Política de Privacidade
Multi Timer · br.com.exiss.timer
1RESUMO
- Não há conta, cadastro, login nem perfil. Não sabemos quem você é.
- Não temos servidor, banco de dados de usuários nem painel administrativo, e nada do que você cria ou digita no aplicativo chega até nós. Uma coisa chega: o relatório de venda da Google, com número do pedido, data e país — nunca seu nome, e-mail ou dados de pagamento. Guardado cinco anos, por dever fiscal (§7).
- Tempos salvos, sequências, conjuntos, tema e preferências ficam no aparelho (§3). Os campos de nome aceitam qualquer texto: use o nome da atividade, não o da criança.
- Cinco coisas saem do aparelho. Quatro vão para a Google: os pedidos de anúncio; o diagnóstico da biblioteca de anúncios, em lote, que pode sair com o aplicativo fechado; a consulta das suas compras; e, com o backup ligado, uma cópia dos dados do aplicativo. A quinta não é da Google: a peça de anúncio exibida busca arquivos nos servidores do anunciante, que veem o IP do aparelho (§5 e §12).
- Anúncio não personalizado não é anúncio sem coleta: IP, dados do aparelho, idioma e eventos do anúncio continuam saindo (§6). A permissão de identificador de publicidade (AD_ID) está no pacote publicado, declarada pela biblioteca da Google; por isso declaramos coleta de identificadores no formulário "Segurança dos dados" (§6, §11 e §16).
- As compras passam pelo Google Play: nunca vemos cartão, nome, e-mail nem sua identidade. Comprar remove os anúncios, e só isso — leia o §2 antes de pagar.
- Com o backup do Android ligado, seus tempos salvos e preferências — inclusive os nomes digitados — vão para sua conta Google; a transferência para um aparelho novo copia o mesmo e não depende desse interruptor. Quem liga e desliga é você, mas fomos nós que permitimos essa inclusão (§4).
- A foto do tema Personalizado é a única coisa deliberadamente fora dessas cópias.
- Não usamos ferramenta alguma de estatística de uso, rastreamento ou relatório de falhas, não há arquivo de configuração do Firebase no projeto, e não usamos mediação, outra rede de anúncios além do AdMob nem plataforma de consentimento.
- Contar o tempo, salvar um tempo e tocar o alerta são tarefas locais e funcionam sem internet, na versão gratuita e na paga. O pacote publicado, porém, carrega as bibliotecas de anúncios e de compras da Google, e elas transmitem dados.
2O QUE A COMPRA MUDA, E O QUE ELA NÃO MUDA
- Muda: o aplicativo deixa de PEDIR anúncios. A faixa do rodapé some, o anúncio de tela cheia não aparece mais, e com eles some a coleta de cada pedido (§6).
- NÃO muda: a biblioteca de anúncios continua sendo carregada e inicializada uma vez a cada abertura, antes de o aplicativo saber se você comprou. Nessa inicialização, e no componente de transporte que ela traz junto, ela se comunica com a Google — configuração e diagnóstico dela própria, sem pedido de anúncio nenhum. Esse envio continua depois da compra, é agendado pelo sistema e pode ocorrer com o aplicativo fechado; não conseguimos desligá-lo por você. Também continua a consulta das suas compras ao Google Play, que mantém liberado o que foi pago.
3O QUE FICA GUARDADO NO SEU APARELHO
Tudo abaixo fica na área privada do aplicativo, que só ele enxerga; não temos acesso a nada disso. Tudo vai na cópia de backup e de transferência do §4, EXCETO a foto do tema Personalizado, deliberadamente excluída.
- No banco exis_timer.db: os tempos salvos e os conjuntos de timers salvos — nome digitado, marcador (emoji de uma lista fixa, não campo de texto), tipo de plano, duração e rótulo de cada etapa, repetições e opções de avanço e de voltas — e a data e hora de criação de cada item, que ordena a lista e registra quando você usou o aplicativo.
- No arquivo exis_settings: tema, aparência, exibição do relógio, comportamento da contagem, durações do pomodoro, som e vibração de cada aviso, quais exemplos prontos você ocultou, a situação da compra (dois indicadores de sim ou não, para o aplicativo seguir liberado sem internet) e os dois números que decidem quando um anúncio de tela cheia pode aparecer — tempo de uso somado e data do último anúncio, que não vão ao AdMob nem a nós.
- No arquivo exis_locale: a etiqueta do idioma. No Android 13 e acima o sistema guarda uma segunda cópia dela, fora da pasta do aplicativo (§13).
- Nas pastas internas: os arquivos que as bibliotecas da Google gravam (configuração delas e a fila do que ainda não enviaram), que não lemos; e os cookies, armazenamento local e identificadores técnicos que a janela de navegação embutida (WebView) do anúncio pode gravar e ler, para desenhar o anúncio, limitar sua frequência e detectar fraude — gravação feita por um terceiro no seu aparelho (§6 e §10).
- A foto do tema Personalizado, em arquivo próprio (§8).
O arquivo de preferências ainda contém chaves aposentadas em versões anteriores, que o aplicativo não lê, não são apagadas na atualização e vão na cópia de backup. Mantê-las contraria o princípio da necessidade (LGPD art. 6º, III; GDPR art. 5(1)(c) e (e)) e vamos apagá-las na primeira abertura após a atualização, até [DATA DA LIMPEZA DAS CHAVES ANTIGAS]. Não guardamos histórico de sessões, relatório de atendimento nem quantas vezes um tempo foi executado.
OS CAMPOS QUE ACEITAM QUALQUER TEXTO. O aplicativo nunca pede seu nome, e-mail ou idade, nem dado algum sobre a pessoa com quem você usa o timer. Mas três campos aceitam texto livre e gravam o que você digitar: o nome de um tempo salvo, o rótulo de cada etapa de uma sequência e o nome de um conjunto de timers — este último é o mais provável de receber nome de pessoa, porque um conjunto é a sessão inteira. Esse texto fica no aparelho, entra nas cópias do §4 e não é enviado a nós, ao AdMob nem a mais ninguém. Recomendação séria para uso em atendimento ou em sala de aula: não digite nome completo, matrícula ou diagnóstico — use rótulos funcionais ("Aquecimento", "Atendimento 1", "Turma da tarde"). O mesmo vale para a imagem do tema Personalizado: escolha uma paisagem ou um desenho, não a foto de uma criança (§8).
4BACKUP DO ANDROID E TRANSFERÊNCIA PARA UM APARELHO NOVO
Este é o único caminho pelo qual os dados que você cria saem do aparelho. É copiado tudo o que está no §3, com os nomes e rótulos que você digitou, exceto a foto do tema Personalizado.
DOIS CAMINHOS, E O INTERRUPTOR SÓ ALCANÇA UM. O sistema faz duas cópias com as mesmas regras: o backup para a conta Google e a TRANSFERÊNCIA DIRETA de um aparelho para outro, aquela que o Android oferece ao configurar um celular novo com o antigo ao lado. Desligar o backup impede a primeira, mas NÃO a segunda — ela acontece quando você aceita transferir os aplicativos. Se não quer essas cópias, desligue o backup e, ao trocar de aparelho, não inclua este aplicativo na transferência. Desliga-se, e apaga-se o que já foi guardado, em "Configurações" > "Google" > "Backup": https://support.google.com/android/answer/2819582
Nós declaramos no aplicativo que os dados dele podem entrar nessas cópias e escrevemos as listas do que fica de fora — foi assim que a foto foi excluída. Poderíamos ter desligado tudo e optamos por manter, para que quem troca de aparelho não perca o que salvou; por essa decisão respondemos como controladores (base legal no §9). Não está com a gente se e quando o backup roda, nem o que acontece com a cópia depois de chegar à sua conta Google.
CONSEQUÊNCIA QUE PRECISA ESTAR CLARA. Qualquer nome que você tenha digitado num campo livre entra na cópia, fica na sua conta Google e não é apagado quando você desinstala o aplicativo. A inclusão é decisão nossa, não sua. Tratando-se de dado de criança, isso tem uma consequência específica, escrita no §11.
USO PROFISSIONAL. Em aparelho de clínica ou de escola, a conta do backup costuma ser a corporativa: se a política da instituição não admitir essa cópia, desligue o backup e recuse a transferência, ou não digite dado identificável. Não somos operadores da sua instituição quanto ao CONTEÚDO digitado — não o recebemos nem o lemos —, mas fomos nós que permitimos que os dados do aplicativo entrem nessas cópias, e por essa decisão, e só por ela, respondemos como controladores; o conteúdo em si continua sob responsabilidade de quem decidiu digitá-lo. O aplicativo não recebe, não importa e não exporta prontuário, cadastro de aluno ou lista de turma, e não se integra a sistema escolar ou de saúde.
5O QUE SAI DO APARELHO, PARA QUEM E POR QUÊ
- Para a Google (AdMob), a cada pedido de anúncio: o endereço IP, de que se deduz a região aproximada; modelo, fabricante e versão do Android; idioma, fuso, tamanho e densidade da tela; o nome do pacote e o identificador do bloco de anúncio; identificadores do aplicativo e do pedido; e os eventos de exibição, clique e fechamento. Serve para servir e formatar o anúncio, limitar sua frequência, medir e faturar, e detectar fraude (§6).
- Para a Google: o diagnóstico do próprio SDK de anúncios.
- Para o Google Play Billing: os identificadores dos produtos, a consulta das compras da conta e o token da compra, para mostrar o preço na sua moeda e liberar o que foi comprado (§7).
- Para o backup do Android: a cópia dos dados do aplicativo (§4).
- Para os servidores do anunciante: as requisições que a peça exibida faz para se carregar e se medir (§12).
- Do Google Play para a EXISS: o relatório de venda, com número do pedido, data e país, por obrigação fiscal (§7).
Nós não passamos nenhum dado seu à biblioteca de anúncios: o aplicativo pede o anúncio sem enviar palavra-chave, localização, identificador fornecido por nós nem informação sobre o que você faz dentro dele.
6PUBLICIDADE (GOOGLE ADMOB)
A versão gratuita exibe anúncios do AdMob em dois formatos: uma faixa no rodapé e, com muito menos frequência, um anúncio de tela cheia (intersticial).
QUANDO O INTERSTICIAL PODE APARECER: depois que uma contagem termina e o alarme é silenciado, com o aplicativo à sua frente; ou, se isso ocorreu com o aplicativo em segundo plano, ele fica pendente e aparece quando a tela do temporizador voltar a existir — na prática, a abertura seguinte; ou, num plano que se repete sem fim (o pomodoro de fábrica é o caso comum, porque nunca chega ao fim), ao fechar uma VOLTA com o aplicativo em segundo plano, também ficando pendente. Nos dois últimos casos, se algum temporizador ainda estiver correndo quando você reabrir o aplicativo, o anúncio aparece por cima dele. Nunca interrompe uma contagem que está na sua frente nem aparece com o alarme tocando. Só ocorre após um tempo mínimo de uso acumulado e respeitado um intervalo entre anúncios — e nunca se você escolheu um tema de baixo estímulo.
