Política de Privacidade

Última atualização: 3 de outubro de 2026

Esta página é uma tradução, para que o documento possa ser lido na tua própria língua. A versão inglesa é o original e, onde as duas divergirem, é o texto em inglês que faz fé.

O Whisprompt foi construído a pensar primeiro na privacidade. Esta política explica o que fazemos e, tão importante quanto isso, o que não recolhemos. Abrange todas as aplicações Whisprompt — no telemóvel, no tablet, no relógio, na televisão e no Mac — e este site. Onde alguma coisa se aplica só a uma delas, é dito.

1. Quem é responsável (responsável pelo tratamento)

Leonid Kabanov (autónomo), Espanha. Contacto: support@whisprompt.app. Os dados completos de identificação estão na Informação legal. Estamos estabelecidos em Espanha e, por isso, dentro da União Europeia, pelo que o artigo 27.º do RGPD — que exige um representante na União — não se nos aplica. Não designámos um encarregado de proteção de dados nem somos obrigados a fazê-lo: o Whisprompt não é um organismo público, não controla pessoas de forma regular e sistemática em grande escala, e não nos chega nenhuma categoria especial de dados. A autoridade de controlo do nosso estabelecimento é a Agencia Española de Protección de Datos (AEPD), aepd.es.

2. Dados tratados no teu dispositivo

• Áudio do microfone. Captado em direto para o seguimento de voz e (quando gravas) para o vídeo. É entregue ao motor de reconhecimento de fala integrado no teu telemóvel — o da Apple no iOS, o da Google no Android — que, consoante o dispositivo, a língua e as tuas definições, o pode tratar nos servidores dessa plataforma, ao abrigo das condições de privacidade dessa mesma plataforma. Instala um pacote de idioma offline e o reconhecimento passa a acontecer inteiramente no dispositivo, sem rede nenhuma pelo meio. Nos dois casos, o áudio nunca chega até nós: não temos servidores de fala e nenhuma gravação fica guardada num servidor nosso. Os ficheiros de vídeo que decidas guardar ficam no teu dispositivo ou no teu próprio armazenamento na nuvem.
• Os teus textos e as tuas definições. Guardados localmente no teu dispositivo (e, se o ativares, no teu armazenamento pessoal na nuvem, regido pelas condições de privacidade desse fornecedor). Se transmitires o teleprompter para os teus outros dispositivos, o texto viaja entre eles encriptado — ver a secção 5.
• Modelos de idioma transferidos. Guardados no teu dispositivo. Transferir um modelo é um pedido direto ao servidor que o aloja; não lhe juntamos identidade nenhuma.

3. Dados tratados por serviços que tu ligas

Algumas funcionalidades opcionais ligam-se a serviços que tu autorizas. Agimos apenas como o teu cliente; cada fornecedor é um responsável pelo tratamento independente, ao abrigo da sua própria política:

• O Notion e os documentos que abres. Se ligares o Notion, o Whisprompt lê as páginas que selecionares como um espelho só de leitura, usando o acesso que lhe concedes. Se abrires um ficheiro do teu dispositivo ou de um serviço na nuvem, ele é lido para mostrar o texto. Não chegam cópias destas credenciais a nenhum servidor nosso.
• O assistente de IA na estação de operador para Mac. O assistente não faz nada enquanto não lhe deres uma chave tua de um fornecedor de IA. A partir daí, cada pedido leva o texto aberto por inteiro, o fragmento que tenhas selecionado, a tua instrução e a conversa até ali — diretamente do teu Mac para esse fornecedor, a Anthropic ou a OpenAI consoante a chave, sob a tua chave e a tua própria conta junto deles, nas condições e nos prazos de conservação deles. Não passa por servidor nenhum nosso: não vemos nem a chave nem o texto. A chave fica guardada no Keychain do macOS, não é sincronizada e não é levada para os teus outros dispositivos. As aplicações de telemóvel e de tablet não têm assistente.
• Apple e Google (lojas de aplicações e subscrições). As compras, qualquer teste gratuito e a cobrança da subscrição são tratados pela Apple ou pela Google. Nunca vemos os teus dados de pagamento; tudo o que recebemos é o estado da subscrição — a secção 4 explica exatamente como.

4. A subscrição e o Pro

O Whisprompt não tem contas. Não há nada onde iniciar sessão nem nada para criar, a nenhum fornecedor é alguma vez pedido o teu endereço de e-mail, e não temos nem um nome nem uma morada tua. O teleprompter, a gravação e a transmissão funcionam tal como estão, e uma subscrição compra-se e restaura-se sem conta. A aplicação continua a conter o código de uma conta opcional — o Iniciar sessão com a Apple, com o Supabase como subcontratante — e esse código está inerte: é ligado por chaves com que a aplicação não é compilada, por isso não há ecrã de início de sessão, não chega nada ao Supabase e não é recolhido nenhum endereço de e-mail. Se alguma vez vier a existir uma conta, esta página descreverá o que ela trata antes da versão que a traz, e não depois.

• RevenueCat (gestão da subscrição). O nosso subcontratante para determinar se uma subscrição está ativa, quer a tenhas comprado na App Store, quer no Google Play. Recebe o teu histórico de compras nesta aplicação, um identificador do cliente e o identificador de dispositivo ou de instalação que o sistema operativo atribui à aplicação (nos dispositivos Apple, o IDFV), juntamente com pormenores técnicos sobre o dispositivo e a versão do sistema. O identificador do cliente não é derivado de nada teu: antes da tua primeira compra é um que o RevenueCat gera para si próprio e, a partir dessa compra, é um identificador aleatório que o teu dispositivo gera e guarda — o mesmo que os teus outros dispositivos levam, que é como uma única subscrição os cobre a todos (secção 5). É isto que desbloqueia o Pro e restaura a tua compra nos vários dispositivos. Não recolhemos identificadores de publicidade nem ativamos no RevenueCat integrações de publicidade ou de atribuição; estes dados não são usados para rastreio e não são combinados com dados de outras empresas.
• Apagar o que temos. Não há conta nenhuma para apagar, e a aplicação não tem botão nenhum para isso. O que temos num servidor nosso é a lista dos dispositivos que a tua subscrição cobre, e podes apagá-la na aplicação a qualquer momento, em Definições → Dados nos nossos servidores (secção 11). Apagá-la não cancela a tua subscrição: essa pertence à tua conta da App Store ou do Google Play e cancela-se onde a compraste. Os textos e as gravações ficam no teu dispositivo de uma maneira ou de outra; para limpar o próprio dispositivo, ver a secção 7.

5. Transmitir para os teus outros dispositivos

O Whisprompt pode fazer correr o teleprompter em vários dispositivos teus ao mesmo tempo. Na mesma rede local, ligam-se diretamente. Sem uma rede comum, a ligação passa pelo nosso servidor de retransmissão em Cloudflare Workers:

• Partilhar uma biblioteca entre dispositivos teus. Os dispositivos que associas como teus espelham as bibliotecas uns dos outros: um texto escrito num deles aparece nos outros, e uma alteração feita num chega-lhes. As cópias vivem nos teus dispositivos e viajam entre eles encriptadas, da mesma maneira que tudo o resto aqui — nenhum servidor nosso guarda uma cópia, e ninguém fora dos teus próprios dispositivos recebe uma, a não ser que partilhes um texto de propósito.
• Cada trama da sessão é encriptada no dispositivo que a envia (ChaCha20-Poly1305), e a chave viaja apenas dentro do convite — um código QR ou um código de ligação. O servidor de retransmissão só vê tramas encriptadas: não consegue ler o teu texto, o teu áudio nem o teu vídeo.
• O servidor de retransmissão não guarda conteúdo nenhum das sessões. Uma sala vive no máximo quatro horas e é depois apagada. A caixa de correio que os teus dispositivos usam para se encontrarem guarda apenas uma chave de serviço e a data e hora em que foi vista pela última vez — por não mais de 30 dias, e sem conteúdo nenhum.
• Se usares o Pro em mais do que um dispositivo, o servidor de retransmissão guarda também a lista desses dispositivos, para que uma subscrição possa cobrir até seis. Guarda um identificador que a aplicação gera para cada dispositivo, o nome que esse dispositivo declara para si próprio e as datas em que foi acrescentado e visto pela última vez — nada de textos, áudio ou vídeo. O registo inteiro é apagado ao fim de um ano em que nenhum dos teus dispositivos o tenha usado, e podes apagá-lo tu mesmo, a qualquer momento, a partir da aplicação.
• Como qualquer serviço web, o servidor de retransmissão vê um endereço IP na ligação. É usado de passagem, para limitar o ritmo dos pedidos e impedir abusos, e não é ligado à tua subscrição nem à lista de dispositivos que ela cobre.

