privacidade.

o vrrb faz exatamente uma coisa: deixa você mandar um buzz para um amigo dos seus contatos. Este aviso explica quais dados tratamos para isso, com que base legal, por quanto tempo os guardamos — e o que nunca fazemos, de propósito.

Quem é o responsável

Burhan Tutan — desenvolvedor independente, Türkiye — é o responsável pelo tratamento de tudo o que está descrito aqui (art. 4.º, 7) do RGPD; “veri sorumlusu” na lei turca, KVKK).

Contato para qualquer dúvida ou pedido sobre privacidade: burhan.tutan@gmail.com.

O que tratamos

Seu número de telefone. Para criar sua conta e para que seus amigos encontrem você na correspondência de contatos. Você entra com um código de uso único enviado por SMS.

Seu nome de exibição. Para seus amigos verem de quem veio um buzz. Pode mudar quando quiser.

Seus contatos — mas nunca em texto claro. Se você permitir o acesso, os números da sua agenda são normalizados para o formato internacional no seu aparelho e depois transformados em hash irreversível no nosso servidor (HMAC-SHA256 com uma chave secreta que nunca sai do servidor). Não guardamos os números nem os nomes da sua agenda; só esses valores são comparados, para descobrir quais dos seus amigos já usam o vrrb. Você pode desligar o acesso aos contatos quando quiser nas configurações do telefone.

Seus registros de buzz. Quem mandou buzz para quem, quando e de que tipo — necessário para o app funcionar, para o contador de sequências e as medalhas, e para a proteção contra abusos (limite de frequência, bloqueio).

Seu token de notificação. O endereço que seu telefone nos dá para o buzz chegar.

Seus silenciamentos e bloqueios. Para respeitarmos de quem você não quer saber.

Diagnóstico de sincronização — só números. Depois de sincronizar contatos guardamos contagens: quantos números foram lidos, quantos não puderam ser interpretados e por quê, qual país foi assumido e quanto tempo a leitura levou. Esse registro não contém números de telefone nem nomes — apenas contagens e rótulos de categoria — e é apagado após 90 dias. O motivo é concreto: uma falha fez com que algumas pessoas quase não encontrassem ninguém e não tínhamos como ver onde isso acontecia.

Base legal

Execução do contrato (art. 6.º, 1, b) do RGPD; art. 5.º, 2, c) da KVKK) — seu número, seu nome de exibição, seus registros de buzz e seu token. Sem eles não há conta nem como entregar um buzz.

Seu consentimento (art. 6.º, 1, a) do RGPD; art. 5.º, 1 da KVKK) — os hashes dos números da sua agenda. Pedimos isso separadamente dentro do app, antes da caixa de diálogo do sistema, e você pode recusar: o app continua funcionando, você só convida seus amigos por conta própria. Pode retirar o consentimento quando quiser, desligando o acesso aos contatos ou apagando sua conta; a retirada não afeta o tratamento já realizado.

Interesses legítimos (art. 6.º, 1, f) do RGPD; art. 5.º, 2, f) da KVKK) — limite de frequência, bloqueio e o diagnóstico acima, para o serviço continuar utilizável, livre de abuso e diagnosticável.

O que NÃO fazemos

• Não guardamos os números nem os nomes da sua agenda.
• Nunca mandamos SMS nem ligamos para as pessoas da sua agenda; os convites são enviados só por você, pelo canal que escolher.
• Não mostramos anúncios, não tratamos seus dados para publicidade e não vendemos nem alugamos nada a ninguém.
• Não há SDK de analytics, nem identificador de publicidade, nem rastreamento entre apps.
• Não acessamos localização, fotos, microfone nem conteúdo de mensagens.
• Aliás, não existe conteúdo de mensagem — o vrrb não tem campo de texto, só buzzes.

Onde seus dados ficam e quem mais toca neles

Banco de dados e backend: Supabase, região de Frankfurt (Alemanha). Para quem está na UE/EEE isso não é uma transferência para fora do EEE. O acordo de tratamento da Supabase incorpora as Cláusulas Contratuais-Tipo da Comissão Europeia para os casos em que os seus próprios subcontratantes atuam fora do EEE.

Notificações push: seu token e o conteúdo da notificação (nome de quem enviou, tipo de buzz) passam pelo serviço push da Expo (Estados Unidos) e depois pelo da Apple. A Expo declara estar em conformidade com o RGPD e com o Data Privacy Framework e não armazenar o conteúdo da notificação além do momento da entrega. A Apple declara que as transferências de dados pessoais para fora do EEE, do Reino Unido e da Suíça são regidas por Cláusulas Contratuais-Tipo.

Códigos de acesso por SMS: entregues pela Twilio (Estados Unidos), certificada no âmbito do Data Privacy Framework UE-EUA, cujo acordo de tratamento se apoia ainda em Cláusulas Contratuais-Tipo e Regras Vinculativas Aplicáveis às Empresas.

Nada mais sai do banco de dados. Seus hashes de contatos, seu histórico de buzz e suas sequências nunca são enviados a nenhum desses fornecedores.

Para quem está na Türkiye: os serviços de notificação e SMS acima ficam no exterior, então esses dois fluxos são transferências internacionais nos termos do art. 9.º da KVKK. São feitas com base no contrato padrão publicado pela Autoridade de Proteção de Dados Pessoais da Türkiye (KVKK Kurumu), como garantia adequada. Só é transferido o que está listado acima: seu token, o conteúdo da notificação e seu número para o código de acesso.

Por quanto tempo guardamos cada coisa

Dados da conta (número, nome de exibição, token): enquanto a sua conta existir.

Hashes de contatos: atualizados a cada sincronização. Um hash que não aparece em nenhuma sincronização por 30 dias é apagado automaticamente — quem sai da sua agenda cai fora sozinho.

Registros de buzz: não há exclusão automática. São eles que formam sequências, estatísticas e medalhas, então ficam enquanto sua conta estiver ativa e são apagados junto com ela. A tela de atividade mostra uma janela móvel de 30 dias; isso é um limite de exibição, não uma exclusão.

Diagnóstico de sincronização: apagado automaticamente após 90 dias.

Apagar sua conta (configurações → apagar conta) remove em definitivo seu perfil, seus hashes de contatos, seu histórico de buzz nos dois sentidos, suas sequências, suas medalhas e sua lista de silenciados e bloqueados.

Seus direitos

Você tem direito de acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição ao tratamento baseado em interesse legítimo. Quando o tratamento se baseia no consentimento, você pode retirá-lo a qualquer momento.

A maior parte você faz sozinho no app: mudar o nome de exibição, desligar o acesso aos contatos ou apagar a conta inteira. Para o resto, escreva para burhan.tutan@gmail.com. Respondemos em 30 dias (KVKK) e em um mês (RGPD).

Você também pode reclamar a uma autoridade de controle: na Türkiye, a Autoridade de Proteção de Dados Pessoais (KVKK Kurumu); na UE/EEE, a autoridade do país onde você vive.

Crianças

O vrrb não é dirigido a menores de 13 anos e não coletamos dados deles conscientemente. Se soubermos que uma conta pertence a alguém com menos de 13 anos, apagamos a conta e seus dados.

Alterações

Se este aviso mudar de forma relevante, avisamos você dentro do app.