Во-первых, смотря какое ПО.
Во-вторых, смотря что считать "шпионажем". Файлы cookies, собираемые браузером, позволяют узнать о вас довольно много — но это скорее техническая информация, интересная владельцам сайтов. Причём интересная на уровне статистики: скажем, мне вот важно, из каких стран меня читают (и совершенно неинтересно, где сидит конкретная посетительница).
Если задаться такой целью, то узнать что-то, что вы хотите скрыть, можно даже по шуму вентиляторов в вашем компьютере*. Но это вряд ли позволяет сказать "вентиляторы за вами шпионят".
Понимаю, что написанное мной не слишком уж конкретно, но конкретный ответ на вопрос вида "правда ли, что приложение ПочтаВТелефоне для Vedroid передаёт текст писем в ФСБ" — требует весьма глубокого изучения конкретной программы. Сделать такой анализ для всего ПО хотя бы на российском рынке — задача, прямо скажем, не уровня Яндекс.Кью.
*) скажем, можно так спалить тот факт, что вы вместо написания письма по работе играете в Doom Eternal. (: