Política de Privacidade

1. Quem é o responsável

O Alcove é mantido por Victor Hugo da Silva Ribeiro, pessoa física residente no Brasil, que é o controlador dos seus dados pessoais ("nós"). Para qualquer assunto de privacidade, inclusive para exercer os seus direitos, escreva para [email protected]. O mesmo endereço é o canal de contato do encarregado pelo tratamento de dados pessoais (LGPD, art. 41).

2. O que coletamos

Sua conta

• E-mail e senha, se você se cadastrar com e-mail. A sua senha vai direto para o nosso provedor de login, o Firebase Authentication (do Google), que a guarda de forma criptografada (hash). Nossos servidores nunca a veem.
• Login com Google. Se você entrar com o Google, ele nos informa o seu nome, e-mail, endereço da foto de perfil e o ID da sua conta Google. Usamos o nome para sugerir o seu nome de exibição e o e-mail para identificar a sua conta. Não usamos a sua foto.
• Proteção do login. O Firebase Authentication também trata o seu endereço IP e dados do dispositivo quando você entra, para proteger as contas contra abusos.
• Perfil: o nome de exibição e o nome de usuário que você escolher, e o idioma do app.
• Registros da conta: quando a conta foi criada, se o seu e-mail foi confirmado, e qual versão desta política você aceitou, e quando.

O que você cria no Alcove

• Rotinas: nome, descrição, ícone, cor e configurações do timer, e as tarefas delas (título, comentário, número de intervalos e tags).
• Tags que você criar.
• Metas: o que cada uma conta (uma tag ou todo o seu foco), o valor da meta, se é diária ou semanal, os dias em que vale e as datas em que cada versão dela esteve em vigor.

Sua atividade de foco

• Para cada dia, pela sua data local: o tempo total de foco, os intervalos concluídos e o tempo gasto em cada tarefa, com o título e as tags que a tarefa tinha naquele momento.
• Cada trecho de trabalho que o app registra (quando foi salvo, em qual tarefa, quanto tempo durou e se a tarefa foi concluída). Isso mantém o seu histórico correto quando você usa vários dispositivos ou trabalha offline.
• A sua sequência de dias, as conquistas que você ganha e quando, e se você já viu os avisos delas.

Amigos

• Quem você segue e quem segue você.
• Notificações sobre as pessoas que você segue: as novas conquistas delas e um breve resumo de quanto tempo focaram no dia anterior.

O assistente de rotinas com IA

Se você abrir o Planejar com IA e enviar uma mensagem, enviamos ao modelo Gemini do Google (na Gemini Enterprise Agent Platform) as suas mensagens daquela conversa, as rotinas que ele propôs e o que você fez com elas, o seu nome de exibição, a data de hoje, o idioma do app e os nomes das suas tags. Ele precisa disso para escrever a resposta. A conversa não fica salva nos nossos servidores: ela existe só na aba do seu navegador e some quando você sai da página Foco. Guardamos apenas quantas mensagens você enviou por dia e o tamanho delas em tokens, para aplicar o limite diário. Se o assistente recusar um pedido por motivo de segurança, registramos o tipo de pedido (por exemplo, "armas"), nunca o que você escreveu.

E-mails que enviamos

Para enviar os e-mails da conta (boas-vindas, confirmação de endereço e redefinição de senha), passamos o seu e-mail, e no de boas-vindas também o seu nome de exibição, ao Amazon Simple Email Service (SES). Guardamos o endereço e o horário de cada e-mail de confirmação ou de redefinição de senha por 2 dias, para limitar com que frequência eles podem ser pedidos.

