Esta página é uma tradução da versão original em inglês. Em caso de dúvida, prevalece a versão inglesa.

Política de privacidade

Este documento explica que dados a Roadby trata: tanto na app móvel como neste site (roadby.app). É um único documento em duas partes porque o Google Play exige um único endereço público de política de privacidade para a app, e parece-nos mais honesto que esse mesmo endereço explique também o que faz o próprio site.

Quem é o responsável

O responsável pelo tratamento dos dados pessoais descritos neste documento é o operador da Roadby («nós»), que decide para que finalidades e de que forma são tratados. Dentro da Roadby, o acesso a esses dados está limitado ao número mínimo de pessoas necessário para prestar o serviço.

A Roadby ainda não publica o nome legal, o número de identificação fiscal e a morada postal do seu operador: aparecerão aqui quando a revisão jurídica desta política estiver concluída. Até lá, podes contactar o responsável pelo tratamento sobre qualquer assunto desta política, incluindo o exercício dos teus direitos, através de support@roadby.app, e responderemos a partir desse endereço.

A. Dados tratados pela app Roadby

A Roadby é uma app para condutores: põe em contacto, por voz em direto, pessoas que estão fisicamente perto umas das outras e permite-lhes trocar mensagens de texto, a dois e em grupos. O que se segue descreve, com o máximo de detalhe possível, que dados gera cada parte da app, para onde vão e durante quanto tempo.

A.1 Conta

Para usares a Roadby, crias uma conta com o teu endereço de e-mail, uma palavra-passe, um nome e um @utilizador, e confirmas o teu e-mail através de uma ligação de utilização única, ou crias a conta com a tua conta Google (ver A.1a). Em ambos os casos, aceitas os termos do serviço e esta política de privacidade e confirmas que tens 18 anos ou mais. Não há autenticação de dois fatores.

• O teu e-mail é usado como identificador da conta e só tu (e os administradores da Roadby) o podem ver; nunca é mostrado a outros utilizadores.
• A tua palavra-passe é guardada como hash (cifrada de forma irreversível): ninguém, nem sequer os administradores da Roadby, a consegue ler.
• Para alterares o teu e-mail, alterares a tua palavra-passe ou apagares a tua conta na app, voltamos a pedir-te a tua palavra-passe atual. Se a tua conta não tiver palavra-passe porque só entras com o Google, a app não te propõe alterar o e-mail nem a palavra-passe (podes criar uma palavra-passe com «Esqueceste-te da palavra-passe?»), e para apagar a conta pede-te, em vez disso, um código de 6 dígitos que te enviamos por e-mail. Se preferires fazer-nos o pedido por e-mail, confirmamo-lo contigo como se explica na página Apagar a tua conta.
• Guardamos as datas em que te registaste, confirmaste o teu e-mail e iniciaste sessão pela última vez; que confirmaste ter 18 anos ou mais, e quando (não a tua data de nascimento: não a verificamos); a versão dos termos que aceitaste, e quando; e o idioma em que usas a app, para que os nossos e-mails te cheguem nesse idioma.
• Em cada sessão e em cada início de sessão, o sistema de autenticação regista o teu endereço IP e o tipo de dispositivo ou navegador, num registo de eventos de acesso (criação da conta, início de sessão, alterações, eliminação). Os registos técnicos da plataforma que usamos (Supabase) e do servidor de voz (LiveKit) também contêm o endereço IP de cada ligação, como em qualquer serviço de internet.

A.1a Iniciar sessão com o Google

Também podes criar a tua conta da Roadby e iniciar sessão com a tua conta Google («Continuar com o Google»). O início de sessão com a Apple ainda não está disponível.

• O que recebemos da Google. Um identificador da tua conta Google, o teu endereço de e-mail e a indicação de se a Google o verificou, o teu nome (nome próprio e apelido) e o endereço da tua foto de perfil do Google. Só pedimos à Google esta informação básica de início de sessão: não temos acesso aos teus contactos, ao Drive, ao Gmail nem a mais nada, e nunca publicamos nada na tua conta Google.
• O que usamos. O teu endereço de e-mail passa a ser o e-mail da tua conta, e o teu nome próprio (nunca o apelido) preenche o nome do teu perfil, que podes alterar antes de criares a conta. O @utilizador escolhes tu. Não usamos a tua foto do Google.
• O que é conservado. O nosso fornecedor de autenticação (Supabase) conserva o que a Google envia, incluindo o teu nome completo e o endereço da tua foto do Google, associado à tua conta enquanto ela existir, e atualiza-o sempre que inicias sessão com o Google. A Roadby não o usa depois do registo.
• Antes de a conta existir. Entre «Continuar com o Google» e a criação da tua conta, o @utilizador e o nome que escolhes, o teu endereço de e-mail, o teu identificador Google e as tuas duas confirmações ficam guardados numa tabela privada durante uma hora, no máximo, e depois são apagados.
• No teu telemóvel. A app lembra-se de que contas Google iniciaram sessão nesse telemóvel (um identificador da Google e o identificador da tua conta da Roadby), para da próxima vez poder iniciar a tua sessão mais depressa. Terminar sessão não o remove; apagar a tua conta nesse telemóvel, sim.
• Se já tiveres uma conta com esse e-mail. Iniciar sessão com o Google associa o Google a essa conta. Se essa conta nunca tiver sido confirmada, passa a ser tua: a palavra-passe antiga, as sessões e quaisquer ligações ou códigos pendentes são removidos, a caixa de «novidades e ofertas» é desmarcada, e a confirmação de idade e a aceitação dos termos registadas por quem a criou são apagadas.
• O papel da Google. A Google é responsável pelo seu próprio início de sessão e vai saber que usas a Roadby: inclui a Roadby entre as apps ligadas da tua conta Google, onde também a podes desligar.
• A utilização e a transferência, pela Roadby, de informações recebidas das APIs da Google cumprirão a Política de Dados do Utilizador dos Serviços de API da Google (Google API Services User Data Policy).
• Apagar a tua conta. Se a tua conta não tiver palavra-passe porque só entras com o Google, apagá-la na app pede-te um código de 6 dígitos que te enviamos por e-mail (só pode ser usado uma vez e é válido durante 1 hora).

A.2 Perfil público e foto

O teu perfil tem exatamente estes campos: nome visível, @utilizador, uma bio opcional (até 80 caracteres) e uma foto opcional. Além da confirmação de que tens 18 anos ou mais (A.1), não te pedimos a idade, o número de telefone nem mais nada.

