Política de privacidade

O app guarda no seu celular:

• suas cápsulas e rascunhos: nome, texto da carta, data em que foi escrita, data de abertura, cor do lacre, se já foi aberta e a qual carta anterior ela responde;
• cópias das fotos e vídeos que você adiciona (fotos reduzidas) e as mensagens de voz que você grava;
• “este momento”: seu humor, uma música, a cidade e o clima, se você os adicionar, e, nas cartas para você mesmo, o nome do celular (o que você deu a ele ou, se não, o fabricante e o modelo) e o nível da bateria;
• as cápsulas que amigos enviam a você e, em uma cápsula de grupo que você organiza, as cartas reunidas até agora;
• suas configurações (idioma, tema, seu aniversário se você o usar para uma cápsula, o e-mail da conta Google conectada).

Fotos e vídeos são escolhidos pelo seletor de fotos do próprio Android, então o app só vê os que você escolher, nunca a sua galeria inteira. O microfone só é usado enquanto você grava uma mensagem de voz. Tudo isso fica guardado no armazenamento privado do app, que outros apps não podem ler, mas os arquivos em si não são criptografados. O app desativa o backup automático do Android. As fotos e os vídeos que você faz no Kolys são feitos pelo app de câmera do seu celular; o Kolys não tem permissão de câmera.

Uma carta lacrada é trancada pelo app: o Kolys não a abre nem a mostra antes do dia dela, e a data é conferida online. É uma trava no app, não criptografia.

No seu celular, as cartas, as fotos e as gravações são arquivos e entradas de banco de dados comuns no armazenamento privado do app. Alguém que contorne a proteção de apps do Android, por exemplo em um celular com root ou aberto com ferramentas especiais, poderia lê-los. O zip no seu Google Drive também não é criptografado, então o Google poderia lê-lo, como pode ler qualquer coisa guardada no Drive.

Arquivos de presente e cápsulas de grupo funcionam de outro jeito; veja “Cápsulas de presente” abaixo. Não coloque em uma cápsula nada que precise ficar ilegível para os outros.

Se você entrar com o Google, o Kolys pede uma única permissão: drive.appdata. Ela permite que o app crie, leia e exclua apenas os próprios arquivos em uma pasta oculta do app no seu Google Drive. O app não consegue ver nem alterar nenhum outro arquivo do seu Drive.

Cada cápsula lacrada é salva lá como um arquivo zip comum, com o nome do ID aleatório da cápsula (a carta, as fotos, os vídeos, as mensagens de voz e “este momento”), sem criptografia. A data de abertura e a data em que ela foi aberta também são guardadas como propriedades do arquivo. Os rascunhos não são enviados. Uma sincronização começa alguns segundos depois de uma alteração, quando há internet, e cerca de duas vezes por dia. É assim que as suas cápsulas lacradas voltam em um celular novo. O app também lê o endereço de e-mail da sua conta só para mostrar qual conta está conectada.

Os dados trafegam diretamente entre o seu celular e o Google por uma conexão criptografada. Não há nenhum outro servidor no meio. A política de privacidade do próprio Google se aplica ao que fica guardado no seu Drive.

Nas Configurações você pode salvar todas as suas cápsulas e rascunhos em um só arquivo, no local que escolher, sem Google. O app não envia esse arquivo para lugar nenhum. Se você o salvar em uma pasta na nuvem, esse serviço o armazena.

Sem palavra secreta, o arquivo não é criptografado: quem o tiver pode ler todas as cartas, inclusive as lacradas. Com palavra, ele é criptografado e é tão seguro quanto for difícil adivinhar a palavra. Se você esquecer a palavra, ninguém consegue abrir o arquivo.

Restaurar devolve as cápsulas que não estão no celular, e as lacradas continuam lacradas. As cartas que ainda estão sendo reunidas para um grupo e as palavras dos presentes que você enviou não estão no arquivo.

O uso e a transferência para qualquer outro app, pelo Kolys, de informações recebidas das APIs do Google seguirão a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

• Os dados do seu Google Drive são usados apenas para guardar suas cápsulas e trazê-las de volta aos seus celulares.
• Eles nunca são vendidos, nunca são usados para anúncios e nunca são compartilhados com ninguém.
• Nenhuma pessoa os lê: o desenvolvedor não tem acesso ao seu Drive nem às suas cartas.

Para que uma cápsula não possa ser aberta antes da hora adiantando o relógio do celular, o app pede a hora atual a um servidor web (www.google.com ou www.cloudflare.com) e lê a data da resposta. Ele pede de novo quando chega o dia de uma cápsula, antes de avisar você. Nada sobre você nem sobre as suas cápsulas é enviado. Como em qualquer solicitação web, esses serviços veem o seu endereço IP.

