Política de privacidade

Esta política explica quais dados o app Lunalulu e o seu site tratam, por quê, com qual base, com quem e por quanto tempo, nos termos do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados, RGPD) e da lei francesa n.º 78-17 de 6 de janeiro de 1978 sobre informática, arquivos e liberdades. O app conta histórias com a voz de um pai ou de uma mãe: a sua voz é um dado pessoal, e descrevemos abaixo, sem omitir nada, o que acontece com ela. Esta tradução é informativa; prevalece a versão francesa.

1. Controlador

BAUGEY MATHEO, empresário individual (EI), nome comercial DEVOLIM
248 rue de Bègles, 33800 Bordeaux, França
SIREN 948 000 757
E-mail: [email protected]

O editor não nomeou encarregado de proteção de dados: qualquer pergunta ou pedido sobre os seus dados é tratado diretamente por ele, no endereço acima.

2. Nossos princípios

• Nenhuma conta para criar: nunca pedimos nome, e-mail, número de telefone ou senha.
• A sua voz só sai do seu celular depois do seu consentimento explícito, dado em uma tela que explica o que acontece.
• Depois de enviada, a sua gravação não fica guardada nem no seu celular nem nos nossos servidores (a Cartesia, que cria a sua voz sintética, a guarda até a exclusão: seção 3.2). Se não pôde ser enviada, ela espera no espaço privado do app, fora dos backups, por no máximo 30 dias.
• Você pode excluir a sua voz, e tudo o que foi preparado com ela, a qualquer momento pelo app.
• Nenhuma publicidade, nenhum perfil publicitário, nenhuma geolocalização.
• Nenhum dado vendido, alugado, trocado ou cedido, a ninguém.
• As estatísticas de uso nunca contêm a sua voz, o texto das suas histórias nem o título das histórias ouvidas. Única exceção, se você preencher: a resposta livre "De outro jeito" do início (seção 5.6).

3. A sua voz

3.1 O que é gravado e enviado

Para que as histórias sejam contadas com a sua voz, você grava no app uma breve amostra da sua voz, de algumas dezenas de segundos, lendo em voz alta um texto sugerido. Você pode ouvi-la e recomeçar antes de enviá-la. Nada é enviado enquanto você não der o seu consentimento.

Depois do seu consentimento e da confirmação do envio, a amostra é transmitida, criptografada, à nossa função de servidor (Google Cloud Functions, região europe-west1, na Bélgica), com a versão do consentimento que você aceitou e o idioma do app (um dos idiomas oferecidos pelo app). O nosso servidor verifica o formato e a duração da amostra e a envia à Cartesia, a nossa fornecedora de síntese de voz, que cria a partir dela uma voz sintética (clonagem de voz) nesse idioma: é nesse idioma que a sua voz conta as histórias. O nosso servidor não guarda nenhuma cópia da amostra, e o app a apaga do celular assim que o envio dá certo.

Se o envio não der certo na hora (sem rede, servidor indisponível, limite de uso atingido), você continua usando o app normalmente: a amostra fica no seu celular, no espaço privado do app, fora dos backups do iCloud e do Google, com a versão do consentimento que você deu, e o app a envia de novo sozinho um pouco depois (ao abrir, quando a rede volta, em intervalos crescentes). Ela é apagada assim que o envio dá certo, se você tocar em "Não enviar" na tela inicial, "Excluir minha voz" ou "Apagar tudo", e no máximo 30 dias depois da gravação. Ela nunca é enviada sem o consentimento que você deu: se você o retirar, ela é apagada sem ser enviada.

3.2 O que é guardado

• Na Cartesia: a amostra da sua voz recebida para criar a voz sintética e a própria voz sintética. As duas são guardadas até você excluir a sua voz ("Excluir minha voz", uma nova gravação que a substitui, "Apagar tudo") ou, na falta disso, até a exclusão automática após 12 meses sem abrir o app. A Cartesia as trata por nossa conta, como operadora, no âmbito do seu aditivo de tratamento de dados (Data Processing Addendum), que rege a transferência para os Estados Unidos pelas cláusulas contratuais-tipo da Comissão Europeia (seção 8).
• Nos nossos servidores (Google Cloud Firestore, na Europa): para cada voz, o seu identificador técnico na Cartesia, em um espaço que não pode ser lido pelo app, a sua data de criação e a versão do consentimento dado, que comprovam o consentimento, o seu idioma e, se você der um, o nome que a identifica no app ("Quem está falando?").

