“50€ en marihuana”: tus secretos dejan de serlo cuando se los cuentas a las apps de control de gastos
Una de las nuevas bromas de la sociedad digital consiste en poner conceptos disparatados en las apps para transferir dinero entre amigos, como “armas para la guerra santa en Siria”, a ver si el banco se preocupa y llama para preguntar por esa transferencia. Lo que se esconde detrás de la broma es que ese tipo de aplicaciones no son máquinas cerradas donde el usuario solo interactúa con una base de datos, sino que se revisan de manera activa. Las apps de control de gastos que se han popularizado en los últimos años tampoco lo son, revela una investigación de Maldita.es y la ONG de derechos digitales alemana Tactical Tech y la mexicana SocialTIC.
Estas apps elaboran un registro de los desembolsos de sus usuarios, calculan cuánto dinero gastan en cada ámbito de consumo, les avisan si se desvían de su presupuesto o dividen gastos compartidos entre varias personas, como en el caso de un viaje en grupo. Sus usuarios les cuentan cuánto gastan en luz, comida, bares o tabaco, a veces vinculando sus cuentas bancarias para que extraigan esos datos directamente. Pero para muchos también son un diario personal en el que apuntan gastos que quizá no registrarían en plataformas como las redes sociales, como cuando compran pastillas para el día después o cuánto gastan en droga.
¿Cómo manejan esa información las apps de control de gastos? En realidad, de forma muy similar a como lo haría una red social, apunta la investigación.
“Estos gastos individuales, que hablan de cómo somos, se comparten luego con plataformas y empresas de terceros” que “se dedican a digerir datos, crear perfiles de usuario y luego colocarnos publicidad personalizada en base a nuestros intereses”, explica el estudio: “Sí, eso significa que nuestra madre no sabe cuánto dinero nos gastamos en fiestas, pero un anunciante aleatorio de un país diferente o una plataforma de redes sociales sí, y puede usar esa información para crear un preciso perfil nuestro”.
La investigación ha analizado los datos que almacenan apps como Fintonic y Splitwise, de las más usadas en España en este segmento, junto a You Need a Budget (YNAB), Tricount y Revolut, las más descargadas en la UE. A través de peticiones de acceso realizadas con la ayuda de usuarios voluntarios y un análisis técnico sobre qué datos salen de cada app y hacia dónde, las organizaciones han podido revelar cómo se escriben las bases de datos de estas apps y con quién se comparten.
A través de esas peticiones de acceso a los datos, las empresas que gestionan estas aplicaciones revelaron que sus servicios apuntan bajo la identidad de cada usuario cada uno de los gastos que registra, como los 16,3 euros que una usuaria de Tricount gastó en “pastilla porque xxxx no quiere hermanos” o los desembolsos de 50 euros que un usuario de Splitwise hizo en repetidas ocasiones bajo los conceptos de “marihuana” y “setas”.
“Nos sentimos lo suficientemente seguros como para anotar el día en que gastamos dinero en una píldora anticonceptiva —una pastilla ’del día después’—, sin ser conscientes de quién puede tener acceso a dicha información y cómo manejan esos datos”, destaca el informe. Los propios investigadores pudieron averiguar los detalles del gasto en la píldora anticonceptiva porque se hallaba en un apartado específico en el que la usuaria había agrupado las compras que había hecho en un viaje al extranjero.
Tener acceso a esas base de datos puede revelar tantos datos como digitalizar un diario personal. Compras como las del usuario de Splitwise se comparten con data brokers de todo el mundo que las utilizarán con fines publicitarios. Muchas de estas apps también tienen acuerdos con compañías financieras, por lo que su información podría terminar siendo usada por algoritmos que determinarán si es apto para recibir un préstamo o cuánto debe pagar por un seguro. “Pudimos confirmar que Splitwise indexa información muy detallada sobre las relaciones, ubicaciones, estado de salud y actividades diarias de los usuarios, así como hábitos muy particulares, que podrían influir en el seguro del interesado o incluso en el perfil crediticio”, señalan los autores.
Datos a terceros: billete para un viaje por todo el mundo
Todas las apps defienden la legalidad de estos envíos de información a terceros, ya que sus usuarios lo consienten a través de su política de privacidad. La única empresa que afirma que no los realiza es la española Fintonic. “Fintonic no comparte datos personales con terceros. Se limita a prestar el servicio de Gestor Inteligente a los Usuarios según se describe en las condiciones del servicio y no cede información personal”, especifica. Sin embargo, el análisis técnico efectuado por los investigadores revela que también lo hace: “Hay información del usuario que se comparte, como mínimo, con rastreadores que tienen fines de marketing”.
Contactada por elDiario.es acerca de este punto, fuentes de Fintonic han reconocido que se produce ese trasvase, pero porque son “herramientas de medición” con el fin de “realizar el análisis y estudio de la actividad de los usuarios”. Además de ellas hay otras formas de que los datos de los usuarios salgan de la app, pero solo con su consentimiento. “En el momento en que el usuario muestra interés por alguna de las recomendaciones que se le proponen desde el Servicio Gestor Inteligente, es el propio usuario el que traslada sus datos y otorga el consentimiento al tratamiento de los mismos por parte de otras compañías del ramo o ámbito que sea (seguros, energía, telecomunicaciones, etc.)”, expresan desde la empresa.