6. Dados de utilização

O Whisprompt pode medir como se está a portar e enviar-nos essas medições — contagens, durações e códigos, nunca uma palavra do que escreves ou dizes. Nada disto acontece sem que digas que sim. Até o dizeres não há medição, não há identificador e não há nada guardado no teu dispositivo para isso. A aplicação pergunta uma vez, e nunca no momento em que a abres pela primeira vez, porque uma pergunta feita antes de a aplicação ter feito seja o que for é uma pergunta a que não tens como responder. Chega depois de a tua primeira leitura ter ido a algum lado — ou, se associares um segundo dispositivo antes disso, no fim da associação, num único cartão, ao lado da pergunta abaixo sobre contar os teus dispositivos. Esse cartão tem duas respostas e não tem terceira saída: não se fecha se tocares ao lado dele ou carregares em voltar, porque um cartão fechado por um toque perdido teria registado uma recusa que nunca deste. Nada é escrito sem que lhe respondas, por isso, se for outra coisa a tirá-lo do ecrã primeiro — a aplicação fecha-se, outro ecrã ocupa-lhe o lugar —, a pergunta fica simplesmente por responder e volta depois da tua leitura seguinte. Depois de teres respondido, num sentido ou no outro, não volta de todo. A tua resposta vale para os dispositivos que associas como teus, e o cartão di-lo onde a dás: um dispositivo que associes mais tarde recebe essa resposta na ligação seguinte e diz-te claramente que a recebeu, em vez de te fazer a mesma pergunta uma segunda vez. Funciona nos dois sentidos — desliga a medição num dos teus dispositivos e os outros também param. Uma resposta dada num dispositivo nunca é substituída por outra vinda de outro, por isso desligar aqui não pode ser desfeito por um dispositivo que ainda não soube. Diz que não e mais nada muda na aplicação, e esse dispositivo não volta a perguntar. Diz que sim e o interruptor fica nas definições da aplicação, em «Dados de utilização», para que o possas voltar a desligar a qualquer momento sem dares um motivo. Aquilo em que isto assenta juridicamente está na secção 9; as formas de retirar o consentimento estão no fim desta secção. Desligá-lo faz parar a própria medição, e não apenas o envio, e apaga do dispositivo o identificador descrito abaixo, tudo o que ainda estivesse à espera de ser enviado, e a nota sobre uma leitura em curso descrita em «O que é medido».

