1 pièce(s) jointe(s)
L’application de traçage de contacts Covid-19 du Dakota du Nord partage des données avec Foursquare et Google
L’application de traçage de contacts Covid-19 du Dakota du Nord partage des données de localisation avec Foursquare et un identifiant publicitaire avec Google,
Selon un rapport
Les applications de traçage de contacts conçues pour détecter si des personnes ont été potentiellement exposées au coronavirus devraient être installées sur la base du consentement dans la plupart des pays. Mais un rapport de sécurité publié jeudi pourrait pousser ceux qui s’inquiètent des risques liés à la vie privée à ne pas utiliser ces applications. En effet, l'application covid-19 officielle de l'État du Dakota du Nord envoie des données de localisation et un identifiant unique d'utilisateur à Foursquare ainsi que d'autres données à Google et à une société de suivi des bogues, selon un nouveau rapport de la société Jumbo Privacy, spécialisée dans la protection de la vie privée sur les smartphones.
L'une des questions les plus urgentes en matière de protection de la vie privée en cette période de pandémie est l'utilisation des applications de recherche de contacts. L'application baptisée Care19 du Dakota du Nord est produite par ProudCrowd, une société qui développe également une application de réseau social basée sur la localisation pour les fans de sport de l'État du Dakota du Nord. Selon le site Web de l'État, Care19 génère un numéro d'identification aléatoire pour chaque personne qui l'utilise, et elle peut également « mettre en cache de manière anonyme les lieux où se trouvent les personnes tout au long de la journée », en stockant des informations sur les endroits où les personnes ont passé au moins 10 minutes de façon continue.
Si un utilisateur est testé positif au coronavirus, il peut fournir ces informations au ministère de la Santé du Dakota du Nord à des fins de recherche de contacts, afin que d'autres personnes ayant passé du temps à proximité du patient atteint du virus puissent éventuellement être averties. Selon la politique de confidentialité de l'application, « les données de localisation sont privées et sont stockées en toute sécurité sur les serveurs de ProudCrowd, LLC », et ne seront pas partagées avec des tiers « sauf si vous y consentez ou si ProudCrowd y est contraint en vertu de la réglementation fédérale ».
Mais le rapport de Jumbo indique que l'application envoie le numéro d'identification aléatoire, ainsi qu'un numéro d’identification du téléphone utilisé à des fins publicitaires, et les latitudes et longitudes des lieux visités par l'utilisateur à Foursquare, un des principaux fournisseurs de données de localisation. Care19 envoie également le numéro d'identification aléatoire à des serveurs gérés par Bugfender, un service basé à Barcelone utilisé par les fabricants d'applications pour suivre et diagnostiquer les dysfonctionnements des logiciels. Le nom du téléphone, qui comprend souvent le prénom du propriétaire de l'appareil, est aussi envoyé à ces serveurs. Enfin, l'identifiant publicitaire du téléphone est également envoyé aux serveurs de Google qui semblent être affiliés au service Firebase de Google, a constaté Jumbo.
Dans son rapport, Jumbo a recommandé de ne pas installer l'application tant que la politique de confidentialité n'aura pas été rendue plus explicite ou que l'application n'aura pas été mise à jour pour cesser de partager des données. Toutefois, le Dakota du Nord, qui a proposé la première application américaine de recherche de contacts, a déclaré mercredi à Reuters qu'il laisserait sa première application Care19, utilisé comme outil de suivi de localisation pour aider les patients à rafraîchir leur mémoire. Mais il lancera également une nouvelle application « Care19 Exposure » basée sur la technologie Apple-Google.
Le créateur de Care19 résoudra les problèmes et renforcera la protection de la vie privée
Dans une déclaration, ProudCrowd a confirmé l'utilisation des services de Bugfender et de Foursquare et a déclaré qu'il prévoyait de mettre à jour ses politiques de confidentialité et l'application à l'avenir. La société a mentionné dans sa déclaration que l'interface utilisateur de l'application Care19 indique clairement l'utilisation de Foursquare sur notre écran, « selon les termes de notre accord avec Foursquare ».
« Cependant, notre politique de confidentialité ne mentionne pas explicitement cet usage à l'heure actuelle. Nous travaillerons avec nos partenaires de l'État pour être plus explicites dans notre politique de confidentialité. Il est important de noter que notre accord avec Foursquare ne leur permet pas de collecter les données de Care19 ou de les utiliser sous quelque forme que ce soit, au-delà de la simple détermination des entreprises proches et de leur renvoi à nos services », a ajouté ProudCrowd.
