Política de Privacidade

Recolhemos as informações que nos fornece diretamente: o seu nome, o seu endereço de e-mail, o seu nome de utilizador público (@handle), a sua fotografia de perfil, as suas preferências de viagem e o ano de nascimento que introduz no registo para verificar a idade mínima de 14 anos. Recolhemos igualmente os conteúdos que cria (planos de viagem, destinos guardados, fotografias, comentários, mensagens, relatos de afluência, conversas com o assistente de IA) e os dados de utilização (padrões de interação com a aplicação) para operar e melhorar a sua experiência.

Os seus dados são utilizados para personalizar a sua experiência de viagem, disponibilizar informações sobre o nível de afluência, gerar recomendações, alimentar o assistente de viagem com IA, manter o serviço seguro e melhorar os nossos serviços. Não vendemos as suas informações pessoais a terceiros. As comunicações de marketing só são enviadas com o seu consentimento explícito (opt-in) e pode retirá-lo a qualquer momento através das preferências de notificação nas Definições.

Tratamos os seus dados ao abrigo das seguintes bases legais definidas pelo Regulamento Geral sobre a Proteção de Dados: • Dados da conta (nome, e-mail, nome de utilizador, perfil) e os conteúdos que cria: execução do contrato — o tratamento é necessário para lhe prestarmos os nossos serviços (Art. 6(1)(b)). • Assistente de viagem com IA: execução do contrato para prestar o assistente (Art. 6(1)(b)); interesse legítimo para o avaliar e melhorar (Art. 6(1)(f)). • Dados de localização: consentimento — só tratamos a sua localização quando concede expressamente a permissão (Art. 6(1)(a)). Pode retirar o consentimento a qualquer momento através das Definições ou das definições do seu dispositivo. • Dados analíticos e de utilização: interesse legítimo — analisamos os padrões de utilização para melhorar o desempenho da aplicação e a experiência do utilizador, e produzimos estatísticas agregadas anónimas (Art. 6(1)(f)). • Segurança e prevenção de abusos (verificação do e-mail, atestação do dispositivo, limites de frequência anti-spam, moderação de conteúdos): interesse legítimo (Art. 6(1)(f)). • Marketing e notificações push: consentimento — só enviamos comunicações promocionais com o seu consentimento (opt-in) (Art. 6(1)(a)). Pode retirar o consentimento a qualquer momento através das preferências de notificação nas Definições. • Perfil «Como viaja»: execução do contrato para os elementos que define por si (Art. 6(1)(b)); interesse legítimo para as preferências aprendidas nas suas conversas (Art. 6(1)(f)). Dados sensíveis que decida acrescentar (necessidades alimentares e de acessibilidade): consentimento explícito (Art. 9(2)(a)), que pode retirar a qualquer momento; nesse caso os dados são apagados de imediato. • Memória da viagem («O assistente lembra-se»): interesse legítimo (Art. 6(1)(f)); pode opor-se como descrito em «Memória da viagem».

Cada conta tem um nome de utilizador público único (@handle). Os dados do seu perfil público — nome visível, fotografia de perfil e nome de utilizador — são visíveis para outros utilizadores no seu perfil e junto aos conteúdos que publica. Pode alterar o seu nome de utilizador nas Definições, sujeito a limites antiabuso; o nome de utilizador anterior fica então disponível para outros utilizadores. O seu nome de utilizador é incluído na exportação dos seus dados e é eliminado quando elimina a sua conta. Base legal: execução do contrato.

Cada fotografia ou vídeo que adiciona a uma viagem tem uma visibilidade escolhida por si: «Todos», «Seguidores» ou «Só eu». Pode alterá-la a qualquer momento: a alteração aplica-se de imediato, mas as capturas de ecrã ou cópias já feitas por outras pessoas não podem ser recuperadas. • Companheiros de viagem: no álbum da viagem veem as suas fotografias «Todos» e «Seguidores». As fotografias «Só eu» só são vistas por si. • Pessoas fora da viagem: só podem ver uma das suas fotografias se também puderem ver a viagem, e nunca para além do que a sua escolha e a sua conta permitem. Na prática: – «Todos»: qualquer pessoa no Wandermi a pode ver se a viagem for pública; se a viagem só for visível para seguidores, no máximo os seguidores de quem criou a viagem; – «Seguidores»: os seus seguidores podem vê-la se a viagem for pública, ou se a viagem for sua e estiver visível para seguidores; nos restantes casos, apenas os seus companheiros; – as fotografias de uma viagem privada, em rascunho ou no lixo não são vistas por ninguém fora da viagem; – se a sua conta for privada, as suas fotografias nunca vão além dos seus companheiros e dos seus seguidores. • Onde aparecem: as fotografias visíveis fora da viagem podem aparecer no seu perfil e no Início de quem as pode ver, com o seu nome. Nas páginas de locais, na secção «De quem já esteve lá», só mostramos fotografias (não vídeos) «Todos» de viagens públicas de contas não privadas; se não houver fotografias do local exato, podemos mostrar fotografias tiradas a cerca de 1,5 km no máximo, indicadas como «Tirada nos arredores». Para o Início e o perfil usamos uma cópia da fotografia que a acompanha: muda quando altera a visibilidade e é eliminada quando elimina a fotografia. • Bloqueios: as pessoas que bloqueou, ou que o bloquearam, não veem as suas fotografias no seu perfil, no Início, nas páginas de locais nem ao abrir uma fotografia. • Localização: com cada fotografia guardamos apenas uma localização aproximada (cerca de 1 km) e o nome do local, obtidos a partir dos dados da fotografia ou escolhidos por si. As versões atuais da aplicação nunca guardam a posição exata; se uma versão anterior a enviar, o nosso servidor arredonda-a de imediato para cerca de 1 km. Os ficheiros das fotografias não contêm coordenadas GPS. Quem pode ver uma das suas fotografias (companheiros, seguidores ou todos, de acordo com as suas escolhas) pode receber também o nome do local, a localização aproximada (cerca de 1 km) e uma referência ao local; quem não a pode ver não recebe nada disto. As páginas de locais nunca mostram coordenadas. • Pessoas nas suas fotografias: se publicar fotografias em que aparecem outras pessoas, certifique-se de que o pode fazer. Base legal: execução do contrato (Art. 6(1)(b)). Conservação: como os dados das viagens (ver «Prazos de conservação dos dados»).

