Política de Privacidade do KeepWatch
Esta tradução é fornecida apenas para sua conveniência. A versão em inglês é a que prevalece; em caso de divergência, o texto em inglês tem precedência.
A versão curta. O KeepWatch encontra as câmeras na sua própria rede e mostra a você o que elas veem, sem conta. Os endereços e as credenciais das suas câmeras, o que você assiste, o que o telefone guarda para rever, as capturas e os clipes que você salva e o movimento que ele encontra ficam todos no seu telefone. Por padrão, nada sai dele além dos relatórios de falhas, que vão para um servidor que nós mesmos operamos, e de um pedido ao Firebase do Google, na abertura do app, pelas configurações remotas do app; um relatório sobre uma câmera que não conecta sai só quando você o envia, e os relatórios de uso anônimos ficam desativados até que você os ative. Se você entrar na sua conta — com a Apple, com o Google ou com um código enviado ao seu endereço de e-mail —, guardamos seu endereço de e-mail, com o Google também seu nome e um link para sua foto de perfil, e os registros que mantêm você conectado. Se você ativar a Retransmissão, o telefone de casa guarda o vídeo de todas as câmeras dele, assistidas ou não, só nesse telefone, e nos envia a lista das câmeras dele — os nomes, os endereços delas na sua rede doméstica e as credenciais delas, suas zonas e murais — selada sob uma frase-senha da Retransmissão que não conseguimos abrir, e vídeo, capturas e comandos de câmera vão selados sob a mesma frase-senha de um dos seus telefones para o outro. Os seus telefones tentam se conectar diretamente um ao outro; quando não conseguem, esse tráfego selado passa pelo nosso servidor em tempo real, sem ser armazenado, e lá também não conseguimos lê-lo. Se você ativar a Sincronização, sua configuração fica guardada no nosso servidor para os seus outros telefones, selada sob a mesma frase-senha. O Pro é comprado na App Store ou no Google Play, e nada da compra chega aos nossos servidores; se você ativou os relatórios de uso, o Firebase do Google a conta junto com o restante desses relatórios, sem vinculá-la a você. Não exibimos anúncios e não vendemos nem compartilhamos suas informações pessoais para fins publicitários.
Esta política explica quais dados o app KeepWatch ("o app") trata, o que chega à HYPER C ("nós") e o que permanece no seu telefone e na sua rede. Ela se aplica ao app no iOS e no Android, ao serviço de retransmissão por trás dele e aos e-mails que enviamos por causa dele. HYPER C é o nome comercial de 임중혁 (Joong Hyuk Im), empresário individual na República da Coreia com número de registro empresarial 494-01-04265; "nós" se refere a 임중혁, que atua como HYPER C. Dúvidas podem ser enviadas para [email protected]. Esta política é redigida em inglês e publicada também em espanhol, português, francês, japonês, chinês simplificado e coreano; as traduções são oferecidas para sua conveniência e, se alguma divergir do texto em inglês, prevalece o texto em inglês.
1. Dados que permanecem no seu telefone
O app é completo sem uma conta. Tudo de que ele precisa fica no seu telefone:
- Suas câmeras — o nome, o modelo e o endereço de cada câmera na sua rede, os endereços de stream salvos com ela e o nome de usuário com que o app entra nela, no banco de dados local do app, junto com suas zonas e murais. A senha de cada câmera, e qualquer endereço de stream que contenha credenciais, ficam guardados à parte desse banco de dados, no armazenamento seguro de chaves do seu telefone (Keychain do iOS / Android Keystore); num iPhone, só podem ser lidos naquele telefone, e só depois de ele ter sido desbloqueado após ligar. Ficam de fora do backup em nuvem do telefone e da transferência para um telefone novo, então um telefone restaurado a partir de um backup volta com as suas câmeras, mas pede de novo a senha de cada uma. O app as lê de volta para entrar nas suas câmeras, então qualquer pessoa que consiga usar seu telefone desbloqueado e o app ainda pode usá-las.
