Privacidade

O que esta política abrange

Abrange este site e a respetiva área Account, a aplicação para Windows, a ativação e a confirmação periódica da licença, as compras, os emails enviados pelo serviço, a ligação opcional entre a Account e o Discord, a passagem dos clientes da loja anterior, as atualizações, o apoio e o servidor da comunidade.

Quem é responsável

A responsável pelos tratamentos aqui descritos é Simona Gioia, que podes contactar através do endereço indicado na página de apoio. As encomendas são vendidas pelo nosso revendedor autorizado, que é o Merchant of Record e é indicado no checkout: é por isso que o seu nome aparece no checkout e no recibo. O que introduzes para pagar, o tratamento fiscal e a fatura de uma encomenda são geridos pelo revendedor como responsável autónomo pelo tratamento, de acordo com a política de privacidade do próprio revendedor.

Podes apresentar um pedido de privacidade através de um ticket no servidor VaxTweaker no Discord, ou escrevendo para o endereço indicado na página de apoio. Para fazer um pedido não precisas de uma Account VaxTweaker e, se escreveres para esse endereço, também não precisas do Discord. A autoridade de controlo competente é a autoridade italiana de proteção de dados (Garante per la protezione dei dati personali); também podes apresentar reclamação à autoridade do país onde vives ou trabalhas.

Não foi designado um encarregado da proteção de dados. Esta avaliação é revista se a escala ou a natureza dos tratamentos mudar.

As licenças pagas destinam-se a pessoas com 18 anos ou mais. Uma pessoa com 16 ou 17 anos só pode usar o produto sob a supervisão de um progenitor ou representante legal que seja titular da licença.

Este site

As páginas deste site não carregam serviços de análise nem incorporam tecnologias de publicidade ou de rastreio. Os tipos de letra são servidos a partir deste mesmo site. Há uma única exceção quanto a scripts de terceiros: a página de pagamento da Account carrega o script de pagamento do nosso revendedor autorizado (Merchant of Record), apenas nessa página, para que o checkout possa abrir. Esse script comunica diretamente com o revendedor, de acordo com a política de privacidade do revendedor.

Um cookie próprio de idioma só é criado depois de escolheres explicitamente um idioma e guarda apenas essa escolha. A Account usa três cookies tecnicamente necessários e nenhum outro: um cookie de sessão, que dura no máximo 12 horas; um cookie de segurança, que protege os formulários contra pedidos enviados a partir de outros sites e não dura mais do que a sessão; e um cookie de início de sessão em curso, que dura enquanto o código for válido, no máximo 10 minutos. O cookie de início de sessão em curso contém também o endereço de email que escreveste, para que não tenhas de o escrever de novo se pedires um código novo; é eliminado quando o início de sessão é concluído ou quando terminas a sessão. Os outros dois contêm apenas referências e tokens opacos, não o teu email. São todos cookies tecnicamente necessários: não são usados para análise nem publicidade e não requerem consentimento. Quando pedes ou verificas um código, o servidor deste site transmite o teu email ou o código ao serviço de Account do VaxTweaker, que funciona no mesmo servidor.

Este site, a Account e o serviço de Account estão alojados pelo nosso fornecedor de alojamento, em servidores na União Europeia. O DNS do domínio é gerido por um fornecedor de DNS. O fornecedor de alojamento recebe necessariamente o que é preciso para entregar uma página: a hora do pedido, o endereço pedido, o endereço IP de onde vem o pedido, os cabeçalhos habituais do navegador e da rede, e os registos de segurança. Este tratamento baseia-se no nosso interesse em entregar e proteger o site (interesse legítimo, art. 6.º, n.º 1, alínea f), do RGPD).

Account

Na Account inicias sessão, compras, vês a tua chave de licença, geres os teus dispositivos e ligas o Discord. Para a criar e manter, tratamos: o teu endereço de email; o nome apresentado e o idioma preferido que escolhes; e o registo da tua aceitação dos Termos, ou seja, a versão, a data, o idioma e um resumo criptográfico do texto aceite. Estes dados são necessários para te prestar o serviço que pedes (execução de um contrato, art. 6.º, n.º 1, alínea b), do RGPD). O registo da aceitação é conservado para provar o que foi acordado, para que nos possamos defender em caso de reclamação (interesse legítimo, art. 6.º, n.º 1, alínea f), do RGPD).

