Política de privacidade

Conta de utilizador: endereço de e-mail, nome próprio e apelido, palavra-passe encriptada (bcrypt, não legível pela Trasimène), data de registo, identificador único.

Utilização do serviço: registos de acesso (IP, user-agent, data/hora, 30 dias), eventos de análise pseudonimizados (ID de dispositivo pseudonimizado, resultados agregados), tokens de notificações push (token Firebase, revogável). Para a proteção em tempo real, os nossos servidores verificam também: o domínio das ligações detetadas nas suas notificações e SMS, bem como, para cada notificação selecionada, a aplicação que a emitiu, a respetiva hora e as palavras de uma lista de burlas conhecidas que contém (nunca o texto da mensagem; resultado conservado durante um máximo de 30 dias com os resultados da análise), o código do operador dos seus cartões SIM (nunca o seu número de telefone) para detetar uma mudança de cartão, e o nome de pacote das aplicações desconhecidas face à ficha pública da Play Store (sem associação à sua identidade).

Leitor de endereços (código QR ou endereço introduzido): cada endereço que verifica é enviado para os nossos servidores, que o comparam com a sua lista de ameaças e com o Google Safe Browsing. No iPhone, para as verificações «Leitor de QR codes seguro» e «Sites que imitam marcas conhecidas», os nossos servidores conservam durante 30 dias, associados ao seu dispositivo, a data e o resultado de cada verificação de endereço, juntamente com um valor de hash do nome do site calculado com uma chave secreta: sem esta chave, o valor de hash não permite encontrar o site. Trata-se de uma pseudonimização: a Trasimène detém esta chave, e estes valores de hash continuam a ser dados pessoais. Quando um endereço é considerado perigoso, o endereço completo é conservado em texto simples durante o mesmo período, para lhe ser apresentado no resultado da verificação. Uma vez que um endereço pode conter uma informação pessoal (por exemplo, um identificador colocado numa ligação recebida), apenas os endereços considerados perigosos são conservados desta forma. Estes dados são apagados ao fim de 30 dias, e aquando da eliminação da sua conta. Base legal: execução do contrato.

Aplicações instaladas (Android): para emitir o veredicto das verificações relativas às suas aplicações, a aplicação envia para os nossos servidores, em cada análise e para cada aplicação em causa, o respetivo nome de pacote e nome apresentado, a aplicação que a instalou, a impressão digital do seu certificado de assinatura e a data da sua primeira instalação. A partir da versão 1.2.1, envia também, para cada aplicação em causa: características técnicas (versão da aplicação, versão de Android visada, categoria declarada, por exemplo «jogo», tamanho do seu código nativo); o estado de determinadas permissões sensíveis, ou seja, se lhe estão efetivamente concedidas (sobreposição a outras aplicações, acesso a todos os ficheiros, leitura e escrita do armazenamento partilhado); e, se tiver concedido o acesso aos dados de utilização, o respetivo tempo de utilização nas últimas 24 horas (tempo no ecrã, tempo visível e tempo passado a trabalhar em segundo plano). Os nossos servidores utilizam-nos para emitir o veredicto e apenas conservam o resultado das verificações, no máximo até 30 dias após a última análise transmitida pelo telemóvel. Base legal: execução do contrato; para o tempo de utilização, o seu consentimento, dado ao conceder o acesso aos dados de utilização e que pode retirar a qualquer momento nas definições do telemóvel, ficando então inativa a verificação «Atividade suspeita em segundo plano».

Ficheiros do armazenamento (Android): para identificar ficheiros perigosos, a aplicação examina os ficheiros de instalação de aplicações, os arquivos comprimidos e os ficheiros com extensões suspeitas (segundo uma lista mantida pelos nossos servidores) presentes nas suas pastas Transferências e Documentos, na raiz do armazenamento do telemóvel e num cartão de memória ou numa pen USB ligados. Para cada um destes ficheiros, envia para os nossos servidores o respetivo nome, tamanho, data da última modificação e a pasta onde se encontra; para um ficheiro de instalação, envia também o nome da aplicação que contém e a impressão digital do seu certificado de assinatura. A partir da versão 1.2.1, envia ainda um valor de hash (SHA-256) do conteúdo de cada ficheiro, calculado no telemóvel, para o comparar com a nossa base de dados de software malicioso conhecido. O conteúdo dos ficheiros e a sua localização completa nunca são enviados. Um valor de hash designa um ficheiro preciso: duas pessoas que tenham o mesmo ficheiro obtêm o mesmo valor de hash. Estes valores de hash não são transmitidos a nenhum terceiro. Os nossos servidores nunca conservam o de um ficheiro inofensivo; no caso de um ficheiro considerado perigoso, guardam o respetivo valor de hash com o resultado da verificação, que pode indicar o seu nome, para que o alerta continue a ser apresentado enquanto o ficheiro estiver no seu dispositivo, e no máximo até 30 dias após a última análise transmitida pelo telemóvel. Um ficheiro já examinado não é reenviado enquanto não for alterado. Base legal: execução do contrato.

