Política de Privacidade

O que a app processa no seu telemóvel

• Dados do veículo vindos do adaptador OBD por Bluetooth: rotações, velocidade, temperaturas, pressões, estado do híbrido, VIN. Alimentam os instrumentos, o histórico de trajetos e a calibração da potência do seu carro.
• Localização: o percurso do trajeto, os avisos de câmaras e zonas, a verificação da velocidade e a cronometragem das voltas. O GPS só funciona durante um trajeto com CarPlay e, se o CarPlay cair em andamento, até o carro parar; quando o carro fica estacionado de 10 a 30 minutos, desliga-se mesmo com o CarPlay ligado. Com «Durante a utilização da app», só pode arrancar enquanto o Tachwire está no ecrã do carro ou do telemóvel, e depois funciona até ao fim do trajeto, com o indicador de localização visível; «Sempre», que a app só pede se escolher todo o trajeto, permite-lhe arrancar também quando a app não está à vista. Fora de um trajeto, a localização só é usada em dois ecrãs e só enquanto estão abertos: a lista de circuitos ordena-os pela última posição que o iOS já tem, e o editor da linha de partida/meta mostra no seu mapa onde está. As câmaras são comparadas no telemóvel: a sua posição não é enviada para as encontrar; mas os dados das câmaras são transferidos por país e, no modo «Automático», os países pedidos — o da sua definição de região ou aqueles onde conduziu, e os vizinhos — dão uma ideia de onde está.
• Movimento (acelerómetro e giroscópio): forças g em curva e medições de aceleração.
• Bluetooth: a ligação ao adaptador OBD e, se tiver um, a um recetor GNSS Dragy.
• Voz: os avisos falados vêm de um modelo de voz que corre no telemóvel. Nada é enviado para lado nenhum para ser lido em voz alta.

Onde fica guardado

Tudo é gravado na pasta Documents/Logs da app no seu iPhone e fica visível na app Ficheiros. As gravações em bruto mais antigas são removidas automaticamente quando ultrapassam um gigabyte; os resumos ficam. Apagar a app apaga tudo o que está no telemóvel; a cópia no seu iCloud, descrita abaixo, fica até a apagar.

Com a subscrição «Apoiar o Tachwire» e Mais → Dados e privacidade → iCloud → Guardar no iCloud, ativado por omissão para quem subscreve, uma cópia vai para o seu próprio iCloud para voltar ao reinstalar a app ou num iPhone novo: os seus carros e o que a app aprendeu sobre eles (modelo, limites, o que respondem as centralinas), os ecrãs do carro e o cartão do trajeto, os resumos dos trajetos, medições e recordes, voltas e circuitos, e as definições da app. Fica guardada na base de dados iCloud privada e no armazenamento chave-valor da sua conta Apple, segundo os termos do iCloud da Apple; não temos acesso e nunca a recebemos. O VIN, os trajetos, os locais e os próprios resumos são cifrados ponto a ponto com chaves que só os seus dispositivos têm; as definições pequenas (unidades, sons, aspeto) ficam no armazenamento chave-valor do iCloud, cifrado pela Apple. Os registos em bruto dos trajetos (medições e registo de eventos, com o percurso) só vão com o seu próprio interruptor «Registos de viagens no iCloud», desligado por omissão: em partes, também cifrados ponto a ponto, apenas por Wi‑Fi; uma viagem apagada é apagada, com o seu registo, também no iCloud e nos seus outros dispositivos. Desligar o interruptor para o envio; para apagar a cópia, vá a Definições → o seu nome → iCloud → Gerir armazenamento → Tachwire. Sem a subscrição nada é enviado para o iCloud nem lido de lá, e tudo fica no telemóvel; quando a subscrição termina, nada mais é enviado, o que já está no iCloud continua lá até o apagar e, ao subscrever de novo, a sincronização continua. Sem conta iCloud, tudo fica no telemóvel.

Registos de trajetos

Um trajeto só sai do telemóvel se decidir enviá-lo. Em «Mais → Apoiar o projeto» há três modos: «Desligado», em que nenhum trajeto é enviado e com o qual começa uma instalação nova; «À mão», em que um trajeto terminado mostra um botão e só sai se o premir; e «Automaticamente», em que cada trajeto terminado é enviado sozinho, por Wi-Fi, a não ser que permita dados móveis. «Automaticamente» envia também a breve gravação que um Dragy faz enquanto o seu ecrã está aberto na app.

