Política de Privacidade

1. Em resumo

O Unbeen regista as suas caminhadas e pinta no mapa as ruas por onde passou.

As rotas das caminhadas, os pontos de satélite e as notas ficam guardados no seu telemóvel. Só chegam ao nosso servidor dentro de uma cópia encriptada, que nós não abrimos.

Para o nosso servidor vão números sobre as caminhadas e um registo técnico do funcionamento da aplicação, sem coordenadas. Mostram-nos o que avaria, para o corrigirmos. Isto desliga-se com um único interruptor.

Inicia sessão com a Apple, a Google ou com e-mail e palavra-passe; no Android, com a Google ou por e-mail (§3.3). A palavra-passe não chega até nós, é verificada pelo serviço de início de sessão do Supabase. Para o servidor, é um número de jogador aleatório ao qual a sua conta está ligada. Não há publicidade, identificadores publicitários nem sistemas de análise de terceiros.

Existe uma versão para Android. Os dados funcionam da mesma forma, mas por agora tem menos funcionalidades e um mapa diferente: em que difere do iPhone está descrito em §3.14.

Abaixo está tudo o que sai do telemóvel e para onde vai. A aplicação não tem outros caminhos de transmissão de dados.

2. O que fica apenas no telemóvel

Estes dados nunca saem do telemóvel de forma legível:

• as rotas das caminhadas e os pontos de satélite em bruto;
• os nomes das ruas por onde passou e os lugares onde esteve;
• o texto das notas; as fotografias e os vídeos das notas nunca saem do telemóvel;
• a localização da sua casa, se a marcou;
• as definições da aplicação.

As únicas exceções estão descritas abaixo: a cópia encriptada (§3.6), que não abrimos; a rota que o próprio utilizador desenha para uma caminhada em grupo (§3.8); os territórios da «Captura», se jogar (§3.10); os relatórios e as imagens que envia por iniciativa própria (§3.1).

3. O que sai para fora e para onde

3.1. O mapa da Apple e o que envia por iniciativa própria

A aplicação mostra o mapa da Apple (MapKit). Como qualquer aplicação com mapa, pede à Apple as imagens do mapa da área que está a ver. A Apple trata esses pedidos segundo a sua própria política de privacidade.

3.2. Mapas das cidades

Para a linha assentar nas ruas, a aplicação precisa do mapa das ruas da cidade: um ficheiro de normalmente alguns megabytes, até 20 MB nas maiores cidades. Os ficheiros estão em dois sítios: no repositório público do projeto no GitHub (github.com/Efimother/unbeen-citypacks) e no armazenamento do projeto maps.unbeen.app, na Cloudflare. Uma lista de parte das cidades vem incluída na aplicação. Para encontrar o mapa de um lugar que não está nessa lista, a aplicação pede ao maps.unbeen.app um pedaço do catálogo pelo número de um quadrado de cerca de 28 por 28 km: a sua coordenada não é enviada. Antes de instalar um mapa, o telemóvel verifica a soma de controlo do ficheiro, para que o mapa chegue íntegro.

• Ao abrir a aplicação, só depois de perguntar. Se estiver numa cidade cujo mapa ainda não está no telemóvel, a aplicação pergunta se o quer descarregar. Sem o seu «sim», nada é descarregado. A pergunta repete-se quando toca no botão de caminhada.
• Durante a gravação, automaticamente. Se entrar noutra cidade, a aplicação descarrega o respetivo mapa para não interromper a contagem de ruas novas. Está ativado por omissão e pode ser desligado: Definições → Cidades → «Descarregar cidades automaticamente em movimento». No mesmo lugar os mapas podem ser descarregados e apagados manualmente.

O GitHub e a Cloudflare recebem apenas o pedido do ficheiro: pelo nome do ficheiro vê-se de que cidade ou de que quadrado foi preciso o mapa e, como qualquer sítio web, veem o endereço da sua ligação à Internet. As coordenadas, o histórico de caminhadas e o seu número de jogador não lhes são transmitidos.

3.3. O nosso servidor e quem é para ele

O servidor unbeen.app funciona na Cloudflare. Os dados ficam guardados numa base de dados Supabase em Frankfurt (Alemanha).

Quem é para o servidor. Na instalação, o telemóvel cria um número de jogador aleatório e uma chave secreta. No iPhone, a chave fica guardada no porta-chaves do telemóvel e, se o Porta-chaves iCloud estiver ativo, também aí, para que um telemóvel novo com o mesmo Apple ID a recupere. No Android, a chave fica num ficheiro no telemóvel, encriptado com uma chave do armazenamento protegido do Android; não vai para a nuvem da Google. A partir dela, o telemóvel obtém uma senha para os pedidos (o servidor guarda apenas a impressão digital dela) e um selo para a cópia encriptada. Enquanto não iniciar sessão numa conta, o servidor nunca recebe a própria chave.