O QUE SAI A CADA PEDIDO está no §5, mais a identificação técnica do programa que exibe o anúncio (o "user agent"). A biblioteca também envia à Google diagnóstico dela própria, em lote, pelo componente de transporte que embarca — agendado pelo sistema, pode ocorrer com o aplicativo fechado e continua depois da compra (§2). Nada disso passa por nós: não recebemos IP, identificador, evento nem relatório individual. Da Google recebemos apenas os relatórios de venda do §7.
ANÚNCIOS NÃO PERSONALIZADOS, COM PRECISÃO. Ao abrir, o aplicativo configura a biblioteca da Google para tratar os pedidos como dirigidos a crianças (child-directed treatment) e limitar o conteúdo à classificação mais restritiva, sem exceção por região. Segundo a documentação da Google, essa marcação desliga a publicidade por interesse e o remarketing e impede a transmissão do identificador de publicidade do Android (AAID) nos pedidos assim marcados. Duas ressalvas, que valem também para o §10 e o §11: quem aplica a marcação a cada pedido é a biblioteca da Google, e não capturamos o tráfego para conferir pedido a pedido; e a configuração é aplicada em segundo plano na abertura, enquanto o primeiro banner é pedido logo em seguida, de modo que não podemos garantir, por leitura do código, que o primeiríssimo pedido de uma abertura fria já saia marcado — estamos corrigindo essa ordem até [DATA DA CORREÇÃO DA INICIALIZAÇÃO]. A marcação não impede a coleta acima.
A PERMISSÃO DE IDENTIFICADOR DE PUBLICIDADE. A biblioteca de anúncios declara, dentro do pacote publicado, com.google.android.gms.permission.AD_ID e as permissões de serviços de anúncios do Android (ACCESS_ADSERVICES_AD_ID, ATTRIBUTION e TOPICS). Não foram escritas por nós: entram pela fusão automática dos manifestos. Enquanto constarem do pacote, a resposta honesta no formulário "Segurança dos dados" é declarar coleta de "IDs do dispositivo ou outros IDs", e é o que declaramos (§16) — por isso não afirmamos aqui que nenhum identificador sai do aparelho. Os que sabemos que saem são os do próprio aplicativo e do pedido de anúncio, que não reconhecem você entre aplicativos. Em hipótese alguma usamos identificador de publicidade para segmentar, montar perfil ou reconhecer você entre aplicativos.
O anúncio pode abrir o navegador, o discador, as mensagens ou o calendário; dali em diante valem as políticas de quem recebeu você. Para deixar de vê-los, compre a remoção de anúncios ou o Premium (§2); para se opor sem pagar nada, §14.
7COMPRAS (GOOGLE PLAY BILLING)
Há assinatura Premium (mensal e anual), compra vitalícia do Premium, upgrade vitalício e compra avulsa de remoção de anúncios, todas processadas pelo Google Play. O aplicativo envia à Google os identificadores dos produtos, uma consulta das compras existentes na conta Google do aparelho e o token da compra; ao iniciar uma compra, o controle passa para a Play Store, fora do nosso alcance. A Google devolve o preço já formatado na sua moeda e a lista das compras desta conta NESTE aplicativo, da qual lemos apenas o produto, a situação e o token. O aplicativo NUNCA recebe nem guarda número de cartão, nome, endereço de cobrança, CPF, e-mail, identificador da sua conta Google ou histórico financeiro fora deste aplicativo: os dados de pagamento são coletados e processados integralmente pela Google, e não temos servidor nem verificação de compra do lado do servidor.
O que chega até nós são os relatórios de venda da Play Console, com número do pedido, data e país: base do cumprimento das obrigações fiscais e contábeis, guardados cinco anos (§13), acessados no painel da Play Console, com acesso restrito às pessoas responsáveis por essa obrigação e autenticação em dois fatores.
8A FOTO DO TEMA PERSONALIZADO
Uma imagem escolhida por você no seletor de mídia do Android: o aplicativo não pede permissão de armazenamento e não enxerga sua galeria, porque o seletor é do sistema e só a imagem escolhida é entregue. É gravado o arquivo original, byte a byte, na área privada do aplicativo — os metadados EXIF são preservados, inclusive coordenadas de GPS, se a câmera as registrou. O aplicativo lê a orientação para não mostrar a foto deitada e reduz a imagem apenas na memória; o arquivo em disco continua o original.
Base legal: consentimento (LGPD art. 7º, I; GDPR art. 6(1)(a)). Escolher a imagem é ato seu, específico e opcional: o aplicativo funciona inteiro sem ela, e doze dos treze temas não têm foto nenhuma. O consentimento se retira no mesmo painel em que a foto é escolhida. Ressalva necessária: esse painel só aparece enquanto o tema Personalizado estiver em uso. Se você perder o acesso a ele — assinatura encerrada, por exemplo —, hoje a única forma de apagar a imagem é limpar os dados do aplicativo ou desinstalá-lo, o que também apaga seus tempos salvos. Isso não é uma retirada tão fácil quanto foi a concessão, como pedem o art. 8º, §5º da LGPD e o art. 7(3) do GDPR, e vamos corrigi-lo tornando o botão de remover a imagem sempre acessível, até [DATA DA CORREÇÃO DO BOTÃO DE REMOVER]; até lá, escreva para queirozpasquetti@gmail.com.