Um registo de trajeto contém as respostas do carro e o seu VIN, o nome e os eventos do adaptador, a versão da app e a do iOS, o tamanho e a disposição do seu ecrã CarPlay, as definições da app — limiares de aviso e as suas escolhas para câmaras, localização e envio —, os tempos por volta e a hora de cada evento. O percurso é cortado antes do envio: a latitude, a longitude e o rumo são removidos no telemóvel, e uma gravação do Dragy segue com as posições apagadas; a velocidade, as forças g e a precisão de cada posição GPS ficam. Uma exceção: se no trajeto foram cronometradas voltas num circuito, o registo guarda as suas posições nesse circuito enquanto essas voltas duraram, desde meio minuto antes de cada volta até meio minuto depois — para que a cronometragem possa ser verificada e melhorada — e indica o circuito. Só o fazem voltas e percursos de partida a chegada válidos de até 10 minutos: voltas num circuito da lista da app ou depois de duas voltas assim no mesmo circuito; percursos, só num circuito da lista. As posições guardadas ficam dentro do contorno do circuito mais 300 m, ou a no máximo 2 km da sua linha; o trajeto até ao circuito e de volta, e tudo o que fica fora dessa área, continua a ser removido. Os avisos de câmaras seguem com o país, o tipo e a distância, mas sem dizer que câmara, zona ou cidade.

O envio é encriptado no telemóvel com uma chave que só o programador tem, por isso o fornecedor do armazenamento não o consegue ler. Com cada registo, o servidor guarda a versão da app e o modelo do carro — com versões antigas da app, também o nome do adaptador —, mas nem o país de onde foi enviado, nem o seu endereço IP. Os registos são guardados durante 30 dias. No servidor, um registo espera no máximo 30 dias e é apagado assim que o programador o transfere; a cópia transferida para o computador do próprio programador é apagada 30 dias depois do envio do registo. Excertos anonimizados — sem VIN, sem coordenadas e sem mais nada que o identifique a si ou ao carro — podem ser guardados durante mais tempo para testar a app. Escreva-nos com o código de um registo se quiser que o apaguemos mais cedo. Se partilhar os ficheiros de registo por si, através do Mail ou do menu Partilhar, eles seguem exatamente como estão, percurso incluído.

Quando chega um registo, o servidor envia ao programador um breve aviso por e-mail: o código do registo, a versão da app, o modelo do carro, o tamanho do registo e se traz uma nota — com versões antigas da app, também o nome do adaptador e a própria nota. Nada do interior do registo vai com ele: nem o VIN, nem leituras, nem posições. É a Cloudflare que o envia para a caixa de correio do próprio programador, e é apagado no mesmo prazo de 30 dias.

Relatórios de falhas

Ligados desde a primeira abertura; desligam-se em «Mais → Dados e privacidade → Relatórios de falhas e utilização → Enviar relatórios de falhas». Quando a app falha ou bloqueia, é enviado um relatório para os servidores na UE do Sentry, um serviço de relatórios de falhas: em que ponto do código aconteceu, o modelo do iPhone, as versões do iOS e da app, o idioma e a região definidos no telemóvel, e se a cópia instalada veio do TestFlight ou da App Store. Com ele segue o estado técnico que o software do Sentry acrescenta por predefinição — memória, nível da bateria e orientação — e um breve rasto do que aconteceu imediatamente antes: a app a passar para segundo plano e a voltar, mudanças de ecrã e toques, Wi-Fi ou dados móveis.

Um relatório não leva nada sobre o carro, o trajeto ou o sítio onde está: nenhum VIN — tudo o que tenha o aspeto de um é cortado, mensagens de erro incluídas —, nenhum percurso, nenhuma leitura, nenhuma hierarquia de vistas, nenhuma captura de ecrã do telemóvel além das imagens descritas abaixo, nenhum pedido de rede, nenhuma sessão, nenhum identificador de utilizador ou de instalação e nenhum nome de dispositivo. O Sentry está configurado para não guardar o seu endereço IP.

Estão ligados por predefinição com base em interesses legítimos: um relatório não leva identificadores nem texto do seu ecrã, e é assim que as falhas são encontradas e corrigidas. A forma como usa a app é diferente — só é enviada com o seu consentimento.

