Política de privacidade

Esta é uma tradução. A versão em inglês prevalece em caso de divergência. Também em English.

1. Quem é responsável pelos seus dados

O Authis é feito e operado por André Santana Ferro, desenvolvedor individual residente no Brasil. Nos termos da Lei Geral de Proteção de Dados (LGPD) sou o controlador dos dados pessoais descritos aqui, e nos termos do GDPR sou o data controller.

Contato para qualquer assunto desta política, inclusive para exercer seus direitos: authis@andreferro.dev

Sou uma pessoa só, não uma empresa. Respondo eu mesmo essas mensagens.

2. O que o Authis coleta, e por quê

O Authis é um app de acompanhamento de hábitos. Quase tudo o que ele guarda foi você mesmo que digitou, porque queria que o app lembrasse.

Sua conta

O quê	Obrigatório?	Para quê	Base legal
E-mail	Sim	Identifica sua conta, é como você entra, e é para onde vai o link de confirmação ou de redefinição de senha	Execução de contrato — LGPD art. 7º, V; GDPR art. 6(1)(b)
Senha	Sim	Para autenticar você. Guardada apenas como hash bcrypt, nunca em texto	Execução de contrato
Nome de exibição	Não	Mostrado no app, se você definir um	Execução de contrato
Datas da conta	Sim	Quando foi criada e quando mudou pela última vez	Legítimo interesse — operar o serviço

O que você acompanha

O quê	Para quê	Base legal
Nome do hábito, descrição opcional, unidade, meta, frequência, cor	Isso é o hábito. Sem isso não há o que acompanhar	Execução de contrato
Horário do lembrete, como uma hora simples do tipo `08:30`	Para agendar um lembrete no seu aparelho	Execução de contrato
Registros diários: a data, se você cumpriu, um número opcional, uma nota opcional	É o seu histórico, e a base dos cálculos de sequência e dos gráficos	Execução de contrato
Dias de descanso que você marca	Para que uma folga proposital não quebre uma sequência	Execução de contrato
Sequências e totais	Calculados pelo servidor a partir dos registros acima. Você não digitou isso	Execução de contrato

Se você enviar um feedback

A mensagem que você escreveu, mais a versão do app, seu sistema operacional (ios ou android) e o idioma em que o app estava. Seu e-mail não é copiado para o registro de feedback, de propósito.

Se você assinar

A Apple ou o Google recebe o pagamento. O Authis nunca vê seu cartão, seu endereço de cobrança, nem mesmo o recibo da compra. Por meio do RevenueCat, serviço que administra as assinaturas, o servidor fica sabendo apenas: qual assinatura você tem, de qual loja veio, se é período de teste, quando expira, se está marcada para renovar, se a loja relatou problema de cobrança, e o link da loja onde você a gerencia.

Não há preço, valor, número de transação nem forma de pagamento em nada disso.

Informações técnicas

Toda requisição que o app faz leva o número da versão do app, para que o servidor possa recusar uma versão antiga demais para funcionar corretamente.

Seu endereço IP chega ao servidor como chega a qualquer site. Ele é usado apenas para aplicar limites de uso — impedir que uma única origem sobrecarregue o serviço — e fica em memória só para isso. Nunca é gravado no banco de dados e nunca é gravado nos registros da aplicação.

3. Sobre informações sensíveis

Esta seção importa mais que as outras, então está escrita de forma direta.

Um app de hábitos acaba sendo usado para medicação, terapia, exercício, bebida, cigarro e recuperação. Descrições de hábitos e notas diárias são texto livre: você pode escrever qualquer coisa, e o Authis guarda exatamente o que você escreveu.

O que quero que fique claro:

O Authis nunca pede informação de saúde. Não há campo de saúde, nem pergunta sobre saúde, nem conexão com Apple Health, Google Fit ou qualquer serviço de saúde.
Nada é inferido do que você escreve. Sem perfilamento, sem categorização, sem análise das suas notas. Elas são guardadas e mostradas de volta para você.
Mas o que você digita fica guardado. Se você escrever “tomei 300mg de lítio” numa nota, essa frase está no banco de dados, e está no seu celular.

Pela LGPD art. 11 e pelo GDPR art. 9, informação que revela saúde é dado sensível. Quando você escolhe colocar esse tipo de informação num campo de texto livre, faz isso por iniciativa própria, e o tratamento se apoia nessa escolha explícita. Se você prefere que essa informação não seja guardada, não a digite na nota. Um hábito chamado “Rotina da manhã” funciona tão bem quanto um chamado pelo nome de um diagnóstico.

4. Quem mais recebe seus dados

Cinco empresas, e mais ninguém. Nenhum corretor de dados, nenhuma empresa de análise.

