Política de Privacidade

01 Interpretação e definições

• Conta: Uma conta única criada para Você acessar o nosso Serviço.
• Aplicativo / Serviço: O programa de software chamado Aletto.
• Empresa ("Nós", "Nosso"): Tandavaworks Global LLP, Chennai, Tamil Nadu, Índia — atuando como Data Fiduciary / Controlador.
• Dados pessoais: Quaisquer dados sobre um indivíduo identificável.
• Nome de usuário: Um nome público único (o seu @nomedeusuario) que você escolhe para se identificar para outros usuários. É o seu Handle. O app chama de nome de usuário no caso de uma pessoa e de handle no caso de um canal; são a mesma coisa, tirada da mesma lista de nomes.
• Conexão: Outro usuário do Aletto com quem você está conectado. Uma conexão é mútua: um de vocês envia uma solicitação e, quando o outro a aprova, cada um pode enviar pings ao outro. Se os dois enviarem uma solicitação, vocês ficam conectados na hora. O app lista as suas conexões em Mutuals.
• Destinatário: Uma pessoa (uma Conexão, ou um endereço de e-mail que você informa) a quem um ping é entregue.
• Ping: Uma mensagem que você agenda para um horário, envia agora ou que dispara em um evento que você escolhe. Pode ir para você, para as suas Conexões, para um Círculo ou para um Canal. No app, um ping que vai só para você se chama Lembrete, e um que vai para outra pessoa, Mensagem. (Versões anteriores do Serviço chamavam um ping de "alerta".)
• Mensagem de voz: Uma gravação de áudio que você faz no app e anexa a um ping ou publicação. Diferente do ditado, ela é armazenada: é conteúdo, não uma forma de digitar.
• Lugar salvo: Um lugar que você salva (um nome e coordenadas no mapa) para reutilizar ao criar pings de chegar e sair.
• Ping de chegar e sair: Um ping que dispara quando o seu dispositivo entra, sai ou permanece ("fica") por um tempo definido dentro de um limite virtual (uma "geocerca") ao redor de um Lugar salvo. Assim ele pode disparar de acordo com onde você está, mesmo com o app fechado. O tamanho do limite (o raio) é definido em cada ping de chegar e sair. Cada ping de chegar e sair é monitorado por um telefone do seu dono de cada vez.
• Assinatura: Um plano pago recorrente: Plus, Pro ou Business. Esta palavra se refere apenas à cobrança; seguir um canal não é uma assinatura.
• Créditos: Um saldo consumível no app usado para enviar pings por métodos de entrega pagos (atualmente o e-mail). Os créditos são comprados avulsos, incluídos em um plano, concedidos todo mês a contas gratuitas com login, ou recebidos como Recompensa por convite.
• Recompensa por convite: Créditos dados tanto a quem convidou alguém quanto a quem entrou, quando a nova conta tem um login verificado e o primeiro ping dela chegou a outra pessoa.
• Ping automático: Um ping de chegar e sair ou um ping do YouTube ou da Twitch, que dispara por um evento, e não por um horário. Os planos limitam quantos podem estar ativos ao mesmo tempo.
• Método de entrega: Como um ping ou publicação chega a uma pessoa: por notificação do app (push), por e-mail ou como notificação do navegador. O app chama isso de "Entrega".
• Círculo: Um grupo com nome de pessoas com quem você já está conectado, usado como público de um ping. Um círculo, por si só, não cria conexão com ninguém.
• Canal: Um fluxo de publicações do seu dono, que outros usuários podem escolher seguir. Um canal é público, não listado ou privado. Só seguidores aprovados veem as publicações de um canal privado.
• Publicação: Um item de um canal. O dono a escreve, ou ela é gerada quando um dos pings dele dispara. (Versões anteriores do Serviço chamavam uma publicação de "atualização".)
• Handle: O @nome público que identifica um usuário ou um canal. Usuários e canais compartilham um único espaço de nomes, então um handle é único entre os dois.
• Seguidor: Um usuário que escolheu receber um canal. Seguir é o consentimento, e o dono de um canal nunca pode adicionar um seguidor.
• Conteúdo do ping: O que um ping ou publicação leva: uma mensagem opcional e até 20 anexos (fotos, mensagens de voz e links), em qualquer combinação.
• Perfil: A página que outros usuários veem quando abrem a sua conta: o seu nome, nome de usuário e foto, os canais públicos que você administra e dois números sobre esses canais.
• Web App: O Aletto em www.aletto.app, usado em um navegador com a mesma conta do app. Veja §12.
• Aba Pings: A lista no app dos pings que chegaram a você e dos avisos sobre a sua conta. (Versões anteriores do app a chamavam de Caixa de entrada.)
• Convite: Um e-mail, ou um link que você mesmo compartilha, chamando alguém que não está no Aletto para entrar.
• Ping do YouTube ou da Twitch: Um ping que dispara quando um canal público em uma plataforma de terceiros (atualmente YouTube ou Twitch) faz algo que você escolheu acompanhar.
• Canal observado: O canal público em uma plataforma de terceiros que um ping do YouTube ou da Twitch observa. Ele pertence a um terceiro, que normalmente não é usuário do Aletto. Não é um Canal do Aletto.
• Reação: Um emoji que você pode deixar em um canal, em uma publicação ou em um ping que chegou a você. Você pode ter um por item, e escolher outro o substitui.
• Pedido de chegar e sair: Um pedido enviado a outro usuário propondo que ele crie um ping de chegar e sair no próprio dispositivo, para um lugar, raio e gatilhos que você propõe, com você como destinatário. Ele decide se vai criá-lo.
• Solicitação de conexão / Permissão: O pedido de um usuário para se conectar com outro, e a autorização que resulta dele. Pode ser solicitada, aprovada, recusada ou revogada.
• Link de verificação: Um link de uso único e com prazo enviado a um endereço de e-mail para verificar a titularidade ou aceitar uma solicitação.
• Bloquear / Denunciar: Controles que permitem impedir que outro usuário entre em contato com você (Bloquear), ou sinalizar um usuário ou conteúdo para a nossa análise (Denunciar).
• Titular dos dados / Data Principal / Consumidor: Você, o indivíduo a quem os dados se referem.

