Política de privacidade

Esta política explica que dados trata a Nia, para quê, com que base legal, durante quanto tempo e o que podes fazer com eles. Cobre a aplicação para iPhone e este site. A versão em linguagem simples, com exemplos concretos, está em o que acontece aos teus dados.

1. Quem é o responsável

O responsável pelo tratamento é Nia, prestador estabelecido em Espanha e responsável pela aplicação Nia para iPhone.

Endereço de contacto para qualquer questão sobre esta política ou sobre os teus dados: hola@niapersonal.com. Responde-se num prazo máximo de um mês desde a receção, prorrogável mais dois meses se o pedido for complexo, avisando-te dentro do primeiro mês.

Não foi designado encarregado de proteção de dados, porque o tratamento não cumpre nenhum dos pressupostos do artigo 37.º do RGPD: não há observação habitual e sistemática de pessoas em grande escala, nem tratamento em grande escala de categorias especiais de dados.

2. O resumo, antes do detalhe

A Nia faz a maior parte do seu trabalho dentro do iPhone. Esta tabela separa o que nunca sai do dispositivo do que viaja para o servidor. O resto do documento explica cada linha.

3. Que dados se tratam, para quê e com que base

3.1 Dados de conta, e a conta de convidado

Pode começar-se a usar a Nia sem dar nenhum dado. A conta de convidado usa o fornecedor anónimo do Firebase: é uma conta real, com um identificador sob o qual se arquivam as tuas conversas, a tua memória e o teu consumo, mas não leva nem email nem nome nem nenhuma outra identidade. A contrapartida está dita na própria aplicação: ninguém pode voltar a entrar nela a partir de outro telemóvel, e desinstalar a aplicação termina-a. Por isso não se pode comprar uma subscrição sobre uma conta de convidado.

Se mais tarde te identificas com a Apple, com a Google ou com o teu email, essa identidade acrescenta-se à conta que já tinhas, com o mesmo identificador, e não se cria uma segunda: o que fizeste como convidado continua ali. A única exceção é essas credenciais já pertencerem a outra conta, caso em que se entra na que já existia e a de convidado fica órfã e é eliminada.

Para usar a Nia com identidade é preciso uma conta. Guarda-se um identificador de utilizador e o endereço de email associado ao método com que entras: Apple, Google ou email e palavra-passe. Se usas «Iniciar sessão com a Apple» e escolhes ocultar o teu email, a Nia só recebe o endereço de reencaminhamento que a Apple gera, e nunca o real. A palavra-passe, quando existe, é custodiada pelo Firebase Authentication com a sua própria cifra: em nenhum momento se armazena em claro nem é acessível para o responsável.

Finalidade: identificar-te, manter a sessão e associar as tuas conversas e a tua subscrição à tua conta. Base: execução do contrato.

3.2 Dados de perfil

De forma opcional podes adicionar um nome, uma cidade, um idioma preferido e uma foto de referência para poderes aparecer nas imagens que a Nia gerar. Tudo isso é voluntário e pode apagar-se em qualquer momento a partir da própria aplicação.

Finalidade: personalizar as respostas e, no caso da foto, gerar imagens nas quais apareças tu. Base: consentimento, que podes retirar apagando o dado.

3.3 O conteúdo das tuas conversas

O texto do que pedes e o das respostas da Nia guardam-se associados à tua conta para que possas voltar a eles. O áudio do ditado e da palavra de ativação não se grava, não se guarda e não se envia: o reconhecimento realiza-se no dispositivo e a única coisa que sai do iPhone é a transcrição em texto. O rádio de um grupo e a separação de vozes de uma reunião são exceções que se explicam nos seus pontos.

Esse texto envia-se ao fornecedor do modelo para gerar a resposta, junto com o que a Nia se lembra de ti, a hora local e a localização arredondada, quando a ação o precisa.

Finalidade: responder e conservar o histórico. Base: execução do contrato.

3.4 Ficheiros anexados

Os ficheiros que anexas a uma mensagem enviam-se ao fornecedor do modelo unicamente para responder a esse turno. Não se conservam: antes de guardar a conversa, o conteúdo substitui-se por uma linha que indica que tipo de ficheiro era. O limite é de quatro ficheiros por mensagem e oito megabytes cada um.

Finalidade: responder ao pedido concreto. Base: execução do contrato.

3.5 Memória

Nos planos com memória, o que pedes expressamente que a Nia se lembre guarda-se em texto legível, porque a pesquisa por significado se calcula sobre o próprio texto: uma memória cifrada não se poderia encontrar e por isso não serviria para nada. Podes ver, procurar, editar e apagar cada elemento, ou apagá-los todos, a partir do ecrã de Memória.

