Política de Privacidade

Última atualização: novembro de 2026

Responsável e âmbito

O serviço alojado do Nibomo é operado pela SAMO DANNI EOOD, com o número de identificação de empresa 207395566, número de IVA BG207395566 e sede registada em bulv. Maritza 154, entrance D, floor 6 #14, 4018, Plovdiv, Bulgaria. O Nibomo foi criado por Kirill Markin.

Esta política aplica-se ao site, às aplicações, à API e ao serviço MCP alojados que operamos. Cada instância com alojamento próprio está sob o controlo do respetivo operador, que é responsável pelas suas práticas de privacidade.

Idade

O serviço alojado destina-se a pessoas com 13 anos ou mais. Se a lei do seu local de residência fixar uma idade mínima superior para utilizar um serviço online ou consentir no tratamento de dados, aplica-se essa idade. Se tiver menos de 18 anos, precisa da autorização de um dos seus pais ou do seu representante legal.

Dados que tratamos

Consoante a forma como utiliza o serviço alojado, tratamos:

dados da conta e de autenticação, incluindo o seu endereço de e-mail, identificadores internos de utilizador, registos de início de sessão e tokens de autenticação;
dados de estudo e do espaço de trabalho, incluindo cartões, baralhos, definições, associações a espaços de trabalho, histórico de revisões e metadados de sincronização;
ficheiros e conteúdos multimédia que envia ou cria, incluindo imagens e dados temporários de carregamento;
dados opcionais de IA, incluindo instruções, histórico das conversas, contexto dos cartões ou do espaço de trabalho, ficheiros e imagens incluídos num pedido, áudio ditado, transcrições, respostas do modelo e atividade das ferramentas;
dados de apoio e feedback, incluindo mensagens, o seu endereço de e-mail de contacto, quando fornecido, a versão da aplicação, a plataforma, o idioma e informações de estado relacionadas;
dados operacionais e de segurança, incluindo identificadores de pedidos, datas e horas, endereço IP, agente de utilizador, rota, estado da resposta, versão da aplicação, detalhes do dispositivo ou da plataforma e diagnósticos de erro com dados sensíveis removidos; e
dados de utilização do site e do produto, descritos abaixo nas secções Análise e cookies e Análise de produto.

É necessário um endereço de e-mail para criar uma conta no serviço alojado e iniciar sessão. Sem esse endereço, não podemos fornecer autenticação por e-mail nem sincronização associada à conta. Algumas funcionalidades limitadas podem estar disponíveis em modo de convidado ou local, sem iniciar sessão. Antes de criar uma sessão de convidado para um navegador que o nosso servidor assinala como possivelmente automatizado, a aplicação Web alojada apresenta uma verificação Cloudflare Turnstile e só cria a sessão se a verificação for concluída com êxito. O servidor pode assinalar um navegador se o pedido vier de uma rede de alojamento na nuvem, se a versão declarada não corresponder ao navegador, se o navegador estiver muito desatualizado, se o agente de utilizador pertencer a software de automatização ou se o servidor não conseguir identificar a rede de origem. Também o pode assinalar se tiverem sido criadas sem verificação pelo menos 10 sessões de convidado nesse dia (UTC) para navegadores que declaram a mesma versão antiga, ou se, na última hora, tiverem sido criadas ou pedidas pelo menos 6 sessões de convidado para navegadores que declaram o mesmo navegador e versão. Para efetuar a verificação, a Cloudflare recebe o seu endereço IP e características do navegador e do dispositivo e trata esses dados em nosso nome. O tratamento pela própria Cloudflare está descrito na sua Política de Privacidade e na Adenda de Privacidade do Turnstile. O nosso servidor envia depois à Cloudflare o token de verificação e, quando conhecido, o seu endereço IP. A Cloudflare indica se a verificação foi concluída com êxito e fornece detalhes do resultado (ação, nome do anfitrião e eventuais códigos de erro). O servidor usa-os para aceitar ou rejeitar a verificação. Quer a verificação tenha sido exigida, aprovada, rejeitada ou dispensada (só os nossos testes automáticos de publicação podem ignorá-la), o servidor regista o resultado nos registos da aplicação do backend. O resultado não é registado como evento de análise de produto. A entrada inclui os sinais que levaram a assinalar o navegador, o identificador do operador da rede do endereço de origem, as versões principais que o navegador declara e comunica, a versão principal atual usada para comparação e um identificador do pedido. Se a verificação falhar, inclui também o motivo e os detalhes do resultado da Cloudflare. Estas entradas são conservadas como descrito para os registos de aplicações no CloudWatch na secção Conservação e eliminação. O servidor também guarda na base de dados um registo de cada decisão sobre uma nova sessão de convidado, incluindo as sessões criadas sem verificação. O registo inclui o resultado, os eventuais sinais que levaram a assinalar o navegador, o identificador do operador de rede, o nome e as versões principais do navegador que este declara e comunica e a versão principal atual usada para comparação. Se a verificação falhar, inclui ainda o motivo e os códigos de erro da Cloudflare. Quando é criada uma sessão de convidado, inclui uma associação a essa conta de convidado. Conservamos estes registos sem prazo fixo de expiração para avaliar o funcionamento da verificação, detetar picos de novas sessões de convidado provenientes da mesma versão do navegador e excluir das estatísticas de utilização do produto as sessões de convidado que pareçam automatizadas. A eliminação da conta substitui a associação entre esses registos e a sua conta por um valor aleatório e apaga o identificador do operador de rede e as versões do navegador. Fazemo-lo com base no nosso interesse legítimo em prevenir o abuso automatizado de contas de convidado. Um navegador que não seja assinalado não carrega nada da Cloudflare.