02 Coleta e uso dos seus dados pessoais

Tipos de dados coletados

• Informações de contato: E-mail, nome e sobrenome. Eles vêm do login com o Google, ou do endereço de e-mail e da senha com que você se cadastra no app ou no site. Nunca recebemos a sua senha; quem a verifica é o provedor de login.
• Uso como convidado: Você pode usar o Aletto como convidado sem criar uma conta permanente. Um convidado pode ver conteúdo, buscar e ver pessoas e criar pings só para si mesmo, entregues como notificações do app. Um convidado não pode adicionar endereços de e-mail, criar círculos ou canais, seguir canais, se conectar com pessoas ou convidá-las, pedir um ping de chegar e sair nem usar entrega paga. Um convidado não recebe créditos gratuitos e nunca aparece nos resultados de busca de outros usuários. O Serviço ainda precisa guardar os dados de uma conta de convidado para funcionar, e esses dados ficam vinculados à instalação. Se você sair sem antes vincular a conta de convidado a uma conta do Google ou de e-mail, a conta e os dados dela são perdidos para sempre, e não conseguimos recuperá-los.
• Perfil e nome de usuário: Um nome de usuário público único e um nome de exibição. Junto com a sua foto, eles identificam você e, se a opção de ser encontrado estiver ativada, permitem que outras pessoas encontrem você. Você pode remover a sua foto a qualquer momento. Nomes de exibição e nomes de canais não podem imitar o próprio Aletto.
• Imagem de perfil inicial: Se uma conta nova não tem foto, criamos uma imagem a partir das iniciais dela com o DiceBear (veja §4), que recebe o seu nome de exibição para desenhá-la. Em cerca de uma hora copiamos a imagem para o nosso próprio armazenamento e deixamos de usar o endereço do DiceBear. Até lá, um dispositivo que mostra a sua imagem a busca no DiceBear. Você pode substituí-la ou removê-la a qualquer momento.
• Seu perfil como os outros o veem: Qualquer usuário com login que abra o seu perfil vê o seu nome, nome de usuário e foto, os canais públicos que você administra, quantos são e quantas pessoas os seguem no total. Canais não listados, privados e suspensos nunca são mostrados ali. O seu endereço de e-mail, fuso horário e conexões nunca aparecem em um perfil. A tela de um canal não informa o dono, mas o seu perfil informa, então administrar um canal público o vincula a você para qualquer pessoa que abra o seu perfil.
• O link do seu perfil: Compartilhar meu perfil dá a você um link para o seu perfil (link.aletto.app/s/…) para enviar como quiser. Abri-lo não envia nenhuma solicitação de conexão nem conecta ninguém; a pessoa pode enviar uma solicitação a você a partir do seu perfil, se quiser. Um usuário com login que o abre vê o seu perfil como descrito acima. Qualquer outra pessoa, inclusive alguém sem o app, vê apenas o seu nome, nome de usuário e foto, com links para instalar o Aletto, e apps que mostram prévias de links também podem mostrar o seu nome e a sua foto. O link não funciona para pessoas que você bloqueou, nem enquanto a sua conta estiver suspensa ou excluída.
• Preferências: O seu fuso horário, o seu idioma e como você prefere que datas e horas sejam escritas (relógio de 12 ou 24 horas e a ordem de dia, mês e ano). Elas são guardadas com a sua conta para que todos os dispositivos que você usa, e as notificações e e-mails que escrevemos para você, as sigam. Até você escolher um idioma, usamos o idioma do seu dispositivo.
• Identificadores de dispositivo e vários dispositivos: Para cada dispositivo, um UUID persistente, um token de notificação (FCM) e metadados básicos para um roteamento seguro, como nome, modelo e versão do sistema operacional. Também registramos quando cada telefone abriu o app pela última vez e, a partir de um sinal de vida que o app envia no máximo a cada seis horas (em segundo plano quando o telefone permite), quando ele confirmou pela última vez que as notificações estão chegando. Usamos esses horários apenas para perceber um telefone que parou de receber pings (veja §11). Você pode remover qualquer dispositivo a qualquer momento.
• Endereços de e-mail adicionais: Endereços que você adiciona e verifica para entrega ou para links de verificação, com o status de verificação e quais tipos de pings cada um recebe. Quando você verifica um endereço, ele é ativado para os seus próprios pings. Pings de pessoas e círculos, e publicações de canais, ficam desativados até você ativá-los. Se outra pessoa entrar depois no Aletto com um endereço que está verificado na sua conta, o endereço passa para a conta dela, você recebe um aviso com o endereço, e não contamos a nenhum de vocês nada sobre o outro.
• Imagens e arquivos que você envia: A sua foto de perfil, a imagem de um círculo, a imagem de um canal e as fotos e mensagens de voz que você anexa a um ping ou publicação, seja pelo app ou pelo site. Tudo é enviado por HTTPS e armazenado no nosso provedor de armazenamento (veja §4). Toda imagem é recodificada no envio, o que remove os metadados EXIF que uma câmera insere, inclusive as coordenadas de GPS de onde a foto foi tirada. Uma mensagem de voz é armazenada como foi gravada. Não a transcrevemos, e nada no Serviço a converte em texto. Você pode substituir ou excluir qualquer um deles a qualquer momento.
• Conteúdo de pings e publicações: A mensagem que você escreve, o agendamento ou gatilho que você define, para quem você a endereça e até 20 anexos (fotos, mensagens de voz e links). Guardamos isso porque é o que o Serviço existe para entregar, e mantemos até você excluir o ping ou a sua conta. Nunca é usado para publicidade ou criação de perfil.
• Dados de sessão web (só navegadores): Um cookie de sessão estritamente necessário e um registro de sessão correspondente quando você entra em www.aletto.app, como descrito em §12.
• Convites a pessoas que não estão no Aletto: Se você convida alguém por e-mail, nós tratamos o endereço de e-mail dessa pessoa e o fato de que você o convidou. Fazemos isso para enviar o convite e aplicar limites contra spam: um convite por endereço por remetente, para sempre; no máximo três de qualquer pessoa; e no máximo dez enviados por você em um dia. Todo convite traz um cancelamento de inscrição com um clique. Um endereço que cancela a inscrição vai para uma lista de supressão que impede para sempre que qualquer usuário do Aletto o convide de novo. O convite diz quem convidou e nada mais: nenhum conteúdo de ping e nenhuma prévia. Não lemos, importamos nem armazenamos os seus contatos ou a sua agenda de endereços. Se preferir que não tratemos nada, compartilhe você mesmo o link do convite.
• Recompensas por convite: Se alguém cria uma conta no Aletto abrindo o seu link de convite, registramos que a conta dessa pessoa entrou pelo seu convite. É um registro por conta nova, e só conta o primeiro convite que a pessoa abre. Quando a conta dela tem um login verificado e o primeiro ping dela chegou a alguém que não seja ela mesma, damos a cada um de vocês a Recompensa por convite e anotamos quando ela foi paga. Os avisos que enviamos sobre isso não citam a outra pessoa. Usamos esse registro apenas para pagar a recompensa e evitar que ela seja resgatada duas vezes ou explorada.
• Dados de conexões e destinatários: O identificador de usuário, o nome de usuário, o nome de exibição e os endereços de e-mail das pessoas com quem você se conecta ou para quem envia, o status de qualquer solicitação de conexão entre vocês e as escolhas de entrega que cada um fez para o outro. O seu nome de usuário, nome e foto ficam visíveis para as suas conexões. Adicione apenas pessoas que concordaram em receber pings.
• Dados de localização (só se você usa pings de chegar e sair): As coordenadas no mapa e o nome de cada Lugar salvo que você cria, o raio de cada ping de chegar e sair e as passagens pelo limite (chegar a um Lugar salvo, sair dele ou permanecer nele) que disparam os seus pings de chegar e sair. Para detectar essas passagens, o sistema operacional do seu dispositivo monitora a sua localização em segundo plano, conforme a permissão que você concede. As coordenadas dos lugares salvos são armazenadas criptografadas e só você pode vê-las. Elas são usadas exclusivamente para fazer funcionar os seus pings de chegar e sair: nunca para publicidade ou criação de perfil, e nunca compartilhadas com as suas conexões. Quando um ping de chegar e sair dispara, o próprio telefone confere a posição dele em relação ao limite e envia ao Aletto apenas qual ping disparou e se você chegou, saiu ou ficou, nunca as suas coordenadas. As pessoas para quem esse ping vai recebem o ping que você escreveu, que diz a elas que você chegou a esse lugar ou saiu dele. Não criamos um histórico de localização nem rastreamos os seus movimentos continuamente. Só tratamos os eventos de chegar, sair e permanecer nos lugares que você escolhe. Se o seu telefone estiver sem conexão quando passar por um limite, ele guarda a passagem (qual ping, se você chegou, saiu ou ficou, e quando) no telefone, até as 50 mais recentes, e a envia quando a conexão volta. O ping então informa quando a passagem aconteceu. Os limites são registrados e monitorados em um telefone físico, então cada ping de chegar e sair é monitorado por um dos seus telefones de cada vez, de início aquele em que foi criado. Os seus outros dispositivos e o site mostram qual telefone é esse (nome e modelo). Você pode passar um ping de chegar e sair para outro dos seus telefones com Acompanhar Neste Celular; o primeiro telefone então deixa de monitorá-lo. Se você reinstalar o Aletto ou entrar de novo no mesmo telefone, os pings de chegar e sair dele voltam para ele. Os pings de chegar e sair são totalmente opcionais. Se você nunca criar um Lugar salvo nem conceder a permissão de localização, nenhum dado de localização é coletado.
• Dados de círculos: Os círculos que você cria (nome, descrição, cor e imagem), quem está em cada um e o status de cada membro (adicionado, convidado, aceitou, recusou, saiu, removido ou silenciado), com registros de data e hora. Os membros de um círculo podem ver os outros membros. Se você recusar um círculo ou sair dele, guardamos esse fato para que o dono não possa adicionar você de novo sem avisar.
• Dados de canais: Para os canais que você possui: o nome, a descrição, a imagem, a cor, o @handle e a visibilidade (público, não listado ou privado), e as publicações neles. Para os canais que você segue: qual método de entrega você escolheu, se silenciou o canal, qualquer limite diário que definiu e até onde já leu. Para um canal privado: quem pediu para segui-lo e se o dono já respondeu. O nome, a descrição, a imagem, o handle e as publicações de um canal público ou não listado são informações públicas (veja §6). A lista de seguidores de nenhum canal é pública.
• Dados de pings do YouTube e da Twitch: O identificador público do canal que você nos pediu para acompanhar (por exemplo, o id de um canal do YouTube), o gatilho que você escolheu e a observação mais recente que fizemos desse canal, como o id do vídeo mais recente ou se ele está ao vivo no momento. Essa observação é o que nos permite distinguir uma mudança de uma repetição. Quando uma plataforma permite, registramos um callback nela para que ela possa nos avisar de conteúdo novo; as credenciais desse callback são armazenadas criptografadas. Nós não pedimos, recebemos nem armazenamos o seu login, senha, token ou dados de conta do YouTube, da Twitch ou de qualquer outra plataforma. Não lemos nada que não seja visível publicamente no canal. Também guardamos a imagem pública do canal observado, atualizada cerca de uma vez por dia. Títulos e imagens de vídeos que recebemos do YouTube ou da Twitch são removidos do seu histórico de pings e da aba Pings após 28 dias (veja §14).
• Dados de reações: A qual canal, publicação ou ocorrência de ping você reagiu, o emoji que escolheu e quando. Você tem uma reação por item, então escolher outra a substitui em vez de somar. Quem pode ver uma reação está descrito em §8.
• Pedidos de chegar e sair: Quando você pede a outro usuário que crie um ping de chegar e sair, guardamos o pedido até ele criar o ping ou recusá-lo, ou até você retirá-lo. Esse registro contém quem pediu, a quem foi pedido, o lugar, o raio e os gatilhos propostos, o status, o ping que resultou dele e registros de data e hora. Guardamos o registro de um pedido recusado para que a mesma pessoa não possa ser solicitada de novo logo em seguida. Se ele criar o ping, o lugar que você propôs é salvo na conta dele, marcado como "Criado automaticamente", usado só por esse ping e excluído junto com ele.
• Solicitações de conexão e permissões: Os usuários envolvidos e o status de cada solicitação (solicitada, aprovada, recusada ou revogada), com registros de data e hora. Aprovar uma solicitação registra a conexão nos dois sentidos.
• Dados de bloqueio, denúncias e moderação: Quando você bloqueia um usuário, registramos a relação de bloqueio para podermos impedir o contato. Quando você denuncia um usuário ou conteúdo, coletamos a denúncia (o motivo que você seleciona, o conteúdo ou identificador denunciado e registros de data e hora) e quaisquer resultados de moderação automática ou manual. Usamos isso para manter o Serviço seguro e cumprir a lei. Também registramos as solicitações de conexão que você recusa, para que não sejam mostradas a você de novo. Você pode revê-las junto com os usuários bloqueados em Pessoas → Bloqueados e recusados. Veja §10.
• Links de verificação de e-mail: O e-mail de destino e um token de uso único e de curta duração, que é invalidado depois de usado.
• Dados de assinatura e compras: O seu plano, o status dele, a data de renovação ou de vencimento, se o período atual é um teste gratuito, o seu saldo de créditos, a data da próxima recarga dos seus créditos mensais (calculada a partir de quando você se cadastrou ou comprou o seu plano) e as suas transações de créditos, inclusive créditos gratuitos mensais e Recompensas por convite. Nunca recebemos nem armazenamos dados completos de cartão ou bancários. A Apple ou o Google processa o pagamento, e o RevenueCat cuida da validação e dos direitos de acesso usando um token pseudônimo e o produto comprado.
• Identificadores de publicidade e dados de anúncios (só apps móveis): O Google AdMob pode tratar identificadores de publicidade do dispositivo e dados gerais de interação com anúncios. Ou seja, o ID de publicidade do Google no Android e, no iOS, o IDFA apenas quando você permite o rastreamento pelo App Tracking Transparency (ATT) da Apple.
• Cookies de publicidade e dados de anúncios (site, onde há anúncios): Nas páginas de www.aletto.app que trazem um anúncio, o Google AdSense pode definir ou ler cookies e identificadores semelhantes no seu navegador e tratar o seu endereço IP, dados do navegador e dados gerais de interação com anúncios, sujeito ao seu consentimento quando ele é exigido (§3).
• Diagnóstico e dados de uso (apps móveis): Relatórios de falhas e diagnósticos (Firebase Crashlytics). Um pequeno conjunto de eventos de uso (Firebase Analytics): marcos únicos (a primeira abertura do app, a criação da sua conta, a sua primeira conexão e o seu primeiro ping criado, enviado e recebido), o fato de um convite ter sido compartilhado ou enviado por e-mail, e a categoria do motivo quando um ping não pôde ser enviado (por exemplo, créditos insuficientes), junto com o nível do seu plano. Esses eventos não levam conteúdo de pings, destinatários, endereços de e-mail nem lugares. O site não envia nenhum deles.
• Integridade do app (apps móveis): Para manter o abuso automatizado longe dos nossos servidores, o app obtém um token de curta duração do Firebase App Check, apoiado pelo Google Play Integrity no Android e pelo Apple App Attest no iOS, que mostra que uma solicitação vem de uma cópia genuína do Aletto em um dispositivo real. O token não diz nada sobre quem você é nem sobre o que você faz no app.

