Política de privacidade

Responsável

Miguel Ángel Llorente Carmona, NIF 77713367R, C/ Johann Sebastian Bach, 1, 46520 Port de Sagunt, Sagunto (Valencia). Para qualquer assunto de privacidade: info@corallyapp.com.

Que dados tratamos e para quê

• Conta: nome, email, palavra-passe (guardada como hash, nunca em claro), idioma, preferências, data em que aceitaste o aviso de utilização e, se entrares com a Google ou com a Apple, o identificador dessa conta, o teu email e o teu nome (com a Apple, só se o partilhares). Para te prestar o serviço (base: o contrato que aceitas ao registar-te).
• Rotas e análises: os pontos de partida, chegada e passagem, os GPX que carregas, as rotas calculadas e as que guardas. Para as calcular, mostrar e exportar (base: o contrato). Se na app abrires um GPX a partir de uma ligação, o telemóvel descarrega-o diretamente desse sítio (que vê o teu endereço IP, como ao abri-lo no navegador) e depois carrega-o como qualquer outro GPX.
• App móvel e avisos: se instalares a app e aceitares os avisos, o identificador de avisos (push) de cada telemóvel, o seu sistema (Android ou iOS) e a versão da app; e as rotas que envias a ti próprio a partir da web para «Recebidas». Para te avisar no telemóvel quando te chega uma rota e ta mostrar na app (base: o contrato).
• Navegador da app: a tua posição GPS é processada no telemóvel para te guiar e é enviada ao recalcular ou com os percursos e os sinais do navegador descritos a seguir. Ao recalcular enviamos a tua posição e o ponto da rota em que estás para calcular a rota nova, que é guardada como mais uma rota da tua conta. As indicações por voz são lidas pelo próprio telemóvel. Para te guiar (base: o contrato).
• Navegador com o ecrã desligado (se o ativares): o GPS continua em segundo plano enquanto guia, com a permissão de localização «durante a utilização da app» (nunca «sempre») e, no Android, uma notificação fixa do sistema. A posição continua a ser processada no telemóvel e é enviada nos mesmos casos descritos para o navegador, os percursos gravados e os seus sinais. Ao sair do navegador, para.
• Ecrã da mota (Android, opcional): guardamos só no teu telemóvel o perfil e o tamanho que escolhes. O Android indica-nos se o nosso ecrã está a ser partilhado ou gravado para adaptar a navegação e restaurá-la no fim. O Corally não captura imagens nem envia este estado para o servidor. A projeção é feita pela aplicação que escolhes, segundo as suas permissões e política de privacidade.
• Ecrã da mota com CarPlay ou Android Auto (se a tua conta o tiver): mostra no ecrã da mota o mesmo que o telemóvel (mapa, rota, avisos, Copiloto) e usa os mesmos dados; não se envia nada de novo, salvo quanto tempo o usas e em que modo (com ou sem rota), sem posições. Para funcionar com o telemóvel bloqueado, o token da tua sessão pode ser lido dentro do telemóvel após o primeiro desbloqueio; continua sem sair dele.
• Mapas e rotas sem ligação (app): as comunidades e as rotas que descarregas são guardadas só no teu telemóvel e apagas-las em «Mapas sem ligação». Para o mapa de uma rota geramos no nosso servidor um ficheiro com o mapa à volta da rota, sem os teus dados de conta e com um nome impossível de adivinhar; é apagado se ninguém o pedir em 30 dias.
• Percursos gravados (se gravares): os pontos GPS com a sua hora e altitude do percurso, no telemóvel e, ao carregá-lo, na tua conta («Gravadas»), privados e só para ti; servem para os veres, exportares e analisares. São apagados quando os apagas ou com a conta (base: o contrato).
• Partilhar um percurso por ligação (só se o pedires): cria-se uma ligação com um código impossível de adivinhar que permite descarregar o traçado a quem a receber, sem conta; o traçado vai com o início e o fim cortados e sem hora nem velocidade. Guardamos quantas vezes é aberta e descarregada, não por quem. Se a enviares por WhatsApp, essa mensagem é gerida pelo WhatsApp, não por nós. Expira ao fim de 3 dias (base: o contrato e o teu pedido). O mesmo vale para partilhar uma rota planeada ou revista: a ligação guarda uma cópia da rota (o seu desenho por dificuldade, os seus números e o seu GPX), sem o teu nome nem a tua conta, e é apagada ao expirar.
