Política de Privacidade

Última atualização e em vigor desde: 2 de novembro de 2026

Esta Política de Privacidade explica que dados pessoais o Carbetic (“Carbetic”, “nós”) trata, porquê, e que direitos você tem. Aplica-se à app móvel Carbetic em iOS e Android, à app “T1D Babysitting by Carbetic” em iOS e Android, e ao site carbetic.app (ver secção 14). O T1D Babysitting, a rede para famílias de crianças com diabetes tipo 1 e para babysitters, é descrito na secção 5.

Quem é o responsável (responsável pelo tratamento): Diego Szekely, empresário em nome individual (Carbetic), Hochbergstraße 4, 2380 Perchtoldsdorf, Áustria
Contacto: diego@carbetic.app · Aviso legal

Não somos obrigados a designar um encarregado da proteção de dados, pelo que os pedidos chegam diretamente ao endereço acima. Para questões de segurança e denúncias no T1D Babysitting, escreva para safety@carbetic.app. As autoridades podem contactar-nos em legal@carbetic.app (secção 17).

Esta política também está disponível em: English · Deutsch · Français · Español · Italiano · Polski · Nederlands.

1. Os dados que tratamos

1.1 Dados que você nos dá

• Dados das refeições: as fotos que tira ou carrega, e qualquer link de receita, descrição em texto ou nota de voz que envie para análise.
• A sua condição (opcional): durante a configuração, pode indicar-nos se tem diabetes tipo 1, diabetes tipo 2, obesidade (adipositas), nenhuma destas, ou se prefere não dizer. Estes são dados relacionados com a saúde (ver secção 1.3).
• Estatuto de profissional de saúde (opcional): se usa o Carbetic a título pessoal ou como profissional de saúde.
• Dados de acesso e de cooperação (opcional): se resgatar um código de parceiro, de médico ou de cooperação, podemos guardar o nome, o e-mail e (em alguns códigos) a clínica e o país que indicar para conceder esse acesso.
• Dados de estudos clínicos (opcional): se aderir a um grupo de estudo ou pedir para receber os resultados do estudo, guardamos o seu ID de participante e/ou e-mail e um registo de que deu o consentimento, com a data e a hora.
• T1D Babysitting (opcional): se usar a rede, o que lá introduzir, como o seu perfil, a sua morada e as suas mensagens. A secção 5 enumera tudo isso.

1.2 Dados criados quando você usa o Carbetic

• Um ID de conta anónimo: no primeiro arranque, a app cria um identificador anónimo para a sua instalação. Não é o seu nome, o seu e-mail nem um ID de publicidade do dispositivo, e não o usamos para o identificar pessoalmente. Se quiser publicar, escrever mensagens ou avaliar no T1D Babysitting, associa este ID a um início de sessão com Apple, Google ou o seu endereço de e-mail (secção 5.4). Caso contrário, permanece anónimo.
• Dados da app e do dispositivo: versão da app, tipo de dispositivo e sistema operativo, idioma, o seu endereço IP e uma localização aproximada obtida a partir dele (ver secção 1.4).
• Utilização e diagnóstico: eventos dentro da app (por exemplo, que passos da configuração conclui), relatórios de falhas e dados de desempenho.
• Estado da subscrição: o seu plano (Free, Standard, Unlimited) e o estado dos direitos, e os registos de compra que o nosso servidor verifica junto da Apple e da Google (secção 1.5). Os pagamentos em si são tratados pela sua loja de apps; não recebemos os dados completos do seu cartão.
• Dados de atribuição de marketing: se instalou o Carbetic a partir de um anúncio, dados de medição limitados que nos dizem que o anúncio funcionou (ver secção 13.2).
• Dados de links (Android): se instalou o Carbetic através de um dos nossos próprios links, qual foi o link, e o estado e o plano das subscrições que iniciar depois (ver secção 13.1).
• Token push (opcional): se permitir notificações. Quando a app se regista para notificações, envia também o idioma da app, o seu fuso horário e o país definido no seu telemóvel (secção 1.4).

1.3 Dados relacionados com a saúde (categoria especial)

A condição que pode opcionalmente indicar-nos na configuração (diabetes tipo 1 / tipo 2 ou obesidade) constitui dados de categoria especial (dados de saúde) ao abrigo do RGPD. Só a tratamos com o seu consentimento explícito, mantemo-la separada e não a associamos às suas fotos de refeições nem a nada do que partilha através de “Ajudar a melhorar o Carbetic”.

Os scans de refeições e as fotos que pode opcionalmente partilhar para melhorar o Carbetic são guardados sem a sua condição e sem qualquer identificador; são imagens de comida, não um registo da sua saúde. Nunca usamos nada disto para publicidade.

O T1D Babysitting tem regras próprias para a informação de saúde: a diabetes tipo 1 de um babysitter e a diabetes tipo 1 de uma criança só são mostradas com consentimento explícito (secção 5.7). Não usamos a sua resposta sobre a condição na rede e nunca a mostramos a ninguém.

1.4 Localização aproximada

Quando você usa o Carbetic, obtemos uma localização aproximada, como o seu país ou região, a partir do endereço IP do seu dispositivo. Usamo-la apenas para escolher dados nutricionais específicos do país para as estimativas das suas refeições, porque as ementas e as receitas das cadeias de restaurantes e de fast food diferem de país para país.

• Para isto, o Carbetic não acede ao GPS nem aos serviços de localização do seu dispositivo, e não determina a sua localização exata.
• Não usamos esta localização para publicidade e não criamos um histórico de localizações.
• Base jurídica: execução do nosso contrato consigo (art. 6.º, n.º 1, alínea b), do RGPD) e o nosso interesse legítimo em estimativas rigorosas (art. 6.º, n.º 1, alínea f), do RGPD).
• O país definido no seu telemóvel: quando qualquer uma das apps regista o seu dispositivo para notificações, envia também um código de país, por exemplo “AT”: no iPhone, a região configurada nas definições do telemóvel; no Android, o país da sua rede móvel ou do seu cartão SIM ou, na falta destes, a região configurada nas definições do telemóvel. Nada de mais preciso. Usamo-lo para enviar certas notificações apenas aos países a que dizem respeito, por exemplo a notícia de que o T1D Babysitting já está disponível no seu país. Um novo valor substitui o anterior. Base jurídica: o nosso interesse legítimo em enviar notificações apenas onde são pertinentes (art. 6.º, n.º 1, alínea f), do RGPD).
• O T1D Babysitting só usa a localização do seu dispositivo se você escolher “Localização atual” como área de pesquisa e a permitir, apenas enquanto usa a app e apenas com precisão aproximada. O seu telemóvel arredonda a posição para o centro de um quadrado de cerca de 5 km, e só esse ponto arredondado é enviado para o nosso servidor. É usado apenas para essa pesquisa e nunca é guardado, nem sequer no registo de segurança (secção 5.10). Base jurídica: execução do nosso contrato consigo (art. 6.º, n.º 1, alínea b), do RGPD). O seu perfil usa sempre a morada que você escrever e mostra aos outros apenas uma área aproximada (secção 5.9).

1.5 Planos e verificações de compra

Um plano Carbetic comprado na app Carbetic, no iPhone ou no Android, desbloqueia o contador de hidratos de carbono para a sua conta. Para isto funcionar, e para que você não pague duas vezes, o nosso servidor verifica as compras junto da Apple e da Google. A app “T1D Babysitting by Carbetic” não tem contador de hidratos de carbono e não vende planos.

• O que a app envia: após uma compra ou uma restauração, e de tempos a tempos, a app Carbetic envia ao nosso servidor as informações de compra assinadas da App Store (iPhone) ou a referência de compra do Google Play (Android), juntamente com o seu ID de conta anónimo. As versões atuais da app Carbetic fazem-no para todos os planos, mesmo que nunca use o T1D Babysitting.
• O que o nosso servidor pergunta: verifica a compra junto da Apple (App Store Server API) ou da Google (Google Play Developer API). A Apple e a Google também informam o nosso servidor sobre renovações, cancelamentos, reembolsos e expiração.
• O que guardamos: a loja e a app, o produto, o plano e o período, os identificadores de transação, o início, a expiração e o estado de renovação, se o plano é partilhado através da Partilha em Família, se foi uma compra de teste, e a que conta pertence a compra. Quando compra, a app dá à loja um código derivado do seu ID de conta, para que a compra possa ser associada à sua conta. Este código não é o seu nome nem o seu e-mail.
• Para que o usamos: para desbloquear o seu plano e para impedir que uma compra seja usada por várias pessoas.
• Base jurídica: execução do nosso contrato consigo (art. 6.º, n.º 1, alínea b), do RGPD).
• Durante quanto tempo: enquanto o plano estiver ativo, e até 400 dias depois de terminar, para tratar de reembolsos e litígios.

Os pagamentos continuam a ser feitos apenas através da Apple ou da Google (ou da Stripe no site, secção 14.4). Nunca recebemos os dados do seu cartão.

1.6 Apple Health e Health Connect (opcional, apenas na app Carbetic)

A app Carbetic pode acrescentar as refeições que você guarda ao Apple Health (iPhone) ou ao Health Connect (Android). Só o faz se ativar “Apple Health” ou “Health Connect” nas Definições da app e o permitir no ecrã de permissões do seu telemóvel. Até lá, está desativado. Esta opção não está disponível em todas as versões da app.

• O que é acrescentado: os hidratos de carbono estimados de cada refeição e, quando disponíveis, as suas calorias, proteínas, gorduras, fibras e açúcar, além de quaisquer nutrientes extra que tenha ativado na Análise avançada quando a refeição foi analisada (como sódio ou ferro). Cada entrada leva também a hora a que guardou a refeição, o seu nome quando tem um, e uma referência à refeição no Carbetic. Nunca as suas notas sobre as refeições nem as fotos.
• Que refeições: as refeições que a sua Análise conta. As refeições que deixar fora da sua Análise não são acrescentadas, e as receitas só depois de indicar a porção que comeu. As refeições que guardou antes de ativar a opção só são acrescentadas se responder que sim quando a app perguntar.
• Alterações e eliminações: enquanto estiver ativado, uma refeição que edite no Carbetic também é atualizada lá, e uma refeição que elimine no Carbetic (uma de cada vez, todas de uma vez ou com “Eliminar os meus dados”) ou que deixe fora da sua Análise é removida de lá.
• Só acrescenta, nunca lê: o Carbetic pede apenas permissão para acrescentar dados nutricionais. Nunca lê nada do Apple Health nem do Health Connect, incluindo dados de outras apps. Para atualizar ou remover as suas próprias entradas, usa uma lista do que acrescentou, guardada na app no seu telemóvel.
• Onde fica guardado: a app escreve os dados diretamente no Apple Health ou no Health Connect do seu telemóvel. Esta funcionalidade não envia nada pela internet nem para os nossos servidores. A partir daí, o Apple Health ou o Health Connect mantém os dados sob o seu controlo, incluindo qualquer cópia de segurança ou sincronização que tenha configurado aí.
• Sem publicidade, sem venda, sem partilha: nunca usamos estes dados para publicidade, marketing ou definição de perfis, nunca os vendemos, nunca os partilhamos com ninguém e nunca os usamos para treinar IA. A nossa análise de utilização da app pode registar como você usa esta definição, por exemplo que a ativou ou desativou, mas nunca uma refeição nem um valor nutricional. No Android, a nossa utilização do Health Connect cumpre a política do Google Play para o Health Connect, incluindo os seus requisitos de Utilização Limitada.
• Outras apps: as apps a que você permitir ler dados nutricionais no Apple Health ou no Health Connect podem usar estas entradas, incluindo apps de insulina ou de ciclo fechado (looping). Os valores são estimativas. A app avisa-o disto antes de você ativar a opção.
• Base jurídica: o seu consentimento explícito (art. 6.º, n.º 1, alínea a), e art. 9.º, n.º 2, alínea a), do RGPD), que você dá ao ativar a opção e ao permiti-la no seu telemóvel. Retira-o desativando a definição.
• Desativar e eliminar: desative-a nas Definições do Carbetic a qualquer momento. A app deixa então de acrescentar, atualizar e remover refeições; se a voltar a ativar mais tarde, aplica as alterações e eliminações que fez entretanto. Para retirar o acesso do Carbetic, abra a app Saúde e toque na sua foto de perfil, depois em Apps, depois em Carbetic, ou abra o Health Connect, depois Permissões de apps, depois Carbetic. As refeições já acrescentadas ficam lá até as eliminar lá, uma a uma ou tudo de uma vez a partir do Carbetic. O Carbetic não as consegue remover depois de você o ter desinstalado.

