Privacidade

A versão curta

O Adopt a Plant é gerido por uma pessoa, não por uma empresa com um departamento de dados. Esta app não tem análise estatística, publicidade, relatórios de falhas nem código de rastreio de qualquer tipo. Nada sobre ti é vendido nem entregue a ninguém para fins de marketing, porque aqui não há ninguém a quem o vender.

Um endereço de email, para poderes iniciar sessão, é a única coisa que te pedimos. Um nome a mostrar, para que as pessoas saibam com quem estão a falar, é criado para ti a partir desse endereço, e podes mudá-lo. Uma localização, para que as plantas possam encontrar alguém perto, é opcional. A tua localização exata nunca é publicada. Uma morada postal só é vista pela única pessoa que te está a enviar uma planta.

O resto desta página são os pormenores: o que é guardado, onde fica, quem mais lhe toca, e o que nos podes pedir que façamos com isso.

Quem é responsável

O Adopt a Plant é operado pela dev24, Pepermuntstraat 12, Utrecht, Países Baixos. Nos termos do RGPD, isso faz da dev24 a responsável pelo tratamento dos dados pessoais aqui descritos.

Para qualquer assunto desta página, escreve para hello@adoptaplant.eu. Uma pessoa real lê as mensagens.

O que guardamos sobre ti

O teu endereço de email. É com ele que inicias sessão e que te avisamos de pedidos, mensagens e envios. Nunca guardamos uma palavra-passe, porque não existe palavra-passe: um email traz-te um link de início de sessão de utilização única e um código de seis dígitos, e ambos são guardados apenas como hash, ao lado de uma contagem das tentativas erradas do código. Além do endereço tal como o escreveste, guardamos uma forma normalizada dele, usada para identificação, em minúsculas e sem espaços nas pontas e, no caso de um endereço gmail, também sem pontos e sem tudo o que vem depois de um sinal de mais, porque todas essas grafias chegam à mesma caixa de correio e estavam, sem ninguém dar por isso, a tornar-se contas separadas.

O teu perfil: um nome a mostrar e, se quiseres, uma biografia curta e uma foto de perfil. Outros membros veem isso e, junto com isso, a localidade que definiste, a classificação e o número de avaliações que outros membros te deixaram, o dia em que te juntaste e a última vez que estiveste por cá. Ninguém tem de inventar um nome ao registar-se, por isso o primeiro é feito a partir da parte do teu endereço de email antes da arroba, o que significa que um endereço que comece por "joana.silva" começa a vida com o nome "joana silva". Muda-o nas definições sempre que quiseres. O endereço em si nunca é mostrado a outro membro. Os outros membros também veem quantas plantas deste para adoção, contadas uma por cada adoção que a pessoa que recebeu a planta confirmou.

A tua localização, guardada duas vezes, mais o nome do local. O ponto exato que defines é guardado de forma privada e nunca é mostrado a mais ninguém. A partir dele derivamos um segundo ponto, deslocado até um quilómetro, e esse ponto deslocado é o único que chega ao mapa, à API ou a um motor de pesquisa. A localidade que o acompanha, a tua cidade ou bairro, é guardada como texto simples, e esse texto é mostrado no teu perfil e nos teus anúncios.

Os teus anúncios: título, descrição, espécie, quantidade, forma, opções de entrega, notas de envio, o que gostarias de receber em troca, e as fotos que carregas.

Um anúncio tem também um contador de visualizações. Conta visualizações da página desse anúncio e nada mais. Não é uma medida de interesse nem um número de pessoas à espera da planta: o mesmo visitante que volta amanhã acrescenta outra, e uma visualização nada diz sobre se alguém queria aquilo que viu. Algumas visitas não são contadas de todo. As tuas ao teu próprio anúncio não são, enquanto tiveres sessão iniciada; com a sessão terminada, numa janela privada ou num dispositivo onde nunca iniciaste sessão, não há nada por onde te reconhecer e a visita conta como qualquer outra. Também não contam as que fazemos nós próprios: a conta de administração, as contas que existem para que a Apple possa rever a aplicação, os rastreadores e as pré-visualizações de ligações que vão buscar uma página para um motor de busca ou uma aplicação de conversa, e a verificação automática que abre um anúncio depois de cada lançamento.

