Política de Privacidade

Esta política explica, em linguagem clara, que dados a aplicação Spice My Date ("a App", "nós") trata, onde ficam, quanto tempo duram e o que podes controlar. A Spice My Date é desenvolvida pela generictec, responsável pelo tratamento nos termos do RGPD (Regulamento (UE) 2016/679).

1. Resumo em 30 segundos

• Os encontros que planeias, as pessoas e as respostas sobre elas ficam no teu telemóvel e não são enviados para os nossos servidores.
• Uma espreitadela leva apenas quando é o encontro, o título de cada ideia e as fotos que juntares, sem os dados de localização. É selada no teu telemóvel para a chave da tua cara-metade, e não a conseguimos abrir. Desaparece depois de vista e, se ninguém a abrir, o servidor apaga-a ao fim de 10 dias.
• Um pedido de emparelhamento pode ser aceite durante 2 dias, e o registo desse pedido é apagado no máximo 30 dias depois de criado. São dois prazos diferentes, para dados diferentes.
• A verificação de idade corre antes de existir conta, e a data de nascimento fica no teu perfil.
• Usamos análise anónima e agregada para melhorar a App, e podes desligá-la no teu perfil. Não há anúncios na App.

2. Conta e perfil

Para usar a App precisas de conta. Podes criá-la com email e palavra-passe, ou entrar com Google ou Apple. A autenticação é feita pelo Firebase Authentication, que trata o email e as credenciais.

No teu perfil podes ainda guardar, se quiseres: um nome, uma fotografia de perfil, um número de telefone e um país. O nome e o país servem para a tua cara-metade saber quem és; o número de telefone é apenas um contacto que escreves, nunca é verificado e, como código irreversível, permite que a tua cara-metade te encontre, e nenhum destes campos é obrigatório. A data de nascimento que indicas na verificação de idade fica também no teu perfil, para ajustar as ideias à tua idade. A fotografia de perfil é guardada no teu telemóvel sem os metadados EXIF, incluindo a localização, e, quando há armazenamento configurado, também enviada para o nosso armazenamento para que a tua cara-metade a possa ver. Guardamos também a tua escolha quanto a receber comunicações do produto.

O que fica só no teu telemóvel. Os encontros que planeias, as pessoas com quem os planeias, as respostas sobre cada uma e a contagem dos encontros da semana são guardados apenas no dispositivo. Não são enviados para os nossos servidores nem sincronizados entre telemóveis, e Definições → Apagar todos os dados apaga-os.

Se ativares o bloqueio da app, o PIN é guardado no telemóvel apenas como um hash com sal, nunca o PIN em si, e o desbloqueio por biometria é feito pelo próprio sistema. Nada disto sai do dispositivo.

3. Emparelhamento e o pedido

Podes usar a App sem emparelhar. Para enviar espreitadelas e ver a mesma ideia da semana, emparelhas o teu telemóvel com o da tua cara-metade. Um de vocês envia um pedido de emparelhamento, e o outro aceita-o ou recusa-o na App. A partir daí as duas contas ficam ligadas, e cada lado publica a sua chave pública para que o outro lhe possa selar conteúdo. A chave privada nunca sai do dispositivo: não é exportada, copiada nem entregue a ninguém, nem a nós.

Encontrar a tua cara-metade. Em Casal, escolhes a tua cara-metade nos contactos ou pelo número de telefone ou email. Os teus contactos só são lidos se quiseres, e apenas no telemóvel. Cada número e cada email é transformado no telemóvel num código irreversível, um hash com sal, e só esse código é enviado para procurar uma correspondência. A verificação é feita no momento e o código não fica guardado. Para que a tua cara-metade te possa encontrar, guardamos com o identificador da tua conta um código irreversível do teu número de telefone, e do teu email se o serviço com que entras o tiver verificado, sem nome e sem chave. Esse código é apagado com a tua conta.

O pedido tem dois prazos, e importa distingui-los:

• pode ser aceite durante 2 dias; passado esse tempo deixa de funcionar e é preciso enviar outro;
• o registo do pedido é apagado no máximo 30 dias depois de ter sido criado, tenha sido aceite ou não.

Uma conta emparelha com uma só pessoa de cada vez. Qualquer um dos dois pode desfazer o emparelhamento sozinho, sem precisar da autorização do outro. Quando isso acontece, tudo o que ainda não tenha sido aberto é destruído nesse momento: a destruição acontece antes de o emparelhamento ser desfeito, para que nada fique guardado atrás de uma ligação que já não existe. Os dois lados são avisados e ficam livres para emparelhar de novo.