2. Análise das suas refeições (não guardadas por nós)

Quando você pede ao Carbetic para analisar uma refeição, a foto, a nota de voz ou o texto que envia é transmitido de forma segura a um ou mais parceiros terceiros de processamento de IA que geram a estimativa de hidratos de carbono e a devolvem à app.

• Não guardamos de forma permanente estes dados nos nossos próprios servidores.
• Os nossos parceiros de IA tratam-nos ao abrigo de condições comerciais pagas, nas quais o seu conteúdo não é usado para treinar os seus modelos, e só o conservam por pouco tempo (normalmente até cerca de 30 dias) por razões de segurança e de prevenção de abusos, antes de o apagarem.
• A estimativa resultante e a foto são guardadas no seu dispositivo como o seu histórico de refeições, e lá ficam até você as eliminar ou desinstalar a app. Se ativar o Carbetic Follow, os resumos diários (e as fotos apenas se as ativar) são partilhados adicionalmente como descrito na secção 4.

As secções 2 a 4 aplicam-se ao contador de hidratos de carbono na app Carbetic. A app “T1D Babysitting by Carbetic” não tem contador de hidratos de carbono.

3. Opcional: partilha alargada de dados

Pode escolher deixar-nos usar as suas refeições para criar, analisar e melhorar os produtos, as funcionalidades, a IA e a investigação do Carbetic. Esta opção vem desativada por predefinição. Se a ativar:

• Guardamos os scans de refeições que cria, incluindo as fotos, e quaisquer correções que faça a uma estimativa, para que os nossos modelos possam aprender com exemplos reais.
• Guardamos isto em forma pseudonimizada: fica associado a um identificador aleatório separado, desligado da sua conta anónima, da sua condição e de qualquer e-mail que tenha dado.
• Usamos estes dados para desenvolver, treinar, testar e melhorar o reconhecimento de hidratos de carbono e a restante IA do Carbetic; para criar e melhorar funcionalidades e produtos atuais e novos; para investigação em nutrição, reconhecimento de alimentos e produtos; para análise de dados; e para criar conjuntos de dados e estatísticas agregados e desidentificados. Podemos partilhá-los com o Carbetic e com os parceiros que nos ajudam nestas finalidades, ao abrigo de contratos que os limitam a essa utilização. Não os usamos para publicidade, e voltaremos a pedir-lhe autorização antes de os usar para qualquer finalidade verdadeiramente nova e não relacionada.
• Baseia-se no seu consentimento, que pode retirar a qualquer momento nas Definições. Retirá-lo faz parar qualquer utilização posterior dos seus dados. Os dados que já tenham sido incorporados num modelo treinado não podem ser extraídos individualmente desse modelo, mas serão excluídos de todo o treino futuro, e a cópia guardada que lhes serve de base será apagada.
• Nunca inclui nada do T1D Babysitting (secção 5.24).

4. Carbetic Follow: partilhar os seus dados com as pessoas que escolher

O Carbetic Follow é uma funcionalidade opcional que lhe permite partilhar o seu registo de hidratos de carbono com uma pessoa ou organização em quem confia, por exemplo a sua família ou uma equipa que o apoia. Nada é partilhado até você introduzir o código de acompanhamento dessa pessoa na app e confirmar explicitamente no ecrã de consentimento.

4.1 O que é partilhado

• Resumos diários das refeições que registou relativos aos últimos 90 dias e, enquanto a partilha continuar ativa, a cada novo dia: horas das refeições, hidratos de carbono estimados e valores nutricionais relacionados, como cada entrada foi criada (por exemplo, scan 3D ou texto) e totais diários.
• Nomes e ingredientes das refeições, a não ser que os desative.
• Fotos das refeições, só se as ativar (desativado por predefinição).
• O perfil que escolher para a partilha: o nome que introduzir, a sua data de nascimento e o avatar que escolher.

Como em todo o Carbetic, esta é informação sobre alimentação e nutrição (secção 1.3): não é um registo médico. Nada do Carbetic Follow nem do seu registo de hidratos de carbono é alguma vez mostrado a quem quer que seja no T1D Babysitting.

4.2 Quem o recebe

A pessoa ou organização cujo código de acompanhamento você introduziu pode ver estes dados no nosso painel web em follow.carbetic.app, depois de iniciar sessão na sua própria conta. Mostramos-lhe o nome e a organização dessa pessoa antes de você dar o consentimento. Você escolhe o destinatário; o modo como usa o que vê é da responsabilidade do destinatário.

4.3 Armazenamento

Os dados partilhados são guardados para este fim junto dos fornecedores de nuvem descritos na secção 7. Um registo do seu consentimento (com o que aceitou e quando) é conservado como prova do consentimento (art. 7.º, n.º 1, do RGPD).

4.4 Base jurídica

A partilha baseia-se no seu consentimento (art. 6.º, n.º 1, alínea a), do RGPD), dado no ecrã de consentimento quando faz a ligação. Pode retirá-lo a qualquer momento.

4.5 Parar e eliminar

Pode parar qualquer ligação a qualquer momento nas Definições. Parar elimina a cópia partilhada dos seus dados, incluindo as fotos, do painel e dos nossos servidores; o registo do consentimento é conservado como prova. O destinatário também pode remover a ligação do seu lado, o que elimina igualmente os dados partilhados.

4.6 A conta do painel (para quem vê dados partilhados)

Se alguém partilhar consigo os próprios dados e você usar o painel em follow.carbetic.app, guardamos os dados da sua conta: o seu nome, o endereço de e-mail, o método de início de sessão (Google, Apple, ou e-mail e palavra-passe), o nome da organização que introduzir, o seu código de acompanhamento, as suas preferências de visualização e um registo da sua aceitação do aviso do painel. Tratamos estes dados para disponibilizar o painel (art. 6.º, n.º 1, alínea b), do RGPD). Pode eliminar a sua conta do painel a qualquer momento nas respetivas definições, o que remove os dados da sua conta e termina as suas ligações.

5. T1D Babysitting: a rede para famílias e babysitters

Esta secção aplica-se quando você usa o T1D Babysitting. Usar a rede é opcional.

5.1 O que é a rede e quem é responsável

O T1D Babysitting ajuda famílias de crianças com diabetes tipo 1 (T1D) e babysitters com experiência em T1D a encontrarem-se e a conversar. Pode usá-lo na app Carbetic (o botão “T1D Babysitting” no topo do ecrã inicial) e na app “T1D Babysitting by Carbetic”. É uma só rede com uma só conta nas duas apps. Está disponível em todo o mundo, exceto em Cuba, no Irão, na Coreia do Norte e na Síria, onde o nosso fornecedor de nuvem não pode operar, bem como na Rússia.

O Carbetic limita-se a ajudar as pessoas a encontrarem-se e a conversar. Não somos uma agência, não somos um empregador e não fazemos parte de nenhum acordo entre membros. Verificamos apenas a identidade. Não verificamos antecedentes, registos criminais, qualificações nem competências em diabetes.

O responsável pelo tratamento é Diego Szekely, Carbetic (secção 17). Quanto aos perfis que os membros publicam, o membro e nós podemos ser corresponsáveis: você decide o que o seu perfil diz, e nós decidimos como os perfis são mostrados, verificados e protegidos. Ao abrigo deste acordo, tratamos de todos os pedidos sobre os seus dados, da segurança da rede e da moderação. Você é responsável pelo que publica sobre si e, como pai ou mãe, sobre o seu filho. Pode sempre exercer os seus direitos junto de nós (secção 5.23).

5.2 As duas apps

• O Carbetic é a app de contagem de hidratos de carbono. A rede abre-se a partir de um botão no topo do seu ecrã inicial.
• O T1D Babysitting by Carbetic é uma app separada cujo ecrã inicial é a rede. Não tem contador de hidratos de carbono nem compras: o seu separador de comida limita-se a apresentar a app Carbetic, com um botão para a obter ou abrir. Tal como o Carbetic, cria um ID de app anónimo no primeiro arranque (secção 1.2) e regista o seu dispositivo para notificações (secção 5.18). Não contém ferramentas de publicidade nem de atribuição.
• Entre as duas apps: cada app pode verificar no seu dispositivo se a outra está instalada, para poder oferecer-se para a abrir ou para continuar com a mesma conta. No iPhone, as duas apps partilham para isso uma pequena nota no seu dispositivo: o seu ID de conta, o seu primeiro nome (mostrado nessa oferta), se tem sessão iniciada e com que fornecedor, e se tem um plano. Não contém e-mail nem palavra-passe, e nunca sai do seu dispositivo.
• Uma só conta: se iniciar sessão com a mesma conta Apple ou Google, ou com o mesmo endereço de e-mail, nas duas apps, ambas usam a mesma conta e o mesmo perfil.

5.3 Dar uma vista de olhos sem conta

Pode abrir a app e dar uma vista de olhos sem conta e sem verificação de identidade, usando o seu ID de app anónimo. Para ver babysitters e famílias perto de si, publica um perfil. Para isso não é preciso verificação de identidade, só para enviar mensagens. Até lá, o mapa mostra pessoas de exemplo desfocadas e nenhum dado real. Para mostrar resultados, tratamos o seu ID de app, a área que está a ver (um local que escreve, o centro do mapa ou, se o escolher, a sua localização atual arredondada para um quadrado de cerca de 5 km; secção 1.4) e dados técnicos necessários para evitar abusos. Por segurança, as pesquisas e as visualizações de perfis também são registadas no nosso registo de segurança (secção 5.10).

Para impedir que as pessoas copiem perfis, contamos quantos perfis um ID de app e um endereço de rede abrem num determinado período. Quanto aos endereços de rede, guardamos apenas um código calculado a partir do intervalo de endereços com uma chave secreta, nunca o próprio endereço IP (secção 5.22).

