Privacidade.

1Responsável pelo tratamento

O responsável pelo tratamento de dados na aceção do Regulamento Geral sobre a Proteção de Dados (RGPD) é:

Thomas Möbius
Geschwister-Scholl-Str. 4
04808 Wurzen
Alemanha

E-mail: info@theofac.com

Não foi designado um encarregado da proteção de dados, uma vez que não se verificam os pressupostos legais para tal.

2O essencial em resumo

A OFAC guarda calendários, turnos, tempos de trabalho, remunerações e definições localmente no teu dispositivo. O prestador não mantém uma conta de utilizador OFAC para esse efeito e não recebe estes conteúdos.

Se ligares o Google Drive e iniciares uma cópia de segurança, a OFAC transfere para a tua conta Google um ficheiro de cópia de segurança já encriptado no dispositivo. Se ativares também um agendamento, esta cópia de segurança é executada automaticamente. A Google recebe igualmente metadados de ligação e de ficheiro. A cópia de segurança do sistema Android mantém-se desativada, independentemente desta função.

Não existe qualquer SDK de publicidade ou de análise de utilização, nem qualquer serviço externo ativo de relatórios de falhas. És tu que envias as exportações e impressões para um destino à tua escolha. O site trata dados técnicos de acesso; os detalhes constam da secção 3.

Importação de calendários ICS: Um ficheiro ICS que escolhas na janela de seleção de ficheiros do Android é lido e verificado exclusivamente no dispositivo. A OFAC não envia o ficheiro para um servidor OFAC e não acede ao calendário do sistema Android para este efeito.

3Utilização deste site

Dados de acesso

Ao acederes a theofac.com, o servidor Web trata automaticamente os dados transmitidos pelo teu navegador: endereço IP, data e hora do acesso, página consultada, página visitada anteriormente, tipo e versão do navegador e sistema operativo.

Este tratamento é tecnicamente necessário para disponibilizar a página e proteger o funcionamento do site, por exemplo contra ataques e sobrecarga. O fundamento jurídico é o artigo 6.º, n.º 1, alínea f), do RGPD; o interesse legítimo consiste na disponibilização estável e segura do site. Os dados não são cruzados com outras fontes de dados nem analisados para identificar pessoas individuais. Os registos do servidor são eliminados, o mais tardar, após 14 dias.

Alojamento

O site funciona num servidor virtual dedicado, operado e configurado pelo próprio responsável pelo tratamento. Os registos do servidor são conservados exclusivamente nesse servidor.

A infraestrutura subjacente é disponibilizada pela

netcup GmbH
Emmy-Noether-Straße 10
76131 Karlsruhe

na qualidade de subcontratante, ao abrigo de um contrato nos termos do artigo 28.º do RGPD. O servidor encontra-se na União Europeia. Não são efetuadas transferências para países terceiros.

Cookies e medição de audiência

Este site não utiliza cookies de análise, marketing ou rastreio, nem integra tipos de letra externos, mapas, vídeos ou outros conteúdos de terceiros. Por isso, não é necessário solicitar consentimento.

Para o idioma do site expressamente escolhido, é guardado o cookie tecnicamente necessário ofac_language. Após a confirmação do aviso de cookies, é também guardado ofac_cookie_notice. Ambos contêm apenas a respetiva definição, aplicam-se a todo o site, têm uma duração máxima de doze meses e não são utilizados para análise, marketing ou rastreio.

Contacto

Se nos escreveres por e-mail, tratamos as tuas informações exclusivamente para responder ao teu pedido. O fundamento jurídico é o artigo 6.º, n.º 1, alínea b), do RGPD, se o pedido disser respeito a um contrato; nos restantes casos, é o artigo 6.º, n.º 1, alínea f), do RGPD. A tua mensagem é eliminada assim que deixe de ser necessária e desde que não existam prazos legais de conservação que o impeçam.

