Política de privacidade

1. Quem é o responsável

O controlador (responsável pelo tratamento) dos seus dados pessoais, na acepção do Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679, “RGPD”), é a WebbingApps OÜ. O MeteorGPL é uma marca e um serviço da WebbingApps OÜ, e não uma empresa distinta.

• WebbingApps OÜ — sociedade limitada (osaühing) registrada na Estônia
• E-mail: [email protected]
• Site: webbingapps.com

Para qualquer dúvida sobre os seus dados ou para exercer os seus direitos, escreva para [email protected].

2. Em resumo

• Tratamos os dados necessários para operar as contas, o repositório Composer, a cobrança e o suporte, e para mantê-los seguros.
• Não utilizamos publicidade, scripts de análise ou de rastreamento nem plugins de redes sociais, e os dados pessoais não são vendidos nem alugados. O único script de outra empresa é a proteção contra bots da Cloudflare em alguns formulários (seção 3.24).
• Os dados do cartão são informados nas páginas da Stripe e nunca chegam até nós.
• Os endereços IP e os identificadores de navegador no registro de segurança, nos registros de downloads e nos registros de auditoria são removidos após 90 dias.
• Você mesmo pode exportar os seus dados e excluir a sua conta em Configurações → Conta.

3. Os dados pessoais que tratamos

Esta seção enumera cada categoria de dados, o motivo pelo qual é tratada e por quanto tempo é conservada. As bases legais constam da seção 5; os destinatários, da seção 6.

3.1 Conta

Nome, endereço de e-mail, senha (armazenada apenas como hash irreversível), a data em que seu endereço de e-mail foi verificado, o idioma da interface que você escolheu, a versão dos termos e da política de privacidade que você aceitou e quando, o seu período de acesso ao repositório e o seu plano, e as configurações da sua conta. Finalidade: criar e operar a sua conta, permitir o seu acesso, enviar os e-mails de verificação e de redefinição de senha (os links de redefinição expiram após 60 minutos) e conceder ou encerrar o acesso ao repositório. Conservados até a exclusão da conta.

3.2 Perfil

Quando você configura sua conta, perguntamos o seu país e o que melhor descreve você e, de forma opcional, o número de sites pelos quais você é responsável, a sua empresa, a data de nascimento, o número de telefone e o fuso horário. O país é utilizado para impostos e preços; as demais respostas nos ajudam a entender quem utiliza o serviço e a contatar você sobre a sua conta. Ninguém mais as vê. Se você informou um número de telefone, ele também é transmitido à Stripe quando o seu cadastro de cliente na Stripe é criado (seção 3.10). Você pode alterar ou remover os dados opcionais em Configurações → Perfil. Conservados até a exclusão da conta.

3.3 Acesso com GitHub ou Google

Se você entra com o GitHub ou o Google, ou conecta um deles à sua conta, recebemos desse provedor o seu ID de usuário, nome de usuário, nome, foto de perfil e endereço de e-mail verificado (escopos do GitHub read:user e user:email; escopos do Google openid, email e profile). Armazenamos o provedor, o ID de usuário, o nome de usuário e o endereço de e-mail. A foto é copiada uma vez, redimensionada e servida a partir do nosso site. O token de acesso do provedor não é armazenado, de modo que não podemos agir na sua conta do GitHub ou do Google. Você pode desconectar um provedor em Configurações → Contas conectadas. O próprio acesso ocorre no provedor, nos termos da política de privacidade dele.

3.4 Senhas, passkeys e autenticação de dois fatores

As senhas são armazenadas apenas como hashes. Quando você escolhe uma senha, ela é verificada na lista Pwned Passwords do serviço Have I Been Pwned por meio de k-anonimato: apenas os cinco primeiros caracteres do hash SHA-1 da senha saem do nosso servidor; nem a senha nem o hash completo são transmitidos. O segredo de dois fatores e os códigos de recuperação são armazenados criptografados. Para uma passkey, armazenamos o ID da credencial, a chave pública, o nome que você lhe dá e dados técnicos informados pelo autenticador; a chave privada nunca sai do seu dispositivo.

Se você perder o acesso ao seu método de dois fatores, um pedido de recuperação registra o motivo informado, o horário, o seu endereço IP e o seu navegador; você o confirma por e-mail, e um membro da equipe decide após um período de espera de 72 horas. Conservado com a conta; o endereço IP e o navegador são removidos após 90 dias.

