Política de privacidade da aplicação

De que aplicação se trata e quem somos

Esta é a política de privacidade da aplicação Fair Assistant para Android. O responsável pelos dados aqui descritos é Tehnokan d.o.o. Smederevo, Karadjordjeva 40, 11300 Smederevo, Sérvia. Para este sítio existe uma política de privacidade separada, e as regras do serviço estão nos termos. Abaixo importa saber onde está cada coisa: o seu telefone, onde a aplicação cria e guarda o seu trabalho; o nosso servidor, que sabe se tem direito a usar a aplicação e, se a sincronização estiver ativa, guarda os seus registos apenas em forma cifrada que não conseguimos ler; e a Google, que guarda a chave de cifragem no seu Drive e — apenas quando ativa a IA incluída no pacote — recebe, através do nosso servidor, o conteúdo que escolher (ver «Funcionalidades de IA (opcionais)»).

O que fica no seu telefone e o que guardamos cifrado

Os cartões de visita digitalizados, as fotografias, as notas, as avaliações e os lembretes são criados no seu telefone. O reconhecimento de texto corre no próprio dispositivo, por isso um cartão nunca é enviado para lado nenhum para ser lido.

A sincronização ativa-a no ecrã que surge depois do início de sessão (a aplicação sugere-a) ou mais tarde nas definições, e pode desativá-la em qualquer momento. Enquanto está ativa, os seus contactos, as notas das feiras e «O meu cartão de visita» são cifrados no seu telefone (AES-256-GCM) antes de serem enviados, pelo que ao nosso servidor chega apenas um registo cifrado. A chave é criada no seu telefone e guardada no seu Google Drive, num espaço oculto que só esta aplicação consegue ver. A Tehnokan não tem essa chave e não consegue ler o que está nos registos. No servidor guardamos apenas uma impressão digital da chave, com a qual um telefone novo verifica que encontrou a chave certa (dela não se pode deduzir a chave) e, se criar uma frase de recuperação, a chave bloqueada com essa frase, que sem a frase não conseguimos abrir. A Google tem a chave, mas não os registos, pelo que nenhuma das partes os consegue abrir sozinha. As fotografias dos cartões, por agora, não são sincronizadas e ficam apenas no telefone.

De si, o servidor vê apenas o ID da sua conta, o ID da equipa, se tiver uma, o tipo de registo (contacto ou nota), quantos são e que tamanho têm, e quando cada um foi alterado pela última vez. Não vê nomes, empresas, números de telefone, endereços de e-mail, notas nem avaliações.

Quem iniciar sessão na sua conta Google nesta aplicação fica também com os seus contactos, como se tivesse na mão o seu telefone desbloqueado. Proteja a sua conta Google.

A exceção são as ações de IA que inicia por si (ver «Funcionalidades de IA (opcionais)»): o conteúdo dessa ação passa pelo servidor até à Google em forma legível, e não o guardamos.

Usar a aplicação sem iniciar sessão

Pode experimentar a aplicação sem conta. Para que a experiência gratuita seja uma por telefone, a aplicação envia ao servidor o identificador de aparelho Android; o servidor transforma-o num resumo de sentido único no momento em que chega e guarda apenas o resumo, nunca o identificador. Junto desse resumo guarda quantos contactos de experiência foram usados — no máximo cinco — um identificador aleatório que a aplicação cria para cada um, o número de versão da aplicação para o apoio, e os momentos em que esse telefone nos contactou a primeira e a última vez. Do cartão não é enviado nada: o identificador aleatório existe apenas para que o mesmo contacto não seja contado duas vezes. Se um telefone não nos contactar durante um ano, o registo é apagado automaticamente.

