1. Quem somos
O Tendle (o "App", "nós", "nos", "nosso") é um app para iPhone que ajuda um pai ou uma mãe a estar presente com seu filho pequeno, além deste site. O controlador de dados nos termos do Artigo 4(7) do GDPR é:
Nils Schiwora, atuando como Nils Schiwora Trading Services Ahornstr. 37 14547 Beelitz Germany
Se você tiver dúvidas sobre esta política ou quiser exercer seus direitos, escreva para support@tendle.me.
Para nosso endereço comercial em Brandemburgo, a autoridade supervisora competente é Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg). Você sempre pode apresentar uma reclamação à autoridade do seu local de residência habitual (Art. 77 do GDPR).
2. O que o App faz e como ele trata os dados
O Tendle é local-first (prioriza o dispositivo). Durante o "tempo com a criança", ele bloqueia os apps que distraem que você escolheu, usando o Family Controls (Tempo de Uso) da Apple. Você recupera seu telefone fotografando um artefato da brincadeira — por exemplo, uma torre de blocos — que é verificado no seu dispositivo. O App mantém uma sequência (streak) e uma contagem de minutos de presença.
Não há contas de usuário. Feedback e chat opcionais enviam apenas os dados de suporte descritos abaixo. Fotos, apps bloqueados, sequências e minutos de presença ficam no dispositivo.
2.1 Apenas no seu dispositivo (nunca transmitido)
| Dados | Onde ficam |
|---|---|
| A foto do artefato da brincadeira que você tira durante o tempo com a criança | Capturada ao vivo pela câmera e verificada em memória; em uma conclusão verificada, é salva como JPEG no contêiner privado do App (excluída do backup do iCloud) para exibir sua lembrança de Recap e o Histórico |
| Quais apps você escolheu bloquear | Armazenados pelo iOS como tokens opacos do Family Controls que o App não consegue ler e que nunca saem do seu dispositivo |
| Seu registro de presença / sequência e minutos de presença | Armazenados no dispositivo (SwiftData) |
| Suas configurações (apelido, padrões, preferência de lembrete, estado de onboarding e de paywall) | Armazenadas no dispositivo (UserDefaults) |
A câmera é usada apenas para fotografar o artefato da brincadeira durante um desbloqueio do tempo com a criança. Um quadro é capturado ao vivo (sem importação da sua biblioteca de fotos), verificado no dispositivo e — em uma conclusão verificada — salvo no próprio contêiner privado do App. Depois da primeira foto confirmada, você pode escolher separadamente adicioná-la, junto com futuras fotos confirmadas, ao Fotos da Apple. O Tendle solicita acesso somente para adicionar e não pode ver sua biblioteca. Se o Fotos do iCloud estiver ativo, a Apple poderá sincronizar essas cópias entre seus dispositivos. Você pode alterar essa escolha em Ajustes; uma recusa nunca bloqueia uma sessão. O Tendle nunca envia uma foto do artefato a servidores próprios ou de terceiros. Compartilhar um Recap continua sendo uma ação separada iniciada por você.
O Family Controls (Tempo de Uso) dá ao App uma forma de bloquear apps que você seleciona. Sua seleção é representada por tokens opacos do sistema operacional; o App não consegue ver quais apps são, e essa seleção nunca sai do seu dispositivo.
2.2 Dados tratados por provedores de serviços
Se você enviar feedback nos Ajustes, transmitimos a categoria, a mensagem, o email opcional para resposta, a versão do app, o idioma e o status atual da assinatura para nossa caixa de suporte. O email é usado apenas para responder. O RevenueCat Customer Center também pode coletar um motivo de cancelamento predefinido; ele não solicita texto livre.