- O que você assiste — uma imagem ao vivo vem direto da câmera para o telefone pela sua própria rede. Enquanto uma câmera ou um mural está na tela, o que é reproduzido fica guardado no telefone para que você possa retroceder e rever, no armazenamento temporário do app e em nenhum outro lugar. Um telefone com a Retransmissão ligada guarda mais do que o que é assistido nele: enquanto a Retransmissão está ligada, ele guarda o vídeo de todas as câmeras dele, haja ou não alguém assistindo, no mesmo armazenamento desse telefone, para que seus outros telefones possam retroceder por ele. Ele faz isso a menos que você desligue "Guardar todas as câmeras", uma chave na aba Retransmissão, em REPRODUÇÃO, que fica ligada até você desligá-la; com ela desligada, o telefone guarda só o que é assistido nele. O que já foi guardado fica lá depois que você fecha a câmera, e depois que você desliga a Retransmissão ou essa chave, e nada é removido por ser antigo. Quanto espaço isso pode ocupar é você quem define nas Configurações, em "Espaço para reprodução": de 256 MB a 5 GB, e 1 GB se você não mudar; o que um telefone guarda porque a Retransmissão está ligada divide esse espaço com o que é assistido nele. Quando esse espaço enche, o mais antigo sai para dar lugar ao mais novo. Fora isso, tudo o que está guardado vai embora quando você desliga "Guardar o que você assiste" ou quando o limpa nas Configurações, e enquanto essa chave está desligada nada é guardado, com a Retransmissão ligada ou não; o que está guardado de uma câmera vai embora quando você remove essa câmera do app; e o que está guardado das câmeras a que você assistiu por outro dos seus telefones, pela Retransmissão, vai embora quando você sai da conta. Por ser um armazenamento temporário, o próprio sistema do telefone também pode esvaziá-lo quando o telefone fica com pouco espaço. Enquanto está lá, outro dos seus telefones conectado à mesma conta pode retroceder por esse vídeo pela Retransmissão, selado de um telefone ao outro como o vídeo ao vivo, e o nosso servidor não guarda nada dele (seção 4).
- Capturas e clipes — as capturas que você tira e os clipes que você faz do que o telefone guardou são salvos nas próprias bibliotecas do app no telefone, até que você os apague.
- Eventos — o movimento é procurado no telefone, nas imagens que estão na tela, e o que ele encontra é registrado na lista de eventos com uma imagem daquele momento. Os eventos são descartados depois do número de dias que você escolhe nas Configurações. Nenhuma câmera é solicitada a relatar movimento a nós, e nada do que o telefone encontra sai dele.
- Transmissão — se você ligar a aba Transmissão, a câmera do telefone e, com a chave Som ligada, o microfone dele são servidos aos dispositivos no mesmo Wi-Fi que os pedirem, do jeito que uma câmera os serviria, sem senha: qualquer dispositivo nesse Wi-Fi pode assistir. Se a Retransmissão também estiver ligada, o telefone oferece ainda a sua Transmissão aos seus outros telefones conectados à mesma conta, mesmo quando ele está sem Wi-Fi, pela Retransmissão e selada como tudo o mais que a Retransmissão transporta; ela só é oferecida enquanto a Transmissão está ligada e nunca é adicionada às suas câmeras, então a Sincronização não a copia. Enquanto a Retransmissão está ligada, o telefone também guarda o que a Transmissão dele envia, como gravações, a menos que você tenha desligado "Guardar todas as câmeras" na aba Retransmissão ou "Guardar o que você assiste" nas Configurações: a imagem, e também o som quando a chave Som está ligada. As gravações ficam guardadas só nesse telefone, na própria pasta de cache do app, em outro tanto do espaço que você permite em "Espaço para reprodução", de modo que, com as duas coisas, o telefone pode chegar a guardar até o dobro desse valor, e o mais antigo sai primeiro. Você pode descartar uma gravação ou todas na aba Transmissão, em GRAVAÇÃO, em "Gravado agora", e todas vão embora quando você desliga "Guardar o que você assiste"; limpar o que está guardado nas Configurações remove o vídeo guardado das suas câmeras e deixa as gravações de uma Transmissão onde estão. Quem pode assistir à Transmissão pode retroceder pelas gravações dela do mesmo jeito: qualquer dispositivo nesse Wi-Fi, sem senha, e seus outros telefones pela Retransmissão; o nosso servidor não guarda nada disso. Fora isso, uma gravação só sai do app quando você a compartilha ou a salva em Fotos, como vídeo, a partir dessa página. Com a Retransmissão desligada, ou com "Guardar todas as câmeras" desligada, uma Transmissão não guarda nada de novo; o que ela guardou antes, incluídas as gravações feitas por uma versão anterior do app, fica até o espaço ser necessário ou até você descartá-lo. A câmera e o microfone não são usados para mais nada, e nenhum dos dois é tocado até que você ligue a chave.
