Privacidade

O que esta aplicação guarda sobre ti

O teu nome de Telegram, o teu utilizador, a tua fotografia de perfil e o teu id de Telegram se entrares com o Telegram. Se entrares com um nome e uma palavra-passe, apenas esse nome e uma impressão cifrada da palavra-passe.

Quando a tua conta foi criada e quando estiveste pela última vez na aplicação, com data e hora. Esta última informação é atualizada no máximo uma vez a cada cinco minutos, sem página nem endereço IP. Os amigos só veem o dia.

As viagens que acrescentas: nome, período, os lugares e as tuas fotografias. Os lugares que escreves tu são guardados de propósito com uma precisão de cerca de dois quilómetros, nunca maior. Se escolheres um sítio com bitcoin do mapa, aí vai com ele a morada exata desse negócio: está na porta dele e no OpenStreetMap. A etiqueta que escreves junto a um lugar é texto livre e é guardada tal como a escreves, por isso não ponhas lá uma morada.

O teu livro de gastos: valores, categorias, notas, datas e o lugar onde pagaste. Esses números são teus e de mais ninguém, exceto das pessoas com quem tu próprio partilhas um livro.

Amizades, convites e os gostos que deixas nas fotografias.

Das tuas fotografias é retirado tudo o que não é a imagem antes de serem guardadas: a coordenada GPS, o aparelho, o momento. Os ficheiros originais nunca são conservados.

A tua própria posição não é guardada em lado nenhum. Se carregares em "Perto de mim", o teu navegador pede-te autorização e a resposta fica no teu aparelho. O que o servidor vê é um quadrado de alguns quilómetros numa grelha fixa sobre o mapa do mundo, a mesma grelha em que estão os lugares do teu livro de viagens. Toda a gente no mesmo bairro envia exatamente o mesmo quadrado, por isso não há daí nenhum ponto a deduzir. A que distância está um lugar é o teu próprio telemóvel que calcula. Nada disso é guardado, contado ou registado.

O que não acontece

Nesta aplicação não há um único script de seguimento, rede de publicidade ou pacote de análise de terceiros.

Esta aplicação não mantém um registo de acessos próprio: em lado nenhum fica escrito quem pediu que página. O que é mantido é um contador por dia: uma data, uma palavra e um número, por exemplo que a aplicação foi aberta quatrocentas vezes nesse dia. Sem id de membro, sem endereço, sem caminho. Nas nossas páginas públicas contamos, por dia, de que tipo de fonte vêm aproximadamente os visitantes, por exemplo Google, Bing, um assistente de IA, outro site ou diretamente. Guardamos apenas a categoria da fonte e o total do dia, não o endereço web de origem, a página visitada, o teu endereço IP nem quem és. A Cloudflare, que leva o tráfego até ao servidor, mantém os seus próprios registos de tráfego, com endereços IP.

Os teus dados não são vendidos, alugados nem partilhados para publicidade.

Quem pode ver

Qualquer pessoa que tenha entrado pode encontrar o teu nome se o escrever, juntamente com o emblema Family se estiveres no grupo. É isso que permite pedir a alguém para ser amigo. O teu utilizador de Telegram e a tua fotografia de perfil só são mostrados quando já são mesmo amigos.

As tuas amizades veem as tuas viagens, os teus lugares e as tuas fotografias, com o dia ao lado. Quem não é amigo não vê nada disso.

As tuas amizades também veem em que dia estiveste pela última vez na aplicação, para que a lista no separador Atividade possa ser ordenada por quem esteve mais recentemente. O dia e não a hora: ninguém pode ver a que horas estavas a ver.

Os companheiros de viagem veem a viagem para que os convidas, mesmo que não sejam amigos. Podem acrescentar-lhe fotografias e lugares e também tirá-los. Convida só gente em quem confias, e retira um código de convite quando já não o usares.

Se estiveres no grupo Family, o teu nome aparece debaixo das fotografias de que gostas, visível para as outras pessoas do grupo.

