Ao usar o KasLens, você também aceita nossos Termos de serviço, que incluem avisos importantes, alertas de risco e limitações de responsabilidade.
Política de privacidade
1. Controlador e informações de contato
O controlador, no sentido do Art. 4 para. 7 GDPR, é:
Marcel Sangals
Am Knill 152
22147 Hamburg
Alemanha
E-mail: [email protected]
Esta política de privacidade se aplica ao site kaspa-lens.com ("Site"), ao aplicativo móvel KasLens ("App") e a todos os serviços relacionados (em conjunto, os "Serviços"). Ela informa você sobre a natureza, o escopo e a finalidade da coleta e do uso de dados pessoais, em conformidade com o Regulamento Geral sobre a Proteção de Dados (GDPR), a lei alemã Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TTDSG) e a Telemediengesetz (TMG).
2. Visão geral do tratamento de dados
Tratamos dados pessoais apenas na medida necessária para prestar os Serviços. Veja a seguir um resumo das categorias de dados que tratamos:
Sem conta de usuário (visitantes anônimos):
- Dados técnicos necessários para a disponibilização do site (endereço IP, tipo de navegador, informações do dispositivo)
- Um identificador pseudônimo do navegador para fins funcionais (ver seção 5.1)
- Preferências do usuário (moeda, tema, idioma) salvas em um cookie no seu dispositivo
- Dados de análise (apenas com seu consentimento explícito, ver seção 6)
Com conta de usuário (usuários cadastrados):
- Endereço de e-mail (obrigatório para o cadastro)
- Senha (armazenada como hash criptográfico unidirecional; não conseguimos ler sua senha)
- Nome de exibição (opcional)
- Provedores de autenticação vinculados (por exemplo, o e-mail da conta Google, se você optar por vincular uma)
Não coletamos:
- Dados de localização precisa (coordenadas GPS)
- Informações de pagamento ou financeiras
- Dados biométricos
- Dados sobre suas posições ou transações de criptomoedas
3. Contas de usuário: cadastro e autenticação
3.1. Cadastro
Quando você cria uma conta KasLens, coletamos:
- Endereço de e-mail, usado para login, verificação de e-mail, recuperação de senha e comunicações essenciais do serviço
- Senha, armazenada exclusivamente como hash BCrypt; a senha em texto simples nunca é armazenada nem gravada em logs
- Nome de exibição (opcional), um nome mostrado na interface
Base legal: Art. 6 para. 1 lit. b GDPR (execução de um contrato / prestação do serviço que você solicitou).
3.2. Verificação do e-mail
Após o cadastro, enviamos um e-mail de verificação para confirmar a titularidade do endereço de e-mail. O token de verificação expira após 24 horas e é excluído após o uso.
3.3. Recuperação de senha
Se você solicitar a redefinição de senha, enviamos um link de redefinição para o endereço de e-mail cadastrado. O token de redefinição expira após 1 hora e é excluído após o uso. Por segurança, o sistema responde da mesma forma, quer o endereço de e-mail exista ou não em nosso banco de dados (sem enumeração de e-mails).
3.4. Autenticação e sessões
Usamos o fluxo Authorization Code do OAuth 2.0 com PKCE para a autenticação. Após um login bem-sucedido:
- É emitido um token de acesso JSON Web Token (JWT) (validade de 5 minutos) para a autenticação da API
- É emitido um token de atualização opaco (validade de 30 dias) para a continuidade da sessão
Ambos os tokens são armazenados em cookies httpOnly (ver seção 5.2) e não podem ser lidos por JavaScript na página. Os tokens são renovados a cada atualização.
Base legal: Art. 6 para. 1 lit. b GDPR (execução do contrato: a autenticação é essencial para prestar o serviço baseado em conta).
3.5. E-mails transacionais
Enviamos os seguintes e-mails transacionais:
| Finalidade | Gatilho | |
|---|---|---|
| Verificação de e-mail | Confirmar a titularidade do e-mail | Cadastro da conta |
| Redefinição de senha | Fornecer um link de redefinição seguro | Solicitação de recuperação de senha |
| Boas-vindas | Confirmar a configuração com sucesso | Verificação do e-mail concluída |
Os e-mails são enviados de [email protected] por meio do serviço SMTP Resend (ver seção 7.3). Não enviamos e-mails de marketing nem newsletters.