3.5 Registro de segurança

O registro de segurança registra os acessos, as tentativas de acesso malsucedidas e as alterações da sua senha, do seu endereço de e-mail, da autenticação de dois fatores, das passkeys, das sessões, dos tokens e da assinatura, a aceitação dos termos e as exportações de dados, cada um com o horário, o endereço IP, o navegador (user agent) e um marcador aproximado do dispositivo (um hash da família do navegador, da plataforma e do prefixo de rede). Finalidade: mostrar a você a atividade da sua conta em Configurações → Registro de segurança, detectar acessos não autorizados e avisar você por e-mail quando você entrar a partir de um dispositivo não visto nos 90 dias anteriores. O endereço IP e o navegador são removidos após 90 dias; as entradas são conservadas até a exclusão da conta.

3.6 Sessões

Enquanto você estiver conectado, um registro de sessão no nosso banco de dados contém o seu endereço IP, o seu navegador e o horário da sua última atividade, para que Configurações → Sessões possa listar onde você está conectado e permitir que você desconecte outros dispositivos. Uma sessão termina após 120 minutos sem atividade, a menos que você tenha escolhido “Manter conectado”, ou antes, se você tiver definido uma desconexão por inatividade em Configurações → Senha e autenticação. Os registros de sessões expiradas são excluídos automaticamente.

3.7 Tokens do Composer e chaves de API

Para cada token do Composer: o nome, os primeiros caracteres (para exibição), um hash SHA-256 do token, as restrições (pacotes, faixas de IP), as datas de expiração e de revogação, e o horário e o endereço IP do uso mais recente (atualizados no máximo a cada cinco minutos). O token em si não é armazenado. O endereço IP do último uso é removido 90 dias após esse uso. Os tokens revogados são conservados como registros, inutilizáveis, até a exclusão da conta. Para as chaves de API, armazenamos o nome, os primeiros caracteres, um hash e o horário do último uso.

3.8 Downloads e instalações

Cada download de pacote pelo Composer, cada download de ZIP a partir de uma página de pacote e cada relatório de instalação enviado pelo Composer (“notify-batch”) é registrado com o pacote, a versão, o horário, o token e a conta utilizados, o endereço IP, o user agent e o tamanho. Finalidade: o controle de acesso, a detecção de tokens compartilhados (seção 3.9), o seu histórico de downloads em Configurações → Histórico de downloads, alertas de segurança sobre versões que você baixou (seção 3.17) e estatísticas de downloads, que são publicadas apenas como totais (páginas de pacotes, página de status, API). O endereço IP e o user agent são removidos após 90 dias; os demais dados são conservados como estatísticas. Quando a conta é excluída, os registros perdem o vínculo com a conta e com os seus tokens.

3.9 Detecção de tokens compartilhados

Uma vez por hora e uma vez por dia, os registros de downloads de cada token são verificados quanto ao número de redes diferentes (blocos /24 para IPv4, blocos /48 para IPv6) a partir das quais ele foi utilizado em um mesmo dia. Acima de um primeiro limite, o token é sinalizado para análise pela nossa equipe e você é informado; acima de um segundo limite, o token é revogado automaticamente e você é informado (seção 9). Uma sinalização conserva o número de redes, o número de downloads e até dez prefixos de rede, e não endereços IP completos. As sinalizações são conservadas para o tratamento de abusos; quando a conta é excluída, elas perdem o vínculo com ela.

3.10 Pagamentos e faturas

Os pagamentos são processados pela Stripe Payments Europe, Limited (Irlanda). Os dados do cartão e outros dados de pagamento são informados nas páginas da Stripe e nunca chegam até nós. A Stripe recebe o seu nome, o seu endereço de e-mail, o seu número de telefone, se você informou um no seu perfil, o seu endereço de cobrança, o seu número de identificação para efeitos de IVA, se você o fornecer, os seus dados de pagamento e o seu idioma preferido; no caso de uma organização, o nome e o endereço de e-mail de cobrança dela. Conservamos o ID de cliente da Stripe, o estado da assinatura e o respectivo plano, o tipo e os quatro últimos dígitos do cartão de pagamento e as datas de teste e de término; as faturas, os meios de pagamento e os dados de cobrança são obtidos da Stripe quando você abre as páginas de cobrança. As faturas são emitidas em nome da WebbingApps OÜ. A Stripe também trata dados como controladora independente para cumprir as suas próprias obrigações legais, como a prevenção de fraudes e os controles contra a lavagem de dinheiro, nos termos da sua política de privacidade.

