Política de privacidade

A versão curta

O Arti corre inteiramente no seu Mac. As plantas que desenha, os móveis que coloca e as definições que muda são escritos num ficheiro no seu próprio disco e nunca são carregados para lado nenhum. Não há conta, não há registo e não há início de sessão — e nesta versão nem sequer há maneira de criar uma, mesmo que quisesse.

A versão no navegador mantém a mesma promessa noutro sítio. É a mesma aplicação compilada para correr numa página, e nada do que desenhar nela é carregado — mas guarda as suas plantas no armazenamento do próprio navegador em vez de num ficheiro seu, o que significa que limpar os dados de navegação as apaga. A secção 7 diz o que isso muda.

A única informação que alguma vez nos chega é um relatório de falha anónimo, enviado quando a aplicação encontra um erro, para que o possamos corrigir. Não contém dados das plantas nem nada que o identifique.

É tudo. O resto desta página é o pormenor, porque uma política de privacidade que só diz «respeitamos a sua privacidade» não lhe diz nada.

1. Quem é responsável

O responsável pelo tratamento aqui descrito é:

Invent Better — Mickael Romaniello EI
França

Contacto: contact@artiplans.com

Estamos estabelecidos em França, por isso esta política está escrita sobre o Regulamento Geral sobre a Protecção de Dados (UE 2016/679) e a lei francesa Loi Informatique et Libertés. Se vive noutro sítio, a secção 12 expõe os direitos adicionais que pode ter.

Não designámos encarregado da protecção de dados; o volume e a sensibilidade do que tratamos não atingem o limiar do artigo 37.º. Escreva para o endereço acima e chega à pessoa que toma as decisões.

2. O que o Arti guarda no seu Mac

Tudo o que faz no Arti é guardado localmente, numa única base de dados SQLite dentro do contentor da aplicação:

~/Library/Containers/com.inventbetter.arti/Data/Documents/arti_db.sqlite

Esse único ficheiro contém as suas plantas, os andares, as divisões, as paredes, as aberturas, os móveis, os materiais e as preferências da aplicação. É escrito automaticamente enquanto trabalha — não há nada para guardar e nada para sincronizar.

Isto não é «recolha de dados». Não temos cópia dele, não lhe temos acesso e não temos forma de o pedir. É um ficheiro seu, no seu disco, no mesmo sentido em que o é um documento do Pages. Se apagar a aplicação e o seu contentor, desaparece; se fizer cópia de segurança do Mac com o Time Machine ou com a cópia do iCloud Drive, a sua cópia contém-no e rege-se pelas condições da Apple, não pelas nossas.

Quando exporta uma planta como imagem, o PNG é escrito onde escolher pô-lo. Não é transmitido nada.

3. O que recolhemos mesmo: os relatórios de falha

O Arti inclui o Firebase Crashlytics (Google). É o único componente da aplicação que fala com uma rede, e só fala quando a aplicação falha.

O que fica de fora de propósito. Antes de um relatório sair do seu Mac, os caminhos dos ficheiros são reescritos de modo a que /Users/o-seu-nome/… passe a /Users/<user>/…. Os nomes de conta do macOS são muitas vezes nomes verdadeiros, e uma falha na camada da base de dados levaria senão o seu no texto do erro. Nenhum conteúdo das plantas, nenhum nome de divisão, nenhum nome de ficheiro escolhido por si e nenhum conteúdo de documento entram num relatório.

O identificador de instalação não é você. É um valor aleatório ligado àquela cópia da aplicação naquele Mac. Não é a sua conta Apple, nem o número de série do seu dispositivo, nem um identificador publicitário. Não o podemos usar para descobrir quem é, e não tentamos.

Base jurídica: interesse legítimo (art. 6.º, n.º 1, al. f) do RGPD) — evitar que o software que distribuímos rebente em cima de quem o usa. Consideramo-lo proporcionado porque os dados são anónimos, não estão ligados a conta nenhuma, nunca servem para traçar o perfil de ninguém e são eliminados ao fim de 90 dias. Se preferir não enviar nada de todo, veja a secção 12 — pode opor-se, e a secção 5 diz como o parar na prática.

Destinatário: Google Ireland Limited, na qualidade de nosso subcontratante, ao abrigo das condições de tratamento de dados do Firebase. A informação de privacidade da Google sobre o Firebase está em <https://firebase.google.com/support/privacy>.

Não usamos o Firebase Analytics, nem o Google Analytics for Firebase, nem qualquer outro SDK de acompanhamento de utilização dentro da aplicação. O Crashlytics é toda a integração com o Firebase e vive num único ficheiro de código.