O que essa contagem te custa em privacidade: de uma visita não se escreve nada na base de dados, e o contador não guarda nenhum endereço. Para distinguir um visitante de outro durante um único dia, o programa em execução guarda um resumo na sua própria memória, calculado a partir de um número aleatório que é deitado fora e refeito a cada meia-noite, juntamente com o identificador da tua conta ou, quando não tens sessão iniciada, o teu endereço de rede. Nenhum dos dois pode ser recuperado a partir do resumo, nada disso é escrito em disco, e um reinício do servidor perde os resumos desse dia. Por isso um visitante conta cerca de uma vez por dia num anúncio e não exatamente uma vez. Os registos correntes do servidor web mais abaixo nesta lista são outra coisa, e não é aí que o contador olha.

Mensagens de chat entre ti e outro membro, incluindo as fotos que lhes anexas.

Registos de adoção: quem deu o quê a quem, quando foi pedido, aceite, enviado, recolhido ou concluído, qualquer número de seguimento introduzido, e as avaliações e classificações que vocês os dois deixam depois.

Uma morada de envio, mas só nas adoções feitas pelo correio, só depois de o doador aceitar, e legível apenas por vocês os dois: nome, rua, código postal, localidade, região, país e um número de telefone opcional. As adoções com recolha em mão não guardam morada nenhuma, nem local ou hora de encontro. Essa parte fica na vossa conversa.

Os favoritos que guardas, e as denúncias que nos envias sobre um anúncio, uma mensagem ou um membro. Uma denúncia regista o que denunciaste e porquê. Quando a denúncia é sobre uma mensagem, o administrador que a trata vê o início dessa mensagem.

Registos de moderação. Cada decisão que um moderador toma é registada no momento em que acontece: quem a tomou, qual foi, a que conta, anúncio ou denúncia dizia respeito, quando, e o motivo que o moderador escreveu. Esse motivo é uma pessoa a escrever sobre outra, por isso pode nomear-te e descrever o que fizeste. Nunca é mostrado a outro membro.

O que vê uma administração. Para manter o lugar seguro, uma administração pode percorrer qualquer conta. De cada uma são mostrados o nome apresentado, o endereço de email, o país, o dia em que se registou, quantos anúncios tem, quantas denúncias sobre ela estão abertas ou levaram a uma medida, e se está banida ou eliminada. Não são mostrados a tua localização exata, um endereço de envio ou as tuas conversas com outros membros. Se uma administração precisar de te contactar, escreve-te no chat da própria aplicação, a partir de uma conta marcada como equipa Adopt a Plant, e aí podes responder, denunciar ou bloquear como em qualquer outra conversa.

Pessoas que bloqueias. O bloqueio guarda quem bloqueou quem e quando, para que vocês os dois deixem de se ver e já não possam escrever um ao outro. A tua própria lista está nas definições, e podes anular aí uma entrada.

As notificações que a app te mostra: o que aconteceu, de que membro veio e, no caso de uma mensagem nova, uma pequena pré-visualização. São guardadas para que a lista ainda lá esteja quando voltares.

Os vestígios técnicos de manter um site a funcionar: um registo por cada sessão iniciada (um hash do token de sessão, o navegador ou a app a partir do qual foi criada, e marcas temporais), o endereço IP associado a um pedido de link de início de sessão, e os registos de acesso normais do servidor web. Se usares a app para iOS ou Android e permitires notificações, também um token push para esse dispositivo.

O que não fazemos

Sem análise estatística, sem publicidade, sem relatórios de falhas ou de desempenho, sem píxeis de rastreio, sem cookies de terceiros, sem fingerprinting, sem definição de perfis, sem decisões automatizadas sobre ti.

O site define quatro cookies, e cada um deles faz um trabalho que tu pediste. O aap_session mantém a tua sessão iniciada e só pode ser lido pelo servidor, nunca por scripts na página. O aap_locale lembra-se de se lês em inglês ou em neerlandês. O aap_browse_country lembra-se do país que estavas a explorar, para que um visitante sem conta não tenha de o escolher de novo em cada visita. O aap_scheme lembra-se de se este dispositivo ficou em modo claro ou escuro, para que a primeira página que o servidor desenha não seja a errada. Nenhum dos quatro te segue para mais lado nenhum, e é por isso que não há nenhum aviso de cookies para fechar. O teu navegador também guarda o teu idioma, a tua preferência de modo claro ou escuro e que cartões fechaste na página Explorar, por exemplo um cartão da equipa, no seu próprio armazenamento, no teu dispositivo, e a app móvel guarda aí o seu token de sessão, no armazenamento próprio da app.