• O que é medido. Contagens, durações e códigos — e o que se segue é tudo, não uma seleção. De uma leitura: se decorreu com seguimento de voz ou com deslocamento automático, quanto durou, quantas palavras tinha o texto, até onde chegaste, em percentagem, quantas vezes tiveste de pegar no texto à mão, o código do idioma, que motor de reconhecimento estava a funcionar, se o dispositivo estava offline, se a leitura estava ao mesmo tempo a ser mostrada num segundo ecrã, se alguma parte dela foi conduzida a partir de um relógio, e se alguma parte dela foi conduzida a partir de um comando físico — um comando de apresentação Bluetooth, um virador de páginas e um teclado vulgar por igual, porque o sistema comunica-nos os três como as mesmas teclas premidas e não nos dá maneira de distinguir um do outro; nenhuma das duas coisas diz que botão foi premido nem quantas vezes, apenas que a leitura foi conduzida dessa maneira, quanto som audível conseguiu recolher a verificação de um reconhecedor avariado descrita abaixo — um de quatro intervalos (nenhum, menos de dez segundos, menos de um minuto, um minuto ou mais), nunca um número de segundos, e só quando o reconhecimento de fala estava sequer a funcionar: é o total acumulado dessa própria verificação e não uma medição de quanto tempo falaste, porque som mais baixo do que o nível que ela escuta não lhe acrescenta nada, cada leitura de volume que o motor envia acrescenta no máximo meio segundo, e a primeira leitura depois de cada arranque não acrescenta nada — por isso, num motor que comunica o seu nível uma vez por segundo, dá uma fração do tempo em que estiveste realmente a falar; o que nos diz é se essa verificação teria podido funcionar no teu dispositivo, e não diz nada sobre o que foi dito, e como acabou: que nada correu mal, que a leitura não chegou a ir a lado nenhum, ou que o reconhecimento de fala falhou — e, se falhou, de qual das quatro maneiras indicadas abaixo. Se uma leitura nunca chega a ter fim — o sistema fecha a aplicação enquanto ela está em segundo plano, a bateria acaba, a aplicação falha, ou deslizas para fora a meio da leitura —, nada disso pode ser medido, porque a parte da aplicação que o teria medido foi-se com o resto. Por isso, enquanto uma leitura decorre, fica guardada no teu dispositivo uma nota curta a dizer o que se sabia quando ela começou, e nada mais: seguimento de voz ou deslocamento automático, o código do idioma, quantas palavras tinha o texto e que motor de reconhecimento estava a funcionar. A nota é retirada no momento em que a leitura acaba normalmente. Se a aplicação encontrar uma ainda lá no arranque seguinte, envia esses quatro dados, apaga a nota e nunca mais os envia — uma leitura interrompida é comunicada uma vez. Nada mais sobre uma leitura dessas é comunicado: nem quanto durou, nem até onde chegaste, nem como acabou, porque não sobrou nada que medisse fosse o que fosse. A nota só é escrita enquanto a medição estiver ligada, não guarda nada para além desses quatro dados, e é apagada com tudo o resto quando a desligas. Quando o seguimento de voz te perde: o código do idioma, o motor, se chegou sequer a apanhar-te de novo, e quanto tempo demorou quando apanhou. Quando é o próprio reconhecimento de fala que falha: o código do idioma, o motor, há quantos segundos esse motor estava a funcionar, se tinha sido iniciado por o texto mudar de língua a meio e não por teres carregado em reproduzir, e qual das quatro coisas aconteceu — continuou a ouvir som e deixou de devolver palavras, deixou de dizer seja o que for, ao ponto de até a leitura do microfone desaparecer, falhou e outro motor assumiu, ou falhou sem restar nada que assumisse. Quando a aplicação te pede uma coisa que o sistema guarda — o microfone ou a câmara —, qual das duas pediu e qual das três respostas veio: permitiste, recusaste, ou o sistema já tinha a recusa assente e não te mostrou diálogo nenhum. E, quando vai à procura de um comando Bluetooth, se lhe foi recusada a permissão para encontrar dispositivos por perto — aí só a recusa, porque um sistema que concordou limita-se a começar a procurar e não diz nada que pudéssemos registar. Só onde pergunta. Reler uma resposta que já deste acontece a toda a hora e não é uma medição; nada disso é enviado. Uma vez por instalação: se a tua primeira leitura passou de metade na primeira hora depois da instalação, no primeiro dia, na primeira semana, no primeiro mês, ou mais tarde do que isso — um intervalo, não um instante. De uma transferência de modelo de idioma: o código do idioma, o tamanho em bytes, e se começou, terminou ou falhou. De uma ligação a outro dispositivo: como acabou e como os dois dispositivos se encontraram. De uma transmissão: para que tipo de ecrã foi (telemóvel, tablet, computador, TV, relógio, ou um tipo que a aplicação não reconheceu), quanto durou, e se acabou por a ligação ter caído. De uma tentativa de pôr o texto num ecrã, tenha ela resultado ou não: a que tipo de ecrã se dirigia — tanto quanto este dispositivo soubesse antes de tentar, o que muitas vezes é nada — e qual das seis coisas aconteceu: o ecrã aceitou-o; aceitou-o mas uma das duas aplicações está uma versão atrás, pelo que as partes mais recentes ficam desligadas; nada respondeu por nenhuma das duas vias; o ecrã recusou o código de reivindicação; as duas estão demasiado afastadas em versão para sequer falarem uma com a outra; ou este dispositivo nem sequer conseguiu fazer a tentativa. Nada sobre o texto, e nenhum endereço de qualquer um dos dispositivos. Do aviso que aparece quando um texto tem mais do que uma língua: se o fechaste ou se passaste dele para o ecrã de subscrição. Nada sobre o próprio texto, e nada sobre que línguas estavam nele. Do ecrã de subscrição: em qual das funcionalidades bloqueadas estavas quando ele apareceu, ou que foste tu a abri-lo nas Definições em vez de teres sido travado por alguma coisa, ou que tocaste na linha por baixo das tuas próprias mensagens a dizer que um subscritor é atendido primeiro. De uma tentativa de compra: qual dos quatro tipos de plano era — mensal, anual, vitalício, ou um cujo período a aplicação não reconheceu — e se se concretizou, se foi cancelada por ti, se ficou pendente na loja, se estava indisponível, ou se falhou. De um restauro: se alguma coisa foi restaurada, se não havia nada para restaurar, ou se foi cancelado ou falhou. Dois factos sobre a subscrição são também guardados ao lado do identificador descrito abaixo e atualizados quando mudam: se o Whisprompt Pro está neste momento ativo neste dispositivo, e se foi comprado aqui e não noutro dispositivo teu. A par de tudo isto: o momento em que aconteceu, a versão da aplicação, a plataforma, e há quanto tempo esta instalação está a medir — um intervalo, nunca uma data e nunca um número de dias: o primeiro dia, a primeira semana, o primeiro mês, um a três meses, três a seis, seis a doze, um a dois anos, ou mais do que isso. Esse intervalo conta-se a partir do dia em que permitiste a medição, porque antes disso não fica nada guardado para este efeito e, ao contrário do intervalo da primeira leitura acima, viaja com cada medição em vez de uma só vez. E, sobre o dispositivo em que a medição foi feita: que tipo de dispositivo é — telemóvel, tablet, computador, TV ou relógio, e nada mais específico do que isso —, que sistema operativo tem, o número de versão principal desse sistema e só esse («18», nunca «18.3.1»), a língua em que está a interface da própria aplicação, e o país para que o teu dispositivo está configurado. Vale a pena ser preciso quanto a duas dessas coisas. O país é lido da própria definição de região do teu dispositivo: é o país que escolheste nas tuas definições, não um deduzido do endereço de rede através do qual calha estares ligado — ver «Quem o trata», abaixo. E a versão é só o número principal, porque é isso que nos diz se um sistema antigo pode ser abandonado; o resto diria mais sobre o teu dispositivo em particular do que sobre o sistema. Mais coisas sobre uma leitura. De onde veio o seu texto, como uma de sete respostas: o texto inicial que te escrevemos no primeiro arranque; esse mesmo texto inicial depois de o teres editado; um texto teu — escrito aqui, ditado aqui, colado, ou espelhado de outro dispositivo que associaste, e isto é uma só resposta porque é tudo escrita tua; um ficheiro; ou um documento espelhado do Notion, do Google Docs ou do iCloud. Nunca o seu título, nunca o nome do ficheiro, nunca o seu endereço e nunca uma palavra dele. Qual dos cinco estilos de leitura estava no ecrã, e em que par de cores foi lido: num dos seis que a aplicação traz ou — no caso de um par que montaste tu próprio no editor de temas — apenas que era um dos teus. Nunca o seu nome e nunca o identificador que a aplicação lhe deu. Um par com o nome de uma pessoa ou de uma ocasião é escrita do mesmo género que o título de um texto, e o identificador é esse nome a um passo de distância. E se tinha sido definido um tempo-alvo para esse texto antes de a leitura começar — que existia um, nunca quanto era, porque uma duração ao lado do número de palavras na mesma linha descreveria um documento em particular. De um texto que chega à tua biblioteca, chegue ele como chegar: de onde veio — as mesmas sete respostas e uma oitava: que o ditaste —, o código do idioma que declara e quantas palavras tem. Essa oitava só é conhecida no momento em que o texto é guardado e não fica guardada com ele: quando lês um texto ditado, conta como um dos teus, como acima. Nunca o seu título e nunca uma palavra dele. O texto inicial que te escrevemos no primeiro arranque não é contado, porque contá-los seria contar instalações, e isso não é medido. De uma gravação: se era áudio ou vídeo, quantos segundos inteiros durou e de qual das três maneiras acabou — foi guardada, voltou vazia porque nada chegou ao ficheiro, ou falhou. Nada sobre o ficheiro: nem o nome, nem o tamanho, nem a resolução, nem que microfone ou que lente, e nem um segundo do que foi gravado. Uma gravação que nunca chegou a acontecer porque recusaste o microfone ou a câmara é contada apenas como essa recusa acima, e não como uma gravação. E de um código promocional — um dos nossos, escrito no ecrã de resgate do próprio Whisprompt: que um código foi resgatado, e qual das nove coisas veio de volta. Funcionou; não conhecemos código nenhum assim; já tinha sido utilizado; tinha expirado; o lote a que pertence tinha-se esgotado; esta cópia da aplicação não estava sequer a aceitar os nossos códigos, porque essa rota ainda não foi construída ou foi desligada; tinham sido tentados demasiados códigos seguidos a partir deste dispositivo; não foi sequer possível chegar até nós; ou falhou por um motivo que nenhum destes nomeia. Nunca o próprio código e nunca um único dos seus caracteres — um código promocional é um segredo ao portador que vale uma subscrição, e um código que fique numa medição é um código que fica nos registos de terceiros. Se em vez disso abrires o ecrã de resgate da própria loja, aquele que a Apple ou a Google gere: que foi aberto, e mais nada, porque nenhuma das duas lojas diz à aplicação o que foi escrito no seu ecrã nem o que aconteceu ao código. E quando restringes o conjunto de idiomas entre os quais o detetor pode escolher — na folha «Idioma» do próprio texto, ou nas Definições para cada texto novo —, quantos idiomas esse conjunto abrangia antes da alteração e quantos depois, e se voltaste a pô-lo em «Auto», ou seja, na escolha entre todos os idiomas que a aplicação traz. E, se nos pedires para adicionar um idioma que a aplicação ainda não fala: que idioma, pelo seu código, e de qual dos três sítios o pediste — da folha «Idioma» de um texto, da predefinição nas Definições ou do seletor «Idioma da aplicação». Isso é a medição; o pedido em si chega até nós quer tenhas ou não permitido alguma medição, e a secção 6b diz o que ele leva. E quando esta versão da aplicação está desatualizada e precisa de ser atualizada: qual de quatro coisas aconteceu ao aviso que o diz — foi mostrado; foi retido, porque estavas a meio de uma leitura; foi adiado, porque escolheste «Mais tarde»; ou foi retirado antes de alguma vez ser mostrado, porque voltámos a baixar a versão mínima — e um número de segundos inteiros: para um aviso adiado, há quanto tempo estava no ecrã; caso contrário, quanto tempo tinha passado desde que este dispositivo, nesta execução da aplicação, soube pela primeira vez que tinha de ser atualizada.
• O que nunca é medido. Os teus textos, os seus títulos, os nomes dos ficheiros que abres, áudio, gravações, transcrições, os nomes dos teus dispositivos, os teus contactos. Um código de idioma viaja; o título de um texto não. Das medições sobre a subscrição acima: nenhum preço, nenhuma moeda, nenhum recibo, nenhum número de encomenda ou de transação, nenhum identificador de produto da loja, nenhum dado de pagamento seja de que espécie for, e nenhum texto de erro da loja — o que viaja é qual das oito funcionalidades nomeadas abriu o ecrã, qual dos quatro tipos de plano, e qual de um conjunto fixo de desfechos. Nem sequer em quantos dispositivos usas a tua subscrição. Cada medição é um conjunto fixo de números, durações e códigos, por isso não há sítio nenhum onde possa aparecer o que escreveste, nomeaste ou pagaste.
• Isto não é anónimo, e preferimos dizê-lo. As medições deste dispositivo levam um identificador aleatório duradouro. Pertence a esta instalação da aplicação e a mais nada: é criado pelo próprio componente de medição, no dia em que permites a medição e nem um momento antes, não serve para nada a não ser estas medições, e não é o identificador que a tua subscrição usa — esse nunca é enviado com uma medição, pelo que os dois registos ficam separados e nenhum leva o identificador do outro. Nada numa medição diz qual dos teus dispositivos anda com qual: a não ser que concedas a permissão à parte descrita abaixo, o teu telemóvel e o teu tablet chegam como duas instalações sem ligação entre si e são contados como dois. O identificador é substituído, no máximo, treze meses depois de ter sido criado, tenhas usado a aplicação nesse intervalo ou não, e o substituto não se junta ao anterior — por isso o registo de uma instalação não pode ficar mais comprido do que isso. Desligar a medição apaga o identificador do dispositivo. Aleatório como é, continua a ser um identificador, e é por isso que existe este parágrafo em vez de uma afirmação de que as medições são anónimas.
• Contar os teus dispositivos como uma só pessoa — uma permissão à parte, desligada enquanto não a concederes. Se usares o Whisprompt em mais do que um dispositivo, a aplicação pode perguntar-te uma vez se as medições de todos eles devem levar um identificador partilhado, para que um telemóvel e um tablet contem como uma pessoa e não como duas. Essa pergunta muda apenas o identificador, e nada do que é medido: a mesma lista acima, as mesmas propriedades, nenhum acontecimento a mais e nenhum destinatário novo. Está desligada enquanto não disseres que sim, dizer que não não muda mais nada na aplicação, e podes ligá-la ou desligá-la depois, na mesma secção das definições. Tal como a medição acima, isto é perguntado uma vez em vez de em cada dispositivo: diz que sim e os outros dispositivos da tua subscrição recebem essa resposta da próxima vez que estiverem ligados — o identificador partilhado chega-lhes pelo mesmo canal encriptado que os teus dispositivos já usam entre si, e mais nada sobre a medição viaja com ele. Só chega a um dispositivo onde tenhas permitido a medição, já que em qualquer outro não haveria nada para ele contar. Um não não é levado para lado nenhum, por isso um dispositivo que associes mais tarde pode fazer ele próprio a pergunta da contagem; recusar outra vez custa um toque e fica lembrado. Também esse cartão tem duas respostas e não tem terceira saída, e nada fica registado sem que dês uma. Quando a ligas, aplica-se desse momento em diante — as medições já recolhidas não são reetiquetadas, e o identificador que esta instalação usava antes não é enviado nem ligado ao partilhado. Vale a pena nomear um caso à parte disso. Se esta instalação já estiver a levar um identificador partilhado e passar a levar outro — que é o que acontece quando a associas a dispositivos que já partilham um identificador próprio —, a medição seguinte leva uma vez o identificador partilhado anterior, para que os registos de uma pessoa não sejam lidos como dois: um que deixa de existir e outro que aparece do nada. Só um identificador partilhado viaja alguma vez dessa maneira; o identificador por instalação descrito acima nunca é enviado nesse campo, em transição nenhuma. Quando a desligas, esta instalação volta a um identificador só seu, e é um novo e não aquele que tinha antes. Não pode estar ligada com a medição desligada, porque não haveria nada para contar: se desligares a medição, o identificador partilhado é apagado do dispositivo juntamente com o outro. E, se associares um segundo dispositivo antes de a pergunta da medição te ter sido sequer feita, a aplicação pode juntar as duas — uma vez na vida da aplicação, num único cartão que diz o que ambas são. Esse cartão é o que pergunta sobre a medição, e não um cartão a mais: nesse dispositivo, nenhuma das perguntas volta a ser feita. Um sim ali é um sim às duas, porque ambas foram nomeadas nele; um não recusa as duas. Os teus dispositivos associam-se de uma maneira ou de outra, e nenhuma das respostas é alguma vez tomada pela outra.
• Quem o trata. A Amplitude, a nossa subcontratante, no seu ponto de acesso europeu. Cada pedido pede à Amplitude que não deduza nada do endereço de onde chega, pelo que não é apurada nenhuma cidade, região ou localização de espécie alguma a partir do sítio de onde te ligaste. O país da lista acima não é uma exceção a isso: é o que está definido no teu dispositivo, enviado porque fomos nós que o pusemos lá, e seria o mesmo país estivesses tu na rede que estivesses.
• Como retirar o consentimento, e o que acontece então. Duas maneiras, e qualquer uma delas basta. Na aplicação: Definições → Dados de utilização → desliga o interruptor. Ou escreve para support@whisprompt.app a dizê-lo, e nós paramos. Retirar o consentimento não leva mais toques do que levou concordar, não tens de dar um motivo, e não te pedimos nenhum. Desligá-lo é tratado como a tua oposição e não como a definição de um aparelho: os teus outros dispositivos associados são avisados, pelo canal encriptado que já partilham com este, e também deixam de medir da próxima vez que estiverem ligados — um que esteja adormecido é avisado quando voltar, porque o aviso é repetido até chegar. Voltar a ligá-lo não viaja tão longe: chega a um dispositivo que tenhas associado mas onde a pergunta nunca tenha sido feita, que recebe a resposta e te diz que a recebeu, e nunca desloca uma resposta que um dispositivo tenha dado por si próprio — por isso um dispositivo que desligaste aqui fica desligado até o ligares lá. A assimetria é deliberada. A oposição a ser medido parte de uma pessoa, e preferimos que chegue longe de mais a que não chegue longe que baste; uma permissão não deve poder sobrepor-se a uma resposta que alguém já deu no dispositivo que tem na mão. A tua resposta é lembrada no dispositivo através de reinícios e de atualizações da aplicação, e sobrevive à substituição do identificador ao fim de treze meses — um identificador novo não recomeça a medição para quem a desligou. Se quiseres que as medições já enviadas sejam apagadas também, pede-nos: secção 11.