Formulário de apoio e pedidos de apoio

Se utilizares o formulário de apoio em theofac.com, o servidor trata os dados que introduzires para responder ao teu pedido: nome, endereço de e-mail, categoria, assunto, mensagem e idioma escolhido no formulário. Opcionalmente, podes anexar até duas capturas de ecrã em formato JPEG ou PNG, com um máximo de 5 MB cada.

O nome e o endereço de e-mail são encriptados com uma sealed box de chave pública antes de serem escritos na base de dados de apoio. O site público dispõe apenas da chave de encriptação e não consegue desencriptar estes valores posteriormente. Para reconhecer o endereço de e-mail, é também guardado um índice cego HMAC, a partir do qual não é possível reconstruir o endereço original. O texto da mensagem, o assunto, a categoria, o estado do pedido e os metadados técnicos dos anexos são guardados para o tratamento do pedido. Os anexos são armazenados com nomes de ficheiro aleatórios e permissões de acesso restritas, fora do diretório Web acessível ao público.

Para proteger contra abusos, o sistema de apoio utiliza valores hash baseados em HMAC do endereço IP do cliente e do User-Agent abreviado, a partir dos quais não é possível reconstruir os valores originais, bem como nonces de formulário de curta duração e limites de frequência de pedidos. Independentemente disso, o endereço IP original pode constar dos registos do servidor Web descritos nesta secção. Os registos de erros do ponto de acesso de apoio estão concebidos para não registar conteúdos de mensagens, endereços de e-mail ou endereços IP em texto simples.

É gerado um token de acesso aleatório para a página de estado. O servidor guarda apenas o respetivo hash SHA-256; o acesso técnico expira após 365 dias ou, no caso de um pedido encerrado, 30 dias após o encerramento. A ligação com o número do pedido e o token é enviada para o endereço de e-mail indicado e deve ser tratada de forma confidencial. A expiração da ligação não elimina o conteúdo do pedido; no entanto, um pedido de apoio é automaticamente eliminado seis meses após o seu encerramento, juntamente com todas as mensagens, notas internas e anexos. Os pedidos não encerrados permanecem guardados até serem encerrados.

O fundamento jurídico é o artigo 6.º, n.º 1, alínea b), do RGPD, na medida em que o pedido diga respeito à utilização ou disponibilização da OFAC; nos restantes casos, é o artigo 6.º, n.º 1, alínea f), do RGPD. O interesse legítimo consiste em responder a pedidos de apoio e em garantir o funcionamento seguro do sistema de apoio e a sua resistência a abusos.

Pedidos de apoio por e-mail

Se escreveres diretamente para support@theofac.com, também criamos um pedido a partir da tua mensagem e tratamos as informações nela contidas da forma acima descrita; o nome e o endereço de e-mail são igualmente guardados de forma encriptada, e as imagens em formato JPEG ou PNG são incluídas como anexos. O fundamento jurídico é o artigo 6.º, n.º 1, alínea f), do RGPD ou, para questões relacionadas com um contrato, o artigo 6.º, n.º 1, alínea b), do RGPD. As respostas a um e-mail de apoio são associadas ao pedido existente através do respetivo número. As mensagens classificadas como spam pelo nosso servidor de correio não originam pedidos; são guardadas temporariamente de forma encriptada, eliminadas automaticamente no prazo máximo de 30 dias e só são tratadas posteriormente se a classificação se revelar incorreta. Os pedidos criados a partir de e-mails também são eliminados seis meses após o encerramento.

4Dados que a aplicação trata no teu dispositivo

Decides que informações registas na OFAC. Dependendo das funcionalidades utilizadas, estas podem incluir:

Planeamento de escalas e turnos Turnos, padrões de turnos e rotações, horários de trabalho e associação a dias do calendário.

Compromissos e registos de calendário Título, descrição, notas, local, data e hora, categorias e cores, momentos dos lembretes.

