Privacidade

Esta página diz exatamente o que sai, quando e como impedir. É curta porque realmente não é muita coisa.

O que fica no seu dispositivo

Seus itens, quanto você tem de cada um, o que comprou e quando, sua lista de compras, o nome da sua casa e seus ajustes. Tudo é guardado localmente e lido localmente. As previsões são cálculos que rodam no seu telefone.

Tudo o que envia dados para fora do seu dispositivo

Nove coisas, e sete delas esperam que você escolha. As duas que não esperam estão marcadas, porque uma lista assim só é útil se estiver completa. Cada uma é separada.

• O backup. Se você adicionar um endereço de e-mail para que sua despensa sobreviva à perda do telefone, guardamos esse endereço e enviamos uma cópia da sua prateleira.
• Compartilhar uma casa. Se você compartilhar sua prateleira com quem mora com você, ela é enviada para que os telefones deles possam ler e escrever nela.
• Que versão está a perguntar. Cada envio acima diz que versão da aplicação o mandou, para sabermos quando uma antiga ainda está em uso e não mudarmos o servidor de forma que a estrague. Contamos versões, não pessoas: nenhuma conta, nenhum dispositivo e nenhuma parte da sua despensa fica ligada a essa contagem. Nomeia a aplicação, não você.
• As estatísticas de uso. Desativadas, a menos que você as ative nos Ajustes. Desativado é o padrão, e mantê-las assim não muda nada no funcionamento do app.
• Ler um recibo. Se disser que sim quando o scanner perguntar — a leitura atenta —, as linhas de compras são enviadas para serem nomeadas: as que têm um nome e um preço, e nada mais do que a caixa imprimiu. A loja, a data e a hora e a linha do cartão são descartadas aqui, no seu telefone, antes de sair o que for. As linhas vão para um modelo de IA alcançado através de uma empresa chamada OpenRouter, e não guardamos nada disso. A fotografia em si nunca sai. Diga que não, ou deixe desligado nas Definições, e o leitor é guardado: nada é enviado, e nada do que já digitalizou é tocado. O identificador da sua casa vai com as linhas para que a leitura lhe possa ser contada — para isso não é preciso email nem conta, e esse identificador é tudo o que o servidor sabe sobre quem é.
• Notas que nos envia. Se nos escrever a partir das Definições, recebemos a nota e o que segue com ela. Descrito por completo mais abaixo.
• Procurar um código de barras — apenas as aplicações de iPhone e Android. Quando digitaliza um produto, o código de barras é enviado para a Open Food Facts, uma base de dados alimentar pública, que responde com o nome e o tamanho do produto. O pedido diz também que aplicação está a perguntar — “Ullage”, a sua versão e o nosso endereço de apoio — porque pedem a todos os clientes que se identifiquem; isso identifica-nos a nós, não a si. Mais nada segue: ficam a saber que alguém procurou aquele produto, não lhes é dito quem, e nada da sua prateleira vai junto. A aplicação web não tem leitor e nunca lhes pergunta nada. Nada é enviado se adicionar o artigo à mão.
• Abrir o site de uma loja. Ao tocar em Procurar online — ou numa loja que você marcou como favorita —, o app entrega ao navegador do seu telefone um endereço de busca naquela loja com o nome do item, e o navegador vai até lá. Dali em diante é uma visita comum ao site deles: eles veem a palavra procurada e tudo o que qualquer site vê quando você chega, incluindo o que o seu navegador já tinha guardado deles. Nada mais da sua despensa vai junto, não somos avisados de que você foi, e não há código de indicação ou de afiliado no endereço. Sem o seu toque, não acontece nada.
• Relatórios de falha — a exceção. O app relata as próprias falhas sem perguntar, porque uma falha é o único momento em que ele não consegue perguntar. Vale para os três — web, iPhone e Android. Seu e-mail e seu endereço IP são removidos antes de o relatório sair.

O que o backup ou uma casa compartilhada contém

• O nome da sua casa, e o nome, a cor e o avatar que cada membro escolheu
• Seus itens: o que são, e o tamanho e a variedade
• Eventos de compra: que artigo, quando, quem o registou, quantos, a marca se um recibo a nomeou, de qual das suas lojas veio e quanto custou
• As lojas que nomeou e os códigos de barras que associou a um artigo
• Correções: quando nos disse que uma previsão estava errada, e o que ela tinha previsto
• Sua lista de compras, e o código de convite se você estiver compartilhando

Sem localização, sem contactos, sem dados de pagamento: nunca os pedimos, e a app não tem código que os leia. Nem a sua galeria de fotos — o Ullage nunca a percorre, nunca a indexa e nunca vê uma imagem que não lhe tenha dado. Dados de pagamento significa como paga — um cartão, uma conta — e não o que custou uma lata de tomate: os preços estão acima porque a sua despensa os regista, e nenhum deles é uma forma de lhe tirar dinheiro. A única exceção a tudo isto é um recibo que decide digitalizar, quer o fotografe quer o escolha da galeria, impresso com o que a caixa lá imprimiu — é por isso que o scanner pergunta primeiro, é por isso que diz o que está prestes a enviar, e é por isso que a própria fotografia nunca sai do aparelho.

