Política de Privacidade

1. Responsável pelo tratamento

Stefan Renzler, Donaueschingenstraße 28/45-46, 1200 Wien, Áustria — datenschutz@ovulyx.com — é o responsável pelo tratamento, na aceção do Regulamento Geral sobre a Proteção de Dados (RGPD), pelo tratamento de dados pessoais no âmbito do Ovulyx.

2. Que dados tratamos e porquê

Os dados do ciclo e de saúde constituem uma «categoria especial de dados pessoais» nos termos do art. 9.º do RGPD. Tratamo-los exclusivamente com o teu consentimento explícito — ao criares a conta, confirmas este consentimento através de uma caixa de verificação própria, com uma formulação separada (distinta da aceitação dos Termos), que se refere expressamente ao tratamento de dados do ciclo e de saúde nos termos do art. 9.º do RGPD e sem a qual não é tecnicamente possível criar uma conta. Podes retirá-lo a qualquer momento eliminando a tua conta.

Tipo de dados	Finalidade	Fundamento jurídico
Endereço de e-mail, palavra-passe (com hash)	Criação de conta, início de sessão, reposição da palavra-passe	Art. 6.º, n.º 1, alínea b), do RGPD (contrato)
Nome a apresentar (opcional, pode ser definido nas definições)	Apresentado ao teu parceiro ligado (por exemplo, «Nova reação de …»)	Art. 6.º, n.º 1, alínea b), do RGPD (contrato)
Dados da menstruação (incl. fim da menstruação opcional, intensidade do fluxo), entradas do diário (humor, energia, sintomas, temperatura basal, notas)	Função principal: acompanhamento e previsão do ciclo	Art. 9.º, n.º 2, alínea a), do RGPD (consentimento explícito)
Dados da menstruação provenientes de uma importação opcional do Apple Health (export.xml, apenas registos menstruais)	Importação cómoda de dados durante a configuração inicial, a teu pedido	Art. 9.º, n.º 2, alínea a), do RGPD (consentimento explícito; és tu que escolhes ativamente o ficheiro)
Definições de partilha, resumo partilhado e reações entre ti e o teu parceiro (por exemplo, «Obrigado por me contares»)	Função de partilha com o parceiro, se ativada	Art. 9.º, n.º 2, alínea a), do RGPD (consentimento)
Endpoint de notificações push e chaves de encriptação do teu dispositivo (se ativadas)	Lembretes (menstruação a aproximar-se, entrada do diário) e reações do parceiro sob a forma de notificações	Art. 6.º, n.º 1, alínea a), do RGPD (consentimento no momento da ativação)
Dados de pagamento (os dados do cartão nunca passam pelos nossos próprios sistemas)	Faturação da subscrição após o fim do período de experiência	Art. 6.º, n.º 1, alínea b), do RGPD (contrato)
Estado da subscrição e ID de compra em compras através da App Store ou do Google Play (histórico de compras, através da RevenueCat)	Desbloqueio e gestão da tua subscrição	Art. 6.º, n.º 1, alínea b), do RGPD (contrato)
Endereço IP (por breves instantes, para prevenir abusos)	Limitação de pedidos (rate limiting) contra ataques de força bruta	Art. 6.º, n.º 1, alínea f), do RGPD (interesse legítimo)

3. Publicidade (exclusivamente não personalizada) e nenhuma venda de dados

O Ovulyx apresenta anúncios através do Google AdMob (app móvel) e do Google AdSense (aplicação web) — deliberadamente apenas não personalizados, sem segmentação comportamental ou baseada em interesses, precisamente porque o Ovulyx trata categorias especiais de dados pessoais (dados de saúde). Neste contexto, podem ser enviados à Google identificadores ao nível do dispositivo/navegador (por exemplo, um ID de publicidade, o teu endereço IP e a localização aproximada dele derivada), informações sobre a tua interação com os anúncios (por exemplo, impressões e cliques) e dados de falhas e de diagnóstico do SDK de publicidade — estritamente para apresentar anúncios, medir a sua entrega e prevenir fraudes, e não para te seguir entre apps ou sites. Nenhum dado do ciclo, de saúde ou outro dado do diário é alguma vez partilhado com redes de publicidade. Não utilizamos Google Analytics, Meta Pixel nem ferramentas semelhantes. Não vendemos nem alugamos dados pessoais. Não são definidos cookies para fins de análise — os dados de sessão tecnicamente necessários (token de início de sessão) são guardados localmente no teu dispositivo e não como cookie de rastreamento.