Finalidades do tratamento

Tratamos os seus dados para:

• criar e proteger a sua Conta, operar o seu perfil e nome de usuário e (se você ativar) permitir que outras pessoas encontrem você;
• escrever notificações e e-mails no idioma e no formato de data que você escolheu;
• registrar os seus dispositivos e encaminhar pings para eles, e verificar endereços de e-mail e operar links de verificação;
• entregar pings a você e aos seus Destinatários;
• criar e gerenciar Lugares salvos, e disparar pings de chegar e sair quando você chega, sai ou permanece;
• gerenciar Conexões e solicitações de conexão;
• criar e operar Círculos, e definir quem um ping de círculo deve alcançar no momento em que dispara;
• operar Canais e entregar as publicações deles a quem os segue, pelo método de entrega que cada seguidor escolheu, e levar pedidos para seguir canais privados entre quem pede e o dono;
• observar os canais públicos que os seus pings do YouTube e da Twitch acompanham, e detectar a mudança que você pediu;
• armazenar as fotos, mensagens de voz e links que você anexa, e mostrá-los só a pessoas autorizadas a vê-los;
• registrar e exibir Reações;
• levar os Pedidos de chegar e sair entre as duas pessoas envolvidas, e aplicar os limites deles;
• enviar os convites que você nos pede para enviar, e respeitar os cancelamentos de inscrição e a lista de supressão;
• pagar as Recompensas por convite às duas pessoas quando as condições forem cumpridas, e evitar que sejam resgatadas duas vezes ou exploradas;
• fazer o seu login no web app e manter essa sessão enquanto ela durar;
• operar o bloqueio, as denúncias e a moderação de conteúdo;
• oferecer e gerenciar Assinaturas e Créditos, inclusive créditos gratuitos mensais, e prevenir fraudes;
• exibir e medir publicidade nos apps móveis e no site, sujeito ao seu consentimento;
• oferecer Ajuda & FAQ e suporte no app, e permitir que você exporte uma cópia dos seus dados;
• manter backups para que o Serviço possa ser restaurado após uma falha;
• verificar que as solicitações vêm de cópias genuínas do app, e entender em que ponto novos usuários param de usá-lo (os marcos descritos acima);
• manter a segurança, limitar abusos e apoiar a acessibilidade; e
• cumprir a lei.

