Política de Privacidade do PathXplorer

Introdução

O PathXplorer («nós», «nosso» ou «a app») foi concebido com a privacidade em primeiro lugar: sem conta, sem anúncios, sem venda de dados — nunca. Os seus trajetos, fotos e estatísticas são gravados e guardados no seu dispositivo e, por predefinição, ficam lá.

Algumas funcionalidades precisam de enviar dados para fora do seu dispositivo para funcionar — a meteorologia precisa das suas coordenadas, o seguimento de grupo precisa da sua posição, um alerta SOS tem de chegar aos seus contactos. Esta política descreve exatamente o que sai do seu dispositivo, quando, para quem e como o controla.

Permissões do dispositivo

O PathXplorer pede certas permissões do dispositivo para oferecer as suas funcionalidades. Você controla cada uma delas e pode revogá-las a qualquer momento nas definições do seu dispositivo; a app continua a funcionar com funcionalidades reduzidas se uma permissão for negada.

• Localização (incluindo em segundo plano): o coração da app — usada para gravar o seu trajeto, mostrar a sua posição no mapa e calcular as suas métricas em direto. O acesso em segundo plano permite que a gravação continue com o ecrã desligado ou a app minimizada. A sua localização só sai do dispositivo para as funcionalidades específicas descritas abaixo.
• Câmara: usada apenas quando tira fotos georreferenciadas durante a gravação. As fotos são guardadas no seu dispositivo.
• Atividade física: usada no dispositivo para o conta-passos, a cadência e a passada. Estes dados nunca saem do seu dispositivo.
• Armazenamento / acesso a multimédia: usado para guardar no seu dispositivo os seus trajetos, fotos e vídeos gerados (e na sua galeria quando partilha). Não acedemos aos seus outros ficheiros, nem os enviamos ou analisamos.
• Notificações: usadas para mostrar o estado da gravação durante o seguimento em segundo plano.

Dados guardados no seu dispositivo

O PathXplorer guarda o seguinte no seu dispositivo:

• Os seus trajetos gravados com todas as métricas (velocidade, altitude, meteorologia, ângulo de inclinação, força G, etc.)
• Fotos georreferenciadas tiradas durante a gravação
• Vídeos, capturas de mapa e relatórios PDF que gerar
• Locais de estacionamento detetados automaticamente e as suas moradas
• Moradas de rua consultadas recentemente
• Um breve registo contínuo dos seus últimos minutos de posições GPS (usado apenas para incluir o seu percurso recente num alerta SOS; limitado a cerca de cinco minutos e continuamente substituído)
• Definições e preferências da app
• Mosaicos de mapa em cache e dados meteorológicos recentes
• Um registo de diagnóstico de eventos técnicos, guardado no dispositivo, que também contém a sua última posição conhecida aproximada (arredondada a cerca de 1 km), o modelo do seu dispositivo e a versão do seu Android ou iOS (nunca transmitido, a menos que escolha explicitamente enviá-lo)

Cópias de segurança que controla

A Cópia de segurança de trajetos (Definições › Mais) é opcional. Ao ativá-la, são guardadas cópias dos seus trajetos e fotos numa pasta que escolher no telemóvel ou num cartão SD, e/ou numa pasta do seu próprio Google Drive, o que exige iniciar sessão com a sua conta Google. Não temos acesso a essa pasta.

Em separado, a cópia de segurança Google automática do Android pode guardar os seus trajetos, moradas, registo de diagnóstico e definições da app (incluindo os nomes, números de telefone e endereços de email dos seus contactos SOS) na sua conta Google, ao abrigo dos termos de privacidade da própria Google. Pode desativá-la nas definições Google do seu telemóvel. A palavra-passe do email do SOS, se tiver definido uma, e os contadores de utilização anónimos nunca são incluídos.

Pode apagar tudo isto a qualquer momento limpando os dados da app nas definições do dispositivo ou desinstalando a app. As cópias guardadas no seu Google Drive ou na sua conta Google são suas: cabe-lhe apagá-las aí.

Funcionalidades que enviam dados para fora do seu dispositivo

Cada funcionalidade abaixo envia apenas o mínimo de dados necessário, só enquanto a usa. Todas as ligações são cifradas em trânsito (HTTPS/TLS).

Mapas — OpenStreetMap

Os mosaicos do mapa são descarregados dos servidores do OpenStreetMap à medida que desloca e amplia o mapa. Ocorrem pedidos de rede normais, mas não é enviada nenhuma informação pessoal identificável. Pode guardar mapas em cache para uso offline. Consulte a Política de Privacidade da Fundação OpenStreetMap.