Tempos de trabalho e registo de tempo Tempos de trabalho e de pausa registados, comparação entre tempo previsto e efetivo, horas extraordinárias e correções de dias individuais.

Informações relativas à remuneração Se utilizares estas funcionalidades: valores por hora, suplementos e regras de bónus, bem como os relatórios calculados a partir desses dados.

Ausências Informações sobre férias, descanso compensatório ou dias de baixa, se as registares.

Definições e ativação País e região escolhidos para o cálculo opcional de feriados, definições de apresentação e de design, idioma, definições de lembretes, estado dos passos de configuração concluídos e estado de ativação das funcionalidades da aplicação guardado localmente.

Nota sobre informações especialmente sensíveis

Os registos de dias de baixa e os textos livres, como «consulta médica», podem constituir dados relativos à saúde na aceção do artigo 9.º do RGPD. Estas informações são tratadas localmente. Se criares uma cópia de segurança, podem fazer parte do conteúdo encriptado; ao exportar ou imprimir, podem ser apresentadas em texto simples. Tem isto em conta ao criar e partilhar cópias de segurança ou ficheiros exportados (ver secção 8).

Importação ICS e dados técnicos de origem

Após uma importação ICS confirmada, a OFAC guarda, além dos registos de calendário selecionados, informações técnicas de origem na base de dados local encriptada. Estas incluem um identificador do processo de importação com data, hora e contadores de resultados, bem como identificadores técnicos de origem e impressões digitais de verificação dos registos importados. Estas informações servem exclusivamente para reconhecer reimportações sem alterações, modificações locais e registos importados anteriormente eliminados no dispositivo. As informações de origem de um registo importado podem permanecer após a sua eliminação local e só são removidas juntamente com os dados locais da aplicação. Fazem parte de uma cópia de segurança da base de dados OFAC.

5Finalidades e fundamentos jurídicos da utilização da aplicação

O tratamento no teu dispositivo destina-se exclusivamente a disponibilizar as funcionalidades da aplicação que solicitaste: planear turnos e compromissos, registar e analisar o tempo de trabalho e lembrar eventos futuros.

Na medida em que o tratamento esteja abrangido pelo âmbito de aplicação do RGPD, baseia-se no artigo 6.º, n.º 1, alínea b), do RGPD (execução do contrato de utilização relativo à disponibilização da aplicação). Se registares voluntariamente informações nos termos do artigo 9.º do RGPD, como dias de baixa, esse registo é efetuado por ti com base no artigo 9.º, n.º 2, alínea a), do RGPD.

Se utilizares a OFAC exclusivamente para fins pessoais, aplica-se geralmente a exceção relativa a atividades pessoais ou domésticas prevista no artigo 2.º, n.º 2, alínea c), do RGPD. Se, pelo contrário, utilizares a aplicação profissionalmente para planear dados de outras pessoas, por exemplo enquanto chefia, és responsável por esse tratamento em matéria de proteção de dados.

6Armazenamento, segurança e prazo de conservação na aplicação

Os teus dados são guardados numa base de dados local, na área de armazenamento protegida e exclusiva da aplicação no teu dispositivo. A OFAC utiliza as seguintes medidas para proteger estes dados:

• Base de dados encriptada: A base de dados é encriptada com AES-256 através do SQLCipher.
• Gestão de chaves: Uma chave no Android Keystore protege a frase-passe da base de dados, guardada separadamente no armazenamento privado da aplicação. A proteção por hardware depende do dispositivo. O prestador não recebe a chave nem a frase-passe.
• Área isolada da aplicação: As outras aplicações não podem aceder a esta área de armazenamento.
• Sem tráfego de rede não encriptado: A aplicação está configurada para que o sistema bloqueie ligações não encriptadas.