Início de sessão com a Apple, a Google ou por e-mail. No iPhone: Apple, Google ou e-mail; no Android: Google ou e-mail. Com a Apple ou a Google, inicia sessão pela janela do sistema (no Android, a janela é mostrada pelos serviços do Google Play do telemóvel), e o telemóvel entrega o sinal de início de sessão recebido apenas ao nosso servidor. Por e-mail, regista-se a si próprio: alcunha, e-mail e palavra-passe. O e-mail e a palavra-passe seguem diretamente para o Supabase Auth (o mesmo fornecedor da base de dados) e a palavra-passe nunca chega até nós; o Supabase envia-lhe um e-mail com uma ligação para confirmar o endereço. O servidor verifica o sinal de início de sessão no Supabase Auth. Depois de iniciar sessão guardamos: o seu número de utilizador no Supabase, a forma como entrou, uma pista do e-mail (a primeira letra e o domínio, por exemplo m•••@gmail.com; o e-mail oculto da Apple não é guardado) e a hora do início de sessão. O próprio Supabase guarda o seu registo de utilizador: o número e o e-mail e, se entrou por e-mail, a palavra-passe como hash (a própria palavra-passe não fica guardada em lado nenhum). Não pedimos o seu nome. Ao iniciar sessão, o telemóvel envia também a sua chave ao servidor; o servidor guarda-a selada com um segredo próprio e entrega-a apenas a si, logo depois de entrar com a mesma conta noutro telemóvel, para que a cópia (§3.6) volte para lá.

Início de sessão com e-mail. Pode criar uma conta com e-mail: alcunha, endereço e palavra-passe escrita duas vezes. O e-mail e a palavra-passe vão diretamente para o Supabase Auth, sem passar pelo nosso servidor. O Supabase guarda o endereço e um hash da palavra-passe (a palavra-passe em si não é guardada por ninguém) e envia um e-mail com uma ligação para confirmar o endereço e, em «Esqueceu-se da palavra-passe?», um e-mail com um código. A palavra-passe não fica guardada no telemóvel. O telemóvel entrega ao nosso servidor apenas o sinal de início de sessão do Supabase; a partir daí funciona como o início de sessão com a Apple ou a Google: guardamos o número de utilizador no Supabase, a forma de entrada «e-mail», a pista do e-mail e a hora do início de sessão. A alcunha do registo passa a ser o nome do perfil.

A alcunha é o nome que escreveu no perfil ou, se não houver, uma automática, por exemplo Otter-03.

Apresentação ao servidor. Uma vez por dia e sempre que algo muda, o telemóvel comunica: o número de jogador e um número aleatório do telemóvel dentro da aplicação, a versão da aplicação, o modelo do telemóvel, a versão do iOS ou do Android, se as notificações estão ativas, a alcunha, o idioma da aplicação, o país das definições regionais do telemóvel, o fuso horário e a posição dos interruptores de «Os meus dados». Se as estatísticas estiverem desligadas, uma vez por dia o telemóvel comunica apenas os números, a versão da aplicação e a posição dos interruptores, para que o servidor possa pedir a atualização de uma versão demasiado antiga.

Registo de pedidos. O servidor regista que endereço foi chamado, a resposta, a duração, o tamanho e por que nó da Cloudflare passou o pedido. O endereço da sua ligação à Internet é visto pela Cloudflare, que o usa para proteger contra sobrecarga; não é escrito na nossa base de dados.

3.4. Estatísticas e registo técnico

O interruptor «Estatísticas e registo técnico»: Definições → Privacidade → Os meus dados. Está ativado por omissão, mas nada é enviado antes de aparecer o ecrã «O que nos chega» (surge pouco depois da primeira abertura): os eventos esperam no telemóvel e só são enviados depois desse ecrã, se o interruptor continuar ligado. Se o desligar, a fila do que ainda não foi enviado é apagada e nada mais é enviado, além da apresentação descrita em §3.3.

Enquanto estiver ativado, é enviado o seguinte:

• Números de cada caminhada, sem coordenadas: hora de início e de fim, fuso horário, a pé ou de bicicleta, distância, quantos metros de estradas novas e repetidas, duração, número de pontos, cidade (o número do mapa da cidade), experiência obtida.
• Progresso: nível, experiência, série de dias, conquistas, tarefas, pontos do dia (quando foram atribuídos e recolhidos e a que distância de casa: menos de 500 m, até 2 km ou mais longe), feijões e gastos, promessas de caminhada, a percentagem de ruas e bairros explorados em cada cidade.
• Ruas exploradas não pelo nome, mas como impressões digitais que o telemóvel calcula com um segredo próprio: sem o seu telemóvel, a impressão não revela a rua. A cada impressão juntam-se o comprimento, a cidade e a data.
• Notas apenas em números: tipo (texto, fotografia, vídeo), comprimento do texto e tamanho do ficheiro. O conteúdo não é enviado.
• Compras com dinheiro: que pacote de feijões comprou, o número da compra na App Store, a data e o reembolso, se houver; que plano tem ativo. Não recebemos dados de pagamento: o pagamento é tratado pela Apple.
• Registo técnico: que ecrãs são abertos e que botões são tocados, abertura da aplicação e passagem para segundo plano, tempo passado na aplicação, eventos da gravação de caminhadas (início, pausa, paragem, pontos imprecisos rejeitados, interrupções, erros ao guardar) sem coordenadas, transferências de mapas, alterações de permissões e definições, entrega de notificações, funcionamento dos widgets e do cartão no ecrã bloqueado, e os relatórios da Apple sobre falhas e bloqueios (MetricKit): o tipo de falha e os pontos do código da aplicação, sem nenhum dado seu.