3.3 Para que serve a sua voz

A sua voz sintética serve para ler os trechos do narrador das histórias que você escolhe ouvir com ela, com a oferta Lunalulu+. Esses trechos são lidos pela Cartesia com a sua voz e depois montados pelo nosso servidor com as falas dos personagens, gravadas de uma vez por todas com outras vozes sintéticas. A sua voz só é usada no seu próprio app, nunca é divulgada a outras pessoas e não serve para identificar nem autenticar você. Cada arquivo de áudio produzido com uma voz sintética traz uma marcação legível por máquina indicando que foi gerado por inteligência artificial (artigo 50 do Regulamento (UE) 2024/1689 sobre inteligência artificial); essa marcação não contém nenhum dado sobre você.

3.3-A Treinamento dos modelos da Cartesia

Nunca usamos a sua voz para treinar um modelo. Os termos de uso da Cartesia (artigo 5.3) preveem, porém, que, salvo acordo em contrário, os conteúdos que ela recebe dos clientes (aqui, a amostra da sua voz e os textos a ler) e os que ela produz podem servir para treinar e melhorar os seus modelos; eles permitem aos clientes pedir que os seus conteúdos não sejam usados para isso, e esse pedido só vale para o futuro. Dizemos isso para que o seu consentimento seja plenamente informado. Quando esse pedido valer para a nossa conta, indicaremos aqui, com a data. Você pode excluir a sua voz a qualquer momento, o que a retira da nossa conta Cartesia.

3.4 Um dado pessoal, tratado com base no seu consentimento

A sua voz é um dado pessoal. Ela não é usada para reconhecer ou identificar você: não se trata, portanto, de um tratamento de dados biométricos para identificar uma pessoa de forma inequívoca no sentido do artigo 9 do RGPD. Se, ainda assim, ela fosse considerada um dado sensível, o consentimento explícito que você dá valeria também para os fins do artigo 9.2.a do RGPD. Mesmo assim, aplicamos a ela as precauções mais rigorosas: o seu envio se baseia no seu consentimento explícito (artigo 6.1.a do RGPD), obtido antes de qualquer gravação em uma tela própria, com uma caixa de seleção e um botão "Aceito". Ao dar o seu consentimento, você confirma que grava a sua própria voz e que é maior de idade. Com a oferta Lunalulu+, outros adultos da família podem adicionar a voz deles: cada um lê o texto e dá o próprio consentimento na mesma tela.

3.5 Retirar o seu consentimento

Você pode retirar o seu consentimento a qualquer momento, tão facilmente quanto o deu: Ajustes, "Suas vozes", "Excluir minha voz". A sua voz é então excluída na Cartesia, o seu identificador e a prova do seu consentimento são retirados dos nossos servidores, e as histórias preparadas com ela são apagadas dos nossos servidores e do seu celular. Se a Cartesia não responder na hora, o pedido de exclusão é guardado nos nossos servidores (apenas como identificador técnico da voz) e repetido automaticamente a cada 6 horas até dar certo. Gravar uma voz de novo exclui a antiga da mesma forma; excluir uma voz não afeta as outras. Retirar o consentimento não afeta os tratamentos já feitos; o narrador do app continua disponível.

Imagem de uma voz. Você pode dar uma imagem a cada voz da família: uma foto tirada na hora com a câmera do celular ou escolhida com o seletor de fotos dele, recortada em círculo, ou um dos avatares desenhados do app. Essa imagem fica no seu celular, no espaço privado do app, excluído dos backups: ela nunca é enviada. Ela é apagada junto com a voz, quando você apaga todos os seus dados ou desinstala o app.

3-A. Criar uma história

Com a oferta Lunalulu+, "Criar uma história" permite pedir uma história escrita só para a sua criança e depois contá-la com a sua voz. Veja, sem omitir nada, o que acontece com as informações que você dá.

O que você informa

O nome do herói (geralmente o da sua criança) e, se quiser, o nome de um amigo, de um bichinho de pelúcia ou de um animal, um tema, uma frase curta (por exemplo "ele tem medo do escuro"), a duração e a idade. Depois, você pode alterá-la você mesmo, à mão, quantas vezes quiser, e pedir ao Hibou até 3 alterações com uma breve instrução ("mais curta", "coloque o gato dele"). Não informe sobrenome, endereço, telefone nem informações de saúde: o app recusa sozinho endereços, números de telefone, e-mails e links.

Quem escreve a história

A história é escrita por uma inteligência artificial: um modelo de linguagem da OpenAI (GPT), chamado apenas pelo nosso servidor, pela API da OpenAI. Antes do primeiro envio, o app pede o seu acordo e diz o que é enviado. O nosso servidor envia à OpenAI o seu roteiro (ou, para uma alteração pelo Hibou, o texto da história e a sua instrução; para uma alteração à mão, só os trechos que você mudou, para que sejam verificados pelo serviço de moderação da OpenAI) e recebe a história. Ele junta um identificador de segurança: uma impressão do seu identificador anônimo, impossível de reverter, que ajuda a OpenAI a detectar uso abusivo sem saber quem você é. Ele não envia nem a sua voz, nem o seu identificador anônimo em si, nem a foto da capa.