Os dados permanecem guardados até os eliminares. Podes fazê-lo de três formas:

• eliminar registos individuais na aplicação;
• repor completamente os dados locais através da função «Eliminar dados locais» nas definições;
• desinstalar a aplicação ou eliminar os seus dados nas definições do Android, em «Aplicações → OFAC → Armazenamento».

A restauração pelo prestador não é possível nem está prevista.

7Permissões e acesso ao dispositivo

A OFAC solicita apenas as permissões estritamente necessárias para a respetiva funcionalidade:

Notificações (POST_NOTIFICATIONS) Necessária para te lembrar de turnos e compromissos. As notificações são geradas inteiramente no teu dispositivo. Não são enviadas através de serviços push. Podes revogar esta permissão a qualquer momento nas definições do Android; nesse caso, deixas de receber lembretes.

Alarmes exatos (USE_EXACT_ALARM, no Android 12 e 12L SCHEDULE_EXACT_ALARM) Necessária para que os lembretes sejam acionados à hora pretendida, sem atrasos. Isto é especialmente relevante para os lembretes de início de turno. Não são transmitidos dados neste processo.

Receção do arranque do sistema (RECEIVE_BOOT_COMPLETED) Após reiniciar o dispositivo, os alarmes agendados perdem-se devido ao funcionamento do sistema. A OFAC utiliza esta permissão exclusivamente para voltar a agendar os lembretes que já ativaste. Não são recolhidos, lidos ou transmitidos dados neste processo.

Seleção de ficheiros para importação, cópia de segurança, exportação e impressão A OFAC utiliza o Storage Access Framework do Android. Para a importação ICS, é lido exclusivamente o ficheiro que selecionares no seletor do sistema. Para cópias de segurança, exportações e impressões, o acesso limita-se ao ficheiro ou pasta que escolheres e apenas no âmbito da operação em causa. Não é solicitada uma permissão geral de acesso ao armazenamento.

A OFAC não solicita acesso à localização, aos contactos, à câmara, ao microfone, ao estado do telefone ou ao calendário do sistema.

Internet (INTERNET) Esta permissão técnica está incluída no manifesto e é concedida sem uma janela de autorização durante a utilização. Permite, em particular, a cópia de segurança no Google Drive que ativares. O adaptador de configuração OFAC preparado não é chamado em produção; não existe um adaptador de versões de feriados. O cálculo dos feriados é efetuado localmente.

8Importação ICS, cópia de segurança local, exportação e impressão

Importação de calendários ICS

A OFAC só lê um ficheiro ICS depois de o selecionares expressamente através do seletor de ficheiros do sistema Android. O ficheiro é lido localmente dentro dos limites de tamanho e segurança implementados, verificado quanto à estrutura e processado como pré-visualização. Os URL externos, anexos ou outros conteúdos referenciados no ficheiro ICS não são carregados nem executados. As informações que não podem ser representadas na OFAC, como participantes, organizador, anexos e determinados campos de texto livre, não são importadas.

Só após a tua confirmação final são escritos na base de dados local encriptada os registos de calendário selecionados e os dados técnicos de origem descritos na secção 4. Se saíres de uma importação ainda não confirmada, a pré-visualização é descartada; o ficheiro de origem selecionado não é guardado na OFAC como cópia permanente. Não é efetuado qualquer envio para a OFAC.

Cópia de segurança local, exportação e impressão

Uma cópia de segurança local da OFAC é criada primeiro no armazenamento privado da aplicação. Ao transferi-la, guardas uma cópia adicional num local à tua escolha. Ambos os ficheiros são encriptados com a tua palavra-passe de cópia de segurança. A palavra-passe de uma cópia de segurança local manual não é guardada permanentemente. Sem essa palavra-passe, não é possível restaurar os dados.

As exportações ICS, CSV e JSON e as impressões não estão protegidas pela encriptação das cópias de segurança OFAC. Podem conter dados pessoais em texto simples. Se escolheres outro serviço como destino de armazenamento ou partilha, esse serviço trata os ficheiros recebidos de acordo com as suas próprias condições.