6a. Relatórios de falha — uma permissão à parte, desligada enquanto não a concederes

Se a aplicação deixar de funcionar, pode enviar-nos um relatório sobre a falha. Isto não faz parte da medição da secção 6: é uma finalidade diferente, com um destinatário diferente, e tem um interruptor próprio. É apresentado num cartão só seu, mesmo antes da pergunta sobre a medição, e respondido em separado — um sim a uma não é um sim à outra, em nenhum dos sentidos. Esse cartão funciona como o da medição: duas respostas, nenhuma terceira saída, e nada fica registado sem que dês uma.

Está desligado enquanto não o ligares. Até o fazeres, não é instalado nada para isso e não é enviado nada — essa regra não tem exceção nenhuma. O que tem exceções é o armazenamento, e são duas, abaixo. Ambas existem para te poder ser feita a pergunta e não para recolher seja o que for, ambas dizem respeito a uma falha que já te aconteceu, e nenhuma delas envia o que quer que seja enquanto não responderes.

A primeira é uma falha ao arrancar. Se o Whisprompt não conseguir sequer arrancar, não há um momento posterior em que fazer a pergunta, por isso é o ecrã de erro que a faz ali. Se já tiveres ligado os relatórios de falha, é enviado um relatório sobre essa falha e o ecrã diz-te que foi. Se já os tiveres desligado, não te é proposto nada e não é enviado nada. Se a pergunta nunca te tiver sido feita, é o ecrã que a faz — enviar este relatório, não o enviar, ou enviá-los daqui em diante — e nada sai do dispositivo até escolheres. Um relatório enviado assim é mais pequeno do que o descrito abaixo: não leva identificador de espécie alguma, e diz onde é que a aplicação parou, a versão da aplicação e qual é este sistema operativo — mais nada sobre o dispositivo, nenhum idioma da interface, e nenhum dos passos que vieram antes. Vai para a Sentry, a mesma subcontratante e os mesmos servidores europeus, e o que se diz abaixo sobre o endereço de internet de onde chega um relatório aplica-se-lhe também. Escolher enviá-los daqui em diante é a mesma resposta que o interruptor das Definições, e desliga-se no mesmo sítio. O mesmo ecrã, com as mesmas três respostas, aparece também quando é uma única parte da aplicação que falha enquanto ela corre, e não no arranque. Isto é só na aplicação de telemóvel e de tablet: as aplicações para Mac e para televisão não têm um ecrã destes.