Quando a Nia deteta que o que ias guardar parece uma palavra-passe, um PIN ou uma chave de acesso, não guarda nada e pergunta-te o que fazer, com dois botões. A decisão conserva-se e pode mudar-se em Definições.

Finalidade: lembrar o que pedes que se lembre. Base: consentimento, retirável apagando a memória ou desativando a funcionalidade.

3.6 Documentos

Os documentos que adicionas voluntariamente enviam-se ao serviço de indexação do fornecedor do modelo para que a Nia possa responder citando o ficheiro e a página. O limite é de dez documentos e vinte megabytes por conta. Apagam-se quando os apagas tu ou quando eliminas a conta.

Finalidade: responder sobre os teus próprios documentos. Base: consentimento.

3.7 Localização

Quando uma ação a precisa, como procurar sítios perto, calcular um tempo de viagem ou criar um lembrete que dispara ao chegar a um lugar, a localização usa-se dentro do dispositivo com os serviços do iOS. A que chega ao servidor está arredondada a aproximadamente um quilómetro, o que basta para dar contexto e não basta para saber onde estás.

A permissão de localização «sempre» só se solicita a primeira vez que crias um lembrete ou uma rotina que dependem de um lugar, nunca durante o registo.

Finalidade: executar ações que dependem do lugar. Base: consentimento.

3.8 Subscrições e pagamentos

As subscrições contratam-se através da tua conta da Apple. O pagamento é processado integralmente pela Apple: a Nia não vê, não recebe e não armazena os teus dados bancários, o teu cartão nem a tua morada de faturação. O que se trata é o estado da tua subscrição, o plano contratado e a data de renovação, que chegam através da Apple e da RevenueCat para poder ativar as funcionalidades que pagaste.

Finalidade: dar acesso ao plano contratado e aplicar os seus limites. Base: execução do contrato.

3.9 Dados de diagnóstico e de utilização

A aplicação incorpora Firebase Crashlytics e Firebase Analytics, ambos da Google.

• O Crashlytics recolhe relatórios de falha quando a aplicação se fecha de forma inesperada: o ponto do programa onde ocorreu, o modelo de dispositivo, a versão do iOS, a versão da aplicação e um identificador de instalação que o próprio Crashlytics gera. Também guarda um registo dos últimos eventos técnicos antes da falha. Não inclui o texto das tuas conversas, nem nomes de contactos, nem o conteúdo de nenhuma ação.
• O Analytics regista quatro eventos de produto e só quatro: que começou um turno e por que via, que se executou uma ferramenta e com que resultado, que um turno falhou e com que código, e que se completou uma compra e de que plano. Os parâmetros são etiquetas fechadas e contagens. Nunca viaja texto que tenhas escrito, nem nomes, nem identificadores dos teus conteúdos.

Estes dados não se usam para publicidade, não se cruzam com dados de outras aplicações nem sites, e não se vendem. O identificador publicitário do sistema (IDFA) não se recolhe em caso nenhum.

Finalidade: detetar e corrigir erros, e entender que funcionalidades se usam para decidir o que melhorar. Base: interesse legítimo na estabilidade e na melhoria do serviço, ponderado com os teus direitos: os dados são mínimos, não permitem identificar-te por si só e não se utilizam para te perfilar.

3.10 Notificações

Se aceitas as notificações, guarda-se o token que a Apple atribui a essa instalação para poder entregá-las através do Firebase Cloud Messaging e do serviço de notificações da Apple. Serve para te avisar do resultado de uma tarefa, de uma rotina ou da atividade de um grupo. Apaga-se ao revogar a permissão ou ao eliminar a conta.

Finalidade: entregar as notificações que pediste. Base: consentimento.

3.11 Grupos

Se crias ou entras num grupo, o servidor guarda o grupo, os seus membros, o que cada um publica nele e quem respondeu a quê, para poder distribuí-lo entre os restantes membros. A tua agenda de contactos não intervém: convidar alguém é um código de utilização única que a Nia escreve no WhatsApp ou nas Mensagens, e o contacto resolve-se dentro do teu telemóvel.

Dentro de um grupo não há encriptação de ponta a ponta, e o próprio ecrã do grupo diz isso. Não a há porque o servidor tem de distribuir o conteúdo, moderá-lo quando é denunciado e executar o que lhe é pedido. Trata um grupo como o que é: um espaço partilhado com as pessoas que convidaste.

Finalidade: prestar a funcionalidade de grupos. Base: execução do contrato, e consentimento no que publicares.

