Política de privacidade

Esta é uma tradução da versão francesa, a única que prevalece juridicamente.

O Nestido serve para registar onde dormem crianças cujos pais vivem separados. São dados da vida privada de uma família, e dizem respeito a menores: merecem ser tratados com seriedade e descritos sem rodeios. Este documento diz tudo o que o serviço sabe sobre si.

Quem é responsável

Os dados tratados pelo Nestido são-no sob a responsabilidade de Eric Mollenthiel, empresário em nome individual, SIREN 795 225 226, 103 avenue Lacassagne, 69003 Lyon, França. Para qualquer questão relativa a esta política ou aos seus dados: team@nestido.com.

Que dados são tratados

A sua conta: o seu endereço de correio eletrónico, a sua palavra-passe (conservada apenas sob a forma de impressão criptográfica, nunca em claro, e ilegível mesmo para o editor), a língua que escolheu, a data de criação da conta e o facto de o seu endereço ter sido verificado.

O facto de ter vindo: a data da sua última visita e o número de dias em que veio, guardados na sua conta. Nada mais: nem página consultada, nem hora, nem percurso. É o que permite saber se o Nestido serve a alguém, ao abrigo do interesse legítimo do editor. Nada é guardado no seu aparelho e nenhum serviço externo é chamado.

Como chegou a sua inscrição: duas indicações sobre o próprio formulário de inscrição, guardadas na sua conta: se um campo oculto do formulário, que nenhuma pessoa vê, foi preenchido, e se o formulário foi enviado em menos de três segundos. Servem para distinguir uma inscrição feita por um programa automático de uma inscrição feita por um pai ou uma mãe, para que os números do editor não contem máquinas como pessoas, ao abrigo do seu interesse legítimo. Nunca impediram nem atrasaram uma inscrição, e não o farão: a sua conta é criada e servida da mesma forma em todos os casos. Não são registados o seu endereço IP, o seu navegador, o seu aparelho nem a rede que utiliza.

Por que ligação chegou: uma palavra guardada na sua conta, retirada de uma lista curta escrita pelo editor (o nome de um diretório, a loja Google Play, a aplicação Android ou «outro»), e «desconhecido» quando a ligação nada diz, o que é o caso mais frequente. Serve para saber por que canais as pessoas chegam, ao abrigo do interesse legítimo do editor. É colocada uma única vez, na criação da conta, e nunca é alterada depois. Nem o endereço da página de onde vem, nem as páginas que consulta, nem a hora, nem o seu endereço IP são registados.

A sua família: o nome que lhe dá, o seu fuso horário, o seu país e a sua zona de férias escolares se os declarar, o nome próprio, o papel e a cor de cada membro, incluindo os que não têm conta.

Os seus filhos: o nome próprio, a cor, e a data de nascimento se escolher indicá-la, o que continua facultativo. O Nestido não pede apelido, escola, morada, fotografia, nem qualquer dado de saúde.

O calendário: os lugares que cria e a sua natureza (a casa de um progenitor, a escola, casa de familiares, uma estadia), as noites passadas em cada um, as entregas registadas, a sua confirmação ou contestação pelo outro progenitor, o regime de guarda declarado e as suas exceções. É o coração do serviço: sem estes dados, não há calendário.

Os lembretes da noite, se os ativar: o endereço técnico fornecido pelo seu navegador para contactar o seu aparelho, as chaves que cifram a notificação, e a data do último lembrete enviado. Esse endereço não identifica o seu aparelho para além de permitir falar-lhe, e desaparece assim que desativa os lembretes.

O lembrete da noite por e-mail, se o pedir: a data do seu pedido. É enviado para o endereço da sua conta, depois de confirmado, e apenas na véspera de uma passagem; indica o nome próprio das crianças, o local e a hora. Para-se com um clique a partir do próprio e-mail ou do ecrã «Hoje».

O calendário de guarda na sua agenda, se o pedir: um endereço secreto, a data do seu pedido e o último dia em que a sua agenda o leu. A sua agenda (Google, Apple, Microsoft ou outra) lê aí o nome das crianças, o nome dos locais tal como os nomeou e as horas de troca, de um mês passado a três meses à frente; sem morada, sem notas, sem estatísticas. Qualquer pessoa com quem partilhe essa agenda também os vê. O botão «Cortar esta ligação», no ecrã «Hoje», para tudo de imediato.

Os registos técnicos do servidor: endereço IP, data, página pedida e navegador, como em qualquer sítio web. Servem para a segurança e o diagnóstico de avarias, e para mais nada.

Porquê, e com que base legal

Prestar o serviço (manter a sua conta, a sua família e o seu calendário, calcular a previsão e as estatísticas, permitir o convite do outro progenitor): execução do contrato que nos liga, na aceção do artigo 6.º, n.º 1, alínea b), do RGPD. Estes dados não são facultativos: sem eles, não há nada para mostrar.