Finalidades e fundamentos jurídicos

Tratamos os dados da conta, do espaço de trabalho, de revisões, de ficheiros e de IA solicitados na medida necessária para prestar o serviço alojado e executar o nosso contrato consigo. Tratamos os pedidos de apoio para responder e prestar a ajuda solicitada.

Tratamos dados limitados de análise, segurança, diagnóstico e melhoria do serviço com base no nosso interesse legítimo em compreender a utilização, prevenir abusos, manter o serviço seguro e corrigir falhas. Ponderamos esses interesses face aos seus direitos e minimizamos ou ocultamos os dados de diagnóstico quando é possível. Podemos também tratar dados quando for necessário para cumprir uma obrigação legal ou para declarar, exercer ou defender um direito num processo judicial. Quando a lei aplicável exigir consentimento para uma atividade específica, baseamo-nos nesse consentimento, que pode retirar a qualquer momento.

Não vendemos os seus dados pessoais nem os usamos para publicidade direcionada.

Compras e subscrições da Apple

A Apple processa os pagamentos das compras na App Store. Não recebemos os dados do seu cartão nem da sua conta bancária através da faturação da Apple. Recebemos e conservamos registos de compras, incluindo identificadores de transações e produtos, um token da conta da aplicação que associa a compra à sua conta, o estado da subscrição e do período experimental, informações de renovação e reembolso e as respetivas datas.

Usamos estes registos para verificar compras, fornecer e restabelecer o acesso pago, prestar apoio, reconciliar transações, manter registos contabilísticos e analisar a utilização do produto. Os registos de faturação do servidor são conservados mesmo que desative a análise de produto na aplicação.

Compras e subscrições do Google Play

A Google processa os pagamentos das compras no Google Play. Não recebemos os dados do seu cartão nem da sua conta bancária através da faturação da Google. Recebemos e conservamos registos de compras, incluindo identificadores de transações e produtos, tokens de compra, um identificador de conta opaco que associa a compra à sua conta, o estado da subscrição e do período experimental, informações de renovação e reembolso e as respetivas datas.

Compras através da Stripe e e-mails de faturação

A Stripe processa pagamentos de subscrições na Web. Nas suas páginas de pagamento e faturação, a Stripe recolhe o endereço de e-mail, o nome, a morada ou localização de faturação e os dados de pagamento que fornece. Partilhamos com a Stripe uma referência opaca da conta Nibomo e identificadores da sessão de pagamento, do cliente e da subscrição. Recebemos registos e notificações de faturação que podem incluir dados de contacto e de faturação, montantes, moedas, informações fiscais, o estado do período experimental e da subscrição, informações sobre pagamentos, reembolsos e litígios e as datas pertinentes. Não guardamos números completos de cartão nem códigos de segurança de cartões.

Usamos estes dados para executar o contrato de subscrição, verificar e fornecer o acesso pago, gerir a faturação e enviar e-mails de serviço. Também conservamos registos para contabilidade, reconciliação de transações e cumprimento de obrigações legais ou declaração, exercício ou defesa de direitos. Os registos e eventos de faturação no servidor são conservados independentemente da definição de análise de produto. O tratamento pela própria Stripe está descrito na sua Política de Privacidade.

Nas novas compras através do Stripe Managed Payments, a Stripe/Link envia os recibos de pagamento, as faturas e os avisos de reembolso obrigatórios, bem como determinados avisos de subscrição, incluindo a confirmação do início do período experimental. O tratamento dos dados está descrito na política de privacidade do Link.

Enviamos através do Resend o lembrete do Nibomo sobre o fim do período experimental de sete dias e os recibos de pagamento e reembolso de compras anteriores através da Stripe. O Resend recebe o endereço de e-mail de faturação do cliente da Stripe e o conteúdo da mensagem, incluindo o montante e a moeda, a data de fim do período experimental, quando aplicável, e uma ligação para gerir a faturação ou consultar o recibo. Conservamos o estado e os identificadores do envio para gerir novas tentativas e evitar mensagens duplicadas.

Análise e cookies

Quando está disponível, a funcionalidade de preços pode usar o endereço IP do pedido para sugerir um país, que pode alterar manualmente. A funcionalidade memoriza apenas o país selecionado num cookie funcional, partilhado pelo site e pela aplicação Web Nibomo durante até um ano. Esta preferência é independente da análise e não determina o seu idioma. Os registos da infraestrutura são descritos noutras secções desta política.