A OpenAI trata esses dados por nossa conta, como operadora, nos Estados Unidos (seção 8). Segundo a sua documentação, os dados enviados à sua API nunca servem para treinar os seus modelos. Pedimos que ela não guarde nada dessas trocas (opção "store" desativada, cache desativado); a OpenAI guarda apenas registros de monitoramento de abusos, por no máximo 30 dias, salvo obrigação legal. O tratamento na Europa oferecido pela OpenAI (residência de dados) está reservado, por enquanto, aos clientes que ela aprova após análise: não está disponível para este app.

O que você escreve e a história devolvida são revisados automaticamente, pelo serviço de moderação da OpenAI e por regras dadas ao modelo: violência, sexualidade, ódio, perigos e dados pessoais de outras pessoas são recusados, com uma explicação, e você pode corrigir. As histórias são escritas para crianças de 3 a 10 anos, e o modelo sabe disso. Se a verificação não puder ocorrer (serviço indisponível), a história não é entregue. Uma história escrita por inteligência artificial pode conter deslizes: releia antes de mandar contar (você pode alterá-la) e denuncie pelo app qualquer trecho que pareça inadequado (seção 5.5).

Quem conta a história

Depois de revisar a história, você escolhe quem a conta: a sua voz (ou a de outro adulto da família) ou um narrador do app. Nos dois casos, o nosso servidor envia o texto da história, que contém o nome do herói, à Cartesia, a nossa fornecedora de síntese de voz, nos Estados Unidos (seções 7 e 8), que o lê e nos devolve o áudio; em uma nova produção, só os trechos novos ou alterados são enviados. Com um narrador, nenhuma voz da família é usada. Você também pode guardar a história sem voz: nesse caso, nada é enviado à Cartesia.

O que os nossos servidores guardam, e o que não guardam

Os nossos servidores não guardam nem o nome da sua criança, nem a sua ideia, nem o texto, nem o título da história. Eles guardam apenas, ligados ao seu identificador anônimo: impressões técnicas dos trechos (sequências de caracteres que não permitem recuperar o texto), que servem para saber que um trecho já foi revisado e refazer só os trechos alterados; o idioma, a duração, a idade, o número de alterações feitas; e, por no máximo 7 dias depois de produzida, a história lida com a sua voz (arquivos de áudio, Google Cloud Storage, na Bélgica), enquanto o seu celular a baixa. O nome da sua criança é pronunciado nesse arquivo de áudio. O áudio é apagado dos nossos servidores 7 dias depois de produzido, e antes se você excluir a história, excluir ou trocar a sua voz, ou tocar em "Apagar tudo". As impressões e os contadores são apagados quando você exclui a história, com "Apagar tudo", e automaticamente 180 dias após a última alteração da história.

O que fica no seu celular

O roteiro, o texto, a capa escolhida, a foto de capa se você escolher uma e a história lida com a sua voz ficam guardados no seu celular, no espaço privado do app, fora dos backups. A foto nunca é enviada: você a tira com a câmera do celular ou a escolhe com o seletor de fotos dele, que dá ao app apenas essa foto; depois, o app a recorta e guarda uma cópia reduzida.

O que é medido

As estatísticas de uso e os relatórios de falhas nunca contêm o nome, a ideia, o texto ou o título da história: apenas eventos sem conteúdo (história escrita, tema, duração, idade, recusa e o seu motivo).

4. O que fica no seu celular

Ficam guardados apenas no seu celular:

• as histórias do narrador que você baixou e as histórias preparadas com a sua voz, para ouvir sem conexão;
• os seus favoritos e o número de vezes que cada história foi ouvida;
• as suas histórias criadas ("Minhas histórias"): roteiro, texto, capa ou foto e história lida com a sua voz, fora dos backups (seção 3-A); a idade informada, para a próxima história;
• os seus ajustes (narrador escolhido, música depois da história, tela ligada durante a história, sons dos botões, lembretes escolhidos) e o estado do início do app;
• as imagens das suas vozes (foto ou avatar desenhado, seção 3.5);
• o fato de você ter dado consentimento ao envio da sua voz e de já ter respondido ao pedido de avaliar o app.

Durante a gravação, a amostra da sua voz fica em uma pasta temporária do app, enquanto você a ouve e envia. Ela é apagada assim que o envio dá certo. Se o envio não deu certo, ela espera no espaço privado do app, fora dos backups, até o app conseguir enviá-la, você desistir dela ou, no máximo, 30 dias (seção 3).

Quando você tira ou escolhe uma foto, a câmera ou o seletor de fotos entrega ao app um arquivo original, que o app recorta antes de guardar uma cópia reduzida. Esse arquivo original é apagado da pasta temporária do app assim que a cópia reduzida é feita, ou assim que você sai da tela de recorte; "Apagar tudo" também apaga os que tiverem sobrado, por exemplo depois de um fechamento inesperado do app. Ele nunca é enviado.