Iniciar sessão com uma conta Google

Quando inicia sessão, a aplicação envia ao servidor uma senha de acesso Google. Essa senha contém de facto o seu endereço de correio, o seu nome e a sua fotografia de perfil; o servidor verifica-a em memória, retira dela o identificador da conta e não retém mais nada — a senha nunca é escrita num registo. O identificador é guardado como resumo de sentido único, pelo que nem ele fica em forma legível. Em nenhum ponto da base de dados existe uma coluna para um endereço de correio, um nome ou uma fotografia. Junto do resumo guardamos um número interno de conta, quando a conta foi criada, quando foi usada pela última vez e, se pediu a eliminação, o dia em que a pediu. Cada telefone com sessão iniciada recebe um registo de sessão: um resumo da sua senha de renovação (substituída em cada renovação), os momentos de criação e de última utilização, e uma etiqueta curta e facultativa do aparelho. Como essa etiqueta a aplicação envia apenas o fabricante e o modelo do telefone — nunca o nome que o próprio deu ao aparelho, que não pedimos nem guardamos. Um registo de sessão permanece até a conta ser eliminada, mesmo depois de terminar a sessão nesse telefone.

Login no site

Na página “Sua conta” do nosso site você pode entrar com a mesma conta Google para ver a sua conta e excluí-la. O servidor trata esse login como um telefone: guarda uma sessão do site — um hash do seu token, quando foi criada e usada pela última vez — por no máximo 30 dias, e a exclui no mais tardar junto com a conta. Enquanto um login está em andamento guarda, por alguns minutos, um hash do valor de proteção e do código de uso único, e o endereço do site para onde devolver você; isso é excluído uma hora após o uso. Do Google não guarda nada: nem identificador, nem e-mail, nem nome, nem imagem — o token do Google é lido apenas em memória para encontrar a sua conta existente. Os cookies do próprio site estão descritos na política de privacidade do site.

A experiência gratuita

A experiência gratuita dura 14 dias e abrange uma feira. Para uma conta com sessão iniciada guardamos quando a experiência começou e quando termina. Para que a experiência não possa simplesmente começar de novo, uma marca permanece mesmo depois de a conta ser eliminada, e permanece sem limite de tempo: o mesmo resumo de sentido único do identificador Google, as duas datas da experiência e o dia de calendário da eliminação. Não contém número de conta algum nem mais nada sobre si. Se uma conta for eliminada antes de a experiência alguma vez ter começado, nenhuma marca é escrita. Usamos também o mesmo resumo de sentido único do identificador do telefone, para que a experiência gratuita se aplique uma só vez por telefone; conservamo-lo durante 365 dias a contar da última experiência nesse telefone, sem ligação à sua conta.

Compras

O pagamento passa pelo Google Play. Uma compra é um pagamento único, não uma subscrição: nada se renova sozinho. Isto aplica-se ao Fair Pass, ao Enterprise Fair Pass e ao lugar adicional na equipa. O seu cartão nunca o vemos e a Google não nos entrega dados de pagamento. Antes de a janela do Play abrir, o servidor escreve uma intenção: o número interno de conta, o produto, a feira ou edição a que se refere, o seu estado e os momentos de criação e de caducidade. Esse registo permanece mesmo se fechar a janela e nada for pago. De uma compra concluída guardamos o número de encomenda da Google, o produto, os estados e momentos que o Play comunica — pago, verificado, confirmado, consumido, reembolsado — o preço e a moeda quando o Play os comunica, o nosso código curto quando algo falhou, e a senha de compra do Play: cifrada, junto de um resumo de sentido único pelo qual reconhecemos de novo a mesma senha. Para que o Play possa ligar o pagamento à conta certa, vão para a Google dois identificadores nossos: o número interno de conta e o identificador dessa intenção. Nenhum deles leva o seu nome nem o seu endereço de correio. Quando um direito é restabelecido noutro telefone a partir de uma licença que a aplicação já tem, o servidor escreve registos substitutos marcados como restabelecimento, para que o direito restabelecido tenha um registo como qualquer outro.