4. Quem mais tem acesso aos dados (subcontratantes)

Para operar o Ovulyx, recorremos aos seguintes prestadores de serviços, que tratam os dados exclusivamente por nossa conta:

Prestador	Finalidade	Local do tratamento
Cloudflare, Inc.	Alojamento da app, base de dados (Cloudflare D1), lógica do lado do servidor (Workers)	Região da Europa Ocidental (WEUR)
Stripe Payments Europe, Ltd.	Processamento de pagamentos de subscrições adquiridas na aplicação web	UE / EUA (a Stripe está certificada ao abrigo das Cláusulas Contratuais-Tipo da UE)
Link, LLC (Stripe Managed Payments)	Nas compras web a partir de fora da Áustria, a Link é o vendedor (merchant of record): pagamento, cálculo de impostos, faturação, prevenção de fraudes e apoio relativo à compra. Para esse efeito, a Link trata o teu nome, e-mail, endereço de faturação e dados de pagamento como responsável pelo tratamento independente, nos termos da sua própria política de privacidade; a Link nunca recebe dados de saúde do Ovulyx.	EUA / UE (Cláusulas Contratuais-Tipo)
Resend	Envio de e-mails transacionais (por exemplo, reposição da palavra-passe)	EUA (Cláusulas Contratuais-Tipo)
Serviço de entrega de notificações push do teu navegador (por exemplo, Google FCM no Chrome, Mozilla Push Service no Firefox)	Entrega de notificações push — o conteúdo é encriptado de ponta a ponta (RFC 8291); o serviço apenas vê que uma mensagem deve ser entregue ao teu dispositivo, não o seu conteúdo	depende do respetivo prestador, fora do nosso controlo; só é relevante se ativares as notificações
Expo (650 Industries, Inc.)	Entrega de notificações push à app móvel (reencaminha internamente para os mesmos serviços push das plataformas indicados acima) — só é relevante se ativares as notificações	EUA
RevenueCat, Inc.	Conciliação e gestão de compras de subscrições na App Store/Play Store (estado da subscrição, identificador da compra) — só é relevante para subscrições adquiridas diretamente através da App Store/Play Store	EUA
Google Ireland Limited (Google AdMob)	Apresentação de anúncios na app móvel, exclusivamente não personalizados (ver secção 3)	UE/EUA, ao abrigo das Cláusulas Contratuais-Tipo da Google
Google Ireland Limited (Google AdSense)	Apresentação de anúncios na aplicação web, exclusivamente não personalizados (ver secção 3)	UE/EUA, ao abrigo das Cláusulas Contratuais-Tipo da Google

5. Partilha com o parceiro

Se ativares a partilha com o parceiro, és tu que decides — e podes revogá-lo a qualquer momento — que informações uma pessoa que convidaste pode ver: calendário da menstruação, sintomas (exceto os que tiveres ocultado), as tuas notas «O que ajuda»/«O que evitar» (apenas as entradas partilhadas individualmente) e — à tua escolha — o teu humor/energia dia a dia ou apenas a média da fase. As notas de texto livre e a tua temperatura basal nunca são partilhadas com a pessoa ligada. Os parceiros ligados podem, além disso, enviar-te uma reação curta e predefinida (por exemplo, «Obrigado por me contares») — estas reações são guardadas enquanto existir a respetiva ligação ou até que uma das contas seja eliminada.

Um parceiro ligado pode, além disso, manter a sua própria lista «O que me faz bem», independente do ciclo (entradas «O que ajuda»/«O que evitar», agrupadas por situação). Uma entrada só te é transmitida se o parceiro a partilhar expressamente; tudo o resto permanece privado. Quando abres essa lista ou a linha correspondente por baixo do humor diário dele, é mostrada ao parceiro apenas a hora a que a viste pela última vez («viu hoje às 14:05») — e não quais as entradas que leste. Este indicador não pode ser desativado e é reposto quando a ligação é removida ou restabelecida.

Podes partilhar o teu ciclo com várias pessoas (no máximo 10) e escolher definições de partilha próprias para cada pessoa. Em entradas individuais (p. ex. compromissos, «O que ajuda», humor do dia, reações) escolhes quais das tuas ligações as recebem; o nosso servidor aplica essa escolha, pelo que cada pessoa só recebe o que lhe é destinado. As pessoas com ciclo próprio podem ligar-se nos dois sentidos — o sentido inverso só começa quando uma das partes oferece o próprio ciclo e a outra parte confirma. As tuas ligações só veem com quem mais tens ligação se ativares isso expressamente.

6. Prazo de conservação

Os teus dados são guardados enquanto a tua conta existir. Se eliminares a tua conta através da app, todos os dados associados (dados do ciclo, entradas do diário, definições de partilha, ligações de parceiro) são eliminados de forma irrevogável. Uma subscrição ativa adquirida na aplicação web é cancelada automaticamente quando a conta é eliminada; uma subscrição adquirida através do Google Play ou da App Store tem de ser cancelada por ti na respetiva loja. As faturas e os comprovativos de pagamento são conservados de acordo com as obrigações legais de conservação. Mais informações: Eliminar conta.