- Arquivos de configuração — um arquivo de configuração que você exporta contém os nomes, os endereços e os streams das suas câmeras, suas zonas e murais, a área de movimento de cada câmera e suas configurações. As credenciais das câmeras só entram se você selar o arquivo com uma frase-senha, e mesmo assim só seladas. O arquivo vai só para onde você o enviar.
- Configurações do app e suas respostas — o tema, o idioma, suas configurações de streaming, reprodução, movimento e alertas, se você disse sim aos relatórios de uso, guardado para que não perguntemos de novo, e o que a App Store ou o Google Play disse por último sobre o Pro.
- Sua conta e as chaves da Retransmissão — se você entrar na sua conta, os tokens que mantêm você conectado ficam no armazenamento seguro de chaves do seu telefone (Keychain do iOS / Keystore do Android). Se você definir uma frase-senha da Retransmissão, o telefone guarda ali uma chave derivada dela, nunca a própria frase-senha; um telefone que assiste pela Retransmissão, ou que sincroniza uma configuração que outro telefone selou, guarda a chave que derivou quando você digitou a frase-senha nele. Nada disso chega a nós.
As permissões seguem as mesmas linhas. Em um iPhone, a permissão de rede local é o que deixa o app encontrar suas câmeras e falar com elas; a câmera e o microfone são usados apenas pela Transmissão; e ao app Fotos é pedido apenas acesso para adicionar, de modo que o app pode colocar ali uma captura, um clipe ou uma gravação e não consegue ver o que já está lá.
2. O que sai do seu telefone por padrão
Sem uma conta, estas são as únicas coisas que saem do telefone: três por conta própria, e uma quarta só quando você a envia.
- Relatórios de falhas e de erros — enviados a um servidor de rastreamento de erros que nós mesmos operamos (GlitchTip, compatível com Sentry), e não a terceiros. Um relatório contém o erro, a versão do app, o modelo do dispositivo e a versão do sistema operacional, e pode citar o endereço de uma câmera na sua rede. As senhas das câmeras, a parte de credenciais de qualquer endereço de stream e, se você tem uma conta, seu endereço de e-mail e seus tokens são removidos de todo relatório antes do envio. Os campos de identificação pessoal e as capturas de tela estão desativados no cliente de relatórios: uma captura de tela deste app seria uma imagem do interior da sua casa.
- Um relatório de problema com uma câmera, só se você o enviar — quando uma câmera não aparece na busca ou não conecta, os passos para adicionar uma câmera e a página de uma câmera salva oferecem "Ainda não aparece? Envie um relatório" ou "Ainda não conecta? Envie um relatório". Nada é enviado até você tocar em Enviar na folha que se abre, que diz o que vai. O relatório vai como um evento próprio para o mesmo servidor de rastreamento de erros dos relatórios de falhas, e leva o passo em que você estava, a nota que você escrever, se escrever uma, os endereços e modelos das câmeras envolvidas e o que cada uma respondeu, até 200 linhas do registro recente do app, e a versão do app, o modelo do dispositivo e a versão do sistema operacional que um relatório de falhas leva. Nunca inclui uma senha: o que você digitou no campo de senha, e as credenciais de qualquer endereço, são retirados de todo o conteúdo antes do envio. A tela Privacidade e dados do app o lista como "Um relatório que você nos envia".
- Os relatórios de uso ficam desativados até que você os ative. O app usa o Google Analytics para Firebase para contar quais telas são abertas e quais passos são dados — uma câmera adicionada, um stream aberto, um clipe salvo — junto com alguns fatos genéricos sobre como o app está configurado, como se ele tem uma câmera ou várias, nunca o número. Enquanto ela está ativada, o SDK do Firebase também mede por conta própria as compras feitas no app pela App Store ou pelo Google Play — qual produto foi comprado, seu nome e seu preço — como eventos iguais aos outros (seção 6). A coleta está desativada nas configurações de compilação do app e continua desligada até que você marque a caixa no fim da apresentação da primeira abertura ou ligue o botão em Configurações → Seus dados. Quando está ativada, os eventos são vinculados a um identificador anônimo da instância do app, nunca a uma conta, e o app é feito de modo que nenhum evento possa carregar o nome de uma câmera, seu endereço, um nome de usuário ou senha, o nome de uma zona ou de um mural, ou uma imagem. Os consentimentos relacionados a publicidade são negados ao SDK, independentemente do que você escolher. Desativar os relatórios também pede ao Google que apague o identificador anônimo, de modo que os eventos anteriores ficam órfãos em vez de esperar pelo restante de um perfil.