Dentro do teu lar veem todos o mesmo livro, que é para isso que um lar serve. Um convite és sempre tu que o aceitas. Repara que não partilhas apenas valores: cada apontamento leva também o lugar com cerca de dois quilómetros de precisão, o dia e a tua nota, e isso fica no livro se mais tarde saíres do lar.

O teu livro de gastos nunca é visível para as tuas amizades. Só para ti e para o teu lar.

Terceiros fora desta aplicação

O Telegram, para entrar. Ao fazê-lo envias o teu próprio nome e id. As fotografias de perfil dos membros são pedidas pelo teu navegador diretamente ao Telegram, por isso o Telegram vê que alguém pediu essa fotografia.

A Stripe, para pagar com cartão. Os dados do cartão não chegam a esta aplicação: os números vão direitos para a Stripe e nunca passam por este servidor. Aqui fica guardado o valor, o plano, se correu bem, a referência que a Stripe deu ao pagamento e a que lar pertence. A Stripe conserva o que preenches na página dela, como o teu email e o teu cartão; isso fica com eles segundo as obrigações deles, também depois de apagares a tua conta aqui. Nós não podemos apagar nada lá.

A Speed, para pagar com cripto: Lightning, bitcoin on-chain, USDT ou USDC. Os dados da carteira não chegam a esta aplicação e nunca passam por este servidor: escolhes a tua moeda e pagas na própria página da Speed. O que entregamos antecipadamente é o valor, o plano e uma referência que leva o id do teu lar (correlationId), para que o pagamento chegue ao lar certo. Assim que é pago, guardamos também o que realmente chegou e em que moeda, por exemplo sats ou USDT (amount_paid e target_currency). A Speed conserva o que acontece na página dela segundo as obrigações dela, também depois de apagares a tua conta aqui. Nós não podemos apagar nada lá.

A Cloudflare, que leva o tráfego até este servidor e guarda a cópia noturna cifrada.

O mempool.space, só se tu próprio introduzires um endereço de bitcoin no separador Bitcoin. A consulta é feita pelo teu próprio navegador diretamente no mempool.space, por isso eles veem que endereço consultas e a partir de que endereço de internet. Se não introduzires nada, nada é enviado. Os endereços ficam no teu navegador e nunca chegam ao nosso servidor.

A Esri para o mapa de satélite, e o OpenStreetMap e o BTC Map para os nomes de lugares e os sítios com bitcoin. Os quadrados do mapa são pedidos pelo teu próprio navegador à Esri, por isso eles veem o teu endereço IP e que pedaço do mundo estás a ver, não quem és nem que entraste aqui.

Os preços vêm da OKX e da Bybit, que não veem nenhum dado teu.

Na aplicação há ligações de referência para parceiros: exchanges, eSIM, um seguro, internet a caminho. Se carregares numa, vai com ela um código que diz ao parceiro que vens daqui, juntamente com tudo o que o teu navegador envia sempre, como o teu endereço IP. O que esse parceiro fizer depois cai sob a política de privacidade dele. Se não carregares, não vai nada.

Um modelo de linguagem, só quando perguntas ao Toshi algo que não está no livro de respostas dele, e só durante um período pago ativo de A tua vida em Bitcoin; nos dias de experiência gratuitos o Toshi responde só a partir do livro de respostas dele. O que sai é a tua pergunta depois de passar pelos nossos filtros: uma seed phrase ou uma private key é travada e nunca vai, e emails, telefones, números de conta, moradas e nomes são retirados. Não vai nenhuma conta, nenhum nome nem id, e nunca nada do teu livro de caixa, das tuas viagens ou das tuas fotografias: isso calcula a própria aplicação, aqui neste servidor e no teu navegador. Hoje usamos a Anthropic (Claude) para isto. Esta funcionalidade é nova e estamos a experimentar que modelo assenta melhor nesta aplicação, por isso pode passar a ser outro fornecedor; atualizamos esta página antes de isso acontecer.