Seu endereço de e-mail

Só é coletado se você adicionar um, e só é usado para enviar o código de confirmação e permitir que você restaure sua prateleira em um telefone novo. Nunca é usado para marketing, nunca é vendido e nunca é ligado às estatísticas de uso.

Estatísticas de uso, se você ativar

Cada registro é uma linha: qual tela ou marco, a plataforma, a versão do app, o id da sua conta e a hora.

Nunca inclui o que está na sua despensa, o que você comprou, seu e-mail nem sua localização. Serve para ver quais partes do app funcionam e quais são ignoradas — nada mais, e não vai para mais ninguém.

Notas que você nos envia

Se você nos escrever pelos ajustes, recebemos o que você escreveu, qual dos quatro tipos escolheu e — só se preencher — um e-mail para responder. Junto vão a versão do app, a plataforma, o idioma, se tem uma conta, o estado da sincronização, quando sincronizou pela última vez e quantas coisas e pessoas há na sua despensa.

Nunca a despensa em si: nenhum nome de produto, nenhuma loja, nenhum preço. Uma nota fica guardada até tratarmos dela. Eliminar todos os dados não a remove, porque esse botão limpa apenas este aparelho — Excluir conta remove, junto com tudo o mais que temos de você.

Relatórios de erro

As versões web, iPhone e Android relatam as falhas ao Sentry para que possamos corrigi-las, com seu e-mail e seu endereço IP removidos antes de o relatório ser enviado. Cada app relata no próprio projeto, então uma falha de um nunca se mistura com a falha de outro.

Sem rastreamento, sem publicidade

Não rastreamos você em outros apps ou sites. Não há identificador de publicidade, rede de anúncios, kit de análise de terceiros nem corretor de dados. Nada do que você faz aqui é cruzado com dados sobre você de outro lugar. É por isso que o iOS nunca mostra um pedido de permissão de rastreamento — não há o que pedir.

Quem trata os dados

Quando os dados são enviados, ficam em um banco Postgres e num serviço de autenticação operados pela Supabase em nosso nome, protegidos por regras em nível de linha para que só os membros da sua casa possam ler sua casa. Eles tratam os dados para nós e para nada próprio.

Há outros dois envolvidos, e o seu telefone chega a eles de maneiras diferentes. Open Food Facts responde às procuras de códigos de barras, e o seu telefone pergunta-lhes diretamente — por isso os servidores deles veem o pedido chegar da sua ligação, juntamente com o código de barras e o nome e a versão da aplicação. Nada de si. OpenRouter passa o texto de um recibo digitalizado ao modelo que nomeia os artigos, e é chamado pelo nosso servidor em vez de pelo seu telefone, portanto nunca vê de onde veio o recibo. A nenhum deles é dito quem é, e a nenhum é enviado nada da sua prateleira.

Por quanto tempo guardamos

Pelo tempo em que sua conta existir. Se você excluir a conta, a cópia no servidor vai com ela — exceto uma casa da qual outra pessoa ainda é membro: essa fica com elas, e seu nome sai dela.

O que você pode fazer a respeito

• Salvar uma cópia da sua prateleira — Ajustes. Escreve tudo o que está neste telefone em um arquivo que fica com você. Você pode lê-lo de volta no app, em qualquer telefone, com Importar um arquivo de cópia.
• Excluir sua conta — Ajustes. Apaga a cópia no servidor. Sua despensa fica no telefone, a menos que você peça para apagá-la também.
• Eliminar todos os dados — Ajustes. Apaga tudo neste dispositivo.
• Parar de compartilhar — Ajustes. A casa para de sincronizar e o código de convite deixa de funcionar.
• Desativar as estatísticas de uso — Ajustes. Elas começam desativadas, e desativá-las de novo interrompe novos registros imediatamente.

As definições têm um botão para isso — Pedir tudo o que está no servidor, ao lado do que guarda a sua despensa.

Crianças

O Ullage é uma ferramenta doméstica para adultos e não é dirigido a crianças menores de 13 anos. Não coletamos nada delas de forma consciente.

Alterações

Se esta política mudar de um jeito que afete o que coletamos, a data no topo muda e o app avisa você antes de a mudança valer.

Contato

Dúvidas sobre qualquer coisa disso, ou um pedido sobre seus dados: privacy@ullage.app.