A imagem não vai a servidor nenhum, não passa pela biblioteca de anúncios e está excluída das duas listas de regras de backup, na cópia para a nuvem e na transferência direta: é a única promessa de "não sai do aparelho" que este documento faz sem ressalva. Existe uma imagem por vez; escolher outra sobrescreve a anterior, e apagá-la no aparelho a elimina para sempre.
9BASES LEGAIS
- Execução de contrato (LGPD art. 7º, V; GDPR art. 6(1)(b)): o funcionamento do temporizador; a compra e a liberação do que foi pago.
- Consentimento (LGPD art. 7º, I; GDPR art. 6(1)(a)): a foto do tema Personalizado — o único tratamento com essa base.
- Obrigação legal (LGPD art. 7º, II; GDPR art. 6(1)(c)): a guarda fiscal da venda.
- Legítimo interesse (LGPD art. 7º, IX; GDPR art. 6(1)(f)): a inclusão dos dados nas cópias de backup e transferência (§4); a publicidade contextual (*); o antifraude e a medição do anúncio (*); a gravação e a leitura de informação no aparelho pelo SDK e pela janela de anúncio (*); os dois contadores que espaçam os anúncios (§3) (*); e o diagnóstico do SDK de anúncios.
(*) No Espaço Econômico Europeu e no Reino Unido esta base NÃO é suficiente hoje; a razão está no §10.
Backup: o interesse legítimo é não fazer alguém perder o que montou ao trocar de aparelho; para se opor, §4. Diagnóstico do SDK: é a única linha que continua valendo depois da compra, porque a biblioteca permanece carregada (§2); não recebemos nada desse envio e não conseguimos desligá-lo — hoje o único caminho para não ser alcançado por ele é desinstalar o aplicativo. Para os demais tratamentos não indicamos consentimento, porque não existe hoje tela que o colha.
10EUROPA, REINO UNIDO E SUÍÇA — O QUE NÃO EXISTE HOJE
- A regra que se aplica e que não estamos cumprindo: no Espaço Econômico Europeu e no Reino Unido, gravar ou ler informação no aparelho exige consentimento (art. 5(3) da Diretiva ePrivacy; regra 6 do PECR), e isso vale mesmo com anúncio apenas contextual, porque a regra alcança o armazenamento no aparelho, não a personalização. A limitação de frequência e o antifraude usam esse armazenamento (§3 e §6), e a Política de Consentimento do Usuário da UE, da própria Google, diz o mesmo.
- O aplicativo não exibe tela de consentimento de anúncios: não há plataforma de gestão de consentimento (CMP) nem registro de escolha. Não afirmamos em lugar nenhum deste documento que obtivemos seu consentimento. Não obtivemos.
- A consequência, sem suavizar: pelo Parecer 5/2019 do Comitê Europeu de Proteção de Dados, quando o art. 5(3) exige consentimento para gravar ou ler informação no aparelho, o tratamento dos dados assim obtidos não pode se apoiar em legítimo interesse. Logo, no EEE e no Reino Unido, o legítimo interesse declarado no §9 nas linhas com (*) NÃO é hoje base válida: falta o consentimento, e sem ele não há base. Não alegamos conformidade nessas regiões.
- Na Suíça vale a Lei Federal de Proteção de Dados revisada (nLPD/revDSG), não o GDPR; desde 31 de julho de 2024 a Política de Consentimento do Usuário da UE também alcança usuários suíços. Sem tela de consentimento aqui, tudo o que está acima vale igualmente na Suíça.
- Até esse pedido existir, quem está nessas regiões pode comprar a remoção de anúncios (ou o Premium), registrar oposição gratuitamente pelo canal do §14, ou não instalar o aplicativo. No Android é possível excluir o identificador de publicidade ou desativar a personalização em "Configurações" > "Google" > "Anúncios"; a conta Google se ajusta em https://myadcenter.google.com
Se o aplicativo passar a exibir um pedido de consentimento, ou se a distribuição nessas regiões for restringida, esta política será atualizada antes disso, com nova data de vigência.
11CRIANÇAS E ADOLESCENTES
Este aplicativo foi feito, entre outros públicos, para fonoaudiólogos, terapeutas ocupacionais e professores que trabalham com crianças, inclusive autistas. É usado COM crianças, na frente delas: quem instala e opera é um adulto; a criança olha o mostrador.
MELHOR INTERESSE DA CRIANÇA (LGPD ART. 14). O aplicativo não pergunta nome, idade, data de nascimento, sexo, escola, diagnóstico, foto, voz, telefone, e-mail nem localização de ninguém; não há cadastro, perfil nem campo obrigatório de identificação. Nenhum recurso é condicionado ao fornecimento de dado pessoal além do estritamente necessário à atividade (art. 14, §4º) — e o necessário aqui é zero. Este documento é escrito em linguagem simples e acessível (art. 14, §6º); se alguma parte não estiver clara, escreva para queirozpasquetti@gmail.com e a reescreveremos. Pai, mãe ou responsável exerce direitos pelo canal do §14.