A segunda é uma falha sobre a qual não te pudemos perguntar na altura — porque a aplicação desapareceu antes de poderes responder, ou porque a fechaste em vez de responder. Se a pergunta nunca te tiver sido feita, fica guardado no teu dispositivo um relatório sobre ela, e da próxima vez que a aplicação arrancar como deve ser, di-lo no fundo do ecrã e faz-te a pergunta. É um único relatório e não uma fila; uma segunda falha não o substitui. Não é enviado nada sobre ele sem que digas ali que sim. É apagado quando respondes, num sentido ou no outro, quando mandas esse aviso apagá-lo, quando os relatórios de falha são desligados e, em qualquer caso, sete dias depois de ter sido guardado. Esse ficheiro é a única coisa guardada no teu dispositivo para o relato de falhas antes de teres concordado com o que quer que seja, e preferimos nomeá-lo a deixar o parágrafo acima dar a entender que não está lá nada: existe para que a pergunta possa sequer ser feita. As falhas que ele recupera são as que de outra maneira nunca veríamos — os primeiros arranques de uma instalação acabada de fazer, que são as piores falhas que há e pertenciam exatamente às pessoas a quem a pergunta nunca tinha chegado. O que ele não recupera é uma falha que o sistema operativo trate ele próprio, por baixo da aplicação: essas continuam a precisar de que o relato tenha sido ligado de antemão.

• O que vai num relatório. Onde é que a aplicação parou — o rasto técnico da falha —, o tipo de dispositivo, o sistema operativo e a sua versão, a versão da aplicação, o idioma da interface, e uma lista curta do que a aplicação andava a fazer antes disso: ecrãs abertos, avisos de pouca memória, a aplicação a passar para segundo plano.
• E, quando a falha foi no teleprompter, o que o teleprompter andava a fazer. Um reconhecedor que deixa de funcionar fá-lo no fim de uma cadeia de acontecimentos, e uma linha a dizer que parou não chega para o corrigir — por isso um relatório sobre uma sessão de leitura leva uma cronologia curta dessa sessão: o motor de reconhecimento a arrancar e a parar e porquê, a língua do parágrafo a que tinhas chegado, as passagens de uma língua para outra e se resultaram, se o reconhecimento estava a correr no dispositivo ou através dos servidores da plataforma, quanto tempo demorou a devolver as primeiras palavras, quando é que o seguimento de voz perdeu o teu sítio e quando o voltou a encontrar, o ecrã a mudar entre à espera, à escuta, em pausa e parado, até onde tinha ido a transferência de um modelo de idioma, se algum estava a ser transferido, e o momento em que a falha foi declarada. Leva também a FORMA daquilo que estavas a ler e o ponto onde estavas dentro dele — quantas palavras e quantos parágrafos tinha o texto, quantas línguas misturava, em que número de palavra ias, e os momentos em que pegaste no texto à mão, com um recuo ou um arrasto. São essas coisas que dão sentido ao resto da cronologia: uma posição sem um comprimento com que a medir não diz nada, e um salto que o reconhecedor não causou lê-se como uma avaria a não ser que a página diga que foi uma mão a dá-lo. Cada linha é uma contagem, um código, um código de idioma ou uma duração. Mais um número viaja ao lado delas: quanta memória a própria aplicação estava a usar naquele momento, em megabytes inteiros — é uma causa plausível da falha e não há outra maneira de a ver, e não diz nada sobre ti nem sobre o que mais tens no dispositivo. Nem uma palavra do texto, nunca — nem o seu título, nem uma linha dele, nem o que o reconhecedor julgou ouvir, e nenhum nome teu ou dos teus dispositivos. Os tempos que lá vão são indicados como intervalos — «quatro segundos antes da falha» — e não como horas de relógio, porque uma hora de relógio traz consigo um fuso horário e um fuso horário é uma localização grosseira.
• O que é retirado antes do envio. Um relatório de falha é montado pelo componente de relato e não escrito por nós, por isso desmontamo-lo e limpamo-lo: nomes e caminhos de ficheiros, endereços web para além do nome do serviço, endereços de e-mail, endereços de rede, o nome do teu dispositivo e o teu fuso horário. Nunca vai anexada nenhuma captura nem nenhuma cópia do ecrã — o teu texto é o que está nesse ecrã — e nenhum relatório leva qualquer identificador teu que nós tenhamos. O que fica é um rasto de pilha, o tipo de falha e o tipo de dispositivo.
• A única coisa que a nossa aplicação não consegue retirar. A Sentry apura uma localização aproximada — país e cidade — a partir do endereço de internet de onde chega um relatório. Acontece do lado deles, depois de tudo aquilo que a nossa aplicação pode editar, por isso, ao contrário do que sucede com a medição acima, não temos maneira de o desligar relatório a relatório. Duas definições do projeto respondem por isso: uma impede que o próprio endereço seja guardado, e outra remove a localização apurada a partir dele. A primeira está posta. Onde a segunda não estiver, o país e a cidade ficam com o relatório enquanto o relatório for guardado, o que é no máximo 90 dias. Nomeamo-lo aqui em vez de deixar a frase acima dar a entender que tínhamos removido uma coisa que não removemos.
• O identificador. Os relatórios de uma instalação levam um identificador aleatório que o componente de relato cria para si próprio, para que dez falhas de um dispositivo possam ser reconhecidas como um dispositivo e não como dez. Não é o identificador que as medições usam, nem o que a tua subscrição usa.
• Quem o trata. A Sentry, a nossa subcontratante, nos seus servidores europeus.
• Como retirar o consentimento, e o que acontece então. Definições → Relatórios de falha → desliga o interruptor. O relato para, e o que ainda estiver à espera de ser enviado é apagado do dispositivo. A tua resposta a esta pergunta viaja como viaja a tua resposta sobre a medição: um dispositivo que associes e onde a pergunta nunca tenha sido feita recebe a resposta que já deste e diz-te que a recebeu, um dispositivo que tenha respondido por si próprio fica com a sua própria resposta, e desligar o relato chega aos teus dispositivos associados mesmo onde eles já tenham respondido. Aquilo em que isto assenta juridicamente, e o que retirar o consentimento desfaz e não desfaz, está na secção 9.

Não pomos a chave de um subcontratante numa versão antes de estar em vigor o contrato de tratamento de dados desse subcontratante. O que a Sentry tem, para além dos relatórios que as pessoas nos enviam, são os relatórios de teste que nós próprios enviámos a partir de uma máquina de desenvolvimento, para verificar que os nomes, os caminhos e os endereços são mesmo retirados. Esses são nossos, não teus, e apagamo-los.

6b. O que nos envias tu

A aplicação tem um ecrã «Enviar comentários». Nada do que lá está chega até nós enquanto não tocares em enviar, e o que nos chega então é o que escreveste, mais as coisas opcionais que tenhas decidido juntar. Não é uma medição nem é um relatório de falha: escreve-lo tu, decides tu o que vai com ele, e serve para te responder e para corrigir aquilo de que nos falaste.

Depois de teres enviado alguma coisa, a aplicação pergunta por ela. Enquanto qualquer uma das tuas mensagens ainda estiver aberta — à espera de ser lida, em tratamento ou à espera da tua resposta a uma pergunta que fizemos — ou tiver sido fechada nos últimos trinta dias, a aplicação pergunta ao nosso servidor em que ponto está, juntamente com qualquer nota curta que tenhamos escrito sobre ela: ao arrancar a aplicação, quando voltas a ela e uma vez por hora enquanto estiver aberta, mas nunca mais de uma vez a cada quinze minutos. Quando abres As minhas mensagens e depois de adicionares detalhes, pergunta o mesmo sobre cada mensagem enviada deste dispositivo, incluindo as que estão resolvidas ou não previstas. Essa pergunta não leva nada a não ser os identificadores que a aplicação guardou das tuas próprias mensagens quando as enviou: não é recolhido nada de novo sobre ti, e é a única coisa aqui que acontece sem tocares em enviar. As respostas ficam guardadas no teu dispositivo para que o ecrã continue a ler-se sem ligação, e vão-se quando a aplicação se for. Se te pedirmos pormenores, o que escreveres de volta é enviado como uma mensagem nova, sob as mesmas regras e com as mesmas coisas juntas que qualquer outra.

