Mozilla近日发布报告指出，Stardust这款月经追踪应用向第三方数据管理公司RudderStack共享大量详细的生殖健康数据，但这一做法并未在Stardust的隐私政策中说明。共享数据包括怀孕状况、避孕方式、用户情绪、酒精摄入情况、乳房胀痛和胃痛等具体症状，以及生日、生殖目标等与用户唯一标识符绑定的信息，而非直接使用用户姓名 [1, 2, 3, 4]。
Stardust方面表示，RudderStack仅作为技术管道帮助传输数据至其自家分析系统，并且严禁RudderStack出售或自行使用这些数据，也不会长期存储这些信息。Stardust发言人强调，“我们不向广告平台共享任何健康数据，仅使用AppsFlyer和Meta来评估和优化广告活动表现”，并称“RudderStack合同禁止其出售相关数据或将其用于自身目的，且不长期保存数据” [1, 4]。
Mozilla的安全研究员Shoshana Wodinsky通过网络流量分析揭露了这一数据共享情况。她表示：“用户理应获得更好的保护，至少应清楚自己的数据被如何使用。” [1]。EPIC消费者隐私项目主管Sara Geoghegan则指出：“仅仅让别人知道你在使用生殖健康应用，可能带来后果。” [1]
此次调查涵盖六款热门月经追踪应用，只有Stardust向另一家公司分享敏感健康数据。其他应用如Euki则将所有健康信息本地存储在用户设备上，不向外部服务器发送，保护用户隐私做得较好 [1, 4]。不过，多数应用都会将用户ID和设备信息分享给广告平台，包括Google、Meta、Microsoft、TikTok，Stardust和Period Calendar均属于此类 [1, 4]。Stardust用户可通过手机隐私设置选择退出这一数据分享 [1, 4]。
调查还提及，Spot On应用本身不分享健康数据，但开启某些功能会跳转浏览计划生育组织网站，而该网站将用户搜索数据分享给分析公司AB Tasty，涉及如艾滋检测、性别确认医疗等敏感服务搜索记录 [1, 4]。
2022年TechCrunch分析的网络流量显示，Stardust此前宣称的端到端加密并不属实 [3]。同年，美国最高法院推翻联邦堕胎保护，引发公众对月经追踪数据在刑事案件中使用的担忧 [1, 2, 4]。
目前的做法在法律上尚属合规，且没有证据显示RudderStack或其他公司存在数据滥用行为 [1, 2, 4]。但安全专家警告，向第三方共享敏感健康信息加大了数据泄露和法律执法请求的风险 [1, 2, 3, 4]。
