Política de privacidade

Política de Privacidade da Kithora

Bem-vindo à Kithora. Acreditamos que os seus momentos privados, planos e dados pertencem a você. É por isso que desenvolvemos a Kithora como uma aplicação Local-First. Ao contrário das aplicações cloud convencionais, não armazenamos os seus dados pessoais em servidores centrais para os analisar ou vender. O seu dispositivo é o seu cofre.

Esta política de privacidade explica como recolhemos, utilizamos e protegemos os dados quando utiliza a nossa aplicação móvel e o nosso website. O responsável pelo tratamento no âmbito do RGPD é:

Arndt Lehmann
Glück-Auf-Straße 41, 09394 Hohndorf, Alemanha
E-mail: [email protected]

1. O princípio Local-First e o armazenamento de dados

A Kithora baseia-se numa arquitetura descentralizada. Isso significa:

• Sem contas: Não precisa de criar uma conta de utilizador com e-mail ou número de telefone. Não conhecemos a sua identidade.
• Armazenamento local: Todo o conteúdo (Koras, Steps, finanças, fotos) é armazenado principalmente de forma local no seu dispositivo.
• Cópias de segurança encriptadas: Os seus dados são encriptados e armazenados na nossa infraestrutura de sincronização para que possa restaurá-los num novo dispositivo. Não temos acesso ao conteúdo não encriptado.

Base legal: Art. 6.º n.º 1 alínea b) RGPD (execução do contrato) — o armazenamento local e a sincronização encriptada são componentes essenciais do serviço que utiliza.

2. Sincronização e encriptação

Para trocar dados entre diferentes dispositivos (p. ex., dentro de um grupo), a Kithora utiliza uma infraestrutura de sincronização encriptada.

• Apenas dados encriptados: Os nossos servidores de sincronização funcionam como mensageiros cegos. Armazenam e transmitem pacotes de dados encriptados sem conseguir ler o conteúdo.
• Encriptação de ponta a ponta (E2E): Todos os dados que saem do seu dispositivo estão encriptados. Apenas os dispositivos do seu grupo (Kith) possuem a chave para os desencriptar.
• Armazenamento persistente: Os dados encriptados são armazenados nos nossos servidores para possibilitar a sincronização entre dispositivos e a restauração em novos dispositivos. Uma vez que os dados estão encriptados de ponta a ponta, nem nós nem terceiros podemos ler o conteúdo.

Base legal: Art. 6.º n.º 1 alínea b) RGPD (execução do contrato).

3. Alojamento e registos do servidor

O nosso website e serviços são operados em servidores próprios ou alugados dentro da UE. Cada vez que o nosso website ou serviços de aplicação são acedidos, os seguintes dados são automaticamente registados nos ficheiros de registo do servidor:

• Endereço IP do dispositivo que acede
• Data e hora do acesso
• URL/ponto de acesso solicitado
• Volume de dados transferidos
• Tipo e versão do navegador (para acesso web)
• Sistema operativo

Estes dados são processados exclusivamente para garantir um funcionamento sem problemas, detetar e prevenir ataques e para otimização técnica. Não são combinados com outras fontes de dados. Os ficheiros de registo são automaticamente eliminados após 30 dias.

Base legal: Art. 6.º n.º 1 alínea f) RGPD (interesse legítimo na segurança e estabilidade do serviço).

Não são utilizados serviços CDN externos (Content Delivery Networks). Todos os recursos necessários para o website (fontes, scripts, folhas de estilo) são servidos diretamente a partir do nosso próprio servidor. Assim, não ocorre qualquer transferência de dados para servidores de terceiros.

4. Cookies

O nosso website utiliza apenas cookies tecnicamente necessários:

• Cookie de sessão: Utilizado para associar a sua sessão e é eliminado quando fecha o navegador.
• Cookie de token CSRF: Protege os formulários contra ataques de falsificação de pedidos entre sites. Eliminado quando fecha o navegador.
• Cookie de idioma: Armazena o idioma que selecionou ativamente para que o website seja mostrado no mesmo idioma em visitas futuras. Duração: 1 ano. Este cookie só é definido quando seleciona ativamente um idioma.

Estes cookies são estritamente necessários para o funcionamento do website. Não são utilizados cookies de rastreamento, análise ou publicidade. Por isso, não é necessário um consentimento separado.