Os relatórios de falha da versão no navegador

O Crashlytics não consegue correr num navegador — não tem implementação web e nunca teve — por isso a versão no navegador reporta antes ao nosso próprio servidor, em artiplans.com/api/crash. Nada vai para a Google, e não há terceiro nenhum envolvido. Os dados ficam no mesmo alojamento europeu deste site.

Esse valor de 8 caracteres não é um identificador de dispositivo e não lhe é permitido vir a sê-lo. É gerado de novo sempre que a página carrega, não é guardado em cookie nenhum nem em armazenamento nenhum do navegador, e nunca é junto a mais nada. Duas visitas da mesma pessoa produzem dois valores sem relação, e não temos forma de os ligar.

O que fica de fora de propósito. Antes de um relatório sair do seu navegador, as cadeias de consulta e os fragmentos de URL são substituídos por ?… e #…, e os nomes das pastas pessoais são reescritos tal como no Mac. Nenhum conteúdo das plantas, nenhum nome de divisão, nenhum nome de ficheiro e nenhum endereço IP são guardados com um relatório. Não há conta a que o prender.

Base jurídica: interesse legítimo (art. 6.º, n.º 1, al. f) do RGPD) — evitar que o software falhe em cima de quem o usa. Vale o mesmo raciocínio de proporcionalidade de cima, e com mais facilidade: não há subcontratante externo nem transferência para fora do EEE.

4. O que não recolhemos

Dizemo-lo com todas as letras, porque «só recolhemos o que é preciso» não vale nada sem a lista do que isso exclui:

• As suas plantas. Nem o conteúdo, nem os nomes, nem o número, nem as medidas.
• A sua identidade. Nenhum nome, nenhum endereço de e-mail, nenhuma morada, nenhum telefone. O Arti não tem sistema de contas a que os prender.
• A sua localização. A aplicação nunca pede a permissão de localização e o macOS recusar-lha-ia se tentasse.
• A sua utilização. Nenhum ecrã visto, nenhuma duração de sessão, nenhum contador de funcionalidades, nenhum funil, nenhum mapa de calor.
• Identificadores publicitários. Na aplicação não há nenhum. Na aplicação não há publicidade, e não vendemos, alugamos nem partilhamos nada com redes de publicidade ou corretores de dados.
• Os seus contactos, fotografias, calendário, microfone ou câmara. O Arti não pede nenhuma destas permissões.

5. Desligar os relatórios de falha

Abra as Definições e desligue Enviar relatórios de falha. Enquanto o interruptor estiver desligado não é enviado nada, e a aplicação continua a funcionar normalmente.

Também o pode bloquear ao nível da rede. Os relatórios de falha vão para os pontos de recolha do Firebase da Google (crashlyticsreports-pa.googleapis.com e firebaselogging-pa.googleapis.com). Uma regra de firewall como as do Little Snitch ou do LuLu que proíba ao Arti esses servidores também o pára.

6. O que a Apple sabe

O Arti é distribuído exclusivamente através da Mac App Store. Transferi-lo, e qualquer compra que faça, é uma operação entre si e a Apple — a Apple é a vendedora, e rege-a a política de privacidade da Apple: <https://www.apple.com/legal/privacy/>.

O que recebemos da Apple é agregado e anónimo: quantas cópias foram transferidas, em que países, em que versões do sistema, mais as contagens de encerramentos inesperados e as classificações e críticas que são públicas de qualquer maneira. Nunca vemos quem comprou a aplicação. Se escrever uma crítica, vemo-la com o nome com que a publicar, exatamente como qualquer outro visitante.

Se recorrer à Apple para um reembolso, não nos é dita a sua identidade, apenas que houve um reembolso.

7. Este site

O site artiplans.com é independente da aplicação e recolhe menos do que a maioria dos sites que visita hoje.

Sem cookies de rastreio. Não usamos cookies publicitários, nem plug-ins sociais, nem o pixel do Facebook, nem o Google Analytics. Se o seu navegador guardar alguma coisa nossa, é uma preferência estritamente funcional — por exemplo, lembrar-se de que escolheu o tema escuro — que está isenta de consentimento ao abrigo do artigo 82.º da Loi Informatique et Libertés francesa e não exige banner.

Medição de audiência. Usamos uma ferramenta de estatísticas respeitadora da privacidade que não põe cookies nem constrói perfis entre sites. Regista, por página vista: o endereço da página, o site de proveniência, o país (derivado do endereço IP e depois descartado) e uma família aproximada de navegador e sistema. Os endereços IP não são guardados. Nada disso identifica um visitante, e duas visitas não podem ser ligadas num perfil. Base jurídica: interesse legítimo (art. 6.º, n.º 1, al. f)) — saber que páginas são sequer lidas, numa forma que não consegue apontar ninguém.