Só quando você toca em “Adicionar a cidade e o clima” enquanto escreve, o app pede ao Android uma vez a sua localização aproximada (nunca a precisa). O serviço de localização do Android, geralmente o Google, a transforma no nome de uma cidade, e o app pede ao MET Norway (Instituto Meteorológico da Noruega, api.met.no) o clima atual, enviando a localização arredondada para cerca de um quilômetro. Só o nome da cidade e o clima ficam guardados na cápsula; a localização em si não é guardada. Você sempre pode deixar isso de fora.

Quando você procura a música do momento, as palavras que você digita são enviadas ao MusicBrainz (musicbrainz.org), um banco de dados aberto de músicas, para encontrar nomes de músicas correspondentes. Só o nome da música, o artista e o ano ficam guardados na cápsula, nunca capas ou gravações. “Ouvir” passa o nome da música para o app de música do seu celular (ou abre uma busca no YouTube Music), e esse app funciona segundo as próprias regras. Você também pode simplesmente digitar uma música sem buscar.

Uma cápsula para outra pessoa vira um único arquivo que você mesmo envia, pelo app que escolher (um mensageiro, e-mail, Google Drive). O desenvolvedor nunca o recebe. O arquivo contém a carta com suas fotos, vídeos, mensagens de voz e “este momento” (sem o nome do celular nem o nível da bateria), e o seu nome, se você informar. O nome do arquivo contém o nome que você digitou para o destinatário ou o grupo, que o mensageiro ou o serviço de e-mail podem ver. Os vídeos são enviados como estão, o que pode incluir o local onde foram gravados.

Sem palavra secreta, o arquivo é criptografado, mas a chave fica guardada dentro do arquivo. Isso impede que um amigo o abra antes da hora por acidente, não quem tiver o arquivo e alguma habilidade. Se você o trancar com uma palavra secreta, a chave é gerada a partir da palavra e não está em nenhum arquivo, então o arquivo é tão seguro quanto for difícil adivinhar a palavra. A palavra fica só no seu celular, para você poder consultá-la de novo, e nunca vai para o arquivo, para o seu Google Drive nem para o desenvolvedor. Só a dica que você escrever pode ser lida antes de destrancar.

Uma cápsula para um grupo também leva o nome do grupo e os nomes que você listar. Quando um grupo escreve uma cápsula junto, o arquivo de convite contém a chave do grupo sem criptografia, então quem tiver o convite pode ler as cartas enviadas de volta. A carta de cada pessoa vai como arquivo para quem as reúne, criptografada com essa chave. Até a cápsula ser lacrada, as cartas reunidas ficam como arquivos comuns no armazenamento do app do organizador; o app mostra só quem escreveu, não o quê, e elas não são copiadas para o Drive.

Quando o destinatário abre o arquivo no Kolys, a cópia dele fica no app dele, sem criptografia como qualquer cápsula e, se ele usar, no próprio Google Drive. Os arquivos que você enviou ficam com os destinatários e no mensageiro ou serviço de e-mail; apagar uma cápsula no Kolys não consegue trazê-los de volta.

A notificação do dia de abertura é agendada no seu celular e espera uma conexão com a internet, porque a data é conferida primeiro; nada sobre ela é enviado para lugar nenhum. “Adicionar ao calendário” abre o app de calendário do seu celular com um evento pronto (o nome da cápsula e a data de abertura). Você decide se o salva, e ele fica então guardado pelo seu app de calendário. O Kolys não pode ler o seu calendário. O widget da tela inicial mostra o nome da sua cápsula mais próxima e os dias que faltam; o grande mostra até três cápsulas com uma barra de progresso e as datas de abertura.

Se as verificações automáticas estiverem ativadas (por padrão, estão), a versão do Kolys deste site consulta o site do Kolys (pegasohlib.github.io) para ver se há uma versão nova quando você abre o app, no máximo uma vez a cada 30 minutos. Não há verificação em segundo plano. Ele só baixa a atualização do GitHub quando você toca em Atualizar e confere o SHA-256 do arquivo antes de instalar. Como qualquer site, o GitHub vê o endereço IP do seu aparelho; nada mais é enviado, nem dados do app.

Você pode desativar as verificações automáticas nas Configurações. Quando o app vem do Google Play, quem o atualiza é o Google Play.

O GitHub também conta quantas vezes cada arquivo foi baixado. É só um número, sem nada sobre quem baixou; o site o mostra como um número aproximado de downloads.

