Política de Privacidade

Quem cuida dos seus dados

O Pombilds é mantido por [nome do responsável pelo Pombilds], controlador dos dados pessoais tratados aqui, nos termos da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). Para qualquer assunto de privacidade, inclusive com o encarregado pelo tratamento de dados, escreva para [e-mail de contato].

O que guardamos e por quê

• Sua conta. Seu e-mail, para você entrar (com o Google ou com um código de 6 números) e para avisar quem montou o mapa quando o presente for aberto. O código vale 10 minutos e fica guardado só como hash, uma impressão que não revela o número. Base legal: execução do contrato (LGPD, art. 7º, V). Prazo: enquanto a conta existir.
• Entrar com o Google. Se você tocar em "Continuar com o Google", o Google nos manda seu e-mail e o número da sua conta Google (escopos openid, email e profile), e só esses dois ficam guardados. O nome e a foto do perfil vêm junto e são descartados; nenhuma chave de acesso do Google fica com a gente, e o login não pede acesso a mais nada da sua conta. Base legal: execução do contrato. Prazo: enquanto a conta existir. Para tirar a permissão do Pombilds na sua conta Google, use myaccount.google.com/permissions.
• Rosto ou digital (passkey). O reconhecimento acontece no seu aparelho. Recebemos e guardamos só uma chave pública, que não contém nada do seu rosto ou da sua digital. Base legal: execução do contrato. Prazo: enquanto a conta existir.
• Sessão. Um cookie mantém você conectado por até 30 dias. Com a sessão, guardamos o endereço IP e o tipo de navegador, para segurança e para você poder sair dos outros aparelhos. Para barrar abusos, como pedidos de código em excesso, o servidor também conta pedidos por IP e por e-mail, só na memória e por no máximo um dia. Base legal: execução do contrato e legítimo interesse em manter o serviço seguro (art. 7º, IX). Prazo: até a sessão terminar.
• Link de presente. Guardamos só o hash do link, quando ele foi aberto e se foi revogado. Ao abrir o presente, criamos para quem recebeu uma conta sem e-mail, que depois pode ser guardada com rosto, digital ou e-mail. Base legal: execução do contrato. Prazo: enquanto o mapa existir.
• O mapa de vocês. O nome ou apelido das duas pessoas, o gênero de cada pombo (ela, ele ou neutro, só para o desenho e a concordância do texto), o título e a dedicatória, os lugares (nome, país e o ponto no mapa) e as datas, os pratos, os perrengues, os sonhos de viagem e o que cada um escreve, e o idioma de quem montou o mapa, usado na prévia do link de presente e no aviso por e-mail. Quem monta o mapa escreve o nome e o gênero de quem vai receber; quem recebe pode mudar os dois em Ajustes. Base legal: execução do contrato; para o que for sensível, veja abaixo. Prazo: até ser apagado no app ou a conta ser apagada.
• Fotos e vídeos. Antes de enviar, o seu navegador lê a data, o fuso e, se houver, o GPS das fotos, só para sugerir as viagens e os lugares; essa leitura acontece no seu aparelho, e o GPS não é enviado. O navegador tira os dados escondidos do arquivo (EXIF, XMP, IPTC) antes de enviar, o servidor gera cópias em alguns tamanhos, também sem eles, e apaga o arquivo enviado. Da foto guardamos também a data em que ela foi tirada. O vídeo é cortado em até 30 segundos e reduzido no seu aparelho antes de subir. Nada é oferecido para download e o original não fica conosco. Base legal: execução do contrato. Prazo: até você remover a foto ou o vídeo.
• Busca de lugares. A busca roda no nosso servidor, numa tabela própria de lugares (GeoNames). A partir de 3 letras, o servidor também consulta o Photon, da komoot: ele recebe só o texto buscado (ou, quando você marca um ponto no mapa, as coordenadas desse ponto) e o endereço do nosso servidor, nunca o seu IP, seu nome ou seu mapa. Base legal: execução do contrato.
• O mapa na tela. O globo e as ruas vêm dos nossos próprios arquivos; nenhum serviço de mapas de terceiros vê por onde você navega.
• Dados técnicos. Erros e desempenho vão para o Sentry; o uso do app (quais telas e ações, nunca o conteúdo) vai para o PostHog. Os dois recebem só números de identificação (da conta, do mapa, do capítulo): textos, nomes de lugares, e-mails, links de presente e links das fotos são removidos antes do envio, e não há gravação de tela. Os registros do servidor (página pedida, horário e IP) servem para segurança e diagnóstico. Base legal: legítimo interesse em manter o app funcionando e melhorá-lo (art. 7º, IX, e art. 10). Prazo: até 90 dias no Sentry, até 1 ano no PostHog e até 30 dias nos registros do servidor.

