Política de privacidade

1Quem trata seus dados

O aplicativo Grandi (com.everoncraft.grandi) é publicado pela EveronCraft, controladora dos dados nos termos do RGPD. Os dados completos da editora constam do aviso legal. Para qualquer dúvida sobre seus dados: contact@everoncraft.com.

O Grandi é um serviço para famílias: não é um serviço bancário nem médico. Nada do que se escreve no aplicativo tem valor clínico ou financeiro.

2A conta do adulto

No Grandi existe apenas um tipo de conta: a de um adulto. Ela é criada com um e-mail e uma senha.

• A senha nunca é armazenada: o servidor guarda apenas uma impressão criptográfica dela (bcrypt).
• Depois de entrar, seu aparelho guarda tokens de sessão — um de acesso válido por uma hora e um de renovação válido por 60 dias — no cofre seguro do sistema (Keystore do Android).
• Você pode acrescentar um nome de exibição e um idioma. São os únicos campos opcionais da conta.
• Sem login por redes sociais, sem telefone, sem endereço postal.

3O perfil da sua criança

Este é o coração do nosso compromisso: uma criança não tem conta, nem identidade digital, nem existência fora da sua família. Você cria o perfil e só você o controla.

Pedir a faixa etária em vez da data de nascimento não é um detalhe: ela basta para adaptar o vocabulário e as tarefas sugeridas, e não permite identificar ninguém. É o dado menos preciso com o qual o serviço ainda funciona.

4A vida da família

Para mostrar a progressão de uma criança, o aplicativo registra o que a família cria nele:

• as rotinas e as tarefas (título, ícone, categoria, faixa etária sugerida);
• as validações: qual tarefa, de qual criança, a que horas, validada por qual adulto, e os pontos concedidos;
• as recompensas e seus resgates, as missões, as metas semanais;
• os quebra-cabeças e as conquistas desbloqueadas;
• a família em si: seu nome, seu fuso horário e seu país.

Esses dados servem unicamente para o aplicativo funcionar para a sua família. Cada requisição ao servidor é restrita a uma família: uma conta só alcança os dados da sua.

5As fotos de comprovação

Algumas tarefas podem pedir uma foto de comprovação — a mochila arrumada, a mesa posta. É uma opção: ela só existe se você a ativar em uma tarefa.

• O acesso à câmera ou à galeria é solicitado apenas nesse momento e apenas para aquela foto.
• A foto é guardada em nossos servidores, fora de qualquer diretório público. Só pode ser vista por um link assinado válido por 60 segundos, entregue aos membros da família.
• Ela é apagada automaticamente 72 horas após o envio. Uma rotina de limpeza roda a cada hora: o arquivo some do disco e a validação o perde de vista.
• Você pode apagar todas as fotos da família imediatamente, pelo Espaço do adulto.

Sem reconhecimento facial, sem análise de imagem, sem envio a terceiros: uma foto de comprovação só é vista pelos adultos da família — e por pouco tempo.

6Convidar o outro responsável

Uma família pode reunir dois adultos. Para convidar o segundo, você informa o e-mail dele: ele fica guardado junto com o convite até que essa pessoa entre na família com a própria conta.

• Você nunca compartilha sua senha: o outro responsável entra com a dele.
• Os dois adultos veem os mesmos dados e têm os mesmos poderes de validação.
• Um convite pendente pode ser cancelado; o e-mail é apagado junto.
• Um segundo responsável pode sair da família: seu vínculo é removido e os dados da família permanecem com o titular da conta.

7Notificações

O Grandi envia dois tipos de notificação, e elas não funcionam do mesmo jeito.

• Os lembretes de rotina (de manhã, à noite) são agendados localmente pelo aplicativo no seu telefone. Nada passa pelos nossos servidores e nenhum identificador é criado.
• As notificações de atividade — «Léa marcou “Arrumar minha mochila”» — saem do nosso servidor quando uma criança sinaliza uma tarefa. Elas são entregues pelo serviço de notificações da Expo, que as repassa ao Google. Para isso, o aplicativo registra um token de aparelho (um identificador técnico de notificação) e a mensagem contém o primeiro nome da criança e o título da tarefa.

Você pode desligar as notificações no aplicativo ou nas configurações do telefone. O token de aparelho é apagado junto com a conta, e sua base legal é o seu consentimento, revogável a qualquer momento.

8Grandi Premium

O Grandi é gratuito para até duas crianças e um adulto. A assinatura Grandi Premium passa pelo Google Play Billing: o Google trata o pagamento e nunca vemos seu meio de pagamento.

• Recebemos um identificador de cliente e o estado da assinatura (ativa, teste, cancelada, reembolsada), acompanhados para nós pela RevenueCat, para manter seu acesso em dia.
• Você gerencia e cancela a assinatura pelo Google Play.
• Nenhuma compra é possível do lado da criança: toda tela de pagamento fica atrás do bloqueio parental. A criança nunca vê um preço nem é incentivada a gastar.

Tratamento de dados por esses fornecedores: policies.google.com/privacy e revenuecat.com/privacy.