Quem	O que recebe	Por quê
Railway (Estados Unidos)	Hospeda o servidor e o banco, então tecnicamente guarda tudo da seção 2	O serviço precisa rodar em algum lugar
Resend (Estados Unidos)	Seu e-mail e o link de confirmação ou redefinição enviado a ele	Para entregar esses dois e-mails
RevenueCat (Estados Unidos)	Apenas o identificador interno da sua conta — um UUID aleatório. Sem e-mail, sem nome, sem nada do que você acompanha	Para informar ao servidor se sua assinatura é válida
Apple / Google	O que você fornece a eles ao comprar uma assinatura	Eles processam o pagamento; eu nunca vejo
Google AdMob	Um identificador de publicidade, sua localização aproximada a partir do IP, e o fato de um anúncio ter sido exibido	Para exibir a publicidade que uma conta gratuita vê

O SDK do RevenueCat dentro do app também lê identificadores próprios como parte da gestão de compras — o identificador de fornecedor da Apple no iOS e, no Android, o “install referrer” da Play Store, que indica de qual anúncio ou listagem veio a instalação. Esse é um tratamento deles, descrito na política de privacidade deles. Serve para atribuir compras, não para rastrear você por outros apps.

Eu não vendo seus dados. Nunca vendi e não existe arranjo pelo qual isso pudesse acontecer.

5. O que o Authis não faz

Cada item aqui é verificável no código-fonte, não é promessa de intenção:

Sem análise de uso. Nada de Google Analytics, Firebase Analytics, Amplitude, Mixpanel, PostHog, Segment ou equivalente.
Sem serviço de relatório de erros ou de falhas. Nada de Sentry, Crashlytics ou Bugsnag.
Sem rastreamento entre apps ou sites, nem por mim nem por quem recebe dados de mim. O app não pede permissão de rastreamento porque não rastreia você: a publicidade aqui é não personalizada, e não existe o aviso de App Tracking Transparency porque não há o que pedir.
Sem cookies. O Authis não tem site nem versão web; é um app de celular conversando com uma API.
Sem localização, e sem fuso horário. O servidor guarda o horário do lembrete como uma hora simples, sem fuso, justamente para nunca descobrir onde você está.
Sem notificações push, e sem token de push. Os lembretes são agendados pelo seu celular, no seu celular. Nada é enviado de um servidor para dispará-los, e nenhum token de notificação existe.
Sem e-mail de marketing. O servidor consegue enviar exatamente duas mensagens: confirme seu endereço, e redefina sua senha. Não há newsletter nem mecanismo para enviar uma.

6. Publicidade

Uma conta gratuita vê um banner no rodapé da tela. Uma conta premium não vê nenhum — é boa parte do que você está pagando.

Os anúncios são não personalizados. São escolhidos a partir do conteúdo do app e, no máximo, da localização em nível de cidade que seu IP sugere. Não são escolhidos a partir de nada que você faça no Authis, de nada que você tenha feito em outros apps, nem de qualquer perfil seu. Nada do que você acompanha é enviado a anunciantes: seus hábitos, notas e histórico não saem do servidor descrito na seção 4.

Ainda assim há um identificador de publicidade envolvido, e vale ser preciso sobre o porquê. Não personalizado não significa sem identificador. O Google usa um identificador de publicidade do aparelho para limitar quantas vezes você vê o mesmo anúncio e para detectar cliques fraudulentos, mesmo quando o anúncio não é direcionado a você. Essa é a descrição honesta, e é o motivo desta seção existir em vez de uma frase dizendo “não rastreamos você” e parando por aí.

Na Europa você é perguntado antes. Antes de qualquer anúncio ser solicitado, o formulário de consentimento do Google aparece e sua resposta é registrada. Se você recusar, ou se o formulário não carregar, nenhum anúncio é solicitado. Você pode reabrir essas escolhas a qualquer momento pelo mesmo formulário.

Você pode remover a publicidade por completo assinando, e essa é a única coisa que a remove.

7. Transferência internacional

Eu estou no Brasil. A hospedagem e os dois prestadores acima estão nos Estados Unidos, então seus dados são transferidos para fora do Brasil e, se você estiver na Europa, para fora do EEE.

Essas transferências acontecem porque o serviço não funcionaria de outro modo, e se apoiam nas cláusulas contratuais padrão dos próprios prestadores. Pela LGPD art. 33, a transferência é necessária para a execução do contrato que você celebrou ao criar uma conta.

8. O que fica guardado no seu celular

O Authis mantém uma cópia de parte dos seus dados no aparelho para funcionar offline.

Guardado com criptografia, no Keychain do iOS ou no Keystore do Android: seu token de sessão, e nada mais.

Guardado sem criptografia, no armazenamento comum do app:

seu e-mail e nome de exibição
seus hábitos, incluindo nomes e descrições
os últimos 30 dias de registros diários, incluindo suas notas
alterações feitas offline, aguardando envio
suas preferências: idioma, tema, se os lembretes estão ligados

Isso é um cache normal de aplicativo, e não é legível por outros apps. É legível por quem tiver seu celular desbloqueado, ou um backup dele. No Android pode ser incluído num backup do Google.