O site de divulgação usa o Vercel Web Analytics para medir visualizações de páginas e alguns eventos de clique. O serviço funciona sem cookies de análise, mas o site coloca o seu próprio cookie, descrito abaixo. Nas visualizações de páginas, a Vercel pode receber a hora do evento, o URL da página e os parâmetros de consulta filtrados, a origem da visita, a localização aproximada, o navegador, o sistema operativo e o tipo de dispositivo. Os eventos de clique personalizados incluem propriedades limitadas, como o idioma, a plataforma, a posição da ligação ou o tipo de interação. Não incluímos deliberadamente nomes, endereços de e-mail, conteúdos de cartões nem identificadores de contas nestes eventos. A Vercel agrega os dados e não associa um ponto de dados a uma pessoa ou endereço IP. O hash diário do visitante é eliminado ao fim de 24 horas. Quando o navegador comunica o sinal Global Privacy Control, o site não envia nada para o Vercel Web Analytics.

Em separado, o site envia eventos para o nosso próprio coletor de análise de produto. Envia um evento de visualização por cada página que abre e um evento de leitura uma vez por página, depois de esta estar visível durante pelo menos 10 segundos e de percorrer a página, mover o ponteiro, clicar, tocar no ecrã ou premir uma tecla na página. Regista também cliques para a aplicação Web, uma loja de aplicações ou a instalação de um baralho do catálogo, bem como pesquisas, filtros, ordenações, mudanças de página e aberturas de baralhos no catálogo público, cliques em ligações externas, cópias do endereço para agentes, a apresentação do aviso de sugestão de idioma e a sua resposta, e a decisão sobre o cookie e o controlo de recolha descritos abaixo. Consoante o evento, inclui o tipo de página, o identificador público da versão do pacote nas páginas de baralhos do catálogo e nas ligações de instalação, a posição da ligação, se um clique para a aplicação Web serviu para iniciar sessão, criar uma conta ou abrir a aplicação, se a resposta sobre o cookie foi dada no aviso ou no controlo de análise desta página, o idioma sugerido, o idioma da interface da página, o idioma do dispositivo comunicado pelo navegador, a versão principal do navegador indicada pelo agente de utilizador e pelas client hints, a categoria da origem e do dispositivo e o identificador analytics_visitor descrito abaixo, quando o navegador o tem. Uma visualização de página também inclui o fuso horário do navegador, se este declara estar controlado por software de automatização, o intervalo de largura do ecrã, o nome do anfitrião do site de origem, retirado de uma lista de motores de pesquisa, redes sociais e assistentes de IA conhecidos e registado como other para outras origens, e os parâmetros utm_source, utm_medium, utm_campaign, utm_content e utm_term do endereço pelo qual chegou ao site, tal como foram escritos e com até 500 caracteres cada. Inclui ainda os valores que o navegador comunica para o nome do motor gráfico, o número de núcleos do processador, a lista completa de idiomas preferidos, as dimensões interiores e exteriores da janela e o número de plug-ins do navegador. As pesquisas, filtragens, ordenações e mudanças de página no catálogo incluem o número de resultados que viu e a sua escolha: a ação de filtragem (adicionar, selecionar, remover ou limpar), a categoria e a quantidade de filtros selecionados, a ordenação ou o número da página e o total de páginas. A abertura de um baralho do catálogo regista o identificador público do baralho e a posição da página a partir da qual o abriu, sem contagem de resultados. Uma pesquisa no catálogo inclui o comprimento do que escreveu. Inclui o próprio texto apenas quando o texto normalizado tem até 64 caracteres e contém apenas letras, sinais combinantes, algarismos, espaços e hífenes. As restantes pesquisas são registadas só pelo comprimento, sem truncar o texto para o incluir. A partir do endereço de origem de cada evento, o servidor deduz um código de país de duas letras e o identificador do operador da rede desse endereço (o número de sistema autónomo), que conserva com o evento. O servidor não conserva o endereço nem deduz esses dois valores para os eventos sem identificadores, descritos abaixo. Usamos estes dados, a versão do navegador, o fuso horário, a indicação de automatização, o intervalo de largura do ecrã e os valores do navegador descritos acima (motor gráfico, núcleos do processador, lista de idiomas, dimensões da janela e número de plug-ins do navegador) para reconhecer tráfego automatizado. Usamos o evento de leitura para perceber se as páginas são lidas. Conservamos esses valores com os eventos enquanto forem necessários para os fins descritos nesta política. Quando o navegador comunica o sinal Global Privacy Control, o site não pede um identificador de visitante nem apresenta o aviso de consentimento. Os eventos continuam a chegar ao nosso coletor sem esse identificador. Todos, exceto os que não têm qualquer identificador, recebem o identificador diário descrito abaixo. Não lemos a definição Do Not Track.

A aplicação Web alojada utiliza cookies estritamente necessários, como otp_session, session, refresh e logged_in, para concluir a autenticação, manter a sessão, renovar o acesso e mostrar o estado da sessão. Se desativar estes cookies, não poderá iniciar sessão no navegador.