O que vai sempre com uma mensagem, porque um relato que não conseguimos situar é um relato sobre o qual não podemos agir: a versão e o número de compilação da aplicação, o sistema operativo e a sua versão, o modelo do dispositivo, o idioma e a região para que o dispositivo está configurado (es_ES, por exemplo, é espanhol tal como é usado em Espanha), e o idioma em que a própria aplicação está a ser mostrada. O mesmo acontece com o identificador aleatório de subscrição da secção 4, sempre que este dispositivo tenha um — o que acontece desde a primeira compra feita nele, ou desde que foi associado a um dispositivo que fez uma — para a única verificação descrita abaixo, depois da qual o nosso servidor não o guarda. O ecrã nomeia cada uma destas coisas antes de enviares, para que saibas o que estás a enviar enquanto o escreves.

O que só vai se fores tu a juntá-lo. Ficheiros — até três, capturas de ecrã ou uma gravação curta do ecrã, escolhidos por ti na tua própria galeria; recebemos o que juntares e nada que não tenhas juntado. Um endereço para te responder, se quiseres resposta; sem ele lemos na mesma cada palavra, e ficamos então sem maneira de saber quem a escreveu. E o identificador de medição da secção 6, atrás de um interruptor que só aparece quando há um para juntar: é o que nos deixa ver como é que a aplicação se andava a portar antes de escreveres.

A única coisa que apuramos por nós é se a mensagem veio de um subscritor, para que possa ser atendida primeiro. O teu dispositivo envia o identificador aleatório de subscrição da secção 4, o nosso servidor pergunta ao RevenueCat se tem direito, e escreve essa resposta — sim ou não — e nunca o próprio identificador. Por isso nada liga o que disseste ao que compraste.

As mensagens são guardadas para nós pela Cloudflare em servidores na Europa Ocidental: o texto numa base de dados, os ficheiros em armazenamento de objetos, ambos sob o código de referência que a aplicação te mostra depois de enviar. São guardadas durante dois anos e apagadas automaticamente nessa altura, e mais cedo se o pedires — indica esse código, ou diz-nos qualquer outra coisa que nos deixe encontrar a mensagem. Nós lemo-las, tal como o modelo descrito a seguir; não são usadas para mais nada: nem para medir, nem para traçar perfis, nem para treinar a inteligência artificial de ninguém, nem para decidir seja o que for a teu respeito.

A primeira leitora é uma máquina, e não é nossa. Cada mensagem nova é lida primeiro por um modelo de IA — o Claude, feito pela Anthropic —, ao qual demos uma única tarefa: perceber do que trata a mensagem, quão importante é e a que parte da aplicação pertence, e esboçar o que poderíamos responder. Não decide nada que possas ver. Um estado e uma nota no teu ecrã «As minhas mensagens», um e-mail para ti, uma entrada no nosso registo de problemas: cada uma destas coisas só é feita pela nossa palavra, depois de um de nós ter lido o que ele propõe. Para fazer esse trabalho, quatro serviços além da Cloudflare tratam do que enviaste, ou de parte disso:

• A Anthropic, nos Estados Unidos, corre o modelo e recebe cada mensagem por inteiro: o que escreveste, o endereço de resposta se deste um, tudo o que está acima e que vai sempre com uma mensagem, se veio ou não de um subscritor, o identificador de medição se o anexaste, e cada ficheiro que anexaste — o modelo abre e vê cada um deles. O próprio identificador de subscrição nunca lhe chega. O que o modelo leu fica no registo dessa execução, na nossa conta junto da Anthropic, e essa conta está configurada para que a Anthropic não a use para treinar os seus modelos.
• O Telegram, uma empresa sediada fora do Espaço Económico Europeu, leva-nos o resumo do modelo, e leva de volta as nossas instruções. Para cada mensagem, o resumo dá o seu código de referência, que tipo de relato é, o dispositivo, a versão da aplicação e o idioma, uma linha ou duas sobre o que escreveste, que pode citar-te, uma linha a descrever qualquer imagem que tenhas anexado, e a resposta que o modelo propõe. Nunca o teu endereço de e-mail, e nunca os próprios ficheiros.
• A Google, cujos servidores estão nos Estados Unidos e noutros sítios, leva a nossa resposta se te respondermos por e-mail: sai da nossa caixa de correio do Gmail para o endereço que deste, com o código de referência no assunto, e a troca de mensagens fica nessa caixa de correio.
• O GitHub, nos Estados Unidos, guarda o nosso registo de problemas, que é privado. Se o que relataste se tornar numa entrada aí, essa entrada leva o código de referência, o dispositivo e a versão da aplicação, e o problema descrito com as nossas próprias palavras — nunca o teu endereço de e-mail.

Estes quatro não estão entre os nossos subcontratantes da secção 10: usamos cada um deles nos seus próprios termos, como qualquer utilizador seu, e nenhum contrato de tratamento de dados os liga a nós. Também o apagamento noturno não os alcança. Este cobre a nossa base de dados e o nosso armazenamento de ficheiros na Cloudflare — onde também fica guardado cada resumo enviado ao Telegram, durante dois anos a partir do dia em que foi enviado — e nada fora deles. O que os quatro têm fica lá até nós o apagarmos à mão, e quando nos pedes para apagar a tua mensagem, nós apagamo-la: nos quatro sítios, e nesses resumos. Cada cópia leva o código de referência; é por ele que a encontramos. Depois de termos apagado uma execução da nossa conta, as condições da Anthropic dão-lhe 30 dias para a eliminar dos seus próprios sistemas.

Uma coisa a saber antes de juntares uma imagem: uma captura de ecrã contém o que quer que estivesse no ecrã quando a tiraste, o que pode incluir um texto que estivesses a ler. Junta só aquilo que quererias que tivéssemos, e nós apagamos o que não precisarmos.

Pedir um idioma. Onde a aplicação lista um idioma que ainda não fala, podes pedir-nos que o acrescentemos. Tocar em «Pedir» envia ao nosso servidor duas coisas e nada mais: o código do idioma, e uma chave aleatória que esta instalação cria da primeira vez que pedes. A chave existe para que um pedido enviado duas vezes por causa de uma ligação má não seja contado como duas instalações a querer o mesmo idioma. O pedido é enviado quer tenhas ou não permitido a medição da secção 6, porque é uma coisa que nos pediste, não uma coisa que medimos. Fica guardado na Cloudflare, na Europa Ocidental, ao lado das mensagens, durante dois anos a partir do dia em que chega, e é depois apagado automaticamente; ninguém além de nós o lê, e não vai para mais lado nenhum. A chave não é mostrada em lado nenhum, nem sequer a ti, e nada do que guardamos ao lado dela diz de quem é — o que é também a razão por que não conseguimos escolher a tua para a apagar mais cedo. No teu dispositivo, a chave fica até apagares o dispositivo ou removeres a aplicação.

6c. Perguntas que fazes à ajuda de IA

A pesquisa no topo das Definições pode enviar uma pergunta à ajuda de IA. Nada é enviado enquanto não tocares em «Perguntar à IA», e depois só isto: as palavras que escreveste, a língua da aplicação, as definições que a pesquisa da própria aplicação encontrou para essas palavras e um número aleatório que a aplicação cria para esta instalação. Nunca os teus textos, as tuas gravações nem mais nada no dispositivo.

A pergunta é respondida no nosso servidor, na Cloudflare, por um modelo de IA aberto que se baseia no manual da própria aplicação. A Cloudflare não usa o que recebe para treinar nenhum modelo, e nós não guardamos a pergunta nem a resposta: ambas existem apenas enquanto a resposta está a ser escrita. A resposta é-te mostrada com a indicação de que foi escrita por uma IA, porque pode estar errada.