Enviar-lhe as mensagens necessárias (verificação de endereço, palavra-passe esquecida, convite que decide enviar): execução do contrato. O Nestido não envia qualquer boletim informativo nem qualquer mensagem comercial.

Os lembretes da noite no seu telemóvel: o seu consentimento, dado ao ativar as notificações, e retirável a qualquer momento a partir do mesmo ecrã, sem consequências para o resto.

O lembrete da noite por e-mail: o seu consentimento, dado ao pedi-lo, e revogável a qualquer momento com um clique a partir do e-mail ou do ecrã «Hoje».

O calendário de guarda na sua agenda: o seu consentimento, dado ao pedi-lo, e retirável a qualquer momento com «Cortar esta ligação» no ecrã «Hoje».

Manter o serviço de pé e ao abrigo (registos, cópias de segurança, bloqueio de tentativas de ligação em massa): o interesse legítimo do editor em que o serviço funcione e não seja atacado.

Os dados das crianças

As informações relativas aos seus filhos são introduzidas por si, e só por si. Ao registá-las, declara ser titular das responsabilidades parentais, ou agir com o acordo de quem o é. O Nestido não se dirige a menores: nenhuma conta lhes é destinada, e nenhuma criança se liga à aplicação.

O serviço é concebido para pedir o menos possível: um nome próprio e uma cor bastam para fazer funcionar um calendário. A data de nascimento serve apenas para mostrar uma idade, e nada o obriga a indicá-la.

O que vê o outro progenitor

É a questão mais importante de uma aplicação partilhada, e merece uma resposta clara. Os membros de uma mesma família veem o mesmo calendário: os lugares, as noites, as entregas, as estatísticas, e o nome de quem registou o quê. É o próprio objeto do serviço.

Em contrapartida, o seu endereço de correio eletrónico, a sua palavra-passe e a sua língua continuam a ser seus: não aparecem em nenhum ecrã do outro progenitor. Uma família é estanque: nenhuma conta pode ler o calendário de uma família de que não é membro, mesmo na posse de uma ligação.

Um convite liga uma conta a um membro já existente. Enquanto não for aceite, a pessoa convidada não vê nada; uma vez aceite, vê todo o histórico da família, incluindo o que foi registado antes da sua chegada. Um convite pode ser anulado enquanto não tiver servido.

O que o Nestido não faz

• Nenhum dado é vendido, alugado, trocado ou cedido a terceiros.
• Nenhuma publicidade, nenhuma definição de perfis, nenhuma decisão automatizada.
• Nenhum rastreador de audiência, nenhum botão de rede social, nenhum script de terceiros. As páginas do Nestido não chamam qualquer servidor exterior.
• O conteúdo da sua família não alimenta o treino de nenhum modelo de inteligência artificial: nenhum assistente o lê (ver «Quem mais tem acesso»).
• A aplicação instalada não guarda qualquer dado no seu aparelho: a sua cache contém apenas o ecrã «sem ligação» e os ficheiros de estilo. Um telemóvel perdido não conta onde dormem os seus filhos.

Cookies

O Nestido utiliza apenas cookies necessários ao seu funcionamento, o que o dispensa de lhe pedir consentimento e lhe evita impor-lhe um aviso:

• um cookie de sessão, que o mantém ligado durante a sua visita;
• um cookie de religação, se permanecer ligado de uma visita para outra, válido trinta dias;
• um cookie de autorização para o tempo real, que permite que o seu ecrã se atualize quando o outro progenitor regista alguma coisa.

A sua escolha de tema claro ou escuro é guardada apenas pelo seu navegador, e nunca é enviada ao servidor.

Durante quanto tempo

A sua conta e o calendário da sua família

Enquanto a conta existir. Pode eliminá-la a qualquer momento, e essa eliminação é imediata.

A própria família

Desaparece com a última conta que dela faz parte. Enquanto outro progenitor tiver conta, a família e o seu histórico ficam-lhe: a sua saída não pode apagar a memória dele, mas a sua conta é efetivamente eliminada.

As cópias de segurança

Catorze dias. Um dado eliminado pode portanto viver ainda esse prazo numa cópia cifrada, a que ninguém acede fora de um incidente, antes de desaparecer definitivamente.

Os registos técnicos do servidor

Um ano.

Os convites não aceites

Expiram por si próprios e deixam então de funcionar.

Quem mais tem acesso

A OVH SAS (Roubaix, França) aloja o servidor e a base de dados, e encaminha o correio eletrónico do serviço. Os servidores situam-se em França. O planeamento da sua família nunca sai da União Europeia.

Se subscrever o Nestido+, o pagamento é tratado pela Stripe (Stripe Payments Europe, Dublin, Irlanda), que recebe o seu endereço de correio eletrónico, a sua morada de faturação, o seu meio de pagamento e um identificador da sua família, e nada mais: nem nomes, nem lugares, nem planeamento. A Stripe pode tratar estes dados nos Estados Unidos, ao abrigo das cláusulas contratuais-tipo da Comissão Europeia. Sem subscrição, a Stripe não recebe nada de si.

