Política de privacidade

Última atualização: 2026-10-27

1. Responsável pelo tratamento e âmbito

Responsável pelo tratamento: Giacomo Cacciatore — e-mail info@turnix.ch. Para os pedidos por via postal, escreve para o e-mail a fim de receberes a morada. Respondemos aos pedidos sobre privacidade no prazo de 30 dias.

A Turnix está reservada a quem tem pelo menos 18 anos. A app não verifica a idade.

A Turnix pode ser utilizada na União Europeia (27 Estados), no Espaço Económico Europeu (Noruega, Islândia, Listenstaine), na Suíça e no Reino Unido. Esta política segue o Regulamento Geral sobre a Proteção de Dados (RGPD, UE 2016/679), o UK GDPR com o Data Protection Act 2018 e a lei federal suíça sobre a proteção de dados (nLPD) com o respetivo regulamento.

2. Dados que tratamos

Conta (no servidor Supabase). Endereço de e-mail; a palavra-passe, se te registares com e-mail e palavra-passe (o serviço de autenticação do Supabase não a conserva em texto simples, mas apenas como impressão criptográfica, a partir da qual não se obtém a palavra-passe); o nome que escreves no registo; o nome que escolhes na lista do PDF para reconhecer a tua linha; o modo do calendário (PDF ou manual); o estado do guia introdutório e da Legenda; a data de início do período de avaliação e se já o usaste; se recebeste dias de Premium com os convites, a data até à qual são válidos. Se iniciares sessão com o Google, a Google comunica ao Supabase o teu e-mail, o teu nome, o identificador da tua conta Google e o endereço da tua foto de perfil (a app não mostra a foto); no iPhone, se iniciares sessão com a Apple, a Apple comunica ao Supabase o teu e-mail (ou o endereço anónimo da Apple, se o escolheres) e um identificador da tua conta Apple. No telemóvel, a sessão de acesso é conservada no armazenamento seguro do sistema.

Turnos (no servidor Supabase). Para cada dia: data, código do turno (lido no telemóvel a partir da célula do PDF, que a app guarda como etiqueta oculta enquanto te mostra a imagem da célula, ou o tipo que escolhes se introduzires os turnos à mão), horários, notas, estado, uma impressão da imagem da célula (pHash, para reconhecer os turnos iguais ou alterados) e o caminho do ficheiro da imagem no telemóvel; se a célula mudar, também o código, a impressão e o caminho anteriores. As imagens das células ficam no telemóvel e não vão para o servidor. O PDF que carregas, que contém também nomes e turnos dos colegas, fica no Arquivo PDF do telemóvel até o eliminares ou carregares outro PDF do mesmo mês, e não é carregado para o servidor. Para encontrar a tua linha, a app lê no telemóvel os nomes de todas as pessoas do PDF (a partir do texto do PDF ou, se necessário, com o Google ML Kit): os nomes dos colegas não saem do telemóvel; o teu, o que escolhes, vai para o servidor (vê «Conta»). Para os dados técnicos que o ML Kit envia à Google, vê a secção 5.

Nomes e horários dos turnos. Os tipos de turno criados à mão (nome, horários, pausa, cor, ícone e descrição) são guardados no servidor Supabase. Os nomes e os horários que dás aos tipos de turno na Legenda ficam no telemóvel, mas para cada dia com um nome a app guarda no servidor um «turno derivado» (nome e horários do turno desse dia), que serve para a partilha com os colegas e, se o ligares, para o Google Calendar: a app atualiza-o a cada arranque, mesmo que não partilhes os turnos com ninguém.

Agenda, alarmes e tarefas (no servidor Supabase). Eventos pessoais (título, notas, cor, horários, lembretes), listas de tarefas (texto, feito, ordem; o texto não é cifrado pela app), alarmes, regras dos alarmes e dias saltados.

Partilha com os colegas. Se convidares um colega e ele aceitar, vê os teus turnos derivados (nome e horários) e o teu nome, até revogares o convite; o telemóvel dele recebe também o identificador da tua conta e, se usares o Google Calendar, os identificadores Google desses turnos, que a app não mostra. Da mesma forma, se aceitares um convite, quem te convidou recebe o identificador da tua conta.

Notificações push. No Android, a app pede a permissão para as notificações e guarda no servidor o código do telemóvel para as notificações push (Firebase Cloud Messaging), para cada utilizador que inicia sessão; hoje só as notificações das equipas o utilizam. O código é eliminado com «Eliminar conta» (não com «Terminar sessão»). Para as notificações, a biblioteca do Firebase cria também um identificador aleatório da instalação da app (Firebase Installation ID), que regista no Firebase no arranque da app e que, segundo a Google, não identifica nem a ti nem o telemóvel.