Registros do servidor e eventos de uso

• Registros de requisições. Cada requisição aos nossos servidores é registrada com o seu endereço IP, o seu navegador e dispositivo (user agent), o endereço pedido, o horário, o status da resposta e quanto tempo ela levou, um ID da requisição e o ID da sua conta, quando você está conectado. Erros são registrados com a causa. Usamos esses registros para manter o Alcove funcionando e seguro, e para corrigir problemas. Para uma amostra das requisições, também gravamos rastros de desempenho: o que o servidor fez e quanto tempo levou cada etapa.
• Eventos de uso. Enquanto você está conectado, o app informa quais páginas você abre (Foco, Painel, Créditos e perfis, indicando se o perfil é o seu), quando você liga uma estação da rádio e por quanto tempo ouve, e quando você abre o assistente com IA. Esses eventos ficam ligados ao ID da sua conta e são guardados nos mesmos registros. Usamos esses dados para saber quais partes do Alcove são usadas e assim melhorá-lo. Nenhuma ferramenta de análise de terceiros está envolvida, e eles não são compartilhados com ninguém.
• Relatórios de erro. Quando algo quebra no app no seu dispositivo, ele nos envia um relatório: a mensagem de erro e o ponto do nosso código onde aconteceu, o endereço da página (sem nada depois de um "?"), a versão do app, o seu navegador e dispositivo (user agent), o horário e o ID da sua conta, quando você está conectado. Eles ficam nos mesmos registros, e só os usamos para encontrar e corrigir erros.
• Registros de acesso. O Marco Civil da Internet (Lei 12.965/2014, art. 15) exige guardar os registros de acesso a aplicações (endereço IP, data e hora) por 6 meses. Guardamos uma cópia dos registros de requisições por esse prazo, num local separado ao qual só nós temos acesso, e só a consultamos para atender uma ordem judicial ou investigar abusos. Se você excluir a sua conta, guardamos um registro mínimo dela pelos mesmos 6 meses (o ID da conta, o e-mail, o nome de usuário, o nome de exibição e quando ela foi criada e excluída), para que esses registros ainda possam ser ligados a uma conta se a Justiça pedir.
• Os demais registros são apagados depois de 30 dias. O que sobra são totais semanais do Alcove inteiro (por exemplo, quantas pessoas usaram o app numa semana), que não têm IDs de conta e não identificam você.

3. Cloudflare Web Analytics

As nossas páginas, inclusive esta e a página inicial, carregam o Cloudflare Web Analytics, um script de medição da Cloudflare. A cada visualização de página, ele envia à Cloudflare o endereço da página, o site de onde você veio, o seu navegador, sistema operacional e tipo de dispositivo, o seu país (deduzido do seu endereço IP) e a velocidade de carregamento da página (Core Web Vitals).

Ele não usa cookies nem qualquer outro armazenamento no seu dispositivo, não cria uma impressão digital (fingerprint) sua e não é ligado à sua conta no Alcove. A Cloudflare usa o seu endereço IP só para receber os dados e não o guarda. Nós vemos apenas totais, que usamos para encontrar páginas lentas.

4. Cookies e armazenamento no seu dispositivo

Não usamos cookies de publicidade nem de rastreamento, por isso não há aviso de cookies. O Alcove só guarda o que precisa para funcionar:

5. Como usamos seus dados, e por quê

Ao criar a sua conta, pedimos que você confirme que leu e concorda com esta política, e registramos qual versão você aceitou e quando. Quando nos baseamos no legítimo interesse, usamos só os dados listados acima e os guardamos por pouco tempo, e você pode se opor (veja a seção 10). Não tomamos decisões sobre você baseadas unicamente em tratamento automatizado.

6. O que outras pessoas podem ver

O Alcove tem um lado social discreto. Qualquer pessoa conectada ao Alcove pode encontrar você pelo nome de usuário e abrir o seu perfil, que mostra:

• o seu nome de exibição e nome de usuário;
• quanto tempo você focou em cada dia (só os totais) e a sua sequência;
• as suas conquistas;
• quem segue você e quem você segue.

Quem segue você é avisado quando você ganha uma conquista e pode ver, num resumo, quanto tempo você focou no dia anterior. As suas rotinas, títulos de tarefas, comentários, tags, metas e conversas com o assistente nunca são mostrados a outras pessoas. Os perfis não podem ser vistos por quem não está conectado, nem por mecanismos de busca.

7. Quem trata seus dados para nós

Usamos estes prestadores de serviço (operadores, nos termos da LGPD) para manter o Alcove. Eles tratam os dados só conforme as nossas instruções, sob os seus termos de tratamento de dados:

• Google Cloud e Firebase (Google LLC): login (Firebase Authentication), os nossos servidores (Cloud Run), o banco de dados (Cloud SQL), registros, monitoramento e rastros (Cloud Logging, Cloud Monitoring e Cloud Trace) e o assistente com IA (Gemini na Gemini Enterprise Agent Platform). Pelos termos do Google Cloud, o Google não usa o que você envia ao assistente para treinar os seus modelos. Localização: Estados Unidos.
• Cloudflare (Cloudflare, Inc.): hospedagem e entrega do site, segurança da rede, armazenamento do áudio da rádio (R2) e o Web Analytics. As requisições são atendidas no data center da Cloudflare mais próximo de você.
• Amazon Web Services (Amazon Web Services, Inc.): envio de e-mails (Amazon SES). Localização: Estados Unidos.

Se você entrar com o Google, a política de privacidade do próprio Google também se aplica à sua conta Google.