Controles de descoberta e visibilidade

Quando você ativa "Permitir que outras pessoas me encontrem", o seu nome de usuário, nome de exibição e foto de perfil podem aparecer nos resultados de busca de outros usuários, para que eles possam enviar uma solicitação de conexão a você. Você pode desativar isso a qualquer momento no seu perfil. Isso impede que novos usuários encontrem você pela busca; as conexões existentes não são afetadas. Convidados nunca aparecem nos resultados de busca. Quem chegar ao seu perfil de outra forma (por exemplo, a partir de um círculo em comum ou de um ping que você enviou) ainda pode abri-lo.

03 Publicidade e o seu consentimento

Os apps móveis exibem anúncios pelo Google AdMob. Os anúncios podem ser personalizados ou não personalizados, conforme a sua região e o seu consentimento.

• Consentimento ao iniciar (EEE, Reino Unido e Suíça): Apresentamos uma mensagem de consentimento ao iniciar pela User Messaging Platform (UMP) do Google, como exige a Política de consentimento de usuários da UE do Google, antes de exibir anúncios personalizados ou usar armazenamento não essencial. Você pode mudar a sua escolha depois em Configurações → Privacidade de anúncios.
• App Tracking Transparency no iOS: No iOS, pedimos permissão pelo aviso ATT da Apple antes de qualquer rastreamento entre apps. Se você recusar, verá anúncios não personalizados.
• Desativação: Você pode redefinir ou limitar o seu identificador de publicidade nas configurações do dispositivo, recusar o ATT ou o consentimento, ou retirar o consentimento no app. Nesse caso, instruímos o AdMob a exibir anúncios não personalizados.
• Crianças: Não exibimos conscientemente anúncios personalizados a usuários abaixo da idade aplicável (veja §21).
• Planos pagos: Membros com plano pago não veem anúncios, nem nos apps nem no site. Páginas sobre um ping de chegar e sair nunca têm anúncios.

Publicidade no site

As páginas de www.aletto.app podem exibir anúncios pelo Google AdSense para visitantes sem login e para membros do plano gratuito. Cada página mostra no máximo um anúncio, claramente identificado, abaixo do conteúdo da própria página.

• Cookies de terceiros: Fornecedores terceiros, incluindo o Google, usam cookies para exibir anúncios com base nas suas visitas anteriores a este site ou a outros sites. O uso de cookies de publicidade pelo Google permite que ele e os seus parceiros exibam anúncios a você com base nas suas visitas ao nosso site e/ou a outros sites na Internet. Saiba mais em Como o Google usa as informações de sites ou apps que utilizam nossos serviços.
• Consentimento (EEE, Reino Unido e Suíça, e estados dos EUA que o exigem): Antes de qualquer anúncio carregar, mostramos a mensagem de consentimento do Google, fornecida pela plataforma certificada de gestão de consentimento do Google. Os anúncios podem ser personalizados ou não, conforme a sua escolha. Você pode mudar a sua escolha a qualquer momento pelo link Configurações de privacidade e cookies mostrado ao lado de cada anúncio.
• Desativação: Você pode desativar a publicidade personalizada nas Configurações de anúncios do Google, ou desativar o uso de cookies para publicidade personalizada por alguns fornecedores terceiros em www.aboutads.info (ou www.youronlinechoices.eu na Europa).
• O que não compartilhamos: Não fornecemos ao Google nem a nenhum anunciante o seu nome, e-mail, pings, mensagens, contatos ou lugares. Páginas com login que trazem um anúncio não repassam a sua identidade à rede de anúncios; o anúncio é escolhido conforme a página e, se você consentir, conforme os próprios cookies do Google.

04 Serviços de terceiros

• Serviços do Google Play e login com o Google
• Firebase Cloud Messaging, Firebase Authentication, Crashlytics, Analytics e App Check: entrega de notificações a telefones, tablets e navegadores; login com o Google ou com e-mail e senha; diagnóstico de falhas; os marcos de uso descritos em §2 (só apps móveis); e a verificação de que as solicitações vêm de uma cópia genuína do app, usando o Google Play Integrity no Android e o Apple App Attest no iOS.
• Zoho ZeptoMail: envia os nossos e-mails (pings e publicações por e-mail, links de verificação, convites e avisos da conta). Ele recebe o endereço do destinatário e o conteúdo desse e-mail.
• DiceBear: desenha a imagem de perfil inicial de uma conta nova sem foto, a partir do nome de exibição que recebe (veja §2).
• Backblaze B2: armazenamento das imagens, fotos e mensagens de voz que você envia. Ele mantém um armazenamento privado para tudo o que é anexado a pings e publicações e para as imagens dos círculos, e um armazenamento público para imagens de perfil e de canal e para o conteúdo de canais públicos. Ambos ficam na região da UE (Amsterdã). Os arquivos privados chegam a você pelo nosso próprio servidor em media.aletto.app, e só depois de verificarmos quem está pedindo.
• Cloudflare: a rede de distribuição de conteúdo que serve os arquivos públicos a partir de cdn.aletto.app. A Cloudflare trata cada solicitação, inclusive o endereço IP de quem abre uma imagem, para poder entregá-la.
• Google Maps Platform: exibe o mapa usado para escolher e ver os Lugares salvos (só pings de chegar e sair).
• RevenueCat: gestão de assinaturas e compras.
• Serviços da API de Dados do YouTube: usados apenas para ler informações públicas sobre os canais que os seus pings do YouTube acompanham, e para receber avisos quando um deles publica algo. Ao usar pings do YouTube, você também está sujeito aos Termos de Serviço do YouTube. O Aletto não é afiliado, endossado nem patrocinado pelo YouTube ou pelo Google. Não enviamos nenhum dado pessoal sobre você ao YouTube: uma solicitação identifica um canal, não um usuário.
• Twitch: usada apenas para ler o status público de transmissão ao vivo dos canais que os seus pings da Twitch acompanham. O Aletto não é afiliado, endossado nem patrocinado pela Twitch. Como no caso do YouTube, nenhum dado pessoal sobre você é enviado.
• Google AdMob / Google AdSense: publicidade nos apps móveis (AdMob) e no site (AdSense), e a mensagem de consentimento do Google para ambos.
• Apple App Store e StoreKit / Google Play Faturamento: processamento de pagamentos.

05 Compartilhamento das suas informações

Não vendemos os seus dados pessoais por dinheiro. Só os compartilhamos:

• Com os Destinatários e as Conexões que você escolhe. O conteúdo dos pings e o seu nome de usuário, nome e foto são compartilhados com as pessoas para quem você envia ou com quem se conecta.
• Com os membros de um Círculo que você cria ou do qual participa. Os membros podem ver quem mais está nele.
• Com os seguidores de um Canal que você administra. Em um canal público ou não listado, isso significa publicamente: o nome, a descrição, a imagem, o handle e as publicações podem ser vistos por qualquer pessoa, inclusive quem não usa o Aletto e mecanismos de busca. As publicações de um canal privado vão apenas para os seguidores que você aprovou. A lista de seguidores de nenhum canal é publicada.
• No seu perfil, com qualquer usuário com login que o abra: o seu nome, nome de usuário e foto, e os seus canais públicos com o total de seguidores.
• Pelo link do seu perfil, com qualquer pessoa que ele alcance: o seu nome, nome de usuário e foto (veja "O link do seu perfil" acima).
• Com outros usuários pela busca, só se você ativar "Permitir que outras pessoas me encontrem".
• Com operadores sob contrato: Google Firebase, Backblaze B2 e Cloudflare (para os arquivos que você envia), Zoho ZeptoMail (o nosso provedor de envio de e-mails), DiceBear (imagens de perfil iniciais), RevenueCat, as lojas da Apple e do Google, e o Google AdMob e o Google AdSense.
• Com a pessoa que convidou você, ou que você convidou, só neste sentido: quando uma Recompensa por convite é paga, cada um é informado de que uma recompensa foi paga, sem que o outro seja citado.
• Com qualquer pessoa que tenha um e-mail seu, enquanto durarem os links de arquivos que ele contém: uma foto ou mensagem de voz em um e-mail pode ser aberta por qualquer pessoa para quem o e-mail for encaminhado, por cerca de 30 dias. Veja a observação em §2.
• Com uma pessoa que você convida por e-mail. O convite diz a ela quem a convidou, e nada mais.
• Por motivos legais, quando a lei exigir ou para proteger direitos e a segurança.

