Nem é hipótese, é verdade mesmo.
Aliás, se for observar o tráfego do celular via um roteador capaz de fazer isso, até mesmo com tudo desativado ainda saem dados do celular que são enviados aos servidores da Google, mas como é criptografado diretamente do celular e o código é proprietário, não tem como saber o que é enviado e é só uma questão de confiança de que eles não vão usar seus dados, mesmo esses dados sendo a maior fonte de renda direta da empresa, em forma de anúncios direcionados. Sem falar que lucro imediato nem sequer é a única motivação de uma empresa global pra guardar dados de todo mundo.