O QUE PODE CONTER DADO DE CRIANÇA. Um só caminho: alguém digitá-lo num campo livre (§3). Esse texto fica no aparelho, entra nas cópias de backup e transferência (§4), não é enviado a nós, não vai para o AdMob e não é usado para publicidade. O que está ao nosso alcance é recomendar que não se digite, não transmitir esse texto a ninguém e não conservá-lo além do que você quiser — nada é apagado sozinho porque nada é nosso para apagar (LGPD art. 6º, III, e arts. 15 e 16). O art. 14, §3º da LGPD proíbe repassar dado de criança a terceiro sem o consentimento específico do §1º, e é por isso que a inclusão desses arquivos na cópia de backup é a parte deste documento que exige sua atenção: está descrita no §4, é decisão nossa, e a forma de impedi-la está lá. Se você já digitou e quer desfazer, apague o item no aplicativo e apague também a cópia no backup, porque desinstalar não a alcança.
POLÍTICA DE FAMÍLIAS DO GOOGLE PLAY. Em "Público-alvo e conteúdo" da Play Console declaramos como público-alvo [FAIXAS ETÁRIAS DECLARADAS NO PLAY CONSOLE]; repetimos a declaração aqui para que se possa conferir os dois documentos lado a lado. O único SDK de anúncios é o AdMob, autocertificado pela Google como compatível com a Política de Famílias, sem mediação e sem outra rede. Os pedidos são marcados como dirigidos a crianças e limitados à classificação "livre", com as duas ressalvas do §6, e não há publicidade personalizada, remarketing nem segmentação por interesse. Sobre identificadores, NÃO afirmamos que nenhum identificador permanente sai do aparelho, pelas razões e com a consequência declaratória do §6. O aplicativo contém anúncios e compras; as compras exigem autenticação da conta Google e passam pelos controles parentais da Play Store.
COPPA (ESTADOS UNIDOS, MENORES DE 13 ANOS). Não coletamos, e nunca recebemos, informação pessoal fornecida por uma criança: nome, endereço, e-mail, telefone, foto, voz ou localização declarada por ela — a região aproximada deduzida do IP está no §5. O que sai a cada pedido de anúncio, inclusive esse IP e essa região, é tratado pela Google exclusivamente para servir anúncio contextual, limitar a frequência, medir exibições e combater fraude: usos que a COPPA classifica como suporte às operações internas do serviço (16 CFR 312.2), para os quais não se exige consentimento dos pais e nos quais é vedado montar perfil da criança. Nada é usado para publicidade comportamental nem para reconhecer alguém entre aplicativos. Informação que uma criança tenha digitado num campo livre pode ser apagada no próprio aparelho (§13); para confirmação por escrito de que não temos cópia, escreva para queirozpasquetti@gmail.com ou ligue para o telefone do cabeçalho. Um responsável pode encerrar a coleta ligada a cada pedido de anúncio de duas formas diretas, que NÃO entregam a mesma coisa: comprar a remoção de anúncios (ou o Premium) encerra toda a coleta do §6, embora a biblioteca siga carregada e siga enviando diagnóstico à Google (§2); desinstalar encerra tudo, sem exceção. Nome, endereço, telefone e e-mail do operador, para contato de responsáveis, são os do cabeçalho e do §17.
12COMPARTILHAMENTO E TRANSFERÊNCIA INTERNACIONAL
O terceiro com quem nós tratamos é um só: a Google — Google LLC (Estados Unidos) e, conforme sua região, Google Ireland Limited. Não usamos mediação, plataforma de dados, processador terceirizado nem provedor de nuvem próprio. As categorias que ela recebe estão no §5 e, no Play Billing, incluem todos os dados de pagamento, que só ela vê.
O PAPEL DA GOOGLE MUDA CONFORME A ETAPA, E ISSO IMPORTA PARA SEUS DIREITOS. Pela COLETA e TRANSMISSÃO dos dados do seu aparelho no momento em que um anúncio é pedido, nós e a Google somos controladores conjuntos: fomos nós que embutimos o SDK dela no aplicativo, e é essa decisão que faz a coleta acontecer — foi o que decidiu o Tribunal de Justiça da União Europeia no caso Fashion ID (C-40/17). Nessa etapa, o art. 26(3) do GDPR permite que você exerça seus direitos contra qualquer um dos dois: um pedido enviado a queirozpasquetti@gmail.com é registrado e encaminhado por nós, nunca recusado, e o essencial do arranjo são os termos publicados dela (§17). Pelo que a Google faz DEPOIS de receber esses dados — escolher o anúncio, medir, combater fraude, guardar —, ela age com finalidade própria, como controladora, e nós não temos parte nem acesso; o mesmo vale para o Play Billing e para o backup do Android.
O ANÚNCIO É DE UM ANUNCIANTE. A Google escolhe e entrega o anúncio; quem o criou é um anunciante. Ao aparecer, a peça busca imagens, scripts e pequenos arquivos de contagem — os que registram que o anúncio apareceu — nos servidores desse anunciante e, se ele contratou outra empresa para conferir o mesmo, nos servidores dela também. Todos eles veem o IP do aparelho e os dados técnicos que qualquer acesso à internet carrega. Não escolhemos essas empresas, não sabemos de antemão quais serão, não recebemos nada delas e não temos contrato com nenhuma. Não vendemos dados pessoais e não os entregamos a corretores de dados, seguradoras, empregadores ou escolas. Podemos, se legalmente obrigados, atender ordem judicial ou requisição de autoridade — registrando que não temos base de dados de usuários para entregar.