Dados sensíveis

O que vocês escrevem pode falar da vida a dois, da saúde ou da vida sexual, e o gênero dos dois pombos pode indicar orientação sexual. A LGPD trata esses dados como sensíveis (art. 5º, II). Eles servem só para mostrar o mapa a vocês dois, e o tratamento se apoia no seu consentimento (art. 11, I): você decide o que escreve e pode retirar o consentimento apagando o texto, mudando o gênero ou apagando a conta.

Quem vê o mapa

Só as duas pessoas do mapa. Cada um edita a própria voz e os próprios sonhos de viagem (um sonho realizado sai dos sonhos quando um dos dois põe a viagem no mapa e deixa a caixa marcada, e fica no capítulo, com o "Por que lá?", até o capítulo ser apagado); o resto, os dois editam. Ninguém da equipe lê o que vocês escrevem ou vê suas fotos, salvo se você pedir ajuda e autorizar, para investigar uma denúncia de abuso ou por obrigação legal. O link de presente abre o mapa para quem o tiver antes de ele ser usado, então mande só para quem vai receber.

Google Fotos

• Se você escolher "Do Google Fotos", o Pombilds pede ao Google permissão para ver só as fotos que você selecionar no seletor do próprio Google (escopo photospicker.mediaitems.readonly). Não temos acesso à sua biblioteca, aos seus álbuns nem a outras partes da sua conta.
• A permissão vale 1 hora. Na aba aberta, ela fica guardada até vencer. No nosso servidor, ela fica cifrada só enquanto copiamos as fotos que você escolheu, no máximo 1 hora, e é apagada assim que a cópia termina. Nunca é registrada em log.
• Logo depois da escolha, copiamos as fotos e os vídeos escolhidos para o nosso armazenamento, cada um com uma miniatura feita pelo Google, para a importação não depender do Google depois. Deles recebemos a imagem ou o vídeo, o instante em que foi feito, o tamanho e a câmera. As fotos que você põe no mapa seguem o mesmo caminho das outras fotos e viram cópias limpas. Do vídeo, o Google nos entrega uma cópia que ele mesmo converte; fazemos dela uma prévia leve para você escolher o trecho, e só o trecho escolhido (até 30 segundos) fica no mapa. O que não entra é apagado ao salvar ou descartar, ou em até 7 dias se ficar sem salvar; a cópia e a prévia do vídeo são apagadas assim que o trecho é guardado. A miniatura sai junto. A sessão do seletor é apagada no Google assim que a escolha chega.
• Usamos essas fotos só para montar o seu mapa. Não as usamos em publicidade, não as vendemos, não as passamos a terceiros além dos serviços que fazem o Pombilds funcionar (listados abaixo), não treinamos inteligência artificial com elas, e ninguém as vê além de vocês dois, salvo com a sua permissão, por segurança ou por obrigação legal.
• O uso e a transferência, pelo Pombilds, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. (Pombilds's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.)
• Para apagar, remova a foto do mapa ou apague a conta. Para tirar a permissão do Pombilds na sua conta Google, use myaccount.google.com/permissions.

O site pombilds.com

• Sem cookie e sem banner. O site de divulgação não grava nada no seu navegador. Ele conta as visitas de forma anônima, com um número aleatório que vale só para aquela visita: a página aberta e o idioma dela, a identificação do seu navegador (para saber se é celular ou computador, e pessoa ou robô), de onde você veio, os botões tocados, as perguntas abertas, o mini-filme do postal e se você montou o casal no seletor (nunca quais pombos). Vai para o PostHog; nunca nome, e-mail ou o que você escreve. Base legal: legítimo interesse em saber o que funciona no site (art. 7º, IX). Prazo: até 1 ano.
• O idioma na entrada. No endereço sem página (pombilds.com/), a Cloudflare lê o idioma do seu navegador e, sem ele, o país do seu IP, só para abrir a página em português ou em inglês. Nós não guardamos nem um nem outro.
• Do site ao app. Os botões para o app levam o idioma da página, que passa a ser o idioma do app (o cookie de idioma), e o número da visita depois do # do endereço, a parte que o navegador não manda a nenhum servidor. Se você criar a conta, a visita passa a contar junto com o seu uso do app, para sabermos qual página trouxe quem se cadastrou.
• Erros. Se algo der errado no site, o relatório vai para o Sentry, como os do app.
• As fotos do site. São de quem fez o Pombilds, publicadas com a permissão das pessoas que aparecem nelas.

