Pulso

1. Resumo

• O Pulso não pede contas. Sem cadastro, sem login, sem nome, email, telefone ou senha.
• O Pulso não segue você pelo mapa. O mapa é sempre centrado no Vale do Aburrá, não em você, e sua posição nunca é armazenada nem transmitida. Tanto no Android quanto no iOS, o aplicativo pode fazer uma única leitura da sua localização, e somente se você permitir: essa leitura é comparada com os limites municipais incluídos no aplicativo, o nome da zona é guardado e a coordenada é descartada na hora. No iOS, essa leitura se repete quando você abre o aplicativo, para que a previsão abra no município onde você está agora e não em um onde você esteve certa vez; continua sendo uma única leitura em primeiro plano que termina como o nome de uma zona. Nunca há rastreamento contínuo, uso em segundo plano nem histórico. Veja a seção 3.7.
• O Pulso não faz rastreamento de publicidade. Sem identificadores de publicidade (IDFA/AAID), sem redes de anúncios, sem intermediários de dados, sem perfilamento. No iOS o aplicativo não mostra o aviso de transparência de rastreamento (ATT) porque não rastreia.
• Nunca vendemos nem compartilhamos seus dados com terceiros.
• Suas preferências nunca saem do seu dispositivo.
• O que é coletado é informação técnica e agregada de falhas, desempenho e uso, descrita na seção 3.

2. Informações que você nos fornece

O Pulso não tem contas nem cadastro. Existe um recurso pelo qual você pode nos enviar informações, e é sempre você quem o inicia.

2.1 Sugestões e relatos de falhas

Em Ajustes → Enviar uma sugestão ou relatar uma falha (também disponível na aba Informações) você pode nos escrever. Antes do envio, o aplicativo mostra exatamente o que será enviado, com os valores reais, em um bloco expansível chamado «O que é enviado».

Enviado:

• Sua mensagem, como você a escreveu (1000 caracteres no máximo).
• A categoria que você escolher, se escolher alguma (sugestão, falha ou dúvida). É opcional.
• Detalhes técnicos que tornam o problema reproduzível: camada ativa, submétrica de ar, versão e build do Pulso, plataforma, versão do sistema operacional, modelo do aparelho, idioma, a hora da última atualização de dados, se dados em cache estavam sendo exibidos, se havia conexão, e quantas fontes de dados responderam de quantas.

Não enviado, deliberadamente:

• Sua localização. Nem a coordenada, nem o município que você possa ter salvado, nem o centro do mapa que estava na tela.
• Nenhum identificador do seu aparelho. Nem o token de notificação, nem um identificador de instalação, nada que permitisse ligar dois dos seus relatos entre si.
• Os dados do SIATA que você estava vendo.

Como nenhum identificador é enviado, não temos como saber quais relatos são seus, nem ligá-los a você ou entre si. Isso é intencional, e tem uma consequência que vale dizer com clareza: também não podemos recuperar nem apagar um relato específico a seu pedido (veja a seção 8).

Para evitar abusos, nosso servidor processa momentaneamente o endereço IP de onde um relato chega, apenas para limitar quantas mensagens uma mesma origem pode enviar. Esse endereço não é guardado junto com o relato; ele vira um valor com hash de mão única que muda diariamente e é descartado em algumas horas.

Os relatos são mantidos por no máximo 400 dias (veja a seção 7).

2.2 Email

Se você escrever voluntariamente para grappestudio@gmail.com, tratamos seu endereço e sua mensagem apenas para responder a você.

3. Informações coletadas automaticamente

O Pulso usa serviços do Firebase, da Google LLC, que atua como nosso encarregado do tratamento.

3.1 Relatórios de falhas (Firebase Crashlytics)

Quando o aplicativo fecha inesperadamente ou registra um erro, um relatório é enviado contendo o rastreamento da falha, o modelo do dispositivo, a versão do sistema operacional, a versão do aplicativo, o estado de memória e disco, e um identificador de instalação gerado pelo Firebase.

Anexamos três chaves próprias para que uma falha possa ser reproduzida: a camada do mapa ativa (layer), a versão do aplicativo (app_version) e o idioma do dispositivo (locale).

Finalidade: corrigir erros. Base legal: interesse legítimo em manter o aplicativo funcionando.