4. Retenção e exclusão de dados
| Categoria de dados | Período de retenção | Base |
|---|---|---|
| Dados da conta de usuário | Até a exclusão da conta | Art. 6(1)(b) |
| Tokens de verificação de e-mail | 24 horas (exclusão automática) | Art. 6(1)(b) |
| Tokens de redefinição de senha | 1 hora (exclusão automática) | Art. 6(1)(b) |
| Registros de autorização OAuth2 | Até a exclusão da conta ou a expiração do token | Art. 6(1)(b) |
| Dados de análise (Google Analytics) | 14 meses | Art. 6(1)(a) |
| Dados de monitoramento de erros (Sentry) | 90 dias | Art. 6(1)(f) |
| Logs de acesso ao servidor | 30 dias | Art. 6(1)(f) |
| Cookie de preferências | 365 dias | Art. 6(1)(f) |
| Cookie de consentimento | 180 dias | § 25 TTDSG |
4.1. Exclusão da conta (direito ao apagamento, Art. 17 GDPR)
Você pode excluir permanentemente sua conta a qualquer momento na página Conta do aplicativo. A exclusão da conta é imediata e irreversível. Os seguintes dados são apagados:
- Tokens de verificação de e-mail
- Tokens de redefinição de senha
- Contas de autenticação vinculadas (por exemplo, Google)
- Autorizações OAuth2 e concessões de consentimento
- A própria conta de usuário (e-mail, hash da senha, nome de exibição, URL do avatar)
Após a exclusão, nenhum dado pessoal associado à sua conta permanece em nossos sistemas.
4.2. Exportação de dados (direito de acesso e portabilidade dos dados, Art. 15/20 GDPR)
Você pode baixar uma exportação legível por máquina (JSON) de todos os dados pessoais que armazenamos sobre você na página Conta. A exportação inclui:
- Informações da conta (e-mail, nome de exibição, status de verificação, funções, registros de data e hora)
- Provedores de autenticação vinculados (nome do provedor, e-mail do provedor, data da vinculação)
Dados internos sensíveis (hashes de senhas, valores de tokens) são excluídos da exportação por motivos de segurança.
5. Cookies e tecnologias semelhantes
Nosso site usa cookies para disponibilizar funcionalidades essenciais e, com seu consentimento, análises. Classificamos os cookies em duas categorias:
5.1. Cookies estritamente necessários (sem consentimento)
Estes cookies são essenciais para o funcionamento do site. Eles não podem ser desativados sem comprometer a funcionalidade principal. A base legal destes cookies é o § 25 para. 2 no. 2 TTDSG (estritamente necessários), em conjunto com o Art. 6 para. 1 lit. b/f GDPR.
| Cookie | Finalidade | httpOnly | Duração |
|---|---|---|---|
kaslens-uai | Identificador anônimo do navegador (UUID aleatório) para fins funcionais, como limitação de taxa e correlação de sessão no diagnóstico de erros no servidor. Não contém informações pessoais e não é usado para rastreamento nem para criação de perfis. | Sim | 365 dias |
kaslens-prefs | Preferências do usuário (moeda, tema, idioma, mercado). Garante que o site seja exibido corretamente no primeiro carregamento. | Não | 365 dias |
kaslens-consent | Registra sua escolha de consentimento de cookies para que ela não seja solicitada repetidamente. | Não | 180 dias |
kaslens-access-token | Token de autenticação JWT para usuários conectados. | Sim | ~5 minutos |
kaslens-refresh-token | Token de atualização da sessão para usuários conectados. | Sim | 30 dias |
JSESSIONID | Cookie de sessão do servidor, usado brevemente durante o fluxo de login OAuth2. | Sim | Sessão |
Os cookies kaslens-access-token e kaslens-refresh-token só são definidos quando você está conectado. O cookie JSESSIONID só é definido durante o processo de login e é removido após a conclusão.