O site de divulgação e a aplicação Web alojada partilham um cookie próprio de análise, denominado analytics_visitor. Guarda um identificador de visitante aleatório que os nossos scripts podem ler no navegador e expira ao fim de 13 meses. Usamos este cookie para reconhecer o mesmo navegador entre visitas, de modo que os eventos indiquem um visitante recorrente. O cookie é opcional. A escolha determina se o navegador guarda o identificador. O controlo de recolha do site é distinto e está descrito abaixo. Onde o consentimento é obrigatório, incluindo na UE, no EEE e no Reino Unido, só colocamos o cookie depois de o aceitar. O site pergunta através de um aviso e, até responder, não pede nem inclui qualquer identificador de visitante. Os eventos descritos acima continuam a ser enviados sem esse identificador. Todos, exceto os eventos que não têm qualquer identificador, recebem o identificador diário descrito no parágrafo seguinte. Onde o consentimento não é obrigatório, colocamos o cookie sem perguntar. Em ambos os casos, pode desativá-lo a qualquer momento no controlo de análise desta página ou nas definições da aplicação Web. Nessa altura, apagamos o cookie do navegador e deixamos de o usar. A resposta fica guardada no navegador para não voltarmos a perguntar. Quando o navegador comunica o sinal Global Privacy Control, apagamos o cookie e qualquer resposta que o tenha autorizado. Se o sinal for desativado posteriormente, tratamos o navegador como novo. Onde o consentimento for obrigatório, voltamos a perguntar. Onde não for obrigatório, colocamos o cookie sem perguntar. Uma recusa anterior permanece registada e continua a ser respeitada. Registamos ainda, como eventos, a apresentação do aviso e a resposta sobre o cookie, quer a tenha dado no aviso ou no controlo de análise desta página, que oferece a mesma escolha. O registo da resposta inclui o local onde foi dada. Os eventos de apresentação e de recusa não têm identificador. O evento de aceitação inclui o identificador que acabou de autorizar. Conservamos os eventos enquanto forem necessários para as finalidades descritas nesta política.

Quando um evento chega ao nosso coletor sem o identificador analytics_visitor, por exemplo, porque recusou o cookie, ainda não respondeu ou o desativou, o servidor gera um identificador temporário a partir do endereço IP e do agente de utilizador do navegador que fez o pedido, combinados com um valor aleatório que muda a cada dia UTC e é eliminado no fim desse dia. O endereço IP não é guardado na análise. O identificador só associa eventos do mesmo dia provenientes do mesmo navegador e endereço IP. Nunca é guardado no navegador, associado ao identificador analytics_visitor ou a uma conta, nem anexado ao registo da resposta sobre o consentimento. Não pode ser recalculado depois de ser eliminado o valor aleatório desse dia. Usamo-lo para compreender como os visitantes usam o site, com base no interesse legítimo descrito na secção Finalidades e fundamentos jurídicos. Um navegador que comunique o sinal Global Privacy Control nunca tem o identificador analytics_visitor. Os seus eventos recebem o identificador diário tal como os de qualquer navegador sem o cookie. Os eventos que não têm qualquer identificador não recebem o identificador diário nem o país: a apresentação do aviso de consentimento, a recusa e a desativação ou reativação da recolha no site. Não incluem o identificador analytics_visitor, o identificador diário nem o país. Incluem apenas o que aconteceu e, se se tratar de uma resposta sobre o cookie, onde foi dada.

O controlo de análise desta página inclui a definição para desativar a recolha do site e, ao lado, a opção de consentimento para o cookie de análise descrita acima. Depois de responder ao aviso, essa opção também fica disponível no controlo enquanto a recolha estiver ativa e é apresentada novamente se voltar a ativar a recolha. Se o navegador comunicar o sinal Global Privacy Control, o controlo inclui apenas a definição de recolha. Não colocamos cookies de análise nesse navegador, pelo que não há opção de cookie a apresentar. Ao desativar a recolha, é enviado um último evento que regista apenas a desativação. Ao reativá-la, é enviado o evento correspondente. Nenhum dos dois inclui identificador de visitante, identificador diário ou país. Enquanto a recolha estiver desativada, o site não envia outros eventos sobre a visita para o nosso coletor nem para o Vercel Web Analytics, nem pede um identificador de visitante. Como o coletor não recebe eventos, também não é gerado um identificador diário. A recolha mantém-se ativa até que a desative, com base no interesse legítimo descrito na secção Finalidades e fundamentos jurídicos. Este site não tem contas, pelo que a resposta fica no navegador e só aí se aplica. A aplicação Web alojada tem a sua própria definição, assim como as aplicações para iOS e Android, a partir da versão que a introduz. Ambas são descritas na secção Análise de produto.

Análise de produto

A aplicação Web alojada e as aplicações para iOS e Android enviam-nos eventos de utilização do produto. Os eventos são enviados para a nossa infraestrutura e guardados na nossa base de dados. Não usamos um fornecedor externo de análise para estes eventos.

Os eventos descrevem os ecrãs, a duração e o número de sessões de revisão e o resultado das ações. Podem incluir identificadores da instalação e da sessão e, quando aplicável, do espaço de trabalho e da conta. Estes eventos das aplicações não incluem texto livre, conteúdos de cartões ou baralhos nem o seu endereço de e-mail.