Não compartilhamos os seus dados pessoais com o YouTube nem com a Twitch. Um ping do YouTube ou da Twitch pergunta a essas plataformas sobre um canal, e a solicitação não leva nenhuma informação sobre quem o está acompanhando.

Um link para um canal, uma publicação ou um perfil é um código curto. Ele não revela identificadores internos nem quando o item foi criado. Abri-lo mostra apenas o que a pessoa que o abre tem permissão para ver.

Quando você usa "Compartilhar o Aletto" para recomendar o app, a folha de compartilhamento do seu dispositivo envia apenas um link para a nossa página na loja. Não coletamos com quem você compartilha.

06 Círculos e canais

Ambos permitem que um ping alcance mais de uma pessoa, e são opostos em relação a quem escolhe.

Círculos — você escolhe o público

• Você só pode adicionar alguém a um círculo se já estiver conectado com essa pessoa. Um círculo é um rótulo sobre conexões que você já tem; ele nunca cria uma.
• Na primeira vez que alguém adiciona você ao círculo dele, você vira membro na hora. Não há convite para aceitar. O que torna isso possível é a conexão que você já aprovou, que é o que permite que vocês enviem pings um ao outro; um círculo só agrupa pessoas que o dono já conseguia alcançar.
• Se você sair de um círculo ou recusar um convite para ele, isso muda. Uma nova adição passa a ser um convite que você precisa aceitar, e uma recusa bloqueia novos convites para esse círculo por 14 dias. O dono nunca é informado de que você recusou: o seu convite continua aparecendo como não respondido. Ser removido pelo dono não funciona assim; ele pode adicionar você de novo diretamente, porque remover você foi decisão dele.
• Os membros podem ver os outros membros de um círculo de que participam.
• Você pode silenciar um círculo para continuar nele sem receber os pings dele, ou sair dele. Se você sair, o dono não pode adicionar você de novo sem avisar; um novo convite precisa ser aceito outra vez. Guardamos o registro da sua saída para fazer cumprir isso.
• A participação é definida no momento em que um ping dispara, e não quando o ping foi criado. Se você sair, deixa de receber imediatamente.

Canais — o seguidor escolhe

• Canais não listados não aparecem no Descobrir nem no seu perfil, mas não são privados: qualquer pessoa com o link pode vê-los.
• Canais privados (disponíveis nos planos Plus, Pro e Business) não aparecem em nenhuma lista. Uma pessoa com o link pode ver o nome, a descrição e a imagem do canal, para saber o que está pedindo para seguir, mas só os seguidores aprovados pelo dono podem ver as publicações, inclusive as fotos e mensagens de voz delas. Esses arquivos ficam no nosso armazenamento privado (veja §2).
• Pedir para seguir um canal privado é privado nos dois sentidos. O dono vê quem está pedindo. Se o dono disser não, quem pediu nunca é informado; o pedido continua aparecendo como pendente. Guardamos a recusa para que o mesmo pedido não seja feito de novo.
• Se o plano de um dono mudar, um canal privado continua privado. Nunca tornamos um canal público por causa de uma mudança de cobrança; no máximo podemos impedir novas publicações nele até que o plano volte a permitir.
• O dono de um canal nunca pode adicionar um seguidor. Seguir é o consentimento, e é sempre uma ação do próprio seguidor. Em um canal privado, o dono pode recusar um pedido, mas nunca criar um.
• A lista de seguidores nunca é pública. O dono vê quantas pessoas seguem e a divisão por método de entrega. Ele não recebe uma lista de nomes. O número de seguidores não diminui quando alguém silencia um canal, então ele não pode ser usado para saber quem silenciou.
• Os seus canais públicos aparecem no seu perfil com o número total de seguidores (veja §2).
• Como seguidor, você escolhe por qual método de entrega um canal chega até você. Você pode definir um limite diário de quantas publicações dele chegam até você, e pode silenciar ou deixar de seguir a qualquer momento. Como é você quem escolhe o método de entrega, é você quem paga os créditos que um método pago custa (veja os Termos).
• O handle de um canal vem do mesmo espaço de nomes dos nomes de usuário, o que impede que um canal pegue o handle de um usuário ou se passe por ele.
• As publicações podem ser escritas pelo dono ou geradas automaticamente quando um dos pings do dono dispara. Os seguidores não são informados de qual é o caso. De qualquer forma, a publicação aparece no canal.
• As fotos e mensagens de voz de uma publicação são tão visíveis quanto o texto dela: públicas em um canal público ou não listado, e só para seguidores em um canal privado.

07 Pings do YouTube e da Twitch

Um ping do YouTube ou da Twitch acompanha um canal público em uma plataforma de terceiros e avisa você quando acontece algo que você escolheu: um vídeo novo, uma transmissão ao vivo que começa ou termina, ou um número de inscritos que passa de uma marca.

• Nunca nos conectamos à sua conta nessas plataformas. Não pedimos, recebemos nem guardamos seu nome de usuário, senha ou qualquer token de acesso do YouTube, da Twitch ou de qualquer outro serviço. Não conseguimos ver suas inscrições, seu histórico de visualização nem nada mais que seja privado na sua conta lá.
• Só lemos o que é público sobre o canal que você indicou. Guardamos o identificador desse canal e a nossa observação mais recente dele, por exemplo o id do vídeo mais recente, ou se ele está ao vivo no momento. Mantemos a última observação porque é a única forma de distinguir uma mudança de uma repetição.
• As solicitações não levam nada sobre você. Quando verificamos um canal, a solicitação identifica o canal, não o usuário que o acompanha. Se várias pessoas acompanham o mesmo canal, verificamos uma vez para todas, o que também significa que a plataforma não tem como saber quantos usuários do Aletto o seguem.
• Avisos da plataforma. Quando uma plataforma consegue nos avisar no momento em que um canal publica, registramos um callback nela para não precisarmos ficar verificando. O segredo compartilhado desse callback é guardado criptografado.
• O dono do canal acompanhado é um terceiro. Normalmente ele não é usuário do Aletto, não tem nenhuma relação conosco e não é avisado de que você o acompanha. Não guardamos dados pessoais sobre ele além do identificador público do canal e de detalhes públicos como o nome do canal, o avatar e o título e a miniatura do vídeo mais recente.
• Excluir um ping do YouTube ou da Twitch interrompe a observação. Quando ninguém mais acompanha um canal, deixamos de verificá-lo por completo.

O seu uso desses pings também está sujeito aos termos da plataforma correspondente, incluindo os Termos de Serviço do YouTube e a Política de Privacidade do Google. O Aletto não é afiliado ao YouTube, ao Google nem à Twitch, nem é endossado ou patrocinado por eles.

08 Reações e quem pode vê-las

Você pode reagir a um canal, a uma publicação ou a um ping que chegou até você. Uma reação é um emoji. Registramos ao que você reagiu, qual emoji escolheu e quando.

• Uma reação por pessoa. Escolher um segundo emoji substitui o primeiro; escolher o que você já tem o remove.
• Os tons de pele são contados juntos. 👍 e 👍🏿 são uma reação só, com um total só. Não os contamos separadamente, porque uma contagem dividida por tom de pele transformaria uma linha de reações em um relatório sobre as pessoas que as deixaram, e ninguém que toca em um joinha concordou em publicar isso.
• Nenhum emoji tem um significado especial, e nenhum é informado a um remetente pelo nome como confirmação de recebimento.
• Só emojis e símbolos podem ser guardados. Qualquer coisa que possa ser uma letra ou um dígito é recusada, para que uma reação não possa ser usada para escrever texto embaixo da mensagem de outra pessoa.
• Você pode reagir a um canal ou às publicações dele se o segue ou é dono dele.
• O dono pode ser avisado. Quando você reage a um ping, a pessoa que o enviou pode receber uma notificação dizendo que você reagiu e com qual emoji, se ela já podia ver para quem o ping foi; caso contrário, ela só fica sabendo quantas pessoas reagiram. O dono de um canal só fica sabendo quantas pessoas reagiram a uma publicação, nunca quem. Cada dono pode desativar essas notificações.