4. Espreitadelas

Depois de planeares um encontro, podes enviar à tua cara-metade uma espreitadela: quando é o encontro e o título de cada ideia, nunca os detalhes, e até cinco fotos se as juntares. As fotos seguem sem os dados de localização e são seladas no teu telemóvel. O que acontece a esse conteúdo:

• é selado no teu telemóvel para a chave pública da tua cara-metade (X25519 → HKDF → AES-256-GCM) antes de sair do dispositivo;
• a nossa infraestrutura guarda e entrega apenas bytes opacos que não temos como abrir;
• só abre no telemóvel de quem o recebe, e no Android o ecrã da espreitadela bloqueia capturas de ecrã e gravação de ecrã; o iPhone não dá a uma app um controlo equivalente, por isso não o prometemos aí;
• é destruído depois de visto;
• e, aconteça o que acontecer, é apagado do servidor ao fim de 10 dias a contar da criação.

Uma espreitadela que expire antes de ser aberta pode ser reaberta uma vez com uma compra única (secção 11), antes de ser apagada, o que acontece no máximo 10 dias depois de enviada. Nada muda no conteúdo: continua selado, é destruído depois de visto e apagado do servidor no máximo 10 dias depois de criado.

Não existe álbum nem histórico. Nada é arquivado, exportado ou reenviado, pelo que o apagamento é o caminho normal e não um pedido que tenhas de fazer.

5. Verificação de idade

Antes de existir qualquer conta, a App pede-te a data de nascimento numa única verificação. A verificação corre antes de criares conta: se passas, a data de nascimento fica no teu perfil (secção 2). Quem não passa na verificação não deixa qualquer rasto: não há conta, não há registo e não há evento de análise.

Esta verificação é uma medida de política nossa, não um mecanismo de verificação de identidade ou de idade.

6. Análise e o identificador de publicidade

Usamos o Firebase Analytics para perceber como a App é usada. O que é recolhido é utilização do produto: contagens, nomes de eventos de um vocabulário fixo e um contador de dias. Nunca os teus encontros, as ideias, as respostas sobre uma pessoa, o conteúdo de uma espreitadela ou a identidade da tua cara-metade. A análise está ligada por defeito e podes desligá-la no teu perfil; desligada, a App deixa de guardar um identificador de análise e o Firebase recebe apenas sinais agregados, sem esse identificador.

Identificador de publicidade (Android). A App inclui o Firebase Analytics, que junta ao pacote a permissão do identificador de publicidade (com.google.android.gms.permission.AD_ID); não a removemos do manifesto. Em execução, a recolha desse identificador está desligada e ambos os sinais de consentimento de publicidade, dados de utilizador para publicidade e personalização de anúncios, são sempre recusados. Não o usamos para publicidade nem o partilhamos com redes de anúncios. É exatamente isto que declaramos no formulário de Segurança dos Dados do Google Play.

Autorização de seguimento (iOS). No iPhone, a App pede-te autorização através da App Tracking Transparency antes de a análise arrancar. Porque esse pedido existe, as respostas de Privacidade da App na App Store assinalam os dados recolhidos como podendo ser usados para te seguir. Na prática, o que recolhemos continua a ser utilização do produto, e podes recusar no pedido do sistema ou no teu perfil, na App.

7. Integridade da app

A App envia ao nosso backend um atestado de integridade (Firebase App Check), fornecido pelo sistema operativo, que serve para confirmar que o pedido vem de uma instalação genuína da App e não de um script. Não é um identificador do utilizador, não te segue entre apps e não é usado para publicidade.

8. Notificações

Se autorizares notificações, guardamos o token de notificação do teu dispositivo, associado à tua conta, para te avisar quando a tua cara-metade te envia uma espreitadela. O token não contém o conteúdo da espreitadela, e a notificação também não.

O lembrete do encontro da semana é diferente: é agendado no próprio telemóvel, para quinta-feira às 19:00, se ainda não marcaram a ideia da semana como feita, e não envia nada para nenhum servidor. Só existe se estiveres numa relação e tiveres as notificações ligadas. Podes retirar a autorização a qualquer momento nas definições do telemóvel.

9. Bloquear e denunciar

Podes bloquear e denunciar quem te enviou uma espreitadela, a partir do ecrã onde a abres. Um bloqueio é aplicado no teu telemóvel e também registado do lado do servidor, para que quem está bloqueado não te consiga enviar nada, mesmo a partir de um cliente alterado.

Uma denúncia cria um registo com o essencial para a analisarmos. Como a nossa infraestrutura só tem conteúdo selado, o que é anexado a uma denúncia é a cópia que o teu próprio telemóvel já tinha aberto: é a única versão legível que existe. As denúncias só podem ser escritas pela App: nenhuma instalação as consegue ler de volta, incluindo as suas próprias.

10. Cookies neste website

Este website usa o Google Analytics 4 em modo de consentimento. Até escolheres, o armazenamento fica recusado e o GA4 envia apenas medições agregadas sem cookies. Se aceitares, são criados os cookies _ga e _ga_<id> para estatísticas de utilização. Podes mudar de ideias a qualquer momento na ligação Cookies no rodapé.