Anthropic (Claude) também para ler um recibo, só quando tu próprio tocas em Digitalizar um recibo e só durante um período pago ativo de A tua vida em Bitcoin. A fotografia do recibo vai então para a Anthropic para a transformar numa proposta de apontamento. Nós não guardamos essa fotografia; só o apontamento que tu guardares depois. Não vai nenhuma conta, nome nem id, mas vai tudo o que está no recibo, por isso não digitalizes um recibo com algo que não queiras partilhar. Tanto para a pergunta ao Toshi como para a fotografia de um recibo: a Anthropic trata o que enviamos ao abrigo das condições comerciais e do acordo de tratamento de dados (DPA) dela. Não treina modelos com isso e apaga-o segundo a política de conservação dela no prazo de trinta dias, salvo se os sistemas de segurança dela o assinalarem. Não temos um acordo de retenção zero.

Porque podemos fazer isto

As tuas viagens, as tuas fotos e o teu livro de contas tratamo-los para te dar a aplicação que usas: esse é o contrato entre ti e nós.

Os pagamentos tratamo-los para cumprir esse mesmo contrato, e depois guardamo-los porque a lei o exige para dados financeiros.

A segurança e os contadores contra abusos são o nosso interesse legítimo: sem eles o serviço não se aguenta, e não tocam em nada do que tu registaste.

A tua posição em “Perto de ti” e a consulta de um endereço de bitcoin só acontecem com o teu consentimento, de cada vez, e não são guardadas.

Fora da União Europeia

O responsável por esta aplicação está estabelecido nos Emirados Árabes Unidos. Para esse país não existe uma decisão de adequação da Comissão Europeia.

O que tratamos sobre ti é necessário para cumprir o contrato contigo, e essa é a base pela qual os teus dados podem estar connosco (artigo 49.º, n.º 1, alínea b do RGPD). Se não quiseres isso, não usas a aplicação e nada teu é tratado.

Bolachas e o que fica no teu navegador

Uma bolacha para te manter dentro, uma semana, que se renova enquanto usas a aplicação. Se saíres, desaparece.

Durante a entrada, por pouco tempo, uma segunda bolacha de dez minutos que verifica que a entrada pertence mesmo ao teu próprio toque.

No navegador ficam algumas coisinhas: o teu idioma, se já viste os cartões de boas-vindas, e um código de referência se chegaste pela ligação de alguém. Não saem do teu aparelho.

Não há bolachas de publicidade nem de estatística, nem nossas nem de ninguém.

Quanto tempo é guardado

Enquanto a tua conta existir. Se a apagares, os teus dados saem da aplicação de imediato.

Uma exceção: se partilhas um livro com outras pessoas, os apontamentos que partilhaste com elas ficam nesse livro, já sem apontar para ti. Caso contrário, o livro dos teus companheiros de casa deixaria de bater certo. O mesmo vale para um livro partilhado que deixaste antes. O que tinhas posto em Privado é mesmo apagado.

Nas cópias demora mais: há uma cópia noturna num computador de casa e uma cópia cifrada na Cloudflare R2. As cópias diárias desaparecem em cerca de duas semanas, e as fotografias só saem das cópias quando nenhuma noite guardada as conhece já.

Um pagamento é conservado como dado financeiro, já sem apontar para ti.

O que podes fazer tu

Levar tudo contigo: no separador Eu há um botão que te entrega num ficheiro tudo o que a aplicação tem sobre ti.

Apagar tudo: no menu atrás da tua fotografia de perfil está Eliminar conta. Escreves o teu próprio nome e vai-se.

Corrigir ou opor-te: escreve-nos e fazemo-lo à mão.

Segurança

Tudo viaja por https. As palavras-passe são guardadas com scrypt. A cópia fora de casa é cifrada antes de sair.

A aplicação corre numa máquina própria, não partilhada com outros serviços, e o código-fonte é público.