Os ficheiros guardados externamente não são eliminados ao repor ou desinstalar a OFAC. Elimina as cópias de que já não precisas no respetivo local de armazenamento.

9Cópia de segurança no Google Drive e cópia de segurança do sistema Android

Cópia de segurança opcional no Google Drive. Ligas a tua própria conta Google e concedes, através da Google, permissão para a área privada de dados da aplicação (drive.appdata). Isto não dá à OFAC acesso geral aos teus restantes ficheiros do Drive. Uma cópia de segurança manual é transferida a teu pedido; as cópias automáticas só são executadas após ativação adicional e de acordo com o teu agendamento.

Antes da transferência, a cópia de segurança é encriptada com AES-256-GCM e a tua palavra-passe. O prestador e o mecanismo de transferência do Drive não recebem a chave de desencriptação. A Google trata o contentor encriptado e, em particular, os metadados de conta, ligação e ficheiro, incluindo o tamanho do ficheiro e o momento da cópia de segurança. A encriptação do conteúdo não oculta estes metadados.

Para o Drive, a OFAC pode guardar a palavra-passe da cópia de segurança neste dispositivo, encriptada com uma chave do Android Keystore. Não é transmitida à Google nem ao prestador. A palavra-passe guardada pode ser removida na OFAC; isso desativa as cópias automáticas. Desativar apenas o agendamento não é o mesmo que remover a palavra-passe.

A OFAC mantém uma cópia de segurança atual no Drive. Os objetos de cópias de segurança anteriores só são removidos após o envio bem-sucedido de uma nova cópia. Se interromperes uma operação, podem existir temporariamente vários objetos. Desligar a conta, desativar as cópias automáticas, remover a palavra-passe ou desinstalar a aplicação não elimina automaticamente o ficheiro existente no Drive. Podes eliminar os dados da aplicação OFAC através da gestão de aplicações ligadas no Google Drive; as autorizações de acesso são geridas na tua conta Google.

O serviço Drive é disponibilizado pela Google; para os utilizadores no Espaço Económico Europeu, a Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda, é a entidade identificada como responsável pelo tratamento na política de privacidade da Google. A função de cópia de segurança que solicitaste destina-se à execução do contrato nos termos do artigo 6.º, n.º 1, alínea b), do RGPD, na medida em que o prestador trate dados pessoais neste contexto. O tratamento efetuado pela Google rege-se pela sua própria política de privacidade. Uma autorização de conta no Android não equivale a um consentimento geral para outras finalidades de tratamento.

Cópia de segurança do sistema Android. A cópia de segurança automática do Android e a transferência de dispositivos efetuada pelo sistema estão desativadas para os dados persistentes da OFAC. Isto não impede uma cópia de segurança OFAC no Drive que tenhas ativado. Ao mudar de dispositivo, restauras uma cópia de segurança OFAC com a respetiva palavra-passe.

10Obtenção da aplicação através do Google Play

A OFAC é distribuída através da Google Play Store. Ao transferir e atualizar a aplicação, a Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda, trata dados pessoais sob a sua própria responsabilidade, em particular o identificador da tua conta Google, informações sobre o dispositivo e a instalação e o teu histórico de transferências.

O prestador da aplicação não tem influência sobre este tratamento nem recebe dados pessoais através dele. A Google Play Console apresenta apenas estatísticas agregadas e anonimizadas sobre instalações e falhas, que não permitem identificar pessoas individuais.

Não estão ativas funcionalidades de compra ou de pagamento na aplicação. Por isso, não são recolhidos nem tratados dados de pagamento.

Para mais informações, consulta a política de privacidade da Google: policies.google.com/privacy

11Destinatários e tratamento internacional

Os teus conteúdos de calendário, turnos, tempos e remuneração não são enviados para servidores OFAC. A cópia de segurança opcional no Drive transfere para a Google a cópia encriptada e metadados técnicos. És tu que defines outros destinatários ao exportar, imprimir ou guardar.