Inicias sessão com um código de 6 dígitos enviado para o teu email. O código é válido durante 10 minutos e só pode ser usado uma vez. Nunca é guardado em forma legível: o serviço guarda apenas um resumo criptográfico calculado com uma chave secreta e elimina-o no prazo de 24 horas.

Para travar abusos, os pedidos e as verificações de códigos são limitados por email e por endereço IP. Para isso, o endereço IP é guardado apenas como resumo criptográfico calculado com uma chave secreta. Os registos do servidor que contêm endereços IP são conservados durante 90 dias. Este tratamento baseia-se no nosso interesse em proteger as Account (interesse legítimo, art. 6.º, n.º 1, alínea f), do RGPD).

Uma sessão dura no máximo 12 horas. Podes terminar a sessão num dispositivo ou em todos. Os registos de sessão são eliminados 30 dias depois de expirarem.

Se nunca comprares nada e não iniciares sessão durante 12 meses, a Account é eliminada. Recebes um email 30 dias antes.

O que fica no teu computador

A maior parte do que a aplicação trata nunca sai do computador. O ficheiro de licença é guardado no teu perfil de utilizador e protegido pelo serviço de proteção de dados do Windows. Os registos de operações, os valores registados e os diários de limpeza são ficheiros locais.

Cada instalação cria uma chave de dispositivo própria; do computador sai apenas a parte pública dessa chave. Para reconhecer o dispositivo, a aplicação lê, em modo só de leitura, alguns identificadores do hardware (por exemplo, o número de série da placa-mãe e do disco) e envia apenas resumos criptográficos desses identificadores, calculados com uma chave diferente para cada licença: os valores originais nunca saem do computador e os resumos não permitem ligar licenças diferentes. Estes dados são necessários para que a licença funcione e para reconhecer o mesmo computador depois de uma reinstalação do Windows (execução de um contrato, art. 6.º, n.º 1, alínea b), do RGPD).

O facto de os dados ficarem guardados no teu computador não significa que a aplicação nunca contacte um servidor. A secção seguinte enumera todos os casos em que o faz.

O que a aplicação envia

A ativação envia ao serviço de Account do VaxTweaker a chave de licença, a versão da aplicação e um pedido assinado com a chave do dispositivo, juntamente com os metadados de ligação que qualquer pedido de rede transporta. O serviço verifica a licença, regista o dispositivo no nosso serviço de licenças e devolve uma prova assinada que mantém o Premium a funcionar offline durante, no máximo, 72 horas. Enquanto a aplicação estiver aberta e online com o Premium ativo, verifica o estado da licença junto do serviço de Account aproximadamente uma vez por minuto, e renova a licença aproximadamente a cada 24 horas e depois de arrancar. A desativação, na aplicação ou na Account, termina a sessão do dispositivo e liberta um lugar. Este tratamento é necessário para executar o contrato de licença (execução de um contrato, art. 6.º, n.º 1, alínea b), do RGPD) e para prevenir a repetição de pedidos (replay) e abusos automatizados (interesse legítimo, art. 6.º, n.º 1, alínea f), do RGPD).

A verificação de atualizações transfere o registo de atualização assinado a partir da origem das atualizações, e uma atualização transfere dali o seu instalador. A versão instalada é comparada com o registo no teu computador e não é enviada.

Um pacote de apoio só é criado se o pedires, e só sai do teu computador quando o envias tu: anexado a um ticket no servidor VaxTweaker no Discord, ou a um email enviado para o endereço indicado na página de apoio. Contém a versão da aplicação, o resumo e os resultados da verificação de diagnóstico que escolheste, a build do Windows e o estado de administrador. Chaves conhecidas, identificadores, tokens, credenciais, nomes de conta e caminhos pessoais são removidos ou mascarados antes de o ficheiro ser escrito. O que acontece depois do envio é explicado na secção Apoio.