Todos os que publicaram um perfil veem a informação dos perfis de babysitters e de famílias, incluindo a diabetes do próprio babysitter se este tiver aceitado mostrá-la (secção 5.7), e todas as fotos. Nada é desfocado (secção 5.6). Os visitantes sem perfil publicado não veem perfis nem fotos reais, apenas um mapa de exemplo desfocado. Quem não é membro pode denunciar por e-mail (secção 5.16).

Bases jurídicas: execução do nosso contrato consigo (art. 6.º, n.º 1, alínea b), do RGPD) e o nosso interesse legítimo em proteger os membros contra a cópia (art. 6.º, n.º 1, alínea f)).

5.4 A sua conta e o início de sessão

Para publicar um perfil, escrever mensagens ou escrever avaliações, cria uma conta iniciando sessão com Apple, Google ou o seu endereço de e-mail. Associamos este início de sessão ao seu ID de app anónimo já existente, para que os seus dados do Carbetic continuem consigo.

• Da Apple recebemos um identificador de utilizador, um endereço de e-mail e, se o partilhar, o seu nome. Se usar “Ocultar o meu e-mail”, o e-mail é um endereço de reencaminhamento privado. Usamos o nome apenas para preencher os seus dados. O nome que os outros veem é o primeiro nome que você escrever e, depois da verificação de identidade, o nome do seu documento (secção 5.6).
• Da Google recebemos um identificador de utilizador e o seu endereço de e-mail. Como parte do início de sessão normal da Google, a Google também transmite o nome e a foto de perfil da sua conta Google. Não usamos a foto e nunca mostramos nenhum dos dois aos outros. A app pode mostrar-lhe o primeiro nome, para lhe dizer com que conta tem sessão iniciada. O seu nome na rede é o primeiro nome que escrever e, depois da verificação de identidade, o nome do seu documento (secção 5.6).
• Com o seu endereço de e-mail recebe um link de início de sessão por e-mail. O nosso fornecedor de envio de e-mails, a Resend, envia-o por nós; se isso falhar, é a Google (Firebase Authentication) que o envia. Recebemos o seu endereço de e-mail e a confirmação de que abriu o link. Não precisa de palavra-passe. Se abrir o link noutro telemóvel, a app pede novamente o seu endereço de e-mail.
• O seu endereço de e-mail faz parte dos dados da sua conta. Os outros membros nunca o veem: não aparece no seu perfil, nas mensagens nem nas notificações. Usamo-lo apenas para as finalidades abaixo.
• Para que os usamos: para iniciar a sua sessão em qualquer telemóvel e nas duas apps, e para o reconhecer quando nos escreve a partir desse endereço (secção 5.23). As exposições de motivos após uma decisão de moderação e outros avisos sobre a sua conta chegam-lhe na app (secção 5.16).
• A sua conta na rede regista também que funções tem (família, babysitter ou ambas), o estado da sua conta, em que app a criou, quando usou a rede pela última vez, e a app, a plataforma, a versão e o idioma do seu último pedido à rede, para que os avisos lhe cheguem no seu idioma.
• Dispositivos: quando a sua conta tem sessão iniciada num novo dispositivo, ou na outra app Carbetic, avisamos os seus outros dispositivos. Em “Início de sessão e dispositivos” você vê que dispositivos usam a sua conta (plataforma, app, última utilização) e pode terminar as respetivas sessões.
• Termos da Rede: antes de o seu primeiro perfil ser guardado, aceita os Termos da Rede e as Diretrizes da Comunidade marcando “Concordo”. Registamos a versão e a hora, e voltamos a perguntar quando se aplicar uma nova versão (secção 5.19).

Base jurídica: execução do nosso contrato consigo (art. 6.º, n.º 1, alínea b)).

5.5 Verificação de identidade com a Didit

Pode publicar um perfil sem a verificação de identidade. Precisa dela para enviar mensagens. Faz-se uma só vez e é gratuita. As avaliações só podem ser escritas depois de as duas pessoas terem enviado mensagens, pelo que todos os que escrevem uma passaram pela verificação. O nosso subcontratante Didit (Barcelona, Espanha; dados tratados na UE) faz a verificação com o seu componente dentro da app. Quando a verificação começa, este componente consulta o país aproximado do seu endereço IP através de serviços de localização por IP (ipapi.co, country.is, ipwho.is); só o seu endereço IP lhes é enviado.

Separada dos seus scans de hidratos de carbono. A sua verificação de identidade é separada dos seus scans 3D de hidratos de carbono. Nunca associamos as duas coisas.

Antes da verificação você indica-nos o mês e o ano de nascimento, se ainda não o fez para o seu perfil (secção 5.6). Se quiser ser babysitter e tiver menos de 16 anos, a verificação não começa. A verificação compara o seu mês e ano de nascimento com o seu documento.

O que a Didit trata: fotos do seu documento de identificação, uma selfie ao vivo e uma curta verificação de vida (liveness), uma comparação do seu rosto com a foto do documento (dados biométricos), os dados impressos no documento (nomes, data de nascimento, número do documento, nacionalidade, país emissor, data de validade) e dados técnicos sobre o seu dispositivo e a sua ligação, para detetar fraude.

O seu consentimento explícito. Comparar o seu rosto é tratamento de dados biométricos para o identificar (art. 9.º, n.º 1, do RGPD). Pedimos o seu consentimento explícito num ecrã separado antes da verificação (art. 9.º, n.º 2, alínea a)). Este consentimento abrange também o resultado automatizado da verificação (secção 5.17). Pode retirá-lo a qualquer momento; isso afeta apenas verificações futuras. Sem a verificação, você pode continuar a dar uma vista de olhos e a publicar um perfil, mas não pode enviar mensagens e, por isso, não pode escrever avaliações.

O que acontece às imagens. Logo após a decisão, pedimos à Didit que elimine toda a sessão, incluindo as imagens, o vídeo e a comparação de rostos. Se uma verificação precisar de revisão manual, a Didit conserva a sessão até 14 dias, até a revisão estar concluída. A Didit compara o seu rosto apenas com o seu próprio documento, nunca com selfies de outras pessoas, não guarda nenhum modelo facial e não pode usar os seus dados para fins próprios.

O que o Carbetic conserva:

• que está verificado, a data e o fornecedor;
• o seu primeiro nome ou nomes verificados e a primeira letra do seu último nome (o seu nome de apresentação na rede depois da verificação);
• o seu ano e mês de nascimento (para mostrar a sua idade e para saber se tem 16 ou 17 anos), se é adulto, e o mês e o ano de nascimento que nos indicou antes da verificação;
• o país que emitiu o seu documento;
• códigos de ID: valores calculados com uma chave secreta a partir do número do seu documento, de qualquer número de identificação nacional e dos seus nomes com a sua data de nascimento. Não podem ser convertidos de volta nos seus dados. Usamo-los apenas para detetar contas duplicadas e para impedir que membros removidos voltem a aderir;
• uma referência à sessão da Didit sem dados pessoais, durante 90 dias.

O que o Carbetic nunca guarda: imagens do documento, selfies, vídeos, dados faciais, números de documentos, a sua data de nascimento completa, o seu último nome do documento (guardamos apenas a primeira letra), a sua nacionalidade nem a morada que consta do seu documento.

Bases jurídicas: o seu consentimento explícito para a comparação de rostos (art. 9.º, n.º 2, alínea a)); execução do nosso contrato consigo quanto ao resultado (art. 6.º, n.º 1, alínea b)); o nosso interesse legítimo em prevenir a fraude, as contas duplicadas e o regresso de membros removidos, o que protege as crianças e todos os membros, quanto aos códigos de ID (art. 6.º, n.º 1, alínea f)).

“ID verificado” num perfil significa apenas que um documento de identificação correspondia à selfie ao vivo da pessoa nessa data e que as verificações de idade, de duplicados e de remoção foram superadas. Não diz nada sobre o caráter, as competências nem a saúde.

5.6 Perfis

Perfil de babysitter: nome de apresentação (o seu primeiro nome e a primeira letra do último nome, tal como os escreveu; depois da verificação de identidade, os do seu documento), idade (os adultos podem ocultá-la; é sempre mostrada para quem tem 16 e 17 anos), até 6 fotos (a foto 1 mostra-o a si), um texto sobre si, a sua resposta a “Que experiência tem com diabetes?” (eu próprio tenho diabetes; o meu parceiro, o meu melhor amigo ou alguém da minha família tem diabetes; ou outra coisa, em poucas palavras), os dispositivos que conhece (marcados como autodeclarados), até 8 passatempos, idiomas e níveis, tarifas opcionais por hora e por noite, a sua área aproximada, desde quando é membro e tem ID verificado, e avaliações quando tiver 4 ou mais.

Perfil de família: nome de apresentação (como para os babysitters, mas sem idade), até 6 fotos opcionais (a foto 1 é a sua foto de perfil; as outras podem ser fotos de família, que podem mostrar os seus filhos), um texto sobre a família, quantos filhos tem e as respetivas faixas etárias (0-2, 3-5, 6-9, 10-13, 14-17), com o seu consentimento (secção 5.7) quantos deles têm T1D e os dispositivos para a diabetes que usam, idiomas, um orçamento opcional, a sua área aproximada e avaliações quando tiver 4 ou mais. Os perfis de família nunca contêm nomes, aniversários nem escolas de crianças.

Antes da verificação de identidade: pode publicar um perfil sem a verificação de identidade. Nesse caso, guardamos o primeiro e o último nome que escrever e o mês e o ano de nascimento que nos indicar. O seu último nome é guardado de forma privada e nunca é mostrado por inteiro. Usamos o mês e o ano de nascimento para mostrar a idade de um babysitter e para garantir que os babysitters têm 16 anos ou mais e as famílias 18 anos ou mais, e que os babysitters de 16 ou 17 anos confirmam que um dos pais ou o responsável legal concorda (secção 5.8). O seu perfil mostra o seu primeiro nome e a primeira letra do último nome, sem “ID verificado”. Nunca mostra o seu mês e ano de nascimento; os perfis de babysitters mostram apenas a idade. A verificação de identidade compara depois o mês e o ano de nascimento com o seu documento, e depois da verificação o nome mostrado vem do seu documento (secção 5.5).

Quem vê o quê:

• Os perfis de babysitters, incluindo os de babysitters com 16 e 17 anos, podem ser vistos por todos os que publicaram um perfil no T1D Babysitting.
• Os perfis de famílias podem ser vistos por todos os que publicaram um perfil no T1D Babysitting. As pessoas sem perfil publicado, com ou sem conta, não veem perfis de babysitters nem de famílias.
• As fotos, incluindo as fotos de família, são visíveis para todos os que podem ver o perfil. Nada é desfocado.
• Não precisa da verificação de identidade para publicar um perfil. Precisa dela para enviar mensagens (secção 5.5).
• Uma pessoa com quem tem uma conversa pode continuar a ver o seu perfil enquanto a conversa estiver aberta, mesmo que tenha posto o seu perfil em pausa.
• Pode pôr o seu perfil em pausa a qualquer momento. Deixa então de aparecer na pesquisa e no mapa.