Não temos palavras-passe, dados de pagamento nem documentos de identificação, porque a app nunca te pede nenhum deles.

Como a tua localização é protegida

Quando defines uma localização, guardamos o teu ponto exato e calculamos de imediato um ponto desfocado. O desvio é aleatório dentro de um círculo de até um quilómetro, e é derivado do identificador da tua conta, ou do identificador do anúncio no caso de um anúncio, por isso dá sempre o mesmo resultado. Essa última parte é importante: um marcador que saltasse para um sítio novo a cada carregamento da página permitiria, fazendo a média das posições, chegar até à tua porta. O teu fica onde caiu.

A pesquisa, a ordenação por distância e tudo o que é desenhado no mapa usam o ponto desfocado. O teu ponto exato fica no servidor, onde é usado para manter o teu próprio marcador onde o puseste e para derivar o ponto desfocado.

A localização é opcional. Podes deixá-la vazia, defini-la à mão na esquina da tua rua em vez de à tua porta, ou apagá-la mais tarde nas definições.

Há também um botão "usar a minha localização", no seletor de localização e no mapa de exploração, e é a única coisa na app que lê o sensor de posição do teu dispositivo. O teu navegador ou telemóvel pede-te autorização antes de responder. Se nunca carregares nele, a app nunca pergunta ao teu dispositivo onde estás. Se carregares, a leitura é usada para três coisas: procurar o nome do local onde estás, centrar o mapa e ordenar os anúncios pela distância a que estão. Esta última põe as coordenadas no endereço da página, por isso chegam mesmo ao nosso servidor e ficam no seu registo de acesso. Não são gravadas na tua conta: o que fica guardado como a tua localização é o local que confirmas a seguir, e esse é desfocado como qualquer outro.

As fotos são redimensionadas e recodificadas no teu próprio dispositivo antes de serem carregadas, o que elimina o que a câmara escreveu no ficheiro, incluindo qualquer etiqueta GPS. A imagem chega aqui sem isso. Num telemóvel, a app só pede acesso à câmara ou à tua galeria de fotos no momento em que adicionas uma foto, e recebe apenas a imagem que escolheste.

Onde ficam os teus dados

Tudo o que guarda os teus dados corre num único computador pequeno, em casa do responsável pela manutenção, nos Países Baixos: a base de dados, a API, o site e todas as fotos carregadas. À frente dele está uma máquina virtual alugada em Amesterdão, cuja única função é terminar a ligação HTTPS vinda do teu navegador e reencaminhá-la, através de uma ligação privada encriptada, para esse computador. Nenhuma rede de distribuição de conteúdos, nenhum proxy de terceiros, e ninguém fora do projeto desencripta o teu tráfego pelo caminho. Vale a pena dizer claramente qual é a contrapartida: os teus dados não estão espalhados pelos centros de dados de um fornecedor de cloud, mas estão num equipamento dentro de uma casa e não numa instalação com seguranças e geradores.

É uma escolha deliberada e custou-nos a opção fácil. O primeiro plano era pôr a Cloudflare à frente do site: grátis, e configurada numa tarde. Foi abandonado assim que o fluxo de dados foi posto por escrito, porque um túnel ou uma CDN desencripta o tráfego à passagem, o que teria dado a uma empresa fora da UE o texto legível das mensagens de chat, dos endereços de email e das moradas postais de toda a gente. Aqui ninguém no meio consegue ler o teu tráfego, porque não há ninguém no meio.

Todas as noites é feita uma cópia de segurança da base de dados na mesma máquina, e as cópias com mais de catorze dias são eliminadas.