Para impedir abusos, o servidor guarda contadores associados a esse número aleatório — quantas vezes o dispositivo perguntou no último minuto e quantas vezes, na última hora, perguntou algo que não diz respeito ao Whisprompt — e, se isso se repetir, suspende a ajuda de IA para esse dispositivo: primeiro um minuto, depois o dobro do tempo de cada vez, nunca mais do que um dia. As próprias perguntas nunca são guardadas. Os contadores são apagados uma hora após a última pergunta desse tipo, ou um dia após a última suspensão. O servidor conta também as perguntas que chegam do mesmo endereço de internet (IP), para que um único lugar não possa esgotar a ajuda pensada para todos: acima de um número definido numa hora ou num dia, esse endereço tem de esperar. O endereço em si nunca é guardado — apenas uma versão dele baralhada de forma irreversível (um hash), que muda todos os dias — e estes contadores são apagados um dia após a última pergunta. Uma suspensão nada decide sobre ti: diz respeito apenas à ajuda de IA nesse dispositivo. Isto assenta no teu consentimento (artigo 6.º, n.º 1, alínea a), do RGPD), dado de cada vez que tocas em «Perguntar à IA».

7. Apagar um dispositivo antes de ele sair das tuas mãos

As definições da aplicação têm um botão «Apagar este dispositivo», em «Dados de utilização». É o que deves carregar antes de venderes, devolveres, dares como retoma ou passares a outra pessoa um dispositivo, e os Termos pedem-te que o faças.

Remove desse dispositivo: os teus textos, as tuas gravações, os modelos de voz que transferiste, as ligações que concedeste a serviços como o Notion, o identificador de medição, e todas as respostas de privacidade que deste nele. Retira também o dispositivo dos teus dispositivos associados, para que deixe de espelhar a tua biblioteca e de partilhar a tua subscrição. Os teus outros dispositivos ficam com tudo.

A tua subscrição não é afetada. Pertence à tua conta da App Store ou do Google Play e restaura-se no teu dispositivo seguinte.

Dois limites, ditos com clareza. Se o dispositivo estiver offline quando o apagares, a limpeza local conclui-se na mesma, mas os teus outros dispositivos não são avisados; a aplicação di-lo, e podes removê-lo da lista de dispositivos em qualquer um deles. E as medições já enviadas antes da limpeza não são chamadas de volta por ela — para essas, usa o pedido de apagamento da secção 11.

8. O que NÃO recolhemos

• Nenhuns identificadores de publicidade e nenhuns SDK de publicidade de terceiros.
• Nenhuma análise nem rastreio neste site. Na aplicação, absolutamente nada sem que tenhas concordado com isso e, a partir daí, a medição descrita na secção 6 e mais nada: nenhuma publicidade, nenhuma definição de perfis, e nenhum rastreio teu através de aplicações ou sites de outras empresas.
• Nenhum relato de falhas sem que sejas tu a ligá-lo, e nada num relatório que te identifique — ver a secção 6a.
• Nenhuma venda nem partilha de dados pessoais na aceção do RGPD.

Este site não define cookies. Guarda duas preferências no teu navegador: o tema, que defines com o botão do sol e da lua no cabeçalho, e o idioma, para que da próxima vez o whisprompt.app abra no idioma em que estavas a ler. Ambas só podem ser lidas por este site, nenhuma delas te identifica, nenhuma delas nos é enviada nem é enviada a mais ninguém, e limpar os dados deste site no teu navegador remove-as. O site é servido pela Cloudflare, que vê o endereço a partir do qual te ligas, como qualquer servidor web, e dele deduz apenas o país usado para mostrar o preço da tua loja.

9. Fundamentos jurídicos (artigo 6.º do RGPD)

O tratamento do teu áudio e dos teus textos para fazer funcionar o teleprompter é feito para prestar a funcionalidade que pedes (artigo 6.º, n.º 1, alínea b), execução de um contrato / do teu pedido). As fontes ligadas opcionais, os direitos da subscrição e o restauro de compras assentam no mesmo fundamento. Proteger o servidor de retransmissão contra abusos assenta no nosso interesse legítimo (artigo 6.º, n.º 1, alínea f)).

Tudo o que está na secção 6 assenta no teu consentimento (artigo 6.º, n.º 1, alínea a)): a própria medição, e contar os teus dispositivos como uma só pessoa sob um identificador partilhado. Os relatórios de falha da secção 6a assentam também no teu consentimento — uma terceira permissão, que não faz parte de nenhuma das outras duas: um componente de relato guarda coisas no teu dispositivo e não é preciso para fazer funcionar um teleprompter, por isso não há nada em que o fazer assentar a não ser o teu sim. As três são pedidas em separado e retiradas em separado, a qualquer momento; retirar é tão fácil como foi concordar, e não custa mais toques. A retirada produz efeitos a partir desse momento: não torna ilícito o que fizemos enquanto o teu consentimento vigorou, e por si só não apaga o que já tinha sido enviado — para isso, pede-nos, e a secção 11 diz como. A medição e os relatórios de falha são respondidos por pessoa e não por aparelho: a resposta que dás preenche-se num dispositivo que associes e ao qual ainda não tenha sido feita a pergunta — que te diz que a recebeu — e nunca desloca uma resposta já dada num dispositivo. A contagem é pedida uma vez por um motivo aparentado, porque é um facto sobre um conjunto de dispositivos e não sobre qualquer um deles em particular, e um sim a ela é levado aos outros da mesma subscrição. Uma retirada viaja mais longe do que qualquer uma delas: chega aos teus dispositivos mesmo onde eles já tenham respondido, porque uma oposição é feita por uma pessoa, e entre chegar a um dispositivo a mais e deixar um a medir contra a vontade dessa pessoa, escolhemos o primeiro. Perguntamos em vez de dar por adquirido, e vale a pena dizer o motivo com clareza: medir uma aplicação guardando um identificador no teu dispositivo só se poderia fazer sem perguntar se o nosso fornecedor de medição se comprometesse por escrito a nunca reutilizar os dados para fins próprios e tornasse impossível olhar para uma única pessoa dentro da sua própria ferramenta. Não lhe pedimos nem uma coisa nem outra, por isso perguntamos-te a ti.

Vale a pena nomear o que fazemos com as medições, em vez de o descrever em abstrato: o Whisprompt segue a tua voz por um texto em todas as línguas suportadas, a qualidade desse seguimento varia de língua para língua, e a única maneira de sabermos que uma língua está a ser mal seguida é contar quantas vezes as pessoas tiveram de pegar no texto à mão — por língua, e em instalações suficientes para o número dizer alguma coisa. As medições sobre o ecrã de subscrição respondem a uma pergunta mais pequena: por que funcionalidade bloqueada é que as pessoas são realmente travadas. De uma maneira ou de outra, as medições não levam nada do que escreveste ou disseste, o endereço de onde chegam não é convertido numa localização, o identificador é substituído ao fim de treze meses, e nada é combinado com dados vindos de outro sítio nem usado para tomar decisões a teu respeito.

Nada disto te é exigido. Nenhuma lei te obriga a dar-nos seja o que for disto, e nada do que vendemos fica condicionado a isso: a aplicação instala-se, o teleprompter funciona, e uma subscrição compra-se e restaura-se sem conta. Uma funcionalidade depende de uma permissão — seguir a tua voz não pode funcionar sem o microfone — e recusá-la deixa o teleprompter a deslocar-se sozinho, o que é um modo por direito próprio e não um remendo. As medições da secção 6 e os relatórios de falha da secção 6a não são precisos para absolutamente nada: recusa uma delas ou as duas e a aplicação porta-se exatamente como se portaria de outro modo. A consequência de recusares cai sobre nós e não sobre ti — simplesmente ficamos sem a medição.

Não tomamos decisões a teu respeito por meios automatizados, e não construímos perfis. Nada do que aqui se descreve te avalia, prevê o que quer que seja sobre ti ou te arruma num grupo, e nada aqui produz um efeito jurídico sobre ti nem nada de comparável a isso. Duas coisas são decididas por uma máquina, e ambas são sobre equipamento e não sobre ti: o servidor de retransmissão recusa pedidos que chegam depressa de mais, e não acrescenta um sétimo dispositivo a uma subscrição que já cobre seis. Nenhuma delas pesa fosse o que fosse a teu respeito — uma conta pedidos, a outra conta dispositivos. O modelo que lê primeiro as tuas mensagens (secção 6b) organiza-as — do que trata cada uma, e quão urgente parece — mas não decide nada sobre ti: o que quer que te chegue dele foi decidido por um de nós.