• Estas pessoas veem a tua ficha (nome, @utilizador, bio, foto): qualquer pessoa ao teu alcance (ver A.3), estejas ou não na sala de voz; os teus amigos; quem te enviou ou recebeu de ti um pedido de amizade; quem te tem no seu histórico; quem tem uma conversa contigo, e os membros de qualquer grupo em que estejas; quem te bloqueou (na sua lista de bloqueados, para te poder desbloquear); e qualquer utilizador que saiba o teu @utilizador.
• Qualquer pessoa, mesmo sem conta, pode verificar se um @utilizador existe (não obtém a tua ficha).
• Quem abre o teu perfil vê a tua ficha, as tuas insígnias (ver A.6a) e os amigos que tens em comum com essa pessoa (A.5). O tempo que os dois partilharam numa sala aparece no Histórico de cada um (A.6) e junto a um pedido de amizade que um de vocês receba do outro.
• O nosso servidor calcula também alguns contadores sobre ti (tempo total em salas, dias em salas, pessoas conhecidas e número de amigos). Só os envia, juntamente com o mês em que te registaste, para a tua própria app, nunca para mais ninguém, e hoje a app não os mostra.
• A tua foto de perfil é guardada num contentor público de ficheiros: qualquer pessoa com o seu endereço pode vê-la sem iniciar sessão, mesmo que bloqueies essa pessoa depois. É apagada quando apagas a tua conta ou a substituis por outra. Só pode haver uma foto e, hoje, a app não te deixa removê-la sem a substituir; se quiseres que seja removida, escreve-nos e fazemo-lo por ti.

Filtro automático de fotos. Quando carregas uma foto de perfil, enviamo-la para a API SafeSearch do Google Cloud Vision (Google LLC), para uma verificação automática de conteúdo explícito, através do ponto de acesso europeu do serviço. O compromisso contratual da Google sobre a localização dos dados no Cloud Vision abrange apenas a funcionalidade de reconhecimento de texto, pelo que não podemos garantir que esta análise seja tratada exclusivamente na União Europeia. A Google devolve uma probabilidade em cinco categorias (conteúdo para adultos, violento, médico ou sugestivo, e imagens falsificadas ou manipuladas); a Roadby só rejeita uma foto se a Google assinalar conteúdo para adultos ou violento no seu nível mais alto, e não pedimos nenhuma outra funcionalidade de análise (etiquetas, rostos, texto). Se uma foto for rejeitada, nos registos técnicos do servidor fica apenas o veredicto da Google, sem a imagem e sem o identificador da tua conta. Se o filtro não estiver disponível (uma falha ou falta de configuração), a foto é publicada sem ser analisada e fica um registo disso, também sem te identificar, nesses mesmos registos. Para limitar abusos, podes alterar a tua foto de perfil no máximo duas vezes a cada 24 horas (uma foto que o filtro rejeite também conta), e analisamos no máximo 5 fotos por conta e por dia. Para fazer esta contagem, o servidor guarda durante 24 horas a hora e uma impressão digital (um resumo criptográfico) de cada tentativa, e um contador diário de tentativas que é substituído no dia seguinte em que tentares; ambos são apagados com a tua conta. As fotos de grupo passam pelo mesmo filtro (ver A.5b).

A.3 Localização

Este é o dado mais sensível da app e aquele com que temos mais cuidado:

• Fora de uma sala de voz, a tua posição só é captada enquanto a app está no ecrã e tens sessão iniciada, com a permissão de localização «durante a utilização». Enquanto estás numa sala de voz (desde que tocas em Entrar até tocares em Sair), a Roadby continua a captar e a partilhar a tua posição mesmo com o ecrã desligado ou com outra app à frente, como um mapa, para que as pessoas perto de ti te possam continuar a ouvir enquanto conduzes. No Android, isto funciona como um serviço em primeiro plano com uma notificação permanente que mostra que a sala está ativa, e para assim que sais da sala. Antes da primeira vez que tocas em Entrar, a app explica-te isto e deixa-te escolher não entrar. Nunca pedimos a localização «sempre» (em segundo plano). Se o teu telemóvel não obtiver uma nova posição GPS durante dois minutos, a app deixa de partilhar a tua última posição conhecida em vez de a repetir, e desapareces do radar até o sinal voltar.
• A tua posição exata viaja cifrada até ao servidor e passa por ele antes de ser guardada; antes de ser escrita, é arredondada a uma grelha de cerca de 50 metros. Só guardamos a tua última posição: não existe nenhum tipo de histórico de localizações. Para contar o tempo que partilhas com outras pessoas (A.6), o servidor guarda também, durante até 5 minutos, um registo de que pares de utilizadores estavam ao alcance um do outro e quando — nunca onde.
• Essa posição expira ao fim de 5 minutos e deixa de ser visível para os outros ao fim de 45 segundos sem ser atualizada.
• Outra pessoa nunca recebe a tua posição, a tua distância nem a tua direção. Quanto à tua localização, a app dela recebe apenas duas coisas: se estás ao alcance e um nível de volume em quatro patamares (máximo, três quartos, metade e um quarto). O alcance é igual para todos e é fixado pelo nosso servidor: estás ao alcance de alguém quando estão a menos de cerca de 400 metros um do outro. Até cerca de 300 metros, o volume é máximo, seja qual for a distância entre vocês; entre cerca de 300 e 400 metros, vai baixando, patamar a patamar; para lá de cerca de 400 metros, deixam de estar ao alcance um do outro e desaparecem do radar um do outro. Entre 300 e 400 metros, o nível de volume permite situar a distância entre vocês em faixas de cerca de 25 metros. Todas as distâncias são aproximadas: as posições são arredondadas a uma grelha de cerca de 50 metros e, a velocidades de autoestrada, podem ter alguns segundos de atraso.
• O servidor descarta posições impossíveis (saltos que nenhum veículo conseguiria fazer) e aplica o mesmo alcance a todos; a app não o pode alterar.

A.4 Voz

• A sala de voz é fornecida pela LiveKit Cloud. Aí, o que te identifica é um código aleatório por sessão, sem ligação à tua conta, ao teu nome nem ao teu e-mail. O passe de acesso que o nosso servidor dá ao teu telemóvel só permite enviar áudio do microfone (sem vídeo, ecrã nem dados), e a LiveKit nunca recebe o teu nome, @utilizador, e-mail, conta, posição nem mensagens.
• O teu microfone só está ligado enquanto alguém na tua sala te pode ouvir, e volta a ser desligado 2 minutos depois de a última dessas pessoas sair; enquanto não houver mais ninguém na tua sala, a tua voz não está ligada de todo. Podes silenciar-te a qualquer momento.
• A voz é em direto e nunca é gravada, exportada nem transcrita em momento algum.
• Só te podem ouvir as pessoas que estão ao alcance nesse momento (ver A.3): com o volume máximo até cerca de 300 metros e depois mais baixo até cerca de 400 metros. Ninguém que tenhas bloqueado, ou que te tenha bloqueado, te pode ouvir alguma vez; no modo Amigos, só os teus amigos te podem ouvir.
• No Android, enquanto estás na sala, um serviço em primeiro plano com uma notificação permanente mantém o microfone aberto e a tua localização atualizada mesmo que bloqueies o ecrã ou abras outra app. A notificação mostra o estado da sala (por exemplo, quantas pessoas estão ligadas, ou que está à espera do sinal de GPS) e tem os botões Silenciar e Sair. Se entraste sem permitir o microfone, o serviço só mantém a tua localização atualizada. Fecha-se quando sais da sala.
• Enquanto dura a tua sessão de voz, o nosso servidor guarda em que sala estás (Global ou Amigos), quando o teu telemóvel deu sinal pela última vez, se a tua voz está ligada e, se atenderes uma chamada telefónica enquanto estás na sala, quando a chamada começou e acabou (esse tempo não conta no teu histórico). Tudo isto é apagado quando a sessão termina. À parte, o servidor soma um único total mensal de minutos de voz para toda a Roadby, sem nomes nem horas, para não ultrapassar o plano do nosso fornecedor de voz.