Na página de um lugar pode carregar uma foto sua desse sítio, se tiver pelo menos 16 anos e uma conta criada há pelo menos 7 dias. As fotos de lugares são públicas: veem-nas todos os utilizadores e quem abrir a página do lugar, também através de uma ligação, com o seu nome de utilizador como autor; também as veem os utilizadores que bloqueou. Aplicam-se as «Condições para as fotos de lugares», que aceita no primeiro carregamento. A funcionalidade é ativada de forma gradual: enquanto estiver desativada, as fotos de lugares não são mostradas. • O que recolhemos: – a foto. Antes do envio a app remove do ficheiro todos os metadados, incluindo a localização GPS; depois, o nosso servidor volta a codificar a foto, eliminando quaisquer metadados restantes, e cria os tamanhos mais pequenos. Guardamos três tamanhos, o maior com no máximo 1600 píxeis no lado maior; – o seu nome de utilizador e o lugar a que a foto está ligada; – apenas se escolher «Tirada no local» (desativada por predefinição): a indicação «tirada a menos de cerca de 300 m do lugar» e o mês e o ano da foto (nunca o dia nem a hora). A app lê a localização e a data da foto no seu telemóvel e envia apenas se a foto está perto do lugar e o mês/ano; a localização da foto nunca é enviada. O mês e o ano só são mostrados publicamente 30 dias após a publicação; a data de carregamento nunca é mostrada. Usamo-los apenas para a etiqueta: se a retirar, apagamo-los e não podem voltar a ser adicionados. Sem a etiqueta não recebemos nem proximidade nem data; – o resultado da verificação automática e, se a foto não for publicada, o motivo; – o registo da sua aceitação: identificador de utilizador, impressão digital do ficheiro (não a foto), data e hora, versão e idioma das Condições com a impressão digital do texto aceite, método de acesso à sua conta (por exemplo email, Google ou Apple). Após a sua primeira foto publicada enviamos um email de confirmação com a ligação para a versão aceite; – para verificar a idade usamos o seu ano de nascimento (ver «Ano de nascimento, idade mínima e menores»). • Se denunciar uma foto: o seu identificador de utilizador e o email da sua conta, o motivo, o texto facultativo que escrever e a sua declaração de boa-fé. Não dizemos ao autor quem denunciou, salvo obrigação legal ou ordem de uma autoridade. • Finalidades e fundamentos jurídicos: – publicar a foto na página do lugar com o seu nome de utilizador, e mostrar a etiqueta «Tirada no local» e o mês quando os escolhe: execução do contrato (art. 6.º, n.º 1, al. b) RGPD). A localização e a data da foto são lidas no seu telemóvel e apenas na medida estritamente necessária para fornecer a etiqueta ou a data que pede (art. 5.º, n.º 3 da Diretiva ePrivacy; art. 122.º do Código italiano de proteção de dados); – tratar denúncias, suspensões e remoções, e informar o autor e quem denuncia: obrigação legal (art. 6.º, n.º 1, al. c) RGPD; arts. 16.º e 17.º do Regulamento (UE) 2022/2065, «Regulamento dos Serviços Digitais»); – a verificação automática e os limites de carregamento para evitar abusos, e a conservação do registo de aceitação após a remoção: o nosso interesse legítimo em proteger os outros utilizadores e em poder provar a licença em caso de litígio (art. 6.º, n.º 1, al. f) RGPD). Pode opor-se escrevendo para privacy@wandermi.com. • Verificação automática: antes da publicação um sistema de inteligência artificial analisa a foto, já recodificada pelo nosso servidor, e verifica que mostra o lugar e que não contém pessoas reconhecíveis (em locais de culto e unidades de saúde, nem sequer pela silhueta), matrículas, dados pessoais legíveis (documentos, ecrãs, nomes em placas, intercomunicadores, caixas de correio) nem conteúdo inadequado. Em caso de dúvida, a foto não é publicada. – O modelo é executado no Google Cloud Vertex AI na União Europeia (região europe-west1). A Google atua como nosso subcontratante (art. 28.º RGPD) e não usa as fotos para treinar os seus modelos. – Se a foto não passar a verificação não é publicada: indicamos o motivo e que a verificação é automática. Pode pedir que uma pessoa da nossa equipa a reveja escrevendo para legal@wandermi.com. – Se a verificação não puder ser concluída, a foto fica em espera e não é publicada; ao fim de 7 dias é descartada. – A verificação diz respeito apenas à publicação dessa foto e não produz efeitos jurídicos sobre si (não é uma decisão nos termos do art. 22.º RGPD). • Denúncias e moderação: normalmente uma denúncia pela app suspende a foto de imediato; não a suspendemos automaticamente se a mesma pessoa já a tinha denunciado, se a foto já tinha sido verificada e reposta (salvo «sou eu», direitos de autor e pedidos da entidade que guarda o bem) ou se a conta de quem denuncia tiver menos de 7 dias. Em qualquer caso uma pessoa da nossa equipa decide, normalmente em 48 horas. O autor recebe na app e, se o endereço estiver verificado, por email a fundamentação de cada suspensão ou remoção; quem denuncia recebe a confirmação e o resultado. Para os emails recorremos à Microsoft Ireland Operations Ltd (Microsoft 365), que atua como nosso subcontratante. • Pessoas fotografadas: se aparecer numa foto publicada use «Denunciar esta foto» → «Sou eu nesta foto» (normalmente a foto é ocultada de imediato). Se não tiver conta, escreva para privacy@wandermi.com (dados pessoais, «sou eu nesta foto») ou para legal@wandermi.com (direitos de autor) com a ligação da foto, o motivo, o seu nome e o seu email: uma pessoa da equipa analisa o pedido, normalmente em 48 horas. • Conservação: – fotos publicadas: até as remover em «As minhas fotos de lugares» (deixam de ser mostradas no prazo de um dia) ou eliminar a conta; – fotos não publicadas pela verificação: ficheiros eliminados de imediato, o resto em 24 horas; – fotos suspensas: até à decisão; se removidas, os ficheiros são eliminados de imediato; – denúncias e decisões: 12 meses a contar da decisão; – emails de serviço (avisos e confirmações): 30 dias após o envio; – registo de aceitação: enquanto a foto estiver publicada e até 10 anos após a remoção, apenas para provar a licença; – se eliminar a conta, eliminamos as suas fotos de lugares e as denúncias que fez; fica apenas o registo de aceitação. • Destinatários: Google Cloud (Firebase e Vertex AI, na UE) e Microsoft (emails), como subcontratantes; o público, para as fotos publicadas. Não usamos as suas fotos em publicidade nem em produtos pagos sem o seu consentimento separado. • Os seus direitos: acesso, retificação, apagamento (também removendo a foto com um toque), oposição, limitação e portabilidade. As fotos de lugares e o registo estão incluídos em «Exportar os meus dados». Ver «Os seus direitos».