Por precaução, o servidor remove do registo qualquer campo que pareça coordenadas, moradas, nomes de ruas ou texto.

3.5. Mapa anónimo de passeios

O interruptor «Mapa anónimo de passeios» em «Os meus dados» está desativado por omissão. Enquanto não o ativar, nada é enviado.

Se o ativar, depois de uma caminhada é enviado: os quadrados da grelha, com cerca de 60 metros de lado, tocados pelo percurso; os troços de rua pelos números do mapa da cidade; a hora da semana; a cidade; e uma categoria: escalão de nível (1–4, 5–9, 10–19, 20 ou mais), a pé ou de bicicleta, antiguidade na aplicação (menos de uma semana, um mês, um ano, ou mais) e país. O servidor apenas soma um ao contador semanal de cada quadrado ou troço. Nem o número de jogador nem o número da caminhada são escritos no mapa, e o registo de pedidos também não guarda o jogador para este endereço. Desde a versão de 28 de setembro de 2026, os quadrados seguem sem número de jogador: a aplicação junta uma senha de uso único que o servidor emite na apresentação da aplicação e não associa a si. Versões antigas enviam o número e a senha; o servidor verifica-os só para afastar estranhos e não os guarda. Podemos mostrar este resumo de ruas a parceiros.

3.6. Cópia encriptada

O interruptor «Cópia encriptada connosco» em «Os meus dados» está ativado por omissão.

O que contém. Uma cópia da base de dados do telemóvel: caminhadas com as rotas, o texto das notas, o progresso. As fotografias e os vídeos das notas não estão incluídos.

Como está protegida. Antes de a enviar, o telemóvel comprime a cópia e encripta-a (AES-GCM) com um selo obtido da sua chave. O servidor e o programador veem apenas o tamanho, a data, a soma de controlo, a versão e o número de caminhadas; nós não abrimos a cópia. Se iniciou sessão numa conta (Apple, Google ou e-mail), a chave fica guardada por nós de forma selada (§3.3) e é entregue apenas a si depois de iniciar sessão. Se nunca iniciou sessão e a chave se perder (no iPhone, o Porta-chaves iCloud estava desligado e o telemóvel desapareceu; no Android, o telemóvel desapareceu ou a aplicação foi apagada, §3.14), ninguém consegue abrir a cópia, nem nós.

Quando é enviada. Só numa rede sem limite de dados (Wi-Fi), no máximo uma vez a cada 15 minutos e só se houver pelo menos uma caminhada no telemóvel.

Onde fica. No armazenamento Cloudflare R2, as 7 cópias mais recentes; as mais antigas são apagadas. Todas as noites, a cópia mais recente de cada jogador é duplicada no armazenamento da Supabase, para o caso de falha; uma cópia que já não esteja no R2 é removida desse duplicado na mesma noite.

Recuperação. No iPhone, depois de reinstalar ou num iPhone novo com o mesmo Apple ID e o Porta-chaves iCloud ativo, e em qualquer telemóvel depois de entrar com a mesma conta, a cópia volta sozinha. A transferência do atlas entre iPhone e Android ainda não funciona (§3.14). Manualmente: «Os meus dados» → «Repor a partir do nosso servidor».

Desligar o interruptor para as cópias novas; as já guardadas são apagadas com «Apagar tudo do nosso lado».

3.7. Classificação e avatar

A classificação está ativada por omissão e desliga-se com um único interruptor: Definições → Privacidade → «Participar na classificação».

Enquanto estiver ativada, a sua linha fica guardada no servidor e visível a todos os jogadores: alcunha · avatar, se tiver escolhido um (uma imagem pequena de um animal desenhado da aplicação) · moldura do avatar · nível · experiência · número de ruas exploradas · quilómetros e número de caminhadas no total, a pé e de bicicleta · comprimento médio das caminhadas · série de dias (um número, não as datas) · quantas notas de texto, fotografias e vídeos tem (apenas a quantidade) · quilómetros e caminhadas da semana atual e da anterior · hora da última atualização. A linha guarda também campos de serviço necessários para a mostrar corretamente: o número de jogador (aleatório, sem ligação ao seu nome nem ao telemóvel), as etiquetas da semana atual e da anterior, a versão da imagem do avatar e a versão do formato da linha.

Nunca é publicado: coordenadas, rotas, a sua localização atual, nomes de ruas e de cidades, as datas das caminhadas, o conteúdo das notas.

Não é possível carregar uma fotografia própria: o avatar escolhe-se apenas entre animais desenhados. Uma fotografia definida em versões anteriores é apagada pela aplicação do telemóvel e do servidor.

Se desligar a participação, a linha e o avatar são apagados do servidor. Se alguém denunciar um jogador (§3.11), o programador pode esconder de todos a alcunha, o avatar e o território de «Captura» desse jogador.

3.8. Amigos, caminhadas em grupo, desafios e ofertas

Tudo isto fica guardado no nosso servidor e só é visível às pessoas envolvidas.

