Privacidade

O GRILL ME faz perguntas sobre uma decisão. O que você diz enquanto isso acontece é a coisa mais privada do app, então ele foi construído para não guardar nada disso.

Controlador

Oliver Strebel-Mark
Emmericher Weg 76a
47574 Goch, Alemanha
hello@grillofficer.app

Sem conta

Não há cadastro, não há login, não há e-mail. O app nunca pede nada que identifique você.

Sua voz não sai do aparelho

Quando você fala, o que foi dito vira texto no seu iPhone. A gravação nunca é transmitida e nunca é armazenada.

O que é enviado e não é guardado

Seu tema e suas respostas são enviados ao nosso servidor como texto para que a próxima pergunta e, no fim, o veredicto possam ser produzidos. Nosso servidor não guarda esse texto. O estado da conversa fica no seu aparelho e viaja com cada pergunta.

O que o servidor mantém é uma contagem, nunca um conteúdo. Para que a cota gratuita e uma assinatura possam funcionar, ele registra junto ao identificador do seu aparelho: quais Grills foram iniciados, quantos você usou no período atual e se há uma assinatura ativa, cada um com a hora em que foi gravado. Seu tema, suas respostas e o veredicto não fazem parte de nada disso.

Uma exceção, e ela é um caso de erro. Se o modelo devolver uma resposta que o servidor não consegue ler, o servidor grava algumas centenas de caracteres dessa resposta no próprio registro de operação na Cloudflare, para que a falha possa ser encontrada e corrigida. Esse texto é do Oficial e pode repetir o que você disse. Ele não vai para a nossa ferramenta de análise.

Para processamento, não para armazenamento por nós, esse texto chega a:

• Anthropic (via Vercel AI Gateway): produz as perguntas e o veredicto.
• ElevenLabs: produz a voz falada, se você deixar ligada. Só a frase que o Oficial diz é enviada, nunca a sua resposta.
• Cloudflare: opera o servidor pelo qual os dois passam.

O que fica no seu aparelho

Quando um Grill termina, ele é gravado no seu aparelho: o tema, suas respostas como o Oficial as registrou, as afirmações e o resultado delas, e o veredicto. Fica guardado só ali. Não é enviado para nós e não está no seu iCloud nem no backup do aparelho. Mais ninguém pode ler, a não ser que você envie: o app pode transformar um veredicto em um cartão de compartilhamento, e o que você compartilha assim sai do seu aparelho porque você decidiu enviar.

Você pode apagar tudo a qualquer momento em Ajustes → Neste aparelho → Excluir todos os Grills. Excluir o app também apaga. Como nunca recebemos nada disso, esse é o único lugar onde existe e o único onde precisa ser apagado.

O que medimos

Contamos como o app é usado: que um Grill começou ou terminou, quanto tempo uma pergunta levou, se a voz funcionou. Esses eventos são construídos para não carregar texto livre. Um valor pode ser um número, um valor verdadeiro/falso ou um texto curto de no máximo quarenta caracteres, propositalmente pequeno demais para um tema, uma pergunta ou uma resposta. Seu tema, suas respostas e as perguntas do Oficial não são colocados neles. Essa é uma regra que o app cumpre e um limite que o servidor impõe, não uma impossibilidade matemática, e preferimos dizer isso a prometer uma.

Os eventos carregam um identificador de aparelho, o identifierForVendor da Apple. Ele não é o seu nome e não contém nada que você tenha nos contado. Mas é o mesmo identificador em tudo: a contagem de uso, a cota gratuita, a assinatura e a análise dependem dele, então esses registros andam juntos e pertencem a um aparelho. A Apple só o aplica a apps nossos e só o redefine quando todo app nosso tiver sido removido daquele aparelho, de modo que excluir o GRILL ME sozinho nem sempre o muda. São analisados através do nosso servidor no PostHog, cujo data center para nós fica na UE. A PostHog Inc. é uma empresa dos Estados Unidos e também trata esses dados fora da UE; a seção mais abaixo cobre isso.

Não há identificador de publicidade nem rastreamento em outros apps ou sites, e por isso também não aparece o aviso de rastreamento da Apple.

Quando algo dá errado

Quando o app captura um erro, ele o relata para que a falha possa ser corrigida: o tipo do erro, a mensagem que o app escreveu sobre si mesmo, em qual tela aconteceu, o domínio e o número de erro da Apple, e até quarenta linhas da pilha de chamadas interna do app. Isso vai para o PostHog, sob o mesmo identificador de aparelho dos eventos de uso.