3.14 O rádio de um grupo

Quando ativas o rádio de um grupo e manténs premido para falar, a tua voz sai mesmo do teu iPhone: viaja cifrada em trânsito até ao nosso servidor, que a distribui às pessoas desse grupo que tenham ativado a sua própria escuta. Esta primeira versão não tem encriptação de ponta a ponta, e dizemo-lo sem rodeios: o servidor passa o áudio pela memória para o poder distribuir.

Ninguém te ouve se não tiver ativado a sua escuta por conta própria, para um turno com hora de fim, e ninguém pode ativá-la por ti. A ativação pede o teu consentimento antes do primeiro envio e fica com data.

Um aviso de voz vive cerca de trinta segundos na memória do servidor, o tempo justo para que chegue a quem estava a dormir e para que quem tinha as mãos ocupadas possa voltar a ouvi-lo, e depois desaparece. Não há histórico nem gravação permanente. Se alguém denunciar um aviso, então guardamos essa gravação trinta dias, para poder ouvi-la e atuar sobre a denúncia dentro das vinte e quatro horas que exigem as regras da App Store. É a única exceção, e não a apaga a eliminação de conta da pessoa denunciada: um registo que existe porque alguém se queixou dela não pode ser apagado por ela.

Nunca te identificamos pela voz. Sabemos quem fala porque iniciou sessão, não porque analisemos a sua voz: não há tratamento biométrico.

Finalidade: prestar o rádio de grupo, e moderar o que é denunciado. Base: execução do contrato e o teu consentimento; para a gravação denunciada, o interesse legítimo em atender uma denúncia de abuso e cumprir as regras da loja.

3.12 Contas de terceiros que ligares

Se ligas a tua conta da Google, a Nia recebe um token de acesso com as permissões concretas que tenhas concedido e usa-o para ler ou escrever só o que a ação pedida requer: ler e enviar email no Gmail, ler e escrever no Google Calendar, procurar no Google Drive. O token guarda-se cifrado no servidor, não se partilha com ninguém e destrói-se ao desligar a conta ou ao eliminar a tua. Cada permissão concede-se em separado, e podes revogá-las também a partir da configuração de segurança da tua conta da Google.

Finalidade: executar as ações que pedes sobre esses serviços. Base: consentimento.

3.13 O que nunca sai do iPhone

Os seguintes dados tratam-se exclusivamente no dispositivo, através dos frameworks do iOS, e o servidor da Nia não tem acesso a eles em nenhum momento:

• A tua agenda de contactos. Lê-se no telemóvel para resolver a quem ligas ou a quem escreves. Não sobe para nenhum servidor, nem sequer transformada em códigos ou resumos.
• O conteúdo do teu calendário e dos teus lembretes, exceto o evento concreto que peças para criar ou consultar, e exceto se ligares o Google Calendar, caso em que esse serviço é quem responde.
• As tuas fotos. A Nia lê a última foto ou a que escolheres só quando pedes uma edição, e guarda no álbum «Nia» o que gera.
• Os teus dados de Apple Health.
• O áudio das tuas reuniões. A transcrição faz-se no dispositivo. A única exceção é separar vozes, que sim envia áudio para o servidor, pede-se à parte e pode recusar-se.
• As fotos dos recibos que digitalizas. O comerciante, a data, o total e as linhas extraem-se no dispositivo com o Vision.
• O áudio do ditado e da palavra de ativação. O rádio de um grupo é a exceção e tem o seu próprio ponto, o 3.14.
• As máscaras do Nia Studio, ou seja o recorte que separa uma pessoa ou um objeto do fundo.
• A tua localização exata.

4. As permissões do sistema, uma a uma

A Nia não pede permissões durante o registo. Cada uma solicita-se na primeira vez que uma ação a precisa, com a explicação à frente, e todas se podem revogar em qualquer momento a partir das Definições do iOS. Se revogas uma, a aplicação continua a funcionar com o resto e diz-te que ação concreta deixou de poder fazer.

5. Dados de saúde

Os dados de saúde são uma categoria especial de dados pessoais (artigo 9.º do RGPD) e recebem um tratamento à parte:

• Leem-se e escrevem-se exclusivamente no dispositivo, através do HealthKit e com o teu consentimento explícito, concedido permissão a permissão a partir da aplicação Saúde.
• Nunca se enviam para o servidor da Nia nem para nenhum terceiro. A única coisa que pode aparecer numa resposta é o número concreto que pediste para ouvir.
• Nunca se usam para fins publicitários, de marketing, de elaboração de perfis nem de mineração de dados, nem se vendem nem se cedem a corretores de dados.
• Não se armazenam no iCloud nem em nenhum serviço de armazenamento na nuvem.
• A Nia não é um produto sanitário nem substitui o critério de um profissional.