5.2. Cookies de análise (consentimento necessário)
Estes cookies só são definidos depois que você dá consentimento explícito por meio do nosso banner de consentimento de cookies. Consulte a seção 6 para mais detalhes.
| Cookie | Finalidade | Duração |
|---|---|---|
_ga | Identificador de cliente do Google Analytics | 2 anos |
_ga_<container-id> | Estado da sessão do Google Analytics | 2 anos |
_gid | Distinção de usuários do Google Analytics por 24 horas | 24 horas |
Se você não consentir com os cookies de análise, nenhum script de análise é carregado e nenhum dado de análise é coletado.
6. Google Analytics (GA4) {#google-analytics}
Se você tiver dado seu consentimento, nosso site e os aplicativos móveis usam o Firebase Analytics, que é o Google Analytics 4 integrado por meio da plataforma Firebase. O Firebase Analytics é um serviço de análise web e de aplicativos prestado pela Google LLC. O controlador para usuários na UE/EEE e na Suíça é a Google Ireland Limited, Google Building Gordon House, 4 Barrow St, Dublin, D04 E5W5, Irlanda ("Google").
Análise unificada: Usamos o Firebase Analytics (Google Analytics 4) da mesma forma no site e nos aplicativos móveis. As mesmas proteções de privacidade, contratos de tratamento de dados e direitos dos usuários se aplicam independentemente da plataforma que você usar para acessar os serviços.
Implementação técnica: O Firebase Analytics usa a biblioteca gtag.js, que é tecnicamente servida a partir da infraestrutura do Google Tag Manager (googletagmanager.com). Trata-se de um detalhe de implementação técnica: não usamos o Google Tag Manager como sistema de gerenciamento de tags. Todo o tratamento de dados e todas as proteções de privacidade descritos nesta seção se aplicam independentemente desse detalhe técnico.
Natureza e finalidade do tratamento
O Google Analytics 4 usa cookies (no site) e tecnologias de rastreamento semelhantes (no aplicativo móvel) que permitem analisar seu uso dos nossos serviços. As informações coletadas por meio dessas tecnologias sobre seu uso do site e do aplicativo são, em regra, transferidas para um servidor do Google nos EUA e lá armazenadas.
Anonimização de IP: O Google Analytics 4 tem a anonimização de IP ativada por padrão. Devido à anonimização de IP, seu endereço IP é encurtado pelo Google nos Estados-Membros da União Europeia ou em outros Estados signatários do Acordo sobre o Espaço Econômico Europeu. Somente em casos excepcionais o endereço IP completo é transferido para um servidor do Google nos EUA e encurtado lá. Segundo o Google, o endereço IP transmitido pelo seu navegador ou aplicativo no âmbito do Google Analytics não é combinado com outros dados do Google.
Dados coletados
Durante a visita, os seguintes dados podem ser registrados:
- Visualizações de página / visualizações de tela
- Primeira visita / primeira abertura do aplicativo
- Inícios e duração da sessão
- Páginas visitadas / telas visualizadas
- Caminho de cliques e interações
- Profundidade de rolagem (limite de 90%)
- Cliques em links externos
- Pesquisas internas
- Sua localização aproximada (região)
- Data e hora da visita
- Seu endereço IP (forma encurtada)
- Informações técnicas sobre o navegador e o dispositivo (idioma, resolução da tela)
- Seu provedor de acesso à internet
- O URL de referência
Finalidades do tratamento de dados
Em nome do operador, o Google usará essas informações para avaliar seu uso pseudonimizado do site e do aplicativo e para elaborar relatórios sobre a atividade do site e do aplicativo.
Base legal
A base legal deste tratamento de dados é o seu consentimento, nos termos do Art. 6 para. 1 p. 1 lit. a GDPR e do § 25 para. 1 p. 1 TTDSG.
Destinatários
Os destinatários dos dados são ou podem ser:
- Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda (como processador nos termos do Art. 28 GDPR)
- Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, EUA
- Alphabet Inc, 1600 Amphitheatre Parkway, Mountain View, CA 94043, EUA
Transferência para países terceiros
Para os EUA, a Comissão Europeia adotou uma decisão de adequação em 10 de julho de 2023. A Google LLC é certificada pelo EU-US Data Privacy Framework. Como os servidores do Google estão distribuídos pelo mundo todo e não é possível excluir completamente uma transferência para países terceiros, também firmamos as cláusulas contratuais padrão da UE com o fornecedor.