Nota: Esta informação sobre cookies aplica-se exclusivamente ao nosso website. A aplicação móvel em si não utiliza quaisquer cookies ou tecnologias de rastreamento.

Base legal: Art. 6.º n.º 1 alínea f) RGPD (interesse legítimo) em conjugação com o § 25 n.º 2 n.º 2 TDDDG (cookies tecnicamente necessários).

5. Subscrições e compras (RevenueCat)

Para gerir subscrições (Kithora Premium, patrocínio Hero) e compras na aplicação, utilizamos o serviço RevenueCat, Inc., 633 Tarava St Ste 101, San Francisco, CA 94116, EUA.

• ID de dispositivo anónimo: Para verificar e restaurar o seu estado de compra (p. ex., «Free», «Premium», «Hero»), transmitimos um ID de dispositivo anonimizado ou um ID de utilizador de aplicação gerado para a RevenueCat.
• Sem dados pessoais: Não transmitimos nomes, endereços de e-mail ou conteúdo das suas Koras à RevenueCat.
• O processamento de pagamentos é realizado inteiramente através do Google Play Store ou Apple App Store. A Kithora não armazena dados de cartão de crédito.

Base legal: Art. 6.º n.º 1 alínea b) RGPD (execução do contrato — fornecimento e gestão da sua subscrição).

Transferência para países terceiros: A RevenueCat tem sede nos EUA. A transferência de dados é efetuada com base no Quadro de Privacidade de Dados UE-EUA (Art. 45.º RGPD), na medida em que a RevenueCat esteja certificada, e adicionalmente com base em cláusulas contratuais padrão (Art. 46.º n.º 2 alínea c) RGPD). A RevenueCat processa exclusivamente IDs de dispositivo anonimizados; não é possível estabelecer uma referência pessoal para a RevenueCat.

6. Utilização de Inteligência Artificial (IA)

A Kithora oferece funcionalidades opcionais de IA (p. ex., análise de PDF de listas de tripulação, planeamento de viagens, otimização de orçamento). O processamento é efetuado através de fornecedores externos de IA. A Kithora seleciona automaticamente o fornecedor adequado para o seu pedido.

6.1 Fornecedores de IA utilizados

• Google (Alphabet Inc.) — Sede: Mountain View, CA, EUA.
• OpenAI, Inc. — Sede: San Francisco, CA, EUA.
• Anthropic, PBC — Sede: San Francisco, CA, EUA.
• Moonshot AI (Beijing Moonshot Technology Co., Ltd.) — Sede: Pequim, China.
• Z-AI — Sede: China.

6.2 Processamento de dados

• Processamento: Quando utiliza uma funcionalidade de IA, os dados relevantes (p. ex., o texto de um PDF carregado ou os seus dados de orçamento) são enviados ao fornecedor correspondente para processamento.
• Sem treino: Os dados transmitidos são utilizados exclusivamente para satisfazer o seu pedido. Não são armazenados de forma permanente e não são utilizados para treinar modelos de IA (Zero Data Retention para utilização de API).
• Transparência: As análises de IA só ocorrem quando ativa uma funcionalidade correspondente (p. ex., «Digitalizar manifesto» ou «Otimizar orçamento»).
• Encaminhamento automático: A Kithora seleciona automaticamente o fornecedor ótimo com base na disponibilidade e adequação. Não seleciona o fornecedor por si próprio.

Base legal: Art. 6.º n.º 1 alínea a) RGPD (consentimento) — ativa o processamento de IA de forma ativa e voluntária em cada caso.

6.3 Transferência para países terceiros

• EUA (Google, OpenAI, Anthropic): A transferência de dados é efetuada com base em cláusulas contratuais padrão (Art. 46.º n.º 2 alínea c) RGPD). Os três fornecedores estão também sujeitos ao Quadro de Privacidade de Dados UE-EUA.
• China (Moonshot AI, Z-AI): A transferência de dados é efetuada com base em cláusulas contratuais padrão (Art. 46.º n.º 2 alínea c) RGPD). Alertamos para o facto de não existir na China um nível adequado de proteção de dados reconhecido pela Comissão Europeia. Os dados são utilizados exclusivamente para o processamento de pedidos e não são armazenados de forma permanente.

