Política de privacidade

O ViaLooma foi concebido para recolher o mínimo de dados possível: sem publicidade, sem revenda de dados, com uma medição de audiência sem cookies e sem rastreadores sujeitos a consentimento. Esta página descreve com precisão que dados tratamos, porquê, com quem e durante quanto tempo.

1. Responsável pelo tratamento

O responsável pelo tratamento é a Waypoint Factory SAS, 180 chemin du Plateau, 73240 Avressieux, France (mais detalhes no aviso legal). Contacto de privacidade: o nosso formulário de contacto ou o endereço de e-mail indicado no aviso legal.

2. Dados tratados, finalidades e bases jurídicas

Tratamos os seguintes dados, por categoria:

• Conta — o seu endereço de e-mail, a sua senha (armazenada apenas sob a forma de hash, nunca em claro), o seu nome e sobrenome, o seu pseudónimo público (apenas este aparece nos conteúdos que partilha) e a sua foto de perfil, se carregar uma (opcional, apagável a qualquer momento; nunca é importada nenhuma da Google ou da Apple). Finalidade: fornecer o serviço e assegurar a autenticação. Base: execução do contrato. Na mesma base conservamos dois indicadores derivados desse endereço: se está confirmado e se o respetivo domínio é um serviço de endereços descartáveis — o segundo limita a dotação de IA da conta.
• País — na criação da conta, é deduzido da sua rede um código de país aproximado (apenas o código ISO, p. ex. «PT»), sem que o seu endereço IP seja armazenado para o efeito; pode ainda indicar que país gostaria de ver aberto (corrigível em «A minha conta»). Finalidade: priorizar a abertura de novas regiões e, apenas com o seu consentimento de marketing, enviar um aviso da abertura. Bases: interesse legítimo (país deduzido) e consentimento (país desejado).
• Consentimento de marketing — a sua escolha de opt-in (com dupla confirmação), as respetivas marcas temporais, a origem e o estado de cancelamento da inscrição. Base: consentimento; a conservação da prova é uma obrigação legal.
• Dados de início de sessão — o fornecedor utilizado na criação da conta e no último início de sessão (e-mail, Google ou Apple) e a data deste último. Finalidade: estatísticas de utilização e segurança da conta. Base: interesse legítimo.
• Conteúdos criados — os seus itinerários (etapas, datas), favoritos, «corações», notas livres, a sua seleção de lugares, e os lugares que cria com as respetivas fotos. As notas e os itinerários privados não são visíveis para mais ninguém; os conteúdos partilhados mostram apenas o seu pseudónimo. A seleção de lugares — os lugares reunidos antes de construir uma viagem — contém apenas dados públicos sobre esses lugares (nome, posição, país, município, tipo) e a data em que foram acrescentados; um lugar retirado dos nossos dados continua nela, assinalado como indisponível, e no início de sessão um lugar da seleção do seu dispositivo que os nossos dados já não conhecem é copiado tal como o dispositivo o descrevia, apenas para apresentação. A seleção consta da exportação dos seus dados e é apagada com a sua conta. Base: execução do contrato.
• Pesquisa de lugares — o que escreve para procurar um lugar, uma cidade ou uma região serve apenas para responder à pesquisa: não é guardado nem fica nos nossos registos técnicos. A região apresentada no mapa no momento de criar uma viagem é guardada com ela: uma referência ao nosso catálogo público de regiões, que nada diz a seu respeito.
• Conversas com a assistente de IA — as mensagens trocadas com a «Looma» são guardadas nos nossos servidores — na sua conta ou, para uma conversa «Looma, inspira-me» iniciada sem conta, num fio anónimo conservado 48 horas — e transmitidas à Anthropic para gerar as respostas (ver secção 3). Base: execução do contrato.
• Assinatura — o estado e o período da sua assinatura e o identificador de cliente atribuído pela Paddle. Os seus dados de pagamento (cartão, endereço de faturação) são tratados pela Paddle e nunca passam pelos nossos servidores. Base: execução do contrato.
• Registos técnicos — o seu endereço IP aparece transitoriamente nos registos técnicos do nosso alojamento (conservados 7 dias), para fins de segurança e de combate a abusos (limitação de pedidos). As nossas sessões não conservam nem o endereço IP nem a impressão do navegador. Uma única exceção, delimitada: para limitar o teste gratuito da Looma sem conta a três trocas por dia, conservamos até ao dia seguinte um contador indexado por uma impressão com chave do seu endereço (um HMAC salgado com a data) — nunca o endereço em si, e nenhum identificador estável de um dia para o outro. Base: interesse legítimo (segurança).
• Medição de audiência — estatísticas agregadas e anónimas (Cloudflare Web Analytics), sem cookies nem identificadores individuais. Base: interesse legítimo.