A.5 Amigos, pedidos e bloqueios

• Os pedidos de amizade ficam visíveis para quem os envia e para quem os recebe até serem aceites, recusados ou cancelados.
• Para limitar o envio a 50 pedidos por dia, o servidor guarda durante 7 dias um registo interno de quem enviou cada pedido e a quem; não é mostrado a ninguém.
• Os outros utilizadores nunca veem a tua lista completa de amigos: quem abre o teu perfil só vê os amigos que tens em comum com essa pessoa, numa lista com os nomes e as fotos (uma amizade feita hoje só aparece a partir do dia seguinte).
• Se bloqueares alguém, essa pessoa não fica a saber: a app responde-lhe como se a tua conta não existisse, e nas conversas dela apareces como «Utilizador da Roadby». O bloqueio é imediato e mútuo: deixam de se ver no radar, na sala, no histórico e nas notificações; qualquer mensagem dessa pessoa que ainda não te tenha chegado é apagada do nosso servidor, um pedido de mensagem dela desaparece, e a vossa conversa fica no teu telemóvel para a poderes ler. Num grupo em que estejam os dois, ambos continuam a ser membros e continuam a ver o nome, o @utilizador e a foto um do outro (pelo que a outra pessoa pode adivinhar o bloqueio), mas as mensagens dela chegam-te recolhidas («Mensagem de alguém que bloqueaste.»), as ligações que envia não podem ser abertas, e ela não te pode notificar nem mencionar. Podes anulá-lo em Definições › Conta › Utilizadores bloqueados.

A.5a Mensagens e pedidos de mensagem

Podes escrever mensagens de texto a outros utilizadores, a dois e em grupos (A.5b). As mensagens são só de texto: não podes enviar nelas fotos, mensagens de voz, vídeos nem ficheiros, e a app não cria pré-visualizações de ligações.

• Quem te pode escrever. Os teus amigos, e qualquer pessoa com quem já tenhas uma conversa aceite, podem escrever-te diretamente. Qualquer outra pessoa pode enviar-te um pedido de mensagem, que podes aceitar ou apagar; não pode enviar outro até o aceitares. Ler um pedido não avisa quem o enviou, e apagá-lo não o notifica. Escolhes quem te pode enviar pedidos em Definições › Mensagens › Quem te pode enviar mensagens: Toda a gente (a opção predefinida), Pessoas com quem te cruzaste (qualquer pessoa que tenha partilhado uma sala contigo) ou Só amigos. Não existe nenhum diretório de utilizadores: alguém só te pode encontrar através da sala, do seu histórico, de amigos em comum ou do teu @utilizador exato.
• Onde vivem as mensagens. As mensagens vivem nos vossos telemóveis, no armazenamento privado da app. O nosso servidor guarda cada mensagem apenas até ter chegado a todos os telemóveis do destinatário, e depois apaga-a; uma mensagem que ninguém recolha é apagada ao fim de 30 dias, e as cópias do que escreves para os teus outros telemóveis ao fim de 14 dias.
• Sem encriptação ponto a ponto. As mensagens viajam cifradas (HTTPS), mas não têm encriptação ponto a ponto: enquanto uma mensagem espera no nosso servidor para ser entregue (30 dias, no máximo), fica lá guardada de forma legível, e os administradores da Roadby poderiam tecnicamente lê-la. Não lemos as mensagens, exceto as cópias anexadas a uma denúncia (A.7).
• O que o servidor guarda sem o texto. Para cada conversa: entre quem é, quando começou, até onde cada um a recebeu e leu (para «Entregue» e «Visto»), as contagens de mensagens por ler, se está aceite, se é um pedido ou se foi recusada, se cada um a silenciou e se cada um alguma vez escreveu nela com o carro parado (para uma insígnia, A.6a). Isto é apagado ao fim de 12 meses sem mensagens, ou quando um dos dois apaga a conta. Guardamos também, sem texto nenhum, um identificador de cada mensagem enviada (7 dias), para que uma nova tentativa de envio não a duplique, os telemóveis que recolhem as tuas mensagens (até 30 dias sem utilização) e as tuas definições de mensagens.
• «Entregue» e «Visto». «Entregue» aparece quando uma mensagem chega a um dos telemóveis da outra pessoa. «Visto» só aparece em conversas aceites e só se ambos tiverem as Confirmações de leitura ativadas (estão ativadas por predefinição); desativá-las funciona nos dois sentidos.
• Ao volante. Se o GPS do teu telemóvel mostrar que o carro está em movimento, a app tapa as tuas mensagens e alguns outros ecrãs até confirmares que é outra pessoa a conduzir («Não sou eu a conduzir»). Isto é calculado no teu telemóvel; o nosso servidor só recebe, com cada mensagem que envias, a indicação de se o carro estava em movimento, e apenas para manter as marcas descritas acima.
• Apagar. Apagar uma conversa apaga-a para ti, em todos os teus telemóveis; a outra pessoa fica com a sua cópia. O que enviaste fica nos telemóveis das pessoas que o receberam, mesmo que apagues a tua conta.
• Terminar sessão. As tuas mensagens ficam no teu telemóvel, bloqueadas, e voltam quando inicias sessão outra vez com a mesma conta; outra conta nesse telemóvel não as consegue abrir.
• Ligações. As ligações nas mensagens são detetadas no teu telemóvel e abrem-se no teu navegador, fora da Roadby; não as visitamos nem criamos pré-visualizações, e não sabemos que ligações abres. O site que abres vê a tua visita como qualquer outra, e quem o controla pode ficar a saber que leste a mensagem. As ligações que parecem suspeitas são assinaladas e pedem confirmação antes de serem abertas.

