Privacidad como arquitectura: qué sale realmente del dispositivo en MeteoHealth

Una declaración de privacidad suele describir intenciones: lo que una empresa promete hacer con tus datos, o promete no hacer. Esta es una descripción de otro tipo. Es un relato de cómo está construida la aplicación —contrastado con su propio código fuente— y de lo que esa construcción hace posible y lo que no. No es una promesa, ni un manifiesto. Las promesas pueden cambiar con una actualización de la política; una arquitectura es una descripción de lo que el código hace en este momento, y ese es el nivel en el que se mantiene este artículo de principio a fin.

Tampoco es un consejo médico: nada de lo que sigue describe qué significa un síntoma o un patrón para tu salud, solo adónde pueden y no pueden ir los datos sobre él. Si estás leyendo esto porque estás decidiendo si confiarle a una aplicación tus anotaciones sobre cómo te sientes, es razonable querer resolver esa duda antes de escribir una sola palabra en ella —y es una pregunta más acotada que si la aplicación es buena o no, algo que este artículo tampoco intenta responder.

Ningún lugar donde recopilar

La pregunta más simple que se le puede hacer a cualquier aplicación que toca información de salud es: si alguien quisiera recopilar tus datos, ¿adónde irían? Para MeteoHealth, la respuesta es que no hay ninguna dirección a la que enviarlos. La aplicación no tiene servidor propio —ni uno inactivo, ni uno de respaldo, ninguno en absoluto. No existe ningún punto de conexión bajo nuestro control que reciba nada de lo que registras.

Eso es una afirmación distinta de «decidimos no recopilar datos», y la diferencia importa. Una empresa que opera un servidor y elige no registrar las solicitudes está a un solo cambio de política de empezar a registrarlas. Una aplicación sin servidor no tiene ese interruptor que accionar, porque no hay ninguna máquina al otro lado esperando una conexión. La ausencia no es una configuración; es la forma misma de la cosa.

La misma lógica se aplica a las cuentas. No hay registro, no hay inicio de sesión, no hay cuenta de ningún tipo —lo que significa que no existe un lugar donde adjuntar un nombre, una dirección de correo o un identificador persistente a tus anotaciones, incluso si alguien quisiera hacerlo. Nada de lo que registras está vinculado a una identidad, porque en la aplicación no existe ningún sistema de identidad.

Si juntas estas dos cosas, una pregunta que surge de forma natural con cualquier aplicación de salud —«¿qué pasa con mis datos si la empresa sufre una filtración, se vende o cierra?»— tiene aquí una respuesta inusualmente corta. No hay ningún almacén central de anotaciones de nadie que se pueda filtrar, transferir o cerrar, porque nunca existió un lugar donde se acumularan las anotaciones de distintas personas. Todo lo que existe, existe únicamente en dispositivos individuales y en las cuentas de iCloud de cada persona, no en nada que nos pertenezca a nosotros.

Qué hay realmente dentro

Una afirmación de privacidad sobre «sin servidor» vale solo lo que vale lo que corre en el propio dispositivo, así que conviene ser específico también en eso. Ninguna biblioteca de terceros está enlazada en la aplicación que llega a tu teléfono. Hay exactamente una dependencia externa en el proyecto: una biblioteca usada para pruebas de snapshot durante el desarrollo. Está adjunta únicamente al objetivo de pruebas, lo que significa que forma parte de cómo se verifica la aplicación antes del lanzamiento, y nunca pasa a formar parte de la compilación que llega a tu dispositivo.

Más allá de esa única dependencia de pruebas, no hay ningún paquete de analítica, ningún SDK de reporte de fallos que llame a casa, ninguna biblioteca publicitaria —ni en la aplicación de iPhone, ni en la aplicación de Watch, ni en los widgets. No se lee ningún identificador publicitario en ningún sitio, y nada en la aplicación llama a las propias API de seguimiento del sistema. Esto no es una opción que puedas desactivar en un menú; simplemente está ausente de cada objetivo que se publica.

Conviene dejar claro qué elimina exactamente esa ausencia, porque «sin analítica» puede sonar a un pequeño detalle técnico y no a lo que realmente es. Las bibliotecas de analítica suelen existir para responder preguntas como qué pantallas abres, cuánto tiempo permaneces y qué tocas antes de salir —el tipo de rastro de comportamiento que, con suficientes sesiones, puede decir casi tanto sobre una persona como el contenido que introdujo directamente. En esta aplicación no hay ninguna ruta de código que construya ese rastro, en ninguno de los objetivos en los que se publica. No registrarlo no es lo mismo que anonimizarlo o agregarlo antes de almacenarlo: simplemente no hay ningún mecanismo que lo recopile, en ningún lugar del código.