6. Bases jurídicas do tratamento

• Execução de um contrato (artigo 6.º, n.º 1, alínea b, do RGPD): atender aos teus pedidos, conservar as tuas conversas, aplicar os limites do teu plano e prestar o serviço que contrataste.
• Consentimento (artigo 6.º, n.º 1, alínea a): as permissões do sistema, a ligação de contas de terceiros, a memória, os documentos e o perfil. Pedem-se uma a uma, no momento em que são precisas, e podem retirar-se em qualquer momento sem que isso afete a licitude do tratamento anterior.
• Consentimento explícito (artigo 9.º, n.º 2, alínea a) para os dados de saúde.
• Interesse legítimo (artigo 6.º, n.º 1, alínea f): a segurança do serviço, a prevenção do abuso e da fraude, a correção de erros e a compreensão agregada da utilização. Em cada caso ponderou-se face aos teus direitos e escolheram-se os dados mínimos.
• Obrigação legal (artigo 6.º, n.º 1, alínea c): a conservação dos registos de faturação que exija a normativa aplicável.

Não se tomam decisões automatizadas que produzam efeitos jurídicos sobre ti ou te afetem de modo similarmente significativo, no sentido do artigo 22.º do RGPD.

7. Com quem se partilham os dados

A Nia apoia-se nos seguintes subcontratantes do tratamento, cada um com um contrato que os obriga a tratar os dados apenas seguindo as nossas instruções:

A Nia não vende os teus dados, não os cede com fins publicitários, não os partilha com corretores de dados e não os utiliza para treinar modelos de inteligência artificial. Fora dos subcontratantes listados, os teus dados só se comunicariam a um terceiro por requerimento de uma autoridade competente, nos termos que a lei exija.

8. Transferências internacionais

Os fornecedores anteriores podem tratar dados fora do Espaço Económico Europeu, principalmente nos Estados Unidos. Nesses casos a transferência ampara-se nas Cláusulas Contratuais Tipo aprovadas pela Comissão Europeia e, quando o fornecedor está certificado, no Quadro de Privacidade de Dados entre a União Europeia e os Estados Unidos, além das medidas técnicas complementares descritas no ponto de segurança. Podes solicitar cópia das garantias escrevendo para hola@niapersonal.com.

9. Quanto tempo se conservam

Ao eliminar a conta apaga-se do servidor tudo o anterior, exceto o que uma obrigação legal obrigue a conservar, os relatórios de falha que não estão associados à tua identidade e uma gravação de rádio que tenha sido denunciada enquanto durar o seu prazo de trinta dias. Essa exceção permite atender a denúncia e não fica acessível aos membros do grupo.

10. Os teus direitos

Podes exercer em qualquer momento os direitos de acesso, retificação, apagamento, limitação do tratamento, oposição e portabilidade, assim como retirar o consentimento que tenhas dado. Dois deles estão dentro da aplicação e não requerem escrever a ninguém nem esperar:

• Portabilidade e acesso: em Definições, dentro de Conta, «Exportar os meus dados» gera um ficheiro com as tuas conversas, as tuas memórias, as tuas rotinas e as tuas competências, num formato legível por máquina.
• Apagamento: em Definições, dentro de Conta, «Eliminar conta» apaga do servidor os teus dados e termina a sessão. A eliminação é definitiva e não requer aprovação prévia.

Para o resto dos direitos, ou se preferires exercê-los por escrito, escreve para hola@niapersonal.com indicando qual exerces. Pode pedir-se comprovativo de identidade se houver dúvidas razoáveis sobre quem realiza o pedido.

Se consideras que o tratamento não se ajusta à normativa, podes apresentar uma reclamação junto da Agência Espanhola de Proteção de Dados (aepd.es), rua Jorge Juan 6, 28001 Madrid, ou junto da autoridade de controlo do teu país de residência.

11. Menores

A Nia não se dirige a menores de catorze anos e não recolhe de forma consciente dados de menores dessa idade, que é a idade a partir da qual o consentimento do menor é válido por si só em Espanha conforme a Lei Orgânica 3/2018. Se detetarmos uma conta de um menor de catorze anos, é eliminada junto com os seus dados. Se és mãe, pai ou tutor e achas que um menor a teu cargo criou uma conta, escreve para hola@niapersonal.com e resolve-se sem mais trâmites.