• Ano de nascimento: pedimos o seu ano de nascimento no registo (ou, se se registou com a Google ou a Apple sem o indicar, da próxima vez que abrir a app). Usamo-lo apenas para aplicar as regras de idade previstas na lei: pelo menos 14 anos para usar a Wandermi, pelo menos 16 anos para carregar fotos de lugares, e as proteções para quem tem 14 ou 15 anos descritas abaixo. Quando o ano por si só não chega (o ano em que faz 14 ou 16 anos), fazemos-lhe mais uma pergunta (por exemplo o mês de nascimento) e guardamos apenas o resultado, não a sua resposta. O ano de nascimento não é visível para outros utilizadores. – Fundamento jurídico: obrigação legal (art. 6.º, n.º 1, al. c) RGPD, para respeitar a idade mínima fixada pelo art. 8.º RGPD e pelo art. 2-quinquies do Código italiano de proteção de dados) e execução do contrato (art. 6.º, n.º 1, al. b) RGPD), porque as regras de idade fazem parte dos Termos de Serviço. – Conservação: durante toda a vida da conta; é apagado quando elimina a conta. – Não pode ser alterado: depois de guardado, o ano de nascimento não pode ser alterado na app, para que as regras de idade não possam ser contornadas. Se se enganou, escreva para privacy@wandermi.com e corrigimo-lo (direito de retificação, art. 16.º RGPD); podemos pedir-lhe alguns elementos para verificar o pedido. • Se tiver menos de 14 anos: a Wandermi não está disponível para si. – Se o indicar no registo, a conta não é criada e os dados introduzidos são apagados. – Se se verificar que uma conta existente pertence a uma pessoa com menos de 14 anos, a conta é suspensa: todos os seus conteúdos públicos e os visíveis para seguidores são ocultados, e o assistente de IA e as notificações push deixam de estar disponíveis. Comunicamo-lo na app e por email. Se se tratar de um erro, escreva para privacy@wandermi.com dentro desses 30 dias: a contestação suspende a eliminação, uma pessoa da nossa equipa reanalisa o caso e, se o erro se confirmar, reativa a conta e torna os conteúdos de novo visíveis. Sem contestação, a conta e os seus dados são eliminados automaticamente ao fim de 30 dias, com o mesmo procedimento de «Eliminar conta». – Para evitar um novo registo imediato, conservamos durante 90 dias apenas uma impressão digital com chave (HMAC, não reversível) do identificador da conta Google/Apple ou do endereço de email verificado, e depois apagamo-la; se o erro sobre a idade se confirmar, apagamo-la de imediato. Fundamento jurídico: o nosso interesse legítimo em fazer respeitar a idade mínima prevista na lei (art. 6.º, n.º 1, al. f) RGPD). • Se tiver 14 ou 15 anos: – o seu perfil e as suas viagens não são públicos por predefinição (pode, ainda assim, partilhá-los com os seus seguidores); se quiser, pode torná-los públicos com um toque. Se já tiver conta, só deixam de ser públicos o perfil e as viagens que eram públicos: o que partilha com seguidores fica como escolheu. Avisamos na app e pode torná-los de novo públicos com um toque; – não pode carregar fotos de lugares (são necessários 16 anos); – aos seus conteúdos aplica-se a licença limitada descrita nos Termos de Serviço: mostramo-los apenas dentro do Serviço, ao público que escolher, e não os usamos para promoções fora do Serviço. • Secções em destaque: com base no ano de nascimento que nos indicou, se puder ter menos de 18 anos, os seus conteúdos não são selecionados para as secções em destaque (viagens em destaque, Descobrir, fotos da comunidade nas páginas dos lugares e dos países). As fotos carregadas com «Tenho uma foto deste lugar» (a partir dos 16 anos) não estão abrangidas por esta exclusão: seguem as «Condições para as fotos de lugares». Se for menor, convidamo-lo a ler esta política juntamente com um dos pais ou com quem exerce as responsabilidades parentais.