A Google também trata dados em servidores distribuídos por todo o mundo. Por esse motivo, não se garante aqui que o tratamento ocorra exclusivamente na UE ou no EEE. A Google descreve os mecanismos de transferência utilizados, incluindo decisões de adequação e cláusulas contratuais-tipo, nos seus quadros jurídicos para a transferência de dados. O âmbito e os fundamentos jurídicos do tratamento efetuado pela Google são explicados na política de privacidade da Google.

A OFAC não utiliza dados para publicidade ou definição de perfis. Os feriados são calculados localmente; não está incluída uma função de férias escolares.

12Acesso a informações no teu equipamento terminal

O armazenamento de informações no teu equipamento terminal e o acesso às mesmas limitam-se, tanto neste site como na aplicação, ao estritamente necessário para disponibilizar as funcionalidades que solicitaste expressamente. Não é necessário consentimento para esse efeito, nos termos do § 25, n.º 2, ponto 2, da lei alemã TDDDG. Em nenhum momento são guardadas ou lidas informações para fins de análise, medição de audiência ou publicidade.

13Os teus direitos

Nos termos do RGPD, tens os seguintes direitos: acesso (artigo 15.º), retificação (artigo 16.º), apagamento (artigo 17.º), limitação do tratamento (artigo 18.º), portabilidade dos dados (artigo 20.º) e oposição (artigo 21.º).

Na prática, isto significa para a aplicação: o prestador não possui uma cópia dos teus conteúdos locais de calendário e de tempo de trabalho. Controlas a sua edição e eliminação na aplicação; as cópias guardadas externamente são eliminadas junto do serviço escolhido. Os teus direitos legais perante o respetivo responsável pelo tratamento mantêm-se. Exerces estes direitos diretamente:

• Acesso e consulta: integralmente através da aplicação no teu dispositivo
• Retificação: editando os registos em causa na aplicação
• Apagamento: pelas vias descritas na secção 6
• Portabilidade dos dados: através das funções de cópia de segurança e exportação da aplicação

Para questões relativas aos dados de acesso ao site, à correspondência por e-mail e a quaisquer dúvidas sobre proteção de dados, podes contactar o prestador através de info@theofac.com.

Em contrapartida, o prestador pode tratar dados pessoais enviados através do sistema de apoio Web. Podes exercer os teus direitos relativos a um pedido de apoio, indicando o número do pedido, através de info@theofac.com. A base de dados local da aplicação é independente e continua inacessível ao prestador.

14Direito de apresentar reclamação a uma autoridade de controlo

Sem prejuízo de outras vias de recurso, tens o direito de apresentar reclamação a uma autoridade de controlo em matéria de proteção de dados, em particular no Estado-Membro da tua residência, do teu local de trabalho ou do local da alegada infração.

A autoridade competente para o prestador é:

Sächsische Datenschutz- und Transparenzbeauftragte (autoridade de proteção de dados e transparência da Saxónia)
Maternistraße 17
01067 Dresden

Morada postal: Postfach 11 01 32, 01330 Dresden
E-mail: post@sdtb.sachsen.de
Site: www.datenschutz.sachsen.de

15Crianças e jovens

A OFAC destina-se a adultos no ativo e não se destina a ser utilizada por crianças. Não são recolhidos intencionalmente dados de crianças.

16Alterações a esta política de privacidade

Esta política de privacidade é atualizada sempre que o site ou as funcionalidades da aplicação sofram alterações relevantes em matéria de proteção de dados, por exemplo com a introdução de contas, sincronização, partilha de calendários, funcionalidades de compra ou relatórios de falhas. A versão em vigor está disponível em https://theofac.com/pt/privacidade/, na página da aplicação na Google Play Store e na aplicação, em «Política de privacidade». A data da última alteração encontra-se no início deste documento.