As versões de teste do TestFlight enviam também, com os relatórios de falhas e sob o mesmo interruptor, no máximo duas imagens por trajeto. Uma é do próprio ecrã do Tachwire no carro: cerca de três minutos depois de chegarem os primeiros dados do carro, e só se nesse momento o ecrã do carro estiver a mostrar o Tachwire e não o Mapas ou a música. É a janela do Tachwire no ecrã do carro tal como estava a ser mostrada nesse momento — os seus mosaicos com as leituras e os nomes das suas páginas — e nada de outras apps; esse ecrã nunca mostra o VIN nem a sua localização. A outra é do separador «Carro» no telemóvel durante um trajeto, a partir do terceiro minuto e só enquanto o Tachwire está aberto nesse separador, sem nada por cima e sem que esteja a escrever: o que ele mostra — o modelo do carro, o seu estado e as leituras, os números do último trajeto —, com cada mapa, percurso e local, incluindo a morada do estacionamento, tapado com um bloco liso no próprio telemóvel antes de a imagem ser feita. Nenhuma das duas leva o VIN ou a sua localização. Com elas seguem o tamanho do ecrã, a sua disposição (a grelha e a página do ecrã do carro, o tamanho do texto e o aspeto do telemóvel), o minuto do trajeto e o número de compilação da app. É assim que vemos mosaicos cortados ou mal dispostos em carros e telemóveis que nunca temos à frente. A versão da App Store só envia estas imagens se tiver aceitado partilhar como usa a app (ver abaixo).

Como usa a app

Só se concordar. A app pergunta uma vez, com um cartão no separador «Carro» — «Partilhar» ou «Não, obrigado» — e em «Mais → Dados e privacidade → Relatórios de falhas e utilização → Partilhar como usa a app» pode mudar a resposta a qualquer momento. Até dizer que sim, nada disto é enviado.

O que vai: que ecrãs abre e quanto tempo cada um fica aberto; toques repetidos de frustração no mesmo sítio (rage taps) — três ou mais toques num só ponto em menos de um segundo —, com o ecrã, se esse ponto era um controlo e o rótulo do controlo, caso seja uma das palavras da própria interface da app, enviado em inglês, enquanto qualquer outro texto segue como marcador de posição, nunca tal como é; o tamanho do texto e o idioma da app; a definição «Sinal ao exceder o limite» quando a altera; e, com isso, o modelo do iPhone e as versões do iOS e da app. Os eventos são ligados entre si por um número aleatório que dura uma só abertura da app; não há nenhum identificador duradouro. Além das duas imagens descritas abaixo, nenhum texto dos seus ecrãs e nenhum dado do carro; localização, nunca. Vai para o Sentry na UE, tal como os relatórios de falhas.

Se concordar, a versão da App Store envia também as duas imagens do ecrã descritas em «Relatórios de falhas»: no máximo uma do ecrã do Tachwire no carro e uma do separador «Carro» no telemóvel por trajeto, com cada mapa, percurso e local tapados antes de a imagem ser feita, sem VIN e sem localização. «Não, obrigado» ou o interruptor desligado param-nas; sem o seu sim nunca são enviadas.

Os passos até à primeira viagem têm um consentimento próprio, à parte de tudo o que está acima: um interruptor na última página da introdução e Mais → Dados e privacidade → Relatórios de falhas e utilização → Partilhar os passos feitos. Desligado até o ligar. Só uma instalação nova envia, e só isto: que passos atingiu — introdução concluída, adaptador encontrado e ligado, primeira viagem, página de apoio aberta —, cada um em dias inteiros desde o primeiro arranque, nunca uma hora; como respondeu na introdução e se definiu o lembrete do adaptador; e como correu uma ligação ao adaptador, com as palavras da própria app, como «encontrado», «ligado» ou «sem resposta», com a duração aproximada. Cada passo vai uma vez. Sem VIN, sem marca nem modelo do carro, sem nome do adaptador, sem localização, sem e-mail, sem ID de instalação ou de utilizador. Vai para a Sentry na UE, como os relatórios de falhas, e não está associado a si.

Notificações

Só se as pedir. A app propõe-nas com um cartão no separador «Carro», e um interruptor em «Mais → Apoiar o projeto» liga-as ou desliga-as a qualquer momento. Há dois tipos: novidades — uma versão nova, um pedido de registos de trajetos, uma alteração importante — e respostas sobre os registos de trajetos que enviou, por exemplo um erro encontrado no seu registo e a versão que o corrige.