3. A assistente de IA «Looma»

Quando usa o chat, as mensagens que escreve — juntamente com o contexto de viagem necessário à resposta (etapas, lugares) — são transmitidas à Anthropic (Estados Unidos), o fornecedor do modelo, através da gateway Cloudflare AI Gateway. Nunca acrescentamos o seu nome nem o seu e-mail a esses pedidos. A transferência está enquadrada por um acordo de tratamento de dados e pelas cláusulas contratuais-tipo; o processamento (inferência) pode ser realizado fora da União Europeia, e a Anthropic apenas conserva as trocas por um período limitado. As conversas ficam guardadas na sua conta para poder retomar o fio; são apagadas juntamente com a conta. Sem conta, a conversa «Looma, inspira-me» (três trocas no máximo) é conservada num fio anónimo, sem identificador pessoal, durante 48 horas e depois apagada; se iniciar sessão entretanto, passa para a sua conta. Está a dialogar com uma inteligência artificial, cujas respostas podem ser inexatas. Conselho: não escreva dados sensíveis no chat (saúde, religião, etc.) — nunca são necessários para preparar uma viagem.

No chat de uma etapa, para uma informação que muda (horários, preços, encerramentos, obras), a Looma pode fazer uma pesquisa na web. A consulta é formulada pela Looma a partir da pergunta feita no chat e do local em causa, e executada pela ferramenta de pesquisa web da Anthropic — nunca com o seu nome nem com o seu endereço de e-mail. As páginas consultadas são citadas sob a resposta e conservadas com a conversa.

4. Cookies e armazenamento local

Nenhum cookie publicitário nem analítico: a medição de audiência é feita sem cookies e não é utilizado qualquer rastreador sujeito a consentimento — daí a ausência de banner. Os cookies depositados são todos funcionais:

• cookie de sessão (30 dias) — mantém a sessão iniciada; estritamente necessário;
• cache de sessão assinada (5 minutos) — acelera a verificação da sua sessão; estritamente necessária;
• rt_lang (6 meses) — o seu idioma de apresentação;
• rt_draft (6 meses) — reencontra o seu rascunho de itinerário em curso;
• rt_optin e rt_wish (30 minutos) — finalizam a criação de uma conta (escolha de marketing, país desejado);
• rt_deleted (5 minutos) — mostra a confirmação após a eliminação de uma conta;

O armazenamento local do seu navegador (localStorage) conserva o tema de apresentação, o idioma e o seu rascunho local, bem como os contadores dos limites de utilização — a hora das suas últimas ações, que permite desativar um botão antes de o servidor recusar. Um endereço de e-mail nunca lá figura em claro, apenas sob a forma de hash e durante uma espera de alguns minutos; o que expirou é apagado. O armazenamento de sessão (sessionStorage) guarda, enquanto a janela estiver aberta, o identificador da sua conversa «Looma, inspira-me» em curso.

Sem conta, a sua seleção de lugares também é guardada aí, com a chave roadtrip:selection1: lugares públicos que escolheu, apenas no seu dispositivo e para o serviço que pediu — um armazenamento funcional, que dispensa banner. É esvaziada quando uma viagem é construída a partir dela, quando passa para a sua conta no início de sessão, e ao terminar sessão. A sua conservação não é garantida: o Safari pode apagar este armazenamento após 7 dias sem visitas ao site.

5. Destinatários, subcontratantes e transferências

Os seus dados não são vendidos nem partilhados para fins comerciais. São tratados pelos seguintes prestadores — em conformidade com o RGPD e com a lei suíça de proteção de dados (nLPD), indicamos para cada um o país de destino e as garantias das transferências para fora da UE:

• Cloudflare (Estados Unidos) — alojamento (servidores, base de dados, armazenamento), CDN, medição de audiência sem cookies, proteção anti-robô Turnstile (consulte a Adenda de privacidade do Turnstile da Cloudflare), registos técnicos e gateway de IA. Garantias: certificação Data Privacy Framework e cláusulas contratuais-tipo.
• Brevo (França, UE) — envio dos e-mails transacionais e, com o seu consentimento, dos de marketing.
• Paddle (Reino Unido / Estados Unidos) — o nosso revendedor (Merchant of Record): cobra os pagamentos e emite as faturas na qualidade de responsável pelo tratamento independente. Recolhe o seu e-mail, o seu endereço de faturação e o seu meio de pagamento segundo a política de privacidade da própria Paddle. Quando a página Premium apresenta o preço na sua moeda, o seu navegador consulta a Paddle, que deduz o país a partir do seu endereço IP. Garantias: decisão de adequação para o Reino Unido, cláusulas contratuais-tipo.
• Anthropic (Estados Unidos) — geração das respostas da assistente de IA e, no chat de uma etapa, pesquisa web (secção 3). Garantias: acordo de tratamento de dados e cláusulas contratuais-tipo.
• Oracle Cloud — alojamento do nosso próprio servidor de cálculo de itinerários (ADR-049): apenas as coordenadas das etapas por lá transitam, sem qualquer identificador de conta. Em caso de indisponibilidade, o cálculo passa para OpenRouteService / HeiGIT (Alemanha, UE), que recebe então as mesmas coordenadas.
• EOX (Áustria, UE) — fundo de mapa de satélite: o seu navegador carrega as imagens do mapa diretamente junto da EOX, que vê assim o seu endereço IP.
• OpenFreeMap (distribuído pela Cloudflare) — os dados cartográficos do mapa: estradas, fronteiras e nomes de lugares sobre o fundo satélite, e todo o fundo « mapa ». Assim que um mapa é apresentado, o seu navegador carrega as imagens do mapa diretamente junto da OpenFreeMap, que vê assim o seu endereço IP.
• Wikimedia Foundation (Estados Unidos) — fotos dos locais: a maioria é re-alojada por nós, mas as que ainda não o foram são carregadas diretamente pelo seu navegador a partir do Wikimedia Commons, que vê assim o seu endereço IP.
• Google / Apple (Estados Unidos) — apenas se escolher o respetivo início de sessão, unicamente para a autenticação.

6. Prazos de conservação

• conta e conteúdos: até à eliminação da sua conta;
• sessões: 30 dias — uma limpeza automática diária purga as sessões expiradas e os tokens de verificação expirados;
• rascunhos anónimos (sem conta): 90 dias de inatividade;
• seleção de lugares de uma conta: até uma viagem ser construída a partir dela, os seus lugares serem retirados ou a conta ser eliminada; sem conta, apenas no seu dispositivo (secção 4);
• contador do teste da Looma sem conta (impressão com chave do endereço, salgada com a data): até ao dia seguinte;
• conversas «Looma, inspira-me» sem conta: 48 horas;
• contadores de utilização da assistente de IA: 2 meses;
• registos técnicos: 7 dias;
• estatísticas agregadas (sem identificadores): 90 dias;
• prova do consentimento de marketing: enquanto a conta existir;
• faturação: a Paddle conserva as faturas de acordo com as suas obrigações contabilísticas (cerca de 10 anos); a eliminação da sua conta junto de nós não apaga, portanto, as faturas na posse da Paddle.

7. Os seus direitos

Tem os direitos de acesso, retificação, apagamento, limitação, oposição e portabilidade (arts. 15.º a 21.º do RGPD):

• acesso e portabilidade — botão «Transferir os meus dados» em «A minha conta»: exportação completa e imediata num formato estruturado (JSON);
• retificação — diretamente em «A minha conta»;
• apagamento — «Eliminar conta»: efeito imediato e definitivo, incluindo o cancelamento da assinatura em curso (também é possível cancelar apenas a assinatura, a qualquer momento, a partir de «A minha conta» ou da página de cancelamento);
• oposição ao marketing — link «Deixar de receber estes e-mails», presente em cada e-mail de marketing, ou a partir de «A minha conta»;
• limitação e outras oposições — através do nosso formulário de contacto.

Respondemos no prazo de um mês. Pode também apresentar uma reclamação junto da CNIL (cnil.fr), autoridade principal, ou da autoridade de controlo do seu país de residência.

8. Dados de lugares de fontes abertas

As fichas de lugares apresentadas provêm de bases de dados abertas: OpenStreetMap, Wikidata, Wikimedia Commons e GeoNames. Podem conter contactos profissionais — telefone, e-mail ou endereço de um estabelecimento — que, quando o negócio é explorado em nome próprio, constituem dados pessoais. Finalidade: informação turística; base: interesse legítimo. Se for a pessoa em causa, pode pedir a correção ou o apagamento dessas informações através do nosso formulário de contacto (assunto «Um lugar»).

9. Segurança

Encriptação em trânsito (HTTPS), senhas armazenadas apenas sob a forma de hash, tokens de acesso Google/Apple encriptados em repouso, compartimentação rigorosa dos conteúdos privados e acessos restritos aos sistemas.

10. Menores

O ViaLooma não se destina a menores de 16 anos, que não devem criar uma conta.

11. Alterações

Esta política pode mudar; a data da última atualização consta no topo da página.