Os direitos de uma compra e a licença no telefone

Junto da conta guardamos direitos: que feira, que edição ou que feira acrescentada por si um direito cobre, o seu tipo e o seu estado, o período de validade e de que compra provém. Para podermos contar quantas feiras abrange uma experiência ou um pacote, guardamos também uma marca por cada feira a que se aplica: o seu nome do nosso directório, ou o nome que escreveu para uma feira fora dele, e quando foi acrescentada. Se substituir uma feira por outra, a anterior permanece neste registo. Tudo isto é eliminado com a conta. A própria licença — o ficheiro assinado que a aplicação verifica — nunca é guardada. Nasce e é assinada no momento em que é pedida e vai directamente para o telefone. Na base de dados está apenas a parte pública das chaves de assinatura e o nome da variável de ambiente onde a chave privada se encontra, nunca a chave. Como a aplicação verifica a licença no aparelho, funciona sem ligação à internet; pela mesma razão uma licença que já está num telefone não pode ser retirada antes de caducar. Um reembolso ou uma eliminação impedem que seja emitida uma nova.

Equipas

Uma equipa é comprada por uma só pessoa, o gestor. Os restantes entram com um convite (um código ou código QR que o gestor partilha) e não pagam nada.

O gestor pode ativar a partilha de contactos na equipa. O telefone do gestor cria então uma chave da equipa, que chega aos membros no convite QR e é também guardada no Google Drive do gestor e de cada membro, no espaço oculto da aplicação. A parte do convite que contém a chave não é enviada ao nosso servidor. Os registos da equipa são cifrados com essa chave, pelo que o servidor os guarda mas não os consegue ler. A aplicação guarda também a chave da equipa como um registo cifrado com a chave pessoal de cada membro, pelo que o servidor também não a consegue ler.

Todos os membros veem os contactos da equipa e podem editá-los. Um membro elimina apenas os contactos que ele próprio adicionou, e o gestor pode eliminar todos os registos da equipa. Um contacto de uma feira abrangida pela equipa vai automaticamente para o espaço da equipa; pode devolver qualquer contacto ao seu espaço pessoal com o interruptor «Partilhar com a equipa».

Quem sai da equipa ou é removido perde de imediato o acesso aos registos da equipa no servidor, e a aplicação elimina do seu telefone os contactos da equipa que não adicionou ele próprio. A chave da equipa não é alterada nesta versão, pelo que o que um membro já exportou ou copiou para fora da aplicação não está sob o nosso controlo.

De uma equipa, o servidor conhece o número interno de conta de cada membro (não o nome nem o e-mail), quem é o gestor, quando cada um entrou e saiu, quantos lugares tem a equipa e quantos estão ocupados, quantas substituições foram usadas, que feiras abrange e até quando, de que compra provém a equipa e quem adicionou cada registo. Guardamos o convite apenas como resumo de sentido único, com uma data de caducidade e um número de utilizações. A pertença à equipa não dá ao gestor qualquer acesso ao seu telefone nem aos seus contactos pessoais. Pode sair de uma equipa quando quiser; se tinha um Fair Pass pessoal, não o perde por entrar numa equipa.

Feiras que acrescenta por si

Uma feira que não esteja no nosso directório pode acrescentá-la na aplicação. Guardamos o nome e a cidade que escreve, o país como código de duas letras que escolhe de uma lista, as datas se as indicar, um identificador que a aplicação cria, e os momentos em que o registo nasceu e — se aconteceu — foi transmitido. Uma feira que acrescente pode ser transmitida como proposta para o directório público de feiras deste sítio; essa cópia vive fora da base de dados da aplicação e a eliminação da sua conta não a afecta. A uma feira assim nunca é juntado contacto algum. Quando a conta é eliminada, uma feira que acrescentou é eliminada com ela; se uma compra ou um direito se lhe referir, o registo permanece mas o nome e a cidade são sobrescritos, de modo que do que escreveu não resta nada.

Funcionalidades de IA (opcionais)

A IA incluída no pacote é opcional e está desativada por predefinição. Ativa-a por si, na aplicação, depois da explicação que vê antes de a ativar, e pode desativá-la quando quiser — a desativação produz efeito de imediato. Enquanto está desativada, nada é enviado para a IA e a aplicação funciona como antes. Destina-se a pessoas com 18 anos ou mais.

