Política de privacidade

Esta política explica quais dados Nia trata, para quê, com qual base legal, por quanto tempo e o que você pode fazer com eles. Ela abrange o aplicativo para iPhone e este site. A versão em linguagem simples, com exemplos concretos, está em o que acontece com os seus dados.

1. Quem é o responsável

O responsável pelo tratamento é Nia, prestador estabelecido na Espanha e responsável pelo aplicativo Nia para iPhone.

Endereço de contato para qualquer questão sobre esta política ou sobre os seus dados: hola@niapersonal.com. A resposta é dada em até um mês a partir do recebimento, prorrogável por mais dois meses se a solicitação for complexa, com aviso dentro do primeiro mês.

Não foi designado encarregado de proteção de dados, porque o tratamento não se enquadra em nenhuma das hipóteses do artigo 37 do RGPD: não há observação habitual e sistemática de pessoas em grande escala, nem tratamento em grande escala de categorias especiais de dados.

2. O resumo, antes do detalhe

Nia faz a maior parte do seu trabalho dentro do iPhone. Esta tabela separa o que nunca sai do aparelho do que viaja até o servidor. O resto do documento explica cada linha.

3. Quais dados são tratados, para quê e com qual base

3.1 Dados de conta, e a conta de convidado

Você pode começar a usar Nia sem informar nenhum dado. A conta de convidado usa o provedor anônimo do Firebase: é uma conta real, com um identificador sob o qual ficam arquivadas as suas conversas, a sua memória e o seu consumo, mas não leva nem e-mail nem nome nem nenhuma outra identidade. A contrapartida está dita no próprio aplicativo: ninguém consegue voltar a entrar nela de outro celular, e desinstalar o aplicativo a encerra. Por isso não é possível comprar uma assinatura em uma conta de convidado.

Se mais adiante você se identificar com Apple, com Google ou com o seu e-mail, essa identidade é adicionada à conta que você já tinha, com o mesmo identificador, e não é criada uma segunda: o que você fez como convidado continua lá. A única exceção é essas credenciais já pertencerem a outra conta, caso em que você entra na que já existia e a de convidado fica órfã e é excluída.

Para usar Nia com identidade é preciso uma conta. É guardado um identificador de usuário e o endereço de e-mail associado ao método com que você entra: Apple, Google ou e-mail e senha. Se você usa «Entrar com a Apple» e escolhe ocultar o seu e-mail, Nia recebe apenas o endereço de encaminhamento que a Apple gera, e nunca o real. A senha, quando existe, é custodiada pelo Firebase Authentication com a própria criptografia dele: em nenhum momento fica armazenada em texto simples nem é acessível ao responsável.

Finalidade: identificar você, manter a sessão e associar as suas conversas e a sua assinatura à sua conta. Base: execução do contrato.

3.2 Dados de perfil

De forma opcional, você pode adicionar um nome, uma cidade, um idioma preferido e uma foto de referência para poder aparecer nas imagens que Nia gera. Tudo isso é voluntário e pode ser apagado a qualquer momento pelo próprio aplicativo.

Finalidade: personalizar as respostas e, no caso da foto, gerar imagens em que você apareça. Base: consentimento, que você pode retirar apagando o dado.

3.3 O conteúdo das suas conversas

O texto do que você pede e o das respostas de Nia são guardados associados à sua conta para que você possa voltar a eles. O áudio do ditado e da palavra de ativação não é gravado, não é guardado e não é enviado: o reconhecimento é feito no aparelho e a única coisa que sai do iPhone é a transcrição em texto. O rádio de um grupo e a separação de vozes de uma reunião são exceções explicadas nas seções delas.

Esse texto é enviado ao provedor do modelo para gerar a resposta, junto com o que Nia lembra de você, a hora local e a localização arredondada, quando a ação precisa disso.

Finalidade: responder e conservar o histórico. Base: execução do contrato.

3.4 Arquivos anexados

Os arquivos que você anexa a uma mensagem são enviados ao provedor do modelo apenas para responder aquele turno. Não são conservados: antes de salvar a conversa, o conteúdo é substituído por uma linha que indica qual era o tipo de arquivo. O limite é de quatro arquivos por mensagem e oito megabytes cada um.

Finalidade: responder ao pedido específico. Base: execução do contrato.

3.5 Memória

Nos planos com memória, o que você pede expressamente para Nia lembrar é guardado em texto legível, porque a busca por significado é calculada sobre o próprio texto: uma memória criptografada não poderia ser encontrada e, portanto, não serviria para nada. Você pode ver, buscar, editar e apagar cada item, ou apagar todos, pela tela de Memória.