A Wandermi inclui um assistente de viagem baseado em IA generativa (fornecedor do modelo: Google). • Dados enviados ao modelo: o texto das suas mensagens, o contexto da viagem que está a planear (destinos, datas, interesses) e um perfil de preferências de viagem construído a partir das suas conversas anteriores. Não enviamos o seu endereço de e-mail nem a sua posição GPS exata. • Onde o modelo é executado: o assistente é executado no Google Cloud Vertex AI na União Europeia (região europe-west1). A Google atua como nosso subcontratante nos termos do Art. 28 do RGPD, com base no Google Cloud Data Processing Addendum, e não utiliza os seus pedidos (prompts) nem os resultados do modelo para treinar os seus próprios modelos. As suas conversas são tratadas dentro da UE. • Memória: armazenamos (i) o histórico das suas conversas, (ii) um perfil de viajante persistente construído a partir das suas conversas ao longo das viagens e (iii) uma memória para cada viagem (consulte «Memória da viagem» abaixo), para que o assistente mantenha o contexto entre sessões. Pode arquivar ou renomear sessões na aplicação. • Conservação e eliminação: as conversas e o perfil de viajante são conservados enquanto a sua conta estiver ativa e são eliminados quando elimina a sua conta; a memória da viagem segue regras de conservação próprias (consulte «Memória da viagem»). Todos estão incluídos na exportação dos seus dados. Separadamente, são conservadas cópias pseudonimizadas (sem identificadores diretos) para avaliar e melhorar o assistente: o texto das conversas durante um máximo de 12 meses e as métricas técnicas durante um máximo de 24 meses — consulte «Armazém de dados analíticos» para saber o que acontece a essas cópias quando elimina a sua conta. • Exatidão: as respostas são geradas automaticamente e podem conter erros ou informações desatualizadas. Pode denunciar qualquer resposta mantendo premida a mensagem no chat. • Base legal: execução do contrato (prestação do assistente) e interesse legítimo (avaliá-lo e melhorá-lo). Pode opor-se ao tratamento para fins de melhoria escrevendo para privacy@wandermi.com.

O assistente de IA mantém um perfil das suas preferências de viagem, que pode ver e gerir na aplicação em «Como viaja» (a partir do painel de conversas ou de Perfil → Preferências). • O que contém: com quem costuma viajar, estilo de viagem, interesses, ritmo, orçamento, como lida com multidões, locais preferidos ou a evitar, e preferências de alojamento e transporte. Para cada elemento, a aplicação indica a origem: as perguntas iniciais, definido por si ou aprendido nas suas conversas (com a data). • Como se forma: o assistente guarda apenas preferências de viagem duradouras que resultam claramente das suas conversas e informa-o sempre no chat («Vou lembrar-me de que…»), com um botão «Anular». O que define por si tem sempre prioridade e nunca é substituído pelo assistente; um elemento que remove não volta a aparecer. • O seu controlo: pode alterar ou remover cada elemento a qualquer momento. Se desativar «Aprender com as conversas», o assistente não acrescenta nada de novo; o que já está no perfil mantém-se e continua a ser usado para adaptar as sugestões até que o altere ou apague. Para se opor totalmente, remova também os elementos aprendidos ou use «Apagar tudo», que elimina o perfil completo. Desativar «Aprender com as conversas» também coloca em pausa a memória da viagem: nenhum elemento novo e nenhuma utilização dos já guardados (consulte «Memória da viagem»). Estas opções produzem efeito imediato. Também pode escrever para privacy@wandermi.com. • Dados sensíveis (Art. 9 RGPD): as necessidades alimentares (por exemplo alergias, intolerâncias ou dietas, que podem revelar informações sobre a sua saúde ou as suas convicções religiosas) e as necessidades de acessibilidade só são guardadas se for o próprio a introduzi-las em «Como viaja» e der o seu consentimento explícito na caixa própria. Mantemos um registo do seu consentimento (data e versão). O assistente tem instruções para não deduzir estas informações das suas conversas e não as pode guardar no seu perfil. Usamo-las apenas para adaptar as sugestões de viagem: são enviadas ao modelo de IA (Vertex AI, UE) apenas como parte dos seus pedidos e não são copiadas para o armazém de dados de análise. A Google atua como nosso subcontratante e não utiliza estes dados para treinar os seus modelos. Pode retirar o seu consentimento a qualquer momento com «Retirar o consentimento e apagar as necessidades»: os dados são apagados de imediato. A retirada não afeta a licitude do tratamento efetuado anteriormente. • Informações de saúde ou religião escritas no chat: se as mencionar numa mensagem, continuam a fazer parte dessa conversa e das cópias pseudonimizadas que conservamos para análise durante, no máximo, 12 meses, mas não são guardadas no seu perfil. Pedimos-lhe que evite partilhá-las no chat e utilize antes «Como viaja». • Sem decisões automatizadas: o perfil serve apenas para sugerir locais e itinerários, nunca para decisões que produzam efeitos jurídicos ou que o afetem significativamente de forma similar. • Conservação: o perfil é conservado enquanto a sua conta estiver ativa ou até o apagar, e é eliminado quando elimina a sua conta. Está incluído em «Exportar os meus dados». • Fundamento jurídico: execução do contrato para os elementos que define por si ou indica nas perguntas iniciais (Art. 6(1)(b)); interesse legítimo para as preferências aprendidas nas suas conversas (Art. 6(1)(f)), ao qual se pode opor conforme descrito acima; consentimento explícito para os dados sensíveis (Art. 9(2)(a)).