Quando está ativa, a IA é usada apenas para ações que inicia: (1) ler um cartão de visita — são enviados o texto que o telefone já leu do cartão, os códigos QR lidos e os nossos campos provisórios; se isso não bastar, também a fotografia desse único cartão; (2) redigir um e-mail de seguimento — são enviados o nome, a empresa, o cargo, o país e a língua da pessoa, de «O meu cartão de visita» apenas o seu nome, empresa e cargo (não o seu número de telefone nem o seu endereço de e-mail), e o nome da feira; (3) resumir notas — são enviados as notas, a avaliação (por exemplo, «4/5») e o estado do seguimento do contacto ou da feira que escolher. As notas só seguem com a sua confirmação expressa no momento do envio.

Não são enviados: outros contactos, a base de dados inteira, avaliações fora de um resumo de notas, lembretes, fotografias que não sejam a desse único cartão, o seu número de conta, o seu endereço de e-mail ou o nome da sua conta Google, nem o identificador do telefone. O pedido à Google é feito pelo nosso servidor, não pelo seu telefone.

Não guardamos o conteúdo: o servidor mantém-no em memória enquanto é processado, devolve-lhe o resultado e esquece-o. Não é escrito na base de dados, no diário de funcionamento, nas cópias de segurança nem no registo de 24 horas dos pedidos repetidos. Guardamos apenas um contador — quantas ações de IA usou num dia, de que tipo e quanto foi consumido —, ligado à sua conta, durante, no máximo, 90 dias, para aplicar os limites diários e acompanhar o custo. Se não houver rede ou a IA não responder, a aplicação usa a sua própria leitura no telefone ou o modelo de e-mail; nada fica em fila para ser enviado mais tarde.

O conteúdo é tratado pela Google (Gemini API, serviço pago) segundo os termos da Google para esse serviço: de acordo com eles, a Google não o usa para melhorar os seus produtos nem para treinar modelos, e regista os pedidos e as respostas durante um tempo limitado, apenas para detetar abusos e cumprir obrigações legais. Mais informações em «Quem mais participa».

Vê sempre o resultado e pode editá-lo antes de qualquer coisa ser guardada ou enviada: um cartão abre-se como rascunho, um e-mail como texto num editor, e só é enviado quando o enviar você mesmo através do seu próprio programa de correio. Nada é feito automaticamente. A IA pode enganar-se, por isso verifique nomes, números e endereços.

Um cartão de visita contém dados de outra pessoa. Envia-o para a finalidade para a qual digitalizou o cartão; use a IA apenas para cartões que tem o direito de tratar.

Registos técnicos

Para que o serviço funcione e um problema possa ser examinado, o servidor mantém um diário técnico de acontecimentos: apenas identificadores, estados predefinidos, números e momentos. Não contém texto livre — o nome de uma feira que acrescentou, por exemplo, não é nele escrito de propósito. Conservamos esses acontecimentos enquanto nos fizerem falta para o apoio e a segurança; quando elimina a conta, perdem a ligação a ela. De cada escrita que a aplicação faz guarda-se um registo curto durante 24 horas, para que o mesmo pedido não seja executado duas vezes: o número interno de conta, a chave que a aplicação enviou, de que operação se tratava, um resumo de sentido único do pedido e a resposta que foi dada. Desaparece ao fim de um dia, e de imediato quando uma conta é eliminada. O diário próprio do servidor anota o pedido — método, caminho, resposta e hora — juntamente com o endereço de rede (endereço IP) de onde veio; o conteúdo de um pedido nunca é anotado, e as senhas de acesso e de renovação, as licenças e as senhas de compra são apagadas em todo o lugar onde pudessem aparecer. Esse diário conserva-se durante, no máximo, 14 dias, por segurança e contra o abuso, e não usamos o endereço para saber onde se encontra. Os endereços de rede mantêm-se brevemente em memória para limitar a frequência com que um mesmo endereço nos pode contactar. Na base de dados não é guardado um único endereço de rede, e não contém qualquer registo publicitário ou de análise.

