DocCipher · aplicação móvel
Política de privacidade
O DocCipher conserva os seus documentos num cofre encriptado no dispositivo. Não existe conta DocCipher nem servidor de documentos da BB16 Studio.
Responsável pelo tratamento
O responsável pelo tratamento é a BB16 Studio, editora do DocCipher. Para qualquer pergunta ou pedido sobre os seus dados, escreva para bb16studio@gmail.com. Esta política abrange a versão Android do DocCipher anunciada para o Google Play. A aplicação ainda não está disponível nessa plataforma.
Documentos e encriptação local
Os documentos importados, as respetivas pré-visualizações, o texto reconhecido por OCR, as pastas, as etiquetas e os dados do cofre permanecem no espaço privado da aplicação. O cofre é encriptado no dispositivo. A BB16 Studio não recebe os seus documentos, o respetivo conteúdo, a sua palavra-passe ou o material de recuperação.
O reconhecimento de texto (OCR) é executado no dispositivo, com modelos incorporados na aplicação: nenhuma imagem ou texto é enviado para um servidor para esse fim.
Lembretes locais e dados fora do cofre
Se ativar os lembretes, o DocCipher conserva no espaço privado da aplicação, fora do cofre encriptado, um plano limitado a dias, contadores, hora escolhida e textos genéricos. Este plano permite lembretes locais mesmo quando o cofre está bloqueado. Não contém títulos de documentos, nomes, números ou categorias. A notificação utiliza um título genérico no ecrã bloqueado. Estes dados não são enviados por um serviço de notificações push.
Sem servidor de documentos nem sincronização
A BB16 Studio não explora qualquer servidor que aloje, analise, sincronize ou guarde os seus documentos. A sincronização WebDAV ou Nextcloud não está disponível nesta versão, nem qualquer outro armazenamento online. Os seus documentos só saem do dispositivo através de uma exportação iniciada por si.
Exportações e cópias de segurança escolhidas por si
Um documento ou uma cópia de segurança .dcvault só sai da aplicação quando inicia explicitamente uma exportação e escolhe o destino através do seletor ou da folha de partilha do sistema. Uma cópia .dcvault permanece encriptada; um documento exportado em claro deixa de o estar e fica sujeito à segurança do destino escolhido.
O kit de recuperação (a sua frase de recuperação e o respetivo código QR) só sai da aplicação se o imprimir, guardar em PDF no local escolhido ou copiar a frase. Fica então sujeito à impressora, ao destino ou à área de transferência escolhidos.
A cópia de segurança automática do Android e a transferência automática para um novo dispositivo estão desativadas.
O SDK de compras Android pode pedir ao Google Block Store que guarde o identificador pseudónimo associado às compras, para facilitar o respetivo restauro. Este canal é distinto da cópia de segurança dos ficheiros da aplicação desativada acima; não abrange os seus documentos.
Desbloqueio biométrico
Se o ativar, o desbloqueio biométrico passa pelo pedido do sistema Android. O DocCipher recebe apenas a resposta, identidade confirmada ou não: não acede a impressões digitais, imagens do rosto ou modelos biométricos, que permanecem na zona segura do dispositivo. A biometria não substitui o seu código PIN, que continua a ser necessário.
Código de pânico e cofre de engodo previstos no lançamento
Estas duas funções opcionais estão previstas no direito Premium vitalício, sem custo adicional. A sua implementação local está em validação; a disponibilidade pública continua dependente das revisões de segurança e dos testes necessários no dispositivo.
O código de pânico é ativado voluntariamente após autenticação com a palavra-passe principal, com um PIN distinto introduzido duas vezes, dois consentimentos e uma confirmação da ação irreversível. Escolhe alguns cofres ou todos. Só a introdução exata do PIN de pânico armado aciona depois, sem novo diálogo, a eliminação lógica dos ficheiros, chaves locais, caches e miniaturas dos cofres escolhidos. Não garante a sobreposição física do armazenamento. As cópias de segurança exportadas, cópias na nuvem e outras cópias externas não são eliminadas.
O cofre de engodo é um cofre local separado, com o seu próprio PIN, as suas próprias chaves e o seu próprio conteúdo. Quando é aberto, apenas o seu conteúdo é apresentado. Esta proteção contra um olhar ocasional está documentada publicamente; não garante que um observador desconheça a sua existência nem que uma análise do dispositivo não consiga distingui-lo.