• Dados de condução (salvo se disseres que não: a app avisa-te uma vez, ao entrar, e podes dizer que não nesse aviso ou quando quiseres em Conta → «Dados de condução»): de cada navegação com a app, quer graves o percurso ou não, e dos percursos que carregas extraímos, para construir modelos próprios, a velocidade em cada estradão (média, habitual, máxima e mínima) e as paragens. O telemóvel regista ainda quando paras, quando vais muito mais devagar do que o esperado num estradão e quando dás a volta sem que a rota o peça, com o motivo se o indicares no ecrã (por exemplo «obstáculo à frente» ou «estava cortado»). Ao terminar uma navegação que não é carregada na tua conta, o telemóvel retira o início e o fim do trajeto (que não saem do telefone) e envia o resto com um código aleatório dessa instalação da app, sem o teu nome nem a tua conta; o nosso servidor emparelha-o com o mapa, fica só com esses dados por estradão e apaga o traçado de imediato. Tudo é guardado sem o teu nome nem a tua conta (um código por motociclista ou por instalação que não permite saber quem és), sem o início e o fim de cada percurso e com a hora arredondada à hora. Onde paras ou dás a volta (a cerca de 10 m) só é guardado se for num estradão ou num caminho, para localizar obstáculos; na estrada ou na localidade é guardado sem localização. São usados apenas para melhorar o Corally (tempos e dificuldade dos estradões para todos) e não são cruzados com outras apps nem empresas. Base: o nosso interesse legítimo em melhorar os tempos e a dificuldade, com os dados reduzidos ao necessário e sem te identificar. Tens direito a opor-te a qualquer momento e sem dar motivos: com «Não, obrigado» no aviso, desligando Conta → «Dados de condução» (na app ou na web) ou escrevendo para info@corallyapp.com. Quando te opões deixamos de usar os teus percursos e navegações, o que forneceste é apagado (também o desse telemóvel) e a app passa a usar outro código; dizer que não não muda mais nada na app.
• Avaliações de caminhos («Verificar caminhos» e o relato rápido ao tocar num estradão em Navegar; só contas de administração e testadores de terreno): o caminho (o seu identificador do OpenStreetMap), a dificuldade que observas ou o teu veredicto («mais fácil», «mais difícil», «proibido ou não acessível», «está bem»), se o percorreste ou o viste de fora, as tuas etiquetas e nota, a foto se a tirares (reduzida e sem os seus metadados, também sem a posição que a câmara guarda), a tua posição, precisão, rumo e velocidade ao marcá-la, a hora, o teu perfil de piloto e, se estavas a gravar, o percurso. Para validar e melhorar o cálculo da dificuldade (base: a tua participação voluntária como testador). São guardadas no telemóvel até haver ligação; são privadas: só as vês tu e a administração. No navegador, qualquer conta pode confirmar que um estradão está cortado («Sim, cortado»): guardamos o mesmo (o caminho de onde saíste, a tua posição, rumo e velocidade e a hora) para rever esse caminho (base: a tua decisão ao tocá-lo); só bloqueia a via para os outros se for confirmado por um testador de terreno ou pela administração. Enquanto navegas, se deres a volta sem que a rota o peça e conhecermos o caminho de onde saíste, enviamos e guardamos um sinal de «inacessível ou muito difícil» com esse caminho, a tua posição, precisão, rumo, velocidade e hora disponíveis, o teu perfil de piloto e, se estavas a gravar, o percurso. É enviado para qualquer conta, mesmo que não forneças dados de condução e mesmo que não respondas a «o que se passava?»; sem ligação fica pendente no telemóvel até poder ser enviado. Se responderes, o motivo desse mesmo sinal é atualizado. O sinal de inversão de marcha é privado, ligado à tua conta e só o vês tu e a administração; por si só nunca bloqueia nem desbloqueia a via para ninguém (base: interesse legítimo em rever caminhos e melhorar a navegação). Além disso juntamos, por caminho, quantas pessoas diferentes o deram como cortado nos últimos meses (estes relatos e, se forneces dados de condução, as vezes que alguém entrou e deu a volta) e a data do último: só essa contagem e essa data, sem identificar ninguém. Com isso o planeador evita esse caminho se houver outro razoável e o navegador avisa ao chegar («aqui outros motociclistas deram a volta»).
