Política de privacidade

A app guarda no teu telemóvel:

• as tuas cápsulas e rascunhos: nome, texto da carta, data em que foi escrita, data de abertura, cor do selo, se já foi aberta e a que carta anterior responde;
• cópias das fotos e dos vídeos que juntas (as fotos reduzidas) e as mensagens de voz que gravas;
• “este momento”: o teu estado de espírito, uma canção, a cidade e o tempo, se os adicionares, e, nas cartas para ti próprio, o nome do telemóvel (o que lhe deste ou, em alternativa, o fabricante e o modelo) e o nível da bateria;
• as cápsulas que os amigos te enviam e, numa cápsula de grupo que organizas, as cartas recolhidas até agora;
• as tuas definições (idioma, tema, o teu aniversário, se o usares numa cápsula, o e-mail da conta Google ligada).

As fotos e os vídeos são escolhidos através do seletor de fotos do próprio Android, por isso a app só vê os que escolheres, nunca toda a tua galeria. O microfone só é usado enquanto gravas uma mensagem de voz. Tudo isto fica guardado no armazenamento privado da app, que outras apps não podem ler, mas os ficheiros em si não estão cifrados. A app desativa a cópia de segurança automática do Android. As fotos e os vídeos que fazes no Kolys são feitos pela app de câmara do teu telemóvel; o Kolys não tem permissão de câmara.

Uma carta selada é bloqueada pela app: o Kolys não a abre nem a mostra antes do seu dia, e a data é verificada online. É um bloqueio na app, não é cifragem.

No teu telemóvel, as cartas, as fotos e as gravações são ficheiros e entradas de base de dados normais no armazenamento privado da app. Alguém que contorne a proteção de apps do Android, por exemplo num telemóvel com root ou aberto com ferramentas especiais, poderia lê-los. O zip no teu Google Drive também não está cifrado, por isso a Google poderia lê-lo, como pode ler tudo o que está guardado no Drive.

Os ficheiros de presente e as cápsulas de grupo funcionam de outra forma; vê «Cápsulas como presente» abaixo. Não ponhas numa cápsula nada que tenha de ficar ilegível para os outros.

Se iniciares sessão com o Google, Kolys pede uma única permissão: drive.appdata. Esta permite à app criar, ler e eliminar apenas os seus próprios ficheiros numa pasta oculta da app no teu Google Drive. A app não consegue ver nem alterar nenhum outro ficheiro do teu Drive.

Cada cápsula selada é guardada lá como um ficheiro zip normal com o nome do identificador aleatório da cápsula (a carta, as suas fotos, vídeos, mensagens de voz e «este momento»), não cifrado. A data de abertura e a data em que foi aberta também são guardadas como propriedades do ficheiro. Os rascunhos não são carregados. Uma sincronização começa alguns segundos depois de uma alteração, quando há internet, e cerca de duas vezes por dia. É assim que as tuas cápsulas seladas voltam num telemóvel novo. A app também lê o endereço de e-mail da tua conta só para te mostrar que conta está ligada.

Os dados circulam diretamente entre o teu telemóvel e a Google através de uma ligação encriptada. Não há nenhum outro servidor pelo meio. Ao que fica guardado no teu Drive aplica-se a política de privacidade da própria Google.

Nas Definições podes guardar todas as tuas cápsulas e rascunhos num só ficheiro, no local que escolheres, sem Google. A app não envia este ficheiro para lado nenhum. Se o guardares numa pasta na nuvem, esse serviço é que o armazena.

Sem palavra secreta, o ficheiro não está cifrado: quem o tiver pode ler todas as cartas, também as seladas. Com palavra, está cifrado e é tão seguro quanto for difícil adivinhar a palavra. Se te esqueceres da palavra, ninguém pode abrir o ficheiro.

Restaurar repõe as cápsulas que não estão no telemóvel, e as seladas continuam seladas. As cartas que ainda estão a ser reunidas para um grupo e as palavras dos presentes que enviaste não estão no ficheiro.

A utilização por Kolys das informações recebidas das APIs da Google e a sua transferência para qualquer outra app cumprirão a Política de Dados do Utilizador dos Serviços de API da Google, incluindo os requisitos de utilização limitada (Limited Use).

• Os dados do teu Google Drive são usados apenas para guardar as tuas cápsulas e trazê-las de volta aos teus telemóveis.
• Nunca são vendidos, nunca são usados para anúncios e nunca são partilhados com ninguém.
• Nenhuma pessoa os lê: o programador não tem acesso ao teu Drive nem às tuas cartas.

Para que uma cápsula não possa ser aberta antes do tempo adiantando o relógio do telemóvel, a app pede a hora atual a um servidor web (www.google.com ou www.cloudflare.com) e lê a data da resposta. Volta a pedi-la quando chega o dia de uma cápsula, antes de te avisar. Não é enviado nada sobre ti nem sobre as tuas cápsulas. Como em qualquer pedido web, estes serviços veem o teu endereço IP.