Meteorologia — WeatherAPI.com

A meteorologia faz parte da edição Fun. Quando as funcionalidades meteorológicas estão disponíveis, as suas coordenadas atuais (latitude e longitude) são enviadas através do nosso servidor intermédio para a WeatherAPI.com, para obter as condições locais — no máximo a cada 15 minutos enquanto a app está ativa, com menos frequência mais tarde no dia. O servidor intermédio recebe as suas coordenadas juntamente com o identificador aleatório de dispositivo descrito mais abaixo, reencaminha o pedido e não guarda os seus pedidos como um percurso; nenhum nome nem conta o acompanha, e os dados meteorológicos recebidos ficam guardados apenas no seu dispositivo. A meteorologia é suspensa no modo Zero Data e atualiza com menos frequência no modo Min Data. Consulte a Política de Privacidade da WeatherAPI.com.

Moradas, pesquisa de destino e rotas — Nominatim e OpenRouteService

Quando usa o cartão Morada mais próxima, pesquisa um destino ou planeia uma rota, as suas coordenadas (e o texto que escreve) são enviadas através do nosso servidor intermédio para o serviço de geocodificação Nominatim do OpenStreetMap e/ou para o OpenRouteService, para resolver moradas e calcular rotas. O servidor intermédio recebe também o identificador aleatório de dispositivo descrito mais abaixo e a sua edição (Free ou Fun), que usa para aplicar os limites diários de rotas. Estas consultas só acontecem quando usa essas funcionalidades, e os seus resultados ficam em cache no seu dispositivo para que as consultas repetidas possam ser respondidas offline.

Limites de velocidade, locais próximos e eventos — o nosso servidor intermédio

Para mostrar o limite de velocidade da via em que está, e as fichas Atrações, Eventos e Combustível do ecrã de destino, a app pede ao nosso servidor intermédio os dados da sua zona, o que significa que as suas coordenadas lhe chegam. O servidor obtém a resposta de serviços de dados abertos e de eventos (OpenStreetMap, OpenAgenda, Ticketmaster), guarda parte dela em cache para que os pedidos repetidos não custem nada, não guarda os seus pedidos como um percurso e não os passa a ninguém exceto ao serviço que lhes responde.

Convites de grupo — o nosso servidor

Quando partilha um convite de grupo, é enviado ao nosso servidor um pequeno cartão de imagem (o seu avatar, o seu @apelido e o nome do #grupo sobre um mapa à escala de uma cidade) para que a ligação possa mostrar uma pré-visualização.

Seguimento de grupo em direto — o nosso servidor

O seguimento de grupo está DESATIVADO por predefinição. Quando escolhe juntar-se a um grupo, é enviado ao nosso servidor, por uma ligação cifrada, o seguinte: o nome do grupo, o apelido que escolheu, um identificador aleatório de dispositivo (gerado pela app — sem ligação à sua identidade) e a sua posição em direto enquanto a partilha estiver ativa. Isto é retransmitido aos outros membros do seu grupo para que se vejam no mapa.

Alertas de emergência SOS — o nosso servidor

A funcionalidade SOS envia um alerta apenas quando o aciona deliberadamente (premir e manter premido, mais confirmação — não pode disparar por acidente). Um alerta contém sempre o seu nome, o seu número de telefone, a hora, as suas coordenadas, a sua velocidade e o nível de bateria, e um identificador aleatório de dispositivo. Escolhe de antemão se inclui também:

• A morada de rua mais próxima (a ligação para o mapa é sempre incluída)
• As ruas por onde passou há pouco
• O seu percurso GPS recente (os últimos minutos)
• As suas fotos mais recentes
• Uma captura do mapa, a meteorologia e uma breve nota sua

Para entregar o alerta, o conteúdo selecionado e os endereços de email dos seus contactos de emergência (até três, introduzidos por si) são transmitidos ao nosso servidor, que envia o email de alerta e depois não usa estes dados para nenhum outro fim. Os endereços dos seus contactos ficam guardados no seu dispositivo, não no nosso servidor. Um SOS é enviado por qualquer rede disponível, mesmo no modo Zero Data; se o Wi-Fi estiver bloqueado, o alerta tenta de novo automaticamente pela ligação móvel (no Android; no iPhone, o iOS escolhe a rede disponível). Depois de entregue, o alerta vive nas caixas de entrada dos seus contactos como qualquer email que lhes pudesse enviar.