TRANSFERÊNCIA INTERNACIONAL. Nós não transferimos dados para fora do Brasil; o único dado que recebemos são os relatórios de venda do §7, acessados no painel da Play Console, hospedado pela Google fora do Brasil. As demais transferências são feitas pela Google, a partir do seu aparelho, para os Estados Unidos e outros países onde ela opera infraestrutura, amparadas nas salvaguardas que ela adota e publica: cláusulas-padrão na forma do art. 33, II da LGPD (modelo aprovado pela Resolução CD/ANPD nº 19/2024) e, sob o GDPR e o UK GDPR, as cláusulas-padrão da Comissão Europeia e, quando aplicável, o EU-U.S. Data Privacy Framework e a extensão para o Reino Unido. Cópia delas se obtém com a Google (§17).
13RETENÇÃO E COMO APAGAR SEUS DADOS
Os dados no aparelho ficam até você apagá-los no aplicativo, limpar os dados nos ajustes do Android ou desinstalá-lo: não há prazo automático e nada é apagado sozinho. Ao desinstalar, o Android apaga a pasta privada inteira, com duas ressalvas: a cópia que já foi para o backup NÃO é apagada, e é lá que se apaga; e no Android 13 e acima o idioma escolhido é guardado também pelo sistema, fora da pasta do aplicativo, e sobrevive à desinstalação. Os dados de publicidade e de compra ficam sob a guarda e os prazos da Google: não guardamos cópia e não conseguimos apagá-los. Os relatórios de venda ficam cinco anos (arts. 173 e 174 do Código Tributário Nacional).
COMO APAGAR: um item específico, na lista de tempos salvos. A foto do tema Personalizado, na galeria de temas > tema Personalizado > remover a imagem (leia a ressalva do §8). Tudo o que está no aparelho, em Configurações do Android > Aplicativos > Multi Timer > Armazenamento > Limpar dados, ou desinstalando. A cópia no backup, em Configurações do Android > Google > Backup ou em https://myaccount.google.com — não temos acesso a ela. Anúncios: comprando a remoção de anúncios ou o Premium (leia antes o §2). Compras e assinaturas: consulta, cancelamento e reembolso são feitos na Google Play Store.
14SEUS DIREITOS E COMO EXERCÊ-LOS
CANAL: queirozpasquetti@gmail.com. Diga qual é seu pedido e de que país você fala; não envie documento de identidade sem que solicitemos, porque, não havendo cadastro, quase nunca há identidade a confirmar. Todo atendimento é gratuito. PRAZOS — LGPD: resposta imediata em formato simplificado, ou completa em até 15 dias (art. 19, II). GDPR e UK GDPR: até um mês, prorrogável por mais dois em casos complexos, com aviso dentro do primeiro mês (art. 12(3)). CCPA/CPRA: confirmação em até 10 dias úteis e resposta em até 45 dias, prorrogáveis por 45.
NO BRASIL (LGPD ART. 18): confirmação da existência de tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com base em consentimento (aqui, a foto do tema Personalizado); informação sobre com quem houve uso compartilhado (§12) e sobre a possibilidade de não consentir e suas consequências; revogação do consentimento (art. 8º, §5º); e oposição ao tratamento sem consentimento (art. 18, §2º). Petição à ANPD: https://www.gov.br/anpd
NA EUROPA, NO REINO UNIDO E NA SUÍÇA: acesso (art. 15), retificação (16), apagamento (17), limitação (18), portabilidade (20), oposição ao tratamento fundado em interesse legítimo (21), não ser submetido a decisão exclusivamente automatizada (22) — que aqui não existe, porque o aplicativo não faz perfil, pontuação nem decisão automatizada sobre ninguém — e retirada do consentimento, que só se aplica à foto do tema Personalizado (§8). Na Suíça os direitos são os equivalentes da nLPD; os artigos citados são os do GDPR, apenas para referência. Reclamações: à autoridade do seu país — a lista das do EEE está em https://www.edpb.europa.eu/about-edpb/about-edpb/members_pt —, ao ICO no Reino Unido (https://ico.org.uk) ou ao PFPDT/FDPIC na Suíça (https://www.edoeb.admin.ch).
OPOSIÇÃO. Você pode se opor à publicidade e ao antifraude do anúncio (§6), ao diagnóstico do SDK (§9) e à inclusão dos dados nas cópias de backup e transferência (§4). Contra o backup a oposição é imediata e está nas suas mãos: desligue-o e recuse a transferência direta. Contra a publicidade, a oposição é gratuita e NÃO depende de compra: hoje o aplicativo ainda não tem o botão que a registra, e é isso que estamos corrigindo — até [DATA DA TELA DE CONSENTIMENTO] ele exibirá um pedido de escolha no qual você poderá recusar os anúncios sem pagar nada. Até lá, escreva para queirozpasquetti@gmail.com: registramos sua oposição e explicamos o único caminho que hoje a interrompe de fato no aparelho, que é parar de usar a versão gratuita. Isso não satisfaz o art. 12(5) do GDPR, que exige que o exercício do direito seja gratuito, e é por isso que há uma data acima e não uma promessa vaga.