Os poucos serviços externos

Email. O nosso fornecedor de email transacional, a Brevo, sediada em França, entrega os links de início de sessão e os emails de notificação. Vê o teu endereço de email e o conteúdo desses emails, que pode incluir o título de um anúncio, o nome a mostrar da outra pessoa, a mensagem que alguém enviou com um pedido, ou um número de seguimento. Se suspendermos a tua conta, o aviso que te explica porquê segue pelo mesmo caminho, com o motivo do moderador. As moradas postais nunca são postas num email.

Mosaicos do mapa. O mapa é desenhado com mosaicos do OpenFreeMap, construídos a partir de dados do OpenStreetMap. O teu navegador ou a app vai buscar esses mosaicos diretamente, por isso o OpenFreeMap vê o teu endereço IP e, aproximadamente, a zona que estás a ver. Se nunca abrires o mapa, o OpenFreeMap nunca é contactado. As fotos de referência das espécies vêm da Wikimedia Commons, mas servimos as nossas próprias cópias, por isso a Wikimedia não vê nada enquanto exploras.

Pesquisa de locais. Quando escreves o nome de um local para definir a tua localização, essas palavras vão para o Photon, um geocodificador aberto gerido pela Komoot na Alemanha, para serem convertidas em coordenadas. Também funciona no sentido inverso: carrega em "usar a minha localização" e são as coordenadas comunicadas pelo teu dispositivo que vão para o Photon, para obter de volta o nome de um local. Em qualquer dos sentidos, é o nosso servidor que pergunta em teu nome, por isso o teu endereço IP não viaja com a pergunta, e a resposta fica em cache durante trinta dias.

Seguimento de encomendas. Quando um doador introduz um número de seguimento, a app pode pedir a um serviço de seguimento de encomendas, o 17TRACK, o estado dessa encomenda. Só saem o número de seguimento e a transportadora. O teu nome e a tua morada ficam aqui.

Notificações push. Se usares a app móvel e permitires notificações, estas chegam ao teu dispositivo através dos serviços push da Apple e da Google, como acontece com as notificações de qualquer app no teu telemóvel.

Oracle. A Oracle aluga-nos a pequena máquina em Amesterdão que responde ao teu navegador e passa o pedido adiante. A Oracle gere o hardware por baixo dela; o software e o certificado TLS são nossos. Os teus dados não são guardados lá, e nada é entregue à Oracle para tratar em nosso nome.

A lista é esta. Se algum dia crescer, esta página muda primeiro.

Porque podemos guardar estes dados

A maior parte, porque nos pediste para te prestarmos o serviço. Uma conta, um anúncio, uma conversa, um pedido e uma adoção não funcionam sem os dados que lhes estão por trás, e nos termos do RGPD isso é um contrato, artigo 6.º, n.º 1, alínea b).

A tua localização e as tuas notificações push assentam no consentimento, artigo 6.º, n.º 1, alínea a). Ambas são opcionais, e podes retirar qualquer uma delas quando quiseres, apagando a tua localização ou desligando as notificações.

Manter os abusos afastados assenta no interesse legítimo, artigo 6.º, n.º 1, alínea f): limites de pedidos, o endereço IP guardado junto de um pedido de início de sessão, o registo de quem bloqueou quem, e as denúncias e registos de moderação que nos permitem agir quando alguém se porta mal.

Os registos de moderação assentam nesse mesmo fundamento. Um espaço que as pessoas partilham tem de ser seguro, e uma decisão que tomámos sobre alguém tem de ser uma decisão pela qual ainda possamos responder mais tarde. Isso limita o que o apagamento pode fazer aqui: eliminar a tua conta não elimina o registo de uma decisão tomada sobre ti.

Durante quanto tempo os guardamos

Os links de início de sessão expiram ao fim de quinze minutos e o código de seis dígitos do mesmo email ao fim de dez. Cinco tentativas erradas do código invalidam-no, e o link com ele. Uma tarefa agendada elimina o registo um dia depois de expirar ou de ser usado.

As sessões duram trinta dias, contados a partir da última vez que usaste a app e não a partir do momento em que iniciaste sessão, por isso, se continuares a abrir a app, a sessão não termina. Terminar a sessão elimina essa sessão de imediato.

Os anúncios saem do mercado sessenta dias depois de serem publicados. O anúncio em si fica, para o poderes voltar a publicar, e ninguém o vê entretanto.