Qué sale realmente

Nada de esto significa que la aplicación esté en silencio en la red —no lo está. Hay exactamente tres direcciones externas con las que se comunica la aplicación, y cada una lleva consigo un conjunto específico y limitado de información.

El servicio meteorológico recibe tus coordenadas, una clave de acceso y el idioma en el que está configurada tu interfaz. Nada más viaja con esa solicitud. Las coordenadas que salen son de precisión completa, no redondeadas a una ciudad o una región —hoy no existe ningún paso que las suavice. Un pronóstico del tiempo está vinculado a una ubicación concreta, y no hay forma de obtenerlo sin decir dónde estás. Ese es el único dato sobre ti que tiene que salir del dispositivo para que esta función funcione.

El feed de clima espacial de la NOAA recibe una solicitud simple sin parámetros adjuntos —con ella no viaja nada sobre ti. Lo que se recibe a cambio es un único número compartido, el índice Kp planetario, el mismo valor para cualquiera que lo consulte. Aquí no hay nada personal que enviar en ninguna de las dos direcciones.

La base de datos abierta de productos alimenticios recibe el código de barras de lo que escaneas, además de nuestra dirección de correo de soporte enviada en la cabecera de la solicitud —una cortesía hacia quienes mantienen la base de datos, para que sepan quién hace la llamada, no algo sobre ti como persona. Tus búsquedas de productos no están vinculadas a nada más de lo que registras.

Tres destinos, tres razones distintas, y en cada caso un conjunto específico y limitado de información: ni nada, ni tampoco todo.

Dónde viven realmente tus registros

Las anotaciones que haces —síntomas, notas, lo que sea que estés registrando— viven en tu dispositivo por defecto. Si se sincronizan en algún lugar, es en tu propia cuenta personal de iCloud, el espacio privado vinculado a tu Apple ID, nunca en una base de datos compartida ni en nada visible para nadie más que tú. No hay ningún almacén más amplio por el que pase nada de esto en el camino.

Las anotaciones relacionadas con el ciclo se tratan de forma aún más restringida: no salen del dispositivo en absoluto, ni siquiera hacia iCloud. La única excepción es Apple Health, y allí solo se escribe tu flujo menstrual, y solo si has otorgado permiso explícito para ello. Nada más sobre tu ciclo pasa a Health, y nada pasa sin tu consentimiento previo. Ese es un camino más estrecho que el que siguen el resto de tus anotaciones: los registros generales de síntomas pueden sincronizarse con tu iCloud personal, mientras que las anotaciones del ciclo permanecen locales, y de ellas solo sale alguna vez el flujo menstrual, y únicamente hacia Health, y únicamente con permiso.

La correlación entre el clima y cómo te sientes —lo que la aplicación realmente calcula— se calcula en el propio dispositivo. Ese número no se envía a ningún sitio para ser producido; se genera localmente a partir de datos que ya son locales. Y en la propia ficha de privacidad de la App Store, la categoría asignada a esta aplicación es la más estricta disponible: Data Not Collected.

Qué se deduce de esto, y qué no

Conviene ser preciso sobre lo que una arquitectura como esta establece y lo que no, porque ambas cosas se confunden fácilmente. No tener adónde enviar tus datos no convierte a un rastreador de síntomas en un dispositivo médico —dice algo sobre adónde viaja la información, nada sobre para qué sirve o cómo debería usarse. Una correlación que la aplicación te muestra entre un patrón meteorológico y cómo te has sentido sigue siendo eso, y nada más: una correlación extraída de tus propias anotaciones, no un diagnóstico, y no algo sobre lo que actuar sin tu propio criterio.

También conviene resistirse a un atajo tentador: nada de lo anterior hace que la correlación en sí sea más fiable. Una aplicación sin servidor y sin analítica igualmente puede mostrarte un patrón débil, casual o construido a partir de muy pocas anotaciones como para significar algo —la ausencia de recopilación de datos no dice nada sobre la calidad de lo que la aplicación concluye a partir de los datos que sí introdujiste. La privacidad, dicho de otro modo, es una propiedad de adónde va tu información. No es una propiedad de qué tan buenas son las conclusiones de la aplicación. Son dos preguntas distintas, y responder bien a una no responde a la otra.