No Companheiro de Viagem, o assistente de IA pode lembrar-se de factos breves que lhe indica sobre uma viagem específica, para que não tenha de os repetir em cada conversa. Pode vê-los no menu do Companheiro de Viagem, em «O assistente lembra-se», e em «Como viaja» → «Memórias das viagens». • O que contém: apenas factos breves que indica expressamente sobre essa viagem — uma decisão sobre o plano (por exemplo «no dia 2, nada de museus»), uma restrição prática («jantar até às 20h», «sem carro»), uma preferência para esta viagem («praias mais tranquilas») ou uma proposta que pôs de parte («não voltes a propor o centro histórico»). Cada elemento tem no máximo 120 caracteres, com um máximo de 30 elementos por pessoa e por viagem. • Como se forma: no final de cada resposta, um modelo de IA ligeiro identifica estes factos na sua mensagem e o nosso código filtra-os antes de os guardar. O modelo tem instruções para não guardar perguntas nem hipóteses. Normalmente, o assistente informa-o no chat («Vou lembrar-me disto para esta viagem…»), com um botão «Anular», e pode sempre ver tudo em «O assistente lembra-se». O modelo é executado no Google Cloud Vertex AI na UE (região europe-west1); a Google atua como nosso subcontratante nos termos do Art. 28 do RGPD e não utiliza estes dados para treinar os seus modelos. • O que não guardamos: informações sobre a sua saúde; necessidades alimentares ou dietas; necessidades de acessibilidade (ficam apenas em «Como viaja», com o seu consentimento explícito); convicções religiosas; informações sobre outras pessoas; documentos; números de identificação, de contacto ou de cartões; endereços de e-mail ou postais. O modelo tem instruções para não propor estes elementos e, além disso, o nosso código descarta os elementos que contêm os termos mais comuns destas categorias; se algo escapar, pode removê-lo de imediato com ✕. • Quem a pode ver: apenas o próprio, e apenas enquanto for membro da viagem. Os outros membros da viagem, incluindo quem a organiza, não podem ver os seus elementos. Os elementos são escritos apenas pelos nossos servidores; a aplicação só os pode ler. Nesta versão, a memória nunca é partilhada com os outros membros; se introduzirmos elementos partilhados, atualizaremos a presente Política e informá-lo-emos previamente na aplicação. • Finalidade e base legal: dar continuidade ao assistente ao longo da sua viagem. Base legal: interesse legítimo (Art. 6(1)(f)). A memória limita-se aos factos que indicou sobre essa viagem, e pode vê-la e removê-la a qualquer momento. • Como se opor: desative «Aprender com as conversas» em «Como viaja»: o assistente deixa de acrescentar o que quer que seja, tanto ao seu perfil como à memória da viagem. Os elementos já guardados continuam visíveis em «O assistente lembra-se», mas não são utilizados enquanto a aprendizagem estiver desativada; pode removê-los com ✕ ou com «Apagar tudo». Estas opções produzem efeito imediato. Também pode escrever para privacy@wandermi.com. • Conservação: os elementos são apagados automaticamente 90 dias após o fim da viagem (se a viagem não tiver datas, a contar do momento em que o primeiro elemento foi guardado), e antes disso se sair da viagem ou for removido dela, se a viagem for eliminada definitivamente (após o período de recuperação de 30 dias) ou se eliminar a sua conta. Quando remove um elemento com ✕ ou «Anular», conservamos apenas uma impressão digital (um hash irreversível, não o texto) para que o assistente não o volte a guardar; as impressões digitais são apagadas se sair da viagem, se a viagem for eliminada definitivamente, se eliminar a sua conta e, em qualquer caso, 90 dias após o fim da viagem. • Os seus direitos: os elementos estão incluídos em «Exportar os meus dados». Pode aceder-lhes, apagá-los e opor-se como descrito acima e em «Os seus direitos». Os elementos são conservados apenas com a viagem na nossa base de dados e não são copiados para o armazém de dados analíticos; as mensagens de onde provêm fazem parte das suas conversas (consulte «Assistente de viagem com IA»). • Sem decisões automatizadas: a memória é utilizada apenas para adaptar as sugestões do assistente para essa viagem.

Com a sua permissão, utilizamos a sua localização para as seguintes finalidades: • Relatos de afluência: o relato que os outros utilizadores veem armazena apenas coordenadas aproximadas (arredondadas a uma precisão de ~1 km). As coordenadas exatas do ponto que assinalou são armazenadas separadamente, numa coleção de acesso restrito que as aplicações cliente não conseguem ler: nunca são mostradas a outros utilizadores e nunca são partilhadas com terceiros. São incluídas na exportação dos seus dados e são eliminadas quando elimina a sua conta. • Deteção de permanência: derivamos valores agregados de tempo passado num local. Não registamos o seu rasto GPS contínuo e não seguimos os seus movimentos. • As estatísticas partilhadas com entidades públicas são apenas anónimas e agregadas. Pode desativar a partilha de localização a qualquer momento em Definições → Localização ou nas definições do seu dispositivo; a aplicação continua utilizável. Base legal: consentimento (Art. 6(1)(a)), que pode retirar a qualquer momento; interesse legítimo para a produção de estatísticas agregadas.

Pode gerar uma ligação pública para partilhar um itinerário. Qualquer pessoa que disponha da ligação pode ver o conteúdo partilhado (itinerário, paragens, quaisquer fotografias incluídas), incluindo pessoas sem conta Wandermi e fora da aplicação, enquanto a ligação estiver ativa. Pondere com atenção o que partilha e com quem. Pode desativar a ligação a qualquer momento nas definições de partilha: a desativação torna o conteúdo imediatamente inacessível através da ligação, mas não produz qualquer efeito sobre as cópias já guardadas por terceiros. As ligações ativas são incluídas na exportação dos seus dados e são eliminadas quando elimina a sua conta. Base legal: execução do contrato (uma funcionalidade que solicita).

• Notificações push: com a sua permissão, enviamos-lhe notificações (mensagens, convites, alertas de afluência, atividade social). Armazenamos um token de notificação associado ao seu dispositivo, transmitido ao nosso fornecedor Expo (Estados Unidos, ao abrigo das Cláusulas Contratuais-Tipo da UE); o token é removido quando termina a sessão. Pode gerir cada categoria em Definições → Notificações ou desativar as notificações a partir do seu sistema operativo. • Idioma das notificações: armazenamos o idioma da sua aplicação para que as notificações lhe cheguem no idioma que utiliza. • Verificação de e-mail: quando se regista com um endereço de e-mail, enviamos-lhe uma mensagem de verificação; a verificação é necessária para poder utilizar a conta, por motivos de segurança e de prevenção de abusos. Base legal: interesse legítimo (Art. 6(1)(f)).