Só quando tocas em “Adicionar a cidade e o tempo” enquanto escreves, a app pede ao Android, uma vez, a tua localização aproximada (nunca a exata). O serviço de localização do Android, normalmente da Google, converte-a no nome de uma cidade, e a app pede ao MET Norway (Instituto Meteorológico da Noruega, api.met.no) o tempo atual, enviando a localização arredondada a cerca de um quilómetro. Na cápsula só ficam guardados o nome da cidade e o tempo; a localização em si não é guardada. Podes sempre deixar isto de fora.

Quando procuras a música do momento, as palavras que escreves são enviadas para o MusicBrainz (musicbrainz.org), uma base de dados de música aberta, para encontrar os nomes das músicas correspondentes. Na cápsula ficam guardados apenas o nome da música, o artista e o ano, nunca capas nem gravações. «Ouvir» passa o nome da música para a app de música do teu telemóvel (ou abre uma pesquisa no YouTube Music), e essa app funciona segundo as suas próprias regras. Também podes simplesmente escrever a música à mão, sem pesquisar.

Uma cápsula para outra pessoa torna-se um único ficheiro que envias tu próprio, na app que escolheres (um mensageiro, e-mail, Google Drive). O programador nunca o recebe. O ficheiro contém a carta com as suas fotos, vídeos, mensagens de voz e “este momento” (sem o nome do telemóvel nem o nível da bateria), e o teu nome, se o indicares. O nome do ficheiro contém o nome que escreveste para o destinatário ou o grupo, que o mensageiro ou o serviço de e-mail podem ver. Os vídeos são enviados tal como estão, o que pode incluir o local onde foram filmados.

Sem palavra secreta, o ficheiro está cifrado, mas a chave é guardada dentro do ficheiro. Isto impede que um amigo o abra antes do tempo por acidente, não quem tiver o ficheiro e alguma habilidade. Se o bloqueares com uma palavra secreta, a chave é gerada a partir da palavra e não está em nenhum ficheiro, por isso o ficheiro é tão seguro quanto for difícil adivinhar a palavra. A palavra fica só no teu telemóvel, para poderes consultá-la outra vez, e nunca vai para o ficheiro, para o teu Google Drive nem para o programador. Só a dica que escreveres pode ser lida antes de desbloquear.

Uma cápsula para um grupo leva também o nome do grupo e os nomes que indicares. Quando um grupo escreve uma cápsula em conjunto, o ficheiro de convite contém a chave do grupo sem cifrar, por isso quem tiver o convite pode ler as cartas enviadas de volta. A carta de cada pessoa vai como ficheiro para quem as recolhe, cifrada com essa chave. Até a cápsula ser selada, as cartas recolhidas ficam como ficheiros normais no armazenamento da app do organizador; a app mostra só quem escreveu, não o quê, e não são copiadas para o Drive.

Depois de o destinatário abrir o ficheiro no Kolys, a cópia dele vive na app dele, sem cifrar como qualquer cápsula e, se a usar, no seu próprio Google Drive. Os ficheiros que enviaste ficam com os destinatários e na app de mensagens ou no serviço de e-mail; apagar uma cápsula no Kolys não os pode recuperar.

A notificação do dia de abertura é agendada no teu telemóvel e espera por ligação à internet, porque a data é verificada primeiro; nada sobre ela é enviado para lado nenhum. «Adicionar ao calendário» abre a app de calendário do teu telemóvel com um evento pronto (o nome da cápsula e a data de abertura). Tu decides se o guardas, e ele fica então guardado pela tua app de calendário. O Kolys não pode ler o teu calendário. O widget do ecrã principal mostra o nome da tua cápsula mais próxima e os dias que faltam; o grande mostra até três cápsulas com uma barra de progresso e as datas de abertura.

Se as verificações automáticas estiverem ativadas (por predefinição estão), a versão do Kolys deste site consulta o site do Kolys (pegasohlib.github.io) à procura de uma versão nova quando abres a app, no máximo uma vez a cada 30 minutos. Não há verificação em segundo plano. Só transfere a atualização do GitHub quando tocas em Atualizar e verifica o SHA-256 do ficheiro antes de instalar. Como qualquer site, o GitHub vê o endereço IP do teu dispositivo; não é enviado mais nada nem dados da app.

Podes desativar as verificações automáticas nas Definições. Quando a app vem do Google Play, é o Google Play que a atualiza.

O GitHub também conta quantas vezes cada ficheiro foi descarregado. É apenas um número, sem nada sobre quem o descarregou; o site mostra-o como um número aproximado de transferências.

• sem contas junto do programador e sem servidores próprios;
• sem análises, sem anúncios, sem rastreio, sem relatórios de falhas enviados para lado nenhum;
• sem venda de dados e sem enviar nada ao programador;
• sem acesso aos teus contactos, ficheiros ou galeria, e sem localização em segundo plano.

