Política de Privacidade
Que dados pessoais recolhemos, porque precisamos deles, com quem os partilhamos, e como pode controlá-los.
1. Quem é o responsável pelo tratamento?
O responsável pelo tratamento dos dados pessoais processados através da acervus é o operador do Serviço, contactável através de privacy@acervus.app. Caso seja constituída uma entidade legal dedicada, esta política será atualizada com os respectivos dados.
2. Âmbito
Esta política aplica-se aos dados pessoais que processamos quando utiliza a acervus (o "Serviço"), seja através da aplicação web em acervus.app, ao receber emails transaccionais nossos, ou ao ligar integrações de terceiros que suportamos.
3. O que recolhemos
Informação que nos fornece directamente
| Dados | Porque precisamos | Base legal |
|---|---|---|
| Endereço de email, nome (opcional), palavra-passe (com hash) | Autenticação, recuperação de conta, emails transaccionais | Contrato (Art. 6(1)(b) RGPD) |
| Segredo de autenticação de dois factores (se ativada) | Verificar a sua identidade no acesso | Contrato · Interesse legítimo (segurança) |
| Metadados da colecção: álbuns, artistas, faixas, tags, notas, BPM, tonalidades, playlists | Função principal do Serviço — armazenar e mostrar a sua colecção | Contrato |
| Tokens de integração de terceiros (Discogs, armazenamento na cloud, Airtable, Notion, Sheets, ACRCloud, etc.) | Aceder ao serviço terceiro em seu nome para acções que iniciar | Consentimento (Art. 6(1)(a)) · Contrato |
Informação que recolhemos automaticamente
| Dados | Porquê | Base legal |
|---|---|---|
| Endereço IP (para limitação de taxa e prevenção de abuso) | Proteger o Serviço de tentativas de brute-force e scraping | Interesse legítimo (Art. 6(1)(f)) |
| Logs de servidor (path do pedido, status, user agent, timestamp) | Depuração e segurança; rotação em 30 dias | Interesse legítimo |
| Cookie de sessão (essencial) | Manter sessão iniciada entre carregamentos de página | Essencial (estritamente necessário, sem consentimento exigido) |
Não utilizamos analítica de terceiros, cookies de publicidade, pixels de remarketing nem perfilagem comportamental.
4. Como utilizamos os seus dados
- Para operar e prestar o Serviço.
- Para o autenticar e manter a sua conta segura.
- Para enviar emails transaccionais (magic links, recuperação de palavra-passe, avisos de conta). Não enviamos emails de marketing a partir deste Serviço.
- Para depurar problemas e melhorar fiabilidade.
- Para cumprir obrigações legais.
5. Com quem partilhamos dados
Partilhamos dados pessoais com um pequeno número de subcontratantes de confiança que nos ajudam a operar o Serviço. Não vendemos os seus dados. Não permitimos que estes subcontratantes utilizem os seus dados para fins próprios.
| Subcontratante / destinatário | Finalidade | Localização |
|---|---|---|
| Fornecedor de alojamento | Operar o servidor e armazenar bases de dados | UE (ou salvaguardas equivalentes) |
| Fornecedor de email transaccional | Enviar magic links, recuperação de palavra-passe, convites | UE ou EUA (com Cláusulas Contratuais-Tipo) |
| API Discogs | Sincronizar a sua colecção Discogs — apenas quando liga o Discogs | EUA |
| Fornecedores de armazenamento na cloud (Dropbox, Google Drive, OneDrive) | Aceder aos seus ficheiros de áudio — apenas quando os liga | EUA / UE |
| Sincronização externa (Airtable, Google Sheets, Notion) | Sincronizar a sua colecção — apenas quando os liga | EUA / UE |
| YouTube API Services (Google) | Descobrir e associar vídeos YouTube a faixas na sua colecção pessoal — apenas quando o administrador ativa funcionalidades YouTube e o utilizador as usa | EUA |
Os serviços de terceiros que ligar são responsáveis pelo tratamento independentes; as suas práticas de privacidade aplicam-se aos dados que detêm e são regidas pelas próprias políticas.
5.1. YouTube API Services — aviso específico
Quando utiliza as funcionalidades YouTube dentro da acervus (por exemplo, o separador YouTube na Link Library, auto-link, ou o leitor YouTube in-app), os seguintes dados são trocados com a Google:
- Consultas de pesquisa: quando despoleta um scan de auto-link, o título e artista de cada faixa em causa são enviados para o YouTube como consulta de pesquisa (ex.
"Brazil Frank Sinatra"). Estas consultas não são associadas à sua conta acervus em quaisquer dados partilhados com a Google — são enviadas a partir do servidor acervus usando uma única chave de API gerida pelo administrador da acervus. - Metadados de vídeo: em resposta a uma pesquisa, o YouTube devolve uma lista de títulos de vídeo correspondentes, nomes de canal e URLs de thumbnail. Estes resultados são guardados em cache durante no máximo 30 dias para evitar chamadas API duplicadas e depois são atualizados ou eliminados. A acervus armazena o videoId que aceitar (via Apply ou auto-link) para que o leitor in-app possa incorporá-lo mais tarde; esse videoId guardado é mantido com a sua colecção e eliminado com a sua conta.