Quando a versão do cliente o permite, o idioma da interface é registado no momento de cada evento, antes de este ser colocado na fila offline. O idioma do dispositivo é distinto e pode ser diferente do idioma da interface. Os perfis de instalação guardam o contexto técnico atual, incluindo a plataforma, as versões da aplicação e do sistema operativo, o idioma do dispositivo e o fuso horário, quando o cliente os comunica. Por motivos de compatibilidade, parte do contexto técnico também permanece em eventos individuais. Os clientes ou eventos mais antigos podem não incluir o idioma da interface. Não deduzimos valores em falta a partir do idioma do dispositivo ou do fuso horário.

Para análise de audiência, estimamos o país da ligação a partir do endereço IP recebido pelo nosso gateway de API nos pedidos diretos elegíveis da aplicação, no máximo uma vez por instalação por dia UTC em que esta se liga. Consultamos o endereço numa base de dados MaxMind GeoLite Country mantida na nossa infraestrutura AWS. O endereço é tratado na memória do pedido. Não é guardado na análise de produto nem enviado para a MaxMind. Os registos de acesso do API Gateway que configuramos omitem o endereço IP em bruto. A infraestrutura de rede continua a tratar endereços IP para responder aos pedidos. O país é aproximado, pode ser desconhecido ou afetado por uma VPN, e não identifica a residência, a nacionalidade nem a localização exata. Os servidores intermediários, os clientes de IA e os pedidos de eventos do site não indicam o país da instalação. Em separado, um evento que chegue ao coletor sem credenciais de conta (os eventos do site descritos acima, os eventos da aplicação Web alojada quando não tem sessão iniciada e os eventos do nosso serviço de autenticação) inclui um código de país de duas letras e um identificador de operador de rede. O servidor deduz esses valores à chegada a partir do endereço de origem do pedido, que pode ser o de um intermediário em vez do seu. Inclui também a versão principal do navegador que enviou o evento, quando o pedido a indica. Guardamos estes dados com o evento, sem guardar o endereço nem deduzir esses valores para eventos sem identificadores. Os eventos das aplicações enviados por uma sessão de convidado ou por uma conta com sessão iniciada, quer da aplicação Web alojada quer das aplicações para iOS e Android, incluem um código de país de duas letras e um identificador de operador de rede deduzidos da mesma forma a partir do endereço que entregou o lote. Os da aplicação Web alojada incluem ainda a versão principal do navegador. Como esse país pertence ao pedido que entrega o lote, um evento colocado na fila offline inclui o país de onde foi enviado, e não o país em que ocorreu. A amostragem do país da instalação, descrita acima, mantém-se e não é aplicada a eventos offline anteriores. Sempre que a aplicação Web alojada abre, comunica ainda se o navegador declara estar controlado por software de automatização, o intervalo de largura do ecrã e os valores que o navegador comunica para o nome do motor gráfico, o número de núcleos do processador, a lista completa de idiomas preferidos, as dimensões interiores e exteriores da janela e o número de plug-ins do navegador. Usamos estes valores juntamente com o país, o identificador do operador de rede e a versão do navegador para reconhecer tráfego automatizado, com base no interesse legítimo descrito na secção Finalidades e fundamentos jurídicos. A definição de análise de produto descrita abaixo interrompe o envio destes dados e dos restantes eventos de utilização do produto. Os valores são conservados com os eventos enquanto forem necessários para as finalidades descritas nesta política.

O histórico de países resulta de observações pontuais. Um período é prolongado enquanto o país observado se mantiver e inicia-se outro quando mudar. Os limites do período não comprovam atividade diária nem presença contínua entre observações. Para o feedback, registamos separadamente o país da ligação quando o envio é aceite pela primeira vez, mesmo que o rascunho tenha sido criado offline.

Este produto inclui dados GeoLite criados pela MaxMind, disponíveis na MaxMind.

A escolha do cookie de análise e a escolha da análise de produto são independentes. Recusar o cookie de análise descrito acima ou retirá-lo mais tarde desativa apenas o identificador de visitante partilhado. Os eventos continuam a ser recolhidos e, enquanto tiver sessão iniciada, associados à sua conta.

A análise de produto tem uma definição própria que permite desativar a recolha. Enquanto estiver desativada, a aplicação não regista nem envia eventos de utilização do produto. A nossa API descarta qualquer lote que, ainda assim, chegue de uma conta ou sessão de convidado que tenha desativado a recolha. A recolha mantém-se ativa até que a desative, pois tratamos estes eventos com base no interesse legítimo descrito na secção Finalidades e fundamentos jurídicos. Por isso, não pedimos consentimento para a recolha e esta mantém-se ativa mesmo que recuse o cookie de análise. A definição abrange apenas os eventos de utilização do produto enviados pelas aplicações. Os relatórios de erros e falhas e os nossos registos de servidor sobre o funcionamento do serviço ficam de fora.

Na aplicação Web alojada, a opção está nas definições da aplicação. A sua resposta fica guardada no navegador e, enquanto tiver sessão iniciada, também na sua conta. Uma conta com a recolha ativa nunca volta a ativá-la num navegador onde tenha sido desativada. As aplicações para iOS e Android guardam a resposta no dispositivo. Quando houver uma conta ou sessão de convidado, também a guardam aí e repetem a tentativa até conseguirem fazê-lo. A resposta guardada no dispositivo determina o que este envia, pelo que uma resposta registada noutro local não pode reativar a recolha nesse dispositivo. Nestas aplicações, a opção aparece nas definições a partir da versão que a introduz. Uma versão publicada sem a opção continua a enviar eventos, mas a nossa API descarta os lotes que cheguem de uma conta ou sessão de convidado que tenha desativado a recolha. Esse descarte depende de uma conta ou sessão de convidado que guarde a sua resposta. Se a instalação não tiver nenhuma das duas, o registo no dispositivo é o que impede o envio. O site de divulgação tem o seu próprio controlo, descrito na secção Análise e cookies, que se aplica apenas ao navegador em que foi usado.