Fotos de crianças: as fotos de família podem mostrar os seus filhos. Como pai, mãe ou responsável legal deles, você decide se as publica e é responsável por essa escolha. Publique apenas fotos de crianças que tem autorização para partilhar. Tal como o resto do seu perfil de família, são visíveis para todos os que publicaram um perfil no T1D Babysitting. Nunca nomeamos nem identificamos as crianças e não analisamos rostos. Pode eliminar uma foto a qualquer momento.

Tratamento das fotos: a app remove a localização e outros metadados, e o nosso servidor codifica novamente cada foto. As fotos reais são mostradas apenas através de links que deixam de funcionar passado pouco tempo, e a app não tem nenhum botão para transferir, guardar ou partilhar as fotos de outro membro.

Verificações antes da publicação: os textos e as fotos dos perfis são verificados automaticamente antes de os outros os verem (secção 5.12). Um perfil só entra no ar depois de você aceitar os Termos da Rede e, no caso dos babysitters de 16 e 17 anos, só depois de confirmarem que um dos pais ou o responsável legal concorda (secção 5.8).

Os perfis são mostrados apenas dentro das apps. Não têm páginas web públicas e não são indexados pelos motores de busca.

Base jurídica: execução do nosso contrato consigo (art. 6.º, n.º 1, alínea b)), também para as fotos de família que escolher acrescentar e para o primeiro e o último nome e o mês e o ano de nascimento que indicar antes da verificação de identidade. Quanto à informação de saúde, ver secção 5.7.

5.7 Informação de saúde e o seu consentimento

Alguns dados do perfil são dados de saúde (art. 9.º do RGPD). Só os tratamos com consentimento explícito, que você dá num passo separado, com uma caixa de seleção que não vem pré-marcada.

• Babysitters: a resposta “Eu próprio tenho diabetes” revela a sua própria saúde. Só a mostramos com o seu consentimento explícito, dado nesse campo (art. 9.º, n.º 2, alínea a)). Tal como o resto de um perfil de babysitter, pode então ser vista por todos os que publicaram um perfil. As outras respostas (parceiro, melhor amigo, familiar ou outra coisa) nunca nomeiam a outra pessoa.
• Famílias: um perfil de família pode mostrar quantos dos seus filhos têm T1D e os dispositivos para a diabetes que usam. Como pai, mãe ou responsável legal, você dá o consentimento explícito para isto em nome do seu filho no fim da criação do perfil (art. 9.º, n.º 2, alínea a)). Sem ele, o seu perfil é publicado sem estes dados. O número de filhos que tem e as respetivas faixas etárias são dados comuns do perfil: são mostrados quer dê quer não dê este consentimento (secção 5.6). Como a rede é para famílias de crianças com T1D, um perfil de família publicado mostra, em todo o caso, que procura um babysitter para uma criança com T1D. Tal como o resto do perfil de família, esta informação pode ser vista por todos os que publicaram um perfil no T1D Babysitting.

Pode retirar o consentimento a qualquer momento nas definições do perfil. A informação fica então oculta de imediato. Um perfil de família continua publicado sem os dados da criança.

Nas mensagens, você próprio decide se partilha informação de saúde. Só a guardamos para a entregar à pessoa que escolheu, nunca a analisamos e eliminamo-la juntamente com a mensagem (secção 5.11).

A rede nunca recebe o seu registo de hidratos de carbono, os dados de glicose, os dados do Carbetic Follow nem a sua resposta sobre a condição vindos da app Carbetic, e nunca passa a um babysitter os dados de uma criança vindos do Carbetic.

5.8 Babysitters com 16 e 17 anos

Os babysitters podem ter 16 ou 17 anos. As famílias têm de ter 18 anos ou mais. Verificamos a idade com o mês e o ano de nascimento que você nos indica, e a verificação de identidade confirma-a. Para os babysitters de 16 e 17 anos:

• antes de publicarem um perfil de babysitter, a app pede-lhes que marquem uma caixa: “Um dos meus pais ou o meu responsável legal concorda que eu faça babysitting”. Registamos que a marcaram, com a hora e a versão do texto (secção 5.19). Não pedimos nem guardamos nenhum dado sobre o pai, a mãe ou o responsável legal;
• o perfil mostra sempre a sua idade;
• as denúncias de conteúdo sexual ou de assédio que os envolvam são tratadas como os casos mais urgentes (secção 5.16).

Se um dos pais ou o responsável legal não concordar: pode escrever para safety@carbetic.app, mesmo sem conta. Nesse caso, pomos o perfil de babysitter fora do ar e encerramos as suas conversas abertas. Isto não é uma sanção. Conservamos a sua mensagem e a nossa nota sobre o resultado como um caso (secção 5.22). Depois de o assunto estar resolvido, o babysitter pode marcar a caixa novamente e voltar a publicar o perfil.

Bases jurídicas: execução do nosso contrato (art. 6.º, n.º 1, alínea b)) e o nosso interesse legítimo em proteger os jovens babysitters e em provar a confirmação (art. 6.º, n.º 1, alínea f)).

5.9 Morada e área aproximada

O seu perfil nunca usa a localização do seu dispositivo. Para publicar um perfil, escreve a sua morada uma só vez.

• Verificação: perguntamos à Google Address Validation se a morada existe. Usamos apenas o seu veredicto e as correções de código postal e de localidade que você aceitar.
• Posição: o nosso servidor converte a morada em coordenadas de mapa uma só vez, com o serviço Nominatim do OpenStreetMap. É enviada apenas a morada, sem o seu nome, conta nem endereço IP. Se isso não funcionar, usamos o centro do seu código postal do conjunto de dados aberto GeoNames, que está guardado nos nossos próprios servidores.
• Área aproximada: colocamo-lo num quadrado de grelha de cerca de 2 km (babysitters) ou 3 km (famílias e qualquer pessoa com um perfil de família) e pomos o seu ponto num sítio aleatório dentro desse quadrado. O sítio mantém-se igual até você mudar a sua morada. No mapa, o seu perfil aparece como um marcador nesse ponto, e a sua área como um círculo suave quando alguém seleciona o seu perfil, nunca como a sua morada. Quando só conseguimos situar a sua morada pelo código postal, ou quando uma família vive na mesma morada, o quadrado é maior. Pode sempre escolher um quadrado de 5 km ou mostrar apenas a sua localidade.
• Nada de exato é guardado: a rua, o número da porta e as coordenadas exatas existem apenas em memória durante este passo. Nunca são guardados e nunca são mostrados a ninguém.

O que guardamos: país, código postal, localidade, o resultado da verificação da morada, o quadrado de grelha no tamanho mais pequeno para a sua função (para que possa mudar o tamanho da área sem voltar a escrever a morada), o seu ponto publicado e a escolha de área, e um código calculado a partir da sua morada com uma chave secreta (para reconhecer a mesma morada de novo, por exemplo para o quadrado maior numa morada partilhada).

O que os outros veem: um círculo que cobre a sua área aproximada (cerca de 2 km para babysitters e 3 km para famílias, ou maior se escolheu uma área maior), ou apenas a sua localidade; distâncias apenas em faixas (menos de 20 km, 20 a 35 km, 35 a 50 km, mais de 50 km); e um mapa que não permite ampliar até ao nível da rua.

Dentro do Carbetic: para gerir a rede e escrever aos membros (secção 5.11), os nossos administradores podem consultar informação abrangente sobre as contas da rede numa lista e num mapa internos do nosso painel de administração. A localização só aparece no ponto publicado, o mesmo que os outros veem. Só os nossos administradores os podem abrir, e cada acesso fica registado (secção 5.22).

Bases jurídicas: execução do nosso contrato (art. 6.º, n.º 1, alínea b)) e o nosso interesse legítimo em manter as casas privadas e em impedir localizações falsas (art. 6.º, n.º 1, alínea f)); quanto à lista e ao mapa internos, o nosso interesse legítimo em gerir, apoiar e proteger a rede (art. 6.º, n.º 1, alínea f)).

5.10 Pesquisa, ordem dos resultados, favoritos e o registo de segurança

Para mostrar resultados, comparamos pontos publicados e calculamos faixas de distância (para além dos 50 km, em intervalos de 25 km). Dentro de uma faixa, a ordem é baralhada por visualizador e por dia, e os perfis completos recebem um pequeno impulso. Não há classificação paga nem classificação por avaliações ou atividade. Não criamos para isto um perfil dos seus interesses. “Como os resultados são ordenados”, na app, explica os pormenores.

Os favoritos são guardados com a sua conta. Só você os vê. São removidos quando o outro perfil é eliminado.

Números de utilizadores: o Regulamento dos Serviços Digitais (DSA) obriga-nos a informar as autoridades, se o pedirem, de quantas pessoas usam a rede. Para isso, o nosso servidor regista se um ID de app usou a rede num mês civil e conserva apenas o total mensal.

Registo de segurança: para investigar abusos como perseguição, o nosso servidor mantém um registo das pesquisas e das visualizações na rede. Por cada pesquisa, regista o ID de app ou a conta, a hora, a área de pesquisa aproximada (um quadrado de grelha, nunca coordenadas exatas, e nada de todo numa pesquisa em torno da sua localização atual), a faixa de distância e o número de resultados. Por cada visualização de perfil, regista quem viu que perfil e quando, e por cada visualização de foto, quem recebeu que foto e quando. Você não pode ver o registo, e ele não é usado para ordenação, publicidade nem análise. Só os nossos moderadores o podem abrir, para investigar um caso de segurança, e cada consulta dele também fica registada. As entradas são eliminadas automaticamente ao fim de 12 meses.

Bases jurídicas: execução do nosso contrato (art. 6.º, n.º 1, alínea b)); quanto ao total mensal, a nossa obrigação legal (art. 6.º, n.º 1, alínea c)); quanto ao registo de segurança, o nosso interesse legítimo na segurança e na prevenção de abusos, o que protege os membros e as crianças (art. 6.º, n.º 1, alínea f)).

5.11 Mensagens

O que tratamos: o texto e as fotos que envia, a hora, as reações que acrescenta às mensagens (um de seis emojis por pessoa e por mensagem, eliminadas com a mensagem), se uma mensagem foi entregue e lida (pode desativar as confirmações de leitura; nesse caso também deixa de ver as das outras pessoas), se alguém está a escrever, e se silenciou ou ocultou uma conversa. Para a lista de conversas, o nosso servidor guarda uma cópia dos primeiros 80 caracteres da última mensagem. A menos que desative “Mostrar pré-visualizações das mensagens” num dispositivo, as notificações desse dispositivo mostram até 120 caracteres de uma nova mensagem (secção 5.18); essa cópia é removida dos nossos servidores assim que a notificação é enviada.

Fotos: escolhe-as na sua biblioteca de fotos. A app remove a localização e outros metadados, e o nosso servidor codifica novamente a foto. As fotos ficam guardadas numa área de armazenamento privada e são mostradas apenas através de links que deixam de funcionar no máximo ao fim de 90 minutos. São verificadas automaticamente antes da entrega (secção 5.13).