Não temos acesso a essas informações. Elas são excluídas por "Apagar tudo" (Ajustes) ou ao desinstalar o app. As histórias preparadas com a sua voz também são apagadas do celular quando você exclui ou troca a sua voz.

5. O que sai do seu celular

5.1 Desde a primeira abertura

• Identificador anônimo: o app cria um identificador técnico aleatório (login anônimo do Firebase Authentication). Ele não contém nem o seu nome, nem o seu e-mail, nem o seu número; por isso o chamamos de "anônimo", mas no sentido do RGPD é um dado pseudonimizado, já que é próprio da sua instalação. Ele serve para ligar a sua voz, as suas histórias preparadas e a sua assinatura, aplicar os limites de uso e apagar os seus dados quando você pede.
• Proteção do serviço: cada pedido aos nossos servidores traz um atestado do Firebase App Check (App Attest da Apple, Play Integrity do Google) que prova que ele vem do app autêntico. Esse atestado não contém nenhum conteúdo pessoal, só vale uma vez e não é guardado por nós.
• Status da assinatura: o app liga o seu identificador anônimo à RevenueCat, a nossa fornecedora de gestão de assinaturas, para saber se há uma assinatura ativa.
• Configurações remotas: na inicialização e, depois, no máximo uma vez por hora, o app consulta no Firebase Remote Config (Google) configurações comuns a todos os usuários: versão mínima ou recomendada do app, mensagem de atualização, modo de manutenção, chaves de ativação de recursos e configurações do pedido de avaliação. Para isso, o Google recebe o identificador de instalação do Firebase do celular e informações técnicas (app e versão, sistema, idioma, país aproximado), que servem para escolher as configurações certas. Não acrescentamos nenhum dado pessoal: nem a sua voz, nem um texto, nem o que você faz no app. As configurações consultadas ficam no celular.

As estatísticas de uso (5.6) e os relatórios de falhas (5.7) também ficam ativos desde a primeira abertura.

5.2 A sua voz

Somente com o seu consentimento, como descrito na seção 3.

5.3 As histórias preparadas com a sua voz

Quando você ouve uma história com a sua voz, o nosso servidor verifica que você tem uma voz, uma assinatura ativa (oferta Lunalulu+) e luas disponíveis; ele envia à Cartesia o texto dos trechos do narrador (o texto da história, nunca um texto que você tenha escrito) com o identificador da sua voz e monta o arquivo de áudio. Esse arquivo fica nos nossos servidores (Google Cloud Storage, região europe-west1, na Bélgica), ligado ao seu identificador anônimo, por no máximo 7 dias depois de produzido. O app o baixa por um link seguro válido por 2 minutos e o guarda no seu celular: é essa cópia que é usada depois. Se o arquivo não estiver mais nos nossos servidores, ele é produzido de novo, nas condições do app. O servidor registra também o estado de preparação de cada história (pronta ou não, data, duração) e uma impressão técnica da voz usada, que evita entregar uma história preparada com uma voz antiga.

As histórias contadas pelo narrador são arquivos comuns a todos, que não contêm nenhum dado sobre você (seção 5.3-B).

5.3-A As histórias que você cria

Somente se você usar "Criar uma história", como descrito na seção 3-A.

5.3-B O download das histórias do narrador

Os arquivos de áudio das histórias do narrador ficam na Hetzner, no seu armazenamento de arquivos na Alemanha (Falkenstein). São arquivos comuns a todos: não contêm nenhum dado pessoal. Para baixar uma história, o app pede ao nosso servidor um link seguro, válido por 10 minutos, e busca o arquivo diretamente na Hetzner. Esse link não traz nem o seu identificador anônimo nem nenhuma informação sobre você; como em qualquer conexão a um servidor, a Hetzner vê o endereço IP do celular. O nosso servidor conta os downloads de cada identificador anônimo, por dia e por mês, para evitar abusos (seção 5.4).

5.4 Contadores técnicos e status da assinatura nos nossos servidores

Nos nossos servidores (Google Cloud Firestore, na Europa), ficam ligados ao seu identificador anônimo:

• contadores que aplicam os limites de uso (vozes criadas e excluídas, histórias preparadas, histórias do narrador baixadas, mensagens enviadas, pedidos de exclusão), por dia e por mês, e a lista das histórias já preparadas no mês;
• as suas luas (oferta Lunalulu+): as luas usadas no ciclo em curso, a lista das histórias já pagas nesse ciclo e, para passar luas de um ciclo para o seguinte, o número de luas do último ciclo;
• as suas luas compradas: uma carteira designada por um número aleatório, que contém apenas um número de luas, ligada ao seu identificador anônimo; e, para cada compra de luas, uma impressão não reversível da transação da loja (nunca o seu número em claro), com o produto, o número de luas e as datas, para que uma compra nunca seja contada duas vezes;
• o status da sua assinatura (ativa ou não, teste em curso ou não, datas do período), como transmitido pela RevenueCat, guardado para não ser pedido de novo a cada história, e uma chave de assinatura não reversível que permite contar as luas de uma mesma assinatura após uma reinstalação.