• Ditado da nota (app e web, opcional): se tocares em «Ditar» num relato, usamos o microfone e o reconhecimento de voz do teu telemóvel ou do teu navegador para passar a tua voz a texto, só enquanto ditas. O reconhecimento é feito pelo teu sistema ou pelo teu navegador (Apple, Google ou Microsoft; no próprio aparelho quando o teu telemóvel o permite). Nós não gravamos nem recebemos o áudio: só guardamos o texto da nota, marcado como ditado. A permissão de microfone é opcional e podes escrever a nota à mão.
• Comentários a partir da app («Enviar comentário», opcional): o texto que escreves e, se a gravares, a nota de voz (áudio do microfone, só enquanto gravas e só se deres a permissão), juntamente com a tua conta, o sistema do telemóvel e a linha de «Sobre esta build» (versão, número de build, commit e versão do servidor). Para perceber e corrigir o que nos contas (base: interesse legítimo em melhorar o serviço). Chega-nos um aviso no nosso telemóvel (ntfy) e por email, com o teu email e o texto; a nota de voz só é ouvida no backoffice. Não a transcrevemos nem a usamos para mais nada.
• A minha casa: se a definires com «Usar onde estou», enviamos essa posição para o nosso servidor uma vez para procurar o nome do sítio mais próximo (rua ou localidade, nos nossos próprios dados do OpenStreetMap) e guardamos a casa na tua conta.
• Relatórios de falhas da app (diagnóstico): quando a app falha, o modelo e o sistema do telemóvel, a versão da app e o erro técnico, sem o teu nome, email, conta, posição, rotas nem identificadores do telemóvel (são limpos no telemóvel antes de serem enviados, e o que o próprio sistema envia é limpo ao chegar). Não são usados para publicidade nem para te seguir. Para encontrar e corrigir falhas (base: interesse legítimo).
• Lista de espera: o teu email e, se os deres, o teu nome, a tua mota e por onde andas, e o idioma. Para te confirmar por email que estás inscrito e te avisar quando houver convite (base: o teu consentimento, que podes retirar quando quiseres).
• Relatos a partir do caminho (quando estiverem disponíveis): a posição, a hora, o caminho, a tua nota e a foto que enviares. Para corrigir a dificuldade e os avisos desses caminhos (base: o teu consentimento ao enviá-lo). A tua posição não é publicada associada a ti.
• Dados técnicos: o endereço IP, um identificador anónimo numa cookie para contar a quota sem conta (do dia e dos últimos 7 dias) e registos de erros. Para que o serviço funcione, seja seguro e para evitar abusos (base: interesse legítimo).
• Métricas de utilização: páginas e ações no Corally, origem da visita (domínio de referência e etiquetas de campanha ou de ligação), país, região e cidade aproximados, idioma, telemóvel ou computador, família de navegador e sistema e se a visita parece de um robô (pelo navegador ou por ser a rede de um centro de dados). Para perceber o que funciona e melhorar a app (base: interesse legítimo). Não guardamos o IP nas métricas, coordenadas exatas, emails nem textos livres do que escreves. A localização e o nome da rede vêm de bases GeoIP locais; não enviamos o teu IP para um serviço de geolocalização.
• Pesquisas recentes: os últimos destinos que escolheste (nome, tipo de sítio, coordenadas e data, até 20) são guardados só no teu telemóvel, para tos oferecer ao abrir a pesquisa. Não são enviados para os nossos servidores; podes retirá-los um a um ou apagar o histórico na própria pesquisa (e são apagados ao desinstalar a app).
• Compras de Premium (quando estiverem disponíveis, só na app): o identificador da tua conta do Corally, que liga a compra a ela, o produto, a loja, o estado e as datas da subscrição (se está ativa, se se renova, quando acaba) e os avisos que a RevenueCat nos envia sobre ela. Não vemos nem guardamos o teu cartão nem os teus dados de pagamento: são tratados pela Apple ou pela Google. Para te dar o Premium (base: o contrato).

