Privacidade – Nuvemconto

1. Controlador

Christian Hermann & Martina Hermann GbR, An Rainen 3, 72525 Münsingen, Alemanha; e-mail: apps@bitbeans.de.

2. Dados tratados

O Nuvemconto não precisa de conta e não pede nome, data de nascimento nem foto. No aparelho, o app salva apenas o perfil de leitura que os pais configuram (idioma das histórias, faixa etária, nível de leitura, ajuda com sílabas e foco de leitura), as histórias favoritas, quais histórias foram ouvidas por último e a pausa do controle dos pais. Essas informações não saem do aparelho, com uma exceção: para um pedido na oficina de histórias, o app envia idioma, faixa etária e nível de leitura ao nosso servidor (detalhes e prazos na seção sobre a oficina de histórias).

O app baixa as histórias como pacotes de texto, voz de leitura e imagens do nosso servidor, e as salva no aparelho; depois elas funcionam sem internet. Nas histórias gratuitas, nenhum identificador, perfil nem dado de leitura é enviado no download. Ao baixar uma história paga, o app envia também o identificador aleatório da verificação de compra (veja abaixo) e um token de sessão, para que o servidor verifique se o acesso está liberado; mesmo assim, perfil e dados de leitura não são enviados. Como em qualquer acesso na internet, o servidor conhece tecnicamente o endereço IP. A voz de leitura do controle dos pais vem incluída no app e não precisa de rede.

Para verificar compras, o app se conecta ao nosso servidor, com um identificador aleatório criado só para isso, e envia para lá o comprovante de compra da loja com a plataforma e o produto. O identificador fica no armazenamento seguro do aparelho; ele não contém nome nem endereço de e-mail e não é um identificador de publicidade nem do aparelho. Não recebemos nomes, dados de conta nem dados de pagamento.

Para que possamos encontrar erros e melhorar o app, ele envia poucos eventos fixos, sem nenhum identificador, como contagens diárias anônimas: o início, o pulo e a conclusão da introdução, da primeira à terceira história iniciada e ouvida até o fim, a abertura da página de compra e o toque no botão de compra em cada lugar fixo, além de uma compra concluída, uma faixa aproximada do tempo de abertura e se um pedido de avaliação pôde ser mostrado. Cada aviso contém apenas o nome do evento, uma etapa fixa ou um motivo fixo, a plataforma, a versão do app, o idioma do app e das histórias e a origem da instalação (instalação pela loja ou de teste). No fluxo de compra e restauração, somam-se eventos fixos de compra com a etapa do fluxo, um motivo de erro fixo e o produto; o app envia esses eventos de compra com o identificador de convidado aleatório da verificação de compras, enquanto as demais contagens não levam identificador. Não são transmitidos nomes, títulos das histórias ouvidas, favoritos, o perfil de leitura nem identificadores de conta, de aparelho ou de publicidade; por isso não conseguimos associar os avisos a uma pessoa ou a uma criança. Os avisos individuais são apagados após 7 dias, e os totais diários em no máximo 120 dias. Para evitar abusos, o servidor limita a quantidade de avisos por conexão usando um hash não reversível do endereço IP; ele não é associado aos avisos.

Na área dos pais, atrás do controle dos pais, os pais podem nos enviar comentários. Então recebemos a mensagem, um e-mail opcional, a versão do app, a plataforma e o idioma em nosso servidor; para o atendimento, a mensagem também é encaminhada ao nosso suporte por e-mail interno. Perfil de leitura, favoritos, identificador de compra e medição de uso não são enviados junto. Também apenas na área dos pais, o app pode mostrar a janela de avaliação da Apple ou do Google; o que for digitado ali é tratado pela respectiva loja.

O Nuvemconto é um app para crianças. Fora da oficina de histórias não coletamos conscientemente dados pessoais de crianças: não há conta, publicidade, SDKs de terceiros de rastreamento ou análise, chat ou função de compartilhar. A página de compra, os ajustes, os comentários e os links para fora do app ficam atrás do controle dos pais; só é possível digitar texto no formulário de comentários. O que é tratado na oficina de histórias, também quando a criança escolhe os cartões, está descrito na seção correspondente.