Não é enviado mais nada. Não há telemetria de utilização, nem perfil comportamental, nem identificador de publicidade.

Licença e dispositivos

Quando compras o Premium, a licença é criada no nosso serviço de licenças, que funciona no nosso próprio servidor na União Europeia. O serviço guarda a chave de licença e conta os dispositivos em que está ativa, no máximo dois. Não guarda o teu email: o titular da licença fica registado com um endereço pseudónimo derivado de uma referência interna, e cada dispositivo com um identificador pseudónimo. Estes dados são necessários para te dar a licença que compraste (execução de um contrato, art. 6.º, n.º 1, alínea b), do RGPD).

A chave de licença não é guardada na base de dados do serviço de Account. Só o serviço de licenças a guarda, e é lida a partir dele quando é mostrada na tua Account, depois de confirmares um código, e quando te é enviada por email.

Para cada dispositivo, o serviço guarda uma referência interna, o estado e as datas de ativação. Regista também a data da primeira ativação bem-sucedida, porque é ela que determina se o reembolso de 30 dias descrito na página de reembolsos ainda se aplica. Os dados de um dispositivo são conservados enquanto estiver ativo e durante 90 dias após a desativação.

Se eliminares a tua Account, a licença é suspensa de imediato e depois eliminada juntamente com a Account.

Encomendas e pagamentos

As compras fazem-se na Account. A página de pagamento abre neste site, mas o formulário de pagamento é gerido pelo nosso revendedor autorizado, Merchant of Record de todas as encomendas, indicado no checkout. O que introduzes para pagar vai diretamente para o revendedor, de acordo com a política de privacidade do revendedor: nem este site nem o serviço de Account recebem alguma vez um número de cartão ou uma credencial de pagamento.

Para preparar o pagamento, o serviço envia ao revendedor o teu email e uma referência interna da tua Account, para que a encomenda e o respetivo recibo fiquem associados à tua Account. Do revendedor, o serviço recebe o que uma encomenda exige: as referências de cliente e de transação, o plano, o montante, a moeda, o país usado para efeitos fiscais e o estado do pagamento, da renovação, do reembolso ou da contestação. Estes dados são usados para te dar o Premium e para responder a um pedido de apoio (execução de um contrato, art. 6.º, n.º 1, alínea b), do RGPD), e para conservar os documentos exigidos por lei (cumprimento de uma obrigação jurídica, art. 6.º, n.º 1, alínea c), do RGPD). O revendedor emite e conserva a fatura como Merchant of Record. Para cancelar um plano ou alterar o método de pagamento, a Account abre o portal de cliente do revendedor.

Emails

O serviço envia os emails através de um fornecedor de envio de email. São apenas emails de serviço: os códigos de acesso, a chave de licença depois de uma compra, o convite e os avisos sobre a passagem para os clientes da loja anterior, e o aviso antes da eliminação de uma Account inativa. São necessários para o serviço que usas ou que compraste (execução de um contrato, art. 6.º, n.º 1, alínea b), do RGPD). Não enviamos emails promocionais. Alguns alertas técnicos vão apenas para a nossa própria equipa. O fornecedor de envio de email recebe o endereço e o conteúdo de cada email.

Os convites aos clientes da loja anterior dizem respeito apenas à passagem da compra que fizeram, ou seja, ao mesmo serviço que compraram. Enviamo-los porque já és nosso cliente (soft opt-in; interesse legítimo, art. 6.º, n.º 1, alínea f), do RGPD). Cada convite inclui um link para deixares de os receber. Para qualquer outro conteúdo, pedimos-te primeiro o teu consentimento explícito.

Os emails a aguardar envio são guardados cifrados e eliminados 7 dias depois de enviados.

Comunidade

Ligar o Discord é opcional e também é possível com o Free. Quando escolhes ‘Ligar o Discord’ na Account, o Discord pede-te que autorizes a ligação. O serviço recebe então o teu ID de utilizador do Discord, o teu nome de utilizador e o teu nome apresentado. Se escolheres também entrar no servidor da comunidade, o serviço adiciona-te ao servidor. A escolha é tua: a caixa nunca vem assinalada à partida e, sem a tua escolha, não entras no servidor. O acesso que o Discord concede para isso é usado uma única vez e revogado de imediato: não é conservado.