Registos dos servidores. Quando a app se liga aos servidores da Turnix (Supabase e o servidor dos convites no Google Cloud), os fornecedores registam, por segurança e funcionamento, os dados técnicos da ligação, incluindo o endereço IP e a hora (vê a secção 4 para a duração).

Convites. Na secção «Convidar amigos», o servidor da Turnix no Google Cloud atribui-te um código pessoal. Quando usas o código de um amigo, a app envia-o para o servidor com a tua sessão, juntamente com a indicação de se o introduziste à mão ou se foi lido do dado de instalação do Google Play; o servidor associa quem convidou e quem foi convidado (os identificadores das duas contas), com a data e os dias de Premium atribuídos, e atualiza os dias de Premium das duas contas. No Android, uma vez por instalação, depois do início de sessão, a app lê o dado de instalação do Google Play (Install Referrer): se contiver um código de convite, envia-o para o servidor da mesma forma. Quem te convidou vê na app quantos amigos usaram o seu código e os dias de Premium recebidos, não o teu nome nem o teu e-mail; no entanto, o telemóvel dessa pessoa também recebe do servidor o identificador da tua conta e a data em que usaste o código, que a app não mostra.

Subscrição (Google Play e RevenueCat). A subscrição compra-se com o Google Play, que gere o pagamento: a Turnix não recebe os dados do teu meio de pagamento. Para te mostrar o preço e saber se tens acesso Premium, a app usa a RevenueCat: no arranque da app e em cada início de sessão comunica-lhe o identificador da tua conta Turnix (não o teu e-mail nem o teu nome), mesmo que não compres nada. A RevenueCat recebe também o histórico das tuas compras da Turnix no Google Play, dados técnicos do telemóvel (por exemplo o tipo de dispositivo e o sistema operativo), o idioma e a moeda.

Google Calendar (só se o ligares; funcionalidade Premium). Com «Ligar Google Calendar» nas Definições, a Google pede-te que permitas à Turnix ver e editar os eventos de todos os teus calendários e ver a lista dos calendários que subscreves (permissões «calendar.events» e «calendar.calendarlist.readonly»). A partir daí, a app escreve no teu Google Calendar os teus eventos da Turnix (título, notas, data, horários) e os teus turnos derivados (nome e horários), com um código técnico que serve para os reconhecer. Nos meses que sincroniza, lê os eventos (título, descrição, data, horários, lembretes) do calendário principal, do calendário Aniversários (os aniversários dos teus contactos, mesmo que o tenhas ocultado) e dos outros calendários da tua lista, por exemplo Feriados e os calendários que outras pessoas partilham contigo: não é possível excluir nenhum. Copia-os para a Turnix como eventos, com o nome do calendário de origem na nota: como os outros eventos, são guardados no servidor da Turnix (Supabase). Aos eventos do calendário principal que copia, a app acrescenta no Google um código técnico, não visível no calendário, para os reconhecer. As eliminações dos eventos do calendário principal e dos escritos pela Turnix passam de um lado para o outro. A sincronização começa depois de abrires a app e quando ela volta ao primeiro plano, depois de criares, alterares ou eliminares um evento, e quando a pedes; podes suspendê-la nas Definições. Nenhum dado de saúde vai para a Google. A Turnix não guarda as chaves de acesso à Google, que são geridas pelos serviços Google do telemóvel; no telemóvel a app guarda o endereço da conta Google ligada, a hora da última sincronização, os identificadores dos eventos sincronizados e, para os turnos derivados já escritos, o seu nome e os seus horários; no servidor guarda os identificadores Google dos turnos derivados. «Desligar» revoga o acesso e elimina estes dados do telemóvel; os eventos já copiados ficam na Turnix até os eliminares e os já escritos ficam no teu Google Calendar. A utilização e a transferência para qualquer outra aplicação das informações recebidas das APIs da Google respeitam a Google API Services User Data Policy, incluindo os requisitos de utilização limitada (Limited Use).

Saúde (apenas no telemóvel). O Sono, o Bem-estar e os Lembretes ativam-se em conjunto com o interruptor «Saúde» nas Definições (ou a partir do Companheiro, com o mesmo diálogo). Os Lembretes (título, nota, horários e, se o assinalares, «Feito» ou «Saltado») são uma funcionalidade genérica e ativam-se sem consentimento; o Sono e o Bem-estar só se, no diálogo de ativação, assinalares a caixa do consentimento explícito para os dados de sono e bem-estar. O Ciclo ativa-se à parte, com o interruptor «Monitorização do ciclo» (ou a partir do Companheiro) e consentimento próprio. Estão todos desligados até os ativares. Vê a secção 2.1.