Os registros da assinatura são conservados até a exclusão da conta. As faturas e os demais registros contábeis são conservados por sete anos a contar do final do exercício financeiro, conforme exige a Lei de Contabilidade da Estônia (§ 12), também após a exclusão da conta; o cadastro de cliente na Stripe é conservado para essa finalidade.

3.11 Organizações

Para uma organização: o nome, o endereço no site, o site e o endereço de e-mail de cobrança; os membros e suas funções; os convites (endereço de e-mail, função, quem convidou, expiração após sete dias); os tokens da organização; e um registro de auditoria dos eventos da organização com a pessoa que agiu, o horário e o endereço IP. Quando uma organização aceita o acordo de tratamento de dados, registramos o nome, o cargo e o endereço de e-mail da pessoa que o aceitou, o nome e o endereço da empresa, o horário e o endereço IP. As pessoas de uma mesma organização veem os nomes, os endereços de e-mail e as funções umas das outras. Quando tratamos os dados dos membros em nome da organização, a organização é a controladora e nós atuamos como seu operador (subcontratante) nos termos do acordo de tratamento de dados. Os endereços IP no registro de auditoria são removidos após 90 dias; o restante é conservado até a exclusão da organização.

3.12 Estrelas, listas, acompanhamento e notificações

Os pacotes que você marca com estrela ou acompanha, as listas em que você organiza os pacotes com estrela (com os nomes e descrições que você dá a elas), as versões que você marca com estrela, o nível de acompanhamento que você escolheu e as suas configurações de notificação (quais eventos chegam até você no aplicativo, por push e por e-mail). As notificações da sua caixa de entrada são conservadas com a data em que você as leu. Utilizados apenas para exibir as suas listas e entregar as notificações que você solicitou. As contagens de estrelas e de acompanhantes nas páginas de pacotes são totais; ninguém mais vê quem marcou um pacote com estrela ou o acompanha. Conservados até que você os remova ou até a exclusão da conta.

Quando você ativa as notificações push em um navegador, o endpoint de push desse navegador e as suas chaves públicas de criptografia são armazenados. As notificações são criptografadas para esse navegador e entregues ao serviço de push do respectivo fornecedor (por exemplo Google, Mozilla, Apple ou Microsoft), que as entrega. Desativar o push, ou o navegador informar que a inscrição expirou, exclui o registro.

3.13 E-mail

Enviamos e-mails para a verificação do seu endereço, redefinições de senha, segurança da conta, tokens, acesso ao repositório, pagamentos e respostas do suporte (esses não podem ser desativados enquanto a conta existir), e para as notificações que você ativou. Ofertas sobre o serviço, por exemplo depois de você cancelar uma assinatura, são enviadas por e-mail aos clientes, a menos que eles as desativem; as novidades do produto, apenas a quem optou por recebê-las. Cada e-mail contém um link para as suas configurações de notificação, onde você pode desativar a qualquer momento as ofertas, as novidades do produto e os demais e-mails opcionais. Os e-mails são entregues pelo nosso provedor de entrega de e-mails (seção 6).

3.14 Projetos e arquivos composer.lock

Quando você envia um arquivo composer.lock (no navegador ou pela API), ele é lido uma única vez: armazenamos o nome do projeto, os pacotes deste repositório com as versões instaladas e o número de outros pacotes. O arquivo em si não é armazenado, e os outros pacotes não são examinados. Utilizados para a visão geral das dependências, os avisos de segurança e de retirada e o acompanhamento automático. Conservados até que você exclua o projeto ou a conta.

3.15 Cofre de chaves de licença

As chaves de licença de fornecedores que você armazena são criptografadas; com cada chave, armazenamos o rótulo, o fornecedor, o endereço de e-mail da sua conta junto ao fornecedor, as datas de compra e de expiração, o número de sites e as suas notas. Utilizados para exibir a chave na página do pacote e para lembrar você 30 e 7 dias antes de ela expirar. Conservados até que você exclua a chave ou a conta.