- As configurações remotas do app — a cada abertura, o app pede ao Firebase Remote Config do Google as poucas configurações que mudamos por lá, como se o Pro está à venda. O pedido leva um identificador que o Firebase cria para esta instalação do app, que não está vinculado à sua conta nem ao hardware do seu telefone, junto com a versão do app e a versão do sistema operacional, o idioma, a região configurada e o fuso horário do telefone, que o Firebase usa para escolher quais configurações enviar. Ele não leva nada sobre as suas câmeras e é feito quer os relatórios de uso estejam ativados, quer não.
As imagens das suas câmeras nunca saem do telefone por esse caminho, e nada do que sai diz mais sobre onde você mora do que a região e o fuso horário configurados no seu telefone.
3. Dados que recebemos se você entrar na sua conta
Entrar na conta é opcional. Isso existe para que a Retransmissão e a Sincronização possam unir os telefones que pertencem à mesma pessoa. Você entra com a Apple, com o Google ou com um endereço de e-mail que recebe um código de seis dígitos; não há senha para definir conosco. Cada forma de entrar leva a uma conta própria: nunca unimos contas pelo endereço de e-mail, então entrar com a Apple e depois com um código enviado ao mesmo endereço dá a você duas contas separadas.
- Identidade da conta — seu endereço de e-mail e o idioma que seu telefone usa, para que possamos escrever a você nesse idioma.
- Apple ou Google — se você entrar com a Apple ou com o Google, recebemos o identificador que a Apple ou o Google nos dá para a sua conta, que é como reconhecemos você da próxima vez, e o seu endereço de e-mail: da Apple, o que você escolheu compartilhar, que pode ser um endereço de retransmissão privada que a Apple encaminha para o seu; do Google, o seu endereço, se o Google o tiver verificado. O acesso pelo Google também traz o nome da sua conta do Google e um link para a foto de perfil dela, que guardamos: o nome só para nos dirigirmos a você nos e-mails que enviamos, e o link como ele chega, sem baixar a foto. O app não pede o seu nome à Apple. Da Apple guardamos também, criptografado, um token cujo único uso é revogar o acesso do KeepWatch à sua conta Apple quando você exclui a sua conta do KeepWatch, como a Apple exige. A Apple nos avisa se você deixar de usar a sua conta Apple com o KeepWatch, excluir essa conta Apple ou desligar o encaminhamento para um endereço de retransmissão privada, e então encerramos as suas sessões; removemos essa forma de entrar, agendando a exclusão da sua conta se ela era a única; ou paramos de escrever para esse endereço. Nunca vemos a sua senha da Apple nem do Google.
- Códigos de acesso — para um acesso por e-mail, guardamos uma cópia com hash de cada código, junto com o endereço de e-mail para o qual ele foi enviado, qual app o pediu e um endereço de rede truncado, para que os códigos possam ser limitados e os abusos, detectados. Um código expira em minutos e é gasto depois de algumas tentativas erradas; o registro dele nunca contém o código de forma legível e não está vinculado à sua conta.
- Sessões — um token de renovação com hash por telefone conectado, o nome do telefone, o identificador do app e um endereço de rede truncado. Um token de renovação expira depois de 60 dias, e um telefone cujo token expirou precisa entrar de novo; sair da conta encerra a sessão imediatamente. O registro de uma sessão encerrada permanece, marcado como encerrado, até que sua conta seja excluída.
- Registros de telefones — cada telefone em que você entra na conta se registra com um identificador de instalação que o app criou para a Retransmissão (um número aleatório, não o identificador de hardware do seu telefone), o nome que você dá ao telefone, se ele é um iPhone ou um telefone Android, a versão do app que ele executa, se a Retransmissão está ativada nele e quando ele se conectou pela última vez.
- Registros de auditoria — um histórico de ações relevantes na sua conta, como acessos e exclusão, com um endereço de rede truncado, mantido por segurança e para responder a contestações.
Os endereços de rede são truncados antes de serem armazenados no nosso banco de dados — para /24 no IPv4 e /48 no IPv6 — de modo que o que guardamos ali identifica uma vizinhança, não um dispositivo. Os registros de requisições dos nossos servidores, mantidos por tempo limitado, podem conter o endereço completo de onde veio uma requisição.