3.2 Desempenho (Firebase Performance Monitoring)

Tempo de inicialização do aplicativo, tempo de renderização de tela e duração das requisições de rede, com dados técnicos do dispositivo e da rede — tudo coletado automaticamente pelo SDK.

O Pulso acrescenta duas traces próprias, que medem apenas durações:

Nenhuma das duas carrega qualquer coisa que você tenha digitado, nem a sua localização.

Isso é regido pelo mesmo interruptor da analítica de uso — Ajustes → Privacidade → «Compartir estadísticas de uso» também desativa a coleta de desempenho, incluindo a parte automática descrita acima.

Finalidade: detectar lentidão e requisições que falham.

3.3 Analítica de uso (Firebase Analytics)

O Pulso registra 47 eventos próprios. Nenhum deles contém nada que você tenha digitado, e nenhum contém a sua localização nem qualquer coisa derivada dela.

Três deles merecem ser detalhados, porque são os que você razoavelmente se preocuparia:

• home_zone_set registra apenas como um município foi escolhido — por uma leitura de localização ou pela lista. Ele não registra qual. Nada derivado da sua localização é jamais anexado a um evento de analítica.
• feedback_submit registra apenas que uma mensagem foi enviada e se deu certo. Nunca contém a mensagem.
• request_timing registra quanto tempo levou uma requisição a uma fonte de dados pública. O endereço é primeiro reduzido a um padrão — qualquer query string é descartada e quaisquer dígitos são substituídos — de modo que identifica o endpoint, nunca uma requisição específica, e não pode carregar nenhum token.

Também anexamos a esta instalação um pequeno número de propriedades de usuário para que os números possam ser lidos por segmento: suas preferências de aparência, temperatura e unidades, se as permissões de notificação e localização foram concedidas, se um município de referência está definido (um sim/não, nunca qual), e qual camada do mapa esta instalação mais usa.

Você pode desativar tudo isso. Ajustes → Privacidade → «Compartir estadísticas de uso». Vem ativado por padrão, e desativá-lo impede que o Firebase Analytics colete qualquer coisa desta instalação, incluindo os eventos automáticos descritos no parágrafo seguinte. Os relatórios de falhas (§3.1) são separados e continuam ativos, para que uma falha que você encontre ainda possa ser corrigida.

Você também deve saber que o próprio SDK do Firebase Analytics coleta, por conta própria e de forma padrão, eventos automáticos (primeira abertura, sessões, atualização do aplicativo), características do dispositivo, e uma localização aproximada de nível de país ou região derivada do endereço IP — não do GPS. Essa dedução é feita pela Google, não pelo Pulso, e não dá ao Pulso a sua localização.

Os eventos são associados a um identificador de instância do aplicativo criado pelo Firebase. Ele não está vinculado ao seu nome, email ou conta, e é redefinido se você desinstalar e reinstalar o aplicativo.

Finalidade: entender quais partes do aplicativo são usadas, para decidir o que melhorar.

3.4 Configuração remota (Firebase Remote Config)

O aplicativo consulta periodicamente uma configuração no servidor (quais camadas mostrar, se há um aviso de manutenção, se os alertas estão ativados). A requisição transmite o identificador de instalação e dados técnicos do dispositivo. Nada sobre seu uso é enviado.

3.5 Notificações (Firebase Cloud Messaging e APNs)

Os alertas do Pulso são difusões por tópico (alerts_v1): o dispositivo se inscreve e o servidor publica uma mensagem para todos os inscritos.

Isso tem uma consequência deliberada a seu favor: o Pulso não armazena, não transmite e não mantém nenhum registro do identificador do seu dispositivo. Não existe um banco de dados de dispositivos, porque a entrega por tópicos não precisa de um.

O nome do tópico depende do que você escolhe na tela Alertas:

• um tópico por risco que você tiver ativado, por exemplo alerts_v1_river;
• e, se você salvar lugares em «Meus lugares», um tópico por lugar, por exemplo alerts_v1_river_envigado.

⚠️ Você deve saber o que isso implica. O Pulso não recebe essa informação, mas a inscrição é feita junto ao Firebase Cloud Messaging (Google), de modo que a Google pode saber que este aparelho ouve alertas de cheia de um município específico. Esse é o preço de o seu telefone não tocar por alertas do outro extremo do vale. Se preferir evitar isso, não salve lugares: sem lugares salvos, o aparelho se inscreve apenas no tópico de todo o vale, que não diz nada sobre onde você está.