Cifragem e acesso: as mensagens são cifradas em trânsito e quando guardadas, mas não de ponta a ponta. Além das verificações fixas de dados de contacto e de palavras proibidas quando uma mensagem é enviada (secção 5.14), os nossos servidores nunca leem, analisam, traduzem nem examinam o texto das mensagens. As pessoas do Carbetic só veem mensagens quando alguém da conversa denuncia mensagens dela ou denuncia a outra pessoa (secção 5.16), ou quando a lei o exige. Numa denúncia de mensagens, os nossos moderadores veem as mensagens denunciadas e até 20 antes e depois delas. Numa denúncia da outra pessoa, veem as últimas 20 mensagens da conversa antes da denúncia. As fotos nessas mensagens estão incluídas e só lhes são mostradas através de links que deixam de funcionar passado pouco tempo. Cada acesso fica registado.

Bloqueios: se bloquear alguém, a conversa fecha-se para os dois. As mensagens ficam no nosso servidor até à data normal de eliminação, para que uma denúncia ainda possa ser tratada.

Base jurídica: execução do nosso contrato consigo (art. 6.º, n.º 1, alínea b)). Quando o chat conta como serviço de comunicações, seguimos também as regras de confidencialidade das comunicações (art. 5.º da Diretiva ePrivacy e § 161 da Lei austríaca das Telecomunicações de 2021).

Mensagens entre si e o Carbetic (o chat “Carbetic”): o Carbetic pode escrever-lhe na app, por exemplo para responder a uma pergunta, para o ajudar com a sua conta ou para lhe dar notícias do T1D Babysitting. Estas mensagens aparecem no separador Mensagens, num chat chamado “Carbetic”, e só depois de lhe termos escrito. Pode responder aí, mesmo sem a verificação de identidade. Este chat é entre si e o Carbetic, não com outro membro: só os nossos administradores o podem abrir, no nosso painel de administração, para ler as mensagens e lhes responder. Os outros membros nunca o veem. Tratamos os textos deste chat (apenas texto, sem fotos), as horas de envio e de leitura e, para a lista de conversas, uma cópia de até 200 caracteres da última mensagem. Uma nova mensagem do Carbetic é anunciada por uma notificação, como qualquer outra mensagem (secção 5.18). Por favor, partilhe aí informação de saúde apenas se a sua pergunta o exigir. As mensagens são eliminadas 24 meses após o envio, e o chat inteiro quando elimina a sua conta da rede (secção 5.22). Bases jurídicas: execução do nosso contrato consigo (art. 6.º, n.º 1, alínea b)) quanto ao apoio e às mensagens sobre a sua conta; o nosso interesse legítimo em informar os membros sobre a rede (art. 6.º, n.º 1, alínea f)).

5.12 Verificações automáticas de perfis, fotos e avaliações

Não há aprovação manual. Antes de os outros os verem, as suas fotos, os textos do perfil, a sua resposta “outra coisa” e as avaliações são verificados automaticamente. Nenhuma inteligência artificial lê os seus textos; as fotos passam pela verificação automática de imagens da Google (secção 5.13).

• As fotos (nos perfis e nas mensagens) são verificadas pelo Google Cloud Vision SafeSearch, tratado em regiões da UE. Este serviço avalia a probabilidade de uma foto mostrar conteúdo adulto, violento ou provocante. Uma foto com probabilidade de ser adulta ou violenta, ou com grande probabilidade de ser provocante, não é publicada. O SafeSearch não reconhece rostos e não identifica quem aparece. Também removemos a localização e outros metadados, codificamos novamente a foto e limitamos o seu tamanho e tipo de ficheiro.
• Os textos do perfil, a resposta “outra coisa” e as avaliações são verificados com regras fixas para números de telefone, endereços de e-mail, links e nomes de aplicações de mensagens, palavras de uma pequena lista de palavras proibidas, e o comprimento. As avaliações nunca são verificadas quanto a serem positivas ou negativas.
• Conservamos apenas o resultado e o motivo. Se uma verificação falhar, você vê o que deve alterar e pode pedir a uma pessoa que a reveja (secção 5.17). Se o serviço não estiver disponível, nada é publicado até a verificação poder ser feita.
• A Google trata as fotos por nossa conta e não as usa para treinar os seus modelos.

Outras regras das Diretrizes da Comunidade, por exemplo que fotos pode publicar, não são verificadas automaticamente. Atuamos sobre elas quando alguém denuncia uma infração.

Bases jurídicas: execução do nosso contrato consigo (art. 6.º, n.º 1, alínea b)), porque estas verificações mantêm a rede dentro das suas regras, e o nosso interesse legítimo em manter os membros e as crianças em segurança (art. 6.º, n.º 1, alínea f)).

5.13 Fotos nas mensagens e a sua verificação automática

Antes de uma foto numa conversa ser entregue, o Google Cloud Vision SafeSearch, tratado em regiões da UE, verifica-a automaticamente quanto a conteúdo adulto e violento, da mesma forma que as fotos de perfil (secção 5.12). Não há consentimento separado para esta verificação. Faz parte do chat. A verificação olha apenas para a imagem. Não reconhece rostos e nunca vê o texto da mensagem.

• Uma foto que passa é entregue. Conservamos com a mensagem apenas o resultado da verificação.
• Uma foto que falha não é entregue e é eliminada no prazo de 24 horas. Você vê que não foi enviada e pode pedir a uma pessoa que reveja a decisão.
• Se alguém denunciar uma foto, uma cópia vai para o processo de caso protegido (secção 5.16).
• A Google trata as fotos por nossa conta e não as usa para treinar os seus modelos.

Bases jurídicas: execução do nosso contrato (art. 6.º, n.º 1, alínea b)) e o nosso interesse legítimo em proteger os membros e as crianças de imagens sexuais e violentas (art. 6.º, n.º 1, alínea f)). Quando o chat conta como serviço de comunicações, seguimos também as regras de confidencialidade das comunicações. Para provas que contenham dados de saúde ou outros dados de categoria especial: a declaração, o exercício ou a defesa de um direito num processo judicial (art. 9.º, n.º 2, alínea f)).

5.14 Dados de contacto nas mensagens e dicas de segurança

Para manter as conversas na app, onde denunciar e bloquear o protegem, os números de telefone, os endereços de e-mail e os links ou nomes de utilizador de aplicações de mensagens (por exemplo WhatsApp, Telegram, Signal, Instagram, Snapchat ou Facebook) não podem ser enviados em mensagens. A app verifica o texto enquanto você escreve, e a nossa base de dados verifica-o de novo quando a mensagem é guardada, com os mesmos padrões fixos. Datas, horas, preços, códigos postais e idades não são afetados. Uma mensagem que corresponda não é enviada. Nada sobre ela é guardado, e ninguém é informado.

As mensagens com uma palavra de uma pequena lista de insultos graves e de termos sexuais explícitos também não são enviadas; a app pede-lhe que reformule. Nada sobre isso é guardado.

Se escrever algo que pareça um número de conta bancária ou um pedido de pagamento, a app pode mostrar uma breve dica. Quando recebe uma mensagem dessas, a app pode mostrar uma dica por baixo dela. Esta verificação é feita apenas no seu dispositivo. Nada sobre ela nos é enviado nem é guardado.

Base jurídica: o nosso interesse legítimo em manter os membros, e sobretudo as crianças, em segurança (art. 6.º, n.º 1, alínea f)).

5.15 Avaliações

Quando as duas pessoas de uma conversa tiverem enviado pelo menos uma mensagem, cada uma pode escrever uma avaliação sobre a outra: 1 a 5 estrelas, até 3 etiquetas de uma lista fixa e um texto. As avaliações vêm de pessoas que trocaram mensagens no Carbetic. Não verificamos se se encontraram. Uma avaliação é publicada de imediato. Se escrever uma nova avaliação sobre a mesma pessoa, ela substitui a anterior. As avaliações são verificadas automaticamente (secção 5.12).

Uma avaliação publicada mostra o nome de apresentação do autor, a função (família ou babysitter) e o mês em que foi escrita. As avaliações e a média só são mostradas quando um perfil tem 4 ou mais avaliações. Você pode sempre ver as avaliações sobre si. Não há respostas públicas. Os autores podem eliminar a sua avaliação a qualquer momento, e qualquer pessoa pode denunciar uma avaliação. Se o autor eliminar a sua conta, a avaliação permanece sem o seu nome (“Uma família” ou “Um babysitter”). Se a pessoa avaliada eliminar a sua conta, todas as avaliações sobre ela são eliminadas.

Bases jurídicas: execução do nosso contrato quanto à função de avaliação (art. 6.º, n.º 1, alínea b)); o nosso interesse legítimo em mostrar avaliações honestas a outros membros (art. 6.º, n.º 1, alínea f)).

5.16 Denúncias, bloqueios, moderação e autoridades

Denúncias: pode denunciar um perfil, uma conversa, uma mensagem isolada, uma foto ou uma avaliação na app. Quem não tem a app pode escrever para safety@carbetic.app. Guardamos a denúncia (motivo, os pormenores escritos, quem denunciou, quando) e uma cópia do conteúdo denunciado feita pelo nosso servidor: o perfil, as mensagens denunciadas com até 20 antes e depois delas, a foto ou a avaliação. Se denunciar alguém com quem conversou, os nossos moderadores veem também as últimas 20 mensagens da sua conversa antes da denúncia, com as fotos que nelas constam (secção 5.11). Nunca dizemos à pessoa denunciada quem a denunciou.

Ocultação preventiva: a conta denunciada é ocultada de imediato, até uma pessoa decidir (normalmente no prazo de 24 horas), após uma denúncia, feita por um membro com ID verificado, de que uma criança pode estar em risco ou de ameaças (ou de conteúdo sexual ou assédio que envolva um babysitter de 16 ou 17 anos), ou após denúncias de 3 membros diferentes com ID verificado no prazo de 7 dias. As denúncias de visitantes são analisadas primeiro, mas nunca ocultam ninguém automaticamente.

Bloqueios: guardamos quem bloqueou quem, para que o bloqueio funcione nos dois sentidos.

Moderação: Diego Szekely e um moderador suplente identificado analisam as denúncias, normalmente no prazo de 24 horas. O moderador suplente age segundo as nossas instruções e está obrigado a confidencialidade. Guardamos o caso, a nossa decisão, os motivos, a exposição de motivos que lhe enviamos na app, e um registo de cada ação e de cada consulta de provas. As medidas vão desde um aviso até à remoção de conteúdo, limites, suspensão e remoção da rede. Pode pedir a revisão de qualquer decisão escrevendo para safety@carbetic.app no prazo de 6 meses; pode também recorrer aos tribunais.

Aviso a contactos anteriores: se um membro for removido após uma revisão de segurança, por exemplo porque uma criança estava em risco, ou por ameaças, conduta sexual imprópria ou fraude, podemos dizer às pessoas a quem esse membro escreveu que ele já não está no T1D Babysitting após uma revisão de segurança, com dicas de segurança. Não dizemos porquê.