Esses elementos não contêm nem a sua voz nem nenhum texto.

5.5 Ideias, avaliações e denúncias

Se você nos escrever pelo app (Ajustes, "Ideias e erros", ou o formulário que vem depois de uma avaliação do app), recebemos: o tipo de mensagem (ideia ou problema), o texto que você escreve, a avaliação de 1 a 5 estrelas se você acabou de dar uma, a versão do app, o sistema do celular (iPhone ou Android), o idioma e o seu identificador anônimo. Essas mensagens não contêm nem o seu nome nem o seu e-mail: não podemos respondê-las. Não escreva nelas informações pessoais, nem sobre você, nem sobre a sua criança.

Denunciar uma história. Se você denunciar uma história ou um trecho que pareça inadequado, recebemos também a referência da história em questão (história do catálogo ou história criada) e o trecho visado, no máximo 2000 caracteres. Esse trecho pode conter o nome que você informou para uma história criada. Ele serve apenas para examinar a denúncia e corrigir a história ou as nossas verificações, e é apagado 90 dias após o envio, ou antes com "Apagar tudo".

5.6 Estatísticas de uso sem conteúdo

Para saber quantas pessoas usam o app e quais recursos são usados, o app envia ao Google Analytics para Firebase, com um identificador de instância pseudonimizado: as telas exibidas; as ações realizadas, sem o seu conteúdo (por exemplo: voz criada, aguardando envio ou excluída, com o motivo técnico de um envio que não deu certo, história iniciada ou terminada e o seu modo, narrador ou voz do pai ou da mãe, favorito adicionado, busca iniciada sem a palavra buscada, música depois da história ajustada, histórias baixadas, compra iniciada e o seu resultado, avaliação do app); dois indicadores, voz gravada ou não e assinatura ativa ou não; se você responder às perguntas opcionais do início, quem você é (mãe, pai, avô ou avó, ou outro), a sua faixa etária e como conheceu o app, com, se escolher "De outro jeito" e escrever, a sua resposta livre, exatamente como a digitou (no máximo 100 caracteres); e as informações que o Google Analytics coleta automaticamente (modelo e sistema do celular, idioma, país aproximado, sessões, primeira abertura). Nunca são enviados: a sua voz, o texto e o título das histórias, o que você escreve em "Criar uma história", as suas mensagens, a palavra que você busca. A resposta livre "De outro jeito" é o único texto digitado que é enviado: não escreva nela nome, contatos nem informações sobre a sua criança. A publicidade é sempre recusada nos ajustes de consentimento do Google Analytics e o identificador de publicidade não é coletado. "Apagar tudo" redefine o identificador de instância.

5.7 Relatórios de falhas

Quando o app falha ou encontra um erro, o Firebase Crashlytics recebe um relatório técnico: rastro do erro, modelo do celular, versão do sistema e do app, e um identificador de instalação próprio do Crashlytics. Por concepção, esses relatórios não contêm a sua voz nem o que você escreve.

5.8 Compras

Os pagamentos são recebidos pela Apple (App Store) ou pelo Google (Google Play): não vemos nem a sua identidade nem os seus dados bancários. A RevenueCat recebe o seu identificador anônimo e, em uma compra ou restauração, as informações da transação transmitidas pela loja (produto, datas, país e moeda da loja, recibo), para abrir e verificar o seu acesso Lunalulu+. O nosso servidor consulta a RevenueCat com o seu identificador anônimo antes de preparar uma história com uma voz da família ou uma história criada.

5.9 Mensagens ao suporte

Se você nos escrever por e-mail, usamos o seu endereço e a sua mensagem apenas para responder.

5.10 Registros técnicos

Os registros das nossas funções de servidor indicam o tipo de evento e números (durações, quantidades, códigos de erro), nunca a sua voz, um texto, o seu identificador ou o identificador da sua voz. Como em todo serviço on-line, os registros de solicitações do Google Cloud também guardam dados técnicos de conexão, entre eles o endereço IP de origem de cada chamada. Para limitar abusos, o nosso servidor também conta as chamadas por endereço IP: nunca guardamos o endereço em si, só uma impressão calculada com uma chave sorteada a cada dia (para um endereço IPv6, a do seu prefixo), apagada com esse contador em 3 dias; dois dias diferentes não podem ser ligados entre si.