A.5b Grupos

• Só os teus amigos te podem adicionar a um grupo, e não tens de aceitar; desconhecidos nunca te podem adicionar. Um grupo pode ter até 256 membros. Dentro de um grupo, todos veem o nome, o @utilizador e a foto de cada membro, incluindo amigos de amigos que não conhecem.
• As mensagens de grupo funcionam como as outras mensagens (A.5a): cada uma espera no nosso servidor, sem encriptação ponto a ponto, até chegar aos telemóveis de cada membro (30 dias, no máximo), e depois vive apenas nos telemóveis dos membros. O que escreves fica nos telemóveis dos outros membros, mesmo que saias do grupo ou apagues a tua conta.
• Menções. Quando mencionas alguém com @, a mensagem leva a lista das pessoas que menciona; essa lista chega a todos os membros, espera com a mensagem e é conservada sem o texto, com os identificadores das mensagens, durante 30 dias. Uma menção notifica a pessoa mencionada mesmo que tenha silenciado o grupo (sem som, enquanto estiver na sala ou a conduzir).
• Info. Para cada uma das tuas mensagens dos últimos 30 dias, podes ver quem a leu e quem a recebeu, sem horas. «Lida por» só aparece se ambos tiverem as Confirmações de leitura ativadas e não houver nenhum bloqueio; «Entregue a» aparece mesmo que a outra pessoa tenha as Confirmações de leitura desativadas.
• O que o servidor guarda. O nome do grupo, a sua foto, quem o criou, quem definiu o nome e a foto que estão a ser mostrados (para que uma denúncia sobre o grupo lhes possa ser dirigida), quantos membros tem e quando alguém escreveu pela última vez; e, para cada membro, se está no grupo, se é administrador, quem o adicionou, quando entrou ou saiu, até onde o recebeu e leu, e se o silenciou. Das pessoas que saíram, 30 dias.
• Foto do grupo. Qualquer membro a pode definir ou remover. Cada pessoa pode definir no máximo 2 fotos de grupo a cada 24 horas, contando todos os seus grupos (uma foto que o filtro rejeite também conta; remover uma, não). Antes de mais nada, o nosso servidor retira da foto os dados ocultos (como a localização GPS, a data e o modelo do telemóvel), e ela passa sempre pelo filtro do Google Cloud Vision (A.2): se o filtro não estiver disponível, a foto não é definida. As fotos de grupo são guardadas de forma privada: só os membros atuais podem ver a que está a ser mostrada, através de ligações que expiram ao fim de 1 hora. Para cada alteração, guardamos quem a fez, em que grupo, quando e uma impressão digital da foto, durante 24 horas. Uma foto removida ou substituída é apagada, a menos que uma denúncia sobre o grupo dos últimos 90 dias se refira a ela; nesse caso, é conservada até passarem esses 90 dias. A foto do grupo pertence ao grupo: não é apagada quando o membro que a definiu apaga a conta.
• Sair e encerrar. Quando sais de um grupo, só os administradores o veem, a menos que marques «Avisar todo o grupo»; ficas com a conversa para a leres. Os administradores podem remover membros, e a Roadby pode encerrar um grupo (guardamos durante 12 meses uma nota de que o encerrámos). Os nomes dos grupos são escolhidos pelos membros e são moderados através das denúncias.

A.6 Histórico de tempo partilhado

Para cada par de utilizadores, guardamos os segundos acumulados que passaram juntos numa sala de voz e a data e a hora do vosso primeiro e do vosso último encontro; nunca o local, a lista de cada encontro nem o conteúdo do áudio. Só conta o tempo com pessoas que o nosso servidor pôs ao teu alcance nos 90 segundos anteriores, com a voz ligada e não enquanto um dos dois está numa chamada telefónica. É uma única linha partilhada pelos dois: se um apagar a conta, o outro também perde esse tempo do seu histórico; se bloqueares alguém, a linha não é apagada, fica oculta enquanto durar o bloqueio. A app ainda não te deixa apagar entradas individuais do teu histórico; se quiseres apagar uma sem apagar a tua conta, escreve-nos para support@roadby.app e fazemo-lo por ti (como a linha é partilhada, a outra pessoa também perde esse tempo). Quando pesquisas no teu Histórico, o que escreves é enviado para o nosso servidor apenas para responder à pesquisa, dentro do pedido (nunca no endereço web), e não é guardado; a pesquisa só abrange pessoas com quem partilhaste uma sala.

A.6a Insígnias

A Roadby tem cinco insígnias com níveis de 1 a 10 (Encontros, Habituais, Malta, Conversas e Tempo partilhado). São calculadas a partir do teu histórico, das tuas amizades, das marcas das tuas conversas (A.5a) e do teu tempo em salas. Nunca usam a tua posição, locais nem quilómetros; o único dado de condução que usam é se o carro estava em movimento quando escreveste, porque a insígnia Conversas só conta as mensagens escritas com o carro parado (uma mensagem escrita com o carro em movimento não conta, mesmo que tenhas dito «Não sou eu a conduzir»). Quem abre o teu perfil vê o nível de cada insígnia, uma barra de progresso em passos de 10% e até 3 insígnias que tenhas afixado. Podes ocultá-las todas aos outros em Definições › Conta › Mostrar insígnias no meu perfil (está ativado por predefinição). O nosso servidor guarda, para cada insígnia, o que conquistaste e as contagens que estão por trás, as insígnias que afixaste e se as ocultas e, para evitar batota, se uma conta foi congelada manualmente e os dias em que atingiu o limite diário de 12 horas em salas (35 dias). Tudo isto é apagado com a tua conta. O separador Loja mostra as insígnias pagas como «Em breve»: não é possível comprar nada, e a app não se liga à faturação do Google Play.

A.7 Denúncias

Podes denunciar outro utilizador a partir do seu perfil, uma conversa ou um pedido de mensagem a partir do respetivo menu, uma única mensagem mantendo-a premida, e um grupo a partir do seu menu. Os motivos são uma lista fechada: assédio ou intimidação, discurso de ódio, comportamento perigoso na estrada, spam ou burla, conteúdo sexual ou que envolve um menor, e outro motivo; não há texto livre. A denúncia é anónima para a pessoa denunciada (e, num grupo, para os outros membros), mas não para os administradores da Roadby, que a podem analisar.

• Quando denuncias a partir de uma conversa, o teu telemóvel envia uma cópia das últimas 5 mensagens que a pessoa denunciada lá enviou, tal como te chegaram (nenhuma das tuas), com um selo que o nosso servidor acrescentou quando cada uma foi enviada, para que ninguém possa inventar provas. Uma denúncia sobre um grupo é dirigida a quem definiu a foto que está a ser mostrada ou, se não houver nenhuma, a quem definiu o nome, e conserva a foto que estava a ser mostrada (A.5b).
• Cada denúncia nova envia aos administradores da Roadby uma notificação que só diz que há uma denúncia nova e quantas estão por analisar: nunca o motivo nem quem está envolvido.
• As cópias das mensagens denunciadas são conservadas durante, pelo menos, 90 dias depois de terem sido feitas; depois disso, são apagadas assim que a denúncia tiver sido analisada e, o mais tardar, 12 meses depois de terem sido feitas. Se a pessoa denunciada apagar a conta, a própria denúncia é removida, mas a cópia das mensagens é conservada até 90 dias depois de ter sido feita. Se apagares a tua conta, as denúncias que apresentaste são conservadas sem o teu nome.
• Bloqueio de contas. Podemos bloquear uma conta que viole as nossas regras, durante algum tempo ou por tempo indeterminado. Uma conta bloqueada não pode entrar na sala, aparecer no radar de ninguém nem enviar mensagens ou pedidos, mas pode continuar a iniciar sessão, ler as suas próprias mensagens, denunciar, bloquear e apagar-se. Guardamos quando o bloqueio começou e quando acaba e o motivo que escrevemos; a app só sabe que está bloqueada e até quando. Isto é apagado com a conta.

