Em resumo

O CardVault guarda o que uma família lá põe e nada mais: o email e a palavra-passe da conta (só como hash), os nomes e emojis dos colecionadores, as cartas, listas de desejos, álbuns, baralhos e coleções temáticas, e as fotografias tiradas pelo leitor. Não há publicidade, não há analítica e não há rastreadores de terceiros. Tudo pode ser exportado e apagado a partir da própria app, a qualquer momento.

Quem é responsável

O responsável pelo tratamento é truck8.ai, Pater Beckerstraat 21, 4731 AK Oudenbosch, Países Baixos, registado na Câmara de Comércio neerlandesa com o número 97413402. Qualquer dúvida sobre os teus dados vai para hello@truck8ai.com, que é também o endereço da pessoa responsável pela proteção de dados.

O que é guardado

A conta: um endereço de email, uma palavra-passe guardada só como hash, a língua e as definições escolhidas, e o plano da conta.

Os colecionadores: um nome e um emoji por perfil. Sem email, sem data de nascimento, sem fotografia de uma pessoa.

A coleção: as cartas com quantidade, estado e variante, as listas de desejos, os álbuns e as suas páginas, as listas de baralho, as coleções temáticas, as medalhas, os links que partilhas e o registo de alterações de que vivem o anular e o histórico de valor.

Uma página partilhada: quem tiver um dos teus links vê o nome e o emoji do colecionador e as cartas de que essa página trata — numa lista de troca, as repetidas do monte de trocas com o seu estado e a lista de desejos, com os preços do catálogo; num álbum, as cartas nos seus bolsos, os bolsos vazios do álbum de uma expansão e preços só quando o dono do link os tiver ligado. Numa lista de desejos partilhada vê-se o nome e o emoji do colecionador, o nome da lista e as cartas que estão nela, com preços só quando o dono do link os tiver ligado; a nota de uma carta desejada nunca sai da app. Nenhum email, nenhum outro colecionador e nenhum valor da coleção chega a uma página partilhada, e a página desaparece no momento em que o link é desligado.

O leitor: a fotografia endireitada de cada carta digitalizada e o que a app fez com ela.

Os pagamentos: os eventos que um fornecedor de pagamentos envia sobre uma subscrição ou uma compra. Nunca há um número de cartão entre eles; a app nunca vê nenhum.

O servidor: nenhum registo de acesso com endereços. O limite de tentativas de início de sessão conta as tentativas por endereço IP em memória durante dez minutos e depois esquece-as; o registo da aplicação anota o caminho, o estado e a duração de cada pedido, sem o endereço, e é descartado a cada nova versão.

As fotografias das digitalizações

Uma digitalização guarda a imagem endireitada da própria carta, recortada à carta: não a mesa, não a sala, não a pessoa que a segura. Existe para que uma digitalização que correu mal se possa perceber e corrigir. A tarefa noturna apaga todas as fotografias de digitalização com mais de catorze dias. Uma fotografia com que uma família ensinou uma carta ao leitor, ou que foi corrigida à mão, passa a ser a imagem de referência dessa carta e fica até a conta ser apagada.

Porque podemos guardá-lo

Tudo isto é necessário para prestar o serviço que o titular da conta pediu: artigo 6.º, n.º 1, alínea b), do RGPD, a execução de um contrato. Não há publicidade nem definição de perfis. O único tratamento que assenta num interesse legítimo, artigo 6.º, n.º 1, alínea f), é manter o serviço a funcionar e seguro: o limite de tentativas de início de sessão e o registo da aplicação descritos acima. Os registos de faturação são guardados porque a lei fiscal neerlandesa o exige: artigo 6.º, n.º 1, alínea c), uma obrigação legal.

Durante quanto tempo fica

Até a conta ser apagada, com duas exceções: as fotografias de digitalização vão-se ao fim de catorze dias, como descrito acima, e os registos de faturação ficam sete anos porque a lei fiscal o exige, sem a ligação à conta. Apagar a conta apaga tudo o resto de uma vez: sem espera e sem cópia de arquivo. As cópias de segurança do servidor ficam catorze dias e depois rodam.