Quando Nia detecta que o que você ia guardar parece uma senha, um PIN ou uma chave de acesso, não guarda nada e pergunta o que fazer, com dois botões. A decisão é conservada e pode ser mudada em Ajustes.

Finalidade: lembrar o que você pede para ser lembrado. Base: consentimento, retirável apagando a memória ou desativando a função.

3.6 Documentos

Os documentos que você adiciona voluntariamente são enviados ao serviço de indexação do provedor do modelo para que Nia possa responder citando o arquivo e a página. O limite é de dez documentos e vinte megabytes por conta. São apagados quando você os apaga ou quando você exclui a conta.

Finalidade: responder sobre os seus próprios documentos. Base: consentimento.

3.7 Localização

Quando uma ação precisa dela, como buscar lugares por perto, calcular um tempo de viagem ou criar um lembrete que dispara ao chegar em um lugar, a localização é usada dentro do aparelho com os serviços do iOS. A que chega ao servidor fica arredondada a aproximadamente um quilômetro, o que basta para dar contexto e não basta para saber onde você está.

A permissão de localização «sempre» só é solicitada na primeira vez que você cria um lembrete ou uma rotina que dependem de um lugar, nunca durante o cadastro.

Finalidade: executar ações que dependem do lugar. Base: consentimento.

3.8 Assinaturas e pagamentos

As assinaturas são contratadas pela sua conta da Apple. O pagamento é processado integralmente pela Apple: Nia não vê, não recebe e não armazena os seus dados bancários, o seu cartão nem o seu endereço de cobrança. O que é tratado é o status da sua assinatura, o plano contratado e a data de renovação, que chegam pela Apple e pela RevenueCat para poder ativar as funções que você pagou.

Finalidade: dar acesso ao plano contratado e aplicar os limites dele. Base: execução do contrato.

3.9 Dados de diagnóstico e de uso

O aplicativo incorpora o Firebase Crashlytics e o Firebase Analytics, ambos do Google.

• O Crashlytics coleta relatórios de falha quando o aplicativo fecha de forma inesperada: o ponto do programa onde ocorreu, o modelo do aparelho, a versão do iOS, a versão do aplicativo e um identificador de instalação que o próprio Crashlytics gera. Também guarda um rastro dos últimos eventos técnicos antes da falha. Não inclui o texto das suas conversas, nem nomes de contatos, nem o conteúdo de nenhuma ação.
• O Analytics registra quatro eventos de produto, e só quatro: que um turno começou e por qual via, que uma ferramenta foi executada e com qual resultado, que um turno falhou e com qual código, e que uma compra foi concluída e de qual plano. Os parâmetros são etiquetas fechadas e contagens. Nunca viaja texto que você escreveu, nem nomes, nem identificadores dos seus conteúdos.

Esses dados não são usados para publicidade, não são cruzados com dados de outros aplicativos ou sites, e não são vendidos. O identificador de publicidade do sistema (IDFA) não é coletado em nenhum caso.

Finalidade: detectar e corrigir erros, e entender quais funções são usadas para decidir o que melhorar. Base: interesse legítimo na estabilidade e na melhoria do serviço, ponderado com os seus direitos: os dados são mínimos, não permitem identificar você por si só e não são usados para traçar o seu perfil.

3.10 Notificações

Se você aceita as notificações, é guardado o token que a Apple atribui a essa instalação para poder entregá-las pelo Firebase Cloud Messaging e pelo serviço de notificações da Apple. Ele serve para avisar você do resultado de uma tarefa, de uma rotina ou da atividade de um grupo. É apagado ao revogar a permissão ou ao excluir a conta.

Finalidade: entregar as notificações que você pediu. Base: consentimento.

3.11 Grupos

Se você cria ou entra em um grupo, o servidor guarda o grupo, os membros dele, o que cada um publica nele e quem respondeu a quê, para poder distribuir isso entre os demais membros. A sua agenda de contatos não entra em jogo: convidar alguém é um código de uso único que Nia escreve no WhatsApp ou em Mensagens, e o contato é resolvido dentro do seu celular.

Dentro de um grupo não há criptografia de ponta a ponta, e a própria tela do grupo diz isso. Não há porque o servidor precisa distribuir o conteúdo, moderá-lo quando é denunciado e executar o que é pedido a ele. Trate um grupo como o que ele é: um espaço compartilhado com as pessoas que você convidou.

Finalidade: prestar a função de grupos. Base: execução do contrato, e consentimento no que você publicar.

