Stardust 月經追蹤資料流向第三方：一句「隨機 ID」保障到幾多？

Stardust 喺產品頁寫到好實淨：用戶資料屬於私人，公司從來唔賣資料，健康紀錄會同真實身份分開。Mozilla 研究員檢查 app 網絡流量後，見到嘅畫面冇咁乾淨：用戶輸入避孕方式、生育目標、出生日期同個別症狀後，部分內容會連同持續使用嘅 ID 傳去第三方資料平台 RudderStack。 呢件事未證明 Stardust 賣資料，但足以令人重新審視佢嘅私隱宣傳。

Mozilla 實際截到啲咩

Mozilla 嘅 Shoshana Wodinsky 用 Charles Proxy 截取手機同 server 之間嘅網絡流量，記錄每次點擊、背景連線、接收端點同傳送內容。六款受測 app 包括 Euki、Clue、Flo、Period Calendar、Spot On 同 Stardust；Mozilla 話只有 Stardust 把詳細健康資料直接傳去另一間公司。研究頁列出嘅例子包括出生日期、避孕藥或子宮環等避孕方式、有冇打算懷孕，同埋乳房脹痛、頭痛、胃抽筋等症狀。當研究員記錄症狀，RudderStack 收到症狀內容、發生時間同一個持續使用嘅用戶 ID。

Mozilla 公開方法頁話測試屬動態網絡攔截同滲透測試，Stardust 個別評測記錄咗五小時手動測試及網絡分析，評測日期係 2026 年 7 月 16 日。不過公開頁冇清楚列出 Stardust 嘅 app 版本，亦冇明確交代呢組封包來自 iOS 定 Android，呢兩項暫時要標作 [待確認]。研究團隊另有提到伊利諾大學協助額外 Android 測試，但唔應該據此假定所有平台、所有版本都有完全相同表現。

隨機 ID 唔等於冇得認人

Stardust 嘅健康資料政策話，聯絡資料由第三方身份驗證平台 Rownd 分開保存，健康資料只會掛喺隨機帳戶 ID 之下。公司向 Mozilla 解釋，RudderStack 只係把資料送入 Stardust 嘅分析系統，收唔到可以識別用戶嘅資料；公司向 BBC 亦話，合約禁止 RudderStack 出售資料或者自行使用。現有證據支持「資料有分享」，未支持「資料有出售」，兩件事唔可以混埋講。

不過，隨機 ID 只係假名化，唔係真正匿名。美國聯邦貿易委員會早已提醒，只要一個 identifier 可以長期認出同一名用戶或裝置，資料仍有機會同其他紀錄配對。研究冇證明 RudderStack 已經認出 Stardust 用戶，亦冇證據顯示資料曾遭濫用。不過健康事件離開 app，再經資料管道傳去其他地方，接觸資料嘅一方自然多咗。

宣傳、私隱政策同 Apple 標籤其實講緊三件事

Stardust 網站用「Your data is private. Period.」做主打，App Store 介紹亦聲稱永遠唔會出售或披露資料，語氣比法律文件絕對得多。佢 2026 年 5 月更新嘅私隱政策就留咗較闊空間：分析、寄存、客戶服務等供應商可能接觸資料，AppsFlyer 同 Firebase亦可能按裝置設定接收網上活動資料。健康資料政策再列明，代表 Stardust 處理資料嘅供應商可能接觸健康資料。

Apple 私隱標籤同樣唔係寫住「零收集」：開發者申報健康及健身資料可用作分析、產品個人化同 app 功能，但列作「不連結身份」；購買、identifier 同使用資料就可能用作跨 app 追蹤。呢啲標籤由開發者自行申報，Apple 明言冇逐項核實。其實相關文件有提過資料用途；問題係產品頁講得好簡單，實際資料流向就複雜得多。

關閉 iPhone 追蹤都未必截到呢條管道

iPhone 用戶可以去「設定」→「私隱與保安」→「追蹤」，關閉 Stardust 嘅跨 app 追蹤權限；Apple Health 同其他整合亦可以停用。不過 Mozilla 指出，App Tracking Transparency 主要管跨公司追蹤，未必會阻止 app 把資料交畀代表佢處理分析嘅供應商。研究員亦搵唔到 Stardust app 內一個可以完整關閉第三方分析嘅清晰掣，所以單靠撳「要求 App 不追蹤」唔代表所有健康事件都只留喺手機。

如果想減低暴露面，可以逐項做：先關 Apple Health 同其他健康裝置同步，唔用就避開朋友配對等社交功能，只記錄真正有用嘅症狀；再檢查 App Store 私隱標籤有冇列出健康資料作分析，同私隱政策有冇寫清楚第三方名稱、保留期及刪除方法。單純刪除 app 唔等於刪走 server 上嘅紀錄。

刪帳戶前要確認資料一齊刪

Stardust 現行政策話，用戶可以喺 app 設定或個人檔案按刪除掣，亦可電郵 [email protected] 要求刪除健康資料。操作前最好先匯出自己要保留嘅週期紀錄，跟住要求刪除帳戶、健康資料同相關 identifier，記得保留確認電郵。若果公司只話帳戶已停用，應再問清楚備份、分析平台同處理商副本會保留幾耐。

想揀另一款 app，最實際嘅準則係健康資料可唔可以預設只存手機、唔開帳戶都用到、備份有冇端對端加密，同埋分析功能可唔可以獨立關閉。Mozilla 今次畀 Euki 10 分，測試期間冇見到核心功能向第三方傳資料，健康紀錄亦留喺裝置；不過呢個結果同樣只代表指定測試時段，之後更新仍要再核對。

參考來源

• TechCrunch — Period tracker Stardust shares users’ health data with analytics firm, says Mozilla research — original report
• Mozilla：Stardust App Privacy Review — 完整測試發現、傳送欄位、接收服務同減低風險建議
• Mozilla：Privacy Review Methodology — 網絡流量測試工具、方法同評分準則
• Stardust Privacy Policy — 官方資料收集、供應商披露、保留及刪除條款
• Stardust：Your Data — 官方隨機 ID、分開保存身份資料同不出售資料宣稱
• Stardust Period Tracker－香港 App Store — 核對香港上架情況、產品宣稱同 Apple 私隱標籤
• FTC：No, hashing still doesn't make your data anonymous — 解釋持續 identifier 同假名化資料點解唔等於匿名

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。