9O que não fazemos

• Sem publicidade, sem rede de anúncios, sem identificador de publicidade.
• Sem SDK de terceiros de rastreamento ou estatísticas: nem Firebase Analytics, nem redes sociais, nem ferramentas de atribuição. O aplicativo só fala com a nossa própria infraestrutura.
• Sem venda, aluguel ou troca de dados pessoais — e muito menos de dados de crianças.
• Sem perfilamento publicitário nem decisão automatizada com efeitos jurídicos.
• Sem geolocalização: o aplicativo nunca pede sua posição.
• Sem reconhecimento facial nem dados biométricos enviados a nós (a digital ou o rosto são verificados pelo telefone, não por nós).
• Sem acesso aos contatos nem ao microfone.

10Registros e trilha de acesso

• Trilha da família: as ações sensíveis (ver uma foto, exportar, apagar) são anotadas com autor, alvo e data e hora. Essa trilha existe para você — saber quem fez o quê na sua família — e para manter o registro das operações de tratamento previsto no artigo 30 do RGPD. Ela é apagada junto com a família.
• Registros do servidor: cada requisição deixa uma linha técnica (método, caminho, código de resposta, duração, endereço IP), necessária à segurança e ao diagnóstico. O conteúdo das requisições nunca é registrado — nem senha, nem primeiro nome de criança. Conservação: 30 dias no máximo.

Base legal: nosso legítimo interesse em garantir a segurança do serviço (art. 6.1.f do RGPD). Não fazemos nenhuma medição de audiência no aplicativo.

11Hospedagem e transferências

• OVH — França (União Europeia): hospedagem da API, do banco de dados e das fotos de comprovação. É ali que vive a família inteira.
• Expo (entrega das notificações, Estados Unidos): recebe o token de aparelho e o texto da notificação, incluindo o primeiro nome da criança (ver § 7).
• Google (distribuição e cobrança na Play, Estados Unidos / Irlanda): tratamento das assinaturas.
• RevenueCat (acompanhamento do estado das assinaturas, Estados Unidos).

Essas três transferências para fora da União Europeia são amparadas pelas cláusulas contratuais padrão da Comissão Europeia. Fora delas, nenhum dado sai da União Europeia.

12Prazos de conservação

13Exportar ou apagar tudo

Tudo é feito dentro do aplicativo, sem nos escrever e sem espera, em Espaço do adulto → Configurações:

• Exportar: um arquivo legível com a família inteira — membros, crianças, tarefas, validações, recompensas, metas, conquistas, convites, fotos. Seu direito à portabilidade, em um gesto.
• Apagar as fotos da família, imediatamente.
• Apagar uma criança: seu perfil e tudo o que está ligado a ele — tarefas, validações, metas, conquistas — desaparecem em cascata.
• Apagar a conta: se você é o titular da família, a família inteira é excluída; se é o segundo responsável, você sai da família e sua conta é encerrada.

A exclusão é definitiva: os dados não podem ser recuperados depois. Você também pode nos escrever para contact@everoncraft.com — tratamos o pedido em até 30 dias, em geral em menos de 72 horas.

14Seus direitos e os da criança

O RGPD lhe dá direito de acesso, retificação, exclusão, limitação, oposição e portabilidade, além do direito de retirar seu consentimento a qualquer momento. As ferramentas do § 13 cobrem tudo isso em autoatendimento; para o restante, um único endereço: contact@everoncraft.com. Respondemos em até um mês.

Os direitos da criança são exercidos por você. Ao criar um perfil, você declara exercer a autoridade parental sobre essa criança. É nessa condição que consulta, corrige, exporta ou apaga os dados dela — a criança não tem conta nem identificador.

Bases legais: a conta, a família e a progressão apoiam-se na execução do serviço que você solicita (art. 6.1.b); as notificações de atividade, no seu consentimento (art. 6.1.a); a segurança e os registros, no nosso legítimo interesse (art. 6.1.f).

Se a nossa resposta não lhe satisfizer, você pode recorrer à autoridade francesa CNIL (cnil.fr) ou à autoridade de controle do seu país de residência.

15Segurança

• Todas as trocas com nossos servidores usam HTTPS (TLS).
• As senhas ficam com resumo criptográfico (bcrypt), nunca em texto aberto.
• Os tokens de sessão são assinados, de curta duração, e guardados no cofre seguro do seu telefone.
• Cada requisição é restrita: o servidor verifica se a conta pertence mesmo à família consultada antes de responder.
• As fotos nunca são servidas por um endereço adivinhável: é preciso um link assinado, válido por um minuto.
• O banco de dados não está exposto à internet: só a API o alcança, pela rede interna do servidor.

Nenhum sistema é infalível — por isso coletamos o mínimo indispensável, e por isso as fotos, o único dado realmente sensível, vivem apenas 72 horas.

16Alterações

Esta política pode mudar; a data de entrada em vigor, no topo da página, muda junto. Alterações importantes serão sinalizadas no aplicativo ou na ficha do Google Play.

17Contato