4. Dados que recebemos se você ativar a Retransmissão ou a Sincronização
A Retransmissão permite assistir às câmeras de casa a partir de outro telefone conectado à mesma conta. O telefone de casa mantém uma conexão aberta com o nosso servidor enquanto o app está em primeiro plano, o telefone fora de casa se conecta ao mesmo servidor, e o nosso servidor une os dois: ele os ajuda a se conectar diretamente um ao outro e, quando não conseguem, leva ele mesmo o tráfego entre eles. Para isso, três tipos de dados passam por nós:
- Sua biblioteca de câmeras, selada — para que o outro telefone possa mostrar a mesma grade, o telefone de casa publica uma descrição do que ele assiste: o nome, o modelo e o endereço de cada câmera na sua rede doméstica, os endereços de stream e o nome de usuário e a senha salvos com ela, suas zonas e murais e, enquanto a Transmissão dele estiver ligada, o próprio telefone, para que os seus outros telefones também possam assisti-lo. Tudo isso é selado antes de sair do telefone de casa: é criptografado com uma chave derivada de uma frase-senha da Retransmissão que você escolhe, e só um telefone em que você digitou essa frase-senha consegue abri-lo; por isso a Retransmissão não funciona até você definir uma. Armazenamos a cópia selada, para a qual não temos chave, com um pequeno cabeçalho que diz apenas quais versões do formato de configuração e da selagem da Retransmissão o telefone usa. Ela é enviada de novo sempre que algo muda, e a cópia mais recente fica armazenada em nossos servidores até que o telefone seja removido da conta ou a conta seja excluída. Conseguimos ver o tamanho da cópia selada e quando ela muda, nunca o que ela contém, e não conseguimos mudar o que ela contém sem que os seus outros telefones a recusem; o que poderíamos fazer é deixar de entregar uma cópia nova, ou entregar uma mais antiga. Se você esquecer a frase-senha, não conseguimos recuperá-la; você define uma nova no telefone de casa e a digita de novo nos outros.
- Dados de conexão — para que os seus telefones possam tentar se conectar diretamente um ao outro, o nosso servidor passa a cada um os dados de conexão do outro enquanto eles se conectam: descrições de sessão e candidatos de rede do WebRTC, que contêm os endereços IP e as portas dos telefones. Ele os repassa e não os armazena.
- Tráfego retransmitido, selado — quando os seus telefones não conseguem se conectar diretamente um ao outro, a imagem e o som ao vivo — entre eles a Transmissão do próprio telefone —, as capturas, os comandos de giro, inclinação e zoom e outros comandos de câmera, as listagens de gravações e o vídeo que o telefone de casa guardou passam todos pelo nosso servidor entre os seus telefones, em tempo real. Tudo isso vai selado de ponta a ponta, de um dos seus telefones para o outro, com a mesma chave da sua biblioteca de câmeras, assim como o endereço da câmera a que cada parte se destina: o nosso servidor não consegue ler nada disso, e o que for alterado, perdido ou repetido no caminho não abre no seu telefone e não vai adiante. O servidor vê apenas o que precisa para encaminhar o tráfego — que tipo de mensagem é cada pedaço, a qual das suas conexões ele pertence, qual o seu tamanho e quando ele passa —, então consegue saber quanto passa entre os seus telefones e quando, mas não o quê. Ele encaminha o tráfego e não guarda nada: nada dele é armazenado. O que nossos registros anotam é quando a conexão de cada um dos seus telefones com a retransmissão foi aberta e fechada, e nada sobre o que passou por ela. Além da selagem, a conexão entre cada telefone e o nosso servidor também é criptografada.
Quando os seus telefones se conectam diretamente, o tráfego das câmeras não passa por nós. Para encontrar um caminho entre eles, cada telefone pede a um servidor STUN público — por padrão, o do Google (stun.l.google.com) e o da Cloudflare (stun.cloudflare.com) — o seu endereço IP e a sua porta públicos, e depois os dois se conectam um ao outro com WebRTC. Uma vez conectados, o vídeo das câmeras, as credenciais usadas com as suas câmeras e o restante do tráfego das câmeras viajam de um dos seus telefones para o outro selados com a chave da sua frase-senha da Retransmissão, assim como o tráfego retransmitido, e também dentro da criptografia própria do WebRTC (DTLS); o nosso servidor não os vê. Por isso, cada um dos seus telefones fica sabendo o endereço IP do outro. A conexão une apenas os seus próprios telefones, e nada é compartilhado com outros usuários.
Enquanto a Retransmissão está ativada, também sabemos se o telefone de casa está conectado e quantos dos seus telefones estão assistindo por ele, que é o que o app mostra a você; isso não é guardado depois que a conexão termina.
A Retransmissão funciona apenas entre telefones conectados à mesma conta. Ninguém mais pode receber acesso às suas câmeras por meio dela, e nós mesmos não temos nenhuma visão delas.