Quem mais participa

Neste funcionamento participam três empresas e nenhuma outra. A Google aparece em três papéis: início de sessão e pagamento, guarda da chave e, apenas se ativar a IA incluída no pacote, processamento dos pedidos de IA.

Google (início de sessão e pagamento): verifica a sua senha de acesso e, através do sistema de facturação do Google Play, recebe o pagamento, confirma a compra e comunica-nos o seu estado — para o que recebe os dois identificadores internos descritos acima.

Google (Drive, guarda da chave): enquanto a sincronização está ativa, é escrito no espaço oculto da aplicação, no seu Google Drive, um pequeno ficheiro com a chave de cifragem. Os contactos e as notas não vão para o Drive. A aplicação pede apenas permissão para o seu próprio espaço oculto (drive.appdata) e não vê os seus outros ficheiros; concede a permissão num ecrã da Google e pode retirá-la nas definições da sua conta Google. A Google recebe para isto o ficheiro com a chave, não os registos.

Google (IA, Gemini API) — apenas se ativar a IA incluída no pacote. Finalidade: ler um cartão de visita para campos, redigir um e-mail ou resumir notas, quando o inicia. Dados: o texto ou a fotografia do cartão, os códigos QR lidos, os campos provisórios que já extraímos; para um e-mail, também o nome, a empresa, o cargo e a língua da pessoa, de «O meu cartão de visita» apenas o seu nome, empresa e cargo, e o nome da feira; para um resumo, as notas, a avaliação e o estado do seguimento, apenas com a sua confirmação expressa. Não enviamos o seu número de conta, o seu endereço de e-mail, o nome da sua conta Google nem o identificador do telefone. Usamos a versão paga do serviço; segundo os termos da Google para essa versão, a Google não usa o seu conteúdo para melhorar os seus produtos nem para treinar modelos, e regista os pedidos e as respostas durante um tempo limitado, apenas para detetar abusos e cumprir obrigações legais. Localização: a Google trata os dados nas suas próprias instalações, que podem situar-se fora da União Europeia e da Sérvia. Pode pôr fim a isto em qualquer momento, desativando a IA incluída no pacote.

Hostinger: o servidor em que tudo isto funciona é uma máquina virtual na União Europeia, na Hostinger. Aí são guardados também os registos de sincronização cifrados.

Cloudflare: com ela, na União Europeia, guardamos cópias de segurança cifradas da base de dados. As cópias de segurança contêm também os registos de sincronização cifrados, que não conseguimos ler; o conteúdo das ações de IA nunca está nelas, porque não é escrito na base de dados.

Não vendemos dados nem os entregamos a anunciantes, e a aplicação não leva publicidade nem software de análise.

Eliminar a conta e o que lhe sobrevive

Pode pedir a eliminação na aplicação, ou por e-mail como se descreve na página como eliminar a sua conta. Não se executa de imediato: a conta é eliminada definitivamente 7 dias depois do pedido, até lá pode mudar de ideias na aplicação escolhendo «Manter a minha conta», e a aplicação mostra-lhe a data exacta em que se torna definitiva. Nesse dia são eliminados a conta, as sessões em todos os seus telefones, as marcas das feiras abrangidas pela sua experiência ou pelos seus pacotes (com o nome que escreveu), a sua pertença a uma equipa, os contadores de utilização da IA e a ligação entre si e as suas compras, e também os registos de 24 horas. Os seus registos sincronizados pessoais e os dados da chave são também eliminados nesse dia.

Os contactos sincronizados, as notas e «O meu cartão de visita» são guardados de forma permanente, até os eliminar você próprio. Perder ou trocar de telefone, eliminar a aplicação e voltar a instalá-la não elimina nada: depois de iniciar sessão com a mesma conta Google, tudo volta. A sincronização pessoal continua a funcionar também depois de terminar a experiência ou o Fair Pass. Os registos eliminam-se de duas formas. Com o botão «Eliminar do servidor» na aplicação, desaparecem de imediato, e os contactos no seu telefone ficam. Com a eliminação da conta, desaparecem 7 dias depois do pedido e já não podem ser recuperados. Quando pede a eliminação a partir da aplicação, esta elimina também o ficheiro com a chave do seu Google Drive. Pode também eliminar você próprio o ficheiro com a chave no Google Drive (Google Drive, definições, gerir aplicações, eliminar os dados ocultos da aplicação). Sem os registos no servidor, esse ficheiro não abre nada.