El hecho de que las apps transfieran información a terceros supone que los datos de los usuarios puedan acabar tratados por empresas de todo tipo que tengan interés en ellos. Los datos financieros de una persona son muy valiosos para la industria de la publicidad personalizada, puesto que revelan qué y cuánto gasta en cada ámbito. “Podemos enseñarte anuncios de apartamentos más baratos que tu apartamento actual basándonos en el gasto de alquiler que apuntes en nuestro sistema”, señala por ejemplo Splitwise en su política de Política de Privacidad.
Podemos enseñarte anuncios de apartamentos más baratos que tu apartamento actual basándonos en el gasto de alquiler que apuntes en nuestro sistema
Cuando las apps de control de gasto (o cualquier otra de la industria del dato) comparten información con terceros, lo hacen a través de un seudónimo publicitario que se asigna a cada usuario, similar a un DNI. Se supone que el paquete de datos que comparte cada una de estas apps es pequeño y no sirve para desanonimizar a una persona en concreto. El problema es que algunas de las empresas a las que llega esa información se dedican a unirla con otra y configurar perfiles de consumidor lo más completos posible.
“Imagínate que apuntaras en una hoja todo el alcohol que has comprado en la última semana, y la anterior, y la anterior. Si alguien lo viera, ¿consideraría que bebes demasiado? Hay servicios cuyo principal objetivo es inferir eso a partir de la información que tienen sobre ti”, señala el informe.
La investigación destaca además que la mayoría de estas apps utilizan la técnica del clickwrap para forzar a sus usuarios a aceptar en plancha todas las condiciones de privacidad con un solo click. Si no lo hacen, no pueden usar sus servicios. “Lo que sucede con esos datos no se nos explica de forma transparente”, denuncian las organizaciones: “Los usuarios no tenemos la posibilidad de aceptar solo algunas de las condiciones, sino que tenemos que aceptarlas todas al mismo tiempo”.
Los usuarios no tenemos la posibilidad de aceptar solo algunas de las condiciones, sino que tenemos que aceptarlas todas al mismo tiempo
La protección de los datos personales queda aún más en entredicho en los casos de la propia Splitwise y YNAB, puesto que tienen su sede en EEUU y mandan allí los datos de los usuarios. Este tipo de transferencias de información personal ha sido puesta en entredicho por el Tribunal Superior de Justicia de la UE, al considerar que las leyes estadounidenses de protección de datos no son equiparables a las de la UE.
Splitwise también niega en su política de privacidad que comparta datos personales con terceros “con fines de marketing”, aunque dice que podrá utilizarlos para “mostrar anuncios”. “Splitwise o sus socios o proveedores de servicios pueden mantener operaciones en EEUU o en cualquier otro país, y por lo tanto su información personal puede ser procesada fuera del país donde se encuentra. Al utilizar y proporcionarnos información, usted acepta y consiente la transferencia, el almacenamiento y el procesamiento de su información en otros países, incluyendo, por ejemplo, fuera del Espacio Económico Europeo. Es posible que los países a los que transferimos su información no tengan leyes de protección de datos similares a las de su país”, avisa.
“Compartimos los datos personales con los siguientes destinatarios: servicios de análisis, servicio de correo electrónico, servicios en la nube, servicios de agregación financiera, servicios de registro, servicios de seguridad en la nube, servicios de marketing, procesadores de pagos y servicios de atención al cliente”, afirma por su parte YNAB. La empresa estadounidense reconoce que transfiere la información personal “a destinatarios ubicados fuera del país de origen del interesado”, pero dice que lo hace con “garantías apropiadas para proteger la información personal”.
Muchos intermediarios, muchos peajes
El estudio recoge que las características del negocio de estas apps hacen que deban pactar con muchos socios para habilitar las diferentes opciones de su sistema. Un ejemplo de ello son las empresas intermediarias que se encargan de vincular la cuenta del banco del usuario con el sistema de control de gastos, para que cada desembolso se cargue en la app automáticamente. Otro, el servicio que hace que cuando llevamos varios días sin entrar a la app, nos llegue un recordatorio en forma de notificación. Cada uno de esos intermediarios cobra un peaje en forma de datos personales.
“Algunos de ellos tienen un enfoque bastante agresivo a la hora de acceder y recopilar los datos de los usuarios. Esto significa que aunque la aplicación de control de gastos que usemos aplique ciertas salvaguardas para cuidar de los datos, después estas otras compañías pueden aplicar sus propias normas”, señalan los investigadores. “Y esas normas puede que sean mucho menos garantistas”.
“Todas las aplicaciones que investigamos utilizan rastreadores y servicios de terceros que les permiten obtener cierta información sobre sus usuarios, más allá de los datos declarativos que entregamos a las empresas al empezar a usar sus aplicaciones (nombre, correo electrónico, número de teléfono, cuenta bancaria, etc.)”, zanja el estudio: “Al final, anotar nuestros gastos en ellas implica en cierta medida contarle a desconocidos detalles íntimos de nuestra vida. Luego, estas empresas pueden compartirlos con otras empresas, que a su vez los compartirán con otras empresas. Todo de acuerdo con los términos contractuales que los usuarios aceptan con un solo clic”.
12