Para proteger o serviço contra abusos automatizados (bots, scripts, contas falsas), a aplicação utiliza mecanismos de atestação do dispositivo fornecidos pela Apple (App Attest / DeviceCheck) e pela Google (Play Integrity) através do Firebase App Check. Estes serviços verificam que os pedidos provêm de uma cópia genuína da aplicação em execução num dispositivo autêntico, gerando tokens técnicos que não são utilizados para criar perfis sobre si nem para fins publicitários. Base legal: interesse legítimo na segurança do serviço (Art. 6(1)(f)).

Partilhamos dados apenas com prestadores de serviços de confiança que nos ajudam a operar a Wandermi. Todos os parceiros estão vinculados por acordos rigorosos de proteção de dados. Não vendemos os seus dados pessoais.

Recorremos aos seguintes subcontratantes para prestar os nossos serviços: • Google Firebase (Cloud Firestore, Authentication, Cloud Storage, App Check) — Estados Unidos. As transferências de dados regem-se pelas Cláusulas Contratuais-Tipo da UE (CCT). • Google Cloud Platform (Cloud Functions, região europe-west1) — União Europeia. • Google Cloud Vertex AI (região europe-west1) — União Europeia. Disponibiliza o modelo generativo que alimenta o assistente de viagem com IA. A Google atua como subcontratante ao abrigo do Google Cloud Data Processing Addendum e não utiliza os seus pedidos (prompts) nem os resultados do modelo para treinar os seus próprios modelos. O tratamento tem lugar dentro da UE. • Google Cloud BigQuery (região europe-west1) — União Europeia. Utilizado como armazém de dados analíticos para compreender e melhorar a aplicação, avaliar e melhorar o assistente de viagem com IA e produzir estatísticas agregadas anónimas. Abrangido pelo Data Processing Addendum da Google e pelas Cláusulas Contratuais-Tipo da UE. Os dados são tratados dentro da UE. • Expo (EAS) — Estados Unidos. Utilizado para a entrega de notificações push. As transferências de dados regem-se pelas Cláusulas Contratuais-Tipo da UE (CCT). • Mapbox — Estados Unidos. Utilizado para a apresentação de mapas e serviços de geolocalização. A recolha de dados de telemetria é opcional e pode ser desativada nas Definições de privacidade. As transferências de dados regem-se pelas Cláusulas Contratuais-Tipo da UE (CCT). • RevenueCat — Estados Unidos. Infraestrutura de gestão de subscrições. As subscrições pagas não estão ativas na Wandermi (ver «Funcionalidades pagas»): o SDK está presente na aplicação, mas atualmente não é tratado qualquer dado de transação ou de faturação. Caso as funcionalidades pagas venham a ser ativadas, a RevenueCat receberia apenas um identificador de utilizador anónimo e os metadados de transação da Apple/Google — nenhum e-mail nem outros dados pessoais. As transferências de dados regem-se pelas Cláusulas Contratuais-Tipo da UE (CCT). • Sentry — Alemanha (residência de dados na UE). Utilizado para a monitorização de erros e a comunicação de falhas. Capta rastreios de pilha, a versão da aplicação, a versão do sistema operativo e um identificador de dispositivo anonimizado; não é captado qualquer e-mail ou outros dados pessoais, salvo se forem explicitamente anexados. • Microsoft 365 (Outlook — alojado pela Microsoft Ireland Operations Limited) — União Europeia. Utilizado para alojar as caixas de correio institucionais (support@, privacy@, legal@) e tratar as comunicações recebidas que nos envia. Aplica-se o DPA padrão dos Microsoft Online Services. • Microsoft 365 (Exchange Online, através do Microsoft Graph — Microsoft Ireland Operations Ltd). Atua também como nosso subcontratante para enviar os emails de serviço: avisos à nossa equipa de moderação sobre denúncias, resultados da moderação, confirmações e avisos sobre a sua conta (por exemplo a suspensão da conta de uma pessoa com menos de 14 anos). Os emails de serviço são apagados automaticamente 30 dias após o envio.

Conservamos os seus dados pelos seguintes prazos: • Dados da conta (nome, e-mail, nome de utilizador, fotografia de perfil, preferências de viagem): conservados enquanto a sua conta estiver ativa. Eliminados quando elimina a sua conta. • Mensagens: conservadas durante um máximo de 12 meses; as mensagens com mais de 365 dias são eliminadas automaticamente. As mensagens que enviou são também eliminadas quando elimina a sua conta. • Dados de viagem (planos de viagem, destinos guardados, fotografias): conservados enquanto a sua conta estiver ativa. Quando elimina uma viagem, esta entra num período de recuperação de 30 dias durante o qual pode ser restaurada; após 30 dias, a viagem e todos os dados associados são eliminados definitivamente. Todos os dados de viagem são também eliminados quando elimina a sua conta. • Conversas e perfil de viajante do assistente de IA: conservados enquanto a sua conta estiver ativa. Eliminados quando elimina a sua conta. • Dados de localização: as coordenadas aproximadas (~1 km) armazenadas com os relatos de afluência que submete, e as coordenadas exatas conservadas separadamente com acesso restrito, são conservadas até eliminar a sua conta. • Token de notificação push: removido quando termina a sessão. • Cópias pseudonimizadas no armazém de dados analíticos: o texto das conversas com a IA durante um máximo de 12 meses; as métricas técnicas da IA durante um máximo de 24 meses; os restantes eventos analíticos durante um máximo de 26 meses. Ver «Armazém de dados analíticos» abaixo. • Perfil «Como viaja»: pode apagá-lo a qualquer momento com «Apagar tudo»; os dados sensíveis são apagados assim que retirar o seu consentimento. • Memória da viagem («O assistente lembra-se»): apagada automaticamente 90 dias após o fim da viagem, ou antes — consulte «Memória da viagem». • Ano de nascimento: durante toda a vida da conta. • Impressão digital do identificador de acesso de uma pessoa com menos de 14 anos: 90 dias. • Emails de serviço enviados através do Microsoft 365: 30 dias após o envio. • Fotos de lugares, denúncias e registo de aceitação: ver «Fotos de lugares». • Cópias de segurança: os dados eliminados dos nossos sistemas podem permanecer nas cópias de segurança da base de dados durante um máximo de 8 semanas (as cópias diárias são conservadas 7 dias e as semanais 8 semanas); depois, as cópias são apagadas automaticamente.