Uma reação não é privada para a pessoa que enviou o ping a você. Se preferir não responder de jeito nenhum, simplesmente não reaja.

09 Pedidos de chegar e sair

Você não pode criar um ping de chegar e sair no dispositivo de outra pessoa. O que você pode fazer é pedir que ela crie um, por exemplo "me avisa quando chegar em casa".

• Você só pode pedir a alguém com quem está conectado. O ping resultante é enviado por essa pessoa para você, o que a conexão de vocês já permite.
• Você propõe o lugar, o raio e os gatilhos, e enviamos essa proposta para a pessoa a quem você pediu. Ela a vê como um ping de chegar e sair já preenchido, que pode criar no telefone dela ou recusar.
• Se ela o criar, o ping é dela. Ele funciona no telefone dela e ela é a dona. Ela pode mudar a mensagem, adicionar outros destinatários, passá-lo para outro telefone dela, pausá-lo ou excluí-lo a qualquer momento, sem a sua permissão nem o seu conhecimento. Enquanto o ping existir, ela não pode mudar o lugar, o raio nem os gatilhos que você pediu, nem remover você. O que ele pode fazer depende do plano dela, não do seu. Você é simplesmente um dos destinatários.
• Você não pode escolher quem mais é avisado. Criá-lo adiciona você; se ela quiser que outras pessoas também o recebam, a decisão é dela. Você é avisado quando ela o cria, mas não é notificado de alterações posteriores, de uma pausa nem de uma exclusão.
• Você pode ter um pedido em aberto por pessoa, e depois de uma recusa há um período de espera antes de poder pedir de novo. Você não fica sabendo que ela recusou; o seu pedido continua aparecendo como pendente. Guardamos o registro do pedido e da recusa para fazer valer essa regra.
• Ela pode recusar sem dar nenhum motivo, e nunca bloqueamos nem atrasamos uma recusa.

Os dados de localização envolvidos são dela, estão cobertos pela parte de Dados de localização da §2 e nunca são compartilhados com você como coordenadas: você recebe a mensagem do ping, não a posição dela. O ping nunca envia a posição dela quando dispara.

10 Bloqueio, denúncia e moderação

Para manter o Serviço seguro, você pode bloquear e denunciar outros usuários, e aplicamos moderação de conteúdo às mensagens e aos pings.

• Bloqueio: Bloquear um usuário impede que ele entre em contato com você, se conecte com você ou envie pings para você, e esconde vocês um do outro na busca e na visualização de perfil. Guardamos a relação de bloqueio para aplicá-la, e nunca contamos isso à pessoa bloqueada. Você pode gerenciar os usuários bloqueados em Pessoas → Bloqueados e recusados. O bloqueio não afeta os canais: um canal que você segue continua chegando até você até que deixe de segui-lo, e o dono de um canal nunca fica sabendo quem o segue.
• Denúncia: Você pode denunciar uma pessoa, um ping ou uma publicação, um canal ou um círculo. Coletamos o motivo que você escolhe, o conteúdo ou identificador denunciado e os metadados relacionados, e podemos analisá-los manualmente ou com ferramentas automatizadas. Toda denúncia é, no fim, uma denúncia contra uma conta (no caso de um canal ou círculo, a do dono), porque é sobre isso que um moderador pode agir. Indicar o canal, a publicação ou o círculo específico nos permite guardar uma cópia daquilo de que você está reclamando, que de outra forma poderia ser alterado antes que alguém o analisasse.
• Moderação: Podemos analisar ou filtrar automaticamente o conteúdo das mensagens em busca de material proibido. Podemos suspender ou remover nomes de usuário, conteúdo, relações ou contas que violem os nossos Termos. Podemos manter registros de moderação para segurança, tratamento de disputas e cumprimento da lei.

11 Notificações e seus dispositivos

Os pings e as notificações são entregues aos seus dispositivos registrados pelo Firebase Cloud Messaging e exibidos pelo sistema de notificações do seu dispositivo. Um navegador também pode ser um desses dispositivos registrados (veja §12). Tudo o que chegou até você também fica guardado na sua aba Pings no app.

• O que aparece na tela de bloqueio: O título da notificação diz de quem ela é (por exemplo "Ping de Ana Silva @ana") ou, em um ping de chegar e sair ou do YouTube e da Twitch, o que aconteceu (por exemplo "Ana Silva @ana chegou a Escritório"); uma publicação de canal tem como título o nome do canal. O corpo mostra a mensagem, e a foto ou a inicial do remetente pode aparecer ao lado. É igual em todos os planos. Podemos decidir, para todos de uma vez, mostrar um breve convite para abrir o app no lugar do texto da mensagem. O título sempre aparece, então qualquer pessoa que consiga ver a sua tela de bloqueio pode ver quem enviou um ping para você. Se isso importa, use as configurações do seu dispositivo para ocultar o conteúdo das notificações na tela de bloqueio.
• Idioma: Os títulos das notificações e o texto que escrevemos em volta de uma mensagem (não a mensagem em si) são escritos no idioma que você escolheu.
• Controles por dispositivo e por endereço: Cada origem escolhe por onde chega até você. Na página de uma pessoa, você escolhe quais dos seus dispositivos, e qual endereço de e-mail, recebem os pings dela; na página de um canal, você faz o mesmo com as publicações dele; os pings de um círculo chegam aonde chegam os pings que o dono dele envia para você. Em Dispositivos e e-mails, você escolhe os dispositivos, e o único endereço, que recebem os seus próprios pings. Um método de entrega pago, como o e-mail, chega a um endereço por origem.
• Notificações do sistema e da conta: Avisos importantes do sistema e da conta chegam a todos os seus dispositivos registrados, até a um que você desativou para todas as origens, para que você não perca mensagens sobre a sua conta. Exemplos são mudanças na assinatura ou nos créditos, a chegada dos créditos gratuitos mensais, pings pausados automaticamente, um endereço de e-mail que passa para outra conta, um novo login e outras mensagens de segurança e de conta. São mensagens operacionais ligadas ao seu uso do Serviço, não marketing.
• Permissões do sistema operacional: A entrega continua dependendo da permissão de notificações que você concede ao app no sistema operacional, que pode ser alterada a qualquer momento nas configurações do dispositivo. Os pings de chegar e sair também dependem da permissão de localização que você concede, incluindo o acesso em segundo plano (veja a nota sobre permissão de localização na §2).
• Parar e-mails de pings: Todo e-mail de ping tem um link para parar no final, que também informa ao seu app de e-mail como cancelar a inscrição. Abrir o link só mostra um botão; nada muda até você tocar nele. Em um ping de outra pessoa, ele interrompe os e-mails dessa pessoa para todos os pings dela. Os pings dela continuam chegando por seus outros métodos de entrega, você pode reativar os e-mails dela no app e o remetente não é avisado. Em um ping seu, ele remove o e-mail desse ping; se o e-mail era a única forma de esse ping chegar a alguém, o ping é pausado até você dar a ele alguém para quem enviar. A página de cancelamento não cita ninguém, porque e-mails são encaminhados.
• Telefones que param de receber: Paramos de enviar para um telefone que parece ter parado de receber pings: um que não é usado há 30 dias enquanto outro telefone da sua conta continuou em uso, ou um telefone Android que não confirma o recebimento de nenhuma notificação há 60 dias embora pings tenham sido enviados a ele. Um iPhone não consegue confirmar o recebimento em segundo plano, então a segunda regra não vale para iPhones. Esse telefone aparece em Sem receber pings, em Dispositivos e e-mails, os pings de chegar e sair que ele acompanha são pausados, e abrir o app nele traz o telefone de volta.
• Entre telefones: Se você não tem nenhum telefone funcionando quando um ping é enviado para você, por exemplo enquanto reinstala o app, mas usou um nos últimos 30 dias, o ping fica guardado mesmo assim na sua aba Pings para quando você entrar de novo. Ele não é enviado para você depois. Isso nunca vale para nada que você bloqueou, silenciou ou desativou.