3.16 Webhooks

Para cada webhook: a URL, o formato, os eventos, o filtro de pacotes e o segredo de assinatura (criptografado). As entregas são registradas com o seu conteúdo (apenas eventos de pacotes, sem dados pessoais), o código de resposta e os primeiros 1.000 caracteres da resposta, e a duração. As entregas são enviadas ao endereço que você configurou; o serviço receptor (por exemplo Slack, Discord ou o seu próprio servidor) as trata nos termos das suas próprias condições. Conservados até que você exclua o webhook ou a conta.

3.17 Alertas de vulnerabilidades

Baixamos o feed de vulnerabilidades do Wordfence Intelligence e o comparamos, nos nossos próprios servidores, com os pacotes que você acompanha, os projetos que você enviou e as versões que você baixou, para alertar você. Um registro de alerta armazena o aviso de segurança, o pacote, o motivo do alerta, a versão instalada e a versão corrigida. Nenhum dado pessoal é enviado ao Wordfence. Conservados até a exclusão da conta.

3.18 Solicitações de pacotes e votos

As solicitações que você envia (título, tipo, fornecedor, endereço e notas) e os seus votos. As solicitações e as contagens de votos são públicas, sem o seu nome. Você é notificado quando uma solicitação que você fez ou na qual votou muda de status. Quando a conta é excluída, os seus votos são excluídos e as suas solicitações permanecem sem vínculo com você.

3.19 Suporte

Mensagens enviadas pelo formulário de contato ou por um ticket de suporte: o seu nome, o endereço de e-mail, o assunto, a categoria, as mensagens e as respostas da equipe, e o vínculo com a sua conta, se você estava conectado. Conservados pelo tempo necessário para atender ao seu pedido e para manter um registro dele; quando a conta é excluída, os tickets perdem o vínculo com ela. Você pode nos pedir que excluamos um ticket.

3.20 Indicações

O seu código de indicação, quem indicou quem, o status da indicação e eventual recompensa. Se você se cadastrar pelo link de indicação de alguém, essa pessoa vê o seu nome, a data em que você se cadastrou e se você fez uma assinatura; o crédito concedido a ela na Stripe menciona o seu nome. Excluídos quando qualquer uma das contas é excluída.

3.21 Pesquisa de cancelamento

Quando você cancela uma assinatura, o motivo que você escolhe, o seu comentário opcional e se uma oferta de retenção foi exibida e aceita. Utilizados para melhorar o serviço. Conservados como estatísticas.

3.22 Inscrições na página de status

Se você se inscrever para receber atualizações sobre incidentes sem ter uma conta: o seu endereço de e-mail, um token e a data em que você confirmou a inscrição por e-mail (dupla confirmação). Conservados até que você cancele a inscrição pelo link presente em cada mensagem. Os titulares de contas escolhem essas atualizações nas suas configurações de notificação.

3.23 Visualizações de páginas

Cada página de pacote conta as visualizações e os visitantes únicos por dia. Um visitante é reconhecido durante um dia por um hash da data, do endereço IP, do user agent e de um segredo do servidor; nem o endereço IP nem o user agent são armazenados, e os hashes são excluídos após dois dias, de modo que um visitante não pode ser acompanhado de um dia para o outro. As requisições de bots e de pré-visualizações de links não são contadas. Apenas os totais diários são conservados; eles aparecem na aba Estatísticas de cada pacote.

3.24 Proteção contra bots

Quando ativado, os formulários de cadastro, redefinição de senha, contato, solicitações de pacotes e inscrições na página de status exibem o Cloudflare Turnstile. O seu navegador se conecta então à Cloudflare, Inc., que trata o seu endereço IP, a impressão digital TLS, o user agent e a chave e a origem do site para distinguir pessoas de bots. A Cloudflare atua como nossa operadora (subcontratante) para essa verificação e como controladora para o aprimoramento do Turnstile, conforme descrito no seu adendo de privacidade do Turnstile.

Esses formulários contêm ainda um campo que as pessoas não veem e um carimbo de data e hora assinado, para que sejam recusados os envios feitos por programas, enviados rápido demais ou repetidos em poucos segundos. Para reconhecer uma repetição, um hash unidirecional do endereço IP que enviou um formulário é conservado por dez segundos; nada mais é armazenado.

3.25 Fornecedores e colaboradores

As páginas de pacotes e de fornecedores exibem informações públicas sobre quem desenvolve os produtos: nomes, sites, páginas de suporte e de contato extraídos dos arquivos dos produtos, dos sites dos fornecedores, do WordPress.org e do GitHub, e os nomes e as fotos dos colaboradores do WordPress.org. Os logotipos e as fotos são obtidos uma única vez pelo nosso servidor (do Gravatar, do GitHub, do WordPress.org ou do site do fornecedor), redimensionados e servidos a partir do nosso site; o seu navegador não se conecta a esses serviços. Se forem exibidas informações sobre você e você quiser que sejam corrigidas ou removidas, entre em contato conosco.