| Dados | Finalidade |
|---|---|
| Transação de assinatura e estado de direitos (entitlement) | Processados pela Apple e espelhados pela RevenueCat para desbloquear recursos pagos — veja a Seção 4 |
Eventos explícitos de análise de produto (ex.: app_started, paywall_viewed) |
Enviados ao PostHog enquanto a Análise de produto estiver habilitada — veja as Seções 3 e 4 |
| Replays mascarados de sessões móveis | Enviados ao PostHog enquanto a Análise de produto estiver habilitada para identificar problemas de navegação e uso; o texto exibido e as entradas de texto são ocultados antes da transmissão, e as áreas da câmara ou de fotos do utilizador são excluídas da captura |
| Diagnósticos de falhas e erros (stack trace, metadados de dispositivo/runtime) | Enviados ao Sentry apenas quando o relatório de falhas está habilitado — veja a Seção 4 |
| Sua mensagem e endereço de e-mail, se você contatar o suporte | Usados apenas para responder você — veja a Seção 4 |
| Dados de suporte de compras: contagens aproximadas de sessões por dia e sua configuração "Suporte de compras" | Armazenados em nossa API (Cloudflare) para que possamos responder às consultas de reembolso da Apple — veja as Seções 3 e 4 |
| Nossa resposta à consulta de reembolso da Apple (compra entregue sim/não, teste exibido sim/não, nossa recomendação) | Enviada à Apple apenas quando você solicita um reembolso à Apple — veja as Seções 3 e 4 |
Por princípio, nenhuma foto, caminho de arquivo ou referência de artefato é enviado para análise ou relatório de falhas — os eventos carregam apenas contagens, durações e resultados de enum. Os eventos de análise não são vinculados à sua identidade.
2.3 Chat opcional com o fundador
Ao iniciar uma conversa, enviamos suas mensagens, um nome opcional e um identificador aleatório da instalação. Recebemos idioma, fuso horário, versão do app e país aproximado da conexão, com data. Viagens ou VPN podem afetar o país. Não acrescentamos automaticamente nomes de crianças, fotos nem detalhes das sessões ao contexto de suporte.
Cloudflare Workers, Durable Objects e D1 operam o chat. Podemos conferir comprovantes de compra assinados pela Apple com a RevenueCat e guardar um resumo mínimo e datado do plano e status. Isso não cria conta, não une conversas e não depende da análise de produto. O comprovante assinado não é armazenado.
Ao ativar avisos, a Apple APNs recebe o token do dispositivo e uma notificação genérica. O servidor recebe apenas o estado ativo/inativo do tempo com a criança; offline não é possível garantir a supressão de avisos em segundo plano. Alertas ao fundador por PurelyMail e provedores de notificações web não contêm texto, nomes ou detalhes da assinatura.
Mensagens e registros associados expiram após 90 dias, assim como contexto, nomes e destinos de notificações inativos. A cópia local guarda até 500 mensagens por 90 dias. Mensagens não enviadas ficam até serem enviadas, descartadas ou excluídas. As configurações permitem excluir a conversa e desativar avisos. Offline, o conteúdo local é removido imediatamente e a exclusão no servidor fica visivelmente pendente. Um registro sem conteúdo impede que novas tentativas restaurem o que foi excluído. O conteúdo do chat não vai para analytics nem gravações de sessão.
3. Por que processamos esses dados (bases legais)
| Finalidade | Base legal (Art. 6(1) do GDPR) |
|---|---|
| Operar os recursos principais do App no seu dispositivo | Execução de um contrato — Art. 6(1)(b) |
| Processar sua assinatura na App Store | Execução de um contrato — Art. 6(1)(b) |
| Enviar lembretes locais de sequência que você ativou | Consentimento — Art. 6(1)(a). Agendados no dispositivo; veja a Seção 4. |
| Análise de produto minimizada para entender quais recursos funcionam | Nosso interesse legítimo — Art. 6(1)(f). Você pode se opor a qualquer momento nas Definições (Seção 7). |
| Diagnósticos de falhas para manter o App estável | Interesse legítimo — Art. 6(1)(f) |
| Responder a uma solicitação de suporte que você nos envia | Execução de um contrato / nosso interesse legítimo — Art. 6(1)(b)/(f) |
| Cumprir deveres legais de retenção (fiscais, contábeis) | Obrigação legal — Art. 6(1)(c) |
| Responder às consultas de reembolso da Apple e proteger contra abuso de reembolsos | Nosso interesse legítimo — Art. 6(1)(f), Considerando 47. Você pode se opor a qualquer momento nas Definições ("Suporte de compras", Seção 7). |
4. Provedores de serviços e destinatários
Usamos um número reduzido de operadores. Como o Tendle é local-first, a maior parte do que você faz nunca chega a nenhum deles.