Autoridades: se suspeitarmos de um crime que ameace a vida ou a segurança de alguém, informamos a polícia ou outras autoridades competentes e damos-lhes os dados relevantes, como o caso, a conta, o primeiro nome verificado, o ano de nascimento e o país do documento, o perfil, e as mensagens e fotos relevantes (Regulamento dos Serviços Digitais, art. 18.º). Respondemos a ordens de autoridades e tribunais (Regulamento dos Serviços Digitais, art. 9.º e 10.º; contacto legal@carbetic.app) e a pedidos de informação que a lei permita, por exemplo ao abrigo do § 13 da Lei austríaca do Comércio Eletrónico, apenas depois de verificarmos que são válidos. Não conservamos endereços IP nos nossos próprios registos; os registos de pedidos do nosso fornecedor de nuvem podem conter endereços IP durante 30 dias (secção 5.22).

Bases jurídicas: obrigações legais ao abrigo do Regulamento dos Serviços Digitais (art. 6.º, n.º 1, alínea c)); o nosso interesse legítimo em manter a rede segura, proteger as crianças e defender direitos em processos judiciais, e o interesse dos contactos anteriores na sua própria segurança (art. 6.º, n.º 1, alínea f)); quanto a dados de saúde nas provas, a declaração, o exercício ou a defesa de um direito num processo judicial (art. 9.º, n.º 2, alínea f)).

5.17 Decisões automatizadas e o seu direito a uma revisão humana

Algumas decisões na rede são tomadas automaticamente:

Para cada decisão, indicamos-lhe o motivo principal. Pode pedir a uma pessoa que a reveja (“Pedir uma revisão humana” na app, ou safety@carbetic.app), dar o seu ponto de vista e contestar a decisão (art. 22.º, n.º 3, do RGPD). As bases jurídicas são a execução do nosso contrato (art. 22.º, n.º 2, alínea a)) e, quanto à verificação de identidade, que usa dados biométricos, o seu consentimento explícito (art. 22.º, n.º 2, alínea c), e n.º 4).

5.18 Notificações

• Uma notificação de uma nova mensagem mostra o nome de apresentação do remetente e, por predefinição, o início da mensagem (até 120 caracteres), também no seu ecrã de bloqueio. Pode desativar isto separadamente em cada dispositivo (“Mostrar pré-visualizações das mensagens”, no separador Perfil, em Chat); as notificações desse dispositivo mostram então apenas o nome e, por exemplo, “Enviou-lhe uma mensagem”. As definições de notificações do próprio telemóvel, como mostrar pré-visualizações apenas quando está desbloqueado, aplicam-se cumulativamente. As fotos nunca têm pré-visualização. As outras notificações da rede nunca mostram o texto das mensagens, informação de saúde nem informação sobre crianças.
• Enviamos notificações sobre novas mensagens e fotos, reações às suas mensagens (o nome e o emoji, nunca a mensagem), mensagens do Carbetic (secção 5.11), um lembrete quando não respondeu a uma mensagem durante cerca de um dia, avaliações, o resultado da sua verificação de identidade, o estado do seu perfil, o resultado das suas denúncias, avisos de moderação e de segurança, e inícios de sessão num novo dispositivo. Nunca as usamos para publicidade.
• Se alguém publicar um perfil a cerca de 50 km do seu, podemos enviar-lhe uma notificação, no máximo uma por dia, por exemplo “Um novo babysitter juntou-se perto de si” ou “Uma nova família juntou-se perto de si”. Usa apenas a área aproximada já guardada para o seu perfil e não mostra nome nem outros dados. Não é enviada entre as 21:00 e as 08:00 na sua hora local e fica à espera até de manhã. Pode desativá-la nas definições de notificações.
• Cada app regista o seu dispositivo para notificações com um token push, qual é a app, o idioma e o fuso horário, o país definido no seu telemóvel (secção 1.4), se as notificações são permitidas, se este dispositivo mostra notificações da rede e se as pré-visualizações estão ativadas. Se as duas apps estiverem instaladas no mesmo telemóvel, as notificações da rede vão para a app T1D Babysitting.
• A app pede permissão depois de o seu primeiro perfil ser publicado. As mensagens também funcionam sem notificações.
• As notificações são entregues através do Apple Push Notification service e do Firebase Cloud Messaging. O registo de entrega no nosso servidor é eliminado ao fim de 7 dias.

Base jurídica: o seu consentimento, dado no pedido de notificações do seu telemóvel (art. 6.º, n.º 1, alínea a)).

5.19 Registos de consentimentos e avisos

Registamos, com a versão do texto e a hora: a sua aceitação dos Termos da Rede e das Diretrizes da Comunidade; cada consentimento que dá ou retira (verificação de identidade, a sua informação de saúde, a informação de saúde do seu filho); a confirmação, por um babysitter de 16 ou 17 anos, de que um dos pais ou o responsável legal concorda; e quando fecha o aviso de segurança numa conversa. Isto prova que foi informado e que concordou. Fechar o aviso de segurança não é um consentimento.

Bases jurídicas: a obrigação legal de provar o consentimento (art. 6.º, n.º 1, alínea c), com o art. 7.º, n.º 1, do RGPD) e o nosso interesse legítimo em provar que a informação de segurança foi mostrada (art. 6.º, n.º 1, alínea f)).

5.20 Quem recebe os dados da rede

• Outros membros: o que você publica, como descrito nas secções 5.6 e 5.15. As pessoas a quem escreve recebem as suas mensagens.
• Didit (subcontratante; Barcelona, Espanha): a verificação de identidade (secção 5.5).
• Google (subcontratante): alojamento e base de dados (Firebase e Google Cloud; base de dados na UE, funções e armazenamento de ficheiros em Frankfurt), links de início de sessão por e-mail (Firebase Authentication), entrega de notificações (Firebase Cloud Messaging) e a verificação de fotos (Cloud Vision SafeSearch, regiões da UE).
• Resend (subcontratante; envio de e-mails, região da UE): o seu endereço de e-mail e o e-mail de início de sessão que envia por nós (secção 5.4).
• Google Maps Platform Address Validation: a morada que escreve, uma só vez, para a verificar. Para este serviço, a Google pode também tratar os dados ao abrigo dos seus próprios termos de privacidade.
• Serviços de localização por IP (ipapi.co, country.is, ipwho.is): apenas o seu endereço IP, consultado uma só vez pelo componente da Didit quando a verificação de identidade começa, para pré-selecionar o país do seu documento (secção 5.5).
• OpenStreetMap Foundation (serviço Nominatim, Reino Unido): a morada que escreve, uma só vez, sem o seu nome nem conta, para encontrar a sua posição aproximada.
• Apple e Google como fornecedores de início de sessão (responsáveis pelo tratamento independentes): quando inicia sessão.
• Apple e Google como lojas de apps (responsáveis pelo tratamento independentes): quando compra um plano. Enviam-nos informações de compra (secção 1.5).
• Apple (APNs) e Google (FCM): entregam as notificações.
• Fornecedores de mapas: o Apple Maps (iPhone) e o Google Maps (Android) recebem a área do mapa que você está a ver, para desenhar o mapa. Não recebem a sua morada.
• O nosso fornecedor de e-mail (subcontratante): aloja as nossas caixas de correio, onde recebemos e respondemos aos seus e-mails.
• O nosso moderador suplente: uma pessoa identificada que analisa denúncias segundo as nossas instruções e sob confidencialidade.
• Polícia, autoridades e tribunais: quando a lei o exige (secção 5.16).

Não vendemos dados da rede e não os damos a anunciantes. Pode pedir os nomes atuais de todos os fornecedores em diego@carbetic.app.

5.21 Transferências para fora da UE

Os dados da rede são guardados na UE. Alguns fornecedores ou as suas empresas-mãe estão fora da UE:

• A Google LLC (EUA) pode aceder a dados que a Google guarda na UE. A Google está certificada no Quadro de Proteção de Dados UE-EUA (Data Privacy Framework); as Cláusulas Contratuais-Tipo aplicam-se como solução de recurso.
• A Apple Inc. (EUA): início de sessão, notificações e a App Store, ao abrigo do Quadro de Proteção de Dados (Data Privacy Framework) ou das Cláusulas Contratuais-Tipo.
• OpenStreetMap Foundation (Reino Unido): a UE decidiu que o Reino Unido oferece um nível de proteção adequado.
• A Didit trata os dados na UE.
• A Resend (Plus Five Five, Inc., EUA) envia os nossos e-mails de início de sessão a partir da sua região da UE. A Resend está certificada no Quadro de Proteção de Dados UE-EUA (Data Privacy Framework); as Cláusulas Contratuais-Tipo aplicam-se como solução de recurso.
• Os serviços de localização por IP da secção 5.5 podem estar fora da UE; recebem apenas o seu endereço IP, uma só vez, quando a verificação de identidade começa.

5.22 Durante quanto tempo conservamos os dados da rede

No seu dispositivo, a app mantém uma cache de fotos de perfis e de mensagens. É eliminada com a conversa, quando sai da rede e quando elimina a sua conta da rede.

5.23 Sair, eliminar e os seus outros direitos

Tem todos os direitos descritos na secção 11. Quanto à rede:

• Sair da rede: oculta os seus perfis e encerra as suas conversas; ambos os lados podem continuar a lê-las. A sua conta, a verificação e os favoritos mantêm-se, e pode voltar.
• Eliminar perfil e conta (separador Perfil, Conta): elimina os seus perfis e fotos, os dados da sua morada, os seus favoritos, os seus bloqueios, as avaliações sobre si, o resultado da sua verificação, as suas fotos nas mensagens, o seu chat “Carbetic”, e o seu início de sessão com Apple, Google ou e-mail com o seu endereço de e-mail (no caso da Apple, revogamos também o acesso do Carbetic ao seu Apple ID). Os seus dados de contagem de hidratos de carbono e o seu plano mantêm-se. O que conservamos, e durante quanto tempo, consta da tabela da secção 5.22. Quem iniciou sessão mas nunca aceitou os termos da rede pode eliminar esse início de sessão no mesmo local.
• Os seus dados de contagem de hidratos de carbono: “Eliminar os meus dados”, nas definições do contador de hidratos de carbono (Geral, Dados e Privacidade), elimina o seu histórico de scans e as fotos das refeições no seu telemóvel, desativa a partilha de dados e pede-nos que eliminemos os dados do Carbetic que guardamos sobre si, o que fazemos no prazo de 30 dias. Os registos de compra são conservados como descrito na secção 9; as encomendas da loja durante o tempo que a lei exigir.
• “Antigo membro”: depois de eliminar a sua conta da rede, as pessoas a quem escreveu conservam as mensagens de texto que enviou até expirarem (24 meses após o envio), mostradas como “Antigo membro” sem o seu nome nem foto. Isto é pseudonimizado, não anónimo: a outra pessoa sabe quem escreveu. Conservamo-las porque a conversa também é dela, e por segurança (art. 6.º, n.º 1, alínea f)).
• Sem a app: use carbetic.app/delete-account ou envie um e-mail para diego@carbetic.app a partir do endereço de e-mail com que inicia sessão. Eliminar não cancela um plano; cancele-o na App Store ou no Google Play.
• Acesso e cópia: escreva para diego@carbetic.app a partir do endereço de e-mail com que inicia sessão, ou indique-nos o seu ID de conta (Perfil, Conta). Enviamos-lhe os seus dados da rede, incluindo o seu perfil, os favoritos, as mensagens que enviou, o seu chat “Carbetic”, as avaliações feitas por si e sobre si, consentimentos e avisos, num ficheiro de leitura automática no prazo de um mês.
• Retificação: edite o seu perfil na app. Depois da verificação de identidade, o seu nome vem do seu documento e corrige-se verificando de novo.
• Retirar o consentimento: a informação de saúde nas definições da app; o consentimento da verificação de identidade como descrito na secção 5.5.
• Oposição: pode opor-se ao tratamento baseado no nosso interesse legítimo escrevendo-nos. Paramos, a menos que tenhamos razões imperiosas, por exemplo a proteção de crianças.
• Revisão humana de decisões automatizadas: secção 5.17.

