: app disinstallata.

Mozilla conferma: Clue non superava i test di privacy.

Che cosa fa la Lines App con i dati (analisi tecnica)

Partiamo dalla Privacy Policy sul sito, di Fater SPA, titolare del brand Lines : https://lines.it/informativa-privacy/app-my-lines

Sezione 2: Tipologia di dati

Raccoglie:

• nome, cognome, nickname

• email

• data di nascita

• date del ciclo e sintomi

• preferenze di navigazione

• posizione approssimata

• dati di interazioni

• partecipazione a concorsi

• login via social (quindi interazione con Meta/Google)

È un dataset ricchissimo.
Sufficiente per creare un profilo psicologico e comportamentale dettagliato.

Sezione 3: Finalità

Da leggere con attenzione chirurgica:

• marketing diretto

• profilazione

• analisi statistiche

• comunicazione dei dati a terzi

• pubblicità basata sugli interessi

• attività dei partner commerciali

La sezione 3.7 è inquietante: qualsiasi cosa tu dica, lo useremo contro di te. Fa rima e c’è, stacce! (cit.)

Sezioni 4, 5, 6: Trasferimenti, tempi, conservazione

Qui emergono:

• possibilità di trasferimento fuori UE

• conservazione estesa

• responsabilità mista tra Lines e Fater Group

• portale privacy, ad oggi, non funzionante https://privacyportal.fatergroup.com

..e un portale privacy offline è già un semaforo rosso pulsante!

In sintesi, ti dicono che viene consentita la cessione dei dati a soggetti terzi per finalità commerciali – come un sacco di altre app, non sono loro la mosca bianca, sia chiaro.
Tradotto: i tuoi dati possono viaggiare.
E non seguirli è impossibile.

Lato marketing: perché verrà scaricata comunque

Giulia Stabile4 è perfetta per il target giovane.
La serie “Le Coinquilines” normalizza il ciclo, cosa giusta, ma lo fa attraverso un progetto di marketing. Edu-marketing. Gentile, colorato, ma pur sempre marketing.

Cherry, la mascotte, è pensata per rassicurare.
A me ricorda quelli spot anni ‘90 con la musica zuccherosa sopra argomenti difficili – sono lontani i tempi di “Zigulì al limone e vai in gita col gommone!”

È un mondo patinato che non rappresenta chi soffre di endometriosi, dismenorrea, shock tossico, patologie gravi.

Eppure funziona.
Funzionerà.
I numeri lo diranno.

Community: utile sì, ma non indipendente

Due ginecologhe rispondono alle domande più comuni, sul sito. Ottimo!
Trovo che sia un modo delicato e intelligente di aiutare le tante ragazze che, per motivi sociali, culturali e ambientali, non possono contare su di un supporto genitoriale.

30 anni fa c’era la posta di “Cioè” e le domande fatte alla redazione, totalmente impreparata a gestire situazioni personali, ottenevano risposte che sfioravano le allucinazioni di chatGPT. Ma era accettato, perché non c’era alcuna contezza della materia: le mestruazioni, il marchese, le-tue-cose, il menarca, il sangue, erano un motivo di orgoglio nel Sud Italia, di imbarazzo nel Centro-Nord e un argomento totalmente tabù in famiglia.

Se avevi sorelle maggiori, ti istruivano loro.
Se avevi le amiche che lo avevano già fatto, ti spiegavano loro.
Altrimenti testa bassa e vergogna, a bassa voce, a dire alla genitrice “mi è uscito il sangue”.

Non c’era la community, o meglio, era il circoletto delle amiche di scuola, ma nemmeno alla professoressa di ginnastica lo potevi dire. Figuriamoci se il docente era uomo!
Oggi la community assolve molti compiti educativi e morali, a volte anche genitoriali, e lo abbiamo accettato – fin troppo, direi!

Ma la community resta proprietà di un brand.
Non è neutrale.
Non è un consultorio.
È un canale di engagement.
E più engagement = più dati.

Concorsi: altri dati, altre esposizioni

Quando ho sentito la pubblicità che parlava di calendario mestruale e concorsi5, mi sono chiesta quale fosse il filo conduttore. Sarà che sono troppo seria io e che una app che traccia il ciclo non deve esordire con “Hey! Oggi è il tuo giorno clou! Festeggiamo con un concorso?”

Sdrammatizza, avvicina al brand, genera una finta empatia.
Esattamente quello che fanno i chatbot che i ragazzi usano come “amici”.

Ammetto però che esistano queste condizioni per le quali fidelizzi gli utenti tramite concorsi e sconti sul prodotto. In più, avendo come riferimento giovani influencer come Giulia Stabile e giovani atlete come Myriam Sylla e Alessia Orro6, si contribuisce ad una narrazione più aderente al target.

Sicurezza e Data-Leak: quando il ciclo finisce online

Ora, però, lascio da parte la narrazione e passo al lato tecnico, quello della sicurezza. Perché la parte che nessuna app ti racconta è che, spesso, alcune tipologie di dati sono stati già compromessi altrove.

L’app di tracciamento del ciclo Flo Health : Meta è stata beccata a raccogliere dati sensibili e una giuria USA ha stabilito che la società di Zuckerberg (che ha raccolto illegalmente i dati7) avrebbe dovuto pagare. E pure tanto8!

Cosa includeva il dataset?

• durata e conformità del ciclo

• ovulazione

• attività sessuale

• stato di gravidanza

• sintomi (pescati anche dal collegamento con altre app)

Ma anche se META ha accettato di risarcire, i dati sono stati già utilizzati e finiti in un calderone che, probabilmente, viene ancora utilizzato.