• Amizade: os números e as alcunhas de ambos, e a data.
• Caminhada em grupo: nome, data e hora, cidade, comprimento, organizador, convidados e as respostas deles, marcas de início e de fim. E a rota com as coordenadas dos pontos desenhada pelo organizador: é o plano de um encontro, não um registo do seu movimento. Só o organizador e os convidados a veem, e só é possível convidar amigos. Cerca de dois dias depois do início, a aplicação do organizador apaga os pontos da rota do servidor.
• Desafios partilhados e duelos um contra um: tipo, objetivo, datas, participantes, as respostas e o progresso de cada um.
• Ofertas de feijões: quem ofereceu, a quem, quando e se a oferta foi aceite.
• Códigos promocionais: que código usou e quando.

Quando o organizador elimina uma caminhada em grupo, ela é apagada para todos; remover um amigo desfaz a amizade para ambos.

3.9. Notificações sobre ações de outras pessoas

Notificações como «adicionaram-no como amigo» ou «convidaram-no para uma caminhada» são entregues pelo nosso servidor através do serviço de notificações da Apple.

O que o serviço de notificações guarda (Cloudflare): o endereço de notificações do seu telemóvel, emitido pela Apple; o seu número de jogador; o seu endereço secreto de notificações; o idioma das notificações; o fuso horário (entre as 22:00 e as 8:00 as notificações chegam sem som); a hora da última atualização. E ainda: a quem deu autorização para lhe escrever e quem bloqueou, o seu código de amigo, as ligações de convite de uso único (válidas até serem usadas ou durante 30 dias) e os pedidos de amizade (válidos durante 30 dias). O contador de notificações por hora desaparece ao fim de duas horas, e a marca «já entregue» ao fim de seis horas.

Uma cópia na nossa base de dados, para o programador: amizades, pedidos, códigos, uma impressão digital do endereço (não o próprio endereço) e um registo das notificações enviadas: tipo, de quem, para quem, se foi entregue e se foi aberta. O texto das notificações não é guardado.

Quem pode enviar-lhe uma notificação. Só alguém a quem deu, por iniciativa própria, a sua ligação de convite ou o seu código de amigo e que seja seu amigo. O número da classificação não chega para isso.

Desligar as notificações apaga o endereço do telemóvel. O resto do registo mantém-se, para que os amigos não o percam quando voltar a ativá-las; «Apagar tudo do nosso lado» apaga-o por completo. Quando a Apple informa que a aplicação foi removida do telemóvel, o endereço do telemóvel é apagado automaticamente. Nos países onde a Cloudflare está bloqueada, as notificações não funcionam.

3.10. O modo de jogo «Captura»

Se jogar «Captura», as áreas das capturas concluídas, ou seja, as partes da cidade que contornou, ficam guardadas no servidor com a hora da captura ao minuto, a sua alcunha e a sua cor. Recebe o seu próprio registo completo. Aos outros jogadores o servidor entrega apenas o terreno pintado com a cor da sua equipa: sem alcunha, fotografia, número de jogador nem horas das capturas, e sem ligação à sua linha na classificação. Na tabela da «Captura» é apenas «Jogador» com a sua parte da cidade. A sua posição em tempo real e a própria rota não são publicadas.

Dizendo-o claramente: pelo terreno pintado, os outros jogadores veem locais por onde alguém de uma equipa andou. É melhor fechar o laço longe de casa; a introdução ao modo diz isso. «Sair do jogo» apaga o seu território do servidor.

3.11. Comentários e denúncias

«Comunicar um problema» e «Sugerir uma ideia» (são pedidos de suporte) enviam para a nossa base de dados o seu texto, um contacto para a resposta, se o indicar, a versão da aplicação, a versão do iOS ou do Android, o modelo do telemóvel, o idioma e o seu número de jogador, para podermos responder e consultar o registo técnico.

Denunciar um jogador («Denunciar») regista quem denunciou quem, onde (classificação, «Captura», amigos, pedidos, atividades em conjunto) e quando. O programador recebe de imediato um e-mail com a alcunha e o número do jogador denunciado, enviado através da Cloudflare para a caixa de correio do programador, e pode escondê-lo de todos.

3.12. O que resta da nuvem da Apple

Até 13 de setembro de 2026, a classificação, os amigos, as caminhadas em grupo e a cópia de segurança estavam na nuvem da Apple (CloudKit). Agora:

• a classificação, os amigos, as atividades em conjunto e a «Captura» ficam guardados apenas no nosso servidor; a aplicação já não lê os registos antigos de amizade da nuvem da Apple;
• já não é feita uma cópia da base de dados para o seu iCloud pessoal; a cópia encriptada (§3.6) substituiu-a;
• as fotografias e os vídeos das notas já não são copiados para o iCloud: ficam apenas no telemóvel. Os que versões anteriores guardaram no seu armazenamento pessoal do iCloud ficam lá, e a aplicação pode trazê-los de volta para o telemóvel se faltarem. Não temos acesso a esse armazenamento. Para apagar: Definições do iPhone → o seu nome → iCloud → Armazenamento → Unbeen;
• a chave de jogador fica guardada no Porta-chaves iCloud (§3.3).