| Provedor | Função | Região | Observações |
|---|---|---|---|
| Apple Inc. | Distribuição do app e processamento de assinaturas da App Store | EUA (com subprocessadores na UE) | A Apple recebe metadados de compra e reembolso diretamente de você sob a própria política de privacidade da Apple. O Family Controls (Tempo de Uso) é um sistema da Apple; sua seleção de apps é mantida pelo iOS como tokens opacos. |
| RevenueCat | Gerenciar os direitos (entitlement) da assinatura e expô-los de volta ao App | EUA | Usamos a RevenueCat como fonte da verdade das assinaturas. Ela processa metadados de transação da App Store, o identificador do produto, o status do direito e um identificador de usuário do app emitido pela RevenueCat. Enquanto a Análise do produto estiver ativada, imediatamente antes da compra ela também recebe apenas o posicionamento geral do paywall e a variante configurada para comparar as superfícies de compra. Ela não recebe identificadores do PostHog nem da apresentação individual. Ela não recebe suas fotos. |
| PostHog | Análise de produto para o App iOS e este site | UE — eu.i.posthog.com |
O App iOS envia por padrão eventos explícitos pseudônimos e replays de sessão mascarados com base no nosso interesse legítimo. Os replays reconstroem telas, toques e navegação para identificar problemas de uso; o texto exibido e as entradas de texto são ocultados antes da transmissão, as áreas da câmara e de fotos do utilizador são excluídas da captura, e registros e telemetria de rede ficam desativados. As ilustrações decorativas próprias do App podem permanecer visíveis. Você pode se opor a qualquer momento desativando Análise de produto nas Definições. A captura automática de telas/ciclo de vida/elementos e a vinculação de identidade com a RevenueCat permanecem desativadas. Os eventos são associados a um perfil anônimo vinculado à instalação para que o PostHog possa mostrar o país ou região aproximados e o contexto padrão do dispositivo. Não adicionamos ao perfil nome, identidade de conta, identificador da RevenueCat, dados de crianças ou texto livre. Fotos, nomes de crianças, texto livre, caminhos de arquivo e referências de artefatos não são incluídos. Este site não usa replay de sessão. |
| Sentry | Diagnósticos de falhas e erros para o App iOS | UE | Usado apenas quando o relatório de falhas está habilitado. Recebe stack traces e metadados limitados de dispositivo/runtime, com valores sensíveis e de mídia removidos antes do envio. |
| Vercel Inc. | Hospedagem deste site | Rede Edge da Vercel globalmente | Dados de requisição padrão (endereço IP, user agent) passam pelos logs da Vercel para prevenção de abuso. |
| Cloudflare | API da Tendle, atribuição de compra minimizada e entrega ao suporte | Infraestrutura global | O Cloudflare Workers e o D1 armazenam por até 730 dias a linhagem da transação da RevenueCat, o posicionamento geral do paywall e a variante configurada, somente quando a Análise do produto estava ativada na compra. O snapshot não contém ID de usuário da RevenueCat, ID do PostHog nem identificador da apresentação. O Cloudflare Email Service recebe a mensagem e o email opcional apenas quando você toca em Enviar. Nenhum desses dados é usado para publicidade. |
Nós não vendemos seus dados e não os usamos para publicidade personalizada.
4.1 Este site
Quando a análise está habilitada, este site carrega a análise de produto do
PostHog (região UE, eu.i.posthog.com) mediante consentimento de cookies.
Nada é carregado ou enviado até que você aceite o banner de cookies. Se você
recusar, nenhum cookie do PostHog é definido e nenhum evento é enviado. Nós
não carregamos gravação de sessão, autocaptura, publicidade ou qualquer
outro rastreamento de terceiros, e o projeto do PostHog está configurado para
descartar os endereços IP do cliente. Os eventos capturados limitam-se a
visualizações de página, cliques no CTA da App Store, trocas de idioma e
expansões de FAQ. Seu navegador também envia dados de requisição padrão
(endereço IP, user agent, referrer) ao nosso provedor de hospedagem a cada
requisição de página.