ESTADOS UNIDOS. Categorias envolvidas nos últimos 12 meses, na terminologia da CCPA/CPRA, todas coletadas pelas bibliotecas da Google: identificadores; atividade de rede; geolocalização (a região aproximada derivada do IP; sobre as coordenadas de GPS que a foto do tema pode guardar, §8); e informação comercial (o registro de que uma compra foi feita) — dessa lista, a única que chega até nós é a informação comercial, na forma do relatório de venda do §7. Não vendemos informação pessoal e não a compartilhamos para publicidade comportamental entre contextos; por isso não há link "Do Not Sell or Share My Personal Information", mas um pedido de exclusão enviado a queirozpasquetti@gmail.com será atendido. Direitos: saber, excluir, corrigir, limitar o uso de informação sensível — que não coletamos (LGPD art. 5º, II; GDPR art. 9º) — e não sofrer discriminação por exercê-los. Não vendemos nem compartilhamos informação pessoal de menores de 16 anos; para menores de 13, §11. Quem reside na Virgínia, no Colorado, em Connecticut, em Utah ou em outro estado com lei equivalente tem os direitos correspondentes, pelo mesmo canal.
O LIMITE, DITO ANTES DE VOCÊ ESCREVER. Não temos servidor nem conta de usuário, e nada do que você cria no aplicativo chega até nós — por isso não conseguimos localizar, exportar, corrigir ou apagar o que está no seu aparelho ou com a Google. Duas exceções, que não recusamos: o registro de venda (informando o número do pedido, conseguimos confirmar, corrigir ou excluir o que houver nos nossos relatórios, respeitado o prazo fiscal de cinco anos); e a etapa de coleta do §12, em que somos controladores conjuntos com a Google — ali, um pedido dirigido a nós é registrado e encaminhado, nunca recusado.
15SEGURANÇA, INCIDENTES E PERMISSÕES DO PACOTE
SEGURANÇA (LGPD art. 46; GDPR art. 32). Os dados que você cria ficam na área privada do aplicativo, que o Android isola dos demais; a exceção é a cópia de backup, que fica na sua conta Google, sob as regras dela (§4). Não mantemos banco de dados remoto de usuários, cópia do que você cria no aplicativo nem painel administrativo: guardamos os relatórios de venda do §7, no painel da Play Console, com acesso restrito e autenticação em dois fatores. O tráfego com as APIs da Google é feito pelas bibliotecas dela, por conexões cifradas (HTTPS/TLS); o aplicativo não expõe porta, não roda servidor interno e não aceita conexão de fora; o pacote é compilado com remoção de código não utilizado e ofuscação. A proteção do próprio aparelho — bloqueio de tela, criptografia, atualizações — é a camada mais importante, e está com você. Não alegamos "segurança absoluta".
INCIDENTES. Havendo incidente com risco ou dano relevante, comunicaremos a ANPD em até 3 dias úteis do conhecimento (LGPD art. 48; Resolução CD/ANPD nº 15/2024) e, quando aplicável, a autoridade europeia ou britânica em até 72 horas (GDPR art. 33); as pessoas afetadas serão comunicadas no mesmo prazo (LGPD art. 48, §1º; GDPR art. 34). Como não temos e-mails de usuários, a comunicação será feita por publicação nesta página, com destaque e data, por aviso na ficha da Google Play e, quando cabível, dentro do aplicativo.
PERMISSÕES PEDIDAS POR NÓS: INTERNET e ACCESS_NETWORK_STATE (anúncios e Google Play; nenhuma outra requisição de rede é feita pelo código escrito por nós); POST_NOTIFICATIONS (notificação com o andamento da contagem, recusável sem prejuízo do funcionamento); FOREGROUND_SERVICE e FOREGROUND_SERVICE_SPECIAL_USE; WAKE_LOCK; VIBRATE; e a consulta ao pacote com.android.vending.
PERMISSÕES QUE ESTÃO NO PACOTE PORQUE AS BIBLIOTECAS DA GOOGLE AS DECLARAM, e não porque nós as pedimos: AD_ID e as de serviços de anúncios do Android (ACCESS_ADSERVICES_AD_ID, ATTRIBUTION, TOPICS), da biblioteca de anúncios (§6 e §11); BILLING, da biblioteca de compras; uma permissão interna entre componentes do próprio aplicativo; e consultas de visibilidade (existe no aparelho navegador, guias personalizadas, calendário, mensagens, discador?), que só servem para o anúncio saber se consegue abrir o destino — nada sobre os seus aplicativos é transmitido por nós. O pacote carrega ainda androidx.work e com.google.android.datatransport, usados no envio em lote do §6, e etiquetas de versão de bibliotecas que nunca são chamadas (firebase-encoders, play-services-measurement, play-services-location, places-placereport, user-messaging-platform), cujo código é removido na compilação.
NÃO PEDIMOS, EM NENHUMA VERSÃO: localização, câmera, microfone, contatos, telefone, SMS, calendário, sensores corporais e acesso ao armazenamento. A imagem do tema Personalizado vem do seletor de mídia do sistema, que dispensa permissão de armazenamento porque é o sistema quem abre sua galeria.
16O FORMULÁRIO "SEGURANÇA DOS DADOS" DO GOOGLE PLAY
O Google Play compara esta política com o formulário "Segurança dos dados" da ficha do aplicativo; aqui está o que declaramos lá. No formulário, "coletado" quer dizer que o dado sai do aparelho por ação do aplicativo, e "compartilhado" que ele é transmitido a um terceiro. Atenção a essa palavra, que aparece com dois sentidos: aqui e no §12 ela quer dizer transmitir um dado a outra empresa, e isso acontece, com a Google; no §14, onde se lê que não compartilhamos, o sentido é o da lei da Califórnia — entregar dados para publicidade que persegue a pessoa entre aplicativos —, e isso não acontece.