Para as enviar, guardamos na Cloudflare, o fornecedor do armazenamento: o token de notificações que a Apple atribui a esta app no seu telemóvel, o idioma e a versão da app, os tipos de notificação que escolheu e os códigos dos últimos 30 registos de trajetos enviados por este telemóvel (só se as respostas sobre os seus registos estiverem ligadas), para que uma resposta sobre um registo chegue ao telemóvel de onde veio. Sem VIN, sem dados do carro, sem localização, sem país e sem endereço IP. As notificações são enviadas a partir do computador do programador através do serviço de notificações push da Apple. Ao desligá-las, este registo é apagado de imediato; se a app não for aberta durante quatro meses, apaga-se sozinho.

Vídeos e imagens do percurso, mosaicos do mapa

Um vídeo ou uma imagem do percurso é criado no seu telemóvel a partir do trajeto que escolher, para o troço que escolher. Fica guardado apenas onde o guardar ou partilhar; o Tachwire não o recebe. O mapa é desenhado no telemóvel com dados do OpenStreetMap e leva «© OpenStreetMap © OpenMapTiles» na imagem e em cada fotograma; para o desenhar, a app transfere mosaicos de mapa do OpenFreeMap (Hyperknot Software Kft., UE). Os mosaicos pedidos cobrem a zona à volta da parte do percurso que escolheu, por isso o OpenFreeMap pode ver que zona foi pedida e o seu endereço IP, como qualquer site; segundo o próprio, os seus registos são anonimizados, não guardam endereços IP por predefinição e são apagados ao fim de 7 dias (https://openfreemap.org/privacy/). Com o pedido não vai a linha do percurso, nem o VIN, nem qualquer conta. Os mosaicos transferidos ficam na cache da app no seu telemóvel. Os mapas dentro da app — na página de um trajeto e no ecrã do percurso — vêm da app Mapas da Apple e nunca saem da app.

Fotografias

Para guardar um vídeo do percurso, o Tachwire pede acesso às Fotografias apenas para adicionar: pode adicionar o vídeo à sua fototeca, mas não pode ver, ler nem alterar nada nela. Pode mudar isto em Definições → Apps → Tachwire → Fotografias.

Imagens do carro

A imagem do seu carro é escolhida apenas pela marca, geração e código da pintura — por exemplo, «G05, pintura 475». Se a app ainda não tiver essa imagem, pede-a a este site só com esses dados; o site não regista quem pediu e, se for preciso desenhar a imagem, passa esses mesmos dados ao seu serviço de renderização, carimage.dev. Não é enviado o VIN nem qualquer outro dado do seu carro.

A etiqueta de privacidade da App Store

A etiqueta indica que estes dados estão «associados a si»: os registos de trajetos, porque contêm o VIN do carro, e com eles a localização que possam conter — exata nas voltas em pista, o país nos avisos de câmaras; e o token de notificações, porque a Apple o atribui a este telemóvel. Tudo isto só é enviado se o ativar. Os dados de falhas, de desempenho e de utilização — imagens do ecrã incluídas — não estão associados: não contêm nenhum identificador duradouro. Quando cria um vídeo ou uma imagem do percurso, o OpenFreeMap vê também que zona do mapa foi pedida, como se explica acima.

App Store e TestFlight

A Apple trata das transferências e, durante os testes, dos relatórios de falhas e do feedback ao abrigo dos termos do TestFlight; isso rege-se pela política de privacidade da Apple, não pela nossa.

Os mapas, e a morada do sítio onde estacionou, vêm da app Mapas da Apple, e esses pedidos também estão abrangidos pela política de privacidade da Apple.

Este site

O próprio site não recolhe nada e não instala cookies de rastreio. A Cloudflare, que o serve, conta o total de visualizações de página com o seu Web Analytics — sem cookies e sem seguir ninguém — e essas contagens não contêm dados pessoais, nem para a Cloudflare nem para nós. O idioma que escolher no menu fica guardado no seu próprio navegador, com um único cookie, tachwire_lang, que indica ao site em que idioma servir as páginas e não guarda mais nada.

Quem é o responsável

O responsável pelo tratamento dos dados aqui descritos é Maxim Pogozhiy, o programador da app. Contacto: support@tachwire.app. Uma morada postal para pedidos formais é fornecida a pedido.

Escreva para esse endereço para saber que dados temos sobre si ou para pedir que seja apagado um registo de trajeto ou um registo de notificações; indique o código do registo, se o tiver.

Contacto

Dúvidas sobre dados: support@tachwire.app.