Política de privacidade

Responsável pelo tratamento

O responsável pelo tratamento dos dados é a SAS GELMIX (ver os Avisos legais). Pode escrever para bonjour@baza.fr.

Dados tratados

O serviço trata apenas os dados necessários ao seu funcionamento:

• número de telefone móvel (identificador da conta, verificado por SMS) ;
• endereço de email (obrigatório no registo — início de sessão e recuperação da conta) ;
• palavra-passe (armazenada exclusivamente sob forma hashada — impressão scrypt —, nunca em claro e nunca sob uma forma reversível) ;
• data de nascimento (verificação da maioridade — apenas a idade calculada é apresentada, e essa apresentação pode ser desativada) ;
• pseudónimo, tipo de perfil (mulher, homem, casal), frase de apresentação, preferências de encontro selecionadas ;
• foto de perfil, fotos enviadas por mensagem e fotos dos seus álbuns privados ;
• posição aproximada (apenas com o seu consentimento explícito) ;
• mensagens privadas e mensagens trocadas nos grupos ;
• favoritos, perfis ocultos e bloqueios ;
• denúncias emitidas e recebidas, e anexos que decidir adicionar às mesmas ;
• sinais de risco técnicos produzidos pela prevenção de burlas e spam (tipo, nível, data, código de motivo) — nunca o conteúdo de uma mensagem ;
• impressões irreversíveis: impressão do texto de uma mensagem enviada (reconhecimento de envios em massa) e impressão local da foto de perfil (deteção da mesma foto reutilizada em várias contas). Estas impressões não permitem reconstituir nem a mensagem nem a imagem, e não são dados biométricos ;
• estado de certificação do seu perfil (certificado ou não, método e data) ;
• foto de certificação, apenas se solicitar a certificação E se a análise automática deixar uma dúvida: é então conservada temporariamente, num espaço privado, para ser examinada por uma pessoa da equipa (ver « Prazos de conservação ») ;
• subscrição de notificações push, apenas se as ativar (endereço de subscrição fornecido pelo seu navegador, chaves públicas de cifragem associadas, impressão hashada do navegador e tipo de plataforma) ;
• dados técnicos de ligação (registos do servidor, identificadores de sessão).

Minimização

Não são pedidos quaisquer apelidos ou nomes próprios reais, nem endereço postal, nem documento de identificação: apenas os dados necessários para a segurança da conta e para a verificação da maioridade são recolhidos.

Finalidades e bases legais

Os tratamentos assentam nas seguintes bases legais:

• fornecimento do serviço (perfis, mensagens, favoritos) — execução do contrato ;
• apresentação dos perfis nas proximidades — consentimento (geolocalização) ;
• segurança, prevenção de abusos, burlas e envios em massa, moderação da foto de perfil, tratamento das denúncias — interesse legítimo e obrigações legais ;
• certificação do perfil por foto — consentimento (só você a solicita; o serviço funciona sem ela) ;
• notificações push — consentimento (autorização dada ao seu navegador, revogável a qualquer momento) ;
• emails transacionais (recuperação de conta, notificações de segurança) — execução do contrato.

Geolocalização

A sua posição só é registada com o seu consentimento explícito. Nunca é apresentada: não é mostrada nenhuma coordenada exata nem morada, nem a si nem aos outros membros.

Os outros membros veem apenas uma distância arredondada (múltiplo de 100 m), calculada do lado do servidor. O modo « discreto » oculta totalmente a sua posição (nenhuma distância apresentada).

A retirada do consentimento apaga imediatamente a sua posição: nenhuma posição é conservada após a retirada.

Mensagens privadas e conteúdos multimédia privados

O conteúdo das mensagens privadas nunca é lido por um humano, nunca é transmitido a um serviço de análise externo e nunca é conservado em qualquer outro local que não a conversa: está abrangido pela confidencialidade das correspondências e só é acessível aos participantes.

É executado um controlo automático nos nossos próprios servidores no momento do envio de uma mensagem de texto, apenas para prevenção de burlas e envios em massa. Nenhum excerto de mensagem é registado: apenas uma impressão irreversível do texto e dados técnicos (número de destinatários, cadência de envio, antiguidade da conta) são utilizados. O que é conservado é um sinal técnico — tipo, nível, data, código de motivo — nunca uma frase.

As fotos enviadas por mensagem nunca são transmitidas a um serviço de moderação ou análise. São comprimidas e recusadas se contiverem metadados (EXIF/GPS) — apenas proteções técnicas.

Os seus álbuns privados e as fotos que neles colocar nunca são analisados automaticamente nem transmitidos a um serviço de análise externo. São disponibilizados apenas às pessoas que autorizou, por um endereço autenticado, e não são nem públicos nem indexáveis.