Declarados como COLETADOS e COMPARTILHADOS, para publicidade e antifraude: IDs do dispositivo ou outros IDs; localização aproximada; interações no app (os eventos do anúncio); registros e diagnóstico do app. Declarado como COLETADO e NÃO compartilhado, para funcionalidade: histórico de compras no app. Todos os demais tipos do formulário estão declarados como NÃO coletados e NÃO compartilhados: informações de pagamento; nome, e-mail, telefone e endereço; outro conteúdo gerado pelo usuário; apps instalados; histórico de navegação na Web; contatos, mensagens e agenda; fotos e vídeos; localização precisa; saúde e condicionamento físico; áudio e gravações; arquivos e documentos.
- Nenhum desses dados vai para a EXISS. "Interações no app" são apenas os eventos do próprio anúncio: o aplicativo não registra nem transmite quais temporizadores você abre, quantas vezes os executa ou o que digita.
- "IDs do dispositivo ou outros IDs": declaramos a coleta porque a biblioteca de anúncios inclui no pacote a permissão de identificador de publicidade, ainda que os pedidos sejam marcados como dirigidos a crianças (§6 e §11).
- "Histórico de compras no app" está como não compartilhado porque a consulta do §5 acontece dentro do próprio serviço que processa a compra.
- "Outro conteúdo gerado pelo usuário" e "Nome, e-mail, telefone, endereço" estão como não coletados apesar do §3, porque esse texto não sai do aparelho por ação do aplicativo — a cópia de backup é função do sistema (§4) e alcança-o. "Fotos e vídeos" e "Localização precisa": a imagem do tema Personalizado nunca é transmitida, nem ao backup (§8).
Se esta política e o formulário divergirem, o erro é nosso: escreva para queirozpasquetti@gmail.com e corrigiremos os dois.
17DPO, REPRESENTANTE, IDIOMAS, LEI APLICÁVEL, ALTERAÇÕES E CONTATO
ENCARREGADO (DPO), art. 41 da LGPD: [NOME OU CARGO DO ENCARREGADO] — [E-MAIL DO ENCARREGADO]. Esse endereço e o queirozpasquetti@gmail.com chegam ao mesmo time.
REPRESENTANTE (art. 27 do GDPR e do UK GDPR):
- União Europeia: [REPRESENTANTE NA UE] — [E-MAIL DO REPRESENTANTE NA UE]
- Reino Unido: [REPRESENTANTE NO REINO UNIDO] — [E-MAIL DO REPRESENTANTE NO RU] Existem porque a versão gratuita pede anúncios a cada sessão de cada usuário europeu, o que é tratamento regular e sistemático, não ocasional: a dispensa do art. 27(2) não se aplica a um aplicativo distribuído no EEE e no Reino Unido.
IDIOMAS. Publicada em português do Brasil e em inglês, com o mesmo conteúdo. Havendo divergência prevalece a versão em português do Brasil, por ser a língua do controlador e a do foro abaixo — o que não afasta o direito de quem estiver no EEE, no Reino Unido ou na Suíça de se apoiar na versão publicada em seu idioma.
LEI APLICÁVEL E FORO. Regida pela lei brasileira, em especial a Lei 13.709/2018 (LGPD) e a Lei 12.965/2014 (Marco Civil da Internet). Fica eleito o foro da comarca de [CIDADE E ESTADO DO FORO], Brasil. Isso não afasta os direitos do consumidor da Lei 8.078/1990 — inclusive demandar no foro do seu domicílio — nem os direitos que a lei local lhe garanta se você estiver no EEE, no Reino Unido, na Suíça, na Califórnia ou em outra jurisdição com legislação própria.
ALTERAÇÕES. Esta política será revisada sempre que houver mudança relevante no aplicativo — inclusão ou remoção de biblioteca, troca de rede de anúncios, novo produto de compra, mudança nas regras de backup, remoção de permissão do pacote ou criação de um fluxo de consentimento —, e o formulário "Segurança dos dados" é atualizado na mesma ocasião. A nova versão é publicada neste mesmo endereço, com a data de vigência atualizada no topo, e as anteriores ficam acessíveis ao final desta página. Não enviamos aviso por e-mail, porque não temos base de e-mails de usuários, e não registramos aceite.
CONTATO, para dúvida, acesso, correção, exclusão, oposição, denúncia de incidente ou para dizer que uma frase deste documento ficou obscura: Flávio de Queiroz Pasquetti — pessoa física Rua Santa Maria, 424, apto. 702 E-mail: queirozpasquetti@gmail.com — Telefone: +55 21 98422-0168 Respondemos nos prazos do §14. Se a resposta não resolver, procure a ANPD (https://www.gov.br/anpd), a autoridade do seu país ou os órgãos de defesa do consumidor.
POLÍTICAS DA GOOGLE, que trata os dados de anúncios, compras e backup: policies.google.com/privacy; policies.google.com/technologies/partner-sites; policies.google.com/technologies/ads; myadcenter.google.com; play.google.com/intl/pt-BR/about/play-terms/; support.google.com/android/answer/2819582 (backup); support.google.com/googleplay/android-developer/answer/9893335 (Famílias); google.com/about/company/user-consent-policy/ (Consentimento do Usuário da UE, citada no §10). Endereços de terceiros podem mudar sem aviso.
Fim do documento. Multi Timer — br.com.exiss.timer — vigente desde 29 de agosto de 2026.