Leer las dos preguntas juntas es precisamente el sentido de exponer una arquitectura como esta. Saber que tus anotaciones permanecen en tu dispositivo y en tu propio iCloud te dice algo cierto y útil sobre la exposición —quién más podría llegar a verlas y bajo qué circunstancias, y la respuesta aquí se acerca a «casi nadie», bajo «casi ninguna circunstancia». No te dice nada sobre si una correlación concreta que la aplicación muestra refleja algo real sobre tu cuerpo y el clima, o es una coincidencia construida a partir de una racha corta de anotaciones. Ambas preguntas importan. Mantenerlas separadas, en lugar de dejar que una ocupe el lugar de la otra, es lo que hace que cualquiera de las dos respuestas valga algo.

Adónde va cada petición y qué viaja con ella

DESTINATION · WHAT GOES WITH THE REQUEST

• WEATHER APICOORDINATES · API KEY · UI LANGUAGE

  Las coordenadas tienen que salir; si no, no hay meteorología. Hoy salen tal cual: redondearlas a un kilómetro está previsto y aún no publicado.

• NOAA SPACE WEATHERNO PARAMETERS · NOTHING ABOUT YOU · KP INDEX RETURNED

  Una petición sin parámetros: no se envía nada sobre ti y vuelve un índice global.

• OPEN FOOD DATABASESCANNED BARCODE · SUPPORT ADDRESS IN HEADER

  Solo el código de barras del producto escaneado y nuestra dirección de soporte en la cabecera.

• NEVER LEAVESSYMPTOM LOG · CYCLE · CORRELATIONS · NO ACCOUNT · NO ANALYTICS

  Nada de esto se envía a ninguna parte, porque no hay ningún servidor nuestro al que enviarlo.

FIG.21 · WHAT LEAVES THE DEVICE · VERIFIED_IN_SOURCE · CHECKED_2026-07-28

La figura anterior alinea cada uno de los tres destinos con exactamente lo que viaja hasta allí —y su última fila es el punto que resulta fácil perder en una lista de llamadas salientes: lo que se queda, y nunca va a ninguna parte.

Lo que aún no hemos hecho

Precisión de las coordenadas. Ahora mismo, las coordenadas de precisión completa se envían al servicio meteorológico, aunque un pronóstico solo necesita una precisión de aproximadamente un kilómetro. Está planeado redondearlas. Todavía no se ha publicado, así que todavía no está hecho.

La redacción del permiso de ubicación. El texto del permiso del sistema que ves cuando la aplicación solicita tu ubicación está redactado ahora mismo de forma más amplia de lo necesario. Se está reescribiendo para decir algo más acotado y preciso.

Una línea de texto de la interfaz sobre la sincronización. Una frase en los ajustes de la aplicación describe actualmente el funcionamiento de la sincronización en términos más contundentes de lo que es exacto. Se está reescribiendo. No hay más detalle que añadir aquí, más allá de reconocer que se ha encontrado y se está corrigiendo.

Una revisión de la declaración de App Privacy. Dado que las coordenadas se envían a un servicio meteorológico externo, la declaración en la App Store merece una segunda revisión para confirmar que está formulada correctamente. Esa pregunta ya se ha planteado. Todavía no hay respuesta.

Esta lista no es algo aparte de todo lo anterior —es la misma arquitectura, descrita con honestidad en el punto en el que todavía está incompleta. Un artículo sobre privacidad que se lee como si todo estuviera ya terminado vale menos que una lista de lo que todavía no lo está.

Así está construida la aplicación, a fecha de la que aparece en la parte superior de esta página. Para saber cómo comprobar algo así en cualquier aplicación, incluida esta, la lista de comprobación para leer la propia página de una aplicación en la App Store antes de instalarla cubre ese terreno. Sobre lo que hace exactamente la correlación calculada en el dispositivo, la página de la función de correlaciones con el clima lo describe directamente. Y como una arquitectura descrita por sí sola no dice nada sobre si esta es la aplicación adecuada para ti, junto a este texto está la lectura comparada de tres páginas de la App Store —incluidos los casos en los que esa lectura termina señalando a la aplicación de otra persona.