Política de privacidade
O FamilyPin serve para que os membros de uma família vejam onde está cada um. Foi feito para saber o mínimo possível sobre ti: não há contas, e o que partilhas é encriptado no teu telemóvel antes de sair dele.
Responsável pelo tratamento
O FamilyPin é desenvolvido por Paco Velasco, particular, residente em Espanha. Contacto: familypin.antihero412@passinbox.com.
Sem contas
Não te pedimos e-mail, número de telefone nem palavra-passe. Quando abres a app pela primeira vez, o telemóvel recebe um identificador aleatório (início de sessão anónimo do Firebase), que não está ligado à tua identidade. Para entrar numa família é preciso um convite de utilização única (link ou QR) que expira em 24 horas.
O que é partilhado e como é protegido
Quando se cria uma família, o teu telemóvel gera uma chave que só os telemóveis dessa família têm. Com ela é encriptado (XChaCha20-Poly1305) tudo o que partilhas antes de ser enviado. O servidor guarda esses dados, mas não tem a chave para os ler; nós também não. Esta proteção pressupõe que o serviço não interfere quando os telemóveis da família passam a chave uns aos outros.
| Dado | Para quê | Quem o pode ler |
|---|---|---|
| O teu nome na família e o nome da família | Para os outros saberem quem é quem | A tua família |
| Localização aproximada e precisa, também com a app fechada (a cada 100 m ou 5 min) | Mostrar-te no mapa da tua família | A tua família |
| Nível de bateria e se está a carregar | Para a tua família saber se vais ficar sem bateria | A tua família |
| Locais (nome, posição, raio), chegadas e saídas | Alertas do tipo «chegou a Casa» | A tua família |
| Percurso das últimas 24 horas | Ver a rota do dia | Só quem tu escolheres (por omissão, o responsável e os admins) |
| Percursos de dias anteriores | Ver rotas passadas | Guardados só no teu telemóvel (90 dias). Se alguém com permissão os pedir, o teu telemóvel envia-os encriptados só para essa pessoa |
| Token de notificações do telemóvel | Avisar de imediato a tua família | A tua família (é guardado encriptado) e, para entregar os avisos, a Expo e o Firebase Cloud Messaging |
O que o servidor vê
Para que a app funcione, o servidor (Google Firebase) vê sem encriptação: os identificadores aleatórios de cada telemóvel e de cada família, a função de cada membro (responsável, admin ou membro), a data de entrada na família, a chave pública de cada telemóvel, as datas de expiração dos dados e, quando alguém pede uma rota antiga, entre que dois identificadores é o pedido. Vê também:
- Quando e com que frequência cada telemóvel envia dados, o que revela quando um telemóvel está em movimento e quando acontece alguma coisa, como uma chegada.
- O tamanho dos dados encriptados.
- Que membro escreveu cada alerta e cada local.
- Quem pode ver as rotas de quem.
- Quem criou cada convite e quem o usou.
Como qualquer serviço de Internet, vê também o endereço IP a partir do qual o telemóvel se liga. Não consegue ler nomes, localizações, rotas nem o conteúdo dos locais e dos alertas.
Durante quanto tempo são guardados
- A localização em direto: só a última, que é substituída a cada envio.
- O percurso do dia: as últimas 24 horas.
- Os alertas de chegadas e saídas: 30 dias.
- Os pedidos de rotas antigas: 1 hora.
- Os convites: 24 horas ou até serem usados.
- Os percursos de dias anteriores, no teu telemóvel: 90 dias.
Quando um dado expira, o serviço apaga-o automaticamente no prazo de cerca de um dia. Os percursos de dias anteriores ficam guardados só no teu telemóvel, e a app exclui os seus dados da cópia de segurança na nuvem do Android.
Quando sais da família ou alguém te remove, são apagados do servidor o teu perfil, a tua localização, o teu percurso das últimas 24 horas e a tua cópia da chave da família, e o teu telemóvel apaga as suas chaves e os percursos guardados (se foste removido, da próxima vez que a app se ligar). A chave da família é alterada para que não consigas ler nada de novo. Os alertas e os locais que escreveste continuam na família até expirarem ou até alguém os apagar (os alertas expiram ao fim de 30 dias).
Quando o responsável apaga a família, a app apaga do servidor, nesse momento, tudo o que é dessa família: as localizações em direto, os locais, os alertas, os percursos das últimas 24 horas, os pedidos de rotas pendentes, os convites, as cópias encriptadas da chave, o registo de cada membro e a própria família. O telemóvel de cada um dos outros membros apaga a sua cópia (as chaves e os percursos guardados) da próxima vez que a app se ligar.
Serviços de terceiros
- Google Firebase (Firestore na União Europeia, região europe-west1, e início de sessão anónimo): guarda os dados encriptados. Privacidade do Firebase.
- Expo e Firebase Cloud Messaging: entregam aos telemóveis da tua família um aviso silencioso para que verifiquem se há novidades. Para isso recebem o identificador aleatório da família, os tokens de notificações dos telemóveis da família e a hora a que cada aviso é enviado. Privacidade da Expo.
- OpenFreeMap: fornece as imagens do mapa (dados © contribuidores do OpenStreetMap). Para mostrar o mapa, o teu telemóvel pede-lhe a zona que estás a ver, por isso o OpenFreeMap vê o teu endereço IP e essa zona, que normalmente fica à volta de onde está a tua família.
Não há publicidade, nem análise, nem rastreamento, e não vendemos nem cedemos dados a ninguém.
Permissões do telemóvel
- Localização, também em segundo plano: para que a tua família te veja mesmo sem teres a app aberta e para detetar chegadas e saídas dos locais. Podes pausar o envio na app (interruptor «Partilhar a minha localização» no separador Família) ou retirar a permissão nas definições do telemóvel.
- Câmara: só para ler o QR de um convite. As imagens não são guardadas nem enviadas.
- Notificações: para os alertas da tua família.
Menores
O FamilyPin não se destina a menores de 13 anos. Quando um menor o usa dentro da sua família, é a mãe, o pai ou o tutor quem o convida e decide o que partilha. Não pedimos nenhum dado que o identifique.
Os teus direitos
Podes ver, corrigir e apagar os teus dados na própria app: mudar o teu nome, pausar a localização, escolher quem vê as tuas rotas, sair da família ou apagá-la. Como não temos forma de saber quem és nem de ler os teus dados, não o podemos fazer por ti, mas podes escrever-nos para familypin.antihero412@passinbox.com com qualquer dúvida. Também podes apresentar reclamação à autoridade espanhola de proteção de dados, a Agencia Española de Protección de Datos (aepd.es), competente porque o responsável reside em Espanha, ou à autoridade do teu país (em Portugal, a CNPD). Como apagar os teus dados, passo a passo: Apagar os teus dados.
Fundamento jurídico
Tratamos os dados porque tu o pedes ao entrar numa família e ativar a localização (consentimento e prestação do serviço). Podes retirar o consentimento a qualquer momento pausando a localização ou saindo da família.
Alterações
Se esta política mudar, atualizaremos a data acima e, se a alteração for importante, avisaremos na app.