A Sincronização mantém a sua configuração igual em todos os telefones conectados à sua conta que tenham a chave Sincronização ligada, no topo das Configurações; ela fica desligada até que você a ligue. O que ela guarda no nosso servidor é uma cópia por conta do que um arquivo de configuração contém: os nomes, os endereços e os streams das suas câmeras com as credenciais delas, suas zonas e murais, a área de movimento de cada câmera e suas configurações. Tudo isso é selado no telefone antes de sair, sob a mesma frase-senha da Retransmissão e vinculado à sua conta, então não conseguimos lê-lo e uma cópia levada para outra conta não abre; ao lado dela guardamos apenas um cabeçalho que diz qual versão do formato de configuração ela usa. Como na Retransmissão, conseguimos ver o tamanho da cópia e quando ela muda, nunca o que ela contém, e o que poderíamos fazer é deixar de guardar uma cópia nova ou devolver uma mais antiga. Eventos, capturas, clipes, vídeo guardado e gravações da Transmissão nunca vão para a Sincronização: ficam no telefone que os fez.
Desligar a Sincronização em um telefone faz esse telefone parar de sincronizar e deixa a cópia da conta para os seus outros telefones; a cópia é excluída junto com a sua conta. Se você esquecer a frase-senha, não conseguimos recuperá-la nem abrir a cópia: defina uma nova em um dos seus telefones, que sela a cópia de novo com ela, e digite-a nos outros.
5. E-mails que enviamos
Só enviamos e-mail por causa de algo que você fez: um código de acesso e avisos de que a exclusão da sua conta foi agendada ou concluída. Se você entrou com a Apple e escolheu ocultar o seu endereço, essas mensagens vão para o endereço de retransmissão privada que a Apple nos deu, e a Apple as encaminha. As mensagens são entregues pelo Amazon Simple Email Service, operado pela Amazon Web Services nos Estados Unidos. Mantemos um registro dos avisos de conta que enviamos e para quem — um código de acesso é enviado na hora e não deixa esse registro — e uma lista de endereços que retornaram erro ou que pediram para parar, para que não continuemos escrevendo para eles.
6. Compras
O KeepWatch Pro é uma assinatura que você compra pela App Store ou pelo Google Play. A Apple ou o Google recebe o pagamento, segundo os próprios termos e a própria política de privacidade, e os nossos servidores nunca recebem o número do seu cartão, seus dados de cobrança nem nada mais sobre a compra — nem mesmo um recibo ou uma confirmação de que ela está ativa. O app pergunta à loja no seu telefone, a cada abertura e quando você volta ao app, se o seu ID Apple ou a sua conta do Google tem o Pro, e guarda no telefone a última resposta da loja para que o Pro funcione sem sinal. O próprio app não envia uma compra a lugar nenhum, e não usamos nenhum serviço de compras, nem nosso nem de terceiros. A única exceção são os relatórios de uso: se você os ativou, o Google Analytics para Firebase, que o app usa para esses relatórios, percebe as compras feitas no app pela App Store ou pelo Google Play e registra qual produto foi comprado, seu nome e seu preço, vinculados ao mesmo identificador anônimo da instância do app que os outros eventos de uso e nunca à sua conta do KeepWatch nem à sua conta da loja. Com os relatórios de uso desativados, ele não registra nada sobre uma compra. O Pro pertence à conta da loja que o comprou, não à sua conta do KeepWatch: funciona sem entrar na conta e não acompanha você até um telefone que usa a outra loja.
7. O que não fazemos
Não vendemos suas informações pessoais, não as compartilhamos para publicidade comportamental entre contextos e não exibimos anúncios. O app não tem nenhum SDK de publicidade e não solicita a permissão de identificador de publicidade. Não assistimos às suas câmeras, e não temos como: sem a Retransmissão, nada delas chega a nós, e com ela as imagens viajam seladas de um dos seus telefones para o outro, diretamente ou, quando eles não conseguem se conectar diretamente, através do nosso servidor, que não consegue abri-las e não armazena nada delas. Não conseguimos ler a sua biblioteca de câmeras nem a sua configuração sincronizada — os nomes, os endereços e as senhas das suas câmeras —, que chegam a nós apenas seladas. Não coletamos seus contatos, sua localização, suas fotos nem qualquer outra coisa fora do que esta política lista.