- Sinais de reprodução: quando reproduz um vídeo YouTube dentro da acervus, o leitor IFrame YouTube incorporado comunica directamente com o YouTube usando o seu navegador; a acervus não está envolvida nesse tráfego.
A utilização dos YouTube API Services pela acervus é regida pelos Termos de Serviço do YouTube e pela Política de Privacidade da Google. Não descarregamos, espelhamos ou retransmitimos conteúdo YouTube. O operador da acervus gere uma única chave de API YouTube ao nível do servidor para todos os utilizadores; o utilizador não associa uma conta Google pessoal à acervus para usar estas funcionalidades, pelo que não existem permissões da Google API por utilizador para revogar. Para eliminar os seus links YouTube guardados na acervus, abra a Link Library da faixa relevante e remova-os, ou encerre a sua conta acervus (o que elimina todos os dados de links conforme a política de retenção abaixo). Qualquer histórico de reprodução YouTube recolhido directamente pelo seu navegador ou conta YouTube durante reprodução incorporada é regido pelas próprias políticas da Google, sendo independente da acervus.
6. Transferências internacionais
Alguns subcontratantes em que confiamos (nomeadamente Discogs e fornecedores de armazenamento na cloud) estão sediados fora do Espaço Económico Europeu. Quando ocorrem tais transferências, baseamo-nos em Cláusulas Contratuais-Tipo (CCT) ou salvaguardas equivalentes aprovadas pelo Artigo 46 RGPD.
7. Por quanto tempo guardamos os seus dados
- Dados de conta (email, hash da palavra-passe, segredo 2FA): mantidos enquanto a conta está ativa. Eliminados em 30 dias após encerramento da conta, salvo retenção legal obrigatória.
- Dados de colecção (álbuns, tags, playlists, notas): mantidos enquanto a conta está ativa. Eliminados com a conta.
- Tokens de integração de terceiros: mantidos até o utilizador desligar a integração ou encerrar a conta.
- Dados de API YouTube em cache (resultados de pesquisa usados para associar faixas a vídeos): mantidos no máximo 30 dias, depois atualizados ou eliminados. Apenas o videoId de um link que guarde numa faixa persiste para além disso — armazenado com a sua colecção e eliminado com a sua conta.
- Logs de servidor: rotação em 30 dias.
- Emails da lista de espera: mantidos até termos enviado convite ou o utilizador pedir remoção.
8. Os seus direitos ao abrigo do RGPD
Como titular de dados na UE/EEE tem os seguintes direitos. Pode exercê-los a partir das Definições na aplicação, ou enviando email para privacy@acervus.app:
- Acesso (Art. 15) — obter cópia dos dados pessoais que detemos sobre si.
- Rectificação (Art. 16) — corrigir dados imprecisos ou incompletos.
- Apagamento / “direito a ser esquecido” (Art. 17) — solicitar a eliminação dos seus dados. Disponível nas Definições como ação de um clique após confirmação.
- Limitação (Art. 18) — solicitar que limitemos o tratamento.
- Portabilidade (Art. 20) — receber os seus dados em formato estruturado e legível por máquina (ZIP com dumps JSON). Disponível nas Definições.
- Oposição (Art. 21) — opor-se ao tratamento baseado em interesse legítimo.
- Retirar consentimento (Art. 7(3)) — sempre que nos baseamos em consentimento, pode retirá-lo a qualquer momento.
- Apresentar reclamação junto da autoridade de controlo. Em Portugal, a autoridade é a Comissão Nacional de Proteção de Dados (cnpd.pt).
9. Segurança
Aplicamos medidas técnicas e organizacionais razoáveis para proteger os seus dados: palavras-passe armazenadas com hash através de algoritmo moderno, sessões via HTTPS e cookies HttpOnly, rate limiting em endpoints de autenticação, e acesso restrito a dados de produção. Nenhum sistema é perfeitamente seguro; se tomarmos conhecimento de uma violação de dados pessoais, notificaremos os utilizadores afectados e autoridades competentes conforme exigido por lei.
10. Crianças
O Serviço não é dirigido a crianças com menos de 16 anos. Se tomarmos conhecimento de que recolhemos dados pessoais de uma criança com menos de 16 anos sem consentimento parental, eliminá-los-emos.
11. Decisões automatizadas
Não utilizamos os seus dados para decisões automatizadas que produzam efeitos legais ou similarmente significativos sobre si.
12. Alterações a esta Política
Atualizaremos esta Política quando as práticas mudarem. Se as alterações forem materiais, notificá-lo-emos por email e/ou aviso in-app com pelo menos 14 dias de antecedência. A data de "Última atualização" no topo desta página reflete sempre a versão actual.
13. Contacto
Para qualquer questão sobre esta Política ou para exercer os seus direitos: privacy@acervus.app.
← Voltar à acervus