Numa equipa, um membro elimina os registos que adicionou ele próprio, e o gestor todos os registos da equipa. Os registos adicionados por um membro que elimina a sua conta ficam com a equipa, sem ligação a essa conta. Quando uma equipa deixa de existir (caduca sem renovação, a compra é reembolsada ou a conta do gestor é eliminada), os seus registos são guardados mais 90 dias e depois eliminados.

Depois da eliminação, os registos cifrados podem permanecer, no máximo, mais 8 semanas nas cópias de segurança da base de dados e depois desaparecem.

Quatro coisas permanecem de propósito. Os registos de compra — número de encomenda da Google, produto, montante, moeda, datas e a senha de compra cifrada — permanecem enquanto a lei contabilística o exigir; junto de nós já não estão ligados a uma pessoa; o prazo exacto ainda o estamos a apurar com um contabilista, e até lá estes registos não são eliminados automaticamente. O resumo de sentido único do seu identificador Google com as datas da experiência permanece sem limite de tempo, apenas para que a experiência gratuita não comece de novo. O resumo de sentido único do identificador do telefone em que a experiência começou permanece durante 365 dias a contar da última experiência nesse telefone, porque não está ligado à conta. E as cópias de segurança da base de dados são conservadas cifradas na Cloudflare (UE) durante, no máximo, 8 semanas, pelo que uma conta eliminada desaparece delas o mais tardar 8 semanas depois da eliminação. Os acontecimentos técnicos permanecem, mas já sem ligação a si. Uma licença que já está no telefone continua a funcionar até caducar, porque não pode ser retirada.

O conteúdo das ações de IA não consta desta lista, porque nunca o guardámos; a Google conserva-o apenas durante o tempo descrito em «Quem mais participa».

Os seus direitos

Pode perguntar o que temos sobre si, pedir a sua correcção ou eliminação, pedir uma cópia, opor-se ao seu uso e retirar o consentimento. Escreva para hello@fairassistant.com a partir do endereço Google com que inicia sessão na aplicação, ou envie o pedido a partir da aplicação com a sessão iniciada. O responsável é Tehnokan d.o.o. Smederevo, Karadjordjeva 40, 11300 Smederevo, Sérvia. Se não ficar satisfeito com a nossa resposta, pode dirigir-se à autoridade de protecção de dados do seu país.

Perguntas e respostas

Onde ficam guardados os meus contactos?

No seu telefone. Se ativar a sincronização (no ecrã que surge depois do início de sessão, onde a app a sugere, ou mais tarde nas definições; pode desativá-la em qualquer momento), há também uma cópia cifrada no nosso servidor, na União Europeia. A chave para a abrir está no espaço oculto da app, no seu Google Drive. As fotografias dos cartões ficam apenas no telefone.

E se eu perder o telefone?

Instale a app num telefone novo e inicie sessão com a mesma conta Google. A app vai buscar a chave ao Drive, descarrega os registos e recupera os seus contactos e notas. Se não tiver acesso a essa conta Google, a recuperação só é possível com a frase de recuperação, se a tiver criado, ou a partir de uma cópia de segurança manual (ZIP). As fotografias dos cartões, por agora, não são recuperadas.

A Tehnokan consegue ver os meus contactos?

Não. O nosso servidor guarda apenas registos cifrados sem a chave (guarda apenas a impressão digital da chave e, se a criar, a chave bloqueada com a sua frase de recuperação) e vê apenas o ID da sua conta, o número e o tamanho dos registos e quando mudaram. A exceção são as ações de IA que inicia por si: nesse caso, o conteúdo passa pelo servidor até à Google e não o guardamos. Pode eliminar os registos do servidor sempre que quiser.