3.13. Quem trata dados por nossa conta

• Cloudflare: o servidor unbeen.app, o serviço de notificações, o armazenamento das cópias, o armazenamento dos mapas das cidades maps.unbeen.app, o sítio web.
• Supabase: a base de dados (Frankfurt), o duplicado noturno da cópia mais recente e o início de sessão com a Apple, a Google e por e-mail (Supabase Auth), incluindo os e-mails que confirmam o endereço.
• Google: o início de sessão com a Google, se o escolher. No Android, também os serviços de localização do Google Play: nos telemóveis que os têm, determinam a posição para gravar a caminhada (§3.14).
• OpenFreeMap: as imagens do mapa na aplicação para Android (§3.14).
• GitHub: aloja os ficheiros públicos dos mapas das cidades e, por nossa conta, executa a cópia de segurança noturna da base de dados (GitHub Actions); os dados passam pelas máquinas dele sem lá ficarem.
• Grafana Labs (Grafana Cloud): lê a base de dados, apenas em leitura, para o programador ver painéis de indicadores; não vê as próprias cópias encriptadas.
• Apple: o mapa e os itinerários, a entrega de notificações, as fotografias das notas guardadas por versões anteriores no seu iCloud pessoal, as compras na aplicação, o início de sessão com a Apple. O pagamento é tratado pela Apple; não recebemos dados de pagamento.

Cada um deles está obrigado, pelos seus termos de tratamento de dados, a proteger os dados e não os pode usar para fins próprios. As exceções são o mapa da Apple, os serviços de localização do Google Play e o OpenFreeMap: funcionam segundo as suas próprias regras, não por nossa conta.

3.14. A aplicação para Android

A versão do Unbeen para Android funciona como no iPhone: as caminhadas, as rotas, os pontos de satélite e as notas ficam guardados no telemóvel, e tudo o que foi dito acima sobre o que nos chega aplica-se também a ela. As diferenças são estas.

O mapa. Em vez do mapa da Apple, a aplicação mostra um mapa feito com dados do OpenStreetMap. As imagens do mapa da área que está a ver chegam do serviço aberto OpenFreeMap (tiles.openfreemap.org). Como qualquer serviço de mapas, vê o endereço da sua ligação à Internet e a zona mostrada no ecrã. Não usa chaves nem contas, e o seu número de jogador não lhe é enviado. No Android, isto substitui o que §3.1 diz sobre o mapa da Apple.

Mapas das cidades. No Android, o mapa de uma cidade só é descarregado depois do seu «sim» ou de um toque seu: não é descarregado sozinho em movimento, durante a gravação. Os ficheiros vêm dos mesmos dois sítios que no iPhone (§3.2) e são verificados pela soma de controlo da mesma forma. Para encontrar o mapa do lugar onde está, a aplicação pede ao armazenamento do projeto maps.unbeen.app um pedaço do catálogo pelo número de um quadrado de cerca de 28 por 28 km: a sua coordenada não é enviada. Em Definições → Cidades, quando toca, a aplicação carrega de lá a lista de países e, quando abre um país, a lista dos respetivos mapas. Nesse caso, só sai do telemóvel o país que lhe interessa.

Localização. Nos telemóveis com os serviços do Google Play, a aplicação obtém a posição a partir deles; nos outros, a partir do fornecedor de localização integrado do Android. A aplicação não envia as coordenadas para lado nenhum. A forma como os serviços da Google determinam a posição é definida pelas definições do telemóvel e pelas regras da Google. O reconhecimento de atividade (se está a pé ou num transporte) não é usado no Android: a gravação só começa quando é você a iniciá-la.

Localização em segundo plano. A permissão «Permitir sempre» é opcional. A aplicação pede-a ao iniciar uma caminhada e só a usa durante uma caminhada que você próprio iniciou: se o Android fechar a aplicação com o ecrã apagado, a gravação continua e a caminhada fica guardada por inteiro. Fora de uma caminhada, a localização não é usada em segundo plano. Enquanto a gravação decorre, fica na área de notificações do telemóvel uma notificação permanente sobre ela; pode parar a gravação diretamente a partir dela.

O que ainda não existe no Android: o início de sessão com a Apple, amigos, caminhadas em grupo, desafios partilhados, duelos e ofertas (§3.8), notificações do nosso servidor (§3.9), a «Captura» (§3.10), compras e relatórios de falhas. Por isso, os dados descritos nessas secções não são enviados a partir do Android. Quando alguma destas funcionalidades chegar, esta política será atualizada.

O que nos chega do Android: a apresentação ao servidor (§3.3), as estatísticas e o registo técnico (§3.4), o mapa anónimo de passeios, se o ativou (§3.5), a cópia encriptada da base de dados da aplicação (§3.6), se o interruptor «Cópia encriptada connosco» estiver ligado (vem ligado por omissão, como no iPhone), a sua linha da classificação e a imagem do avatar (§3.7, mais detalhes abaixo) e os pedidos «Comunicar um problema» e «Sugerir uma ideia» (§3.11). Tal como as estatísticas, a cópia não é enviada antes do ecrã «O que nos chega»; só é enviada por Wi-Fi ou outra rede sem limite de dados, nunca durante a gravação de uma caminhada e no máximo uma vez a cada 15 minutos; vemos apenas o seu tamanho, a data, o número de caminhadas e a soma de controlo. Tal como no iPhone, as estatísticas não são enviadas antes do ecrã «O que nos chega» e desligam-se com um único interruptor: Definições → Privacidade → Os meus dados. No Android, o registo técnico inclui ainda o estado do telemóvel de que depende a gravação em segundo plano: se a restrição de bateria foi levantada, se a localização é permitida sempre, se a poupança de bateria está ativa e se o ecrã está ligado. O registo não contém coordenadas.