Utilizamos um armazém de dados analíticos (Google Cloud BigQuery, região da UE europe-west1) para três finalidades: (a) compreender como a aplicação é utilizada e melhorá-la; (b) avaliar e melhorar o nosso assistente de viagem com IA; e (c) produzir estatísticas anónimas e agregadas sobre os fluxos turísticos e a sobrelotação. • Pseudonimização e residência: os registos enviados para o armazém não contêm o seu nome, o seu e-mail nem o identificador bruto da sua conta — o identificador é substituído por um pseudónimo (um hash com chave). Todo o tratamento tem lugar dentro da UE, ao abrigo do DPA da Google e das Cláusulas Contratuais-Tipo da UE. • Melhoria da IA: as conversas com o assistente de IA podem ser utilizadas sob forma pseudonimizada para avaliar e melhorar o assistente. Base legal: interesse legítimo. Pode opor-se escrevendo para privacy@wandermi.com. • Estatísticas agregadas (B2G): as estatísticas partilhadas com entidades públicas ou com organizações de gestão de destinos são apenas anónimas — não contêm qualquer informação que o possa identificar e são aplicados limiares mínimos de agregação, de modo a que nenhuma pessoa possa ser individualizada. Nunca vendemos os seus dados pessoais. • Eliminação — o que acontece realmente quando elimina a sua conta: eliminamos os seus dados dos nossos sistemas operacionais (base de dados e armazenamento de ficheiros) — perfil, nome de utilizador, viagens, fotografias, mensagens, conversas e memórias da IA, ligações de partilha e as coordenadas exatas dos seus relatos de afluência. As cópias pseudonimizadas já transferidas para o armazém de dados analíticos NÃO são removidas individualmente nesse momento: deixam de conter o identificador da sua conta e são conservadas até ao termo do respetivo período de conservação (texto das conversas com a IA até 12 meses; métricas técnicas da IA até 24 meses; restantes eventos analíticos até 26 meses), findo o qual são eliminadas. Os agregados anónimos já produzidos não constituem dados pessoais e são conservados. Se pretender que removamos antes disso os registos pseudonimizados que lhe dizem respeito, escreva para privacy@wandermi.com antes de eliminar a sua conta, para que possamos identificá-los.

Para estimar a afluência habitual dos locais, utilizamos um modelo de estimativa próprio. Combina: o padrão diário típico de cada categoria de local; a tendência sazonal e a notoriedade do local, obtidas a partir do número de visualizações, público e agregado, dos artigos da Wikipédia correspondentes (Wikimedia e Wikidata, dados publicados sob CC0); os calendários de feriados nacionais; e, quando disponíveis, os relatos de afluência e o tempo passado nos locais enviados pelos utilizadores da Wandermi, de forma agregada, conforme descrito na presente Política. Estas fontes de terceiros são agregadas e anónimas: não contêm qualquer informação pessoal sobre si ou sobre outras pessoas identificáveis. Não utilizamos os dados de «horas de ponta» do Google Maps: deixámos de utilizar os dados deste tipo recolhidos no passado e eliminámo-los dos sistemas que fazem funcionar o serviço. As estimativas descrevem um dia típico («normalmente»), não a situação em tempo real.

A Wandermi inclui uma funcionalidade de mensagens na aplicação que lhe permite comunicar com outros viajantes e partilhar planos de viagem, fotografias, sondagens e localizações. • Cifragem: todas as mensagens são cifradas em trânsito (TLS 1.2+) e em repouso (AES-256). A cifragem ponto a ponto não está atualmente implementada; tal permite a moderação do lado do servidor e a denúncia de conteúdos exigidas pelo Regulamento dos Serviços Digitais da UE (Regulamento (UE) 2022/2065). • Conteúdos armazenados: o texto das mensagens, os ficheiros multimédia anexados (fotografias), as sondagens, as localizações, as reações, o contexto de resposta e os metadados de edição/fixação. Os avisos de leitura são armazenados para alimentar os contadores de mensagens não lidas das conversas. • Moderação: aplicamos limites de frequência automatizados (máximo de 40 mensagens por minuto e 300 por hora por remetente) e tratamos as denúncias dos utilizadores. Os conteúdos denunciados são analisados e podem ser removidos; as contas abusivas podem ser suspensas. • Denúncia de conteúdos ilegais: pode denunciar qualquer mensagem através do menu de pressão longa → Denunciar. As denúncias são analisadas pelo nosso moderador, normalmente no prazo de 48 horas. • Edição e eliminação: pode editar as suas mensagens no prazo de 15 minutos após o envio e eliminá-las a qualquer momento. A eliminação da sua conta elimina as mensagens que enviou. • Notificações push: as pré-visualizações das mensagens podem aparecer nas notificações push. Pode desativar as pré-visualizações em Definições → Notificações. • Menores: nos termos do Art. 8 do RGPD e da respetiva lei italiana de execução, a idade mínima para utilizar as mensagens é de 14 anos.