3.14 O rádio de um grupo

Quando você ativa o rádio de um grupo e segura para falar, a sua voz sim, sai do seu iPhone: ela viaja criptografada em trânsito até o nosso servidor, que a distribui para as pessoas desse grupo que tiverem ativado a própria escuta. Esta primeira versão não tem criptografia de ponta a ponta, e dizemos isso com todas as letras: o servidor passa o áudio pela memória para poder distribuí-lo.

Ninguém ouve você se não tiver ativado a própria escuta por conta própria, para um turno com hora de término, e ninguém pode ativá-la por você. A ativação pede o seu consentimento antes do primeiro envio e fica registrada com data.

Um aviso de voz vive uns trinta segundos na memória do servidor, o tempo justo para chegar a quem estava dormindo e para quem estava com as mãos ocupadas poder ouvi-lo de novo, e depois desaparece. Não há histórico nem gravação permanente. Se alguém denunciar um aviso, então guardamos essa gravação por trinta dias, para poder ouvi-la e agir sobre a denúncia dentro das vinte e quatro horas que as regras da App Store exigem. É a única exceção, e ela não é apagada pela exclusão de conta da pessoa denunciada: um registro que existe porque alguém reclamou dela não pode ser apagado por ela.

Nunca identificamos você pela voz. Sabemos quem fala porque a pessoa entrou na conta, não porque analisamos a voz dela: não há tratamento biométrico.

Finalidade: prestar o rádio de grupo, e moderar o que é denunciado. Base: execução do contrato e o seu consentimento; para a gravação denunciada, o interesse legítimo em atender uma denúncia de abuso e cumprir as regras da loja.

3.12 Contas de terceiros que você conecta

Se você conecta a sua conta do Google, Nia recebe um token de acesso com as permissões específicas que você concedeu e o usa para ler ou escrever apenas o que a ação pedida exige: ler e enviar e-mail no Gmail, ler e escrever no Google Calendar, buscar no Google Drive. O token é guardado criptografado no servidor, não é compartilhado com ninguém e é destruído ao desconectar a conta ou ao excluir a sua. Cada permissão é concedida separadamente, e você também pode revogá-las pela configuração de segurança da sua conta do Google.

Finalidade: executar as ações que você pede sobre esses serviços. Base: consentimento.

3.13 O que nunca sai do iPhone

Os dados a seguir são tratados exclusivamente no aparelho, por meio dos frameworks do iOS, e o servidor de Nia não tem acesso a eles em nenhum momento:

• A sua agenda de contatos. É lida no celular para resolver para quem você liga ou para quem você escreve. Não é enviada para nenhum servidor, nem mesmo transformada em códigos ou resumos.
• O conteúdo do seu calendário e dos seus lembretes, exceto o evento específico que você pedir para criar ou consultar, e exceto se você conectar o Google Calendar, caso em que esse serviço é quem responde.
• As suas fotos. Nia lê a última foto ou a que você escolher só quando você pede uma edição, e guarda no álbum «Nia» o que ela gera.
• Os seus dados de Apple Health.
• O áudio das suas reuniões. A transcrição é feita no aparelho. A única exceção é separar vozes, que sim envia áudio ao servidor, é pedida à parte e pode ser recusada.
• As fotos das notas fiscais que você escaneia. O estabelecimento, a data, o total e os itens são extraídos no aparelho com o Vision.
• O áudio do ditado e da palavra de ativação. O rádio de um grupo é a exceção e tem a própria seção, a 3.14.
• As máscaras do Nia Studio, ou seja, o recorte que separa uma pessoa ou um objeto do fundo.
• A sua localização exata.

4. As permissões do sistema, uma por uma

Nia não pede permissões durante o cadastro. Cada uma é solicitada na primeira vez que uma ação precisa dela, com a explicação na frente, e todas podem ser revogadas a qualquer momento nos Ajustes do iOS. Se você revogar uma, o aplicativo continua funcionando com o resto e diz qual ação específica deixou de conseguir fazer.

5. Dados de saúde

Os dados de saúde são uma categoria especial de dados pessoais (artigo 9 do RGPD) e recebem um tratamento à parte:

• São lidos e escritos exclusivamente no aparelho, por meio do HealthKit e com o seu consentimento explícito, concedido permissão por permissão pelo aplicativo Saúde.
• Nunca são enviados ao servidor de Nia nem a nenhum terceiro. A única coisa que pode aparecer em uma resposta é o número específico que você pediu para ouvir.
• Nunca são usados para fins publicitários, de marketing, de elaboração de perfis nem de mineração de dados, nem são vendidos nem cedidos a corretores de dados.
• Não são armazenados no iCloud nem em nenhum serviço de armazenamento em nuvem.
• Nia não é um produto de saúde nem substitui o critério de um profissional.