A classificação e o avatar no Android funcionam como no iPhone (§3.7). A participação está ativada por omissão e desliga-se com um único interruptor: Definições → Privacidade → «Participar na classificação». Enquanto estiver ativada, a sua linha da classificação é enviada para o servidor com os mesmos campos que a partir do iPhone e, se tiver escolhido um avatar, também a imagem dele. No Android, o avatar é apenas um animal desenhado da aplicação, uma imagem pequena com no máximo 9800 bytes. A sua própria fotografia nunca sai do Android: não é possível defini-la como avatar, e a aplicação não acede à galeria do telemóvel. Se desligar a participação, a linha e a imagem são apagadas do servidor; se retirar o animal, a imagem é apagada. As molduras especiais do avatar compram-se com feijões ganhos na aplicação, não com dinheiro: a compra fica registada na carteira do telemóvel e, como qualquer gasto de feijões, entra nas estatísticas (§3.4), se estiverem ativas; a linha da classificação leva apenas a moldura que está a usar. A partir da classificação, pode denunciar um jogador (§3.11) e bloqueá-lo (§3.9): isto chega ao nosso servidor da mesma forma que a partir do iPhone.

Início de sessão numa conta no Android — com a Google ou por e-mail, tal como no iPhone (§3.3): o sinal de início de sessão da Google vai apenas para o nosso servidor, o e-mail e a palavra-passe seguem diretamente para o Supabase Auth, e a palavra-passe não chega até nós. Se o e-mail de confirmação ou de reposição da palavra-passe não chegar, pode enviá-lo outra vez: por agora enviamos poucos e-mails por hora. Também pode iniciar sessão mais tarde: «Continuar sem iniciar sessão» está sempre disponível; nesse caso, a aplicação lembra-o de iniciar sessão com uma janela de poucas em poucas horas e todos os dias às 19:00 com uma notificação criada no próprio telemóvel (sem o nosso servidor). Uma conta tem um atlas: se o atlas da conta estiver num iPhone, o Android avisa e não transfere nada; a transferência do atlas entre iPhone e Android chegará mais tarde.

A chave de jogador fica guardada no telemóvel, num ficheiro encriptado com uma chave do armazenamento protegido do Android. A cópia encriptada é selada com esta chave. Enquanto não iniciar sessão numa conta, a chave não sai do telemóvel. Quando inicia sessão, o telemóvel entrega-a ao nosso servidor, que a guarda selada com um segredo próprio e a entrega apenas a si, logo depois de entrar com a mesma conta num telemóvel novo (§3.3, como no iPhone).

Sem cópia na nuvem da Google. A cópia de segurança automática do Android para a nuvem da Google (Google Drive) e a transferência de dados para um telemóvel novo através da Google estão desligadas para o Unbeen: os dados da aplicação não vão para lá. Para recuperar as caminhadas num telemóvel novo ou depois de reinstalar, use a cópia encriptada connosco (§3.6): entre com a mesma conta, e a aplicação descarrega a cópia sozinha e abre-a com a sua chave. Sem iniciar sessão, a chave fica apenas neste telemóvel: apagar a aplicação apaga-a também, e a cópia deixa de poder ser aberta. A cópia também recupera as caminhadas se a base de dados do telemóvel se perder e a aplicação ficar: Definições → Privacidade → Os meus dados → Repor a partir do nosso servidor. As fotografias e os vídeos das notas não entram na cópia.

As fotografias e os vídeos das notas são feitos com a câmara da aplicação e nunca saem do telemóvel. O microfone nunca é pedido: os vídeos são gravados sem som. A aplicação não acede à galeria do telemóvel.

Permissões no Android:

Eliminação. «Apagar tudo do nosso lado» (Definições → Privacidade → Os meus dados) apaga no servidor tudo o que veio do telemóvel e desliga o envio; se iniciou sessão, a conta é apagada juntamente com os dados. Quem iniciou sessão tem também «Apagar a conta», como no iPhone (§10). Também pode escrever para support@unbeen.app, indicando a alcunha. Os dados no telemóvel são apagados juntamente com a aplicação.

4. Permissões que a aplicação pede

Abaixo estão as permissões no iPhone; no Android são outras, e a lista está em §3.14.

A câmara serve apenas para as notas: o avatar escolhe-se entre animais desenhados, e a aplicação não acede às suas fotografias. O microfone nunca é pedido: as notas em vídeo são gravadas sem som.

Qualquer permissão pode ser revogada nas definições do telemóvel. A aplicação continua a funcionar, apenas sem a função que dependia dessa permissão: por exemplo, sem localização as caminhadas não são gravadas, mas o mapa, o atlas e tudo o resto abrem.