Durante quanto tempo

• Rotas não guardadas: são apagadas ao fim de 90 dias; análises não guardadas, ao fim de 30.
• O que guardas em «As minhas rotas» e os dados da tua conta: enquanto tiveres a conta.
• Avaliações de caminhos, as suas fotos e sinais de inversão de marcha do navegador (também com os dados de condução desativados): enquanto tiveres a conta ou até as apagares.
• Comentários a partir da app e as suas notas de voz: enquanto tiveres a conta (são apagados com ela).
• Ligações para partilhar percursos: 3 dias; depois são apagadas.
• Dados de condução fornecidos: até te opores («Não, obrigado» ou o interruptor) ou os apagares, apagares o percurso de origem ou a conta.
• Telemóveis com avisos: ligados a uma sessão em vigor. Deixam de receber novos avisos quando essa sessão é terminada, expira ou é revogada, ou ao apagar a conta. Para confirmar o fim de sessão é preciso ligação. Os avisos já enviados podem chegar depois. Rotas em «Recebidas»: até as retirares ou apagares a conta (enquanto lá estão não expiram).
• Lista de espera: até te darmos acesso ou pedires para sair.
• Estado das tuas subscrições: enquanto tiveres a conta. Avisos de compra recebidos da RevenueCat: 400 dias, para resolver incidências. São apagados com a conta.
• Relatórios de falhas da app: 30 dias no máximo.
• Registos de erros: 30 dias. Cópias de segurança: umas semanas, em rotação, no servidor e em equipamentos próprios em Espanha.
• Métricas de utilização, incluindo as associadas à tua conta: o prazo de conservação configurado (consulta o responsável). A limpeza periódica apaga o que estiver vencido. As cópias de segurança conservam dados até à sua rotação e nunca incluem o sal diário.
• Estatísticas de utilização (Umami): 180 dias; depois são apagadas.

Como medimos as visitas

Sem conta, usamos um hash do IP e do agente de utilizador com um sal aleatório do dia. Serve para reconhecer a visita e os visitantes únicos desse dia; o sal é apagado ao mudar o dia UTC e não é conservado nas cópias. Não seguimos os anónimos de um dia para o outro. Uma visita separa-se da seguinte após um período de inatividade (30 minutos por omissão).

Com conta, a página de entrada e as ações são associadas ao teu utilizador para conhecer a utilização e as visitas ao longo do tempo. Ao entrar ou criar a conta, a visita anónima em curso pode ficar associada a ela. Só a administração pode consultar este histórico.

Para medir não guardamos cookies nem nada no localStorage ou no sessionStorage. A cookie anónima da quota não é usada para as métricas. Tudo fica na nossa base de dados, sem píxeis nem scripts externos de análise.

Além disso, contamos as páginas da web e os ecrãs da app com o Umami, um programa livre (licença MIT) instalado no nosso servidor, com os seus dados na nossa base de dados: nenhuma outra empresa os recebe, além de quem aloja o servidor (OVHcloud). Da web: a página (sem os códigos de rotas, análises, convites nem ligações partilhadas; do endereço só os parâmetros de campanha como utm_source ou ref), de que site chegas (só o seu domínio), o idioma, o tamanho do ecrã, o navegador, o sistema, o tipo de aparelho e o país, a região e a cidade aproximados, e se abres «Enviar rota» ou a visita guiada. Da app, se estiverem ativadas: o ecrã (por exemplo «Planear», nunca que rota), o idioma, o tamanho do ecrã, o sistema, o tipo de aparelho, o país e a cidade aproximados e uns poucos botões (começar a navegar, mudar de camada, «Livre», gravar sem rota, abrir o guia). Nunca a tua posição, as tuas rotas, a tua conta, o teu email nem o que escreves.