6. Bases jurídicas do tratamento

• Execução de um contrato (artigo 6.1.b do RGPD): atender aos seus pedidos, conservar as suas conversas, aplicar os limites do seu plano e prestar o serviço que você contratou.
• Consentimento (artigo 6.1.a): as permissões do sistema, a conexão de contas de terceiros, a memória, os documentos e o perfil. São pedidos um a um, no momento em que são necessários, e podem ser retirados a qualquer momento sem afetar a licitude do tratamento anterior.
• Consentimento explícito (artigo 9.2.a) para os dados de saúde.
• Interesse legítimo (artigo 6.1.f): a segurança do serviço, a prevenção do abuso e da fraude, a correção de erros e a compreensão agregada do uso. Em cada caso, isso foi ponderado com os seus direitos e foram escolhidos os dados mínimos.
• Obrigação legal (artigo 6.1.c): a conservação dos registros de cobrança que a normativa aplicável exigir.

Não são tomadas decisões automatizadas que produzam efeitos jurídicos sobre você ou afetem você de modo similarmente significativo, no sentido do artigo 22 do RGPD.

7. Com quem os dados são compartilhados

Nia se apoia nos seguintes subcontratantes do tratamento, cada um com um contrato que os obriga a tratar os dados apenas seguindo as nossas instruções:

Nia não vende os seus dados, não os cede para fins publicitários, não os compartilha com corretores de dados e não os usa para treinar modelos de inteligência artificial. Fora dos subcontratantes listados, os seus dados só seriam comunicados a um terceiro por exigência de uma autoridade competente, nos termos que a lei exigir.

8. Transferências internacionais

Os provedores acima podem tratar dados fora do Espaço Econômico Europeu, principalmente nos Estados Unidos. Nesses casos, a transferência é amparada pelas Cláusulas Contratuais Tipo aprovadas pela Comissão Europeia e, quando o provedor é certificado, pelo Quadro de Proteção de Dados entre a União Europeia e os Estados Unidos, além das medidas técnicas complementares descritas na seção de segurança. Você pode solicitar cópia das garantias escrevendo para hola@niapersonal.com.

9. Por quanto tempo são conservados

Ao excluir a conta, tudo o que foi listado acima é apagado do servidor, exceto o que uma obrigação legal exigir conservar, os relatórios de falha que não estão associados à sua identidade e uma gravação de rádio que tenha sido denunciada enquanto durar o prazo de trinta dias dela. Essa exceção permite atender à denúncia e não fica acessível aos membros do grupo.

10. Os seus direitos

Você pode exercer a qualquer momento os direitos de acesso, retificação, exclusão, limitação do tratamento, oposição e portabilidade, além de retirar o consentimento que tiver dado. Dois deles estão dentro do aplicativo e não exigem escrever para ninguém nem esperar:

• Portabilidade e acesso: em Ajustes, dentro de Conta, «Exportar meus dados» gera um arquivo com as suas conversas, as suas memórias, as suas rotinas e as suas habilidades, em um formato legível por máquina.
• Exclusão: em Ajustes, dentro de Conta, «Excluir conta» apaga os seus dados do servidor e encerra a sessão. A exclusão é definitiva e não exige aprovação prévia.

Para os demais direitos, ou se você preferir exercê-los por escrito, escreva para hola@niapersonal.com indicando qual você está exercendo. Pode ser pedida comprovação de identidade se houver dúvidas razoáveis sobre quem faz a solicitação.

Se você considerar que o tratamento não está de acordo com a normativa, pode apresentar uma reclamação à Agência Espanhola de Proteção de Dados (aepd.es), calle Jorge Juan 6, 28001 Madrid, ou à autoridade de controle do seu país de residência.

11. Menores de idade

Nia não é direcionada a menores de quatorze anos e não coleta de forma consciente dados de menores dessa idade, que é a idade a partir da qual o consentimento do menor é válido por si só na Espanha, conforme a Lei Orgânica 3/2018. Se detectarmos uma conta de um menor de quatorze anos, ela é excluída junto com os dados dela. Se você é mãe, pai ou responsável legal e acredita que um menor sob a sua responsabilidade criou uma conta, escreva para hola@niapersonal.com e isso será resolvido sem mais trâmites.