A.8 Notificações push

A Roadby envia estas notificações: alguém te enviou um pedido de amizade; alguém aceitou o teu pedido de amizade; alguém te enviou uma mensagem (com o seu nome visível e quantas são, nunca o texto); tens um pedido de mensagem novo (sem dizer de quem); e, num grupo, uma mensagem nova (com o nome do grupo e o nome visível de quem a envia), que alguém te adicionou a um grupo ou que alguém te mencionou. As notificações são escritas no idioma da app de cada telemóvel, por isso guardamos esse idioma com o token do telemóvel. Para as entregar, usamos um token técnico do teu dispositivo (através da Expo e, no Android, do Firebase Cloud Messaging da Google), e a notificação passa por esses dois serviços com os nomes que mostra; nunca inclui o texto de uma mensagem, a tua foto, o teu @utilizador nem a tua localização. Para o Android Auto (A.8a), o teu telemóvel recebe também notificações só de dados com o nome visível de quem envia, a conversa ou o grupo, quantas mensagens estão por ler e, se alguém te mencionou, o nome dessa pessoa, também sem o texto, para que o teu telemóvel possa ir buscar as mensagens novas por si. Guardamos durante 30 dias um registo de quem notificou quem (tipo, hora e até que mensagem), apenas para limitar quantas notificações são enviadas. Os administradores da Roadby recebem também notificações sobre denúncias novas e sobre a utilização do serviço de voz, que não contêm dados de ninguém.

A.8a Android Auto

Se ligares o teu telemóvel ao Android Auto, as mensagens por ler dos teus amigos e dos teus grupos (de qualquer membro, exceto pessoas que tenhas bloqueado; no máximo as últimas 10 de cada conversa, cada uma cortada a 500 caracteres) são mostradas no ecrã do teu carro e lidas em voz alta pela voz da Google. As mensagens de pessoas que não são tuas amigas, incluindo os pedidos de mensagem, nunca são lidas no carro, exceto dentro de um grupo. Para responder, ditas: a Google transcreve o que dizes e a Roadby só recebe o texto, que é enviado como uma mensagem normal. A conversa nunca se abre no ecrã do carro. Isto acontece entre ti, o teu telemóvel e a Google, ao abrigo dos termos da própria Google: a Roadby não recebe áudio nenhum e não controla o que a Google guarda. Quando desligas, as notificações voltam a não ter texto, e terminar sessão remove-as.

A.9 E-mails da conta

Enviamos e-mails para confirmar o registo, recuperar a tua palavra-passe e alterar o teu endereço de e-mail e, se a tua conta não tiver palavra-passe, o código de 6 dígitos para a apagar (só pode ser usado uma vez e é válido durante 1 hora). São enviados através do nosso fornecedor de autenticação (Supabase), com a Resend como servidor de envio, a partir de no-reply@mail.roadby.app, no idioma em que usas a app (em inglês, se ainda não o soubermos). Os e-mails para confirmar o teu registo, definir uma nova palavra-passe ou alterar o teu endereço de e-mail mostram o seu botão como uma imagem, que o teu programa de e-mail descarrega de roadby.app quando apresenta o e-mail: a Cloudflare, que aloja este site (parte B), recebe então o teu endereço IP e o tipo de programa de e-mail ou de navegador. A imagem é a mesma para todas as pessoas que leem esse e-mail no mesmo idioma, por isso não nos diz quem o abriu. O nosso fornecedor de autenticação pode também enviar-te avisos de segurança quando a tua palavra-passe ou o teu endereço de e-mail mudam, ou quando uma nova forma de iniciar sessão é associada à tua conta; são e-mails do serviço, não de marketing. Não são enviados em todos os casos: por exemplo, não quando alteras a tua palavra-passe em Definições › Conta, nem quando o início de sessão com o Google o associa a uma conta existente com o mesmo e-mail.

A.10 E-mails de novidades e ofertas (opcional)

No registo há uma caixa opcional, desmarcada por defeito e separada da obrigatória com que aceitas os termos do serviço e esta política de privacidade: «Enviem-me novidades e ofertas da Roadby por e-mail». Se a marcares, guardamos esse sim com a respetiva data; sempre que a ativares ou desativares depois, guardamos também essa alteração com a respetiva data. Cada entrada regista ainda onde foi feita (no registo, nas definições da app ou na ligação para cancelar a subscrição de um e-mail) e que versão do texto viste, para podermos demonstrar a que deste o teu consentimento e quando. Podes mudar de ideias a qualquer momento em Definições › Conta › «Novidades e ofertas por e-mail». Só escrevemos para endereços de e-mail confirmados, e só os administradores da Roadby podem extrair a lista de destinatários. Ainda não escolhemos um fornecedor para estes e-mails, e até hoje não foi enviado nenhum; indicaremos aqui o fornecedor antes de ser enviado o primeiro.

A.11 O que fica no teu dispositivo

Os teus tokens de sessão (que incluem o teu e-mail e o identificador da tua conta) são guardados no armazenamento privado da app e são apagados quando terminas sessão ou apagas a tua conta na app; terminar sessão na Roadby termina-a em todos os teus telemóveis. As tuas mensagens vivem numa base de dados no teu telemóvel, no armazenamento privado da app, juntamente com o estado de cada conversa (as contagens de mensagens por ler, se a silenciaste e qualquer rascunho que não tenhas enviado), os teus grupos, as menções de cada mensagem, a ligação para cada foto de grupo (que expira ao fim de 1 hora) e um índice das palavras das tuas mensagens para a pesquisa dos Chats. Essa base de dados guarda também uma ficha de cada pessoa com quem tens uma conversa e de cada membro dos teus grupos: o nome, o @utilizador e o endereço da foto, se a bloqueaste, se agora aparece como «Utilizador da Roadby» (A.5) e, nos grupos, o seu papel e se continua a ser membro. A base de dados fica no telemóvel quando terminas sessão e é apagada quando apagas a tua conta nesse telemóvel (se isso não puder ser feito nesse momento, da próxima vez que a app abrir com ligação; se formos nós a apagar a conta, a pedido teu por e-mail, também da próxima vez que a app abrir com ligação). A app guarda também um código aleatório desse telemóvel para o chat, que contas Google iniciaram sessão nele (A.1a), o idioma e o tema que escolheste e, durante 7 dias no máximo, uma ligação de convite que abriste antes de teres conta. Além dessas fichas, o radar, a tua lista de amigos, o teu histórico e os perfis de outras pessoas vivem na memória e desaparecem quando fechas a app; a foto recortada pode ficar na cache temporária até o sistema a limpar. As definições do dispositivo (modo da sala, definições de áudio, sons da sala, Silenciar ao estacionar e Sair ao estacionar) são guardadas localmente: sobrevivem ao fim da sessão, porque pertencem ao dispositivo e não à conta, e são repostas nos valores predefinidos quando apagas a tua conta a partir desse dispositivo. O interruptor «Cópia de segurança das mensagens» (A.11a) também pertence ao telemóvel, para todas as contas que nele iniciem sessão: apagar a tua conta não o altera, e fica como o deixaste até o alterares ou desinstalares a app.

As versões de teste da app (as que distribuímos à mão enquanto a Roadby está a ser terminada, nunca a versão para o Google Play) guardam também no telemóvel um registo de tempos: quando entras na sala e quando sais, quanto tempo a voz demora a ligar-se, os cortes da voz, o tempo que a Roadby passa em segundo plano, os pedidos falhados ao nosso servidor e os erros da app, sem identificadores de conta, nomes, @utilizadores nem posições. Só guarda as duas últimas vezes que a app foi aberta, é apagado quando terminas sessão e só sai do teu telemóvel se fores tu a partilhá-lo com «Share timing log», em Definições › Conta › Ajuda e apoio.