8. Retenção e exclusão
- No seu telefone — o vídeo guardado de uma câmera, incluído o que um telefone com a Retransmissão ligada guarda de todas as câmeras dele, não é removido por ser antigo: fica até o espaço para reprodução encher, quando o mais antigo sai para dar lugar ao mais novo, e vai embora antes se você desligar "Guardar o que você assiste", remover a câmera do app ou, no caso das câmeras assistidas por outro dos seus telefones, sair da conta (seção 1); pode ser limpo a qualquer momento nas Configurações. Desligar a Retransmissão ou "Guardar todas as câmeras" faz com que nada mais seja guardado e não remove nada do que já está guardado. Os eventos vão embora depois dos dias que você definiu. As capturas e os clipes ficam até que você os apague. As gravações de uma Transmissão ficam até o espaço delas encher, quando o mais antigo sai primeiro, ou até você descartá-las na aba Transmissão ou desligar "Guardar o que você assiste"; limpar o que está guardado nas Configurações não as remove, e as que uma versão anterior do app fez ficam do mesmo jeito. Desinstalar o app remove todos os dados locais, conforme as configurações de backup do seu sistema operacional.
- Sua conta — você pode excluí-la dentro do app (toque em Conta no cartão no topo de Configurações e depois em Apagar conta) ou pedindo a nós. A exclusão tem um período de carência de 14 dias, mostrado quando você a solicita; entrar novamente antes do fim desse prazo cancela o pedido. Depois disso, sua conta, os registros dos seus telefones, sua biblioteca de câmeras selada, sua configuração sincronizada selada e suas sessões são removidos definitivamente dos nossos servidores, e, se você entrou com a Apple, pedimos à Apple que revogue o acesso do KeepWatch à sua conta Apple. As entradas de auditoria perdem o vínculo com você no mesmo momento.
- Um telefone que você remove — remover um telefone da sua conta no app apaga imediatamente o registro dele e a biblioteca que ele publicou. Desativar a Retransmissão no telefone de casa fecha a conexão dele, e nada é retransmitido até que você a ative de novo.
- Códigos de acesso e sessões — os códigos expiram em minutos e nunca ficam guardados de forma legível; as sessões terminam quando você sai da conta, quando o token delas expira ou quando a conta é excluída, e seus registros vão embora com a conta.
- Tráfego retransmitido e dados de conexão — nenhum dos dois é armazenado, então não há nada a excluir, e o que viaja diretamente entre os seus telefones nunca chega a nós. As linhas de registro sobre as conexões, como os demais registros dos nossos servidores, são mantidas por tempo limitado para operar e proteger o serviço, e depois apagadas.
- Backups — nosso banco de dados é copiado periodicamente. Os backups são criptografados antes de deixar nossa infraestrutura e são mantidos de forma rotativa, de modo que uma conta excluída permanece em um backup por um tempo limitado após a exclusão e depois expira.
- Relatórios de falhas, relatórios de problemas e eventos de uso — mantidos apenas pelo tempo necessário para depuração, para melhorar o suporte a câmeras e para decisões de produto, e depois excluídos conforme as configurações de retenção do nosso rastreador de erros e do Firebase. O Firebase exclui o identificador de instalação usado pelas configurações remotas do app depois de um longo período sem uso.
9. Bases legais
Onde o GDPR ou o GDPR do Reino Unido se aplica, tratamos seus dados com estas bases: execução de um contrato para a conta, a Retransmissão e a Sincronização que você pediu; interesses legítimos para os relatórios de falhas, os relatórios de problemas com câmeras que você decide enviar, as configurações remotas do app, a segurança, a prevenção de abusos, os registros de auditoria e os registros dos nossos servidores; e consentimento para os relatórios de uso e para o que mais a lei exigir. Onde se aplica a Lei de Proteção de Informações Pessoais da Coreia, os relatórios de uso são um item de consentimento opcional e recusá-lo não limita o serviço.
Não usamos seus dados para decisões automatizadas com efeitos jurídicos.
10. Seus direitos
Se você está na UE, no EEE ou no Reino Unido, tem o direito de acessar, corrigir, excluir e receber uma cópia dos seus dados pessoais, de se opor ao tratamento ou restringi-lo e de retirar o consentimento a qualquer momento. Você também pode apresentar uma reclamação à autoridade de controle do seu país.
Se você é residente da Califórnia, tem o direito de saber quais informações pessoais coletamos, de excluí-las, de corrigi-las e de recusar sua venda ou compartilhamento. Não vendemos nem compartilhamos informações pessoais conforme a definição da CCPA/CPRA, e não discriminamos você por exercer seus direitos.