3.26 Registros técnicos

O servidor web e o aplicativo mantêm registros técnicos (endereço IP, endereço solicitado, horário, navegador, erros) para fins de segurança e de resolução de problemas. Os registros de erros do aplicativo são excluídos após 14 dias; os registros do servidor web são conservados apenas pelo tempo necessário para as mesmas finalidades.

3.27 Acesso pela nossa equipe

Os membros da equipe com direitos administrativos podem ver os dados das contas para prestar suporte e tratar de cobranças, denúncias de abuso e remoções. Cada ação administrativa é registrada com o respectivo motivo. Para resolver um problema, o suporte pode ver o site tal como a sua conta o vê; é exigido um motivo, você é informado por e-mail, o acesso é registrado no seu registro de segurança, e as ações que exigem a sua senha continuam impossíveis.

3.28 Reivindicações de fornecedores

Quando você reivindica um perfil de fornecedor ou solicita um novo, tratamos o que você informa — a sua função no fornecedor, um endereço de e-mail profissional, a sua mensagem e, no caso de um perfil novo, o nome, o site e a descrição do fornecedor — juntamente com a sua conta, e os resultados das verificações de propriedade: se você confirmou o endereço de e-mail profissional, se o nosso servidor encontrou o registro DNS ou o arquivo de verificação no domínio do fornecedor e se o seu login com o GitHub corresponde ao perfil do fornecedor no GitHub. Para confirmar o endereço profissional, enviamos um único e-mail para ele. Os administradores veem essas informações para decidir sobre a reivindicação; a página do fornecedor mostra apenas que o fornecedor é verificado, nunca quem o reivindicou. Uma reivindicação aprovada torna a sua conta membro do fornecedor, e o que você escrever depois no perfil do fornecedor é publicado. As reivindicações e as decisões são conservadas enquanto a sua conta existir, para mostrar quem gerencia um perfil e por quê. Você pode retirar uma reivindicação pendente a qualquer momento; a exclusão da sua conta exclui as suas reivindicações e participações como membro.

3.29 Lista de acesso antecipado

Quando você pede para ser informado sobre o acesso antecipado ao MeteorGPL Private, armazenamos o seu endereço de e-mail, o nome e a empresa opcionais que você informar, as suas respostas (quantos plugins premium você licencia, quantas pessoas usariam o serviço, quais plugins ou fornecedores, a sua observação), o idioma da página, o endereço IP de onde partiu o pedido (apagado após 90 dias) e, se você estiver conectado, o vínculo com a sua conta. Enviamos um e-mail de confirmação, usamos as respostas para planejar o serviço e escrevemos a você quando o seu acesso estiver pronto. A lista é conservada até a abertura do serviço e por mais seis meses, ou até que você peça a sua remoção.

3.30 Feedback

O link Feedback abre um formulário para uma mensagem curta (no máximo 500 caracteres) e uma categoria opcional. Armazenamos a mensagem junto com a página de onde foi enviada (o endereço, sem parâmetros que possam conter um segredo), o idioma, o tamanho da janela do navegador, o modo de cor, o user agent do navegador, o endereço IP e a sua conta, ou o endereço de e-mail que você informar se não estiver conectado. Se você marcar “Incluir uma captura desta página”, o seu navegador desenha uma imagem da página em que você está — senhas, chaves, tokens, campos de formulário e outras áreas marcadas são cobertos de cinza antes de a imagem ser desenhada, e você pode ocultar outras áreas — e a envia com a mensagem. Somente os nossos administradores veem feedbacks e capturas. As capturas, os endereços IP e os user agents são excluídos após 90 dias; a mensagem permanece até que a excluamos ou até que você exclua a sua conta. O seu próprio feedback faz parte da exportação dos seus dados.

3.31 Blog

Os artigos do blog indicam o seu autor, um administrador do serviço, com nome e foto. Nada sobre os leitores é armazenado.

4. Cookies e armazenamento local

O site define apenas os cookies de que precisa para funcionar e para lembrar as suas escolhas; não são utilizados cookies de publicidade nem de análise.