O bot da comunidade lê a ligação para te atribuir o cargo Premium enquanto o teu plano estiver ativo, e para o retirar quando o Premium terminar ou quando desligares o Discord. Quando atribui o cargo, o bot pode enviar-te uma mensagem privada de boas-vindas no idioma da tua Account. Estes tratamentos acontecem porque és tu que pedes a ligação (execução de um contrato, art. 6.º, n.º 1, alínea b), do RGPD).

Quando desligas o Discord, o cargo é retirado de imediato e o teu nome de utilizador e o teu nome apresentado no Discord são eliminados. Durante 30 dias podes voltar a ligar a mesma conta do Discord; depois disso, também o ID do Discord é eliminado. Se eliminares a tua Account, a ligação é eliminada de imediato, exceto o ID do Discord e o ID do servidor, que são conservados no máximo durante 30 dias e apenas para retirar o cargo.

Se entrares no servidor da comunidade, essa plataforma trata o identificador da tua conta, o teu nome apresentado, as tuas mensagens, anexos e cargos de acordo com os próprios termos e a própria política de privacidade. Os moderadores veem o que a plataforma lhes mostra e conservam registos de moderação para a segurança da comunidade.

O servidor da comunidade tem um canal de apoio com tickets privados, descrito na secção Apoio. Nos canais públicos, não escrevas chaves de licença, dados de pagamento ou palavras-passe, e não publiques um ficheiro de diagnóstico nem os dados de uma encomenda.

Clientes da loja anterior

Antes de existir a Account, o VaxTweaker era vendido na Sell.app. Para fazer passar esses clientes, o serviço importou da Sell.app, para cada encomenda: os números de encomenda e de fatura, o plano, a data até à qual estava pago, a data de compra, o país, o email (guardado como resumo criptográfico calculado com uma chave secreta, para te reconhecer) e um resumo criptográfico da chave de licença antiga. A chave antiga em si não é guardada.

Para te enviar o convite para recuperares a licença, o email é também conservado em forma legível até recuperares a licença e, no máximo, até 90 dias após o lançamento da Account.

Os restantes dados importados são conservados até recuperares a tua compra e, em qualquer caso, durante 12 meses no máximo.

Se iniciares sessão com o mesmo email, a licença é encontrada automaticamente. Se o teu email mudou, podes recuperá-la com o número da encomenda e a chave antiga; são permitidas no máximo 5 tentativas por dia. Importamos estes dados e escrevemos-te para que conserves aquilo que pagaste (interesse legítimo, art. 6.º, n.º 1, alínea f), do RGPD). Quando recuperas a licença, os dados são necessários para te dar a licença (execução de um contrato, art. 6.º, n.º 1, alínea b), do RGPD).

Apoio

O apoio funciona através de dois canais: os tickets privados no servidor VaxTweaker no Discord e o endereço de email indicado na página de apoio.

Num ticket, tratamos o que escreves, os ficheiros que anexas (por exemplo, um pacote de apoio) e o teu nome de utilizador do Discord. Num email, tratamos o teu endereço de email, o que escreves e os anexos.

Os tickets no servidor do Discord são tratados pelo Discord, de acordo com os termos e a política de privacidade do próprio Discord, e pelo serviço de tickets que usamos no servidor do Discord. Um ticket pode ser visto por quem o abre, pelos moderadores, pelos administradores e pelo proprietário do servidor. Os emails passam pelo serviço de reencaminhamento de email do nosso domínio e chegam à nossa caixa de correio de apoio, alojada num fornecedor de correio na Suíça.

Usamos estes dados porque és tu que pedes apoio: são necessários para te responder antes ou depois de uma compra e, num pedido sobre uma encomenda ou uma licença, para executar o contrato (diligências pré-contratuais ou execução de um contrato, art. 6.º, n.º 1, alínea b), do RGPD).