As mensagens de grupo estão abrangidas pela mesma prevenção de burlas e de envios em massa que as mensagens privadas, dentro dos mesmos limites: nenhum excerto conservado, nenhum conteúdo lido por um humano, nenhum conteúdo transmitido para o exterior.

Prevenção de burlas e spam

Este dispositivo tem uma única finalidade: evitar que um membro seja enganado, assediado com mensagens idênticas ou alvo de abordagem comercial. Nunca se baseia no país, nacionalidade, indicativo telefónico, sexo declarado, orientação, língua de um membro, nem na ausência de número verificado: apenas comportamentos, e a combinação de vários deles, são tidos em conta.

Cada sinal registado inclui o seu tipo, nível, data e um código de motivo técnico. Uma medida é, por isso, sempre explicável, verificável e contestável; não é tomada qualquer decisão opaca.

As medidas automáticas são graduais, temporárias e reversíveis: registo técnico, aviso, limitação do número de novas conversas, recusa de um envio específico. Uma suspensão ou eliminação de conta nunca é automática: é decidida por uma pessoa. Pode pedir a reapreciação de uma medida que lhe diga respeito através da página Contacto.

Nenhuma mensagem, nenhum excerto de mensagem e nenhuma foto de mensagem é transmitido a um serviço de inteligência artificial ou a um terceiro no âmbito deste dispositivo.

Foto de perfil: moderação automatizada seguida de revisão humana

A foto de perfil é PÚBLICA: é a única foto sujeita a moderação automatizada, antes de qualquer publicação. A imagem é transmitida à OpenAI para análise — primeiro a um serviço de classificação e, se necessário, a um modelo de análise de imagens. Se a análise estiver indisponível, a foto é recusada: nenhuma foto é nunca publicada por defeito.

Quando a recusa diz respeito ao conteúdo, a foto nunca é publicada, mas pode ser conservada temporariamente num espaço privado, para que uma pessoa da equipa de moderação a examine. Se for aceite, torna-se a sua foto de perfil; se for recusada, o ficheiro é eliminado. Sem decisão humana, é destruída automaticamente, o mais tardar, 3 dias após a colocação.

Uma foto recusada porque existe dúvida sobre a menoridade da pessoa representada nunca entra nessa fila: é destruída imediatamente.

Certificação do perfil (facultativa)

A certificação é uma démarche VOLUNTÁRIA: só você a pode solicitar, e o serviço funciona plenamente sem ela. Consiste em tirar uma foto de si no momento, com a câmara do seu telemóvel, reproduzindo um código apresentado no ecrã durante um período limitado.

Esta foto é transmitida à OpenAI para uma única questão: trata-se de um rosto real, nítido, corretamente iluminado e corretamente enquadrado? Nunca é comparada com a sua foto de perfil, não é objeto de qualquer reconhecimento facial de identidade, não dá origem a qualquer documento de identificação, a qualquer vídeo nem a qualquer dado de localização (os metadados da imagem são recusados). A certificação atesta um nível de confiança; não garante a identidade civil de um membro.

Se a análise aceitar a foto, o seu perfil é certificado e a foto NÃO é conservada. Se a recusar, o motivo é-lhe indicado e a foto NÃO é conservada. Se deixar uma dúvida, a foto é conservada num espaço privado para ser examinada por uma pessoa habilitada, sendo depois destruída automaticamente no fim do prazo de retenção — 3 dias por defeito, no máximo 30 dias. Apenas o resultado (certificado ou não) é visível dos outros membros.

Notificações push

As notificações push são facultativas e só funcionam com a sua autorização, dada ao seu navegador. Quando as ativa, o serviço regista o endereço de subscrição fornecido pelo seu navegador, as chaves públicas de cifragem associadas, uma impressão hashada do navegador e o tipo de plataforma — nunca o seu número, o seu email nem a sua posição.

O conteúdo de uma notificação é MÍNIMO: um tipo de evento, o pseudónimo do remetente, o identificador da conversa e, quando aplicável, o seu número total de mensagens não lidas. O texto das suas mensagens nunca aparece aí, nem qualquer foto.

Este conteúdo é cifrado segundo a norma Web Push: o serviço de notificação do seu navegador (fornecido pelo editor do seu navegador ou do seu sistema) encaminha a mensagem sem a poder ler. Pode desativar as notificações a qualquer momento; a subscrição é então eliminada.