Os lembretes da noite passam pelo serviço de notificação do seu navegador (Apple, Google ou Mozilla consoante o aparelho), que recebe uma mensagem cifrada que não pode ler, unicamente se tiver ativado os lembretes.

O editor, enquanto administrador do servidor, tem tecnicamente acesso à base de dados: é inevitável para a manter. Não consulta o conteúdo de uma família nem por curiosidade nem por qualquer razão comercial, e só lhe toca a pedido explícito da pessoa em causa ou para reparar uma avaria que o exija.

O editor explora o servidor com a ajuda de assistentes de inteligência artificial: o Claude, da Anthropic (Anthropic Ireland, Dublin, Irlanda), e o Codex, da OpenAI (OpenAI Ireland, Dublin, Irlanda), que tratam nos Estados Unidos o que lhes é dado a ler. Recebem as estatísticas de utilização do serviço, em que uma conta só é designada por um número (por exemplo, as datas de registo e de visita, a língua, a proveniência), e, apenas quando a segurança, uma avaria ou o seu próprio pedido o exige, os registos técnicos do servidor (endereço IP, navegador) ou o endereço de correio eletrónico de uma conta. Nunca recebem o conteúdo da sua família: nem o seu nome, nem um nome próprio, nem um lugar, nem o planeamento. Não são subcontratantes do editor: cada um trata estes dados sob a sua própria responsabilidade, segundo a sua política de privacidade, e enquadra a sua transferência para os Estados Unidos pelas cláusulas contratuais-tipo da Comissão Europeia ou por uma decisão de adequação. A definição que lhes permitiria treinar os seus modelos com estas conversas está desativada; apenas uma conversa assinalada pelos controlos de segurança da Anthropic pode ainda servir para treinar esses controlos.

Segurança

As trocas são cifradas de ponta a ponta por HTTPS. As palavras-passe são conservadas sob a forma de impressão calculada por um algoritmo concebido para ser lento de quebrar. Os identificadores que viajam nos endereços web são sorteados ao acaso e impossíveis de adivinhar. Cada ecrã verifica que o que mostra pertence de facto à família da conta ligada, e essa verificação é posta à prova automaticamente, rota a rota, a cada modificação do código.

Em caso de violação de dados suscetível de gerar um risco para os seus direitos, a CNIL será informada no prazo de 72 horas e será avisado diretamente quando o risco for elevado.

Os seus direitos

Dispõe de um direito de acesso, retificação, apagamento, limitação, oposição e portabilidade sobre os seus dados. Dois deles não exigem qualquer diligência, porque estão na aplicação:

• Acesso e portabilidade: o ecrã da sua conta descarrega, num clique, um ficheiro com tudo o que o Nestido sabe sobre si, num formato aberto e legível tanto por uma máquina como por si.
• Apagamento: o mesmo ecrã elimina a sua conta, de forma imediata e definitiva.
• Retificação: os ecrãs da família, das crianças e dos lugares modificam tudo o que aí introduziu.

Para os restantes, ou se alguma coisa não funcionar: team@nestido.com. A resposta chegar-lhe-á no prazo de um mês.

Se a resposta não o satisfizer, pode dirigir uma reclamação à CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, França, ou a partir de cnil.fr.

Eliminar a sua conta

Pode eliminar a sua conta Nestido, a qualquer momento e sem nos escrever: inicie sessão, abra o ecrã A minha conta, escolha Eliminar a minha conta, introduza a sua palavra-passe e depois Eliminar definitivamente. A eliminação acontece de imediato, é definitiva, e a sua sessão é terminada logo a seguir.

Antes de confirmar, o ecrã diz-lhe o que vai partir: se o outro progenitor tiver conta, a família e o seu planeamento ficam com ele e o seu nome volta a ser um membro sem conta; se for a única conta da família, tudo parte consigo. O mesmo ecrã transfere os seus dados, se quiser guardar antes um registo.

Se já não conseguir iniciar sessão, escreva para team@nestido.com a partir do endereço de correio da sua conta: a eliminação será feita por si, depois de verificado que o pedido vem realmente de si.

Nem tudo obriga a encerrar a sua conta: a partir da aplicação, pode eliminar uma noite anotada, um local que nunca foi utilizado, um membro da família ou o ritmo de guarda declarado. Uma criança é eliminada enquanto não lhe tiver sido anotada nenhuma noite, o que repara um registo a mais; assim que tiver uma, é arquivada: sai dos ecrãs e o seu historial permanece, para que a linha do tempo das noites já anotadas não seja interrompida.

Modificações

Esta política pode ser atualizada, nomeadamente se o serviço mudar. A data no topo da página indica a última versão. Uma alteração que tocasse verdadeiramente nos seus dados ser-lhe-ia anunciada por correio eletrónico, e não deslizada discretamente num parágrafo.