Política de privacidade

1. Quem somos

O Hoekedex é feito e disponibilizado pelos criadores do Hoekedex («nós»). Podes contactar-nos em info@hoekedex.net, para questões de privacidade, para denunciar abusos e para tudo o resto.

O Hoekedex é construído de outra forma que a maioria das apps. Não há contas nem base de dados. Tudo o que crias na app fica no teu próprio telemóvel. Nós não o vemos, não o podemos alterar e também não o podemos recuperar por ti. Só tratamos algo no relay (secções 3 a 6), na venda de códigos de licença (secção 9) e neste site (secção 10).

2. O que está no teu telemóvel

No primeiro arranque, o teu telemóvel cria sozinho dois pares de chaves. Deles resulta o teu ID: um código aleatório de 26 caracteres que não diz a ninguém quem és. Todos os teus dados ficam num cofre no teu dispositivo, no armazenamento da app ou do browser.

As tuas cartas podem conter informação sensível, por exemplo sobre a tua vida sexual. Essa informação nunca sai do teu telemóvel, a não ser numa cópia de segurança feita por ti e encriptada com uma palavra-passe que só tu conheces.

3. O que o relay vê e guarda

Os telemóveis nem sempre se conseguem ligar diretamente. Por isso existe um pequeno servidor, o relay, que passa envelopes selados entre telemóveis.

O que o relay trata

• O teu ID e as tuas chaves públicas. Ao ligar-se, o teu telemóvel prova com uma assinatura que o ID é teu.
• O teu endereço IP, como em qualquer ligação à internet, também ao estabelecer uma ligação direta (o pedido STUN da secção 4).
• Quando estás ligado e se a app está aberta.
• Para que ID envias um envelope e o seu tamanho.
• O conteúdo do envelope, mas está encriptado de ponta a ponta. O relay não o consegue abrir.

O que o relay guarda

• Em princípio, nada em disco. Tudo fica na memória de trabalho e desaparece quando o relay reinicia. A única exceção são as notificações (secção 6).
• Caixa de correio: se o destinatário estiver offline e uma mensagem puder esperar (uma mensagem de texto, um pedido de amizade, uma atualização de grupo), o envelope encriptado fica na memória no máximo 24 horas, até 300 mensagens e 4 MB por destinatário. Depois de entregue, é apagado de imediato. De uma localização partilhada, a caixa só guarda a mais recente.
• Estado online: o relay só diz se estás online a quem tu adicionaste e que também te adicionou, e só se não se tiverem bloqueado.
• Registos: só números, como quantas ligações estão abertas. Nunca IDs, endereços IP ou conteúdo.

Usamos estes dados apenas para entregar mensagens e proteger o relay contra sobrecarga. Fundamento jurídico: o nosso interesse legítimo e o acordo contigo para fazer a app funcionar.

4. Chat, grupos, salas de jogo e a Câmara noturna

Chat e snaps

As mensagens e os snaps passam, sempre que possível, por uma ligação direta entre os vossos telemóveis (WebRTC), encriptada de ponta a ponta. O que os dois já viram desaparece quando fechas o chat. Um snap só se vê uma vez.

• Para estabelecer uma ligação direta, o teu telemóvel pergunta ao nosso próprio relay qual é o seu endereço público (um pedido STUN). Não há terceiros envolvidos, e nada mais sai do teu telemóvel além da ligação encriptada com o teu amigo.
• Numa ligação direta, os vossos telemóveis veem o endereço IP um do outro. É assim que funciona o peer-to-peer. Por isso, conversa só com pessoas de confiança.

Grupos

Um grupo vive nos telemóveis dos membros: o chat de grupo, os desafios e a tabela. Cada alteração é assinada por quem a faz e vai encriptada para todos os outros membros, através do relay. Os membros que não são teus amigos também recebem o teu nome, a tua cor e o que fazes nesse grupo.

Salas de jogo

Uma sala de jogo é uma sala temporária para um jogo. Só existe na memória do telemóvel de quem a cria; nada é guardado. Os jogadores só se veem como nome e cor. A informação secreta de um jogo, como uma palavra ou um papel, só vai para o jogador a quem se destina. Um quiz próprio fica no telemóvel de quem o cria. A sala termina quando quem a criou a fecha, fica ausente mais de 2 minutos, ou ao fim de 3 horas.

Câmara noturna

Com a Câmara noturna, os membros de um grupo tiram fotos durante uma noite. Ficam no telemóvel de quem as tira e só são partilhadas depois de reveladas, diretamente entre os telemóveis do grupo, encriptadas de ponta a ponta. Se uma ligação direta não funcionar, o relay passa os pedaços encriptados em direto, sem os guardar nem os pôr na caixa de correio. As fotos não contêm localização nem outros metadados e não vão nas cópias de segurança. Podes mandar apagar as tuas próprias fotos para todos.