5. Transferências internacionais
A Apple e a RevenueCat estão sediadas ou operam a partir dos Estados Unidos. O
PostHog roda em sua região da UE (eu.i.posthog.com) tanto para o App iOS
quanto para este site, de modo que os dados de eventos do PostHog não saem da
UE, e o Sentry armazena os dados de relatório de falhas deste projeto em sua
região da UE. Os termos de operador para os operadores fora da UE foram
confirmados para o lançamento. As transferências para destinatários fora da UE
baseiam-se nas Cláusulas Contratuais Padrão adotadas pela Comissão Europeia,
mais medidas suplementares quando exigidas pelo Schrems II. Quando um provedor
participa do EU-US Data Privacy Framework, também nos baseamos em sua
certificação atual como salvaguarda adicional.
6. Por quanto tempo mantemos seus dados
| Categoria | Retenção |
|---|---|
| Fotos de artefatos, registro de sequência, configurações (no dispositivo) | Até você apagá-los com "Excluir dados locais" nas Configurações, ou excluir o App |
| Registros de assinatura e direitos (Apple / RevenueCat) | Mantidos pelos registros de conta da Apple e pela RevenueCat para histórico de assinatura até que a exclusão seja solicitada |
| Snapshots minimizados de atribuição de compra (Tendle / D1) | Até 730 dias |
| Eventos de análise de produto | O PostHog informa atualmente retenção controlada pelo provedor de até 84 meses; estamos trabalhando para reduzi-la |
| Replays mascarados de sessões móveis | Até 30 dias no PostHog |
| Relatórios de falhas | Controlados pela política de retenção do projeto Sentry configurada |
| Correspondência de suporte | Apenas pelo tempo necessário para resolver sua solicitação e cumprir obrigações legais |
| Registros de assinatura e faturamento | Até 10 anos, quando exigido pela legislação fiscal e comercial alemã (§ 147 AO, § 257 HGB) |
7. Seus direitos
Sob o GDPR, você pode:
- Pedir confirmação do que processamos sobre você e uma cópia disso (Art. 15)
- Ter dados imprecisos corrigidos (Art. 16)
- Ter seus dados excluídos (Art. 17), sujeito a deveres legais de retenção
- Restringir o processamento enquanto uma disputa estiver aberta (Art. 18)
- Receber seus dados em um formato portátil e legível por máquina (Art. 20)
- Opor-se ao processamento baseado em interesse legítimo, incluindo análise (Art. 21)
- Retirar qualquer consentimento que você nos deu a qualquer momento, com efeito para o futuro (Art. 7(3))
- Apresentar uma reclamação a uma autoridade supervisora (Art. 77)
Como o Tendle é local-first, você controla a maior parte dos seus dados diretamente: Configurações → Excluir dados locais remove as fotos de artefatos, o registro de sequência e as configurações armazenadas no seu dispositivo. Para exercer qualquer outro direito, envie um e-mail para support@tendle.me. Buscamos responder em até 30 dias (Art. 12(3)). Veja a página de Suporte para as etapas práticas.
8. Crianças
O Tendle é uma ferramenta para o pai ou a mãe e não é direcionada a crianças com menos de 16 anos. Não processamos conscientemente dados de usuários com menos de 16 anos sem o consentimento verificável dos pais (Art. 8 do GDPR). O App não pede que uma criança crie uma conta ou forneça dados pessoais. Se você acredita que uma criança usou o App de uma forma que nos forneceu seus dados, escreva para support@tendle.me e nós os excluiremos.
9. Segurança
O conteúdo sensível do App — suas fotos, seleção de apps e sequência — permanece no seu dispositivo. Usamos HTTPS para todo o tráfego aos nossos provedores de serviços, contamos com a sandbox de apps da Apple e com o keychain/armazenamento seguro do iOS quando aplicável, e limitamos o acesso interno com base na necessidade de conhecimento. Nenhum sistema é perfeitamente seguro. Se você tomar conhecimento de uma vulnerabilidade, por favor reporte-a para support@tendle.me.
10. Alterações nesta política
Publicaremos alterações materiais aqui e, quando a mudança afetar você (por exemplo, um novo operador tratando seus dados), notificaremos você no App pelo menos 14 dias antes de a mudança entrar em vigor. A data no topo desta página mostra quando ela foi revisada pela última vez.
11. Contato
Para todas as questões de privacidade e solicitações de direitos:
Nils Schiwora atuando como Nils Schiwora Trading Services Ahornstr. 37 14547 Beelitz Germany Email: support@tendle.me