Desativar a opção interrompe a recolha futura. Os eventos já registados não são apagados, pois os eventos de análise de produto só são acrescentados. A eliminação da conta apaga os perfis de instalação associados e anonimiza os eventos conservados, tal como descrito na secção Conservação e eliminação.

IA alojada e clientes de IA externos

A OpenAI é o fornecedor de IA configurado para as funcionalidades alojadas de conversa, transcrição e geração de imagens. Se usar estas funcionalidades, enviamos à OpenAI os dados do pedido necessários para as executar. Podem incluir as suas instruções, o contexto relevante da conversa e do espaço de trabalho, anexos ou imagens, áudio ditado e um identificador de segurança pseudónimo. Os pedidos de texto alojados usam store: false, o que desativa o armazenamento dos objetos de resposta para consulta posterior. Como também usam uma cache de instruções, a OpenAI pode conservar o estado cifrado da aplicação em cache durante até 24 horas. Com os controlos atuais da API da OpenAI, os registos aplicáveis de monitorização de abusos podem ser conservados durante até 30 dias. O serviço de transcrição declara que não conserva conteúdo de monitorização de abusos nem estado da aplicação. A OpenAI não usa dados da API para treinar os seus modelos, salvo se o titular da conta optar expressamente por o permitir.

Desde a publicação que retirou a integração em 12 de outubro de 2026, deixámos de enviar novos dados para o Langfuse Cloud. Os rastos existentes continuam a ser eliminados ao fim de 30 dias na rotina noturna. A remoção da integração não os eliminou imediatamente. Os rastos do Langfuse podem incluir instruções, respostas do modelo, atividade de ferramentas, identificadores de utilizador, do espaço de trabalho e da sessão, e metadados operacionais. A implementação oculta endereços de e-mail e campos que parecem conter segredos. Os rastos personalizados de transcrição excluem os bytes brutos de áudio e os dados dos anexos. Estes rastos históricos foram usados para depuração e análise da qualidade do serviço.

O contexto do espaço de trabalho enviado à OpenAI pode incluir cartões, o histórico de revisões e resultados das ferramentas. As imagens podem incluir fotografias que escolha. Os prazos de conservação da OpenAI estão sujeitos às exceções legais e de segurança da OpenAI, incluindo a conservação de imagens assinaladas para análise.

As versões da aplicação Apple que apresentam um texto de consentimento de IA com versão identificada pedem a sua autorização antes de partilhar dados com a OpenAI. Pode retirá-la nas Definições para interromper novos pedidos de IA dessa instalação. Os pedidos já enviados podem ser concluídos. Registamos comprovativos legais distintos para a concessão e a retirada, mesmo com a análise de produto desativada: o texto exato apresentado, a versão e o idioma, o identificador imutável do evento e a sequência crescente de decisões, o autor autenticado original, o titular atual da conta ou sessão de convidado e os identificadores da instalação, a versão, compilação e plataforma da aplicação e as horas da ação e da receção no servidor. A retirada mantém este histórico enquanto existir a conta ou sessão de convidado. A eliminação da conta ou da sessão de convidado elimina-o, incluindo o histórico de convidado que tenha sido transferido.

Os nossos administradores podem ler o conteúdo das conversas de IA alojadas na nossa base de dados, incluindo as suas instruções, as respostas do modelo e as sugestões apresentadas no campo de texto do chat, para analisar a utilização das funcionalidades de IA e melhorá-las. O acesso a estes conteúdos está reservado aos administradores do operador.

Quando liga o Nibomo a um cliente de IA externo através do serviço MCP remoto ou da API de agentes, os dados que pede ao cliente para obter também são tratados pelo próprio cliente e pelo respetivo fornecedor de IA ou de modelos. Esse tratamento separado é controlado pelo operador do cliente e rege-se pelos termos e pela política de privacidade desse operador.

Subcontratantes e destinatários

Usamos as seguintes categorias de fornecedores para o serviço alojado:

Amazon Web Services (AWS) para alojamento, autenticação através do Cognito, Postgres, armazenamento de ficheiros, cópias de segurança e registos operacionais;
Apple para pagamentos na App Store, verificação de compras e notificações de subscrições;
Google para pagamentos no Google Play, verificação de compras e notificações de subscrições;
Stripe/Link para pagamentos de subscrições na Web, gestão da faturação, cálculo de impostos e notificações de pagamentos;
Resend para e-mails transacionais de autenticação e faturação;
OpenAI para os pedidos opcionais de IA alojada;
Sentry para relatórios de erros e diagnósticos com dados sensíveis removidos, quando ativado no serviço alojado ou na compilação da aplicação em causa;
Vercel para o site de divulgação e para o seu serviço Web Analytics sem cookies; e
Cloudflare para o DNS, a gestão de domínios e a verificação Turnstile que a aplicação Web alojada apresenta antes de criar uma sessão de convidado para um navegador assinalado como possivelmente automatizado. Os registos DNS atuais do Nibomo são apenas DNS, pelo que a Cloudflare não atua como intermediário do tráfego HTTP do site ou da aplicação alojada.