Localização (Android): se o autorizar, a aplicação acede à localização precisa e aproximada, em todas as versões de Android suportadas, incluindo quando não está visível no ecrã, através do seu serviço de monitorização, assinalado pela sua notificação permanente. O Android só permite a leitura das antenas de rede móvel e dos pontos de acesso Wi-Fi com este acesso, leitura essa que serve para duas verificações. «Falsa antena de rede detetada»: em cada análise, a aplicação envia para os nossos servidores, para cada antena à qual o telemóvel está ligado, o tipo de rede, a intensidade do sinal e a identidade da antena (LAC/CID, TAC/CI ou NCI). «Falsa rede Wi-Fi pirata»: quando vários pontos de acesso difundem o nome da rede à qual está ligado, a aplicação envia os respetivos identificadores de hardware (BSSID) e o respetivo tipo de segurança. A aplicação nunca lê a latitude nem a longitude do telemóvel, mas estes identificadores, cruzados com bases de dados públicas de antenas e de pontos de acesso Wi-Fi, podem permitir situar o telemóvel de forma aproximada, por vezes precisa: por isso, tratamo-los como dados de localização, com o único objetivo de detetar estes dois ataques. Os nossos servidores não os registam; apenas é conservado o resultado da verificação, no máximo até 30 dias após a última análise transmitida pelo telemóvel. Quando é detetada uma anomalia, este resultado indica, para lho poder apresentar, a antena em causa (tipo de rede, intensidade e, se for caso disso, identidade), ou o nome da rede Wi-Fi e os BSSID dos pontos de acesso em causa. Este detalhe é apagado assim que a verificação deixa de detetar a anomalia. Em caso de erro técnico durante um envio, estes identificadores podem constar do relatório de erro transmitido ao nosso subcontratante Sentry. Base legal: o seu consentimento, dado ao conceder o acesso. Pode recusá-lo ou retirá-lo a qualquer momento nas definições do telemóvel: estas duas verificações ficam então inativas, tal como quando a localização do telemóvel está desativada, sem efeito nas restantes verificações.

Notificações de mensagens (Android): se conceder à aplicação o acesso às notificações, esta examina, para a verificação «Dispositivo desconhecido associado à conta», as notificações das aplicações de mensagens monitorizadas (Signal, WhatsApp e Telegram, lista mantida pelos nossos servidores), a fim de identificar o alerta que uma aplicação de mensagens apresenta quando um novo dispositivo é associado à sua conta. Do título e do texto de cada notificação, a aplicação só guarda valores de hash: cada sequência de uma a quatro palavras é transformada por uma função de hash (SHA-256 truncado), e o texto não é conservado nem enviado. Estes valores de hash, mantidos em memória para as últimas 200 notificações destas aplicações de mensagens, são enviados para os nossos servidores em cada análise, juntamente com a aplicação de mensagens emissora e a hora de cada notificação. Os nossos servidores comparam-nos com os valores de hash de uma lista de frases que anunciam a associação de um dispositivo e, em seguida, apagam-nos de imediato, sem os registar nem conservar. O resultado conservado (no máximo até 30 dias após a última análise) indica apenas o número de notificações examinadas, o número de frases reconhecidas e, se o acesso aos dados de utilização tiver sido concedido, as aplicações de mensagens monitorizadas utilizadas recentemente. Um valor de hash não é uma encriptação: uma sequência de palavras comuns pode ser recuperada calculando os valores de hash de palavras conhecidas. Trata-se de uma pseudonimização, e estes valores de hash continuam a ser dados pessoais. Base legal: o seu consentimento, dado ao conceder o acesso às notificações; pode retirá-lo a qualquer momento nas definições do telemóvel, ficando então esta verificação inativa. Para as pessoas cujas mensagens aparecem nestas notificações (os seus interlocutores), a base legal é o interesse legítimo (art. 6.º, n.º 1, al. f) do RGPD): a segurança da sua conta contra a associação de um dispositivo sem o seu conhecimento. Garantias: pseudonimização através de valores de hash, nenhum texto enviado, apagamento dos valores de hash imediatamente após a comparação.

Cofre digital: os seus ficheiros, notas e palavras-passe são encriptados em repouso com AES-256-GCM. A chave de encriptação é única para cada conta e gerida no lado do servidor no Google Secret Manager, sob controlos de acesso estritos. Nunca vendemos nem partilhamos o conteúdo do seu cofre.

Pagamento: nenhum dado de cartão é armazenado pela Trasimène. Todas as transações são tratadas exclusivamente pelo nosso fornecedor de pagamentos certificado PCI-DSS.

Sem registos: não registamos, inspecionamos nem armazenamos o conteúdo do seu tráfego. Apenas o estado da ligação (ligado/desligado) é registado para o funcionamento do serviço.

Filtragem DNS de segurança: enquanto funcionalidade de segurança, os pedidos DNS efetuados dentro do túnel são resolvidos pelos nossos próprios servidores e comparados com uma lista de ameaças categorizada (malware, phishing, comando e controlo, rastreadores). Apenas quando um domínio consta desta lista é que registamos esse domínio e a sua categoria, associados à sua conta durante 48 horas, com o único objetivo de apresentar o alerta de segurança correspondente na aplicação. Os domínios benignos nunca são registados e não é conservado qualquer histórico de navegação. A resolução a montante é assegurada pela Quad9, um resolvedor que respeita a privacidade.