12 Usar o Aletto no navegador (www.aletto.app)

Você também pode entrar no Aletto em www.aletto.app e usá-lo em um navegador. É a mesma conta e são os mesmos dados do app, não um serviço separado nem uma página de marketing. Esta seção descreve apenas o que muda ao usá-lo no navegador.

Login

Na web, você entra com o Google ou com e-mail e senha, no seu navegador. Se você ainda não tem uma conta no Aletto, entrar no site cria uma. Contas de convidado só estão disponíveis no app móvel. Sua senha é verificada pelo nosso provedor de login e nunca chega aos nossos servidores. Seu token de login não fica guardado no armazenamento do navegador; ele é trocado uma única vez, no nosso servidor, por uma sessão.

Cookies e armazenamento do navegador

• O que é: Um único cookie de sessão estritamente necessário chamado __Host-aletto_session. Ele contém um token aleatório e nenhum dado pessoal. O token aponta para um registro de sessão no nosso servidor, que é o que de fato identifica você.
• Como é definido: Secure (somente HTTPS), HttpOnly (scripts não conseguem lê-lo), SameSite=Lax e restrito apenas a www.aletto.app. Ele não pode ser enviado ao nosso domínio de links, a anunciantes nem a mais ninguém.
• Quanto tempo dura: 14 dias, depois dos quais você entra de novo. Sair apaga o cookie e o registro de sessão no nosso servidor, para que o token não possa ser reutilizado.
• Escolha de idioma: Se você escolher um idioma no rodapé de uma página sem ter feito login, um cookie chamado aletto_lang guarda essa escolha por um ano. Ele contém apenas o código do idioma (por exemplo de), é HttpOnly e SameSite=Lax, e nunca é definido se você não escolher um. Depois do login, vale o idioma da sua conta.
• Notificações do navegador: Se você as ativar, guardamos um identificador de instalação aleatório no armazenamento local do navegador, para que o navegador mantenha a mesma identidade a cada vez que se registra. Ele não contém dados pessoais.
• Computadores compartilhados ou públicos: A sessão continua mesmo depois que o navegador é fechado. Saia quando terminar em um dispositivo que não é seu.

O que a sessão do navegador registra

• O registro de sessão contém seu identificador de usuário, quando a sessão foi criada, quando foi usada pela última vez e quando expira.
• Seu endereço IP é tratado em cada solicitação para limitar abusos e proteger o Serviço. Esse é o nosso interesse legítimo em segurança. Ele é guardado no registro técnico descrito no §14, e não é mostrado a ninguém.
• Suspender ou excluir uma conta tem efeito no carregamento seguinte da página, porque a sessão é verificada no nosso servidor, em vez de ser aceita a partir do cookie.

Notificações do navegador

• O navegador é um método de envio à parte, separado do seu celular. Ativar notificações em um navegador não afeta seus celulares ou tablets, e vice-versa.
• Elas funcionam pelo serviço de push do seu navegador e pelo Firebase Cloud Messaging, usando um service worker em segundo plano. Ativá-las registra esse navegador como qualquer outro dispositivo, com um token de push e metadados básicos, que você pode remover a qualquer momento.
• Nada é ativado sem que você peça. Só pedimos a permissão de notificação do navegador quando você ativa as notificações do navegador, e você pode revogá-la a qualquer momento nas configurações de sites do navegador.

O que o site carrega, e o que ele não faz

• Sem análise, e anúncios somente conforme descrito. O site não tem ferramentas de análise nem rastreadores de terceiros próprios. O código que ele carrega de fora dos nossos próprios servidores é a biblioteca Firebase do Google, usada para login e notificações, e, nas páginas que exibem um anúncio, o Google AdSense e a mensagem de consentimento do Google, conforme descrito no §3. Em cada caso, o Google recebe a solicitação desse arquivo (veja o §4).
• Sem compras. Você pode ver seu plano, saldo de créditos e histórico no navegador, mas as assinaturas e os créditos são comprados no app móvel, pelas lojas de apps. Nosso site não trata dados de pagamento.

Envios, convites e ações da conta no navegador

• Arquivos. As fotos e mensagens de voz que você anexa no site, e as imagens que você define para seu perfil, um canal ou um círculo, são tratadas exatamente como no app (veja o §2). Gravar uma mensagem de voz usa a permissão de microfone do seu navegador, e somente quando você toca em gravar.
• Convites por e-mail enviados pelo site seguem os mesmos limites e o mesmo cancelamento de inscrição com um clique do app.
• Exportar meus dados e Excluir conta estão disponíveis no site. Antes de qualquer um deles ser executado, pedimos que você entre de novo no navegador, para que uma sessão deixada aberta em um computador compartilhado não possa ser usada para levar ou apagar seus dados.

Páginas públicas. Alguns links, como um canal compartilhado, uma publicação compartilhada ou um convite, abrem uma página que não exige login e não tem cookie de sessão. Essas páginas só mostram conteúdo que já é público. Um link para um canal privado mostra apenas o nome, a descrição e a imagem dele.

13 Informações específicas de cada plataforma (Android / iOS)

Android (Google Play)

As compras usam o Google Play Faturamento, e a publicidade usa o ID de publicidade do Google. Nossas práticas também estão resumidas na seção Segurança dos dados do Google Play. Você pode redefinir ou excluir o ID de publicidade nas configurações do Android. Se você usa pings de chegar e sair, o Aletto pede acesso à localização em primeiro e em segundo plano (localização precisa/aproximada e localização em segundo plano) exclusivamente para detectar chegadas e saídas nos seus Lugares salvos. O sistema operacional entrega as passagens pelos limites ao app. O Aletto não declara nenhum serviço de localização em primeiro plano e não mantém um processo de localização em execução. Você pode gerenciar ou revogar isso nas configurações de localização do Android.

iOS (Apple App Store)

As compras usam a Apple App Store / StoreKit. O rastreamento entre apps para anúncios personalizados exige sua permissão pelo App Tracking Transparency. Nossas práticas aparecem na Privacidade do app (o “rótulo nutricional”) da Apple na App Store. A Apple não é responsável pelo Serviço nem pelas práticas de dados dele. Se você usa pings de chegar e sair, o Aletto pede acesso à localização “Durante o Uso do App” e depois “Sempre”, para que esses pings possam disparar em segundo plano. Você pode ajustar ou revogar isso nas configurações de localização do iOS.

14 Armazenamento, transferências e retenção

Os dados da sua conta são armazenados com segurança em servidores privados. As imagens, fotos e mensagens de voz que você envia são armazenadas na Backblaze B2, na UE (Amsterdã). Os arquivos públicos são entregues pela Cloudflare (veja o §4). Alguns operadores, como Google, RevenueCat e Cloudflare, podem armazenar ou tratar dados fora da Índia, inclusive nos EUA e na UE; as transferências internacionais se apoiam em salvaguardas adequadas, como as Cláusulas Contratuais Padrão da UE. Guardamos os dados apenas pelo tempo necessário para as finalidades aqui descritas, ou conforme exigido por obrigações legais, fiscais e contábeis.