• não tem contas com o desenvolvedor nem servidores próprios;
• não tem análises, anúncios, rastreamento nem relatórios de falhas enviados para lugar nenhum;
• sem venda de dados e sem enviar nada ao desenvolvedor;
• não acessa seus contatos, arquivos ou galeria, nem a localização em segundo plano.

Internet

para verificar a data e o clima, usar o Google Drive, buscar músicas e verificar atualizações.

Estado da rede

para esperar uma conexão antes de verificar a data ou sincronizar.

Notificações

o dia da abertura e os lembretes pelo caminho.

Microfone (opcional)

só para mensagens de voz, enquanto você grava.

Localização aproximada (opcional)

só para a cidade e o clima, quando você pede.

Vibração

quando uma cápsula abre.

Instalar apps

para instalar as próprias atualizações (só na versão deste site).

• Apagar uma cápsula no app remove do seu celular, na hora, a carta, os arquivos dela, “este momento”, os lembretes e a palavra de presente guardada, esteja você logado ou não. Só fica uma linha vazia com o ID aleatório da cápsula até a próxima sincronização. Os restos de versões antigas são esvaziados quando a versão nova inicia.
• No Google Drive, o zip da cápsula é apagado e fica um pequeno arquivo com o ID da cápsula e a terminação .gone. Ele contém só a palavra “gone” e avisa os seus outros celulares para apagarem a cápsula também. Uma cápsula que você alterou em outro celular desde então permanece. Uma resposta guarda a própria cópia das cartas que ela responde, então elas sobrevivem mesmo que a original seja apagada.
• Desinstalar o app remove tudo o que ele guardou no celular, mas não a cópia no seu Google Drive, nem os arquivos de cópia que você salvou, nem os arquivos que você enviou a outras pessoas.
• Para remover a cópia do Drive sem o app: abra o Google Drive na web → Configurações → Gerenciar apps → Kolys → Opções → Excluir dados ocultos do app.
• Você pode retirar o acesso do app a qualquer momento em myaccount.google.com/connections.

Se o app passar a fazer algo novo com os dados, esta página será atualizada primeiro, com uma nova data no topo.

Quem é o responsável. A PegasoHlib, uma pessoa física que desenvolve estes apps, é responsável pelos dados descritos aqui. Contato: support@pegasohlib.com.

Para que os dados são usados, e com que base legal.

Fazer o app funcionar, e o backup ou a sincronização que você ativar

Contrato: necessário para fornecer o que você pediu (GDPR, art. 6(1)(b))

Cidade e clima, busca de músicas

Consentimento: você pode desativar a qualquer momento (art. 6(1)(a))

Verificação de atualizações e segurança

Interesse legítimo: manter o app seguro e atualizado (art. 6(1)(f))

Um e-mail que você envia

Interesse legítimo: responder a você (art. 6(1)(f))

Quem os recebe, e transferências para fora da UE. Google (seu Drive, o serviço de endereços do Android na maioria dos celulares e a verificação da hora), Cloudflare (a verificação da hora), MET Norway (clima), MusicBrainz (busca de músicas) e GitHub (verificação de atualizações e downloads). O e-mail que você envia passa pela Cloudflare e o Google o guarda em uma caixa do Gmail, e a Anthropic pode processá-lo quando um assistente de IA ajuda a lê-lo. Algumas dessas empresas têm sede nos Estados Unidos ou em outros países fora da UE. Essas transferências se baseiam na Estrutura de Privacidade de Dados UE-EUA, quando a empresa participa dela, ou nas cláusulas contratuais padrão da empresa.

Por quanto tempo são guardados. Os dados no app ficam até você apagá-los ou remover o app. As cópias no seu próprio armazenamento na nuvem ficam até você apagá-las. Os e-mails que você envia são guardados até o assunto ser encerrado, e por no máximo 2 anos.

Seus direitos. Você pode pedir acesso aos seus dados, correção, exclusão, restrição do tratamento e uma cópia para levar a outro lugar (portabilidade), e pode se opor ao tratamento ou retirar o consentimento a qualquer momento. Escreva para o endereço acima. Você receberá uma resposta em até um mês. A maior parte dos dados fica só no seu dispositivo, então em geral você pode fazer isso diretamente no app.

Reclamações. Você pode apresentar reclamação à autoridade de proteção de dados do seu país.

Idade. Você precisa ter pelo menos 15 anos para usar o app por conta própria. Se tiver menos, peça antes o consentimento de um dos pais ou de um responsável.

Idioma. As traduções desta política são feitas com a ajuda de IA. Se uma tradução diferir do texto em inglês, vale a versão mais favorável a você.

Dúvidas sobre privacidade: support@pegasohlib.com.