O seu sistema operacional gera um token de notificação (FCM no Android, APNs no iOS) que fica no dispositivo. Ele só aparece nas versões internas de desenvolvimento, na tela Informações, para que se possa enviar uma notificação de teste manualmente; copiá-lo é uma ação sua, nunca automática. As versões publicadas não o mostram em nenhuma tela.

3.6 Verificação do aplicativo (Firebase App Check — apenas iOS)

Em versões publicadas, o iOS usa o App Attest da Apple para certificar ao nosso servidor que uma requisição vem de uma cópia autêntica do Pulso e não de um script. É uma verificação criptográfica do dispositivo; não identifica uma pessoa.

3.7 Localização (uma única leitura, opcional)

Esta seção descreve a única forma pela qual o Pulso pode usar sua localização.

O que acontece. O aplicativo pode pedir permissão para fazer uma leitura de posição. No iOS, isso acontece quando você toca «Usar minha localização» na tela de Alertas, e ao abrir o aplicativo na previsão se a permissão já tiver sido concedida. No Android, acontece na primeira vez que você abre a previsão, se permitir. O aplicativo então compara essa leitura com os limites municipais incluídos no aplicativo, obtém o nome da zona — envigado, por exemplo — e descarta a coordenada na hora.

Por que o iOS repete ao abrir. Porque um município salvo fica desatualizado: quem se mudou, ou quem certa vez tocou em outro município no mapa por curiosidade, continuava vendo aquela previsão para sempre, mesmo com a permissão concedida. Cada leitura substitui a anterior — elas não se acumulam, nenhuma é armazenada e nenhuma sai do telefone. O que você escolhe à mão, no seletor ou tocando no mapa, prevalece pelo resto da sessão.

Se você não conceder a permissão, nenhum município é selecionado. O aplicativo não adivinha um nem mantém um deduzido de uma leitura anterior: a previsão abre sem município até que você escolha. O que você escolheu à mão é mantido, porque não é um palpite.

O que é guardado: o nome da zona, no aparelho. O que nunca é armazenado nem transmitido: a coordenada, a altitude, a precisão, a velocidade, a hora da leitura, ou qualquer histórico. Nada disso é anexado a um evento de analítica, a um relatório de falha ou a uma sugestão.

Não há rastreamento contínuo. O aplicativo não usa localização em segundo plano, nem geocercas, nem monitoramento de região, nem atualizações por mudança significativa. Ele pede uma leitura, transforma em nome, e para.

Você pode evitar isso completamente. A mesma tela permite escolher lugares em uma lista de treze zonas sem conceder nenhuma permissão, e funciona exatamente igual nas duas plataformas.

Na declaração de privacidade da Apple isso é declarado como Precise Location, não Coarse Location, mesmo que o aplicativo peça precisão de cem metros: esse número é uma dica para o sistema, não um limite, e a Apple exige declarar o dado mais granular que o código poderia receber. No Android o aplicativo solicita ACCESS_COARSE_LOCATION (apenas aproximada), então o formulário do Play Data Safety declara Localização aproximada.

4. Dados armazenados apenas no seu dispositivo

Nunca transmitidos a lugar nenhum, e removidos quando você desinstala o aplicativo:

• Suas preferências: aparência (sistema/claro/escuro), unidade de temperatura e sistema de medida.
• O token de notificação — apenas no iOS, armazenado localmente para a linha de diagnóstico descrita acima. No Android, ele é obtido sob demanda e nunca armazenado.
• O cache de imagens do radar e a última captura de dados do SIATA (limitada a 6 horas), para que o aplicativo ainda possa mostrar algo se o SIATA parar de responder ou você perder a conexão.
• O descarte de um aviso de manutenção, para que o mesmo aviso não seja exibido novamente.
• Seus lugares salvos («Meus lugares»), como uma lista de nomes de zonas municipais — por exemplo envigado,bello — nunca como coordenadas. Você os escolhe de uma lista; nas duas plataformas você também pode usar sua localização uma única vez para preencher um, e apenas a zona resultante é guardada (veja 3.7). ⚠️ A lista em si nunca sai do aparelho, mas determina em quais tópicos de notificação o aparelho se inscreve: veja o aviso em 3.5.

No Android, os backups estão desativados (allowBackup="false"), de modo que nada disso é enviado ao Google Drive.