As mensagens de um ticket são conservadas enquanto o ticket estiver aberto e eliminadas quando é fechado: não guardamos transcrições dos tickets. Os emails de apoio são conservados durante 24 meses e depois eliminados.

Quem recebe os dados

Os dados pessoais não são vendidos. Só os recebem estes destinatários, cada um para uma tarefa concreta:

• o nosso fornecedor de alojamento: aloja na União Europeia o site, o serviço de Account, o bot da comunidade e a base de dados; guarda também as cópias de segurança cifradas;
• o nosso revendedor autorizado (Merchant of Record), indicado no checkout: gere o checkout, o pagamento, os impostos, a fatura, os reembolsos e o portal de cliente como responsável autónomo pelo tratamento, de acordo com a sua própria política de privacidade, disponível através de uma ligação no checkout; recebe o teu email e uma referência interna da tua Account;
• o fornecedor de envio de email: envia os emails de serviço; recebe o endereço e o conteúdo de cada email;
• Discord: se ligares a tua Account, para o cargo Premium e, se o escolheres, a entrada no servidor; e se abrires um ticket de apoio no servidor do Discord. O Discord trata estes dados como responsável autónomo pelo tratamento, de acordo com a política de privacidade do próprio Discord;
• o serviço de tickets que usamos no servidor do Discord: gere os tickets de apoio que abres lá;
• o serviço de reencaminhamento de email do nosso domínio, nos Estados Unidos, e o fornecedor da nossa caixa de correio, na Suíça: reencaminham e guardam os emails que envias para o endereço indicado na página de apoio;
• o fornecedor de DNS: gere o DNS do domínio.

Os fornecedores que tratam dados por nossa conta (subcontratantes) estão vinculados por um acordo de tratamento de dados (art. 28.º do RGPD).

O nosso revendedor autorizado e o Discord tratam os dados como responsáveis autónomos pelo tratamento, de acordo com as respetivas políticas de privacidade.

Política de privacidade do Discord

Os teus direitos

Nas condições e com as exceções aplicáveis a cada direito, podes pedir:

• o acesso aos dados pessoais que te dizem respeito;
• a retificação dos dados inexatos ou incompletos;
• o apagamento, quando nenhum fundamento legal obrigue a conservar os dados;
• a limitação do tratamento;
• uma cópia num formato de uso corrente e de leitura automática, quando se aplique a portabilidade;
• a oposição a um tratamento baseado num interesse legítimo; e
• a retirada de um consentimento que tenhas dado, em qualquer momento, sem comprometer a licitude do tratamento efetuado anteriormente.

Como exercer um direito

Abre um ticket no servidor VaxTweaker no Discord ou escreve para o endereço indicado na página de apoio, e descreve a encomenda, a licença ou o pedido de apoio em causa. Podem ser pedidas informações proporcionadas para confirmar a tua identidade antes de os dados serem comunicados ou eliminados, para que um pedido não possa ser usado contra ti.

Na Account podes transferir diretamente uma cópia dos dados da tua Account e eliminar a tua Account. A eliminação remove a ligação ao Discord, termina as sessões e os dispositivos e torna a Account anónima; durante os prazos indicados abaixo, conservamos as encomendas que a lei nos obriga a conservar e a prova de que aceitaste os Termos, que guardamos para nos defendermos em caso de reclamação.

Também podes pedir a eliminação da tua Account escrevendo para o endereço indicado na página de apoio.

Um pedido é respondido no prazo de um mês. Quando a lei permitir uma prorrogação para um pedido complexo, és informado antes de o mês terminar.