Ao abrigo do Regulamento Geral sobre a Proteção de Dados, dispõe dos seguintes direitos relativamente aos seus dados pessoais: • Direito de acesso e à portabilidade dos dados (Art. 15 e 20): utilize «Exportar os meus dados» nas Definições para descarregar um ficheiro JSON completo com os seus dados, incluindo as suas conversas com o assistente de IA. • Direito de retificação (Art. 16): corrija os seus dados pessoais a qualquer momento através de Editar perfil. • Direito ao apagamento (Art. 17): utilize «Eliminar conta» nas Definições. Isto remove dos nossos sistemas operacionais a sua conta, os seus conteúdos, as suas mensagens, as suas conversas e memórias da IA, o seu nome de utilizador, as suas ligações de partilha e as coordenadas exatas dos seus relatos de afluência. Quanto às cópias pseudonimizadas no armazém de dados analíticos, ver «Armazém de dados analíticos» acima. • Direito de oposição e de retirada do consentimento (Art. 21): pode desativar a localização em Definições → Localização e as notificações em Definições → Notificações a qualquer momento. Para se opor ao tratamento de dados pseudonimizados para fins analíticos e de melhoria da IA, escreva para privacy@wandermi.com. Para se opor à memória da viagem, desative «Aprender com as conversas» ou remova os elementos em «O assistente lembra-se» (consulte «Memória da viagem»). • Direito de apresentar reclamação: pode apresentar reclamação junto da autoridade de controlo italiana (Garante per la protezione dei dati personali) ou da autoridade de controlo do seu país de residência. • Alterações à presente Política: se introduzirmos alterações significativas, informá-lo-emos na aplicação antes de produzirem efeito. Pediremos que aceite novamente quando a alteração disser respeito aos Termos ou quando a lei o exigir (por exemplo, um novo tratamento baseado no seu consentimento); se não aceitar, o acesso ao serviço fica suspenso. • Direito de oposição à definição de perfis (Art. 21): em «Como viaja» pode desativar «Aprender com as conversas» e remover os elementos aprendidos ou apagar todo o perfil. Para exercer qualquer um destes direitos, contacte-nos através de privacy@wandermi.com ou utilize a funcionalidade correspondente na aplicação.

Alguns dos seus dados pessoais podem ser transferidos para os Estados Unidos e aí tratados, onde se encontram alguns dos nossos prestadores de serviços (Firebase, Expo, Mapbox, RevenueCat). Estas transferências estão salvaguardadas pelas Cláusulas Contratuais-Tipo da UE (CCT) aprovadas pela Comissão Europeia. O tratamento efetuado pelo assistente de IA e pelo armazém de dados analíticos tem lugar dentro da União Europeia (região europe-west1).

Responsável pelo tratamento: WANDERMI S.R.L., sede social em Viale Umbria 128, 20135 Milano (MI), Itália · número de IVA e código fiscal (P.IVA e C.F.) 14880440962 · REA MI-2813220 (Registo das Empresas de Milano Monza Brianza Lodi n.º 14880440962) · capital social de 5.000,00 € integralmente realizado · correio eletrónico certificado (PEC) wandermi@namirialpec.it · startup inovadora inscrita na secção especial do Registo das Empresas. Não somos obrigados a designar um Encarregado da Proteção de Dados (EPD) nos termos do art. 37.º do RGPD: não somos uma autoridade pública, as nossas atividades principais não envolvem o tratamento em larga escala de categorias especiais de dados, e não efetuamos um controlo regular e sistemático de titulares dos dados em larga escala. Reavaliamos periodicamente esta análise e designaremos um EPD caso os pressupostos se verifiquem. Para qualquer questão sobre o tratamento dos seus dados pessoais, ou para exercer os seus direitos ao abrigo do RGPD, escreva para privacy@wandermi.com. Tem ainda o direito de apresentar reclamação junto da autoridade de controlo do seu país de residência.

A Wandermi é atualmente gratuita: não existem subscrições nem compras na aplicação ativas, e não tratamos quaisquer dados de pagamento. As funcionalidades apresentadas na aplicação como «brevemente» (por exemplo, uma subscrição premium ou álbuns de fotografias impressos) não estão ativas. A nossa infraestrutura de gestão de subscrições (RevenueCat) está presente na aplicação, mas não trata quaisquer transações enquanto as funcionalidades pagas estiverem inativas. Se as funcionalidades pagas forem ativadas, informá-lo-emos com antecedência e atualizaremos a presente Política. Em qualquer caso, os pagamentos seriam processados exclusivamente pela Apple (App Store) no iOS e pela Google (Play Store) no Android: nunca recolheríamos nem armazenaríamos os dados do seu cartão de pagamento ou o seu endereço de faturação.

A Wandermi prevê oferecer álbuns de fotografias impressos opcionais numa versão futura. Quando esta funcionalidade estiver disponível: • Partilha: apenas os dados estritamente necessários para dar cumprimento à sua encomenda serão partilhados com o nosso parceiro de impressão Peecho (sediado nos Países Baixos, UE): o seu nome de entrega, a sua morada de entrega, as fotografias que selecionar expressamente para o álbum e os detalhes da encomenda. • Nenhuns outros dados partilhados: não partilharemos com a Peecho o e-mail da sua conta, os seus planos de viagem, nem qualquer outra informação pessoal. • Consentimento explícito (opt-in) por encomenda: esta funcionalidade exige consentimento explícito de cada vez que efetua uma encomenda. Não são partilhados quaisquer dados sem uma encomenda ativa. • Estado atual: na versão atual esta funcionalidade não está ativa. Não foram nem estão a ser partilhados quaisquer dados com a Peecho. Atualizaremos a presente Política e avisaremos os utilizadores na aplicação antes de a funcionalidade entrar em funcionamento.

Aplicamos medidas de segurança conformes aos padrões do setor, incluindo a cifragem em trânsito (TLS 1.2+) e em repouso (AES-256), para proteger as suas informações pessoais contra acessos não autorizados. A aplicação envia, juntamente com os pedidos dirigidos ao nosso backend, uma atestação do dispositivo (Firebase App Check), que utilizamos para reconhecer o tráfego que não provém de uma cópia autêntica da aplicação; estamos a ativar gradualmente a rejeição dos pedidos sem uma atestação válida. As coordenadas exatas dos relatos de afluência são conservadas numa coleção de acesso restrito que as aplicações cliente não conseguem ler. O acesso aos sistemas de produção está reservado ao pessoal autorizado e protegido por autenticação multifator.