Com quem compartilhamos

Contratamos estes serviços para o Pombilds funcionar, e cada um recebe só o necessário para a sua parte:

• Cloudflare (Estados Unidos): rede e proteção do site, armazenamento das fotos e vídeos num espaço privado (cada foto abre por um link assinado que vence em 7 dias) e envio dos e-mails.
• Hetzner (servidor nos Estados Unidos): onde o app roda e o banco de dados fica.
• Sentry (Estados Unidos): relatórios de erro e desempenho.
• PostHog (Estados Unidos): métricas de uso.
• komoot (Alemanha): busca de lugares pelo Photon, sem dados seus.
• Google (Estados Unidos): o login com o Google e o Google Fotos, se você usar. Quando o botão do Google Fotos aparece, seu navegador já baixa o script de login do Google, que vê seu IP e seu navegador.
• flagcdn.com: as bandeiras dos países são imagens desse serviço, baixadas direto pelo seu navegador, que mostra a ele seu IP e seu navegador.
• Autoridades: só por ordem judicial ou obrigação legal.

Transferência para outros países

Como esses serviços ficam fora do Brasil, seus dados vão para os Estados Unidos e para a Alemanha. Isso acontece quando é necessário para cumprir o contrato com você e com as garantias da LGPD (art. 33), como as cláusulas-padrão contratuais da ANPD e os acordos de proteção de dados de cada fornecedor. Os seus direitos, descritos abaixo, valem do mesmo jeito.

Cookies e armazenamento no aparelho

• Cookie de sessão: mantém você conectado. Sem ele não dá para entrar.
• Cookie de idioma (PARAGLIDE_LOCALE): guarda o idioma do app neste aparelho, por até 400 dias.
• Cookie do último jeito de entrar (better-auth.last_used_login_method): guarda se você entrou da última vez neste aparelho com o Google, com o código ou com o rosto ou a digital, para marcar esse botão na tela de entrar, por até 400 dias. Fica mesmo depois de sair.
• PostHog (cookie e armazenamento local que começam com ph_): um identificador para contar o uso do app.
• Armazenamento da aba (some quando a aba fecha): a permissão do Google Fotos, por até 1 hora, a escolha em andamento no Google Fotos e lembretes da própria tela.
• Banco do navegador (pombo-photos): o rascunho de uma importação de fotos, com as fotos e miniaturas escolhidas (do Google Fotos, só a lista: as fotos ficam no nosso armazenamento), até você salvar ou descartar. Fica só no seu aparelho.

O site pombilds.com não usa cookies. Não usamos cookies de publicidade nem de redes sociais. Você pode apagar ou bloquear cookies no navegador; o de sessão é necessário para entrar.

Por quanto tempo e como apagar

O que você remove no app (uma foto, uma voz, um desejo, um capítulo) sai na hora. Em Ajustes, "Apagar minha conta" tira a conta de todos os aparelhos na hora e impede novas entradas; os dados dela são apagados em até 30 dias. As cópias de segurança são substituídas em até 30 dias, e com elas some o que já tinha sido apagado.

Seus direitos

Pela LGPD (art. 18), você pode, de graça:

• confirmar se tratamos seus dados e ter acesso a eles;
• corrigir dados incompletos, errados ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados fora da lei;
• receber uma cópia dos seus dados para levar a outro serviço;
• pedir a eliminação dos dados tratados com o seu consentimento e retirar esse consentimento;
• saber com quem compartilhamos seus dados;
• saber que pode não consentir, e o que acontece se não consentir;
• opor-se a um tratamento que não cumpra a lei.

Muita coisa você faz sozinho no app: editar, remover e apagar a conta. Para o resto, escreva para [e-mail de contato]; respondemos em até 15 dias. O Pombilds não toma decisões automatizadas sobre você. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (gov.br/anpd).

Segurança

A conexão é sempre criptografada (HTTPS), as fotos ficam num espaço privado e só abrem por links assinados que vencem, os códigos são guardados como hash e não existem senhas. Nenhum sistema é infalível: se um incidente puder trazer risco a você, avisamos você e a ANPD.

Idade

O Pombilds é para maiores de 18 anos. Se soubermos de uma conta de alguém mais novo, ela é apagada.

Mudanças nesta política

Se mudarmos algo importante, avisamos no app ou por e-mail pelo menos 30 dias antes de valer. A data no topo mostra a versão em vigor.

Contato

[nome do responsável pelo Pombilds] · [e-mail de contato]

Termos de uso