Registos do servidor

Como qualquer servidor web, o nosso guarda registos técnicos normais — hora, endereço IP e o próprio pedido, que pode incluir coordenadas — por segurança e para resolver problemas. Não os usamos para reconstituir os seus movimentos.

Serviços Google Play

• Play Billing: se comprar a subscrição Fun, todo o pagamento é processado pela Google Play. Nunca vemos os seus dados de pagamento — a Google só nos dá uma confirmação de compra anónima. Consulte a Política de Privacidade da Google.
• Play Integrity: para proteger o serviço de cópias adulteradas ou falsificadas da app, o PathXplorer pode pedir à Google Play que verifique que se trata de uma instalação genuína. Esta verificação envolve a Google e o nosso servidor, mas não contém nenhuma informação pessoal sobre si.

Newsletter

Se escolher subscrever a newsletter (na app ou em funapps.biz), o seu endereço de email e o seu idioma são guardados no nosso servidor para podermos enviar-lhe uma mensagem de confirmação e as próprias newsletters. Cada mensagem inclui uma ligação para cancelar a subscrição; cancelar faz parar os envios. A subscrição é totalmente opcional e não cria nenhuma conta.

Estatísticas de utilização anónimas

Para perceber que funcionalidades são usadas e onde os novos utilizadores encontram dificuldades, a app envia ao nosso servidor um pequeno resumo do dia, apenas contagens, enviado quando abre ou sai da app (no máximo a cada poucos minutos) e substituído de cada vez no nosso servidor: quantas vezes a app foi aberta, quantos trajetos foram gravados e durante quantos minutos, quantas pesquisas de destino, rotas, fotos, vídeos, relatórios e partilhas foram feitos, que permissões foram pedidas, concedidas ou recusadas, e algumas definições como o modo de dados e o intervalo GPS. O resumo inclui também a versão da app, a versão do Android ou iOS, o tamanho da memória do dispositivo, o idioma, o país da sua rede móvel, o dia em que a app foi instalada, como a app foi encontrada (apenas uma categoria geral, como «pesquisa na Google Play» ou «campanha publicitária», tirada do Google Play Install Referrer), se o dispositivo é um emulador ou um robô de teste, se existem serviços Google, se a otimização de bateria está desativada para a app, quantos cartões do painel são apresentados, quantos minutos passaram entre a instalação e a sua primeira utilização de cada funcionalidade, e o mesmo identificador aleatório de dispositivo usado no seguimento de grupo (gerado pela app e sem ligação à sua identidade).

Este resumo nunca contém uma posição, um trajeto, uma morada pesquisada, uma foto nem qualquer conteúdo. Corresponde, no máximo, a alguns quilobytes por dia, nunca é enviado pelos dados móveis no modo Zero Data (só é enviado numa ligação sem limite como o Wi-Fi, como o resto da app nesse modo) e é conservado em bruto durante treze meses antes de ser reduzido a totais diários. Pode desativá-lo a qualquer momento com o interruptor Estatísticas de utilização anónimas em Definições › Dados; nada é enviado nem guardado enquanto o interruptor estiver desligado.

Relatórios de falhas

O PathXplorer usa o Firebase Crashlytics (um serviço da Google) para podermos encontrar e corrigir falhas. Se a app falhar, é enviado um relatório com detalhes técnicos (modelo do dispositivo, versão do Android ou iOS, versão da app, o que o código estava a fazer) e identificadores de dispositivo usados para agrupar relatórios. Estes relatórios não contêm trajetos, fotos nem histórico de localização. Os dados de falhas são tratados pela Google ao abrigo da documentação de privacidade do Firebase e conservados de acordo com a sua política.

Em separado, a app mantém um registo de diagnóstico no seu dispositivo. Contém eventos técnicos, a sua última posição conhecida aproximada (arredondada a cerca de 1 km), o modelo do seu dispositivo e a versão do seu Android ou iOS. Só nos é enviado se o escolher explicitamente — no menu Definições, ou respondendo Sim à pergunta que a app pode fazer após uma falha (responder Não não envia nada) — normalmente quando o ajudamos a resolver um problema.