3. Finalidades e bases legais

O perfil de leitura, os favoritos e o histórico de leitura ficam no aparelho; só para um pedido na oficina de histórias idioma, faixa etária e nível de leitura vão ao nosso servidor (veja a seção sobre a oficina de histórias); fora isso, não tratamos nenhum dado. Compra, restauração e liberação das histórias são tratadas para executar o contrato (art. 6(1)(b) do GDPR). O identificador anônimo da verificação de compras serve também à segurança e à prevenção de abusos, e as contagens diárias anônimas servem para encontrar erros e melhorar o app; a base legal, em cada caso, é o nosso interesse legítimo em um app seguro e que funcione (art. 6(1)(f) do GDPR). Você pode se opor nos termos do art. 21 do GDPR por e-mail para apps@bitbeans.de. Tratamos os comentários para responder à sua solicitação (art. 6(1)(b) e (f) do GDPR).

4. Destinatários e prestadores de serviço

Para o nosso servidor, no qual funcionam a verificação anônima de compras, as contagens diárias anônimas, os comentários e a entrega dos pacotes de histórias, usamos um provedor de hospedagem como operador. Os e-mails para apps@bitbeans.de e os nossos e-mails internos sobre comentários e compras ficam com o nosso provedor de e-mail, também como operador. Apple e Google processam compra, pagamento, gestão de assinaturas e avaliações como fornecedores independentes. Não usamos redes de publicidade, corretores de dados ou serviços de analytics de terceiros. Para a oficina de histórias somam-se operadores para a criação do texto e a saída de voz; o que eles recebem está descrito na seção sobre a oficina de histórias.

5. Transferências internacionais

Os nossos fornecedores de servidor e e-mail têm sede nos EUA ou também tratam dados lá. Baseamos as transferências para os EUA na decisão de adequação da Comissão Europeia relativa ao EU-US Data Privacy Framework, quando o destinatário é certificado por ele, e, nos demais casos, em garantias adequadas, em especial as cláusulas contratuais-padrão da Comissão Europeia, ou nas exceções legais aplicáveis. Mediante pedido para apps@bitbeans.de, informamos cada fornecedor e enviamos uma cópia das garantias. Para a oficina de histórias vale também a respectiva seção.

6. Publicidade e rastreamento

O app não contém publicidade, SDKs de rastreamento ou análise de terceiros nem rastreamento publicitário. As contagens diárias anônimas funcionam exclusivamente pelo nosso próprio backend; as contagens de produto não levam identificador, os eventos de compra levam o identificador de convidado aleatório da verificação de compras, nunca um identificador de conta, de aparelho ou publicitário. Não criamos perfis, não vendemos dados pessoais e não repassamos dados a redes de publicidade ou corretores de dados.

7. Retenção e segurança

Os dados locais ficam no aparelho até você apagá-los no app ou remover o app. Nosso servidor mantém o identificador aleatório da verificação de compras; por enquanto não há prazo de exclusão automática para ele. Ele não contém nomes nem identificadores de conta ou de aparelho. Depois de uma compra, guardamos o comprovante da loja (com número do pedido, produto, data e status, além do país e, quando a loja informa, o preço com a moeda) e o lugar de onde a página de compra foi aberta enquanto o app precisar liberar e restaurar a compra e processar reembolsos, ou até um pedido de exclusão. Um e-mail interno nos informa de cada compra e de cada reembolso com esses dados de compra. Depois de uma exclusão guardamos, sem vínculo com o seu identificador, apenas os avisos de compra das lojas, para que os limites de compra não sejam contornados apagando e começando de novo, e um registro da exclusão do identificador apagado. Guardamos os comentários sem prazo fixo até você pedir a exclusão. Os avisos individuais das contagens diárias anônimas são apagados após 7 dias, e os totais diários em no máximo 120 dias. As transmissões são criptografadas.