Se você está na Coreia, tem os direitos que a Lei de Proteção de Informações Pessoais lhe dá de acessar, corrigir, excluir e suspender o tratamento das suas informações pessoais, e de retirar o consentimento.
A forma mais rápida de exercer a maioria dos direitos é dentro do próprio app: os relatórios de uso são um botão e a exclusão da conta já vem embutida. Para qualquer outra coisa, incluindo uma cópia dos seus dados, escreva para [email protected]; respondemos dentro dos prazos que a lei aplicável exige. A sua biblioteca de câmeras e a sua configuração sincronizada chegam a nós apenas seladas, então uma cópia só pode incluí-las como texto cifrado, e o vídeo retransmitido não é guardado, então não há nada dele para copiar.
11. Transferências internacionais
Nossos servidores podem estar fora do seu país, e dois dos nossos operadores estão nos Estados Unidos: a Amazon Web Services, para a entrega de e-mails e os backups criptografados, e o Google, para os relatórios de uso e as configurações remotas do app. Onde a legislação de proteção de dados exige, as transferências se apoiam em salvaguardas apropriadas, como as Cláusulas Contratuais Padrão da Comissão Europeia ou uma decisão de adequação. A República da Coreia é coberta por uma decisão de adequação da UE.
12. Crianças
As contas do KeepWatch são para pessoas com 14 anos ou mais, ou mais onde a lei do lugar em que você vive fixa uma idade mínima maior para o consentimento ao tratamento de dados. Não coletamos conscientemente dados pessoais de crianças. Se você acredita que uma criança nos forneceu dados, entre em contato e nós os excluiremos.
13. Segurança
A sua biblioteca de câmeras e a sua configuração sincronizada, credenciais incluídas, são seladas no seu telefone antes de chegarem a nós, e o que a Retransmissão transporta vai selado de um dos seus telefones para o outro, sob uma frase-senha que nunca vemos. No próprio telefone, as senhas das câmeras ficam no armazenamento seguro de chaves dele e fora dos backups. Tudo entre o app e os nossos servidores trafega por conexões criptografadas, assim como o que os seus telefones enviam um ao outro por uma conexão direta (DTLS). Os tokens de sessão são armazenados com hash, o token que a Apple nos dá é armazenado criptografado, os endereços de rede são truncados antes de serem armazenados no nosso banco de dados, o tráfego retransmitido é encaminhado sem ser armazenado e o rastreamento de erros roda em servidor próprio com os campos de identificação desativados e as senhas das câmeras removidas. A segurança das suas próprias câmeras — as senhas, o firmware, quem mais está na sua rede — é sua, assim como a escolha de fazer do seu telefone uma câmera para todos no seu Wi-Fi com a Transmissão. Se você encontrar um problema de segurança, por favor nos avise em [email protected] em vez de publicá-lo; preferimos saber cedo e em particular.
14. Operadores e terceiros
Usamos um número pequeno de operadores, cada um recebendo apenas o que seu papel exige:
- Google Firebase — as configurações remotas do app, e os relatórios de uso, com a medição de compras nas lojas, somente se você os ativar.
- Amazon Web Services — entrega de e-mails e armazenamento criptografado dos nossos backups.
- Nossa própria hospedagem — o serviço de retransmissão, seu banco de dados e o servidor de rastreamento de erros.
Suas câmeras não são nossos operadores: o app fala com elas em seu nome, na sua rede, e os fabricantes delas não ficam sabendo de nada por nós.
A Apple e o Google não são nossos operadores quando você entra com eles ou compra o Pro nas lojas deles: você lida com eles diretamente, segundo as políticas de privacidade deles, e o que chega a nós de um acesso é o que a seção 3 lista.
Os servidores STUN públicos aos quais os seus telefones pedem o próprio endereço quando a Retransmissão os conecta diretamente — por padrão, os do Google e da Cloudflare — também não são nossos operadores: cada telefone consulta um deles por conta própria, esse servidor vê o endereço IP e a porta públicos do telefone, e nós não enviamos nada a ele.
15. Mudanças nesta política
Se mudarmos esta política de forma relevante, atualizaremos a data acima e, no caso de mudanças materiais que afetem usuários com conta, avisaremos você no app. Continuar usando o app após uma mudança significa que a política atualizada se aplica.
16. Contato
임중혁(HYPER C)
Responsável pela privacidade nos termos da Lei de Proteção de Informações Pessoais da Coreia: 임중혁
[email protected] para qualquer assunto sobre seus dados
[email protected] para problemas de segurança