Nome	Finalidade	Duração
meteorgpl-session	Mantém você conectado durante uma visita e protege os formulários	120 minutos após a última requisição
XSRF-TOKEN	Protege os formulários contra a falsificação de requisições entre sites	120 minutos após a última requisição
remember_web_…	Mantém você conectado quando você escolhe “Manter conectado”	400 dias; removido quando você sai
mgpl_locale	Lembra o idioma que você escolheu	1 ano
mgpl_lang_prompt	Lembra que você respondeu à sugestão de idioma	1 ano
mgpl_ref	Lembra o link de indicação que você seguiu, para que a indicação possa ser creditada	30 dias

Além disso, o armazenamento local do navegador guarda a sua escolha de modo de cor (meteorgpl-color-mode). Quando você ativa as notificações push, o navegador registra o service worker do site, que apenas recebe e exibe notificações. Nos formulários indicados na seção 3.24, o Cloudflare Turnstile é executado no seu navegador quando está ativado.

5. Bases legais

Finalidade	Base legal (RGPD)
Conta, acesso, acesso ao repositório, tokens, downloads, cobrança, organizações, notificações que você escolhe, projetos, cofre de chaves de licença, webhooks, alertas de vulnerabilidades, suporte à sua conta	Execução do contrato, art. 6.º, n.º 1, alínea b)
Faturas e registros contábeis	Obrigação legal, art. 6.º, n.º 1, alínea c), nos termos da legislação contábil e tributária da Estônia
Registro de segurança, avisos de novos dispositivos, sessões, detecção de tokens compartilhados, registro de endereços IP, proteção contra bots e proteção dos formulários contra spam, verificação de senhas vazadas, registros técnicos, registro de auditoria da equipe	Legítimo interesse na segurança do serviço e das contas e na prevenção de fraudes e abusos, art. 6.º, n.º 1, alínea f)
Estatísticas de downloads, contagem de visualizações de páginas, perguntas do perfil sobre a função e o número de sites, pesquisa de cancelamento, feedback e as suas capturas de tela	Legítimo interesse em compreender e melhorar o serviço, art. 6.º, n.º 1, alínea f)
Ofertas sobre o serviço enviadas aos clientes	Legítimo interesse no marketing direto, art. 6.º, n.º 1, alínea f), dentro dos limites do art. 13.º, n.º 2, da Diretiva 2002/58/CE; você pode se opor a qualquer momento
Novidades do produto, atualizações de status a pessoas sem conta, dados opcionais do perfil, notificações push, lista de acesso antecipado	Consentimento, art. 6.º, n.º 1, alínea a), que você pode retirar a qualquer momento
Informações sobre fornecedores e colaboradores	Legítimo interesse em mostrar quem desenvolve um produto e onde as suas licenças são vendidas, art. 6.º, n.º 1, alínea f)
Reivindicações de fornecedores e verificações do domínio reivindicado	Execução do contrato, art. 6.º, n.º 1, alínea b), e legítimo interesse em mostrar apenas fornecedores verificados autênticos, art. 6.º, n.º 1, alínea f)
Dados dos membros que uma organização gerencia por meio do serviço	Tratamento em nome da organização, art. 28.º

Quando nos baseamos em legítimo interesse, você pode se opor ao tratamento (seção 8).

6. Destinatários

Não vendemos nem alugamos dados pessoais. Os dados pessoais são transmitidos apenas aos seguintes destinatários, na medida em que cada um deles precise:

• Stripe Payments Europe, Limited (Irlanda): pagamentos, faturas e o portal do cliente (seção 3.10).
• O nosso provedor de hospedagem, que opera os servidores do site e do banco de dados na União Europeia.
• Cloudflare, Inc.: entrega dos arquivos dos pacotes (quando o Composer baixa um pacote, ele é encaminhado ao armazenamento da Cloudflare com um link de curta duração, de modo que o seu endereço IP e o seu user agent chegam à Cloudflare) e proteção contra bots (seção 3.24).
• O nosso provedor de entrega de e-mails (Postmark, operado por AC PM LLC, Estados Unidos), que entrega os e-mails que enviamos.
• GitHub, Inc. e Google, apenas quando você entra com eles (seção 3.3).
• Serviços de push dos fornecedores de navegadores, apenas para as notificações push que você ativou (seção 3.12).
• Os endereços que você configura para webhooks (seção 3.16).
• Autoridades e tribunais, quando a lei nos obriga a divulgar dados.