Le fondateur de ProudCrowd, Tim Brookins, a écrit dans un communiqué par courrier que l'identifiant aléatoire a été inclus dans les messages envoyés à Foursquare de manière involontaire, et que la société le supprimera dès que possible. La transmission d'informations à Foursquare est « assez bénigne, car Foursquare ne collecte pas réellement les données que nous envoyons », a écrit M. Brookins. « Mais il est assez facile pour nous de les supprimer. Bonne prise par la société de sécurité ».
L'État du Dakota du Nord soutient la déclaration de ProudCrowd, d’après les déclarations de Jennifer Skjod, responsable d'information publique de L’État. « Nous sommes convaincus que ce qu'il a répondu est exactement ce que nous dirions », a-t-elle dit à propos de la réponse de Brookins.
Un porte-parole de Foursquare a déclaré que la société reconnaît recevoir certaines données de l’application Care19, qui utilise gratuitement son SDK, mais n’utilise pas ces données de quelque manière que ce soit. « Pour les utilisateurs gratuits de notre SDK, Foursquare n'utilise pas, ne reconditionne pas et ne revend pas les données. Essentiellement, toute donnée que nous pourrions recevoir est immédiatement supprimée ».
ProudCrowd collectera « des données de diagnostic » dans une prochaine version de Care19
Jordi Giménez, cofondateur et PDG de Bugfender, a écrit dans un communiqué que les données envoyées par les applications à ses serveurs sont stockées de manière sécurisée et ne sont pas partagées avec des tiers ou utilisées pour le profilage des utilisateurs ou la publicité. « Nous gagnons de l'argent en faisant payer les créateurs d’applications pour l'utilisation de l'outil, et leurs données leur appartiennent », a-t-il ajouté. « Nous ne les compromettons pas ».
La mise à jour de la politique de confidentialité de ProudCrowd tiendra également compte des envois de données à Google, a expliqué M. Brookins. « Notre politique de confidentialité a actuellement une déclaration assez générale dans le deuxième paragraphe, indiquant que nous collectons des données pour des raisons de convivialité et de fiabilité de l'application (plantages de l'application, etc.) », a-t-il écrit. « Notre politique de confidentialité révisée l'indiquera de manière plus détaillée et mentionnera également le nom du tiers (Google Firebase) ».
ProudCrowd prévoit tout de même de faire de la « collecte de données de diagnostic » via l'opt-in de Bugfender dans les futures versions de l'application, selon la déclaration de la société. « Cela permettra aux utilisateurs de choisir d'envoyer des diagnostics lorsqu'ils ont besoin d'une assistance technique et d'éviter la collecte excessive de données inutiles de notre part », selon la déclaration.
Apple et Google collaborent depuis plusieurs semaines sur l'API « Exposure Notification », que l’État du Dakota du Nord prévoit d’utiliser pour une seconde version de son application de traçage de contacts. L'API utilisera la technologie Bluetooth pour échanger des clés entre téléphones. Les sociétés ont dit que leur API ne recueillera pas de données de localisation et ne pourra pas identifier les utilisateurs. Les autorités qui décident de l’utiliser ne devraient pas exiger des numéros de téléphone des utilisateurs.
Ces genres de nouvelles pourraient ramener au premier plan la question de savoir si ces applications seront installées massivement par les gens pour qu’elles puissent être utiles, certains utilisateurs ayant déjà commenté qu’ils n’utiliseraient pas l’API Google-Apple dès son lancement mercredi.
Source : Jumbo Privacy
Et vous ?
:fleche: Que pensez-vous de l’application Care19 qui partage des données avec Foursquare, Google ?
:fleche: Selon vous, Care19 pose-t-elle un réel problème de vie privée ?
:fleche: Installeriez-vous cette application dans son état actuel ?
Lire aussi
:fleche: Covid-19 : la technologie de traçage de contacts Apple-Google suscite l'intérêt dans 23 pays, mais les autorités ne devraient pas exiger des numéros de téléphone des utilisateurs
:fleche: Covid-19 : le NHS, système national de santé en Grande-Bretagne, dévoile le code source de son application de traçage de contacts, qui contourne les restrictions d'Apple liées au Bluetooth
:fleche: L'application française de traçage Covid-19 devrait être testée dans la semaine du 11 mai, lorsque le déconfinement commencera à entrer en vigueur dans le pays
:fleche: Appli de traçage du Covid-19 : comment Apple et Google ont fait plier l'Allemagne. L'Allemagne opte pour la décentralisation des données en se basant sur l'API d'Apple et Google