5. Terceiros aos quais seu dispositivo se conecta diretamente

O Pulso obtém os dados diretamente das fontes públicas. Ao fazê-lo, esses servidores recebem — como em qualquer requisição de internet — o endereço IP do seu dispositivo e informações técnicas de conexão. O Pulso não lhes envia nada além disso.

Esses terceiros tratam esses dados sob suas próprias políticas, que não controlamos:

• Google / Firebase: https://policies.google.com/privacy e https://firebase.google.com/support/privacy
• Apple: https://www.apple.com/legal/privacy/
• SIATA: https://siata.gov.co
• CityBikes: https://citybik.es

O Pulso não tem relação oficial com o SIATA, a Área Metropolitana del Valle de Aburrá, o Metro de Medellín ou a EnCicla. Usa seus dados públicos com atribuição.

6. Transferências internacionais

O Firebase processa e armazena os dados descritos na seção 3 em servidores da Google fora da Colômbia, principalmente nos Estados Unidos. A Google se apoia em cláusulas contratuais padrão e nos marcos de transferência aplicáveis. Ao usar o Pulso, você aceita essa transferência, que é necessária para o funcionamento dos serviços de relatórios de falhas e analítica.

7. Conservação

• Relatórios de falhas: conservados pelo Firebase Crashlytics por 90 dias.
• Dados de analítica: conservados conforme a configuração de retenção do projeto Firebase (12 meses); dados agregados em relatórios podem ser mantidos por mais tempo.
• Dados de desempenho: conservados pelo Firebase Performance por 90 dias.
• Dados no dispositivo: até que você desinstale o aplicativo ou apague seus dados.

8. Seus direitos

Conforme a Lei 1581 de 2012 e o Decreto 1377 de 2013 da Colômbia, você tem direito a conhecer, atualizar, retificar e excluir seus dados pessoais, a solicitar prova da autorização concedida, a ser informado sobre como foram usados, a apresentar reclamações à Superintendencia de Industria y Comercio e a revogar sua autorização.

Se você estiver no Espaço Econômico Europeu ou no Reino Unido, tem também os direitos do RGPD de acesso, retificação, exclusão, limitação, portabilidade e oposição.

Uma advertência honesta sobre como exercê-los: o Pulso não guarda nenhum dado que identifique você, de modo que na prática não podemos localizar os "seus" dados dentro da analítica ou dos relatórios de falhas, mesmo que você peça. Por design, são anônimos em relação a você. O que você pode fazer, com efeito imediato:

• Desativar a analítica de uso: Ajustes → Privacidade → «Compartir estadísticas de uso». Isso impede que o Firebase Analytics colete qualquer coisa desta instalação, incluindo os eventos automáticos, e tem efeito imediato. Os relatórios de falhas continuam ativos (§3.1).
• Parar toda a coleta: desinstale o aplicativo. O identificador de instância deixa de existir e os dados anteriores não podem mais ser associados a nenhuma instalação.
• Parar de receber alertas: desative as notificações do Pulso nas configurações do sistema (iOS: Ajustes → Pulso → Notificações; Android: Configurações → Apps → Pulso → Notificações).
• Apagar o armazenado localmente: limpe os dados do aplicativo (Android) ou desinstale-o (iOS).

Para qualquer solicitação ou dúvida: grappestudio@gmail.com. Respondemos em até quinze (15) dias úteis, conforme a Lei 1581.

9. Crianças

O Pulso não é dirigido a crianças menores de 13 anos e não coleta intencionalmente seus dados. Não há conteúdo gerado por usuários, nem mensagens, nem compras integradas.

10. Segurança

Todas as conexões do aplicativo usam HTTPS. O aplicativo não armazena credenciais. O acesso administrativo ao projeto Firebase é restrito e protegido com autenticação de dois fatores; as regras do banco de dados permitem apenas leitura pública de um único documento de estado do serviço e negam toda escrita pelos clientes.

Nenhum sistema é infalível: não podemos garantir a segurança absoluta de nenhuma transmissão pela internet.

11. Alterações nesta política

Se esta política mudar de forma substancial, publicaremos a nova versão em https://grappe-studio.netlify.app/pulso/es/privacy.html com uma data de vigência atualizada e — quando a mudança o justificar — anunciaremos dentro do aplicativo. O uso continuado após a data de vigência constitui aceitação da versão revisada.

12. Contato

Grappe Colômbia grappestudio@gmail.com