Compras opcionais
As trocas do DocCipher com a RevenueCat servem para apresentar ofertas, comprar, restaurar uma compra e verificar o acesso Premium associado a estas ações opcionais. Pode utilizar o DocCipher sem comprar nada. O pagamento é efetuado pelo Google Play. A verificação da compra e do seu acesso Premium é confiada à RevenueCat, um prestador que atua por conta e sob as instruções da BB16 Studio (subcontratante na aceção do RGPD). Depois de o SDK estar configurado, a aplicação pode voltar a pedir-lhe o estado do acesso Premium quando regressa ao primeiro plano. Nenhum documento, cofre, PIN, palavra-passe ou chave passa por este canal.
A abertura das ofertas, uma compra, um restauro ou um direito Premium conhecido também deixa um indicador local de interesse Premium. Nos arranques seguintes, este indicador pode provocar a configuração do SDK e uma nova verificação do acesso, mesmo sem abrir as ofertas. Um indicador ilegível é tratado como presente para permitir a recuperação do direito. Esta inicialização pode começar no primeiro desbloqueio do processo; não garante um pedido em cada arranque nem uma resposta de rede.
Em cada uma destas trocas, a RevenueCat recebe:
- um identificador de utilizador aleatório, criado pelo SDK da RevenueCat na primeira vez que a aplicação o contacta;
- informações técnicas anexadas a cada pedido: a plataforma e a versão do Android, o modelo e a marca do dispositivo, o idioma ou idiomas do dispositivo, o país da sua conta Google Play, o identificador da aplicação, a versão da aplicação e a versão do SDK;
- o endereço IP da sua ligação, que qualquer servidor contactado recebe e do qual pode ser deduzido um país aproximado.
Durante uma compra ou restauro, a RevenueCat recebe ainda o token de compra (recibo) do Google Play, o produto comprado, o preço e a moeda, bem como as datas da transação. A partir destes dados, determina o estado do seu acesso Premium (ativo ou expirado).
Este identificador não contém o seu nome nem endereço de email, mas não é anónimo: está associado às suas compras Google Play, por sua vez ligadas à sua conta Google, e o restauro de uma compra pode associá-lo aos identificadores das suas outras instalações. É um dado pseudónimo. Não é criada qualquer conta, a recolha automática de identificadores do dispositivo (identificador publicitário, identificador Android) está desativada e os diagnósticos do SDK estão desativados.
Como em qualquer compra na Play Store, o Google Play recebe a sua conta Google, o produto e as informações de pagamento. A Google trata estes dados como responsável distinto, segundo a sua própria política de privacidade. Na sua consola, o Google Play fornece à BB16 Studio as informações de encomenda necessárias à gestão das vendas, nomeadamente o número de encomenda, o produto, o preço e o país de compra. A BB16 Studio nunca vê os seus dados bancários.
Finalidade e fundamento jurídico
As comunicações com a RevenueCat servem para gerir as suas compras e os seus direitos Premium:
- verificar o seu acesso Premium assim que a aplicação contacta a RevenueCat, mesmo que não tenha comprado nada: este tratamento é necessário para a execução do contrato de utilização da aplicação (artigo 6.º, n.º 1, alínea b), do RGPD);
- processar uma compra ou um restauro: este tratamento é necessário para a execução do contrato de compra (artigo 6.º, n.º 1, alínea b), do RGPD).
Os dados de compra também são utilizados para estatísticas de vendas e subscrições na RevenueCat. Não são utilizados para publicidade, definição de perfis publicitários ou rastreio publicitário. Se nos escrever, a sua mensagem e o seu endereço de email são utilizados para lhe responder, com base no nosso interesse legítimo em fazê-lo ou nas nossas obrigações legais quando exerce os seus direitos.
Transferência para fora da União Europeia
A RevenueCat, Inc. está estabelecida nos Estados Unidos, onde são tratados os dados de compra acima descritos. Esta transferência é enquadrada pelas cláusulas contratuais-tipo da Comissão Europeia, integradas no acordo de tratamento de dados da RevenueCat. Pode pedir uma cópia através de bb16studio@gmail.com.
Prazo de conservação
Os dados de compra são conservados pela RevenueCat enquanto forem necessários para gerir e restaurar a sua compra e eliminados a seu pedido (ver «Eliminação e os seus direitos»). Se nunca comprou mas a aplicação contactou a RevenueCat, esta conserva por conta da BB16 Studio um registo pseudónimo limitado ao identificador e às informações técnicas acima descritas, enquanto servir para esse contacto, e elimina-o a pedido. O Google Play conserva os seus próprios dados de encomenda segundo a sua política. Os seus documentos permanecem no dispositivo até serem eliminados na aplicação. Uma eliminação por código de pânico apaga logicamente os cofres escolhidos e os respetivos dados locais; as cópias externas permanecem no destino até serem aí eliminadas.