Atenção: não conseguimos impedir capturas de ecrã. Envia e partilha só o que também mostrarias, e pergunta antes de tirar uma foto a alguém.

5. Radar e Radar de amigos

Toda a gente por perto

Este radar está desligado até o ligares tu, sempre com um temporizador de 15 minutos a 2 horas. Depois desliga-se sozinho.

• O teu telemóvel converte a tua localização numa quadrícula: Bem perto (cerca de 50 metros) ou Zona (cerca de 1 km). Só essa quadrícula vai para o relay, e só enquanto a app está aberta. A tua localização exata nunca sai do teu telemóvel.
• Se fechares a app, continuas visível na última quadrícula até o temporizador acabar. Nunca és seguido em segundo plano.
• As pessoas por perto veem o teu nome, nível de treinador, cor e a raridade da tua carta mais rara, com um código temporário e aleatório. O teu ID real fica escondido até acenarem os dois; aí o relay troca os vossos IDs e chaves públicas para ficarem amigos.
• Se houver menos de três outras pessoas por perto, ninguém vê ninguém. Quem bloqueaste não te vê e tu não o vês.
• O relay esquece-se de ti assim que o temporizador acaba ou desligas o radar.

Radar de amigos

Com o Radar de amigos partilhas a tua localização com os amigos ou o grupo que escolheres.

• Por pessoa escolhes Exata (cerca de 10 metros) ou Aproximada (cerca de 1 km), e durante quanto tempo: de uma hora a duas semanas, até uma data, até ao fim do grupo, ou «sempre» com um lembrete semanal.
• Começar, adicionar alguém, escolher Exata e partilhar por muito tempo pedem o teu PIN, Face ID ou impressão digital.
• A tua localização só é enviada com a app aberta, encriptada de ponta a ponta para cada pessoa. O relay não a consegue ler e guarda no máximo a mais recente ainda não entregue. Ninguém guarda histórico.
• Em «Quem me vê?» vês sempre com quem estás a partilhar. «Esconder-me já» para tudo com um toque; os outros veem só que deixaste de partilhar.
• As definições só existem no teu telemóvel e não vão na cópia de segurança, para que a partilha nunca recomece sozinha.

Fundamento jurídico para os dois radares: o teu consentimento, que dás ao ligá-los e retiras ao desligá-los. Lê também usar o radar com cabeça.

6. Notificações

As notificações estão desligadas até as ativares tu. Uma notificação diz apenas que algo te espera (uma mensagem, um aceno, um match, o radar desligou-se), nunca o quê nem de quem. O relay também não sabe.

• Se ativares as notificações, o relay guarda o teu ID, o endereço de notificações do teu telemóvel, duas chaves do teu browser, quando o atualizaste pela última vez e, eventualmente, uma hora de lembrete. Mais nada. Para que as notificações continuem a funcionar depois de um reinício, isto pode ficar num ficheiro no servidor.
• Se desligares as notificações, ou se o teu telemóvel não as atualizar durante 30 dias, isto é apagado.
• A notificação passa pelo serviço do teu telemóvel: Apple, Google ou Mozilla. Eles só veem que foi enviada uma notificação encriptada de tamanho fixo, não o que diz.
• No iPhone, as notificações só funcionam se o Hoekedex estiver no ecrã principal (iOS 16.4 ou mais recente).

Fundamento jurídico: o teu consentimento.

Novidades e especiais. Se ativares esta notificação (vem desligada), o relay guarda uma única marca junto da tua subscrição push, para te avisar algumas vezes por ano de que começa um Especial Festivo. Se a desligares, a marca desaparece.

Especiais Festivos. Para desbloquear um especial, a app pede a data ao relay com um pedido assinado com o teu ID Hoekedex. O relay devolve uma prova assinada e não guarda mais nada.

7. O que controlas

• Bloqueio da app: se puseres um PIN na app, o teu cofre é encriptado (AES-GCM, com uma chave derivada do PIN através de PBKDF2 com 600.000 iterações). Por defeito, a app volta a bloquear-se ao fim de 5 minutos em segundo plano.
• Face ID ou impressão digital: além do PIN, podes abrir a app com Face ID, Touch ID ou impressão digital. Funciona com uma passkey no teu telemóvel; as chaves ficam no telemóvel e nada vai para nós nem para o relay. Atenção: quem passar a segurança do teu telemóvel, incluindo com o código, consegue abrir a app.
• Cópia de segurança: um ficheiro .hoekedex, encriptado com uma palavra-passe de cópia à parte. Tu escolhes onde o guardas, por exemplo no iCloud Drive, Google Drive ou Ficheiros. Esses serviços só veem um ficheiro encriptado. Se perderes a palavra-passe, ninguém consegue abrir a cópia, nem nós.
• Bloquear: o teu telemóvel deita fora tudo o que essa pessoa envia, e o relay deixa de passar o que quer que seja, deixa de partilhar o teu estado online e não vos mostra um ao outro no radar.
• Apagar tudo: com «Apagar tudo» na app, desinstalando a app, ou apagando os dados do site da app no teu browser. Amigos e membros dos grupos ficam com o que já partilhaste com eles até o apagarem; antes disso, podes mandar apagar em todo o lado as tuas fotos da Câmara noturna.