Análises (apenas no telemóvel). Se as escolheres com um consentimento à parte (a segunda caixa do diálogo «Saúde» ou a linha «Análises» nas Definições), a app compara no telemóvel os teus turnos dos últimos 90 dias com os dados de sono, bem-estar e ciclo e mostra-te médias (por exemplo, quanto dormiste em média nos dias com turno da noite em comparação com os dias de folga). É uma forma de definição de perfis (art. 4.º ponto 4 RGPD) que não produz decisões com efeitos jurídicos sobre ti (o art. 22.º RGPD não se aplica): os resultados ficam na memória, não são guardados e não saem do telemóvel. Podes revogar o consentimento a qualquer momento a partir da linha «Análises», sem desligar os outros módulos.

Diagnóstico de erros (Sentry). Quando a app bloqueia ou dá erro, o Sentry recebe um relatório técnico apenas com estes dados: data e hora do erro; tipo e texto do erro e pilha do código em que o erro ocorreu, com os endereços de memória do código; versão da app e das ferramentas com que foi desenvolvida, se é uma versão de testes ou publicada e se estava em primeiro plano; sistema operativo, a sua versão e se está modificado (root); modelo, marca e características técnicas do telemóvel (dimensões do ecrã em píxeis e orientação, processador, memória total, se a memória está quase cheia, se há rede e de que tipo, se é um emulador); idioma, fuso horário e formato da hora; o estado, concedido ou não, das permissões que a app pede; os nomes dos ecrãs abertos antes do erro, com data e hora; para os erros de sincronização, a tabela e a operação envolvidas (sem dados); códigos aleatórios que distinguem o relatório e a abertura da app em que se originou. Qualquer outro dado que as bibliotecas acrescentariam é retirado antes do envio: os relatórios não contêm identificadores teus nem do telemóvel, nem as definições de acessibilidade. Do texto dos erros, a app retira os identificadores da conta e das linhas de dados (os códigos longos no formato UUID), os endereços de e-mail, os valores das operações na base de dados e as datas dos dias; os textos escritos por ti, em geral, não se podem reconhecer: se a mensagem de um erro contivesse, por exemplo, o nome de um turno, permaneceria. Como utilizador, a app indica um identificador fixo, igual para todos, e um endereço IP fictício, e o Sentry está configurado para não conservar os endereços IP. A app descarta os relatórios em que a mensagem de erro, os detalhes do erro ou os passos registados antes do erro contêm uma das palavras de uma lista fixa ligada à saúde, em italiano e em inglês (por exemplo as palavras para ciclo, sono, bem-estar e lembrete), e retira dos outros os caminhos das imagens dos turnos. Com os símbolos da versão da app, é possível reconstruir a partir da pilha os nomes das partes do código: por isso um relatório pode mostrar em que parte da app nasceu o erro (por exemplo a do ciclo), sem os dados. Os relatórios das falhas do código nativo Android não passam por estes filtros: contêm também os outros dados técnicos que a biblioteca do Sentry recolhe (por exemplo o nível da bateria, a memória e o espaço livres, a densidade do ecrã, a versão do kernel e a hora de arranque da app) e podem conter um identificador aleatório da instalação da app (criado pela biblioteca do Sentry, ou pelo Android no caminho em que a app está instalada; não é um código do telemóvel), a hora a que o telemóvel foi ligado e, se a falha ocorrer nos primeiros instantes após o arranque da app, a cidade aproximada obtida a partir do endereço IP da ligação. A app envia ainda, no máximo uma vez por dia por cada conta, um relatório de controlo da integridade dos dados: contagens (apenas números, nenhuma data, nenhum nome) com os mesmos dados técnicos que os relatórios de erros.

Exportações. As imagens (do mês ou de um turno), os ficheiros CSV e os relatórios PDF que crias vão apenas para as apps que tu escolhes.

Registo do telemóvel. Na versão publicada, o código da Turnix não escreve linhas no registo de sistema do telemóvel; podem aparecer linhas técnicas do Android, do motor da app (Flutter) e de algumas bibliotecas, por exemplo no arranque e durante a leitura dos PDF.

2.1 Dados relativos à saúde (apenas neste telemóvel)

Sono, bem-estar e ciclo são dados relativos à saúde (categorias especiais de dados, art. 9.º RGPD; dados dignos de especial proteção segundo a nLPD). Os lembretes são genéricos, mas podem contê-los se tu os escreveres no título ou na nota: por isso têm as mesmas proteções.