O que o DocCipher não faz
- Sem conta de utilizador DocCipher e sem pedido de endereço de email.
- Sem publicidade, identificador publicitário ou venda de dados.
- A RevenueCat trata os dados de compra descritos acima, incluindo para estatísticas de vendas. Não é adicionado qualquer SDK de rastreio da utilização de documentos ou de comunicação de falhas; os componentes de diagnóstico das bibliotecas ML Kit são removidos.
- Sem rastreio entre aplicações ou entre sites.
Relatórios de falhas do Android
Se aceitou, nas definições do dispositivo, partilhar dados de utilização e diagnóstico com a Google, o Android pode enviar à Google relatórios de falhas e desempenho. O Google Play disponibiliza-os à BB16 Studio na consola (Android Vitals), sob a forma de estatísticas agregadas e relatórios técnicos: modelo do dispositivo, versão do Android, rastreio do erro. Este mecanismo pertence ao sistema, não ao DocCipher. Estes relatórios não contêm os seus documentos, nome ou endereço de email e podem ser desativados nas definições do dispositivo.
Avaliações no Google Play
O DocCipher pode chamar a API oficial Google Play In-App Review após proteger com êxito um documento ou concluir uma cópia de segurança. O pedido nunca é feito no arranque, durante um processamento, após uma falha nem nos ecrãs do código de pânico ou do cofre de engodo. Um prazo local de pelo menos 90 dias separa dois pedidos. O Google Play decide se a interface é apresentada; o DocCipher não recebe a avaliação, o comentário ou a pontuação e não sabe se o cartão foi apresentado. Nenhum documento, cofre, PIN ou texto introduzido passa por este canal.
Permissões Android
O manifesto da compilação Android preparada para o Google Play declara exatamente sete entradas:
android.permission.INTERNET— as compras, e nada mais;com.android.vending.BILLING— a faturação do Google Play;android.permission.USE_BIOMETRIC— apresentar o pedido biométrico do sistema; não dá acesso a quaisquer dados biométricos;android.permission.USE_FINGERPRINT, limitada ao Android 9 e versões anteriores — a mesma função nessas versões;android.permission.RECEIVE_BOOT_COMPLETED— reagendar os lembretes locais após o reinício;android.permission.POST_NOTIFICATIONS— apresentar lembretes locais, com autorização do sistema quando necessária;- uma permissão de assinatura interna da aplicação, que não abre qualquer capacidade do dispositivo.
Não é pedida qualquer permissão de câmara, localização, contactos, microfone ou armazenamento alargado: os ficheiros passam pelos seletores do sistema.
Eliminação e os seus direitos
Pode eliminar os seus documentos na aplicação. Se armou voluntariamente a opção Premium de pânico, o respetivo PIN distinto pode eliminar logicamente os cofres locais selecionados ou todos os cofres locais. Esta ação é irreversível na aplicação, mas não garante uma eliminação física nem elimina cópias de segurança externas. Também pode apagar todos os dados locais do DocCipher nas definições do Android ou desinstalar a aplicação. Uma cópia exportada permanece no local escolhido até ser aí eliminada. A BB16 Studio não pode extrair, desencriptar ou restaurar o seu cofre à distância.
Para os dados tratados pela RevenueCat por conta da BB16 Studio, pode pedir acesso, retificação, apagamento, limitação ou portabilidade e opor-se ao tratamento quando este se baseia no nosso interesse legítimo. Escreva para bb16studio@gmail.com. Se efetuou uma compra, indique o número de encomenda do Google Play: começa por «GPA.» e consta do email de recibo enviado pelo Google Play. Se nunca comprou mas a aplicação contactou a RevenueCat, indique a data aproximada e o modelo do dispositivo: como a aplicação não pede a sua identidade, estes elementos e o identificador próprio da RevenueCat bastam para encontrar o seu registo, sem número de encomenda. Nunca anexe documentos, palavras-passe, chaves ou frases de recuperação. O RGPD concede-nos um mês para responder.
Apagar estes dados não cancela a compra: o Google Play conserva-a e um restauro posterior volta a encontrá-la, transmitindo novamente à RevenueCat os dados acima descritos. Uma subscrição é gerida e cancelada no Google Play.
Se considerar que os seus direitos não são respeitados, pode apresentar uma reclamação a uma autoridade de proteção de dados, em França a CNIL.
Alterações
Esta página será atualizada se os fluxos de dados, os serviços de terceiros ou as permissões da aplicação mudarem.