Exigimos que os subcontratantes que atuam em nosso nome deem proteção igual ou equivalente aos dados partilhados ao abrigo desta política e da lei aplicável. A Adenda de Tratamento de Dados da OpenAI faz parte do seu Contrato de Serviços e exige tratamento restrito, confidencialidade, medidas de segurança e garantias para transferências internacionais.

Os dados também podem ser comunicados a outros membros de um espaço de trabalho partilhado, de acordo com as funcionalidades de colaboração do serviço, a um cliente externo que autorize, a consultores sujeitos a dever de sigilo ou a autoridades públicas quando a lei exigir a divulgação.

Transferências internacionais

A aplicação alojada principal funciona na infraestrutura da AWS na União Europeia. A região de e-mail configurada no Resend e a região de dados do Sentry também ficam na Europa. Alguns fornecedores, incluindo a OpenAI, a Vercel e a Cloudflare, podem tratar dados fora do seu país ou do Espaço Económico Europeu. Quando exigido, usamos as decisões de adequação aplicáveis, acordos de tratamento de dados e cláusulas contratuais-tipo ou garantias equivalentes para essas transferências.

Conservação e eliminação

Os dados da conta e dos espaços de trabalho alojados são conservados enquanto a conta ou o espaço de trabalho partilhado em causa estiver ativo. A eliminação da conta retira da base de dados ativa os dados atuais da sua conta, as credenciais, as associações a espaços de trabalho e os espaços de trabalho de que é o único membro. Os conteúdos dos espaços de trabalho que ainda tenham outros membros continuam disponíveis para esses membros.
O histórico de faturação da Apple é conservado após a eliminação da conta para fins contabilísticos, de reconciliação de transações e de declaração, exercício ou defesa de direitos. Substituímos os identificadores internos de utilizador por valores pseudónimos e apagamos os conteúdos guardados das notificações Apple que possam ser atribuídas à conta eliminada. Os identificadores necessários da compra e de atribuição à conta Apple permanecem. A Apple ainda os pode associar a si, pelo que a anonimização não é completa. Eliminar a sua conta Nibomo não cancela a subscrição da Apple. Faça a gestão ou cancele a subscrição através da Apple.
O histórico de faturação da Google é conservado após a eliminação da conta para fins contabilísticos, de reconciliação de transações e de declaração, exercício ou defesa de direitos. Substituímos os identificadores internos de utilizador por valores pseudónimos e apagamos os conteúdos guardados das notificações Google que possam ser atribuídas à conta eliminada. Os tokens de compra e os identificadores de atribuição à conta necessários são conservados. A Google ainda os pode associar a si, pelo que a anonimização não é completa. Eliminar a sua conta Nibomo não cancela a subscrição do Google Play. Faça a gestão ou cancele a subscrição através do Google Play.
O histórico de faturação da Stripe é conservado após a eliminação da conta para fins contabilísticos, de reconciliação de transações e de declaração, exercício ou defesa de direitos. Conservamos notificações Stripe em bruto e descodificadas para efeitos de reconciliação. A eliminação apaga os conteúdos das notificações guardadas que possam ser atribuídas à conta e substitui os identificadores internos de utilizador por valores pseudónimos. Permanecem os registos necessários de clientes, subscrições, transações, períodos experimentais e prevenção de e-mails duplicados. A Stripe ainda pode associar os seus identificadores a si, pelo que a anonimização não é completa. Antes de apagar os dados, confirmamos o cancelamento de futuras renovações do Nibomo através da Stripe. Se não conseguirmos confirmá-lo, a conta não é eliminada.
Os envios pendentes de e-mails de faturação podem manter o destinatário e o conteúdo da mensagem na nossa base de dados até que o Resend aceite a mensagem, o envio seja interrompido ou a conta seja eliminada. A aceitação ou a interrupção apaga esses conteúdos privados. A eliminação da conta também apaga o identificador da mensagem guardado do Resend. Os restantes registos de envio evitam duplicados. Isto não apaga cópias já conservadas pela Stripe ou pelo Resend, cujas práticas de conservação também se aplicam.
Os eventos de análise de produto são conservados depois de a conta ser eliminada. Para os eventos associados à sua conta e às identidades de visitante ligadas, substituímos os identificadores da conta por um valor aleatório e removemos as ligações de identidade. Limpamos os campos de instalação, sessão, espaço de trabalho, pedido, modelo do dispositivo, sistema operativo, idioma do dispositivo e da interface, fuso horário, país, operador de rede, versão do navegador, motor gráfico, número de núcleos do processador, lista de idiomas preferidos, dimensões da janela e número de plug-ins do navegador. Os perfis de instalação associados e o seu histórico de países são eliminados. A remoção de identificadores não garante que os eventos conservados sejam anónimos em todos os contextos.
A eliminação da conta também faz expirar o cookie analytics_visitor no navegador em que é efetuada e reinicia o identificador de sessão de análise desse navegador. Se a sua escolha de análise o permitir, o navegador passa a ser tratado como um novo visitante anónimo, com um novo identificador sem ligação ao anterior. Isto só afeta o navegador usado para eliminar a conta. As cópias noutros navegadores ou dispositivos não são afetadas. Se o navegador bloquear a escrita ou for fechado antes de a concluir, conserva o identificador antigo até este expirar. Os eventos já recolhidos não são alterados. Os eventos registados sem sessão iniciada e nunca associados à sua conta conservam o identificador com que foram registados. A remoção das ligações de identidade descrita acima impede que esse identificador volte a ser associado a si.
Os períodos detalhados de cada país são excluídos das análises de audiência quando a última observação tiver mais de 90 dias. Uma limpeza diária apaga esses períodos. A eliminação física pode demorar até que a limpeza seja concluída com êxito. Um período sem alterações pode ter começado há mais de 90 dias, mas não constitui um registo diário de localização. O primeiro país conhecido é guardado à parte durante toda a existência do perfil de instalação, até que este seja eliminado.
O país associado ao feedback é conservado no respetivo registo e eliminado com este no ciclo de eliminação da conta. A regra de 90 dias do histórico de países não se aplica ao feedback.
Os conteúdos multimédia armazenados são conservados enquanto os conteúdos ativos do espaço de trabalho associado precisarem deles. Quando deixarem de ser referenciados, são eliminados pelo processo de limpeza do armazenamento. Os carregamentos temporários incompletos expiram ao fim de 7 dias.
A base de dados tem 7 dias de cópias de segurança automáticas do RDS e um plano diário separado do AWS Backup com conservação durante 35 dias. Os registos eliminados do serviço ativo podem permanecer em cópias de segurança cifradas até que estas expirem. As cópias destinam-se à recuperação de desastres, não ao acesso normal ao serviço.
Os registos de acesso do API Gateway expiram ao fim de 7 dias. Os restantes registos da aplicação no CloudWatch não têm expiração automática configurada e permanecem até serem eliminados manualmente. Limitamos a sua utilização a operações, segurança e depuração e eliminamos as entradas pertinentes quando necessário para dar cumprimento a um direito aplicável de proteção de dados.
O plano Developer atual do Sentry permite consultar eventos durante 30 dias. O Resend conserva os dados dos e-mails enviados durante 30 dias, de acordo com as atuais definições padrão do serviço.
A conservação de dados pela OpenAI está descrita na secção IA alojada e clientes de IA externos. O Langfuse Cloud elimina os rastos de IA ao fim de 30 dias. O limite de acesso aplicado pelo fornecedor ao nosso projeto elimina todas as noites os rastos mais antigos. Essa eliminação é irreversível. Eliminamos rastos identificáveis quando necessário para dar cumprimento a um pedido de eliminação válido.
A correspondência de apoio e os registos necessários para assuntos legais ou de segurança são conservados apenas durante o tempo necessário para a respetiva finalidade. O hash de visitante da Vercel expira ao fim de 24 horas. As estatísticas agregadas do site são conservadas de acordo com as definições do projeto na Vercel.