As funcionalidades de IA e o que enviam

Três coisas na app enviam dados para a Anthropic PBC, e mais nada o faz.

Uma digitalização ainda incerta depois da comparação local, do símbolo da expansão e do número no canto: a fotografia endireitada da carta é enviada para que o nome e o número possam ser lidos. No plano grátis isso acontece no máximo dez vezes por dia.

Uma coleção temática escrita pelas tuas palavras, com Family Plus: a frase que escreveste.

«Faz-me um baralho» no ajudante de baralhos, com Family Plus: a lista de baralho e os nomes das cartas que pode usar.

Com nenhuma delas vai um endereço de email, o nome da conta ou o nome de um perfil. Os pedidos seguem as condições comerciais da API da Anthropic, que os mantêm fora do treino de modelos, e o CardVault não treina nada de seu com os dados de uma família.

Quem mais o trata

Um fornecedor de alojamento na União Europeia: o servidor onde a app corre e as suas cópias de segurança.

Stripe Payments Europe: os pagamentos e subscrições comprados na web.

RevenueCat e Google: as compras feitas na Google Play Store.

Anthropic PBC: os três pedidos descritos acima.

Resend: os emails de verificação e de reposição da palavra-passe.

Cada um é subcontratante ao abrigo de um contrato de tratamento e recebe apenas o que precisa para a sua parte. Não há mais nenhum destinatário, e nada é alguma vez vendido ou entregue a um anunciante.

Os teus direitos

Podes ver e levar tudo a qualquer momento em Definições → Os teus dados: um CSV da coleção e da lista de desejos, uma cópia de segurança de toda a casa, ou a conta completa num ficheiro JSON. Podes apagar tudo em Definições → Conta → Apagar conta.

Além disso tens os direitos que o RGPD te dá — acesso, retificação, apagamento, limitação, portabilidade e oposição — e exerce-los escrevendo para hello@truck8ai.com. Se achares que os teus dados são mal tratados, podes reclamar junto da autoridade neerlandesa de proteção de dados, a Autoriteit Persoonsgegevens.

As crianças

O titular da conta é adulto e tem a conta em nome da casa. As crianças lá dentro são perfis, não são contas: um nome e um emoji escolhidos pela família, sem email, sem data de nascimento, sem acesso próprio e sem qualquer forma de serem contactadas. Não há conversas, não há mural e não há contacto com ninguém de fora da família, por isso não se chega a uma criança através da app. Um pai pode mudar o nome de um perfil ou removê-lo quando quiser.

Cookies e rastreio

O CardVault não usa cookies. O localStorage do browser guarda a sessão e as definições que escolheste — língua, tema, fonte dos preços — porque é isso que te mantém dentro e deixa a app como a deixaste. Não há analítica, não há rede de publicidade, não há impressões digitais e não há scripts de terceiros, nem na app nem neste site.

Transferências para fora da UE

O servidor e as suas cópias de segurança estão na União Europeia. Três subcontratantes estão nos Estados Unidos: Anthropic PBC, Resend Inc. e RevenueCat Inc.; a Google também pode tratar aí uma compra da Play. Cada uma dessas transferências assenta nas cláusulas contratuais-tipo da Comissão Europeia inscritas no contrato de tratamento com essa empresa, ou na certificação dessa empresa ao abrigo do EU-US Data Privacy Framework, quando a tem. Só lhes chega aquilo que diz o parágrafo respetivo acima: uma fotografia de uma carta ou uma frase escrita, um endereço de email para uma mensagem de verificação, um registo de compra — nunca a coleção inteira.

Alterações a este aviso

Se mudar algo importante, o titular da conta é avisado por email antes de entrar em vigor e a data no topo desta página muda. O texto em inglês é o que vincula; as dez traduções estão aqui por comodidade.