O PathXplorer no iPhone e no iPad

A versão iOS funciona da mesma forma e segue toda esta política, com os serviços da Apple no lugar dos da Google:

• Cópia de segurança de trajetos — iCloud Drive: se a ativar, são escritas cópias dos seus trajetos, fotos e destinos guardados numa pasta «PathXplorer» do seu próprio iCloud Drive, visível na app Ficheiros. Não temos acesso a ela; é guardada pela Apple ao abrigo dos seus próprios termos de privacidade, e pode apagá-la aí a qualquer momento.
• Fototeca: com a sua permissão, é guardada na sua fototeca uma cópia de cada foto que tira durante uma gravação, para que uma foto apagada da app possa ser reposta no seu trajeto. A app só lê as fotos que ela própria guardou.
• Movimento e Condição Física: usado no dispositivo para o conta-passos; estes dados nunca saem do seu dispositivo.
• Compras na App Store: a subscrição Fun, quando oferecida no iOS, é processada inteiramente pela Apple. Nunca vemos os seus dados de pagamento; a Apple apenas confirma à app que existe uma subscrição ativa.
• App Attest: no lugar do Play Integrity, a app pode pedir à Apple que confirme que se trata de uma cópia genuína antes de entrar num grupo. Esta verificação não contém nenhuma informação pessoal sobre si.
• Relatórios de falhas: tal como no Android, o Firebase Crashlytics envia um relatório técnico de falha (modelo do dispositivo, versão do iOS, versão da app) — sem trajetos, fotos nem histórico de localização. O registo de diagnóstico fica no seu dispositivo e só nos é enviado se escolher enviá-lo.
• Cada permissão pode ser alterada a qualquer momento na app Definições do iOS, e desinstalar a app remove tudo o que está guardado no dispositivo.

O que nunca fazemos

• Nunca vendemos nem alugamos os seus dados a ninguém.
• Nunca mostramos anúncios nem usamos identificadores publicitários.
• Nunca enviamos nós próprios os seus trajetos, fotos, vídeos ou relatórios — partilhá-los é sempre uma ação sua, pelas apps que escolher, e a Cópia de segurança de trajetos opcional só escreve numa pasta, num Google Drive ou num iCloud Drive que lhe pertence.
• Nunca exigimos conta, início de sessão ou perfil (iniciar sessão com a Google só é necessário se escolher o Google Drive para a Cópia de segurança de trajetos).

Os seus direitos e escolhas

• Modo Zero Data: uma única definição coloca a app em funcionamento totalmente offline nos dados móveis — a gravação funciona por completo, nada é transmitido pelos dados móveis (exceto um alerta SOS, ou um registo de diagnóstico, que envie você mesmo, e uma pequena verificação de atualização na loja de aplicações (Google Play ou App Store) no máximo uma vez a cada 30 dias), e um contador integrado mostra aproximadamente quantos dados a app usou.
• Controlo por funcionalidade: o seguimento de grupo, o SOS, a Cópia de segurança de trajetos e as estatísticas de utilização anónimas podem ser desativados separadamente nas Definições; a meteorologia é suspensa pelo modo Zero Data; a deteção de estacionamento funciona discretamente no dispositivo e os seus distintivos podem ser ocultados no menu ⋮.
• Direito ao apagamento: os seus dados vivem no seu dispositivo — limpe os dados da app ou desinstale-a e desaparecem, exceto as cópias de segurança que tenha feito no seu próprio Google Drive ou conta Google. Os dados de seguimento de grupo no nosso servidor são apagados automaticamente quando se desliga, e a newsletter pára, com o seu endereço removido a pedido, quando cancela a subscrição ou nos escreve.
• Controlo de permissões: cada permissão do dispositivo pode ser revogada a qualquer momento nas definições do Android.

Como não temos nenhuma conta nem base de dados sobre si, não há nada de que possa pedir cópia nem conta alguma para apagar — já tem controlo direto sobre tudo.

Privacidade das crianças

O PathXplorer não exige conta, não recolhe informação de perfil e é adequado a utilizadores de todas as idades. Os pais devem saber que as funcionalidades de seguimento de grupo e SOS, quando usadas deliberadamente, partilham a localização do dispositivo como descrito acima.

Alterações a esta política

Quando a app ganhar funcionalidades que alterem a forma como os dados são tratados, esta política será atualizada e a data de «Última atualização» no topo será revista. As alterações importantes também serão destacadas dentro da app.

Informações de contacto

Se tiver perguntas sobre esta Política de Privacidade, contacte:

• Charles-Emmanuel Barcelo
• Email: pathxplorer@funapps.biz

Esta política de privacidade reflete o nosso compromisso com a transparência e em dar-lhe controlo sobre os seus dados enquanto usa o PathXplorer.