5.24 O que nunca fazemos com os dados da rede

• Nada de publicidade, nada de rastreamento publicitário e nenhuma venda de dados.
• Nenhuma utilização para treinar modelos de IA, e nenhuma utilização em “Ajudar a melhorar o Carbetic” (secção 3).
• Nenhum conteúdo nem atividade da rede (perfis, pesquisas, mensagens, avaliações, localização ou dados de saúde) vai para serviços de análise, de atribuição ou de marketing.
• Nenhum reencaminhamento dos registos de hidratos de carbono, dos dados de glicose ou dos dados do Carbetic Follow de uma criança para babysitters.
• Nenhuma utilização da localização do seu dispositivo, exceto o ponto arredondado para uma pesquisa em torno da sua localização atual, se a escolher (secção 1.4).

6. Porque usamos os seus dados, e as nossas bases jurídicas

Quando nos baseamos no consentimento, pode retirá-lo a qualquer momento sem afetar a licitude do tratamento efetuado antes da retirada. Quando nos baseamos em interesses legítimos, pode opor-se (secção 11).

7. Com quem partilhamos dados

Só partilhamos dados com prestadores de serviços (“subcontratantes”) que tratam os dados por nossa conta e ao abrigo de contrato e, se ativar a definição opcional “Ajudar a melhorar o Carbetic” (secção 3), com os parceiros que nos ajudam nas finalidades aí descritas. Os destinatários dividem-se nas seguintes categorias:

• Fornecedores de alojamento em nuvem, base de dados e autenticação guardam o registo da sua conta anónima e os dados da app.
• Parceiros de processamento de IA analisam os dados das suas refeições para gerar estimativas (secção 2).
• Fornecedores de análise de utilização e de diagnóstico de falhas ajudam-nos a perceber a utilização e a corrigir problemas.
• O fornecedor de notificações push entrega as notificações se você as ativar.
• O fornecedor de medição de marketing / atribuição mede o desempenho dos anúncios se chegou através de um anúncio.
• Lojas de apps e fornecedores de pagamentos tratam a sua subscrição e confirmam as compras ao nosso servidor (secção 1.5).
• As pessoas que escolher (Carbetic Follow): se se ligar com um código de acompanhamento, o destinatário que escolheu vê os dados descritos na secção 4. Isto acontece por sua indicação e nunca é partilha para publicidade.
• Apple Health e Health Connect: se ativar esta opção, a app escreve as suas refeições na app de saúde do seu próprio telemóvel (secção 1.6). Não recebemos estes dados e não os transmitimos.
• T1D Babysitting: os outros utilizadores veem o que você publica na rede, como descrito na secção 5.6. Usamos a Didit para as verificações de identidade; a Resend para enviar e-mails de início de sessão; a Google para alojamento, links de início de sessão por e-mail (como reserva), notificações, verificações de moradas e a verificação automática de fotos; o OpenStreetMap Nominatim para situar as moradas no mapa; a Apple e a Google para o início de sessão e os mapas; e um fornecedor de e-mail para as nossas caixas de correio. Os pormenores estão na secção 5.20.

Podemos também divulgar dados se a lei o exigir, para proteger os nossos direitos ou a segurança dos utilizadores, ou no contexto de uma transmissão da empresa.

Pode pedir a qualquer momento a lista atual dos fornecedores específicos identificados que usamos, enviando um e-mail para diego@carbetic.app.

8. Transferências internacionais de dados

Alguns dos nossos fornecedores tratam dados em países fora do seu, incluindo os Estados Unidos. Quando transferimos dados pessoais para fora do EEE/Reino Unido, recorremos a garantias adequadas, como as Cláusulas Contratuais-Tipo da UE, o Adendo do Reino Unido, ou uma decisão de adequação / certificação do Quadro de Proteção de Dados (Data Privacy Framework). Pode pedir uma cópia das garantias relevantes em diego@carbetic.app. Quanto ao T1D Babysitting, ver secção 5.21.

9. Durante quanto tempo conservamos os dados

• Dados das refeições enviados para análise: não são conservados por nós; são eliminados pelos nossos parceiros de IA pouco depois do tratamento (normalmente no prazo de cerca de 30 dias).
• Histórico de refeições e fotos no dispositivo: guardados no seu dispositivo até você os eliminar ou desinstalar.
• Dados de “Ajudar a melhorar o Carbetic” (se aderir): a parte identificável (as fotos das suas refeições) é conservada até 36 meses, ou até você retirar o consentimento ou nos pedir que a eliminemos, o que ocorrer primeiro. A parte anonimizada (valores de hidratos de carbono/nutrição sob um ID aleatório, sem foto e sem identificador) pode ser conservada indefinidamente para estatísticas e melhoria dos modelos.
• Dados da conta, da condição e de acesso: até nos pedir que os eliminemos, ou até a sua conta ficar inativa durante um período prolongado.
• Registos de compra (secção 1.5): enquanto o plano estiver ativo, e até 400 dias depois de terminar.
• Análise de utilização e diagnóstico: normalmente até 14 meses.
• Registo de link de uma instalação Android (secção 13.1): enquanto durarem os dados da sua conta, ou até você se opor ou nos pedir que o eliminemos. As contagens de cliques por link não contêm dados pessoais e podem ser conservadas indefinidamente.
• Dados partilhados do Carbetic Follow: até você ou o destinatário terminarem a ligação (eliminados de imediato) ou você nos pedir que os eliminemos; os registos de consentimento são conservados como prova do consentimento.
• Dados de estudos clínicos: até o estudo terminar ou você se retirar.
• Refeições acrescentadas ao Apple Health ou ao Health Connect (secção 1.6): ficam lá, não connosco, até você as eliminar lá. A lista da app do que acrescentou fica no seu telemóvel e é eliminada com a app.
• T1D Babysitting: ver a tabela na secção 5.22.

10. Como protegemos os seus dados

Usamos cifragem em trânsito (SSL/TLS), pseudonimização dos dados de treino, contas anónimas por predefinição, controlos de acesso e fornecedores de infraestrutura de boa reputação. Nenhum sistema é perfeitamente seguro, mas tomamos medidas razoáveis, adequadas à sensibilidade dos dados.

T1D Babysitting: os dados da rede são cifrados em trânsito e em repouso; as mensagens não são cifradas de ponta a ponta. Os perfis e as fotos são servidos apenas através do nosso servidor e de links que expiram. O número de perfis que podem ser abertos é limitado para impedir a cópia. As moradas exatas e as imagens de ID nunca são guardadas, e os códigos de ID e os códigos de moradas são calculados com chaves secretas. As pessoas que moderam usam contas de pessoal dedicadas, protegidas por uma passkey ou chave de segurança, e cada consulta de conteúdo denunciado fica registada.

11. Os seus direitos de privacidade

Se estiver no EEE ou no Reino Unido (RGPD), tem o direito de:

• aceder aos dados pessoais que conservamos sobre si;
• retificar dados inexatos;
• eliminar os seus dados (“direito a ser esquecido”);
• limitar o tratamento ou opor-se a ele;
• portabilidade dos dados;
• retirar o consentimento a qualquer momento (incluindo a definição “Ajudar a melhorar o Carbetic” e os consentimentos no T1D Babysitting, secção 5.23); e
• apresentar uma reclamação à sua autoridade local de proteção de dados. Como estamos estabelecidos na Áustria, a autoridade competente é a Autoridade de Proteção de Dados da Áustria (Datenschutzbehörde), Barichgasse 40–42, 1030 Viena, dsb.gv.at. Também pode reclamar junto da autoridade do local onde vive ou trabalha.

Tem de nos dar os seus dados? Não. Usar o Carbetic exige apenas os dados das refeições que escolher enviar. Tudo o que está marcado como opcional na secção 1 é realmente opcional, e recusá-lo não lhe custa nada, exceto a funcionalidade que ele possibilita. O T1D Babysitting também é opcional: para publicar um perfil, precisa de um início de sessão, de uma morada, do seu primeiro e último nome e do seu mês e ano de nascimento, e para enviar mensagens, também de uma verificação de identidade; a informação de saúde e as fotos nas mensagens continuam a ser opcionais. Nos formulários do nosso site, os campos marcados como obrigatórios são necessários para podermos responder.

Decisões automatizadas. As estimativas de hidratos de carbono são produzidas automaticamente por IA, mas são apenas estimativas para uso próprio e não uma decisão sobre si. No T1D Babysitting, algumas decisões são tomadas automaticamente, por exemplo o resultado da verificação de identidade; a secção 5.17 explica-as e o seu direito a uma revisão humana. Fora isso, não tomamos nenhuma decisão a seu respeito que produza efeitos jurídicos ou o afete significativamente de forma semelhante (art. 22.º do RGPD), e não criamos perfis seus para essas decisões. O Carbetic não é um dispositivo médico e não deve ser usado como base para decisões de tratamento.

Se estiver na Califórnia (CCPA/CPRA), tem o direito de: saber, aceder, corrigir e eliminar as suas informações pessoais; recusar a “partilha” de informações pessoais; limitar a utilização de informações pessoais sensíveis; e não ser discriminado por exercer estes direitos. As únicas informações pessoais que partilhamos (como este termo é definido pela CCPA) são os dados opcionais de “Ajudar a melhorar o Carbetic”, que vêm desativados por predefinição; desativar essa opção (ou deixá-la desativada) é recusar essa partilha. Os dados que partilha através do Carbetic Follow são divulgados por sua indicação ao destinatário que escolher e não são “partilha” para publicidade comportamental entre contextos. As refeições que a app acrescenta ao Apple Health ou ao Health Connect são escritas no seu telemóvel e nunca chegam até nós, pelo que não são nem vendidas nem partilhadas.

12. Como exercer os seus direitos (e uma nota sobre contas anónimas)

Para fazer qualquer pedido, envie um e-mail para diego@carbetic.app, ou use os controlos Definições → Privacidade da app para alterar o consentimento ou eliminar os seus dados. No T1D Babysitting, os controlos estão no separador Perfil.

A maioria das contas do Carbetic são anónimas: não há início de sessão, e não sabemos quem você é. Normalmente identificamos os seus dados pelo ID anónimo do seu dispositivo. Para dar seguimento a um pedido, podemos precisar que o faça a partir da app (ou que indique o seu ID na app) para podermos localizar os dados certos. Isto também significa que, se desinstalar a app, os dados guardados apenas no seu dispositivo desaparecem e não os podemos recuperar.