Registos do servidor. O nosso fornecedor de alojamento regista os pedidos por segurança e prevenção de abusos: data e hora, endereço pedido, estado HTTP, agente do utilizador e endereço IP. São guardados 12 meses e servem apenas para investigar incidentes e ataques, nunca para publicidade. Base jurídica: interesse legítimo (art. 6.º, n.º 1, al. f)) — segurança das redes e da informação, que o considerando 49 reconhece expressamente.

Se nos escrever. Os endereços de ajuda e de contacto chegam a uma caixa de correio. Guardamos a correspondência 3 anos após a última troca, para podermos dar seguimento a um erro que nos tenha comunicado e para termos registo se surgir um litígio. Base jurídica: interesse legítimo (art. 6.º, n.º 1, al. f)) — apoiar o nosso próprio produto — e, quando a sua mensagem diz respeito a uma compra, execução de um contrato (art. 6.º, n.º 1, al. b)).

A versão do Arti no navegador corre inteiramente no seu navegador. Nada do que desenhar nela é enviado para um servidor, e nunca recebemos, vemos nem guardamos uma planta feita lá.

Guarda, isso sim. A versão no navegador é a aplicação inteira, não uma demonstração, e guarda as suas plantas no armazenamento do próprio navegador para que ainda lá estejam quando voltar. Esse armazenamento está na sua máquina e sob o seu controlo, e daí seguem-se três coisas: limpar os dados de navegação, os dados dos sites ou a cache apaga as suas plantas e não as conseguimos recuperar, porque nunca tivemos cópia; as plantas pertencem àquele navegador naquela máquina e não o acompanham a lado nenhum; e uma janela privada não guarda nada assim que fecha. Exporte a planta como imagem se quiser que sobreviva ao navegador. Base jurídica: não é precisa nenhuma — isto é armazenamento no seu próprio dispositivo que não lemos nem recebemos, e é estritamente necessário para prestar o editor que pediu, por isso está isento de consentimento ao abrigo do artigo 82.º da Loi Informatique et Libertés francesa.

Newsletter. Se vier a haver uma, só será acrescentado depois de o pedir, com dupla confirmação, e cada mensagem levará um cancelamento com um clique. Base jurídica: consentimento (art. 6.º, n.º 1, al. a)), revogável a qualquer momento.

8. Contas e partilha de plantas — não ativo nesta versão

O Arti 1.8.1 não tem sistema de contas nem nuvem. Alguns botões da barra de ferramentas estão desenhados mas desativados, à espera de uma versão futura. Nada nesta secção descreve o que quer que seja que aconteça hoje; está aqui para que possa ler o compromisso antes de a funcionalidade existir, em vez de descobrir a mudança depois.

Contas. Não há nenhuma, e o Arti está pensado para continuar utilizável sem uma. Se uma versão futura vier a introduzir uma conta, nunca será condição para desenhar, abrir ou exportar uma planta, esta política será atualizada antes de sair para dizer exatamente o que é guardado e durante quanto tempo, e poderá apagá-la de dentro da aplicação — o que apaga aquilo que nós tivermos. As plantas no seu Mac são suas e ficariam intactas.

Partilha de plantas. Está prevista uma versão futura que lhe permita publicar uma ligação só de leitura para uma única planta, para a poder enviar a um construtor, a um arquiteto ou a um cliente — e, para uso profissional, a um possível comprador ou inquilino. Essa funcionalidade carrega necessariamente a planta que escolher partilhar, e nós ficaríamos então com uma cópia. Quando sair:

• será de adesão voluntária, planta a planta, e nunca automática — nenhuma planta é carregada só porque calha ter uma conta;
• esta política será atualizada antes de a funcionalidade ser ativada, com uma secção a dizer o que é guardado, onde e durante quanto tempo;
• a etiqueta de privacidade da aplicação na App Store será atualizada na mesma versão;
• poderá revogar uma ligação e apagar a cópia carregada, e ao fazê-lo apaga-a mesmo em vez de a esconder.

Se for um profissional — uma agência imobiliária, um decorador, uma construtora — partilhar a planta de um imóvel pode envolver informação sobre um terceiro, como o seu cliente ou um inquilino. Nessa situação é você que decide o que partilha e é o responsável por isso; nós tratamos os dados segundo as suas instruções. Quando a funcionalidade sair publicaremos as condições de tratamento correspondentes, como exige o artigo 28.º.

9. Para onde vão os seus dados

A única transferência para fora do Espaço Económico Europeu são os relatórios de falha da versão macOS da secção 3. Os relatórios de falha da versão no navegador nunca saem do nosso alojamento europeu, e as próprias plantas não saem de todo da sua máquina. O tratamento pelo Firebase Crashlytics acontece em infra-estrutura da Google, que inclui servidores nos Estados Unidos.