As pesquisas de nomes de locais guardadas em cache são eliminadas ao fim de trinta dias. As cópias de segurança noturnas da base de dados são guardadas durante catorze.

As mensagens de chat, os registos de adoção e as avaliações não têm qualquer prazo. São o registo de algo que aconteceu entre duas pessoas, por isso sobrevivem à conta que sai: eliminar a tua retira o teu nome deles, e o que escreveste fica onde a outra pessoa ainda o pode ler.

Uma morada de envio fica na sua adoção enquanto essa adoção existir, ou seja, indefinidamente. Eliminar a tua conta apaga as moradas que partilhaste; uma morada que outra pessoa partilhou contigo é dessa pessoa, e fica até ela eliminar a sua conta.

As denúncias são guardadas depois de tratadas, incluindo as denúncias sobre ti. Um registo de moderação que desaparece não é registo nenhum.

Os registos de moderação são guardados indefinidamente, e eliminar a tua conta não os apaga. Se o moderador que escreveu um deles eliminar mais tarde a sua própria conta, a linha continua a apontar para essa conta, mas já não tem nome nem endereço. A decisão, a data e o motivo escrito na altura ficam.

Os teus direitos

Podes pedir uma cópia dos teus dados, pedir que sejam corrigidos, que sejam apagados, que o seu tratamento seja limitado, recebê-los num ficheiro portátil, ou opor-te a que os tratemos. Escreve para hello@adoptaplant.eu e respondemos no prazo de trinta dias.

Parte disto podes fazer já por tua conta: mudar ou apagar o teu nome, biografia, foto de perfil e localização nas definições, eliminar um anúncio, terminar uma sessão.

Eliminar a conta é contigo: Definições, depois Eliminar conta, e depois escreve a palavra que te é pedida. Acontece de imediato e não pode ser anulado. A única coisa que o impede é uma adoção ainda em curso, porque alguém do outro lado está à espera de uma planta ou deve uma; conclui-a ou cancela-a primeiro e depois volta. O ecrã mostra o que desaparece e o que fica antes de confirmares, e a secção abaixo é a versão longa dessa lista.

Se achares que tratámos mal os teus dados, podes apresentar queixa à autoridade neerlandesa de proteção de dados, a Autoriteit Persoonsgegevens, ou à autoridade do país da UE onde vives.

A parte delicada: registos que pertencem a duas pessoas

Uma adoção concluída pertence a duas pessoas. A conversa à volta dela também, e uma avaliação também. Se nos pedires para apagar a tua conta, não podemos apagar o registo que a outra pessoa tem de algo que aconteceu entre vocês, tal como ela não poderia apagar o teu.

O que fazemos em vez disso: o teu endereço de email, nome, biografia, país e localização são apagados da conta e o ficheiro da tua foto de perfil é eliminado do servidor. Os teus favoritos, as notificações da tua lista, a tua lista de bloqueios, todas as sessões e tokens push e qualquer link de início de sessão ainda pendente são eliminados por completo. Qualquer morada de envio que tenhas partilhado como adotante é apagada. Os teus anúncios saem do site, as pessoas em fila para eles são informadas de que a planta já não está disponível, e os teus pedidos em aberto são retirados.

Depois, o teu nome é retirado das adoções e avaliações que ficam, por isso o que resta é o simples facto de que houve uma troca e o relato que a outra pessoa faz dela. As mensagens que enviaste ficam na conversa dela, mostradas com um nome de substituição em vez do teu, e as fotos já anexadas a essas mensagens ficam com a conversa. Um anúncio teu que alguém adotou mantém a sua foto no registo que essa pessoa tem dessa adoção, pela mesma razão que a conversa, e isso mantém-se mesmo que a adoção tenha sido cancelada mais tarde, porque o registo dela fica com essa pessoa. Todas as outras fotos de anúncios são eliminadas do servidor por completo: o ficheiro original e todos os tamanhos que gerámos a partir dele, incluindo as fotos de anúncios que já tinhas eliminado.

Se isso não te chegar, diz-nos quando escreveres. Explicamos-te exatamente o que ficaria no teu caso antes de mexermos em qualquer coisa.

Alterações

Se esta política mudar de uma forma que importe, avisamos na app antes de a alteração entrar em vigor. A data no topo é a última vez que mudou.