Os nossos operadores atuam apenas segundo as nossas instruções e com base em contratos que cumprem o artigo 28.º do RGPD.

7. Transferências para fora do Espaço Econômico Europeu

Alguns destinatários estão localizados nos Estados Unidos ou pertencem a grupos sediados nesse país (Stripe, Cloudflare, Postmark, GitHub e Google). Essas transferências baseiam-se na decisão de adequação da Comissão Europeia relativa ao Quadro de Privacidade de Dados UE-EUA (Decisão de Execução (UE) 2023/1795), quando o destinatário está certificado ao abrigo dele, e, nos demais casos, nas cláusulas contratuais-tipo adotadas pela Comissão (Decisão de Execução (UE) 2021/914). Você pode nos pedir informações sobre essas garantias.

8. Seus direitos

Você tem o direito de acessar os seus dados pessoais (art. 15.º do RGPD), de obter a sua retificação (art. 16.º), o seu apagamento (art. 17.º) ou a limitação do seu tratamento (art. 18.º), de recebê-los em formato portátil (art. 20.º) e de se opor ao tratamento baseado em legítimo interesse (art. 21.º); você pode se opor ao marketing direto a qualquer momento, sem indicar motivo. Quando o tratamento se baseia no consentimento, você pode retirá-lo a qualquer momento, com efeitos para o futuro (art. 7.º, n.º 3).

Grande parte disso você pode fazer por conta própria: Configurações → Perfil corrige os seus dados, Configurações → Notificações desativa os e-mails, e Configurações → Conta exporta os dados da sua conta como arquivo JSON e exclui a sua conta. A exclusão da conta remove os dados da conta, o perfil, a foto, as conexões de acesso, as passkeys, os tokens, as chaves de API, as participações em organizações, as estrelas, as listas, as versões com estrela, os acompanhamentos, as notificações, as inscrições de push, os projetos, os webhooks, o cofre de chaves de licença, os alertas de vulnerabilidades, os registros de indicações e o registro de segurança, e encerra a assinatura; os registros de downloads e os tickets de suporte perdem o vínculo com você; as faturas permanecem conforme descrito na seção 3.10. Para qualquer outra questão, escreva para [email protected] a partir do endereço de e-mail da sua conta. Respondemos no prazo de um mês (art. 12.º, n.º 3, do RGPD) e podemos pedir que você confirme a sua identidade.

9. Decisões automatizadas

A única decisão automatizada é a revogação de um token do Composer utilizado a partir de muitas redes diferentes em um mesmo dia (seção 3.9). Você é informado quando isso acontece, pode criar imediatamente um novo token e pode pedir que a decisão seja revista por uma pessoa. Nenhuma outra decisão com efeitos jurídicos ou com efeitos similarmente significativos é tomada por meios automatizados, e não é realizada nenhuma definição de perfis.

10. Segurança

As conexões são criptografadas (TLS). As senhas e os tokens são armazenados como hashes; os segredos de dois fatores, as chaves de licença, os segredos dos webhooks e as credenciais de integração são armazenados criptografados. A autenticação de dois fatores e as passkeys protegem as contas; apenas as contas da equipe com direitos administrativos podem abrir a área administrativa, e cada ação administrativa é registrada com o respectivo motivo.

11. Crianças

O serviço destina-se a profissionais e não é dirigido a crianças. O campo de data de nascimento não aceita datas de menos de 13 anos atrás.

12. Reclamações

Você pode apresentar uma reclamação a uma autoridade de controle, em especial no Estado-Membro da sua residência habitual, do seu local de trabalho ou do local da alegada infração (art. 77.º do RGPD). A autoridade competente para a WebbingApps OÜ é a Inspetoria de Proteção de Dados da Estônia (Andmekaitse Inspektsioon), Tatari 39, 10134 Tallinn, Estônia, [email protected], www.aki.ee. Agradeceríamos a oportunidade de tratar da sua preocupação em primeiro lugar.

13. Alterações desta política

A versão e a data desta política são exibidas no topo da página. Quando o tratamento for alterado de forma substancial, sua conta solicitará que você aceite a nova versão dos termos e desta política no próximo acesso, com um resumo do que mudou.

14. Contato

WebbingApps OÜ, e-mail [email protected], ou o formulário de contato. Os dados da empresa constam da seção 1.