Servidores próprios: o tráfego passa apenas por servidores operados pela Trasimène (WireGuard), nunca por terceiros.

Sem monetização: nunca vendemos, partilhamos nem redirecionamos o seu tráfego para fins publicitários ou comerciais.

Ligação automática: para os subscritores, a ligação automática da VPN está ativada por predefinição. No Android, depois de a VPN ter sido autorizada pela primeira vez, volta a ligar-se no início da monitorização (por exemplo, no arranque do telemóvel) e ao abrir o ecrã VPN; no iPhone, uma regra «a pedido» do sistema restabelece o túnel assim que uma rede está disponível. Pode desativá-la a qualquer momento no ecrã VPN. No iPhone, quando é constatado o fim da sua subscrição, a aplicação remove esta regra e a configuração VPN do telemóvel.

Acesso no dispositivo: para a proteção, a aplicação utiliza os seguintes acessos. Aqueles que o telemóvel lhe pede para autorizar podem ser recusados ou retirados a qualquer momento nas respetivas definições; as verificações que deles dependem ficam então inativas. No Android: lista das aplicações instaladas e estado do Wi-Fi (concedidos na instalação); notificações (alertas e notificação permanente de proteção); câmara (apenas leitor de códigos QR); Bluetooth (estado do Bluetooth, dispositivos ligados, ataques Bluetooth nas proximidades); localização (antenas de rede móvel e pontos de acesso Wi-Fi, ver «Localização» acima); contactos e calendário (apenas contagem, para detetar uma eliminação em massa); estado do telemóvel (tipo de rede móvel, mudança de cartão SIM); dados de utilização (volume de dados enviado, número de ligações de rede, aplicações de conta dupla, tempo de utilização de cada aplicação nas últimas 24 horas); acesso às notificações (ligações contidas nas notificações e nos SMS, valores de hash das notificações de mensagens, ver acima); acesso a todos os ficheiros (ficheiros de instalação, arquivos comprimidos e ficheiros suspeitos do armazenamento, ver «Ficheiros do armazenamento» acima). No iPhone: notificações (alertas); câmara (apenas leitor de códigos QR); Bluetooth (dispositivos nas proximidades, para identificar um ataque Bluetooth: para cada dispositivo detetado, a intensidade do sinal e se difunde ou não um nome ou serviços; não são enviados nem o seu identificador nem o seu nome); localização durante a utilização da app, apenas para ler o nome e o tipo de segurança da rede Wi-Fi à qual está ligado, sendo esse nome conservado com o resultado da verificação; Face ID (desbloqueio do cofre, no dispositivo). Estes dados nunca são vendidos.

Execução do contrato (art. 6.º, n.º 1, al. b) do RGPD): gestão da conta de utilizador, prestação do serviço de segurança, gestão da subscrição.

Consentimento (art. 6.º, n.º 1, al. a) do RGPD): envio da newsletter, colocação de cookies de análise e marketing, leitura das antenas de rede móvel e dos pontos de acesso Wi-Fi permitida pelo acesso à localização (Android), valores de hash das notificações de mensagens permitidos pelo acesso às notificações (Android), tempo de utilização das aplicações permitido pelo acesso aos dados de utilização (Android). Para estes três acessos, o consentimento é dado ao conceder o acesso e retirado a qualquer momento retirando esse acesso nas definições do telemóvel.

Interesses legítimos (art. 6.º, n.º 1, al. f) do RGPD): segurança da plataforma, prevenção de fraude, monitorização técnica (Sentry).

Obrigação legal (art. 6.º, n.º 1, al. c) do RGPD): conservação dos registos de ligação (exigência legal francesa, 1 ano).

Google Cloud (Google LLC), alojamento de dados, região europe-west1 (UE), https://cloud.google.com/security/compliance/gdpr

PostHog Inc., análise de produto, servidores na UE, https://posthog.com/privacy

Sentry (Functional Software Inc.), monitorização de erros, https://sentry.io/privacy

Have I Been Pwned (Troy Hunt): API de monitorização da dark web, nenhum dado pessoal transmitido (apenas hash SHA-1 parcial)

RevenueCat Inc., gestão de subscrições in-app, https://www.revenuecat.com/privacy

VirusTotal (Google LLC), análise antivírus de APK e URL, https://support.virustotal.com/hc/en-us/articles/115002168385-Privacy-Policy

Google Safe Browsing (Google LLC), verificação de URL maliciosos, https://safebrowsing.google.com/

Resend Inc., envio de e-mails transacionais, https://resend.com/legal/privacy-policy

Cookies essenciais (não requerem consentimento): sessão de autenticação (NextAuth.js), preferências de idioma.

Cookies de análise (requerem consentimento): PostHog, Google Analytics, medição anonimizada de audiência, melhoria do serviço.

Cookies de marketing (requerem consentimento): Meta Pixel, TikTok, LinkedIn, X, publicidade direcionada e medição de campanhas.