8. Jogos, álcool e Extremo

Os jogos têm níveis de Inocente a Quente. O Extremo está desligado até um adulto o ativar nas Definições, e todos os que jogam confirmam primeiro. O modo copos e os níveis escolhidos são definições no teu telemóvel; não tratamos nada sobre isso. O conteúdo dos jogos, como perguntas e desafios, vem dentro da app; o Pack Casal é entregue como pacote encriptado e aberto no teu telemóvel.

9. Compras

Os extras pagos (temas, Hoekedex Pro, o Pack Casal e o Passe de Verão) chegam mais tarde. Até lá não compras nada no Hoekedex e esta secção ainda não se aplica.

• App Store e Google Play: a Apple e a Google tratam do pagamento segundo as suas próprias condições de privacidade. A app só fica a saber que produto compraste e guarda isso no teu telemóvel. Não recebemos deles nenhum dado do teu Hoekedex nem dados de pagamento.
• Códigos de licença: um código é verificado no teu telemóvel com uma assinatura digital. A app não comunica nada. Ao comprar um código, o teu email (para te enviar o código) e os teus dados de pagamento são tratados pelo prestador de pagamentos. Só guardamos o que a lei nos obriga a guardar para a contabilidade.

10. Este site e as transferências

Este site não usa cookies, analytics, rastreadores nem tipos de letra ou scripts de terceiros. A única coisa que guarda, no teu próprio browser, é se fechaste o aviso de idioma. O site é servido através da Cloudflare. Como qualquer serviço de alojamento, a Cloudflare trata dados técnicos como o teu endereço IP para entregar as páginas e a transferência da app e travar ataques. Não ativamos lá nenhuma estatística de visitas.

11. Dados sobre outras pessoas

Nas tuas cartas anotas informação sobre outras pessoas. Enquanto ficar só no teu telemóvel e a usares para ti, é uso pessoal. Em regra, o RGPD não se aplica a isso (a exceção para atividades domésticas). Nós nunca recebemos esses dados.

Se partilhares informação ou fotos de outra pessoa, por exemplo com uma captura de ecrã ou na Câmara noturna, és tu o responsável. Fá-lo só com consentimento. Lê também as regras.

12. Durante quanto tempo se guarda o quê

13. Os teus direitos

Ao abrigo do RGPD tens direito de acesso, retificação, apagamento, limitação, oposição e portabilidade dos teus dados. Como não temos contas nem base de dados, quase todos os teus dados estão no teu próprio telemóvel. Lá podes vê-los, alterá-los e apagá-los tu mesmo. O que o relay tem por instantes na memória não conseguimos associar a ti.

Para perguntas ou pedidos, escreve para info@hoekedex.net. Respondemos no prazo de um mês. Se não concordares connosco, podes apresentar queixa à autoridade de proteção de dados do teu país; nos Países Baixos é a Autoriteit Persoonsgegevens.

O Hoekedex é só para pessoas com 18 anos ou mais.

14. Segurança

• Chaves: ECDSA P-256 para assinar e ECDH P-256 para acordar chaves, criadas no teu próprio telemóvel.
• Mensagens, localizações e fotos entre telemóveis: AES-256-GCM com uma chave que só os dois telemóveis têm (derivada com HKDF-SHA256).
• Grupos: cada evento é assinado por quem o cria, e cada telemóvel verifica essa assinatura.
• Câmara noturna: cada foto é verificada contra a impressão digital (SHA-256) na mensagem assinada de quem a tirou.
• Código de verificação: comparem ao vivo o código de 24 algarismos para terem a certeza de que falam com a pessoa certa.
• A ligação ao relay é encriptada (TLS).

Nenhum sistema é infalível. Se encontrares um problema de segurança, avisa-nos em info@hoekedex.net.

15. Alterações e contacto

Se algo mudar na forma como o Hoekedex trata dados, atualizamos esta política e pomos a nova data no topo. As grandes mudanças também aparecem na app.

Contacto: info@hoekedex.net.