Por quanto tempo cada coisa é guardada

• Seu conteúdo: pings, publicações e as fotos e mensagens de voz anexadas a eles são guardados até você excluí-los ou excluir sua conta.
• Links de arquivos em e-mails e notificações: cerca de 30 dias para um e-mail e cerca de 24 horas para uma prévia na tela de bloqueio. Depois disso, o link deixa de funcionar, embora o arquivo em si continue existindo até você excluí-lo.
• Sessões web: 14 dias, ou até você sair.
• Registros técnicos do que o sistema fez: logs de solicitações por cerca de duas semanas, registros de atividade por cerca de seis meses e eventos de segurança por cerca de um ano, depois do que são excluídos.
• Backups: nosso banco de dados tem backup uma vez por dia, e cada backup é excluído automaticamente após 30 dias. Portanto, algo que você exclui, incluindo uma conta excluída, pode continuar em um backup por até 30 dias até expirar. Os backups são usados apenas para restaurar o Serviço após uma falha, nunca para recuperar dados que você excluiu. As coordenadas dos lugares salvos e outros campos criptografados continuam criptografados dentro deles.
• Registros de moderação e segurança: pelo tempo necessário para a segurança, a resolução de disputas e o cumprimento da lei.
• Entradas na lista de supressão (endereços que cancelaram o recebimento de convites): guardadas por tempo indeterminado, porque excluir uma delas permitiria que a pessoa fosse contatada de novo.
• Registros de Recompensas por convite: guardados para que uma recompensa nunca seja paga duas vezes. Cada um contém dois números internos de conta, o convite usado e as datas. Depois que uma conta é excluída, o número dela não aponta mais para nenhuma pessoa.
• Passagens por lugares aguardando no seu celular: até serem enviadas, até as 50 mais recentes. Desinstalar o app as apaga.
• Dados do YouTube e da Twitch: títulos e imagens de vídeos trazidos por um ping do YouTube ou da Twitch são removidos do seu histórico de pings e da aba Pings depois de 28 dias, e o link permanece. A imagem de um canal acompanhado é excluída 28 dias depois da nossa última atualização, e o resultado da busca de um canal pelo nome é guardado por no máximo 28 dias. As regras do YouTube permitem no máximo 30.
• Lugares salvos para um ping de chegar e sair pedido (“Criado automaticamente”): excluídos quando esse ping é excluído.
• Datas de sinal de vida dos dispositivos: guardadas com o dispositivo até você removê-lo ou excluir sua conta.
• Eventos de uso e relatórios de falhas (apps móveis): guardados pelo Google Firebase pelo período de retenção definido no nosso projeto, no máximo 14 meses para eventos de uso e cerca de 90 dias para relatórios de falhas.

15 Segurança

Usamos salvaguardas comercialmente aceitáveis, incluindo:

• criptografia HTTPS para todos os dados enviados de e para os nossos servidores;
• criptografia de campos sensíveis, como as coordenadas dos lugares salvos;
• um armazenamento privado para as fotos e mensagens de voz anexadas, acessível apenas por links assinados de curta duração, emitidos depois de verificarmos quem está pedindo;
• backups diários do nosso banco de dados; e
• deixar o tratamento de cartões e pagamentos com as lojas de apps, para que as credenciais de pagamento nunca cheguem aos nossos servidores.

Ações sensíveis, como excluir sua conta ou exportar seus dados, podem exigir que você entre de novo. Nenhum método é 100% seguro, e não podemos garantir segurança absoluta.

16 Acessibilidade

Queremos que o Aletto possa ser usado por todos. O app foi feito para funcionar com os recursos de acessibilidade da plataforma, como leitores de tela (TalkBack e VoiceOver), tamanho de texto dinâmico, contraste de cores adequado e as preferências de reduzir movimento e reduzir transparência. As configurações de acessibilidade que você escolhe são aplicadas no seu dispositivo e não são usadas para identificar você nem para criar um perfil seu. Se você encontrar uma barreira de acessibilidade, entre em contato conosco (veja o §24) e tentaremos ajudar.

17 Ajuda, perguntas frequentes e suporte

O app inclui uma Ajuda e perguntas frequentes e a opção Falar com o suporte, ambas em Configurações → Suporte, e a opção Enviar feedback em Configurações → Feedback. Quando você entra em contato conosco por e-mail, recebemos sua mensagem, seu endereço de e-mail e quaisquer detalhes que você incluir para nos ajudar a responder, como seu nome de usuário, a versão do app e a plataforma.

18 Seus direitos (gerais e segundo a Lei DPDP da Índia)

Nos termos da lei aplicável, você pode:

• acessar e exportar uma cópia dos seus dados;
• corrigir, completar, atualizar ou apagar esses dados;
• retirar o consentimento a qualquer momento, com a mesma facilidade com que o deu (veja o §20);
• indicar outra pessoa para agir em seu nome; e
• buscar a solução de reclamações conosco (veja o §24) e, se não for resolvida, com o Data Protection Board of India.

Retirar o consentimento pode limitar ou encerrar seu uso do Serviço.

19 Direitos de privacidade regionais (UE/Reino Unido e EUA)

EEE e Reino Unido (GDPR)

Nossas bases legais são o contrato (para fornecer o Serviço), o consentimento (por exemplo, para anúncios personalizados e recursos opcionais), os interesses legítimos (segurança, confiabilidade, backups, prevenção de fraudes e moderação) e o cumprimento de obrigação legal. Você tem os direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição, e o direito de retirar o consentimento. As transferências se apoiam em Cláusulas Contratuais Padrão ou em salvaguardas equivalentes. Você pode apresentar uma reclamação à autoridade de controle do seu país.

Estados Unidos (CCPA/CPRA e leis semelhantes)

Não vendemos informações pessoais por dinheiro. Podemos “compartilhar” identificadores limitados para publicidade comportamental entre contextos, nos apps móveis e nas páginas do site mantidas por anúncios, e somente quando permitido. Residentes da Califórnia e de alguns outros estados podem recusar esse compartilhamento e a publicidade personalizada, e respeitamos sinais de recusa reconhecidos (como o Global Privacy Control) quando exigido. Você também tem os direitos de saber, acessar, corrigir e excluir suas informações, e de não ser discriminado. Use os controles no app, o pedido de consentimento ou o nosso Formulário de solicitação de dados (que também serve como pedido de “Não venda nem compartilhe”).

20 Exportar e excluir seus dados

• Exportar seus dados (no app ou no site): Use Perfil → Exportar meus dados para baixar uma cópia dos seus dados do Aletto como um arquivo que você pode salvar ou compartilhar. Talvez você precise entrar de novo antes; no site, sempre precisa.
• Excluir sua conta (no app ou no site): Use Perfil → Excluir conta. Será pedido que você entre de novo antes.
• Atualizar ou excluir no app: Você pode atualizar ou excluir suas informações a qualquer momento no seu perfil e em Configurações.
• Solicitação pela web: Se você desinstalou o app, use nosso Formulário oficial de solicitação de dados.

21 Privacidade de crianças

O Serviço é destinado ao público em geral e não é direcionado a crianças menores de 13 anos. Não coletamos intencionalmente dados de crianças menores de 13 anos. Quando a lei local define uma idade maior, os usuários abaixo dessa idade precisam de consentimento verificável dos pais ou responsáveis, e não os rastreamos, não monitoramos seu comportamento nem direcionamos anúncios a eles. Por exemplo, a Lei DPDP da Índia considera criança qualquer pessoa com menos de 18 anos, e o GDPR da UE define uma idade entre 13 e 16 anos, dependendo do país. Compras exigem capacidade legal para contratar (em geral, 18 anos ou mais). Excluímos os dados de qualquer criança que tenham sido coletados sem o consentimento exigido.

22 Alterações nesta Política de Privacidade

Podemos atualizar esta política. Publicaremos a nova versão aqui, atualizaremos a data de “Última atualização” e avisaremos no app sobre mudanças relevantes quando exigido. Continuar usando o Serviço depois que as mudanças entrarem em vigor significa que você as aceita.

23 Lei aplicável

Esta política e o seu uso do Serviço são regidos pelas leis da Índia, incluindo a Lei DPDP de 2023 e a Lei de TI de 2000, sem prejuízo dos direitos obrigatórios previstos no GDPR ou nas leis estaduais dos EUA aplicáveis.

24 Fale conosco e encarregado de reclamações

• Contato para reclamações: Grievance Officer (encarregado de reclamações), Tandavaworks Global LLP
• E-mail: [email protected]
• Endereço postal: Chennai, Tamil Nadu, Índia.

Procuramos confirmar o recebimento e responder a solicitações verificáveis dentro dos prazos exigidos pela lei aplicável.