O que nos envias tu — uma mensagem do ecrã de comentários ou um pedido para um idioma (ambos na secção 6b), ou qualquer coisa que decidas enviar-nos por e-mail — assenta no teu consentimento (artigo 6.º, n.º 1, alínea a)). Nada é recolhido enquanto não o enviares, e o que vai com uma mensagem é escolha tua enquanto a escreves. Responder-te, corrigir aquilo que relataste e contar que idiomas as pessoas pedem é esse mesmo ato a ser honrado.

10. Subcontratantes e transferências para fora do EEE

Todos os subcontratantes aqui nomeados estão ligados a nós por um contrato escrito de tratamento de dados que lhes exige proteger os teus dados segundo a norma que esta política define, tratá-los apenas segundo as nossas instruções e apenas para a finalidade aqui nomeada, e nunca para a sua própria. Os nossos subcontratantes — RevenueCat (subscrições), Cloudflare (o servidor de retransmissão, as mensagens que envias do ecrã de comentários e as perguntas que fazes à ajuda de IA), Amplitude (dados de utilização) e Sentry (relatórios de falha) — podem tratar dados fora do Espaço Económico Europeu, incluindo nos Estados Unidos. A Amplitude recebe as medições no seu ponto de entrada europeu e a Sentry guarda os relatórios de falha na sua região europeia, mas ambas as empresas são americanas, pelo que essas transferências assentam na mesma nas cláusulas abaixo. Todas as transferências desse género são feitas ao abrigo das Cláusulas Contratuais-Tipo da UE, incorporadas no contrato de tratamento de dados que temos com cada um destes subcontratantes: a adenda da Amplitude faz parte dos seus termos de serviço e leva as Cláusulas de 2021, e a adenda de tratamento de dados da Sentry leva as mesmas Cláusulas juntamente com a adenda do Reino Unido. Para obteres uma cópia das Cláusulas em que assenta qualquer uma destas transferências, escreve para support@whisprompt.app e nomeia o subcontratante sobre o qual estás a perguntar; enviamos-te as cláusulas que se lhe aplicam. (O que a Amplitude tem para além das tuas medições são os eventos de teste que enviámos nós próprios, dos nossos próprios dispositivos, para verificar que o endereço de onde chega uma medição não é convertido numa localização. São nossos, não teus, e apagamo-los.) Os acordos e cláusulas acima cobrem estes subcontratantes e mais ninguém. Os quatro serviços que a secção 6b nomeia como lendo, transportando ou guardando o que envias do ecrã de comentários — a Anthropic, o Telegram, a Google e o GitHub — não são subcontratantes nossos: cada um está sediado fora do Espaço Económico Europeu ou guarda o que recebe fora dele, e cada um trata isso nos seus próprios termos. Nenhum dos nossos subcontratantes tem um nome teu, e só um deles pode ter um endereço de e-mail: se deres um no ecrã de comentários para que possamos responder, ele fica dentro da tua mensagem na Cloudflare até essa mensagem ser apagada. Para além disso, o que têm é um identificador aleatório de subscrição, identificadores por dispositivo, o identificador que as medições levam, o nome que cada dispositivo declara para si próprio e detalhes técnicos da ligação. Fora deles, o modelo junto da Anthropic lê esse endereço juntamente com o resto da tua mensagem, e se te respondermos por e-mail, ele está também na nossa caixa de correio do Gmail — a secção 6b diz por quanto tempo.

11. Os teus direitos

Ao abrigo do RGPD tens o direito de aceder aos teus dados, de os retificar, de os apagar, de limitar o seu tratamento e de os portar, e o direito de te opores ao tratamento. Não temos nem um nome nem um endereço de e-mail teu: o Whisprompt não tem contas, e um endereço que nos dás com uma mensagem fica com essa mensagem (secção 6b). Temos, isso sim, um registo num servidor nosso: se usares o Whisprompt Pro em vários dispositivos teus, guardamos uma lista desses dispositivos — um identificador que a aplicação gera para cada um, o nome que cada dispositivo declara para si próprio, e quando foi acrescentado e visto pela última vez — sob um identificador aleatório de subscrição. Podes apagar esse registo a partir da aplicação a qualquer momento (Definições → Dados nos nossos servidores), e tudo o resto fica no teu dispositivo: os textos, os modelos e a aplicação podes apagá-los quando te apetecer. Para retirares o teu consentimento às medições de utilização, desliga-as (Definições → Dados de utilização) ou escreve-nos — a secção 6 expõe as duas maneiras, e qualquer uma delas para a recolha e apaga o identificador do dispositivo. Para que sejam apagadas também as medições já enviadas, pede-nos e nós apagamo-las: estão guardadas sob esse único identificador aleatório e sob nome nenhum teu. Apagar o registo da tua subscrição não chega até elas, e desligar a medição não chega até ele, porque os dois são guardados sob identificadores diferentes de propósito: pede-nos aquele que queres ver desaparecer, ou os dois. Se nos escreveste a partir do ecrã de comentários e queres que essa mensagem e os seus anexos desapareçam, indica o código de referência que a aplicação te mostrou — é por esse código que a encontramos, e pelas cópias dela que a secção 6b descreve, e não há nome nenhum teu arquivado com ela por onde a encontrar. Para qualquer pedido, escreve para support@whisprompt.app. Tens também o direito de apresentar reclamação junto de uma autoridade de controlo — a do sítio onde vives, a do sítio onde trabalhas, ou a do sítio onde achas que alguma coisa correu mal. A nossa é a Agencia Española de Protección de Datos, em Espanha (aepd.es).

12. Prazos de conservação

Os dados locais permanecem até os apagares ou removeres a aplicação. Os dados da subscrição são removidos juntamente com o teu perfil de cliente na RevenueCat, embora registos anonimizados das transações possam ser conservados pela RevenueCat e pela loja de aplicações para fins contabilísticos. As salas do servidor de retransmissão vivem no máximo quatro horas, a caixa de correio da ligação até 30 dias, e a lista dos dispositivos da tua subscrição até ter passado um ano sem que nenhum deles a use — ou até a apagares a partir da aplicação. As medições de utilização não levam data de validade; o que decide quanto tempo são guardadas é aquilo para que servem. Ficam enquanto ainda puderem responder à pergunta para que foram recolhidas — se a versão da aplicação que as pessoas estão a usar agora se porta como pensamos — e são apagadas assim que deixarem de poder, ou mais cedo se nos pedires para apagar as tuas. Nada é guardado na hipótese de vir a ser útil mais tarde. O identificador sob o qual essas medições são guardadas corre num relógio só seu, e curto: é substituído, no máximo, treze meses depois de ter sido criado, contados a partir do dia em que é criado e não prolongados pelo uso, pelo que nenhum registo guardado sob um identificador pode abranger mais do que isso. Os relatórios de falha são guardados na Sentry por não mais de 90 dias. Uma mensagem enviada do ecrã de comentários, com tudo o que lhe esteja anexado, é guardada durante dois anos a contar do dia em que chega e é depois apagada automaticamente — esse apagamento é feito pelo sistema que a guarda, todas as noites, e não por alguém que se lembre; pede-nos e a tua vai mais cedo. Esse apagamento não alcança as cópias que a secção 6b descreve, junto da Anthropic, do Telegram, da Google e do GitHub: essas ficam lá até nós as apagarmos à mão, o que fazemos quando pedes. Os e-mails para o apoio são guardados apenas o tempo necessário para tratar do teu pedido. Um pedido de idioma é guardado durante dois anos a partir do dia em que chega e é depois apagado pela mesma execução noturna.

13. Crianças

O Whisprompt não se dirige a crianças com menos de 16 anos e não trata conscientemente os dados delas.

14. Alterações

Atualizaremos esta página quando as nossas práticas mudarem e corrigiremos a data acima. Onde o momento da alteração depender de nós, a página é atualizada antes da versão que a traz, e não depois.