Destinatários e subcontratantes

Os seus dados não são vendidos nem utilizados para fins publicitários. Apenas são transmitidos aos subcontratantes técnicos estritamente necessários:

• Hetzner Online GmbH (Alemanha) — alojamento dos servidores, na União Europeia ;
• Mailjet — encaminhamento dos emails transacionais ;
• OpenAI — análise de imagens: moderação automatizada da foto de perfil apenas, e, se solicitar a certificação do seu perfil, análise da foto de certificação (nunca as suas mensagens, nunca as suas fotos de mensagem, nunca os seus álbuns privados, nunca a sua posição) ;
• Capitol Mobile — envio dos códigos de verificação por SMS ;
• o serviço de notificação do editor do seu navegador ou do seu sistema (Apple, Google ou Mozilla consoante o dispositivo) — encaminhamento das notificações push, se as tiver ativado: recebe o endereço de subscrição e um conteúdo cifrado que não pode ler.

Transferências para fora da União Europeia

Os servidores que alojam o serviço e os seus dados estão localizados na União Europeia (Alemanha).

Dois tratamentos envolvem um prestador estabelecido fora da União Europeia: a moderação da foto de perfil pública e, se a solicitar, a análise da foto de certificação, confiadas à OpenAI, sociedade estabelecida nos Estados Unidos. Estas transferências estão estritamente limitadas à imagem em causa e a essa única finalidade: nem as suas mensagens, nem as suas fotos de mensagem, nem os seus álbuns privados, nem a sua posição são transmitidos.

O encaminhamento das notificações push, se as ativar, passa pelo serviço de notificação do seu navegador ou do seu sistema, que pode estar estabelecido fora da União Europeia; o conteúdo transmitido é cifrado e não pode ser lido por esse serviço.

Para qualquer questão sobre as garantias que enquadram estas transferências, escreva para bonjour@baza.fr.

Prazos de conservação

• dados da conta: conservados enquanto a conta estiver ativa ;
• eliminação da conta: apagamento imediato dos dados (ver a página Eliminação de conta) ;
• códigos de verificação SMS: efémeros, armazenados apenas sob forma hashada, de utilização única ;
• sinais de risco: eliminados automaticamente no seu vencimento, o mais tardar 90 dias após o registo (7, 14, 30 ou 90 dias consoante o tipo de sinal) ;
• impressões de texto usadas para detetar envios em massa: 31 dias, depois eliminadas ;
• foto de perfil recusada pela moderação automática e colocada em espera para revisão humana: destruída (ficheiro e registo) o mais tardar 3 dias após a colocação se nenhuma decisão for tomada, e imediatamente em caso de decisão ;
• foto de certificação que suscite dúvidas: conservada durante a revisão humana e depois destruída automaticamente no fim do prazo de retenção — 3 dias por defeito, no máximo 30 dias ; aceite ou recusada pela análise automática, não é conservada de todo ;
• subscrição de notificações push: conservada enquanto as mantiver ativas, eliminada no cancelamento da subscrição, na eliminação da conta, ou quando o serviço de notificação indicar que a subscrição já não existe ;
• registos técnicos: conservados no máximo 12 meses (obrigações legais), nunca além dos prazos legais aplicáveis ; cópias de segurança: eliminadas, o mais tardar, 30 dias após a sua criação.
• suspensão definitiva de uma conta: impressões irreversíveis (hashes) do telefone e do email são conservadas com o único objetivo de impedir o registo novamente (interesse legítimo — segurança do serviço) ; são eliminadas em caso de reabilitação da conta.

Os seus direitos (RGPD)

Dispõe dos direitos de acesso, retificação, apagamento, limitação, oposição e portabilidade sobre os seus dados. Pode exercê-los através da página Contacto.

Também pode apresentar uma reclamação junto da CNIL (cnil.fr).

Segurança

As trocas com o serviço são cifradas em trânsito. As sessões são revogáveis (o fim de sessão invalida o token). Os códigos de verificação nunca são armazenados em claro.

A sua palavra-passe não é cifrada: é HASHADA (função scrypt, com um sal único por palavra-passe). Um hash não é reversível — ninguém, incluindo nós, pode recuperar a sua palavra-passe a partir do que está armazenado.

As fotos são armazenadas fora de qualquer pasta pública e só são servidas às pessoas autorizadas (você para a sua foto de perfil, os participantes para uma foto de mensagem, os membros autorizados para um álbum privado).

Cookies e armazenamento local

O serviço não utiliza cookies publicitários. Apenas é utilizado armazenamento estritamente necessário ao funcionamento (sessão, preferências de apresentação).

Se forem adicionadas ferramentas de medição de audiência, serão objeto de informação específica e, se exigido, de um banner de consentimento prévio.

Menores

O serviço é interdito a menores. Qualquer denúncia « Menor presumido » é tratada com prioridade e implica a eliminação da conta em caso de menoridade confirmada.