Estes dados ficam apenas no telemóvel: não vão para o servidor da Turnix nem para terceiros e não têm cópias na nuvem da Turnix. No telemóvel são cifrados com AES-256-GCM, com uma chave conservada no armazenamento seguro do sistema, os conteúdos: fluxo e notas do ciclo, horários e qualidade do sono, humor, sintomas, energia e notas do bem-estar, título e nota dos lembretes. Permanecem não cifrados, na memória privada da app: as datas dos registos (para o ciclo, portanto, os dias assinalados), os horários dos lembretes e a marca «Feito» ou «Saltado», a origem de cada noite de sono (introduzida à mão, estimada ou confirmada) e as definições. Para que as notificações cheguem mesmo depois de um reinício, o telemóvel conserva em texto simples, na memória privada da app, o texto das notificações já agendadas (por exemplo o título de um lembrete ou um aviso do ciclo), até chegarem ou serem canceladas; as notificações também se veem no ecrã de bloqueio, se as definições do telemóvel o permitirem.

Desligando o interruptor «Saúde», são eliminados do telemóvel os dados de sono, bem-estar e lembretes e é revogado o consentimento para as Análises; desligando «Monitorização do ciclo», são eliminados os dados do ciclo.

3. Finalidades e bases jurídicas

Para a Suíça: execução do contrato, interesse legítimo e consentimento (art. 31.º nLPD).

4. Durante quanto tempo conservamos os dados

5. Fornecedores (subcontratantes)

A compra e o pagamento da subscrição são geridos pelo Google Play, segundo os termos e a política de privacidade da Google.

Nenhum dado é vendido ou usado para publicidade.

5.1 Cookies e armazenamento local

A app não usa cookies. No telemóvel conserva: a base de dados com os teus dados, as imagens das células, as imagens dos dias para o widget e os PDF, o armazenamento seguro com a sessão e a chave de cifragem, a fila das alterações a enviar para o servidor, as preferências, o texto das notificações já agendadas, alguns contadores de diagnóstico, os dados que as bibliotecas do Firebase, do Sentry e da RevenueCat guardam para funcionar e, se ligares o Google Calendar, os dados de sincronização descritos na secção 2. São necessários ao funcionamento.

O site turnix.ch não usa ferramentas de estatística nem cookies de definição de perfis.

5.2 Encarregado da proteção de dados e avaliação de impacto

A Turnix não é obrigada a designar um encarregado da proteção de dados (art. 37.º RGPD). Para os módulos de saúde e para as Análises foi realizada uma avaliação de impacto sobre a proteção de dados (AIPD, art. 35.º RGPD). Para qualquer pedido sobre a proteção de dados, escreve para info@turnix.ch: respondemos no prazo de 30 dias.

6. Transferências para fora da UE, do EEE, da Suíça e do Reino Unido

7. Os teus direitos

Tens direito de acesso, retificação, apagamento, limitação, portabilidade e oposição e podes revogar os consentimentos a qualquer momento (art. 15.º-22.º RGPD e UK GDPR; art. 25.º-32.º nLPD). A Turnix não toma decisões automatizadas com efeitos jurídicos sobre ti (art. 22.º RGPD).

Na app:

Para o resto, escreve para info@turnix.ch.

8. Autoridades de controlo

Tens o direito de apresentar reclamação junto da autoridade de controlo do teu país de residência ou residência habitual. Segue-se a lista das 32 autoridades competentes nas jurisdições onde a Turnix pode ser utilizada.

Comité Europeu para a Proteção de Dados (CEPD) — lista oficial atualizada de todas as autoridades UE+EEE: edpb.europa.eu/about-edpb/about-edpb/members_en

── União Europeia (27 Estados) ──

── Espaço Económico Europeu (EEE, 3 Estados fora da UE) ──

── Suíça ──

── Reino Unido (UK pós-Brexit) ──

9. Segurança

As comunicações são cifradas (HTTPS/TLS). No servidor, cada utilizador acede apenas aos seus próprios dados (Row Level Security do Supabase), exceto os colegas que aceitaram um convite teu, que veem os teus turnos derivados (nome e horários) e o teu nome. Quem convida e quem é convidado, para a partilha dos turnos ou com um código de convite, pode receber também o identificador da conta do outro, que a app não mostra.

Notificação de violação de dados pessoais (data breach): em caso de violação da segurança dos dados pessoais que represente um risco para os direitos e liberdades do utilizador, a Turnix notificará a autoridade de controlo competente do país de residência do utilizador no prazo de 72 horas após a descoberta da violação, nos termos do art. 33.º RGPD / UK GDPR e do art. 24.º nLPD. Caso a violação seja suscetível de implicar um risco elevado para os direitos e liberdades dos utilizadores afetados (art. 34.º RGPD), a Turnix comunicará a violação diretamente aos utilizadores sem demora injustificada, em linguagem clara e simples, indicando: a natureza da violação, os dados e categorias afetados, as consequências prováveis, as medidas adotadas ou propostas para atenuar os efeitos, o ponto de contacto info@turnix.ch.

10. Alterações

Quando esta política muda, atualizamos a data no topo e, na primeira abertura após a alteração, a app informa-te com um aviso que leva a esta página.