Privacidade

O Ullage guarda sua despensa no seu telefone. Não no nosso servidor, nem em uma conta que você precise criar primeiro — no aparelho na sua mão. A maioria das pessoas consegue usar o app inteiro sem que nenhum dado saia dele.

Esta página diz exatamente o que sai, quando e como impedir. É curta porque realmente não é muita coisa.

O que fica no seu dispositivo

Seus itens, quanto você tem de cada um, o que comprou e quando, sua lista de compras, o nome da sua casa e seus ajustes. Tudo é guardado localmente e lido localmente. As previsões são cálculos que rodam no seu telefone.

Tudo o que envia dados para fora do seu dispositivo

Sete coisas, e seis delas esperam que você escolha. A sétima está assinalada, porque uma lista destas só serve se estiver completa. Cada uma é separada.

• O backup. Se você adicionar um endereço de e-mail para que sua despensa sobreviva à perda do telefone, guardamos esse endereço e enviamos uma cópia da sua prateleira.
• Compartilhar uma casa. Se você compartilhar sua prateleira com quem mora com você, ela é enviada para que os telefones deles possam ler e escrever nela.
• As estatísticas de uso. Desativadas, a menos que você as ative nos Ajustes. Desativado é o padrão, e mantê-las assim não muda nada no funcionamento do app.
• Ler um recibo. Se disser que sim quando o scanner perguntar — a leitura atenta —, as linhas de compras são enviadas para serem nomeadas: as que têm um nome e um preço, e nada mais do que a caixa imprimiu. A loja, a data e a hora e a linha do cartão são descartadas aqui, no seu telefone, antes de sair o que for. As linhas vão para um modelo de IA alcançado através de uma empresa chamada OpenRouter, e não guardamos nada disso. A fotografia em si nunca sai. Diga que não, ou deixe desligado nas Definições, e o leitor é guardado: nada é enviado, e nada do que já digitalizou é tocado. O identificador da sua casa vai com as linhas para que a leitura lhe possa ser contada — para isso não é preciso email nem conta, e esse identificador é tudo o que o servidor sabe sobre quem é.
• Notas que nos envia. Se nos escrever a partir das Definições, recebemos a nota e o que segue com ela. Descrito por completo mais abaixo.
• Consultar um código de barras — apenas nas apps de iPhone e Android. Quando digitaliza um produto, o código de barras — e mais nada — é enviado para a Open Food Facts, uma base de dados alimentar pública, que responde com o nome e o tamanho do produto. Ficam a saber que alguém consultou aquele produto; não lhes é dito quem, e nada da sua despensa segue com isso. A app web não tem scanner e nunca lhes pergunta nada. Se adicionar o artigo à mão, não é enviado nada.
• Relatórios de falhas — a exceção. A versão web comunica as suas próprias falhas sem perguntar, porque uma falha é precisamente o momento em que não pode perguntar. O seu e-mail e o seu endereço IP são removidos antes de o relatório sair. As apps de iOS e Android não comunicam a ninguém.

O que o backup ou uma casa compartilhada contém

• O nome da sua casa, e o nome, a cor e o avatar que cada membro escolheu
• Seus itens: o que são, e o tamanho e a variedade
• Eventos de compra: que artigo, quando, quem o registou, quantos, a marca se um recibo a nomeou, de qual das suas lojas veio e quanto custou
• As lojas que nomeou e os códigos de barras que associou a um artigo
• Correções: quando nos disse que uma previsão estava errada, e o que ela tinha previsto
• Sua lista de compras, e o código de convite se você estiver compartilhando

Sem localização, sem contactos, sem dados de pagamento: nunca os pedimos, e a app não tem código que os leia. Nem a sua galeria de fotos — o Ullage nunca a percorre, nunca a indexa e nunca vê uma imagem que não lhe tenha dado. Dados de pagamento significa como paga — um cartão, uma conta — e não o que custou uma lata de tomate: os preços estão acima porque a sua despensa os regista, e nenhum deles é uma forma de lhe tirar dinheiro. A única exceção a tudo isto é um recibo que decide digitalizar, quer o fotografe quer o escolha da galeria, impresso com o que a caixa lá imprimiu — é por isso que o scanner pergunta primeiro, é por isso que diz o que está prestes a enviar, e é por isso que a própria fotografia nunca sai do aparelho.