É apagado quando você sai da conta deliberadamente. Não é apagado quando a sessão simplesmente expira — isso é intencional, para que o trabalho feito offline não se perca antes de ser enviado. É descartado automaticamente após 14 dias sem uso, e quando outra pessoa entra na conta.

Os lembretes mostram o nome do hábito na tela de bloqueio, então ele fica visível para quem puder ver sua tela. Nomeie seus hábitos levando isso em conta, se for relevante para você.

9. Por quanto tempo é guardado

Tudo o que o Authis guarda sobre você permanece enquanto sua conta existir, e é excluído junto com ela. Excluir a conta remove seus hábitos, registros, notas, dias de descanso, feedbacks, registro de assinatura e links de acesso, em cascata. Nada seu permanece no banco de dados depois disso.

Duas exceções automáticas, ambas pequenas: links de acesso usados ou expirados são apagados após 24 horas, e uma conta criada e nunca confirmada é removida após 7 dias.

O que a exclusão da conta não alcança, dito com clareza porque nenhuma política deveria afirmar o contrário:

O RevenueCat mantém o próprio registro de assinatura vinculado ao identificador da sua antiga conta, conforme a política de retenção deles.
O Resend mantém o registro dos e-mails que entregou, conforme a deles.
Os registros do servidor podem conter o identificador aleatório da sua conta pelo tempo que o provedor de hospedagem retiver logs. Eles não contêm e-mail, nome, nem nada do que você acompanhava.

10. Seus direitos

Pela LGPD art. 18, e pelo Capítulo III do GDPR se você estiver na Europa, você pode me pedir para:

confirmar se guardo dados sobre você, e acessar uma cópia deles
corrigir o que estiver incompleto ou errado
excluir seus dados
informar com quem foram compartilhados
opor-se ao tratamento, ou pedir que seja restringido
levá-los para outro lugar, em formato portável
revogar o consentimento, onde o tratamento se apoiar em consentimento

Escreva para authis@andreferro.dev. Respondo em até 15 dias, como a LGPD exige, e em até um mês onde o GDPR se aplicar.

Duas limitações honestas:

Seu e-mail não pode ser alterado no app. Não existe tela para isso, porque o endereço identifica a conta. Escreva para mim e eu altero para você.

Você não consegue excluir a conta enquanto uma assinatura ainda estiver marcada para renovar. O app recusa, e isso é proposital, não uma barreira. A Apple não dá ao desenvolvedor nenhuma forma de cancelar a assinatura de alguém em seu nome, então excluir sua conta apagaria todo registro da assinatura enquanto as cobranças continuassem. Cancele primeiro na App Store ou na Play Store — o app leva você direto para lá — e depois exclua. Se preferir que eu cuide disso, escreva para mim.

Você também tem o direito de reclamar à ANPD, no Brasil, ou à autoridade de proteção de dados do seu país, na Europa.

11. Segurança

Medidas específicas, em vez de uma afirmação de “padrão de mercado”:

Senhas são protegidas com bcrypt e nunca guardadas em texto. O hash é excluído de toda leitura do banco, exceto a que verifica sua senha.
Links enviados por e-mail são guardados apenas como um resumo SHA-256. O link que está na sua caixa de entrada não existe em nenhum outro lugar, então uma cópia do banco de dados não permite que alguém o use.
Links de confirmação expiram em 24 horas, links de redefinição de senha em uma hora, e cada um só pode ser usado uma vez.
Redefinir a senha desconecta todos os outros aparelhos.
As conexões usam HTTPS, terminado pelo provedor de hospedagem.
Os endpoints de login, cadastro e e-mail têm limite de uso, e há um teto de quantos e-mails um mesmo endereço pode receber por dia.
Toda a API exige um token de sessão válido por padrão.

Nenhum sistema é perfeitamente seguro, e não vou fingir o contrário. Se você encontrar uma vulnerabilidade, por favor escreva para mim antes de divulgá-la publicamente.

12. Crianças

O Authis é para pessoas de 13 anos ou mais. Onde a lei local exigir idade maior para consentir com serviços online sem um responsável — 16 anos em vários países europeus — vale essa idade maior.

Não coleto conscientemente dados de crianças abaixo dessa idade. Se você acredita que uma criança criou uma conta, escreva para mim e eu a excluo.

13. Mudanças nesta política

Se esta política mudar de forma que afete você, a nova versão será publicada aqui com nova data de vigência, e o app avisará sobre mudanças relevantes antes que entrem em vigor. O histórico de cada alteração está visível neste repositório.

14. Contato

André Santana Ferro — authis@andreferro.dev

Para qualquer assunto sobre esta política, seus dados ou seus direitos.