11. Pagamentos e subscrições

O Premium é uma subscrição vendida e faturada pela App Store ou pelo Google Play, com apoio do RevenueCat para saber se a tua conta tem ou não a subscrição ativa. Nunca recebemos nem guardamos dados do teu cartão. Recebemos apenas o estado da subscrição, que o nosso servidor regista a partir de uma notificação do RevenueCat.

Enquanto estiverem emparelhados, a App da tua cara-metade lê se a tua subscrição está ativa e até quando, nunca dados de pagamento, para aplicar o Premium aos encontros que planeiam a dois. Isso deixa de acontecer quando desfazem o emparelhamento ou quando a subscrição termina. A subscrição continua ligada à conta da loja de quem a comprou.

Reabrir uma espreitadela expirada é uma compra única, vendida e faturada pela App Store ou pelo Google Play ao preço que aí aparece. Não é uma subscrição e não altera o teu estado Premium. Tal como na subscrição, nunca recebemos nem guardamos dados do teu cartão. Recebemos apenas a confirmação de que a compra está ativa, para reabrir essa espreitadela.

12. Permissões do dispositivo

• Câmara - para tirares a fotografia de perfil, se quiseres, ou uma foto para uma espreitadela. A captura é feita no dispositivo.
• Fotografias - para escolheres uma fotografia já existente, para o perfil ou para uma espreitadela.
• Notificações - para te avisar quando chega uma espreitadela, e para o lembrete do encontro da semana.
• Biometria - só se ativares o desbloqueio por biometria no bloqueio da app. A verificação é feita pelo sistema, e a App só fica a saber se correu bem.

A App não pede localização, só lê a tua lista de contactos se quiseres procurar aí a tua cara-metade e não acede a nenhum outro conteúdo do telemóvel. Podes recusar ou retirar qualquer permissão nas definições do sistema.

13. Com quem partilhamos dados

Não vendemos dados e não partilhamos dados para publicidade. Recorremos apenas a subcontratantes necessários para o serviço funcionar: Google Firebase (autenticação, base de dados, armazenamento, notificações, análise e integridade), RevenueCat (estado das subscrições) e as lojas Apple App Store e Google Play (pagamentos). Podemos ainda divulgar dados quando a lei o exigir.

A App descarrega da nossa base de dados as ideias e os packs publicados, para que cheguem novidades sem atualizares a App. Esse pedido não envia dados teus além da sessão com que entraste.

14. Apagar a tua conta

Podes apagar a conta dentro da App: no Perfil, abre o menu ⋮ e escolhe Apagar conta. Por segurança pedimos que confirmes a tua identidade imediatamente antes (a palavra-passe, ou o Google/Apple com que entraste). Ao apagar a conta, por esta ordem:

• o emparelhamento é desfeito, destruindo tudo o que ainda não tenha sido aberto de qualquer dos lados;
• são apagados a conta de autenticação e o teu registo de utilizador com o nome, telefone, data de nascimento, país, fotografia de perfil e token de notificações;
• a tua chave de encriptação e o teu perfil são removidos deste telemóvel.

Não há período de recuperação: passado esse momento não conseguimos devolver-te nada, nem tu nem nós. As denúncias já apresentadas por outra pessoa mantêm-se, porque não são tuas e não podem ser reconstruídas. Os encontros e as pessoas que planeaste ficam no telemóvel até usares Definições → Apagar todos os dados, que também serve para limpar o telemóvel sem apagar a conta.

15. Os teus direitos (RGPD)

Tens direito de acesso, retificação, apagamento, limitação, portabilidade e oposição relativamente aos dados que tratamos (conta, perfil, dados do emparelhamento, estado da subscrição, análise anónima), bem como o direito de retirar consentimentos. Como os teus encontros ficam no teu telemóvel e as espreitadelas nunca nos são acessíveis, a maior parte do controlo está diretamente contigo, na App. Para exerceres estes direitos, escreve para info@spicemydate.app. Tens também o direito de apresentar reclamação à autoridade de controlo competente (em Portugal, a CNPD).

16. Idade mínima

A Spice My Date destina-se a maiores de 17 anos. Não se destina a crianças e não recolhemos conscientemente dados de menores. Se soubermos que uma conta foi criada por alguém abaixo da idade mínima, apagamo-la.

17. Alterações a esta política

Podemos atualizar esta política para refletir melhorias na App ou alterações legais. Publicaremos a versão revista nesta página, com a data de "Última atualização" no topo. Alterações relevantes serão assinaladas na App.

18. Contacto

Responsável pelo tratamento: generictec. Para qualquer questão sobre privacidade, escreve para info@spicemydate.app.