I dati mestruali sono una miniera d’oro a lungo termine: se raccolgo i dati relativi ad una diciassettenne in buona salute, potrò profilarla per almeno altri 30 anni!

Uno studio dell’Università di Cambridge9 dimostra che, ancora oggi, molte app condividono dati con inserzionisti; e che le informazioni sulle donne incinte sono vendute a pacchetto10.
Ancora: i dati mestruali possono essere usati per discriminazioni di ogni genere11.

Il caso simbolo della profilazione: la ragazza incinta a cui arrivò il “regalo”

È celebre il caso della ragazza a cui Target, incrociando acquisti, ricerche, app di tracking e comportamento online, inviò a casa un kit maternità, prima ancora che lei dicesse ai suoi genitori di essere incinta 12.

Il punto non è il regalo.
Il punto è che il profilo predittivo aveva capito tutto. PRIMA.

Come è potuto succedere?
Semplicemente con una app medicale di health-tracking, con vulnerabilità diffuse come tracker terzi nascosti – siamo nel 2012, per il caso Target, quindi non scandalizzatevi più di tanto -, comunicazioni non cifrate, dataset inviati a domini pubblicitari e permessi eccessivi13.

L’incrocio dei dati: il vero pericolo

Molte app sono buchi neri di sicurezza.
La combinazione profilazione mestruale + dating app + social + acquisti + geolocalizzazione = una radiografia completa della tua vita, fatta non da medici ma da algoritmi commerciali.

Facciamo un esempio pratico: Pippa Peg ha 19 anni, sta finendo l’università bovina14 e usa una app di tracciamento del ciclo con email pippapegmu@unibovi.na.
È una bella ragazza, ma per il troppo studio non riesce a socializzare live come vorrebbe, quindi si iscrive ad una app di dating, che raccoglie:

• dati di registrazione (tra cui la mail, il numero di telefono)

• preferenze sessuali

• orari di attività sull’app

• posizione geografica

• abitudini sociali e social linkati

• conversazioni

• segnali psicologici

Immaginiamo di poter avere il dataset delle due app, di lanciare uno script per la ricerca di parametri “match”.. et voilà!
Otterremo dei dati interessanti per la profilazione, come:

• fase fertile → probabilità di rapporti non protetti
  profilazione per sex toys, anticoncezionali, psicologo online, shopping, food delivery

• stress → vulnerabilità emotiva
  profilazione per piscologo online, shopping, food delivery, smartbox, massaggi, terme

• spostamenti → abitudini e routine
  profilazione per smartbox, vacanze, shopping, abbonamenti, veicoli, sconti su trasporti pubblici e privati

• acquisti → gravidanza o sospetto tale
  profilazione per strumenti di controllo gravidanza, medicine, psicologo, medico ginecologo, cliniche, consultori, abbigliamento, accessori

• ricerche → intenzioni future
  profilazione di vario genere

È la versione aggiornata del “profilo psicologico da film di spionaggio”, solo che qui siamo nella realtà. E le aziende ci campano.

Data-leak: la bomba a orologeria

Un dataset commerciale, se esfiltrato, non rappresenta un leak qualsiasi, è una pletora di dati che abbiamo consegnato volontariamente.
Perché magari ci siamo già dimenticati di aver scaricato FaceApp o tutte quelle app di make up tuning che ci hanno proposto un trial (che abbiamo accettato subito, per ritoccare la foto da mettere sulle app di dating), o anche le vecchie app che ti proponevano di collegarti con Facebook e sfidare gli amici a “quanti pesci riesci a pescare?”.

Noi ce le siamo dimenticate; le abbiamo deinstallate. Ma non abbiamo cancellato dati e account. E magari alcune di quelle app, che ora non ci sono più, sono state inglobate in qualcosa di più grande.
E, come dote, hanno portato dei dataset corposi, con nome e cognome, email, dati sanitari, ciclo mestruale, fertilità, sintomi, posizioni, preferenze sessuali, routine, ricerca di farmaci o cliniche, IP e device, partecipazione a concorsi (con indirizzi).

Un kit perfetto per phishing mirato, ma anche per profilazione discriminatoria, manipolazione politica, campagne pubblicitarie predittive, doxxing, ricatti e per stalking.

È un incubo.
È già successo.
Succederà ancora.

Non sono solita fare endorsement, ma questo è un numero di emergenza che può salvare delle vite: se ti senti in pericolo, se sei in difficoltà, se hai paura, CHIAMA!

✅ 10 domande da farsi prima di installare una period-app

1. Dove finiscono i miei dati?
   Capisco chiaramente se li condividono con terze parti?

2. Posso usare l’app senza registrarmi con email reale?
   In caso di utilizzo di alias, meglio usare “minnie.xyz” piuttosto che “nomeapp.xyz”

3. L’app permette l’accesso a Apple Health o ai miei contatti?
   Se sì: è davvero necessario?

4. La privacy policy è chiara, aggiornata, facilmente raggiungibile?

5. Il sito dell’azienda ha un portale privacy funzionante?
   Se è offline: scappa.

6. L’app ha avuto controversie o segnalazioni da enti indipendenti?
   Cerca “[nome app] + privacy”.

7. La app mi chiede permessi eccessivi?
   Calcolatrice? Rubrica? Fotocamera? Cognome da nubile di nonna?

8. Posso usare un browser esterno invece di quello interno?
   Sempre sì.

9. Devo davvero segnare ogni singolo sintomo?
   Inserire meno dati = esporsi meno.

10. Posso accettare che questi dati un giorno possano essere violati?
    Se la risposta è no, non installarla.