12. Segurança

As medidas técnicas e organizativas aplicadas, nos termos do artigo 32.º do RGPD, são as seguintes:

• Encriptação em trânsito: toda a comunicação entre a aplicação, o servidor e os fornecedores viaja por HTTPS com TLS. A aplicação não aceita ligações sem encriptação.
• Encriptação em repouso: o armazenamento do fornecedor de nuvem cifra os dados em disco.
• Nenhuma credencial dentro do binário: a aplicação não contém nenhuma chave de nenhum fornecedor de inteligência artificial. O servidor é o único ponto do sistema que as custodia, o que significa que extrair o binário não dá acesso a nada.
• Verificação de integridade: cada pedido ao servidor é acompanhado de um certificado de App Check, de modo que um pedido que não venha da aplicação autêntica é rejeitado.
• Controlo de acesso: cada pedido exige um token de sessão válido, e as regras da base de dados impedem que uma conta leia ou escreva dados de outra.
• Minimização: a localização arredonda-se antes de sair do dispositivo, os anexos não se persistem e os eventos de utilização não levam conteúdo.
• Isolamento do dispositivo: o que pode resolver-se dentro do iPhone resolve-se dentro do iPhone, que é a medida de segurança mais eficaz de todas.

Nenhum sistema é invulnerável. Se ocorresse uma violação de segurança que suponha um risco para os teus direitos e liberdades, notificar-se-á a Agência Espanhola de Proteção de Dados no prazo de setenta e duas horas previsto no artigo 33.º do RGPD, e comunicar-se-á a ti sem demora indevida quando o risco for elevado, conforme o artigo 34.º.

13. Inteligência artificial

A Nia funciona sobre um modelo de linguagem de grande dimensão alojado pela Google. Três coisas que convém dizer com clareza:

• Estás a falar com um sistema automatizado, não com uma pessoa. A aplicação indica isso na sua própria interface.
• O modelo pode enganar-se. Revê o que faz antes de o dar como bom, sobretudo em decisões com consequências: emails enviados, eventos com outras pessoas, dados de saúde ou despesas. O que o iOS não permite completar a uma aplicação está documentado em o que o iOS não deixa fazer, e a Nia diz isso em vez de fingir que a ação se completou.
• Os teus dados não se usam para treinar modelos. Nem os nossos nem os do fornecedor. O conteúdo que envias processa-se para responder a esse pedido e nada mais.

As imagens e os vídeos que a Nia gera são conteúdo sintético, criado por um sistema de inteligência artificial. Se os publicares ou os partilhares, cabe-te a ti assinalá-lo quando a normativa o exija.

14. Publicidade e rastreio

A Nia não mostra publicidade, não realiza rastreio no sentido do quadro de transparência da Apple e não incorpora nenhuma rede publicitária nem nenhum kit de medição de terceiros com fins publicitários.

• Não se recolhe o identificador de publicidade do dispositivo (IDFA) e, por isso, a aplicação não mostra o pedido de rastreio do sistema.
• Os teus dados não se combinam com dados de outras aplicações ou sites de outras empresas.
• Os teus dados não se vendem, não se alugam e não se cedem a corretores de dados.
• O manifesto de privacidade que acompanha a aplicação declara NSPrivacyTracking como falso e não declara nenhum domínio de rastreio.

15. Este site

Este site é estático e serve-se como ficheiros: não usa cookies, não incorpora analítica, não carrega tipos de letra nem recursos de terceiros e não perfila quem o visita. A única coisa que guarda no teu navegador é uma preferência local com o modo claro ou escuro que tenhas escolhido, que não se envia para lado nenhum e que desaparece ao apagar os dados do site. O fornecedor de alojamento regista os pedidos nos seus próprios registos técnicos, com a finalidade de operar e proteger o serviço.

16. A etiqueta de privacidade da App Store

A Apple publica junto da aplicação um resumo dos dados que trata. Esta tabela é a correspondência entre o que declara essa etiqueta e o que explica esta política, para que possas comprovar que dizem o mesmo.

17. Relação com os restantes documentos

Esta política convive com mais dois documentos: os termos de utilização, que descrevem o serviço, os planos e as condições da subscrição, e a licença de utilização, que regula o direito a usar a aplicação. Em caso de contradição sobre o tratamento de dados pessoais, prevalece esta política.

18. Alterações a esta política

Se mudar algo relevante atualiza-se a data do cabeçalho e avisa-se dentro da aplicação antes de a alteração ter efeito. Quando a alteração afetar um tratamento baseado no teu consentimento, pedir-se-á de novo. As versões anteriores facultam-se a quem as solicitar escrevendo para hola@niapersonal.com.