5.11 Notificações

Durante o início, o app pergunta se você aceita as notificações dele; você pode recusar, e desativá-las ou reativá-las a qualquer momento nos ajustes do celular. Elas nunca contêm publicidade. Há dois tipos:

• As notificações programadas no celular (por exemplo o lembrete da hora da história, histórias baixadas ou luas recarregadas): o app as prepara sozinho, sem enviar nada.
• As notificações enviadas pelo nosso servidor, por exemplo quando uma história preparada com a sua voz fica pronta com o app fechado: elas passam pelo Firebase Cloud Messaging (Google) e, no iPhone, pelo serviço de notificações da Apple. Para isso, o app guarda nos nossos servidores um token de notificação próprio deste celular, com o sistema (iPhone ou Android) e o idioma do app, ligado ao seu identificador anônimo, em um espaço que não pode ser lido pelo app. A mensagem é um texto do app, no seu idioma, e não contém nem a sua voz nem o texto de uma história criada.

O token é substituído quando o celular fornece um novo, e excluído com "Apagar tudo" ou após 12 meses sem abrir o app. Se você recusar as notificações, nenhum token é usado para lhe enviar notificações.

6. Finalidades e bases legais

7. Destinatários e operadores

Os seus dados só são acessíveis ao editor e aos fornecedores abaixo, que agem por conta dele como operadores (artigo 28 do RGPD), exceto a Apple e o Google para a venda, que agem sob a sua própria responsabilidade.

Cada um desses fornecedores é obrigado por contrato a garantir a confidencialidade e a segurança dos dados. Nenhum dado é vendido, alugado ou cedido a terceiros. Só comunicaríamos dados a uma autoridade mediante pedido legalmente fundamentado.

8. Transferências para fora da União Europeia

As nossas funções de servidor, o nosso banco de dados, o armazenamento das histórias preparadas e o das histórias do narrador (Hetzner, na Alemanha) ficam na União Europeia. A sua voz, porém, é tratada pela Cartesia, empresa sediada nos Estados Unidos: a amostra da sua voz, a sua voz sintética e o texto dos trechos a ler (inclusive o das histórias que você cria) podem, portanto, ser tratados nos Estados Unidos. O aditivo de tratamento de dados da Cartesia rege essas transferências pelas cláusulas contratuais-tipo adotadas pela Comissão Europeia (Decisão (UE) 2021/914, módulo controlador para operador). As histórias criadas são escritas pela OpenAI, nos Estados Unidos: o roteiro, as instruções e o texto dessas histórias são tratados lá. O aditivo de tratamento de dados da OpenAI, celebrado com a OpenAI Ireland Limited, rege essa transferência pelas cláusulas contratuais-tipo da Comissão Europeia (artigo 46 do RGPD) ou por uma decisão de adequação (artigo 45) quando aplicável. Outros dados também podem ser tratados fora da União Europeia, em especial nos Estados Unidos, pelos nossos fornecedores ou empresas ligadas a eles: RevenueCat, Google para os seus serviços mundiais (login anônimo, App Check, Crashlytics, Analytics, Firebase Cloud Messaging, Remote Config) e, se for o caso, Cloudflare para a distribuição do site. Essas transferências são regidas pelo Quadro de Privacidade de Dados UE-EUA (Data Privacy Framework) quando o destinatário aderiu a ele e, caso contrário, pelas cláusulas contratuais-tipo da Comissão Europeia. Você pode nos pedir informações sobre essas garantias no endereço indicado na seção 1.

9. Prazos de conservação

As exclusões automáticas nos nossos servidores são feitas pelo Google no prazo previsto, geralmente nos dias seguintes. Importante: desinstalar o app não apaga imediatamente a sua voz na Cartesia nem os dados dos nossos servidores, ligados a um identificador anônimo que não podemos associar a você: eles são apagados automaticamente 12 meses após a última abertura do app. Para apagá-los na hora, toque em "Excluir minha voz" ou "Apagar tudo" antes de desinstalar o app ou trocar de celular. Em todos os casos, uma cópia inacessível pode permanecer por no máximo 14 dias nos nossos backups de segurança antes de ser apagada definitivamente (tabela acima).

10. O que não fazemos

• Nenhuma publicidade, nem no app nem no site.
• Nenhum rastreamento publicitário nem criação de perfil: o identificador de publicidade não é coletado, e o app nunca pede a permissão de rastreamento da Apple (App Tracking Transparency), já que não acompanha a sua atividade em outros apps ou sites.
• Nenhuma geolocalização, nenhum acesso aos seus contatos, nenhum acesso à sua fototeca: apenas a foto que você tira ou escolhe para uma capa ou para uma voz é dada ao app, e ela fica no seu celular. A câmera só é usada quando você escolhe “Tirar uma foto”.
• Nenhum uso da sua voz fora das suas histórias, nem divulgação a outras pessoas.
• Nenhuma venda, aluguel ou troca de dados, nenhum corretor de dados.
• Nenhuma conta, e nada é pedido à sua criança. O nome que você informa em "Criar uma história" só serve para escrevê-la e lê-la, nunca é guardado pelos nossos servidores e nunca entra nas estatísticas.