O Umami não usa cookies, não guarda nada no teu navegador nem no teu telemóvel e não guarda o IP: usa-o no momento para saber o país e a cidade com uma base local (DB-IP) e para calcular um identificador com um hash do site, do IP, do agente de utilizador e de um sal que muda todos os dias (UTC). Com isso conta os visitantes do dia, mas não consegue reconhecer a mesma pessoa de um dia para o outro nem ligar estes dados à tua conta. Uma visita separa-se da seguinte após 30 minutos sem atividade.

A web respeita a opção «Não rastrear» (Do Not Track) do navegador. Na app desligas-las em Definições → «Estatísticas de utilização anónimas». A finalidade é saber que partes são usadas para as melhorar e a base é o interesse legítimo. São conservadas durante 180 dias.

Com quem são partilhados

Não vendemos nem cedemos os teus dados. O Corally funciona num servidor que alugamos à OVHcloud em França; as cópias de segurança e um servidor de reserva estão em equipamentos próprios em Espanha. Estes fornecedores e serviços intervêm assim:

• OVHcloud (OVH SAS, França): aloja o servidor do Corally (a web, a API e a base de dados com a tua conta, as tuas rotas e as estatísticas de utilização) num centro de dados em França, como subcontratante. Trata os dados apenas para nos prestar esse serviço, segundo as nossas instruções e o contrato de subcontratação que temos com ela, e não os usa para fins próprios.
• Google, só se escolheres «Entrar com a Google»: identificas-te na sua página ou na janela da Google no telemóvel e devolve-nos o teu email e nome.
• Apple, só se escolheres «Entrar com a Apple»: identificas-te com a tua conta Apple e devolve-nos o identificador e o email (ver «Entrar com a Apple», mais abaixo).
• Fornecedores do mapa (OpenFreeMap, o Instituto Geográfico Nacional e Mapterhorn e, se vires o fundo satélite em França ou em Portugal, o IGN francês e a Direção-Geral do Território): o teu navegador ou a app pedem-lhes as imagens do mapa diretamente, por isso veem o teu IP como qualquer web que visitas. Não lhes damos as tuas rotas.
• OsmAnd e DMD2: quando envias uma rota, a app descarrega o GPX com uma ligação assinada que expira numa hora.
• Apple, Google e Microsoft (reconhecimento de voz): se ditares uma nota e o teu telemóvel não reconhecer a voz no próprio aparelho, ou ditares a partir do navegador (o Chrome e o Edge usam o serviço de voz da Google e da Microsoft; o Safari, o da Apple), o áudio é processado por esse serviço segundo as suas políticas; nós só recebemos o texto.
• Google Play e App Store: se instalares a app a partir delas, a Google ou a Apple tratam a tua conta da loja e a descarga como responsáveis, segundo as suas próprias políticas. A nós só nos dão estatísticas agregadas de instalações e falhas, sem dados que te identifiquem. Se participares num teste da app, damos o teu email à Google ou à Apple para te convidar.
• Expo (650 Industries, Inc.), só se usares a app com avisos: entrega os avisos no teu telemóvel através da Google (Android) e da Apple (iOS). Recebe o identificador de avisos e o texto do aviso (o nome e a distância da rota), que não guarda além de o entregar; regista o IP e dados básicos do pedido durante cerca de 30 dias.
• Sentry (Functional Software, Inc.), só na app: recebe os relatórios de falhas descritos acima (diagnóstico, sem dados pessoais nem posições) e guarda-os na sua região da União Europeia (Alemanha), para nos ajudar a corrigi-los.
• Brevo (França): envia os emails da tua conta (as boas-vindas ao criá-la, a ligação para mudar a palavra-passe) e o convite se to dermos a partir da lista de espera. Recebe o teu email, o teu nome se o deste e o texto do email, e guarda os seus registos de envio segundo a sua própria política.
• Cloudflare (Cloudflare, Inc.): gere o DNS dos nossos domínios (corallyapp.com, corally.eu e corally.net) e reencaminha o email que nos escreves (info@, hola@) para a nossa caixa de correio. Se nos escreveres, a mensagem passa pelos seus servidores só para ser reencaminhada; não lemos nem guardamos nada na Cloudflare, e a web, a app e os mapas não passam pela sua rede.
• RevenueCat, Inc. (Estados Unidos), só se comprares Premium na app: gere as subscrições entre a app, as lojas e nós, como subcontratante. Recebe o identificador da tua conta do Corally (um código aleatório, não o teu email nem o teu nome), os dados da compra que a loja lhe dá e dados técnicos do telemóvel (modelo, sistema, idioma, versão da app e IP). Ao apagar a tua conta pedimos-lhe que apague também os teus dados.