Internet

para verificar a data e o estado do tempo, usar o Google Drive, pesquisar músicas e procurar atualizações.

Estado da rede

para esperar pela ligação antes de verificar a data ou sincronizar.

Notificações

o dia da abertura e os lembretes pelo caminho.

Microfone (opcional)

apenas para mensagens de voz, enquanto gravas.

Localização aproximada (opcional)

apenas para a cidade e o estado do tempo, quando pedes.

Vibração

quando uma cápsula se abre.

Instalar apps

para instalar as suas próprias atualizações (apenas na versão deste site).

• Apagar uma cápsula na app remove logo do teu telemóvel a carta, os seus ficheiros, «este momento», os lembretes e a palavra de presente guardada, tenhas ou não sessão iniciada. Só fica uma linha vazia com o identificador aleatório da cápsula até à próxima sincronização. Os restos de versões anteriores são esvaziados quando a versão nova arranca.
• No Google Drive, o zip da cápsula é apagado e fica um pequeno ficheiro com o identificador da cápsula e a terminação .gone. Contém apenas a palavra «gone» e diz aos teus outros telemóveis que apaguem também a cápsula. Uma cápsula que alteraste entretanto noutro telemóvel fica. Uma resposta guarda a sua própria cópia das cartas a que responde, por isso sobrevivem mesmo que a original seja apagada.
• Desinstalar a app apaga tudo o que ela guardou no telemóvel, mas não a cópia no teu Google Drive, nem os ficheiros de cópia que guardaste, nem os ficheiros que enviaste a outras pessoas.
• Para remover a cópia do Drive sem a app: abre o Google Drive na web → Definições → Gerir aplicações → Kolys → Opções → Eliminar dados ocultos da aplicação.
• Podes retirar o acesso da app a qualquer momento em myaccount.google.com/connections.

Se a app começar a fazer algo novo com os dados, esta página será atualizada primeiro, com uma nova data no topo.

Quem é o responsável. A PegasoHlib, uma pessoa singular que desenvolve estas aplicações, é responsável pelos dados descritos aqui. Contacto: support@pegasohlib.com.

Para que se usam os dados, e com que fundamento jurídico.

Fazer a aplicação funcionar, e a cópia de segurança ou sincronização que ativares

Contrato: necessário para fornecer o que pediste (RGPD, art. 6.º, n.º 1, alínea b))

Cidade e meteorologia, pesquisa de músicas

Consentimento: podes desativá-lo a qualquer momento (art. 6.º, n.º 1, alínea a))

Verificação de atualizações e segurança

Interesse legítimo: manter a aplicação segura e atualizada (art. 6.º, n.º 1, alínea f))

Um e-mail que envias

Interesse legítimo: responder-te (art. 6.º, n.º 1, alínea f))

Quem os recebe, e transferências para fora da UE. Google (o teu Drive, o serviço de moradas do Android na maioria dos telemóveis e a verificação da hora), Cloudflare (a verificação da hora), MET Norway (meteorologia), MusicBrainz (pesquisa de músicas) e GitHub (verificação de atualizações e transferências). O e-mail que envias passa pela Cloudflare e a Google guarda-o numa caixa do Gmail, e a Anthropic pode tratá-lo quando um assistente de IA ajuda a lê-lo. Algumas destas empresas estão sediadas nos Estados Unidos ou noutros países fora da UE. Essas transferências baseiam-se no Quadro de Proteção de Dados UE-EUA, quando a empresa participa nele, ou nas cláusulas contratuais-tipo da empresa.

Durante quanto tempo são conservados. Os dados na aplicação ficam até os apagares ou removeres a aplicação. As cópias no teu próprio armazenamento na nuvem ficam até as apagares. Os e-mails que enviares são conservados até o assunto ficar encerrado, e no máximo durante 2 anos.

Os teus direitos. Podes pedir o acesso aos teus dados, a retificação, o apagamento, a limitação do tratamento e uma cópia para levares para outro lado (portabilidade), e podes opor-te ao tratamento ou retirar o consentimento a qualquer momento. Escreve para o endereço acima. Receberás uma resposta no prazo de um mês. A maior parte dos dados está apenas no teu dispositivo, por isso normalmente podes fazê-lo diretamente na aplicação.

Reclamações. Podes apresentar reclamação à autoridade de proteção de dados do teu país.

Idade. Tens de ter pelo menos 15 anos para utilizar a aplicação por conta própria. Se tiveres menos, pede primeiro o consentimento de um pai, uma mãe ou um tutor.

Língua. As traduções desta política são feitas com a ajuda de IA. Se uma tradução diferir do texto em inglês, aplica-se a versão que for mais favorável para ti.

Questões sobre privacidade: support@pegasohlib.com.