11. Permissões do celular

• Microfone: pedido apenas quando você grava a sua voz. O app nunca escuta fora da gravação que você inicia.
• Reprodução em segundo plano e tela ligada: para que a história continue quando a tela apaga, com os controles na tela de bloqueio, ou para manter a tela ligada se você escolheu isso.
• Câmera: usada apenas quando você escolhe "Tirar uma foto", para a capa de uma história criada ou a imagem de uma voz. No iPhone e no iPad, a permissão é pedida nesse momento; no Android, o app abre a câmera do celular sem pedir permissão. Só a foto que você confirma é entregue ao app: nada é filmado nem gravado além dela, ela não é adicionada às suas fotos e nunca é enviada. O app a recorta e guarda uma cópia reduzida no espaço privado do app, fora dos backups (seções 3.5, 3-A e 4). Você pode recusar a câmera e escolher uma foto já tirada.
• Fotos: nenhuma permissão de acesso à fototeca; o seletor de fotos do celular só dá ao app a foto que você escolhe para uma capa ou para uma voz.
• Internet: para baixar as histórias, a sua voz, escrever as histórias criadas, preparar as histórias, as compras, as mensagens à equipe, os relatórios de falhas e as estatísticas.

Você pode retirar essas permissões a qualquer momento nos ajustes do seu celular.

12. Segurança

• Todas as trocas com os nossos servidores e com os nossos fornecedores são criptografadas (HTTPS).
• Os nossos servidores só aceitam pedidos do app autêntico (App Check, token de uso único) e de uma sessão identificada.
• O identificador da sua voz na Cartesia, os contadores e o status da assinatura não podem ser lidos pelo app; só você pode ler o estado das suas histórias preparadas, e os arquivos de áudio só são obtidos por links assinados válidos por 2 minutos (10 minutos para as histórias do narrador).
• As chaves de acesso à Cartesia, à RevenueCat e à OpenAI ficam no servidor, em um cofre de segredos que só as nossas funções podem ler, nunca no app; a inteligência artificial só é chamada pelo servidor.
• Limites de uso protegem o serviço e a sua voz contra abusos.
• Os dados guardados nos nossos servidores são apagados automaticamente no prazo previsto, ou a seu pedido pelo app.
• Para recuperar o serviço após uma pane ou um erro, nossos servidores mantêm backups de segurança do banco de dados e dos arquivos. Eles são inacessíveis pelo app e não servem para mais nada; um dado apagado fica neles por no máximo 14 dias e depois desaparece definitivamente.

Nenhum sistema é invulnerável: proteja o seu celular com um código e mantenha o sistema atualizado.

13. As suas escolhas e os seus direitos

A qualquer momento, no app, você tem:

• a função "Excluir minha voz" (Ajustes, "Suas vozes"), que retira o seu consentimento e exclui a sua voz, as histórias preparadas com ela e o áudio das histórias criadas (seção 3.5);
• a exclusão de uma história criada (botão "Excluir esta história"), que a apaga do seu celular e dos nossos servidores;
• a função "Apagar tudo" (Ajustes). Ela exclui as suas vozes na Cartesia, as suas histórias preparadas, as suas histórias criadas e as fotos delas, as imagens das suas vozes, o identificador da sua voz e a prova do seu consentimento, o status da assinatura guardado pelos nossos servidores, o seu token de notificação, as suas ideias, avaliações e denúncias, bem como os seus favoritos e ajustes no celular; ela redefine o identificador de estatísticas. O seu identificador anônimo é mantido, sem nenhum conteúdo, para que os limites de uso continuem valendo. Ficam assim: os seus contadores técnicos e os das suas luas, que são apagados no prazo (seção 9), as suas luas compradas e as impressões dessas compras, que pertencem a você, o identificador anônimo (conta de login anônimo no Google e registro na RevenueCat), as informações de assinatura na Apple ou no Google, bem como os registros, relatórios e estatísticas já transmitidos, que são apagados no prazo (seção 9). Sem conexão, o celular é apagado na hora e a exclusão nos nossos servidores é retomada na próxima abertura do app. A sua assinatura continua ligada à sua conta Apple ou Google: "Restaurar compras" a recupera.

O que você apaga desaparece imediatamente do app e do serviço; uma cópia inacessível fica por no máximo 14 dias nos nossos backups de segurança e depois é apagada definitivamente (seção 9).