6a. Utilizadores fora da UE

O Ovulyx é operado a partir da Áustria e aplica o padrão do RGPD a todos os utilizadores em todo o mundo: os direitos da secção 7 aplicam-se a ti independentemente do local onde vives. Os dados da tua conta e de saúde são guardados na UE (Cloudflare, região da Europa Ocidental); os prestadores de serviços indicados na secção 4 podem tratar dados nos EUA ao abrigo de Cláusulas Contratuais-Tipo. Os dados nunca são vendidos nem utilizados para publicidade personalizada. Consoante o teu país, podes ter direitos adicionais ao abrigo da legislação local (por exemplo, no Reino Unido, na Suíça, na Austrália, na Nova Zelândia, no Japão, em Singapura ou na Coreia do Sul); podes exercê-los através do mesmo contacto (datenschutz@ovulyx.com) e responderemos no prazo previsto pela lei aplicável. Se estás nos Estados Unidos, consulta também a nossa Consumer Health Data Privacy Policy (em inglês).

6b. Informações específicas por país

• Disponibilidade: O Ovulyx não aceita novas contas provenientes da China continental, da Rússia, da Bielorrússia, do Irão, da Coreia do Norte, da Síria, de Cuba, do Afeganistão, do Iraque, da Líbia, do Iémen, de Myanmar, da Venezuela, da Turquia, da Indonésia, do Quénia, da Nigéria, da Arábia Saudita, do Vietname, do Egito, do Catar, da Argélia, da Tailândia, do Cazaquistão, do Usbequistão ou do Turquemenistão. Nos Estados Unidos, no Brasil e na Índia, o Ovulyx só está disponível para adultos com 18 ou mais anos.
• Destinatários no estrangeiro (Japão APPI, Coreia do Sul PIPA e outros): Os dados pessoais são guardados na UE (Cloudflare, região da Europa Ocidental) e transferidos, na medida do necessário para as finalidades da secção 2, para os prestadores de serviços da secção 4, alguns dos quais estão sediados nos Estados Unidos (Cloudflare, Resend, Expo, RevenueCat, Stripe/Link, Google). Os Estados Unidos não têm uma lei federal abrangente de proteção de dados; estes prestadores estão vinculados às Cláusulas Contratuais-Tipo da UE. As transferências ocorrem de forma contínua enquanto utilizas o Ovulyx e terminam quando a tua conta é eliminada.
• Conservação e destruição: Os dados são conservados enquanto a tua conta existir e eliminados de imediato e de forma irrevogável quando eliminas a conta (os registos da base de dados são apagados; as cópias de segurança são substituídas no prazo de 30 dias). As faturas são conservadas durante o prazo legal (na Áustria, em regra, 7 anos).
• Pessoa responsável / encarregado da proteção de dados / grievance officer / encarregado (incluindo Canadá, Brasil LGPD, Índia DPDP, Coreia do Sul PIPA): Stefan Renzler, datenschutz@ovulyx.com, Donaueschingenstraße 28/45-46, 1200 Wien, Áustria.
• Brasil (LGPD): O tratamento de dados de saúde baseia-se no teu consentimento específico (art. 11, I, da LGPD); podes solicitar confirmação, acesso, correção, anonimização, portabilidade, eliminação e informações sobre a partilha, bem como revogar o consentimento, através do contacto acima, e apresentar reclamação à ANPD.
• Índia (DPDP Act): Podes solicitar acesso, retificação e apagamento, nomear outra pessoa e apresentar reclamações através do contacto acima; se a questão não for resolvida, podes dirigir-te ao Data Protection Board of India.

7. Os teus direitos

• Acesso e portabilidade dos dados — podes descarregar o teu conjunto completo de dados como ficheiro JSON a qualquer momento em «Definições → Conta → Exportar dados».
• Apagamento — possível a qualquer momento, por ti, em «Definições → Conta → Eliminar a conta definitivamente», sem período de espera, ou por e-mail (ver Eliminar conta).
• Retificação — todas as entradas podem ser alteradas diretamente na app.
• Oposição/retirada do consentimento — a qualquer momento, desativando funções individuais (por exemplo, a partilha com o parceiro) ou eliminando a tua conta.
• Reclamação junto de uma autoridade de controlo — na Áustria, a Datenschutzbehörde (dsb.gv.at), ou a autoridade competente do teu local de residência.

8. Alterações a esta política

Atualizamos esta política sempre que o tratamento se altera (por exemplo, novas funções, novos prestadores de serviços). A versão atual está sempre disponível neste endereço.