Transferências para fora da UE

O servidor do Corally e as suas cópias de segurança estão na União Europeia (França e Espanha). Se usares «Entrar com a Google» ou «Entrar com a Apple», a Google ou a Apple podem tratar dados nos Estados Unidos, ao abrigo do Quadro de Privacidade de Dados UE-EUA; o mesmo vale para o Google Play e a App Store quando instalas a app. Alguns fornecedores do mapa podem servir as imagens a partir de fora da UE. Os avisos da app passam pela Expo (Estados Unidos) e pelos serviços de avisos da Google e da Apple. Os relatórios de falhas da app são guardados na região da UE da Sentry; como empresa dos Estados Unidos, a Sentry pode aceder-lhes para prestar o serviço, ao abrigo do Quadro de Privacidade de Dados UE-EUA. O email que nos escreves para info@ ou hola@ passa pela Cloudflare (Estados Unidos, também ao abrigo desse quadro) só para ser reencaminhado. Se comprares Premium, a RevenueCat trata os dados da compra nos Estados Unidos, com as garantias do RGPD (Quadro de Privacidade de Dados UE-EUA ou cláusulas contratuais-tipo da Comissão Europeia).

Os teus direitos

Podes pedir acesso aos teus dados, retificá-los, apagá-los, levá-los contigo (portabilidade), opor-te ou limitar a sua utilização e retirar o teu consentimento escrevendo para info@corallyapp.com. Se achares que não o fizemos bem, podes apresentar reclamação junto da Agencia Española de Protección de Datos (aepd.es).

Em «A minha conta», descarregar os meus dados inclui a tua atividade conservada e apagar a conta elimina as métricas ligadas a ela. Os passos para apagar a conta e o detalhe do que se apaga e do que se conserva estão na página «Eliminar conta». Podes opor-te ao tratamento baseado no interesse legítimo escrevendo para info@corallyapp.com. Sem conta, não conseguimos localizar as tuas visitas depois de desaparecer o sal do dia.

Idade

Para criar uma conta é preciso ter pelo menos 14 anos.

Segurança

Ligação cifrada (https), palavras-passe guardadas como hash, sessões com cookie protegida na web e, na app, com um token guardado no armazenamento seguro do telemóvel (legível após o primeiro desbloqueio, para o ecrã da mota), acesso ao servidor restrito e cópias de segurança que viajam cifradas entre os nossos equipamentos.

Cookies

Só usamos cookies técnicas. O detalhe está na política de cookies.

Alterações

Se alterarmos esta política de forma importante, avisaremos na web.

Entrar com a Apple

Se escolheres a Apple, recebemos um identificador da tua conta e o teu email verificado, que pode ser um endereço oculto de reencaminhamento. O nome só é recebido se o partilhares. Guardamos cifrado o token necessário para revogar o acesso ao apagar a tua conta; não é entregue a outros utilizadores. A Apple trata os dados de autenticação segundo a sua política de privacidade.

Fotos opcionais

Ao tocares em «Ver foto», o teu navegador consulta a Wikimedia Commons e, se for preciso, a Wikidata. Estes serviços recebem o teu IP e a referência do lugar ou da sua foto; não lhes enviamos a tua rota nem os teus dados de conta. Nenhuma foto é carregada sem que a peças.