Nos termos dos artigos 15 a 22 do RGPD, você tem direito de acesso, retificação, exclusão, limitação, oposição e portabilidade, o direito de retirar o seu consentimento a qualquer momento sem afetar os tratamentos já feitos, e o direito de definir diretrizes sobre o destino dos seus dados após a sua morte (artigo 85 da lei francesa de proteção de dados). Esses direitos são exercidos por e-mail em [email protected]. Respondemos em até um mês, prorrogável por dois meses em caso de pedido complexo.

Como não conhecemos a sua identidade, não podemos encontrar pelo seu nome ou e-mail os dados ligados ao seu identificador anônimo: as funções do app acima são a forma mais segura e rápida de exercer os seus direitos. Você pode se opor às estatísticas de uso e aos relatórios de falhas escrevendo para nós; como eles não estão ligados a nenhuma informação sobre você, não podemos encontrar os que lhe dizem respeito, e desinstalar o app, depois de "Apagar tudo", é hoje a forma segura de interromper o envio. As informações de compra também são geridas com a Apple ou o Google.

14. Crianças

O Lunalulu é destinado a pais e adultos que cuidam de crianças: o adulto instala o app, grava a própria voz depois de confirmar que é maior de idade e gerencia a assinatura. A criança ouve as histórias, escritas para crianças de 3 a 10 anos; as escritas pela inteligência artificial são verificadas antes da entrega (seção 3-A), e você pode nos denunciar qualquer história pelo app. O app não cria nenhuma conta e não oferece à criança nem publicidade, nem compras, nem trocas com outras pessoas. Só a função "Criar uma história" pede a você, adulto, um nome e uma idade: eles servem apenas para escrever a história (seção 3-A). O nome da sua criança é um dado pessoal de um menor: não informe mais (sobrenome, escola, endereço, saúde). Não grave a voz de uma criança e não escreva informações sobre a sua criança nas mensagens enviadas pelo app. Se você acredita que um menor gravou a própria voz, escreva para nós; "Excluir minha voz" e "Apagar tudo" a excluem na hora.

Usuários nos Estados Unidos (COPPA). O app se destina a adultos: ele não é destinado a crianças menores de 13 anos no sentido do Children's Online Privacy Protection Act (COPPA). Ele não coleta nenhuma informação pessoal diretamente de uma criança, não oferece a ela nem conta, nem compras, nem trocas com outras pessoas, e não faz nem publicidade direcionada, nem rastreamento. O nome e a idade informados para "Criar uma história" são fornecidos pelo pai ou pela mãe, para uso próprio: servem apenas para escrever e ler a história, e os nossos servidores não os guardam (seção 3-A). Se você acredita que uma criança menor de 13 anos nos transmitiu informações pessoais, por exemplo gravando a própria voz ou escrevendo para nós, entre em contato pelo [email protected]: nós as excluiremos sem demora.

15. Site

Este site não usa nenhum cookie e nenhuma ferramenta de medição de audiência, exceto o contador anônimo descrito abaixo. As fontes são hospedadas com o site: o seu navegador não contata nenhum serviço de fontes, publicidade ou medição. O site é hospedado pela OVH e pode ser distribuído pela rede da Cloudflare, que o protege contra ataques e acelera a sua exibição; esses fornecedores tratam, apenas para esses fins, os dados técnicos da sua visita (endereço IP, páginas acessadas, data) por tempo limitado.

Única exceção, a página de compartilhamento /app (o link compartilhado pelo app e publicado nas nossas redes sociais) mantém um contador anônimo: o número de visitas e de cliques para a App Store ou o Google Play, por dia, com o idioma da página, o tipo de aparelho, o país e a origem indicada no link. Nenhum cookie é usado, nenhum identificador é criado e nenhum endereço IP é guardado: são apenas totais, que não permitem reconhecer ninguém. Esse contador é hospedado pela Cloudflare por conta da Devolim e os seus números são apagados após 13 meses.

16. Incidente de segurança

Em caso de violação de dados pessoais, nós a notificamos à CNIL nas condições do artigo 33 do RGPD e, quando ela puder gerar um risco elevado para os seus direitos e liberdades, informamos você no app ou neste site, nos termos do artigo 34.

17. Reclamação à autoridade de controle

Se, depois de nos contatar, você considerar que os seus direitos não são respeitados, pode apresentar uma reclamação à autoridade francesa de proteção de dados (Commission nationale de l'informatique et des libertés, CNIL): 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, França, ou on-line em cnil.fr. Se você residir em outro Estado-Membro da União Europeia, também pode recorrer à autoridade de controle do seu país de residência (artigo 77 do RGPD).

18. Alterações

Esta política pode ser alterada para levar em conta mudanças legais ou técnicas. A data da última atualização aparece no topo da página; as mudanças substanciais são avisadas no app e, se afetarem o envio da sua voz, o seu consentimento é pedido de novo.