12. Segurança

As medidas técnicas e organizacionais aplicadas, nos termos do artigo 32 do RGPD, são as seguintes:

• Criptografia em trânsito: toda a comunicação entre o aplicativo, o servidor e os provedores viaja por HTTPS com TLS. O aplicativo não aceita conexões sem criptografia.
• Criptografia em repouso: o armazenamento do provedor de nuvem criptografa os dados em disco.
• Nenhuma credencial dentro do binário: o aplicativo não contém nenhuma chave de nenhum provedor de inteligência artificial. O servidor é o único ponto do sistema que as custodia, o que significa que extrair o binário não dá acesso a nada.
• Verificação de integridade: cada pedido ao servidor vem acompanhado de um certificado de App Check, de modo que um pedido que não venha do aplicativo autêntico é rejeitado.
• Controle de acesso: cada pedido exige um token de sessão válido, e as regras do banco de dados impedem que uma conta leia ou escreva dados de outra.
• Minimização: a localização é arredondada antes de sair do aparelho, os anexos não são persistidos e os eventos de uso não levam conteúdo.
• Isolamento do aparelho: o que pode ser resolvido dentro do iPhone é resolvido dentro do iPhone, que é a medida de segurança mais eficaz de todas.

Nenhum sistema é invulnerável. Se ocorrer uma violação de segurança que represente um risco para os seus direitos e liberdades, ela será notificada à Agência Espanhola de Proteção de Dados no prazo de setenta e duas horas previsto no artigo 33 do RGPD, e será comunicada a você sem demora indevida quando o risco for alto, conforme o artigo 34.

13. Inteligência artificial

Nia funciona sobre um modelo de linguagem de grande porte hospedado pelo Google. Três coisas que vale a pena dizer com clareza:

• Você está falando com um sistema automatizado, não com uma pessoa. O aplicativo indica isso na própria interface.
• O modelo pode errar. Revise o que ele faz antes de dar como certo, sobretudo em decisões com consequências: e-mails enviados, eventos com outras pessoas, dados de saúde ou gastos. O que o iOS não permite que um aplicativo conclua está documentado em o que o iOS não deixa fazer, e Nia diz isso em vez de fingir que a ação foi concluída.
• Os seus dados não são usados para treinar modelos. Nem os nossos nem os do provedor. O conteúdo que você envia é processado para responder a esse pedido e nada mais.

As imagens e os vídeos que Nia gera são conteúdo sintético, criado por um sistema de inteligência artificial. Se você os publicar ou compartilhar, cabe a você indicar isso quando a normativa exigir.

14. Publicidade e rastreamento

Nia não exibe publicidade, não faz rastreamento no sentido do framework de transparência da Apple e não incorpora nenhuma rede publicitária nem nenhum kit de medição de terceiros com fins publicitários.

• O identificador de publicidade do aparelho (IDFA) não é coletado e, portanto, o aplicativo não exibe a solicitação de rastreamento do sistema.
• Os seus dados não são combinados com dados de outros aplicativos ou sites de outras empresas.
• Os seus dados não são vendidos, não são alugados e não são cedidos a corretores de dados.
• O manifesto de privacidade que acompanha o aplicativo declara NSPrivacyTracking como falso e não declara nenhum domínio de rastreamento.

15. Este site

Este site é estático e é servido como arquivos: não usa cookies, não incorpora analítica, não carrega fontes nem recursos de terceiros e não traça o perfil de quem o visita. A única coisa que ele guarda no seu navegador é uma preferência local com o modo claro ou escuro que você escolheu, que não é enviada a lugar nenhum e desaparece ao apagar os dados do site. O provedor de hospedagem registra as requisições nos próprios registros técnicos, com a finalidade de operar e proteger o serviço.

16. O rótulo de privacidade da App Store

A Apple publica junto ao aplicativo um resumo dos dados que ele trata. Esta tabela é a correspondência entre o que esse rótulo declara e o que esta política explica, para que você possa verificar que dizem a mesma coisa.

17. Relação com os demais documentos

Esta política convive com mais dois documentos: os termos de uso, que descrevem o serviço, os planos e as condições da assinatura, e a licença de uso, que regula o direito de usar o aplicativo. Em caso de contradição sobre o tratamento de dados pessoais, prevalece esta política.

18. Mudanças nesta política

Se algo relevante mudar, a data do cabeçalho é atualizada e é avisado dentro do aplicativo antes de a mudança entrar em vigor. Quando a mudança afetar um tratamento baseado no seu consentimento, ele será pedido de novo. As versões anteriores são fornecidas a quem as solicitar escrevendo para hola@niapersonal.com.