Firmamos um contrato de tratamento de dados (Auftragsverarbeitungsvertrag, AV-Vertrag) com a Google Ireland Limited, em conformidade com o Art. 28 GDPR.
Período de retenção
Os dados vinculados a cookies (site) ou a identificadores semelhantes (aplicativo) são excluídos automaticamente após 14 meses. A duração máxima dos cookies do Google Analytics é de 2 anos. A exclusão dos dados cujo período de retenção foi atingido ocorre automaticamente uma vez por mês.
Revogação do consentimento
Você pode revogar seu consentimento a qualquer momento:
Site: Acesse as configurações de cookies pela ferramenta de consentimento de cookies no rodapé do site ou pelo banner de consentimento.
Aplicativo móvel: Revogue o consentimento nas configurações do aplicativo, onde você pode desativar o rastreamento de análise.
Você também pode impedir a coleta de dados pelo Google Analytics:
- Não dando seu consentimento para a definição do cookie
- Baixando o complemento do navegador para desativar o Google Analytics aqui
Para mais informações, consulte os Termos de uso do Google Analytics e a Política de privacidade do Google.
Medidas técnicas adicionais
- Anonimização de IP em servidores da UE: os endereços IP são anonimizados em servidores da UE antes de qualquer transferência de dados para os Estados Unidos
- Modo de consentimento: nossa ferramenta de consentimento usa o Consent Mode v2 do Google para garantir que nenhum dado seja coletado antes de o consentimento ser dado
- Exclusão automática de dados: os dados de usuários e de eventos são excluídos automaticamente após 14 meses
- Contrato de tratamento de dados: temos um contrato de tratamento de dados juridicamente vinculante com o Google que assegura o cumprimento dos requisitos do GDPR
7. Prestadores de serviços terceiros (processadores)
Usamos os seguintes prestadores de serviços terceiros para operar os Serviços. Cada prestador trata dados em nosso nome e está vinculado por um contrato de tratamento de dados (Art. 28 GDPR) ou por garantias contratuais equivalentes.
7.1. Hospedagem: Netcup GmbH
Nossa infraestrutura de servidores é hospedada pela Netcup GmbH, Daimlerstr. 25, 76185 Karlsruhe, Alemanha. Todos os servidores estão localizados na Alemanha. Os logs de acesso ao servidor (endereço IP, caminho da requisição, registro de data e hora) são mantidos por 30 dias para fins de segurança e de depuração.
Base legal: Art. 6 para. 1 lit. f GDPR (interesse legítimo em uma hospedagem segura e confiável).
7.2. Monitoramento de erros: Sentry
Usamos o Sentry (Functional Software, Inc.) para o monitoramento de erros e o rastreamento de desempenho no servidor. Nossa instância do Sentry usa a região de dados da UE (ingest.de.sentry.io), o que significa que todos os dados de erros são armazenados na União Europeia.
Dados tratados:
- Stack traces e mensagens de erro quando ocorre um erro do aplicativo
- Metadados da requisição (caminho do URL, método HTTP, status da resposta)
- Endereço IP (incluído no contexto de erro no servidor)
- Identificador pseudônimo do navegador (o valor do cookie
kaslens-uai)
O Sentry é usado apenas no servidor: nenhum SDK do Sentry é enviado para seu navegador nem executado nele. Os dados de erros são excluídos automaticamente após 90 dias.
Base legal: Art. 6 para. 1 lit. f GDPR (interesse legítimo em identificar e corrigir erros de software para manter a qualidade do serviço).
7.3. Entrega de e-mail: Resend
Usamos o Resend (Resend, Inc.) como serviço de retransmissão SMTP para entregar e-mails transacionais (verificação de e-mail, redefinição de senha, e-mail de boas-vindas).
Dados tratados:
- Endereço de e-mail do destinatário
- Conteúdo do e-mail (links de verificação/redefinição, nome de exibição)
O Resend trata os dados de e-mail exclusivamente para fins de entrega e não os usa para marketing nem para criação de perfis. Os servidores do Resend estão localizados nos EUA. A transferência é coberta pelo EU-US Data Privacy Framework.
