Sem conta, nada sai do aparelho
Enquanto você não entrar com uma conta, suas notas, as coordenadas delas, suas fotos, suas gravações e os arquivos que você anexar existem apenas no armazenamento do aplicativo no seu telefone. Não há servidor envolvido, e nós não temos acesso a nada disso.
O sistema operacional pode incluir esses arquivos no backup do próprio aparelho (iCloud no iOS, backup do Android), porque eles ficam na área de documentos do aplicativo. Esse backup é seu e é governado pela política da Apple ou do Google, não por esta.
O que guardamos quando você tem conta
Criar uma conta é o que permite que a mesma nota apareça em dois aparelhos e que uma pasta chegue a outra pessoa. Para isso, passamos a guardar no servidor:
- Identificação: seu endereço de e-mail, se você entrou por e-mail; um identificador opaco fornecido pela Apple ou pelo Google, se entrou por um deles (nunca a sua senha, que não passa por nós); o nome que você exibe; o seu @, se você escolher um; e a sua foto de perfil, se você enviar uma.
- Conteúdo: o título e o texto de cada nota, a coordenada e a precisão do ponto onde ela foi escrita, a pasta em que está, as datas de criação e alteração, e os arquivos que você anexar.
- Compartilhamento: para quem você deu acesso a quê, e com qual nível de acesso: leitura ou edição.
- Operação: sessões ativas, os números de sequência que fazem a sincronização saber o que já chegou, os lembretes que você tiver criado, quais notas você já abriu (para marcá-las como lidas) e, se você permitir notificações, o identificador de notificação de cada aparelho.
- Etapas no portal, só dados genéricos: para entender por que algumas pessoas não concluem a compra de um grupo, guardamos, por conta, o nome de uma etapa de uma lista fixa (por exemplo, “chegou ao pagamento”) e a data da primeira vez em que ela foi alcançada. Só isso. Não guardamos o que você leu, onde clicou, quantas vezes voltou, nem o conteúdo de nenhuma nota, e nenhuma coordenada entra nesse registro. Ele não vai para terceiros, só aparece para a nossa equipe em contagens, nunca por pessoa, e é apagado junto com a conta. Isso existe só no portal: o aplicativo não envia nada disso.
Dados do Google (Entrar com o Google)
Entrar com o Google é opcional. Quando você o usa, o Google entrega ao nosso servidor um token de identidade com estes dados da sua conta Google, e nada além deles: o seu endereço de e-mail, o seu nome, a URL da sua foto de perfil e um identificador opaco da conta. Pedimos apenas os escopos básicos de identificação (openid, email e profile). Não pedimos acesso ao seu Gmail, Google Drive, Agenda, Contatos, Fotos nem a qualquer outro serviço do Google, e não lemos nada da sua conta Google depois do login.
- Para que usamos: o e-mail e o identificador reconhecem a sua conta nas próximas vezes em que você entrar; o nome e a foto aparecem nas suas notas e para as pessoas com quem você compartilha uma pasta, para que saibam quem escreveu o quê.
- Onde ficam: no nosso banco de dados PostgreSQL, hospedado na Railway, junto com o resto da sua conta.
- Com quem compartilhamos: com ninguém. Esses dados não são vendidos, alugados, usados para publicidade nem transferidos a terceiros, exceto à infraestrutura de hospedagem citada abaixo, que os guarda em nosso nome, ou quando a lei exigir.
- Como apagar: ao apagar a conta em Ajustes, o e-mail, o nome, a foto e o identificador do Google são apagados junto com o resto dos seus dados. Você também pode revogar o acesso do Asterisco na página de segurança da sua conta Google (myaccount.google.com/permissions), ou pedir a exclusão por contato@asterisco.app.
O uso e a transferência, para qualquer outro aplicativo, das informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Uso Limitado (Limited Use). Usamos esses dados somente para oferecer e melhorar as funções visíveis do Asterisco, não os usamos para publicidade, não os usamos para treinar modelos e nenhuma pessoa os lê, salvo com o seu consentimento, para segurança, para cumprir a lei ou quando forem dados agregados e anonimizados.
Localização
A localização é lida apenas com o aplicativo aberto na tela. O aplicativo não acompanha você em segundo plano.
A única exceção é o lembrete: se você ligar um lembrete para uma nota específica, o sistema precisa avisar o aplicativo quando você passar perto dela, e só então a permissão de localização em segundo plano é pedida, com uma explicação na tela, no momento em que você liga o lembrete. Desligar os lembretes encerra isso. Quem não usa lembretes nunca recebe esse pedido.
Coordenadas nunca aparecem em endereços de página nem em registros de log. Elas viajam no corpo das requisições, e o servidor remove qualquer coordenada antes de escrever uma linha de log.