A eliminação da conta não remove imediatamente cópias que já existam numa cópia de segurança programada ou num registo de um fornecedor. Essas cópias expiram ou são eliminadas de acordo com os prazos acima, salvo se a lei exigir um prazo superior.

Os seus direitos

Consoante a lei aplicável, pode pedir acesso aos seus dados pessoais, a sua retificação ou eliminação, a limitação do tratamento ou uma cópia em formato portável. Pode também opor-se ao tratamento baseado em interesses legítimos e retirar o consentimento quando o tratamento se basear nele. Estes direitos podem ser limitados nos termos da lei, nomeadamente quando seja necessário conservar dados por obrigação legal ou para proteger os direitos de outra pessoa.

Pode eliminar a sua conta alojada através da aplicação Web, iOS ou Android. Para outros pedidos, contacte-nos pelo endereço abaixo. Poderemos ter de confirmar a sua identidade antes de dar seguimento ao pedido.

Pode apresentar uma reclamação à autoridade de proteção de dados do local onde reside, trabalha ou considera que ocorreu uma infração. Na Bulgária, a autoridade de controlo é a Comissão para a Proteção de Dados Pessoais.

Segurança e código aberto

Usamos controlos de acesso, cifragem em trânsito, armazenamento cifrado na AWS e minimização ou ocultação de dados nos sistemas de diagnóstico. Nenhum serviço pode garantir segurança absoluta.

O código-fonte público permite consultar os percursos documentados de tratamento de dados e a configuração versionada nos repositórios. O código público, por si só, não comprova a configuração ou o comportamento atual do serviço alojado.

Contacto

Para esclarecer dúvidas sobre privacidade ou exercer os seus direitos, escreva para kirill+flashcards@kirill-markin.com ou use a página de apoio.

Idioma

Esta Política de Privacidade é publicada em vários idiomas. Em caso de divergência entre uma tradução e a versão em inglês, prevalece a versão original em inglês.