Seu endereço de e-mail

Só é coletado se você adicionar um, e só é usado para enviar o código de confirmação e permitir que você restaure sua prateleira em um telefone novo. Nunca é usado para marketing, nunca é vendido e nunca é ligado às estatísticas de uso.

Estatísticas de uso, se você ativar

Cada registro é uma linha: qual tela ou marco, a plataforma, a versão do app, o id da sua conta e a hora.

Nunca inclui o que está na sua despensa, o que você comprou, seu e-mail nem sua localização. Serve para ver quais partes do app funcionam e quais são ignoradas — nada mais, e não vai para mais ninguém.

Notas que você nos envia

Se você nos escrever pelos ajustes, recebemos o que você escreveu, qual dos quatro tipos escolheu e — só se preencher — um e-mail para responder. Junto vão a versão do app, a plataforma, o idioma, o estado da sincronização e quantas coisas e pessoas há na sua despensa.

Nunca a despensa em si: nenhum nome de produto, nenhuma loja, nenhum preço. Uma nota fica guardada até tratarmos dela. Eliminar todos os dados não a remove, porque esse botão limpa apenas este aparelho — Excluir conta remove, junto com tudo o mais que temos de você.

Relatórios de erro

A versão web relata falhas ao Sentry para que possamos corrigi-las, com seu e-mail e seu endereço IP removidos antes do envio do relatório. O app de iOS não relata falhas a ninguém: os erros são escritos no log do próprio dispositivo e ficam lá.

Sem rastreamento, sem publicidade

Não rastreamos você em outros apps ou sites. Não há identificador de publicidade, rede de anúncios, kit de análise de terceiros nem corretor de dados. Nada do que você faz aqui é cruzado com dados sobre você de outro lugar. É por isso que o iOS nunca mostra um pedido de permissão de rastreamento — não há o que pedir.

Quem trata os dados

Quando os dados são enviados, ficam em um banco Postgres e num serviço de autenticação operados pela Supabase em nosso nome, protegidos por regras em nível de linha para que só os membros da sua casa possam ler sua casa. Eles tratam os dados para nós e para nada próprio.

Estão envolvidos outros dois, e o seu telefone chega a eles de maneiras diferentes. A Open Food Facts responde às consultas de códigos de barras, e o seu telefone pergunta-lhe diretamente — por isso os servidores deles veem o pedido chegar a partir da sua ligação, juntamente com o código de barras e mais nada. O OpenRouter passa o texto de um recibo digitalizado ao modelo que nomeia os artigos, e é chamado pelo nosso servidor e não pelo seu telefone, por isso nunca vê de onde veio o recibo. A nenhum deles é dito quem você é, e a nenhum deles é enviado o que quer que seja da sua despensa.

Por quanto tempo guardamos

Pelo tempo em que sua conta existir. Se você excluir a conta, a cópia no servidor vai com ela — exceto uma casa da qual outra pessoa ainda é membro: essa fica com elas, e seu nome sai dela.

O que você pode fazer a respeito

• Excluir sua conta — Ajustes. Apaga a cópia no servidor. Sua despensa fica no telefone, a menos que você peça para apagá-la também.
• Eliminar todos os dados — Ajustes. Apaga tudo neste dispositivo.
• Parar de compartilhar — Ajustes. A casa para de sincronizar e o código de convite deixa de funcionar.
• Desativar as estatísticas de uso — Ajustes. Elas começam desativadas, e desativá-las de novo interrompe novos registros imediatamente.

Se você está na UE ou no Reino Unido, também tem o direito de pedir uma cópia dos seus dados, corrigi-los, apagá-los e se opor ao tratamento deles. Os controles acima fazem quase tudo isso na hora; para o que eles não cobrem, escreva para nós.

Crianças

O Ullage é uma ferramenta doméstica para adultos e não é dirigido a crianças menores de 13 anos. Não coletamos nada delas de forma consciente.

Alterações

Se esta política mudar de um jeito que afete o que coletamos, a data no topo muda e o app avisa você antes de a mudança valer.

Contato

Dúvidas sobre qualquer coisa disso, ou um pedido sobre seus dados: privacy@ullage.app.