A.11a As tuas mensagens na cópia de segurança do telemóvel

Se o teu telemóvel fizer cópias de segurança das apps na tua conta Google e tiver bloqueio de ecrã, o Android pode incluir a base de dados de mensagens da Roadby nessa cópia, encriptada com o teu bloqueio de ecrã (no máximo uma vez por dia, e só até 25 MB). Nada mais da Roadby entra nela. Podes deixar as tuas mensagens de fora em Definições › Mensagens › Cópia de segurança das mensagens (ativado por predefinição, em cada telemóvel); a cópia seguinte deixa-as então de fora, normalmente em menos de um dia. Quando passas os teus dados diretamente de um telemóvel para outro, as tuas mensagens vão com eles mesmo que esse interruptor esteja desativado. A cópia de segurança vive na tua conta Google: a Roadby não a pode ver nem controlar.

A.12 Com quem partilhamos dados (subcontratantes e outros destinatários)

Quando um fornecedor tem a sede ou trata dados fora do Espaço Económico Europeu, pode haver uma transferência internacional de dados. O nosso consultor jurídico está a confirmar que garantia cobre cada uma destas transferências (por exemplo, as cláusulas contratuais-tipo da Comissão Europeia), e esta secção indicá-la-á para cada fornecedor quando a revisão estiver concluída.

A.13 O que a Roadby não faz e que permissões pede

A app não usa ferramentas de análise, publicidade ou rastreio de nenhum tipo (o serviço de atualizações descrito em A.12 recebe, no máximo, o texto do último erro que fechou a app); não acede aos teus contactos nem à câmara (a permissão da câmara está bloqueada na app); não pede permissão para ler as tuas fotos nem os teus ficheiros: só abre o seletor de fotos do sistema quando escolhes uma foto de perfil ou de grupo, e só recebe a imagem que selecionas; nunca grava, guarda nem transcreve a voz da sala (o que ditas no Android Auto é transcrito pela Google, A.8a); não usa o desbloqueio por impressão digital, rosto ou PIN; e não pede a localização «sempre»: só usa a tua localização com a app em segundo plano enquanto estás numa sala de voz, como se descreve em A.3. Estas são as permissões que a app declara no Android e para que serve cada uma:

• Localização (precisa e aproximada, só enquanto a app está a ser utilizada): para saber quem está perto de ti (A.3).
• Microfone: para a tua voz na sala (A.4); a app pede-o depois de criares a tua conta, num ecrã que primeiro explica para quê, ou quando tocas em Entrar.
• Serviço em primeiro plano para o microfone e a localização: mantém a sala a funcionar, com a sua notificação permanente, enquanto o ecrã está desligado ou outra app está à frente, e para quando sais da sala (A.3 e A.4).
• Notificações: para te mostrar as notificações descritas em A.8 e a notificação da sala.
• Receção de notificações push (Firebase Cloud Messaging): para que essas notificações cheguem ao teu telemóvel (A.8).
• Bluetooth: para que a voz da sala possa passar pelo Bluetooth do teu carro, e para que Silenciar ao estacionar e Sair ao estacionar possam saber quando o Bluetooth do teu carro se desliga; isto é calculado no teu telemóvel e não nos é enviado. No Android 12 e posteriores, a app pede-o juntamente com o microfone.
• Gestão das suas próprias chamadas: permitiria que a sala funcionasse como uma chamada no Android, para que o próprio Android enviasse a voz para o teu carro e uma chamada telefónica real pusesse a sala em espera; hoje está desativada, e a app não a usa.
• Faturação do Google Play: vem com a biblioteca para comprar insígnias na Loja; hoje não é possível comprar nada, e a app não se liga à faturação do Google Play (A.6a).
• Referenciador de instalação: vem com uma biblioteca que as notificações usam, e permitiria à app perguntar ao Google Play de onde foi instalada; a Roadby nunca pergunta.
• Fechar caixas de diálogo do sistema (só no Android 11 e anteriores): vem com a biblioteca que mostra a notificação da sala e não dá acesso a nenhum dado.
• Permissões técnicas, que não dão acesso a dados pessoais: internet, estado da rede, definições de áudio (para enviar a voz para o altifalante, o auricular ou o Bluetooth), vibração (para a resposta tátil da app e para as notificações) e manter o dispositivo ativo (para a sala enquanto o ecrã está desligado).

A.14 Fundamentos jurídicos

A legislação de proteção de dados exige um fundamento jurídico para cada utilização dos teus dados. Estes são aqueles em que nos baseamos:

• Prestar o serviço para o qual te registaste (execução de um contrato, artigo 6.º, n.º 1, alínea b), do RGPD): a tua conta e o teu perfil, o início de sessão com o Google, a localização e a sala de voz, os amigos, as mensagens e os grupos, o teu histórico e as tuas insígnias, as notificações, os e-mails da conta e a eliminação da tua conta, ou seja, aquilo de que a app precisa para funcionar como descrevem os termos do serviço.
• Manter a Roadby segura (o nosso interesse legítimo em proteger as pessoas que a usam e o próprio serviço, artigo 6.º, n.º 1, alínea f), do RGPD): o filtro de fotos, os limites aos pedidos, às mensagens e às alterações de fotos, os registos de acesso, as denúncias e as cópias das mensagens denunciadas, os bloqueios de contas, os registos técnicos dos nossos fornecedores e os e-mails sobre um pedido de eliminação de conta, para podermos demonstrar como o tratámos.
• O teu consentimento (artigo 6.º, n.º 1, alínea a), do RGPD): os e-mails de novidades e ofertas (A.10), a newsletter (B.3) e, quando forem ativados, os cookies opcionais deste site (B.1). Podes retirá-lo a qualquer momento; isso não afeta o que foi feito antes.
• Obrigações legais (artigo 6.º, n.º 1, alínea c), do RGPD): conservar o registo daquilo a que deste o teu consentimento e de quando o deste, e conservar ou entregar informação quando a lei o exige, por exemplo às autoridades ao abrigo das nossas normas de segurança infantil.

O nosso consultor jurídico está a rever estes fundamentos jurídicos no âmbito da revisão desta política; esta secção pode mudar quando a revisão estiver concluída.

B. Dados tratados por este site (roadby.app)

Esta parte abrange apenas o site público que estás a ler agora: a página inicial (que reúne todas as secções — como funciona, privacidade, ajuda e novidades — e ainda a janela de doações), esta política, os termos, a política de cookies, a página sobre como apagar a tua conta, as normas de segurança infantil, as páginas para onde levam os nossos e-mails da conta e os convites, e as imagens dos botões que alguns dos nossos e-mails da conta mostram (A.9). Não partilha nenhum sistema com a app móvel, exceto dois tipos de página: roadby.app/confirm/, para onde te levam as ligações dos nossos e-mails da conta, que fala diretamente com o nosso fornecedor de autenticação (Supabase) para confirmar o teu e-mail ou definir uma nova palavra-passe, guarda a sessão apenas na memória desse separador e não carrega nenhum script de terceiros; e as ligações de convite (roadby.app/add/ seguido de um @utilizador), que só levam esse @utilizador, que já é público, e não pedem nada aos nossos servidores. Este site está alojado na Cloudflare (Cloudflare Pages), que também gere o seu domínio: como em qualquer serviço de alojamento, a rede da Cloudflare recebe o teu endereço IP, o teu navegador e a página que pedes em cada visita.