Essa transferência assenta na decisão de adequação da Comissão Europeia sobre o Quadro de Privacidade de Dados UE–EUA de 10 de Julho de 2023, ao abrigo da qual a Google LLC está certificada, e ainda nas cláusulas contratuais-tipo incluídas nas condições de tratamento de dados da Google. Dado que os dados transferidos são informação técnica anónima sobre falhas, sem identificadores e sem conteúdo, o risco que essa transferência lhe traz é mínimo.

O nosso site está alojado na União Europeia.

10. Durante quanto tempo guardamos as coisas

11. Segurança

A aplicação guarda os seus dados na sua própria máquina, dentro de um contentor macOS isolado, protegido pelas permissões de ficheiro do seu Mac e pelo FileVault se o tiver ativado. A aplicação é assinada e notarizada pela Apple.

O Arti corre sob a App Sandbox do macOS e pede exatamente três capacidades: acesso de rede de saída (que nada usa a não ser os relatórios de falha) e acesso de leitura e escrita aos ficheiros que você escolher numa caixa de guardar ou abrir. Não consegue ler a sua pasta Documentos, a sua Secretária nem os dados de outra aplicação.

O site é servido apenas por HTTPS. O acesso à consola do Crashlytics está protegido por uma conta Google com autenticação em dois passos ativada, e só uma pessoa a tem.

Avisá-lo-emos, e avisaremos a CNIL, como exigem os artigos 33.º e 34.º, se alguma vez ocorrer uma violação susceptível de afetar os seus direitos.

12. Os seus direitos

Ao abrigo do RGPD tem o direito de aceder aos dados que tenhamos sobre si, de os ver rectificados, de os ver apagados, de limitar o seu tratamento ou de se opor a ele, de os receber num formato portátil e — quando o tratamento assenta no consentimento — de retirar esse consentimento a qualquer momento sem afetar o que foi lícito antes.

Pode exercer qualquer deles escrevendo para contact@artiplans.com. Respondemos no prazo de um mês, como exige o artigo 12.º.

Uma limitação honesta. Nos relatórios de falha, não temos maneira de encontrar os «seus» dados. Não há conta, e o identificador de instalação não está ligado a identidade nenhuma — por isso, se nos pedir para lhe entregar ou apagar os seus relatórios de falha, não os conseguimos localizar, porque o anonimato que o protege impede também a busca. Se nos enviar você o identificador (podemos dizer-lhe onde o encontrar), aí podemos agir. É consequência de recolher menos, não de recolher com descuido, e o artigo 11.º reconhece esta situação.

Se achar que tratámos mal os seus dados, pode reclamar junto da autoridade de controlo francesa:

CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, França
<https://www.cnil.fr/en/plaintes>

ou junto da autoridade de controlo do país da UE onde vive — em Portugal, a Comissão Nacional de Protecção de Dados.

13. Se estiver nos Estados Unidos

Não vendemos informação pessoal e não a partilhamos para publicidade comportamental entre contextos, tal como esses termos são definidos pelo California Consumer Privacy Act. Nunca o fizemos e a aplicação não contém mecanismo nenhum que o permitisse.

Os residentes na Califórnia têm o direito de saber o que é recolhido, de o apagar, de o corrigir e de não serem discriminados por exercerem esses direitos. A limitação da secção 12 vale igualmente aqui: dados anónimos de falhas não podem ser seguidos até quem os pede. Os pedidos vão para contact@artiplans.com.

Os residentes noutros estados norte-americanos com leis comparáveis — Colorado, Connecticut, Virgínia, Utah, Texas e outros — têm direitos equivalentes e o mesmo contacto.

14. Menores

O Arti é uma ferramenta para planear casas e não se dirige a menores. Não recolhemos conscientemente nada de quem tenha menos de 16 anos. Como não recolhemos qualquer informação identificativa, não temos maneira de determinar a idade de um utilizador, nem razão para o fazer.

15. Alterações

Se esta política mudar de forma substancial — uma nova categoria de dados, um novo destinatário, uma nova finalidade — atualizaremos a data no topo e descreveremos aqui a alteração, e onde a alteração disser respeito à aplicação, também nas notas de versão daquela que a introduzir. Não tornaremos uma alteração substancial retroativa a dados já recolhidos ao abrigo da versão anterior.

As versões anteriores estão disponíveis a pedido.

16. Contacto

contact@artiplans.com — para tudo o que esteja nesta página, e para a própria aplicação.

Somos uma empresa de uma só pessoa. Vai receber resposta de uma pessoa, normalmente dentro de um par de dias.