8. Excluir dados e conta

Você apaga as histórias baixadas na área dos pais com “Apagar histórias baixadas”; ao remover o app, o perfil de leitura, os favoritos e as histórias baixadas são apagados do aparelho. No iOS, o identificador técnico da verificação de compras pode ficar no Keychain do aparelho; o app o descarta ao ser reinstalado. Você pode pedir a exclusão dos dados de uma compra por e-mail para apps@bitbeans.de ou em https://bitbeans.de/daten-loeschen; a compra é identificada pelo número do pedido da confirmação de compra da Apple ou do Google. Para excluir comentários, basta o e-mail informado ou a data aproximada. Não conseguimos associar a uma pessoa um identificador sem compra. A assinatura em si você gerencia e cancela na Apple ou no Google.

9. Seus direitos

Nos termos da lei, você tem direitos de acesso, correção, exclusão, limitação, portabilidade e oposição. O consentimento pode ser retirado para o futuro. Você também pode reclamar a uma autoridade de proteção de dados; o LfDI Baden-Württemberg é responsável pela nossa sede.

10. Oficina de histórias

Na oficina de histórias, mães e pais podem pedir uma história própria para o filho ou a filha. O texto e a voz de leitura são criados automaticamente a partir da sua escolha. Cada pedido começa atrás do controle dos pais, e o app só libera cada história nova para seu filho ou sua filha depois que você a viu e liberou na área dos pais.

Quais dados tratamos

A sua escolha: cartões ilustrados, se você quiser nomes de personagens de uma lista fixa de sugestões, idioma, idade (de 3 a 10 anos), nível de leitura e duração. Não há nenhum campo de texto livre; você não pode digitar um nome próprio, como o do seu filho ou da sua filha.

O identificador aleatório e pseudônimo desta instalação do app (o mesmo da verificação de compras), o seu direito de acesso decorrente de uma compra (com um valor hash da transação da loja) para contar a cota, além do identificador, do status e dos horários do pedido.

A história criada (título, texto e arquivo de áudio).

Na história de teste gratuita, o endereço IP na chegada da solicitação. Para evitar abusos, guardamos apenas um valor hash da sua rede formado com uma chave secreta, nunca o próprio endereço.

Na oficina não pedimos endereço de e-mail nem localização e não tratamos gravações de voz nem textos digitados pela criança. Se a criança escolher os cartões ilustrados, enviamos apenas essa escolha.

Contadores diários anônimos da oficina

O app envia ao nosso próprio backend eventos fixos da oficina, sem qualquer identificador, como contadores diários anônimos: aberta, história pedida e concluída, falha ou bloqueio com um motivo fixo. Nunca são enviados uma escolha de cartões, um nome, um texto ou a sua cota. Apagamos os avisos individuais após 7 dias e os totais diários em no máximo 120 dias. A base legal é o nosso interesse legítimo em encontrar erros e melhorar o app (art. 6.º, n.º 1, alínea f, RGPD; art. 7.º, IX, LGPD).

Finalidades e bases legais

Criar, verificar, narrar e disponibilizar a história pedida, além de verificar e contar a cota: execução do contrato (art. 6.º, n.º 1, alínea b, RGPD; art. 7.º, V, LGPD). O uso da oficina é voluntário; sem esses dados não podemos criar uma história.

Na medida em que a escolha dos cartões e a faixa etária são informações sobre a sua criança, nós as tratamos para criar a história que você pediu para ela; a base legal é o nosso e o seu legítimo interesse (art. 6.º, n.º 1, alínea f, RGPD; art. 7.º, IX, e art. 14 LGPD). Os interesses da criança não prevalecem, porque não coletamos nome, imagem nem texto livre da criança e usamos as informações apenas para essa história.

Proteção contra abusos e custos desproporcionais e tratamento de denúncias: legítimo interesse (art. 6.º, n.º 1, alínea f, RGPD; art. 7.º, IX, LGPD).

A oficina é voltada para mães e pais: a parte do contrato é você, e um pedido é feito por um adulto atrás do controle dos pais. Não baseamos a oficina no consentimento da criança e não criamos perfis da criança. O nosso servidor verifica cada texto automaticamente com regras fixas; essa verificação não toma nenhuma decisão sobre você ou a criança e não substitui o seu próprio olhar.