7. Permissões da aplicação

Para que a Kithora funcione, precisamos de acesso a determinadas funções do seu dispositivo:

• Câmara: Para digitalizar e fotografar recibos e documentos. Apenas a seu pedido.
• Biblioteca de fotos: Para carregar fotos para a Chronik ou para análises de IA. Apenas a seu pedido.
• Notificações: Para notificações push opcionais sobre atividades do grupo.

Base legal: Art. 6.º n.º 1 alínea a) RGPD (consentimento) — concede a permissão correspondente de forma ativa através do seu sistema operativo.

8. Serviços de terceiros

A Kithora utiliza os seguintes fornecedores terceiros:

• RevenueCat, Inc. (San Francisco, EUA): Gestão de subscrições (ver secção 5).
• Google (Alphabet Inc.) (Mountain View, EUA): Fornecedor de IA para funcionalidades opcionais de IA (ver secção 6).
• OpenAI, Inc. (San Francisco, EUA): Fornecedor de IA para funcionalidades opcionais de IA (ver secção 6).
• Anthropic, PBC (San Francisco, EUA): Fornecedor de IA para funcionalidades opcionais de IA (ver secção 6).
• Moonshot AI (Beijing Moonshot Technology Co., Ltd.) (Pequim, China): Fornecedor de IA para funcionalidades opcionais de IA (ver secção 6).
• Z-AI (China): Fornecedor de IA para funcionalidades opcionais de IA (ver secção 6).
• Apple App Store / Google Play Store: Para o processamento de pagamentos de subscrições e compras na aplicação. As políticas de privacidade da Apple e da Google aplicam-se adicionalmente.

9. Os seus direitos (Arts. 15.º-21.º, 77.º RGPD)

Tem os seguintes direitos relativamente aos seus dados pessoais:

• Direito de acesso (Art. 15.º RGPD): Tem o direito de solicitar informações sobre os dados pessoais que processamos.
• Direito de retificação (Art. 16.º RGPD): Tem o direito de solicitar a correção de dados incorretos.
• Direito ao apagamento (Art. 17.º RGPD): Tem o direito de solicitar a eliminação dos seus dados, desde que não existam obrigações legais de conservação.
• Direito à limitação do tratamento (Art. 18.º RGPD): Tem o direito de solicitar a limitação do tratamento dos seus dados.
• Direito à portabilidade dos dados (Art. 20.º RGPD): Tem o direito de receber os seus dados num formato estruturado, de uso corrente e de leitura automática.
• Direito de oposição (Art. 21.º RGPD): Tem o direito de se opor a qualquer momento ao tratamento dos seus dados por razões relacionadas com a sua situação particular, desde que o tratamento se baseie no Art. 6.º n.º 1 alínea f) RGPD.

Uma vez que a Kithora é uma aplicação Local-First e não armazena dados pessoais em servidores centrais que possam ser associados a si, os pedidos clássicos de acesso ou eliminação são geralmente desnecessários. Os seus dados estão encriptados — apenas você e o seu grupo os podem desencriptar. Se eliminar a aplicação, os dados locais são removidos do seu dispositivo.

Para exercer os seus direitos, contacte: [email protected]

10. Direito de reclamação junto da autoridade de controlo

Tem o direito, nos termos do Art. 77.º RGPD, de apresentar uma reclamação junto de uma autoridade de controlo de proteção de dados se considerar que o tratamento dos seus dados pessoais é ilícito. A autoridade de controlo competente para nós é:

Sächsischer Datenschutz- und Transparenzbeauftragter
Devrientstraße 5
01067 Dresden
Telefone: +49 351 85471-101
Website: www.datenschutz.sachsen.de

11. Crianças

A Kithora não se destina a crianças com menos de 16 anos. Uma vez que não recolhemos contas, não podemos verificar a idade dos utilizadores. A utilização por menores é da responsabilidade dos pais ou tutores legais.

12. Alterações a esta política de privacidade

Reservamo-nos o direito de adaptar esta política de privacidade quando a aplicação ou o enquadramento legal se alterar. Encontrará sempre a versão atual na aplicação e no nosso website.

13. Contacto

Arndt Lehmann
Glück-Auf-Straße 41, 09394 Hohndorf
E-mail: [email protected]