Durante quanto tempo a informação é conservada

Cada tipo de informação é conservado durante estes prazos:

• códigos de acesso: no máximo 24 horas, e apenas como resumo criptográfico;
• sessões: 30 dias após expirarem;
• registos com endereços IP: 90 dias;
• cópias de segurança: cifradas, substituídas em rotação a cada 30 dias;
• prova da aceitação dos Termos: durante a vida da Account e 10 anos depois;
• dados da Account (email, nome, idioma): durante a vida da Account; uma Account que nunca fez uma compra é eliminada após 12 meses sem início de sessão, com um aviso prévio de 30 dias por email;
• encomendas: durante o prazo exigido por lei; as faturas são conservadas pelo nosso revendedor autorizado como Merchant of Record;
• licença: durante a sua vigência; se eliminares a tua Account, a licença é suspensa de imediato e eliminada juntamente com a Account;
• dispositivos: enquanto estiverem ativos e 90 dias após a desativação;
• ligação ao Discord: até a desligares; quando a desligas, o nome de utilizador e o nome apresentado no Discord são eliminados de imediato e o ID do Discord no prazo de 30 dias;
• emails a aguardar envio: eliminados 7 dias após o envio;
• endereços de email dos clientes da loja anterior, conservados em forma legível para o convite: até recuperares a licença, no máximo até 90 dias após o lançamento da Account;
• outros dados importados da loja anterior: até recuperares a tua compra, no máximo 12 meses;
• tickets de apoio no servidor do Discord: enquanto o ticket estiver aberto; depois, eliminados quando é fechado, sem transcrições;
• emails de apoio: 24 meses.

O ficheiro de licença local, os registos de operações e os diários no teu computador são teus: ficam até os removeres.

Onde a informação é tratada

O servidor, a base de dados e as cópias de segurança do serviço estão na União Europeia. Alguns dos destinatários indicados acima tratam dados fora do Espaço Económico Europeu. Eis a base de cada transferência:

• fornecedor de envio de email, nos Estados Unidos: certificação ao abrigo do Quadro de Privacidade de Dados UE-EUA, além de cláusulas contratuais-tipo;
• fornecedor de DNS, com sede nos Estados Unidos e rede global: cláusulas contratuais-tipo e certificação ao abrigo do Quadro de Privacidade de Dados UE-EUA;
• Discord, nos Estados Unidos: certificação ao abrigo do Quadro de Privacidade de Dados UE-EUA e cláusulas contratuais-tipo, conforme indicado na política de privacidade do Discord;
• o nosso revendedor autorizado (Merchant of Record): as suas eventuais transferências para fora do Espaço Económico Europeu, e as garantias em que assentam, são descritas na sua própria política de privacidade, disponível através de uma ligação no checkout;
• serviço de tickets no servidor do Discord, no Reino Unido, com cópias de segurança na Suíça: decisões de adequação relativas ao Reino Unido e à Suíça;
• fornecedor da caixa de correio de apoio, na Suíça: decisão de adequação relativa à Suíça;
• Os emails que envias para o endereço de apoio passam por um serviço de reencaminhamento do nosso domínio nos Estados Unidos, que os entrega na nossa caixa de correio na Suíça. A transferência serve para receber e tratar o teu pedido (art. 49.º, n.º 1, alínea b), do RGPD).

Não afirmamos que os dados nunca saiam do Espaço Económico Europeu. Podes pedir ao apoio uma cópia das garantias utilizadas.

Segurança

Em vigor hoje: as ligações usam TLS 1.3; o serviço de Account não está acessível a partir da internet a não ser através do site; os códigos de acesso e os endereços IP usados para os limites são guardados apenas como resumos criptográficos; a chave de licença só é guardada pelo serviço de licenças, não na base de dados do serviço de Account; os emails a aguardar envio estão cifrados; as cópias de segurança são cifradas com uma chave que não fica no servidor. No teu computador, a licença está protegida pelo serviço de proteção de dados do Windows, os pedidos de rede são limitados e assinados, e o pacote de apoio é limpo antes de ser escrito.

Nenhuma medida elimina todo o risco. Os dados pessoais não são vendidos.

Alterações a esta política

Quando esta política mudar, a data atualizada e um resumo da alteração substancial são publicados nesta página.

O que ainda não está em funcionamento

Para que fique claro, eis o que não acontece.

• Este site e o serviço de Account não processam pagamentos nem guardam meios de pagamento: os pagamentos são geridos pelo nosso revendedor autorizado (Merchant of Record), indicado no checkout.
• As páginas deste site não carregam serviços de análise, gestores de etiquetas nem tecnologias de publicidade. O único script de terceiros é o do nosso revendedor autorizado, na página de pagamento.