Destinatários e transferências para outros países

Para a oficina usamos operadores (art. 28.º RGPD) de três categorias: para servidor e armazenamento (guardamos os arquivos das histórias na UE), para a criação do texto e para a saída de voz. O fornecedor de criação do texto recebe a descrição dos cartões escolhidos, os nomes de personagens escolhidos, o idioma, a idade, o nível de leitura e a duração e, para a verificação, o título e o texto da história; o fornecedor de saída de voz recebe o texto da história e o idioma. Nenhum dos dois recebe o identificador da sua instalação nem o seu endereço IP.

Esses fornecedores têm sede nos EUA ou também tratam dados lá. Baseamos as transferências para os EUA na decisão de adequação da Comissão Europeia relativa ao EU-US Data Privacy Framework, quando o fornecedor é certificado por ele, e, nos demais casos, nas cláusulas contratuais-padrão da Comissão Europeia. Mediante pedido para apps@bitbeans.de, informamos cada fornecedor e enviamos uma cópia das garantias. Se for acrescentada uma nova categoria de destinatários ou outro país, atualizamos esta política de privacidade antes.

Prazos de armazenamento

Cópia no servidor de uma história pronta: 30 dias a partir da conclusão, para que o app possa baixá-la. A cópia no seu aparelho fica com você até que a apague.

Pedidos com falha: apagamos o conteúdo no momento da falha e o registro sem conteúdo após 7 dias.

Contadores: o valor hash da rede até o fim do mês seguinte, a cota mensal de uma compra durante o mês civil em curso e os doze anteriores (ela pertence à compra e permanece por esse tempo mesmo depois de "Apagar todos os dados da oficina"), o uso do teste único até você escolher "Apagar todos os dados da oficina", outros contadores sem identificador 35 dias.

Nos fornecedores: segundo as próprias informações, o fornecedor de criação do texto apaga entradas e saídas em até 30 dias ou, em caso de suspeita de violação das suas regras de uso, após no máximo 2 anos. No fornecedor de saída de voz apagamos cada narração logo depois de criada; segundo as próprias informações, ele remove as cópias de segurança em até 30 dias. Se excepcionalmente a exclusão falhar, a narração fica lá até que a apaguemos. Segundo as próprias informações, ele guarda registros para correção de erros e detecção de abusos sem prazo fixo.

Exclusão

Se você apagar uma história no app, ela deixa de estar disponível imediatamente; removemos os seus arquivos na hora ou, no máximo, no próximo processo de hora em hora. "Apagar todos os dados da oficina" na área dos pais apaga as histórias da oficina neste aparelho e, no nosso servidor, todas as histórias e pedidos da oficina desta instalação, além do seu identificador aleatório com os dados de servidor correspondentes, normalmente em poucas horas. Enquanto uma compra estiver ativa, "Apagar todos os dados da oficina" não fica disponível, para que a compra possa ser restaurada; você pode então apagar histórias uma a uma como descrito acima e, de qualquer forma, apagamos a cópia de cada história no servidor após 30 dias. Outros pedidos de exclusão você pode nos enviar a qualquer momento pelos comentários ou para apps@bitbeans.de.

Se você denunciar uma história com "Denunciar uma história", sua mensagem chega até nós pelos comentários da área dos pais e contém o identificador da história. Com ele encontramos o pedido no nosso servidor enquanto estiver guardado, verificamos a história e melhoramos as regras de verificação. A base legal é o nosso interesse legítimo em conteúdos seguros para crianças (art. 6.º, n.º 1, alínea f, RGPD; art. 7.º, IX, LGPD).

Em caso de abuso ou de denúncias procedentes repetidas, podemos bloquear a oficina para uma instalação; ela então não cria mais histórias novas, e as histórias já criadas e as compras não são afetadas. Para isso guardamos junto ao identificador aleatório um motivo fixo (abuso, denúncias repetidas ou outro) e a data, até que retiremos o bloqueio ou o identificador seja apagado. Registramos cada bloqueio com motivo e data e cada retirada com a data, sem nomes. Esses registros mantêm o identificador enquanto ele existir; depois que ele é apagado, permanecem sem ele. A base legal é o nosso interesse legítimo em conteúdos seguros para crianças e na prevenção de abusos (art. 6.º, n.º 1, alínea f, RGPD; art. 7.º, IX, LGPD).