Se usar o T1D Babysitting com um início de sessão, escreva a partir do endereço de e-mail com que inicia sessão. Se usar o “Ocultar o meu e-mail” da Apple, indique-nos esse endereço de reencaminhamento ou o seu ID de conta (Perfil, Conta).

13. Rastreamento e publicidade

13.1 Os nossos próprios links

Partilhamos nós próprios links para a app, por exemplo no nosso perfil de Instagram: carbetic.app/install, ou carbetic.app/install/ seguido de um nome curto para o local onde o link foi publicado. Contamos quantas instalações, testes gratuitos e subscrições pagas cada link traz, para sabermos quais funcionam. Fazemo-lo nós próprios, sem uma empresa de publicidade ou de atribuição, sem cookies e sem o ID de publicidade do seu dispositivo.

• Android: o Google Play diz à app de qual dos nossos links veio: o nome do link, e quando o link foi aberto e a instalação começou. No primeiro arranque, a app envia isto uma só vez ao nosso servidor, juntamente com o ID anónimo da sua instalação, o seu ID de conta anónimo e a versão da app. Se depois iniciar uma subscrição, a app envia a referência de compra que o Google Play lhe deu, e o nosso servidor pergunta ao Google Play o estado dessa subscrição (teste gratuito, paga, cancelada ou terminada) e o plano. Perguntamos de novo regularmente para que as contagens se mantenham atuais. Uma subscrição que já tinha antes de abrir o link não é contada para o link. Se não veio através de um dos nossos links, a app não envia nada para isto.
• iPhone e iPad: a app não faz nada para isto. A Apple conta os descarregamentos, os testes gratuitos e as subscrições por link na sua análise da App Store e dá-nos apenas totais por link, deixando de fora grupos de menos de cinco pessoas. Não recebemos nada sobre si individualmente.
• Olhamos para estes números apenas como totais por link. Não os usamos para lhe mostrar publicidade, não os transmitimos e não os combinamos com as suas refeições, fotos nem condição.
• Base jurídica: o nosso interesse legítimo em saber quais dos nossos próprios links funcionam (art. 6.º, n.º 1, alínea f), do RGPD). Pode opor-se a qualquer momento enviando um e-mail para diego@carbetic.app; eliminamos então o registo de link da sua instalação.

O que acontece quando abre um destes links no seu navegador é descrito na secção 14.6.

13.2 Anúncios

Se instalou o Carbetic a partir de um anúncio, usamos um serviço de medição de marketing / atribuição para confirmar a instalação e os eventos principais (como iniciar um teste) e assim medir e melhorar a nossa publicidade. No iOS, não usamos o identificador de publicidade e não mostramos o pedido de rastreamento da Apple; a medição das instalações usa o SKAdNetwork da Apple, que comunica as instalações vindas de um anúncio apenas como totais. Não usamos os seus dados relacionados com a saúde, as fotos das refeições nem a condição para publicidade.

13.3 T1D Babysitting

Os dados do T1D Babysitting nunca são usados para publicidade nem rastreamento e nunca vão para serviços de análise, de atribuição ou de marketing. A app “T1D Babysitting by Carbetic” não contém ferramentas de publicidade nem de atribuição. O único número de utilização da rede é o total mensal descrito na secção 5.10.

14. O site carbetic.app

Tudo o que está acima descreve as apps. Esta secção descreve o site, que é um sistema separado, com um conjunto de dados próprio e muito mais pequeno.

14.1 Sem rastreamento, sem cookies de publicidade

O site não contém scripts de análise, de publicidade nem de rastreamento e não define cookies de rastreamento. O seu navegador guarda no seu próprio dispositivo dois valores puramente técnicos: o idioma que selecionou e, depois de ter enviado o formulário para profissionais de saúde, uma nota de que já o enviou, para não lhe mostrarmos o formulário duas vezes. Nenhum dos dois nos é transmitido como identificador, e pode apagar ambos no seu navegador a qualquer momento. Como este armazenamento é estritamente necessário para funções que pediu, não é preciso nenhum aviso de cookies.

14.2 Registos do servidor

O nosso fornecedor de alojamento regista dados de registo normais sempre que uma página é pedida: endereço IP, data e hora, a página pedida, a página de origem, e a identificação do seu navegador e sistema operativo. Isto é necessário para entregar o site e para detetar e nos defendermos de ataques (art. 6.º, n.º 1, alínea f), o nosso interesse legítimo num site que funcione e seja seguro). Estes registos são conservados apenas por um curto período e não são usados para criar um perfil seu.

14.3 Formulários no site

O site oferece um pequeno número de formulários. Os dados que introduz são guardados na nossa conta de alojamento fora do diretório web de acesso público e também nos são enviados por e-mail. Em cada caso, guardamos o seu endereço IP e a hora do envio por um curto período para limitar abusos e spam (art. 6.º, n.º 1, alínea f)).

• Formulário para profissionais de saúde (/doc): forma de tratamento, nome, clínica ou consultório, morada postal, e-mail, telefone, a sua mensagem, e que acompanhamento pediu (chamada, visita, materiais para pacientes). Usamos isto para responder ao seu pedido, enviar os materiais que pediu e organizar o acompanhamento que pediu (art. 6.º, n.º 1, alínea b), diligências a pedido do titular dos dados, e art. 6.º, n.º 1, alínea f)). Conservamo-lo enquanto o contacto profissional estiver ativo e durante um período razoável de acompanhamento depois disso.
• Candidaturas a emprego (/jobs e /apply): nome, e-mail, opcionalmente telefone, nome de utilizador do Instagram, o que faz atualmente, quantas horas por semana poderia dedicar, um link para o seu trabalho e qualquer ficheiro que escolha carregar. Usamos isto exclusivamente para avaliar a sua candidatura (art. 6.º, n.º 1, alínea b), diligências prévias à celebração de um contrato). Os ficheiros carregados são guardados com um nome de ficheiro aleatório fora do diretório web público e não são acessíveis pela internet. Eliminamos as candidaturas o mais tardar seis meses depois de a vaga ser preenchida ou de o processo terminar, a menos que você concorde que podemos conservar a sua em arquivo.
• As páginas de destino individuais mantidas com parceiros podem ter um formulário de contacto simples. Recolhe apenas o que o formulário mostra, é usado apenas para lhe responder e segue as mesmas regras.

Fornecer estes dados é voluntário; sem, pelo menos, um nome e um endereço de e-mail não conseguimos responder. Os seus dados não são usados para publicidade e não são transmitidos para os fins de mais ninguém.

14.4 Pagar no site

Se subscrever através do site em vez de uma loja de apps, o pagamento é tratado pela Stripe. Os dados do seu cartão vão diretamente para a Stripe e nunca recebemos o número completo do cartão. A Stripe trata os dados de pagamento como responsável pelo tratamento independente, ao abrigo da sua própria política de privacidade em stripe.com/privacy; recebemos apenas o estado do pagamento e os dados de que precisamos para os nossos registos e obrigações fiscais (art. 6.º, n.º 1, alínea b) e art. 6.º, n.º 1, alínea c)).

14.5 E-mail

Se nos escrever, por exemplo para diego@carbetic.app, safety@carbetic.app ou legal@carbetic.app, a sua mensagem e o seu endereço ficam guardados na nossa caixa de correio no nosso fornecedor de e-mail, para podermos responder e manter um registo da correspondência (art. 6.º, n.º 1, alínea b) e art. 6.º, n.º 1, alínea f)). As mensagens para safety@carbetic.app sobre o T1D Babysitting são tratadas como descrito na secção 5.16.

14.6 Abrir um dos nossos links da app

Quando abre um dos nossos links da app (secção 13.1), o nosso servidor lê nesse momento a cadeia de user-agent do seu navegador apenas para decidir para onde o enviar: a App Store, o Google Play ou uma página com ambos. Soma um ao contador desse link e desse tipo de dispositivo (iPhone, Android, outro, ou pré-visualização de link). Não guardamos o seu endereço IP, a identificação do seu navegador nem nenhum identificador para isto, e não definimos nenhum cookie. O link da loja para onde o enviamos leva apenas o nome do link. O nosso fornecedor de alojamento (secção 14.2) e o nosso fornecedor de nuvem conservam os seus registos de pedidos normais, que incluem o endereço IP e a identificação do navegador; o nosso fornecedor de nuvem elimina-os ao fim de 30 dias. Base jurídica: art. 6.º, n.º 1, alínea f), o nosso interesse legítimo em o enviar para a loja certa e em saber quais os links que funcionam.

15. Crianças

Se tem menos de 16 anos, só pode usar o contador de hidratos de carbono na app Carbetic só com a autorização de um dos pais ou de um responsável legal (Termos de Utilização, secção 4.1). Uma conta Google Family Link, que um dos pais configura, conta como essa autorização. Quando o contador de hidratos de carbono se baseia no consentimento, por exemplo para a condição que pode indicar-nos na configuração (secção 1.3), um dos pais ou o responsável legal dá esse consentimento por uma criança com menos de 16 anos, ou concorda com ele (art. 8.º do RGPD). O T1D Babysitting não é para pessoas com menos de 16 anos, em nenhuma das apps (ver abaixo). Se achar que uma criança com menos de 16 anos usa as nossas apps sem a autorização de um dos pais ou de um responsável legal, contacte diego@carbetic.app e eliminaremos os dados da criança.

No T1D Babysitting, as famílias têm de ter 18 anos ou mais. Os babysitters têm de ter 16 anos ou mais, e os babysitters de 16 ou 17 anos confirmam que um dos pais ou o responsável legal concorda (secção 5.8). Verificamos a idade com o mês e o ano de nascimento indicados, e a verificação de identidade confirma-a. As crianças das famílias nunca são membros da rede. Os pais descrevem-nas apenas com os dados das secções 5.6 e 5.7, nunca com nomes, aniversários nem escolas. Os pais podem acrescentar fotos de família que mostrem os seus filhos. Tal como todo o perfil de família, são visíveis para todos os que publicaram um perfil no T1D Babysitting (secção 5.6). Para comunicar uma preocupação com a segurança de uma criança, escreva para safety@carbetic.app. Numa emergência, ligue para o número de emergência do seu país.

16. Alterações a esta política

Podemos atualizar esta política de tempos a tempos. Se fizermos alterações importantes, por exemplo à forma como usamos dados para melhorar a nossa IA ou ao T1D Babysitting, atualizaremos a data acima e avisá-lo-emos na app. Quando a lei o exigir, voltaremos a pedir o seu consentimento.

17. Contacto

Diego Szekely (Carbetic)
Hochbergstraße 4, 2380 Perchtoldsdorf, Áustria
diego@carbetic.app (pedidos de privacidade e tudo o resto)

T1D Babysitting: questões de segurança, denúncias, segurança das crianças e recursos contra decisões de moderação: safety@carbetic.app. Autoridades, incluindo ordens ao abrigo do Regulamento dos Serviços Digitais: legal@carbetic.app. Ambos em alemão e inglês.

Se é utilizador da UE/EEE ou do Reino Unido, também tem o direito de contactar a sua autoridade local de proteção de dados.