Não vendemos nem compartilhamos os seus dados com mais ninguém, exceto quando a lei ou uma ordem judicial exigir, ou para proteger os direitos e a segurança do Alcove e de quem o usa. Se o Alcove passar a ser mantido por uma empresa (por exemplo, uma criada para isso), os seus dados vão junto, sob esta política, e avisaremos você.

8. Transferência internacional

Os nossos servidores e o banco de dados ficam nos Estados Unidos, e a Cloudflare pode atender as suas requisições num data center fora do seu país. Essas transferências se apoiam nas garantias dos termos de tratamento de dados dos nossos prestadores, como cláusulas-padrão contratuais (LGPD, art. 33; GDPR, art. 46) e, para os prestadores certificados nele, o EU–U.S. Data Privacy Framework.

9. Por quanto tempo guardamos

10. Seus direitos

Pela LGPD (art. 18) e, quando se aplicar, pelo GDPR, você pode:

• confirmar se tratamos os seus dados, e ter acesso a eles;
• corrigir dados incompletos, inexatos ou desatualizados (você pode mudar o seu nome de exibição e nome de usuário no seu perfil quando quiser);
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• receber uma cópia dos seus dados num formato portável (JSON);
• pedir a exclusão da sua conta e dos dados dela;
• saber com quem compartilhamos os seus dados (veja a seção 7);
• se opor a um tratamento baseado em legítimo interesse;
• revogar o consentimento, quando nos baseamos nele;
• reclamar a uma autoridade de proteção de dados: no Brasil, a ANPD (Autoridade Nacional de Proteção de Dados, gov.br/anpd); na União Europeia ou no Reino Unido, a autoridade de controle local.

Para exercer qualquer um desses direitos, escreva para [email protected] a partir do e-mail da sua conta, ou nos diga o seu nome de usuário, para confirmarmos que é você. Respondemos em até 15 dias.

Você mesmo pode baixar uma cópia dos seus dados, em Conta → Opções de privacidade no seu perfil. É um arquivo JSON com tudo o que o nosso banco de dados guarda sobre você: a sua conta e o seu perfil, rotinas, tags, metas, histórico de foco, conquistas, conexões, notificações, a contagem de mensagens ao assistente de IA e os registros dos e-mails que enviamos a você. Os registros dos servidores não estão nele; escreva para nós se quiser esses também.

Você mesmo pode excluir a sua conta, em Conta no seu perfil: digite o seu nome de usuário para confirmar, e a sua conta e tudo o que há nela (perfil, rotinas, tags, metas, histórico de foco, conquistas, conexões e notificações) são excluídos na hora, junto com o seu cadastro de login no Firebase Authentication, e todos os dispositivos são desconectados. Não dá para desfazer. As cópias nos nossos backups somem em até 7 dias, e os registros dos servidores em até 30. Os registros de acesso e um registro mínimo da conta (o ID, o e-mail, o nome de usuário, o nome de exibição e as datas) ficam guardados por 6 meses, porque a lei brasileira exige, e depois são apagados (veja a seção 9). Você também pode escrever para nós e a excluiremos por você. Você pode sair da conta em todos os dispositivos pelo seu perfil a qualquer momento.

11. Segurança

• Todas as conexões usam HTTPS.
• Os seus tokens de login ficam em cookies HttpOnly, que scripts da página não conseguem ler, e nunca no armazenamento do navegador.
• As senhas são tratadas pelo Firebase Authentication e nunca chegam aos nossos servidores.
• O banco de dados fica numa rede privada, só aceita conexões criptografadas e tem backup diário.
• O acesso aos sistemas de produção é restrito a quem mantém o Alcove.

Nenhum sistema é totalmente seguro. Se um incidente de segurança puder causar risco ou dano relevante a você, avisaremos você e a ANPD (LGPD, art. 48).

12. Crianças e adolescentes

O Alcove não é destinado a crianças menores de 13 anos, e não coletamos dados delas de propósito. Se você tem menos de 18 anos, use o Alcove só com a permissão de um dos pais ou responsável. Se você acha que uma criança menor de 13 anos criou uma conta, escreva para nós e vamos excluí-la.

13. Mudanças nesta política

Quando mudarmos esta política, atualizaremos a data no topo. Se a mudança for relevante, como novos tipos de dados, novas finalidades ou novos prestadores, avisaremos você por e-mail ou no app antes de ela entrar em vigor, e pediremos que você concorde de novo quando for preciso.

14. Contato

Victor Hugo da Silva Ribeiro, controlador dos dados pessoais do Alcove: [email protected].