5. O que a aplicação não tem

• não guardamos palavras-passe: no início de sessão com e-mail, o Supabase Auth verifica a palavra-passe e guarda apenas o seu hash;
• não tem publicidade nem identificadores publicitários, nem rastreio entre aplicações;
• não tem bibliotecas de terceiros de análise ou rastreio; o registo técnico é feito por nós (§3.4);
• não há venda de dados. A única coisa que podemos mostrar a parceiros é o resumo do mapa anónimo (§3.5), e só de quem o ativou.

6. O sítio web unbeen.app

O que o sítio recolhe. Um endereço de e-mail, e só se for você a introduzi-lo para que o avisemos do lançamento da aplicação. Um botão à parte permite deixar o e-mail para a versão Android. Juntamente com o endereço, guardamos o idioma da página, a versão para a qual se inscreveu (iPhone ou Android), o país determinado pelo endereço da sua ligação à Internet e a data, para lhe escrevermos no seu idioma quando a aplicação chegar ao seu país.

Para quê. Para lhe enviar um e-mail quando a aplicação for lançada. Só para isso e para mais nada: não haverá envios publicitários.

Onde fica guardado. Na infraestrutura da Cloudflare, onde está alojado o próprio sítio.

Durante quanto tempo. Até ao lançamento da aplicação mais trinta dias, ou até nos pedir que apaguemos o endereço. Depois disso, o endereço é apagado.

Cancelar a subscrição. Todos os e-mails têm uma ligação para cancelar a subscrição. Também pode simplesmente escrever para support@unbeen.app e apagamos o endereço.

O sítio não usa cookies publicitários nem de análise.

7. Com que fundamento

• Estatísticas e registo técnico: o nosso interesse legítimo em encontrar e corrigir avarias. Ativado por omissão, sem coordenadas nem textos, e a recusa é um único interruptor.
• Cópia encriptada: o nosso interesse legítimo em devolver-lhe os dados depois de perder o telemóvel; não a abrimos, e a recusa é um único interruptor.
• A sua conta (Apple, Google ou e-mail) e a chave guardada: execução de um contrato: inicia sessão para que o atlas volte num telemóvel novo.
• Mapa anónimo de passeios: o seu consentimento; só pode ser ativado por si.
• Classificação e avatar: o nosso interesse legítimo em mostrar uma tabela comum de resultados sob pseudónimo; a recusa é um único interruptor, depois do qual a linha é apagada.
• Amigos, caminhadas em grupo, desafios, ofertas, compras, notificações, «Captura», comentários: a execução daquilo que você próprio pediu.
• Denúncias e ocultação de jogadores: o nosso interesse legítimo em proteger os jogadores de alcunhas e nomes ofensivos (as regras da App Store também o exigem).
• O mapa (da Apple no iPhone, do OpenFreeMap no Android) e os mapas das cidades: necessidade para o funcionamento da aplicação.
• E-mail sobre o lançamento: o seu consentimento, dado com a caixa de seleção no formulário, que pode retirar a qualquer momento.

A aplicação não toma decisões automatizadas com efeitos jurídicos e não faz definição de perfis.

8. Durante quanto tempo os dados são guardados

• Registo técnico e registo de pedidos do servidor: 90 dias. O registo é guardado por mês, e um mês é apagado por inteiro quando faz 90 dias, por isso as entradas mais antigas duram até quatro meses.
• Números das caminhadas, progresso, compras, linha da classificação, avatar, amizades, atividades em conjunto, território de «Captura», comentários, denúncias que fez, registo das notificações, resumos diários de utilização: até usar «Apagar tudo do nosso lado» ou os apagar com os botões da aplicação.
• A conta e a chave selada: até apagar a conta ou usar «Apagar tudo do nosso lado».
• Rota de uma caminhada em grupo: cerca de dois dias depois do início.
• Cópias encriptadas: as 7 mais recentes; o duplicado noturno guarda apenas a última.
• Cópias de segurança noturnas de toda a base de dados (para recuperação de desastres): 7 diárias, 8 semanais e 12 mensais, ou seja, até um ano. Depois de «Apagar tudo do nosso lado», os seus dados continuam nas cópias já feitas até serem substituídas, no máximo 12 meses, e só são usados para recuperar de um desastre.
• Arquivo antes de uma reposição geral do progresso (cópia completa da base de dados e das cópias): até 6 meses, depois é apagado manualmente.
• Serviço de notificações: o endereço do telemóvel enquanto as notificações estiverem ativas; o resto até «Apagar tudo do nosso lado». Ligações de convite e pedidos de amizade: 30 dias; o contador por hora: duas horas.
• Denúncias feitas contra si por outros jogadores e a marca de ocultação do moderador: «Apagar tudo do nosso lado» não as apaga, porque protegem os outros jogadores. Se achar que a ocultação foi um erro, escreva-nos.
• Mapa anónimo: os contadores sem número de jogador são guardados sem prazo, porque não podem ser associados a si.
• Fotografias e vídeos das notas guardados por versões anteriores no iCloud: até os apagar.
• Endereço de e-mail do sítio: até ao lançamento mais trinta dias ou até ao seu pedido.