Essa mensagem é escrita pelo app sobre si mesmo, nunca por você. Ela contém coisas como um código de status ou uma falha de decodificação, e é limitada a trezentos caracteres. Não é um lugar onde o seu tema ou as suas respostas sejam colocados.

Este site

O site também conta os acessos: qual página, em que idioma e de onde você veio. A análise é feita pela PostHog na UE, pelo nosso próprio endereço z.grillofficer.app, para que o pedido não vá a terceiros.

Nada fica guardado no seu aparelho: sem cookies, sem armazenamento local. Por isso nenhum aviso pede consentimento aqui, e por isso toda visita é a primeira, porque não existe nada que reconheça você. Seu endereço IP é processado para entregar a página e para deduzir o país.

Nenhum clique é registrado e nenhuma sessão é gravada.

Compras

A assinatura passa pela Apple. Administramos o direito de acesso com o RevenueCat, usando o mesmo identificador de aparelho. Nunca vemos dados de pagamento; esses ficam com a Apple.

Por quanto tempo é guardado

No seu aparelho: um Grill terminado fica até você apagar, e excluir o app também apaga. Ali nada expira sozinho, porque nada ali é nosso.

No nosso servidor: o registro de que um Grill começou é apagado depois de sete dias. Os contadores por trás dele, quantos Grills gratuitos este aparelho usou e se há uma assinatura ativa, ficam sem prazo. Preferimos dizer isso com clareza a inventar um prazo: a cota gratuita é por aparelho enquanto aquele identificador existir, e nunca ficamos sabendo que você excluiu o app, então não há evento que possa disparar uma exclusão. Duas linhas, sem conteúdo, e você pode mandar apagá-las escrevendo para o endereço acima.

Nos nossos operadores:

• PostHog, eventos de uso e relatórios de erro: no máximo sete anos, definido pelo nosso plano. A PostHog aplica esse limite projeto a projeto e ainda não vale para o nosso, então hoje nada é removido automaticamente. Nosso contrato prevê exclusão ou devolução quando ele terminar.
• Cloudflare, o registro de operação que pode conter algumas centenas de caracteres de uma resposta ilegível: no máximo sete dias.
• RevenueCat, o estado da assinatura: destruição ou devolução dentro de trinta dias do fim do nosso contrato.
• ElevenLabs, que só recebe a frase que o Oficial diz: remoção após cento e oitenta dias sem uso.
• Vercel, que leva a solicitação ao modelo: exclusão no fim do nosso contrato.

Para onde vai fora da UE

Seu tema e suas respostas são tratados fora da UE, e os eventos de uso também. Todas as empresas abaixo ficam nos Estados Unidos, e cada transferência se apoia em um contrato que assinamos com elas.

• Vercel Inc. leva a solicitação ao modelo, e a Anthropic produz as perguntas e o veredicto como suboperadora da Vercel. Não temos contrato próprio com a Anthropic, e o app nunca chega até ela diretamente. Cláusulas contratuais-padrão da Comissão Europeia, Decisão de Execução (UE) 2021/914, módulo dois, sob a lei irlandesa.
• ElevenLabs Inc. produz a voz falada. Cláusulas contratuais-padrão e o Data Privacy Framework UE-EUA, sob a lei irlandesa.
• PostHog Inc. analisa os eventos de uso. O data center para nós fica na UE, mas o tratamento também ocorre fora dela. Data Privacy Framework e, além disso, cláusulas contratuais-padrão, módulo dois, sob a lei irlandesa.
• RevenueCat Inc. administra a assinatura. Cláusulas contratuais-padrão, módulo dois, com o adendo do Reino Unido, sob a lei irlandesa.
• Cloudflare Inc. opera o servidor pelo qual tudo passa. Cláusulas contratuais-padrão, módulo dois, e o Data Privacy Framework.

Cada uma dessas empresas publica a lista dos seus próprios suboperadores, e cada contrato a obriga a repassar esses deveres a eles.

Bases legais

Enviar o que você escreve é o próprio serviço (art. 6.º, 1, b, RGPD). A medição anônima de uso se apoia no nosso interesse legítimo em um app que funcione (art. 6.º, 1, f).

Seus direitos

Você pode pedir acesso, retificação, exclusão, limitação, portabilidade e se opor: escreva para o endereço acima. Como não guardamos conteúdo, na prática isso diz respeito aos eventos de uso; diga o período aproximado para que possamos encontrá-los. Seus Grills não entram nisso, porque nunca chegam até nós: estão no seu aparelho e você os apaga ali. Você também pode reclamar a uma autoridade de proteção de dados.

O caminho mais rápido não precisa de nada da nossa parte: excluir o app remove o identificador do aparelho. Depois disso, nada pode ser atribuído a você.