B.1 Cookies e medição

Antes de aceitares o que quer que seja, só usamos o estritamente necessário para o site funcionar (por exemplo, lembrar a tua escolha sobre cookies, guardada no teu navegador). O aviso de cookies pergunta-te também se aceitas duas categorias opcionais:

A medição ainda não está ativada: hoje, este site não carrega nenhum script da Google nem instala nenhum destes cookies, mesmo que os aceites. Antes de a ativarmos, vamos atualizar esta política e a política de cookies.

Quando for ativada, só começará se aceitares: até lá, este site não vai carregar nenhum script da Google nem enviar nada à Google (Google Consent Mode v2 em modo básico). A tua decisão fica guardada no teu navegador com a respetiva data; voltamos a perguntar-te ao fim de 24 meses, ou antes, se as categorias mudarem. Podes alterá-la sempre que quiseres no botão do cookie, no canto de qualquer página.

A política de cookies enumera cada cookie pelo nome, com a sua finalidade, a sua duração e quem o guarda.

B.2 Doações

O botão «Paga-nos um café» leva-te à nossa página no Ko-fi (ko-fi.com/roadby), onde os pagamentos são processados pela Stripe ou pelo PayPal. A Roadby nunca recebe os dados do teu cartão nem do teu pagamento: essa relação é diretamente entre ti e o Ko-fi e os seus fornecedores de pagamento, ao abrigo das respetivas políticas de privacidade. O Ko-fi mostra-nos os dados de cada doação que partilha com os criadores (como o nome ou pseudónimo e a mensagem que deixas, e o montante). O botão nunca aparece dentro da app nem nestas páginas legais.

B.3 Newsletter

O formulário de inscrição tem uma única finalidade: enviar-te novidades da Roadby por e-mail. Ao inscreveres-te, estás a pedir para a receber, e não usamos o teu endereço de e-mail para mais nada. O formulário tem uma caixa obrigatória, desmarcada por defeito, com a qual confirmas que leste esta política e aceitas os termos do serviço. A tua marcação fica guardada com um identificador do texto exato que aceitaste (terms-web-v1), para poder ser demonstrada mais tarde.

Enviamos a newsletter com base no teu consentimento (artigo 6.º, n.º 1, alínea a), do RGPD), que dás ao inscrever-te e ao confirmar o teu endereço. Podes retirá-lo a qualquer momento cancelando a subscrição; isso não afeta os e-mails enviados antes.

O teu endereço de e-mail, esse registo e uma nota de que te inscreveste em roadby.app ficariam guardados no fornecedor de e-mail que usarmos para enviar a newsletter. A newsletter ainda não está a funcionar: o formulário de inscrição está desativado e não envia nada, e indicaremos aqui esse fornecedor, com o país onde tem sede, antes de começar. Esse fornecedor vai enviar-te primeiro um e-mail de confirmação, e só entras na lista depois de seguires a ligação que ele contém. Podes cancelar a subscrição a qualquer momento na ligação de qualquer e-mail que te enviemos. Esta lista é independente da caixa de novidades da própria app (secção A.10).

B.4 Ajuda e contacto

Se nos escreveres para support@roadby.app ou a partir da secção Ajuda da página inicial (o botão «Escrever ao apoio»), usamos o teu endereço de e-mail e o conteúdo da tua mensagem para te responder. Se nos pediste para apagar a tua conta, guardamos esses e-mails como se explica em «Durante quanto tempo conservamos os dados»; se nos falaste de uma preocupação com a segurança de uma criança, podemos guardá-la e partilhá-la com as autoridades, como se explica nas nossas normas de segurança infantil. Os e-mails para support@roadby.app chegam-nos através do serviço de reencaminhamento da Porkbun a uma caixa de correio do Gmail, e respondemos-lhes através da Resend (ver A.12).

Durante quanto tempo conservamos os dados

• Conta, perfil, foto, amizades, bloqueios, histórico (com as datas do vosso primeiro e último encontro), insígnias, insígnias afixadas, contadores, a tua confirmação de idade, os termos que aceitaste, as tuas definições de mensagens e o idioma da tua conta: enquanto a tua conta existir, ou até os anulares.
• Denúncias: as que recebes são apagadas com a tua conta; as que apresentas são conservadas de forma anonimizada. A exceção: antes de encerrarmos uma conta por abuso ou exploração sexual de crianças, guardamos uma cópia dos dados da conta, das denúncias e dos registos de acesso para as autoridades, como se explica nas nossas normas de segurança infantil.
• Consentimento para os e-mails de novidades: enquanto a tua conta existir, com a data do sim e, se o retirares, a data da retirada.
• Última posição: até 5 minutos.
• Registo de que utilizadores estavam ao alcance uns dos outros (sem posições): até 5 minutos.
• Sessão de voz: até saíres da sala, com um máximo de 1 hora sem renovação.
• Registo interno dos pedidos de amizade enviados: 7 dias.
• Registo das notificações enviadas: 30 dias.
• Tentativas de fotos (hora e impressão digital): 24 horas; o contador diário de tentativas é substituído no dia seguinte em que tentares.
• Mensagens à espera de entrega no nosso servidor: até chegarem aos telemóveis do destinatário, e 30 dias no máximo; cópias para os teus outros telemóveis: 14 dias.
• Dados das conversas sem texto (A.5a): 12 meses sem mensagens.
• Identificadores de mensagens: 7 dias (em grupos, com a lista de menções e sem texto: 30 dias); telemóveis que recolhem mensagens: 30 dias sem utilização; depois de uma conta ser apagada, o código aleatório de cada um dos seus telemóveis: 90 dias.
• Grupos: enquanto o grupo existir; membros que saíram, 30 dias; um grupo encerrado é apagado ao fim de 30 dias, e a nossa nota de que o encerrámos ao fim de 12 meses; registos de alterações da foto do grupo, 24 horas; uma foto de grupo removida que seja citada numa denúncia, 90 dias.
• Cópias de mensagens denunciadas: pelo menos 90 dias depois de terem sido feitas; depois, até a denúncia ser analisada, e 12 meses no máximo.
• Bloqueios de contas: até a conta ser apagada.
• Registo com o Google em curso (A.1a): 1 hora no máximo. Registos dos códigos pedidos ou tentados para apagar uma conta: 60 a 75 minutos.
• E-mails sobre um pedido de eliminação da tua conta: 3 anos após a eliminação da conta, ou após a nossa última resposta, se o pedido nunca for confirmado.
• Outros e-mails para support@roadby.app: enquanto precisarmos deles para tratar a tua questão; o prazo ao fim do qual os apagamos será publicado aqui quando a revisão jurídica estiver concluída. Os relativos à segurança de uma criança, como se explica nas nossas normas de segurança infantil.
• Registo das tuas alterações de consentimento para os e-mails de novidades: enquanto a tua conta existir.
• Token de notificações do dispositivo e o idioma desse telemóvel: 60 dias sem utilização, ou quando terminas sessão.
• Sessões: até terminares sessão (terminar sessão na Roadby termina-a em todos os teus telemóveis) ou apagares a tua conta. O registo de auditoria de acessos do sistema de autenticação (que regista também o teu endereço de e-mail) e as cópias de segurança da base de dados: estamos a confirmar com o nosso fornecedor (Supabase) durante quanto tempo são conservados, e vamos publicá-lo aqui; podem sobreviver à eliminação da tua conta.
• Endereço de e-mail da newsletter: até cancelares a subscrição.
• Cookies de análise ou de publicidade: como se enumeram um a um na política de cookies, e sempre revogáveis a partir do botão do cookie no canto da página.