9. Onde ficam fisicamente os dados

• Supabase: a base de dados e o duplicado noturno das cópias, em Frankfurt, Alemanha.
• Cloudflare: o servidor e o serviço de notificações funcionam no nó da rede mais próximo de si, em todo o mundo. As cópias de segurança noturnas da base de dados e o arquivo ficam num armazenamento vinculado à União Europeia. O armazenamento das cópias encriptadas não está vinculado à UE: é a Cloudflare que escolhe o local. As transferências para fora da UE baseiam-se nas cláusulas contratuais-tipo da UE e no EU–U.S. Data Privacy Framework.
• GitHub (ficheiros dos mapas, execução da cópia noturna): Estados Unidos e outros países; cláusulas contratuais-tipo da UE, e o GitHub está certificado ao abrigo do Data Privacy Framework.
• Grafana Cloud: a nossa instância está alojada na Alemanha.
• Nuvem da Apple (fotografias e vídeos das notas guardados por versões anteriores no seu iCloud). Os dados dos utilizadores europeus são controlados pela Apple Distribution International (Irlanda); segundo a própria Apple, ficam guardados sobretudo nos Estados Unidos, ao abrigo das cláusulas contratuais-tipo da UE.

10. Os seus direitos e como apagar os dados

Se estiver no Espaço Económico Europeu ou no Reino Unido, tem direito a obter uma cópia dos seus dados em formato legível por máquina, a retificá-los, a apagá-los, a limitar o seu tratamento, a opor-se ao tratamento, a retirar o consentimento e a apresentar queixa a uma autoridade de controlo.

Como fazê-lo no Unbeen:

• «Apagar a conta»: Definições → Privacidade → Conta → «Apagar a conta» (o mesmo botão está no fim de «Os meus dados»). Apaga o mesmo que «Apagar tudo do nosso lado»: os dois botões apagam, juntamente com os dados, a conta — a ligação, a chave selada e o seu utilizador no Supabase (com o e-mail e o hash da palavra-passe); «Apagar a conta» apenas pede confirmação com uma palavra. No Android, o caminho é o mesmo que no iPhone: Definições → Privacidade → Conta → «Apagar a conta», ou o botão no fim de «Os meus dados». Apagar a conta não cancela a subscrição: quem a renova é a Apple, e cancela-se nas definições do Apple ID (o ecrã de eliminação tem o botão «Gerir subscrição»).
• «Apagar tudo do nosso lado»: Definições → Privacidade → Os meus dados. No servidor apaga os números e o progresso, as compras, o registo técnico e o registo de pedidos, a linha da classificação e o avatar, o território de «Captura», as amizades, as suas caminhadas em grupo e desafios (nos de outras pessoas é retirado da lista de participantes), os comentários com o contacto, as denúncias que fez, o registo das notificações enviadas por si e para si, os resumos diários de utilização, as cópias encriptadas e o seu registo no serviço de notificações: endereço, código de amigo, autorizações e pedidos. O envio é desligado. No telemóvel fica tudo.
• O que «Apagar tudo do nosso lado» não apaga: as denúncias contra si feitas por outros jogadores e a marca de ocultação do moderador (protegem os outros jogadores); as cópias de segurança noturnas já feitas (até 12 meses) e o arquivo antes de uma reposição do progresso (até 6 meses), que são substituídos e apagados dentro do prazo; o duplicado noturno da cópia é removido na mesma noite.
• Em separado: desligar a classificação apaga a linha e o avatar; «Sair do jogo» apaga o território; remover um amigo ou eliminar uma caminhada em grupo apaga-os para todos.
• Os dados no telemóvel apagam-se caminhada a caminhada («Eliminar a caminhada») ou juntamente com a aplicação.
• Fotografias e vídeos das notas guardados por versões anteriores no iCloud: Definições do iPhone → o seu nome → iCloud → Armazenamento → Unbeen.
• Uma cópia dos seus dados: escreva para support@unbeen.app indicando a alcunha; enviamo-la num ficheiro.
• Se já apagou a aplicação e ficaram dados no servidor, escreva para support@unbeen.app indicando a alcunha: apagamos e confirmamos por e-mail.
• O endereço de e-mail do sítio é apagado a pedido para support@unbeen.app ou pela ligação em qualquer e-mail.

Todas as formas de apagar a conta e os dados, na aplicação e sem ela, estão reunidas numa página: unbeen.app/pt/delete-account.

Respondemos a qualquer pedido no prazo de um mês.

A autoridade de controlo em Portugal é a Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1º, 1200-651 Lisboa, geral@cnpd.pt; a queixa pode ser apresentada em cnpd.pt. Também pode dirigir-se à autoridade de controlo do seu país.

11. Crianças

A aplicação não se destina a crianças com menos de 13 anos, e não recolhemos intencionalmente dados de crianças. Se considerar que uma criança nos deixou os seus dados, escreva-nos e apagamo-los. Nos países em que a idade do consentimento digital é superior a 13 anos, a participação na classificação e nos amigos só é possível a partir dessa idade.

12. Alterações

Se a política mudar, a nova versão aparecerá nesta página com uma nova data. Se a alteração afetar endereços de e-mail já recolhidos, avisaremos por e-mail.

13. Contacto

Maksim Efimov · suporte e questões sobre dados: support@unbeen.app · geral: hi@unbeen.app