O que não fazemos
- Nenhum SDK de analytics de produto, de atribuição ou de publicidade está embutido no aplicativo, no portal ou na API; as etapas descritas em Operação são registradas pelo nosso próprio servidor, sem biblioteca de terceiros. As páginas públicas do site (início, funcionalidades, grupos, preços, baixar, blog, ajuda e estes textos) contam visitas com a Vercel Web Analytics, sem cookies: ela recebe o endereço da página, de onde a pessoa veio, o país e o tipo de navegador, e nada mais. Ela não roda no aplicativo nem no portal. A única biblioteca de terceiros que fala com o seu fornecedor a partir do telefone é a de login do Google, e só se você escolher Entrar com o Google. Isso é verificável no código do projeto.
- Nenhuma coordenada é enviada a terceiros para fins de medição, nem agregada, nem “anonimizada”.
- Não vendemos, alugamos nem cedemos seus dados. Não trabalhamos com corretores de dados de localização.
- Não há notas públicas e não há “pessoas por perto”. Ninguém encontra você pelo mapa. Quem sabe o seu @usuário pode procurar por ele e ver só o seu nome e a sua foto, nunca um endereço de e-mail nem um lugar; dá para desligar isso nos Ajustes.
- Não construímos perfil de comportamento: o único registro de uso são as poucas etapas genéricas descritas acima, a primeira vez de cada uma. E não usamos o seu conteúdo para treinar modelos.
Quem mais pode ver suas notas
Somente quem você escolher. Compartilhar é sempre um ato explícito: você abre uma pasta ou uma nota e dá acesso a uma pessoa específica. Antes de mover uma nota para uma pasta compartilhada, o aplicativo nomeia quem passará a ter acesso.
Ao retirar o acesso, o servidor anuncia a retirada e o conteúdo é apagado do aparelho da outra pessoa na sincronização seguinte. O que ela tiver copiado para fora do aplicativo antes disso, naturalmente, não está mais ao nosso alcance.
Quando você escreve sobre outras pessoas
Uma nota pode acabar contendo dados de alguém que não usa o Asterisco, como o endereço de uma casa, o nome de quem atendeu ou algo que a pessoa disse. Isso é conteúdo seu, escrito por você, e nós não o inspecionamos.
Quem decide o que é anotado é você, e a responsabilidade por esses dados é sua. Vale o princípio mais simples: guarde o mínimo que a sua finalidade exige. Um endereço marcado como “não voltar aqui” cumpre a finalidade; o nome, a religião, a opinião ou o estado de saúde de quem mora ali não cumprem, e não deveriam estar numa nota.
Se alguém nos procurar pedindo a exclusão de dados pessoais que estejam dentro das notas de outra pessoa, o pedido será encaminhado a quem escreveu a nota, porque é essa pessoa quem decide o que fica registrado. Nosso contato para isso é contato@asterisco.app.
Com quem os dados trafegam
Para funcionar com conta, o serviço se apoia em alguns fornecedores, cada um com uma função bem delimitada:
- Railway: hospeda a API e o banco de dados PostgreSQL onde suas notas ficam.
- Vercel: hospeda o site e o portal e conta as visitas às páginas públicas do site, sem cookies.
- Cloudflare R2: guarda as fotos, as gravações e os arquivos (documentos) anexados. Um arquivo anexado fica guardado junto da nota, como uma foto ou uma gravação, e só é baixado, nunca aberto, a partir do nosso armazenamento.
- Resend: entrega o e-mail com o código de acesso, quando você entra por e-mail. Recebe o seu endereço e o código, nada mais.
- Apple e Google: apenas se você usar “Entrar com a Apple” ou o login do Google, e sob as políticas deles.
- Expo: entrega as notificações do aplicativo, e só se você as permitir. Recebe o identificador de notificação do aparelho e o texto da notificação (quem compartilhou o quê com você), nunca coordenadas.
O mapa do aplicativo é o do próprio sistema (Apple Maps no iOS, Google Maps no Android), e o que você olha no mapa é tratado por eles sob suas próprias políticas. O portal na web desenha o mapa com blocos do OpenStreetMap.
Por quanto tempo
Notas apagadas viram marcas de exclusão, que é o que faz o apagamento chegar aos seus outros aparelhos, e essas marcas são varridas depois de 90 dias.
Apagar a conta apaga as suas linhas e os seus arquivos, e anuncia a retirada de todo acesso que você tinha concedido, de modo que o conteúdo compartilhado saia também dos aparelhos das outras pessoas. Isso é feito pelo próprio aplicativo, em Ajustes, sem pedir nada a ninguém.
Você pode exportar tudo a qualquer momento, em GeoJSON e Markdown. Sair daqui levando o seu conteúdo é uma função do produto, não um favor.
Crianças
O Asterisco não é dirigido a menores de 13 anos e não coleta conscientemente dados de crianças dessa idade.
Mudanças e contato
Se esta política mudar de forma relevante, a data no topo muda junto e o aviso aparece no aplicativo. Dúvidas, pedidos de acesso ou de exclusão: contato@asterisco.app.