O que acontece quando apagas a tua conta

Podes ser tu a apagar a tua conta na app (abre o separador Perfil, toca na roda dentada, em cima, à direita, depois em Conta › Apagar conta, e escreve a tua palavra-passe atual ou, se a tua conta não tiver palavra-passe porque só entras com o Google, o código de 6 dígitos que te enviamos por e-mail) ou, se já não tiveres a app, pedir-nos que a apaguemos escrevendo para support@roadby.app a partir do endereço de e-mail da tua conta, como se explica na página Apagar a tua conta. Procuramos responder em 24 horas e, depois de confirmares, apagamos a conta no prazo de 7 dias. Nenhum outro utilizador pode apagar a tua conta. Seja qual for a via, quando a conta é apagada, a eliminação produz efeitos imediatos na base de dados: a conta é removida e, em cascata, também o perfil, a posição, a sessão de voz, os pedidos, as amizades, os bloqueios, o histórico (também para a outra pessoa de cada par), as tuas conversas no nosso servidor e tudo o que ainda estiver à espera de ser entregue, a tua participação em grupos, as tuas insígnias, as que afixaste e os teus contadores, a tua confirmação de idade e os termos aceites, qualquer bloqueio da conta, as denúncias que outros utilizadores apresentaram sobre ti, os tokens de notificações, o registo de notificações, o registo interno de pedidos enviados, os registos das fotos e o registo do teu consentimento para os e-mails de novidades; depois, a foto é apagada do contentor, e no telemóvel onde a apagas a app apaga também as tuas mensagens. O que sobrevive à eliminação: as mensagens que enviaste, nos telemóveis das pessoas que as receberam; uma foto de grupo que tenhas definido, que pertence ao grupo; a tua base de dados de mensagens num telemóvel onde já tinhas terminado sessão, e a tua última cópia de segurança do Android até a seguinte a substituir; as denúncias que apresentaste, anonimizadas; as cópias de mensagens anexadas a denúncias sobre ti, até 90 dias depois de terem sido feitas; o código aleatório de cada um dos teus telemóveis, durante 90 dias, para que apaguem as tuas mensagens da próxima vez que forem abertos; o registo de auditoria de acessos do sistema de autenticação (identificador da conta, endereço de e-mail, ação e endereço IP) e as cópias de segurança, durante os prazos indicados em «Durante quanto tempo conservamos os dados»; as definições guardadas localmente nos teus telemóveis (apagar a conta na app repõe-nas apenas nesse telemóvel; se formos nós a apagá-la, a pedido teu por e-mail, ficam em todos os telemóveis); o token de notificações já conhecido pela Expo e pela Google, a quem não pedimos que o apaguem; e, se nos fizeste o pedido por e-mail, o teu pedido e as nossas respostas, durante 3 anos após a eliminação, como prova de que o tratámos. Se encerrarmos uma conta ao abrigo das nossas normas de segurança infantil, guardamos primeiro uma cópia da informação de que as autoridades possam precisar, como se explica nessa página; essa cópia é conservada fora da conta até estas deixarem de precisar dela, mesmo que o titular apague a conta mais tarde.

Os teus direitos

Podes aceder aos teus dados, pedir-nos que os retifiquemos, pedir-nos que os apaguemos, opor-te a uma utilização concreta ou pedir a portabilidade do que for tecnicamente possível. Hoje podes fazê-lo da seguinte forma:

• Acesso: o essencial está visível na app (perfil, e-mail em Alterar e-mail, amigos, pedidos, utilizadores bloqueados, histórico com as respetivas datas, as tuas mensagens no teu telemóvel e as tuas insígnias); para o resto (data de registo, os contadores descritos em A.2, denúncias que apresentaste, dispositivos registados, registos técnicos) ou para uma cópia completa, escreve-nos e preparamo-la à mão.
• Retificação: diretamente na app, em Editar perfil, Alterar e-mail e Alterar palavra-passe.
• Apagamento: Definições › Conta › Apagar conta, na app (com a tua palavra-passe ou, sem ela, com um código que te enviamos por e-mail), ou por e-mail sem a app, como se explica na página Apagar a tua conta. Também podes apagar uma conversa (para ti), apagar um pedido de mensagem, sair de um grupo ou remover a foto de um grupo.
• Oposição e limitação: permissões do sistema operativo, bloqueio de utilizadores, modo Amigos, Silenciar, Quem te pode enviar mensagens, Confirmações de leitura, Cópia de segurança das mensagens, Mostrar insígnias no meu perfil, silenciar uma conversa ou um grupo, Silenciar ao estacionar e o interruptor «Novidades e ofertas por e-mail».
• Qualquer outro pedido (incluindo a portabilidade ou o cancelamento da subscrição da newsletter): escrevendo para support@roadby.app; tratamo-lo manualmente.

Tens também o direito de apresentar reclamação à Agência Espanhola de Proteção de Dados (aepd.es) se considerares que não tratámos devidamente o teu pedido.

Menores

A Roadby destina-se apenas a pessoas com 18 anos ou mais. Quando crias uma conta, na app ou com o Google, tens de confirmar que tens 18 anos ou mais; só guardamos que o confirmaste e quando, não a tua data de nascimento, e não o verificamos. Se soubermos que uma conta pertence a alguém com menos de 18 anos, podemos bloqueá-la ou encerrá-la.

As nossas normas de segurança infantil explicam o que fazemos para proteger as crianças e como comunicar uma preocupação.

Segurança

Toda a informação viaja cifrada (HTTPS/WSS). As palavras-passe são guardadas como hash; as tabelas mais sensíveis (localização, voz, denúncias, tokens, mensagens, insígnias, idade, termos aceites e bloqueios de contas) não podem ser lidas nem sequer pelo próprio titular a partir da app, apenas através de funções do servidor com regras fixas. As mensagens não têm encriptação ponto a ponto (A.5a). O acesso administrativo está limitado ao número mínimo de pessoas necessário para prestar o serviço.

Alterações a esta política

Se alterarmos este documento, atualizaremos a data indicada no topo. Enquanto esta for uma versão provisória, ainda pode mudar depois da revisão jurídica. Quando for definitiva, se fizermos uma alteração importante, também te avisaremos.

Contacto

Para qualquer questão sobre esta política ou sobre os teus dados: support@roadby.app.