Base legal: Art. 6 para. 1 lit. b GDPR (execução do contrato: a entrega de e-mail é necessária para disponibilizar o cadastro e a recuperação de senha que você solicitou).
7.4. Notificações push: Firebase Cloud Messaging (apenas no aplicativo móvel)
Nosso aplicativo móvel usa o Firebase Cloud Messaging (FCM) do Google para enviar notificações push. É gerado um token de dispositivo anônimo para entregar mensagens no seu dispositivo. Esse token não contém identificadores pessoais e não é usado para rastreamento nem para criação de perfis.
Dados tratados:
- Token de dispositivo FCM anônimo
- Conteúdo da notificação (títulos, corpo das mensagens)
- Inscrições em tópicos (por exemplo, alertas de preço, notícias)
Base legal: Art. 6 para. 1 lit. a GDPR (consentimento: você precisa permitir explicitamente as notificações push no seu dispositivo).
Você pode consultar as políticas de privacidade dos serviços Firebase:
8. Links externos
Nosso site pode conter links para plataformas de terceiros, como o YouTube. Quando você clica em um desses links, é redirecionado para um site externo. Esses terceiros podem coletar dados pessoais, como seu endereço IP, ou acompanhar sua atividade por meio de cookies, especialmente se você estiver conectado aos respectivos serviços.
Não temos influência sobre as práticas de tratamento de dados dessas plataformas externas. Consulte as respectivas políticas de privacidade:
8.1. Links de afiliados
Nosso site e os aplicativos móveis podem conter links de afiliados. Os links de afiliados nos permitem receber uma comissão se você fizer uma compra ou realizar uma ação específica depois de clicar neles. Isso não afeta o preço que você paga.
Identificação: Os links de afiliados são indicados com avisos de divulgação (por exemplo, "Link de afiliado" ou "Publicidade"), parâmetros especiais de link ou declarações de divulgação no conteúdo.
Tratamento de dados: Quando você clica em um link de afiliado, o parceiro de afiliação pode receber informações de referência (por exemplo, que você veio do nosso site) e pode definir cookies para acompanhar sua visita. Não temos acesso nem controle sobre os dados que os parceiros de afiliação coletam. O parceiro de afiliação é o único responsável pelo seu próprio tratamento de dados.
Base legal: Art. 6 para. 1 lit. f GDPR (interesse legítimo em gerar receita para sustentar o serviço gratuito).
Você tem o direito de se opor a esse tratamento a qualquer momento. Clicar em links de afiliados é inteiramente voluntário.
9. Segurança dos dados
Implementamos medidas técnicas e organizacionais adequadas para proteger seus dados pessoais contra acesso não autorizado, perda ou alteração (Art. 32 GDPR), incluindo:
- Criptografia em trânsito: toda a comunicação entre seu navegador e nossos servidores é criptografada com TLS (HTTPS). O HTTP Strict Transport Security (HSTS) é aplicado.
- Hash de senhas: as senhas são armazenadas com BCrypt, um algoritmo de hash unidirecional. Não conseguimos recuperar nem ler sua senha.
- Cookies httpOnly: os tokens de autenticação são armazenados em cookies httpOnly que não podem ser acessados por JavaScript, protegendo contra ataques de cross-site scripting (XSS).
- Rotação de tokens: os tokens de atualização são renovados a cada uso, limitando o impacto de um token comprometido.
- PKCE: o fluxo de autenticação OAuth2 usa Proof Key for Code Exchange (PKCE) para impedir a interceptação do código de autorização.
10. Seus direitos nos termos do GDPR
Nos termos do Regulamento Geral sobre a Proteção de Dados (GDPR), você tem os seguintes direitos:
- Direito de acesso (Art. 15 GDPR): você pode obter a confirmação de que dados pessoais que lhe dizem respeito estão ou não sendo tratados e acessar esses dados. Também pode baixar uma exportação legível por máquina na página Conta do aplicativo.
- Direito de retificação (Art. 16 GDPR): você pode corrigir dados pessoais inexatos (por exemplo, atualizar o nome de exibição na página Conta).
- Direito ao apagamento (Art. 17 GDPR): você pode excluir sua conta e todos os dados associados a qualquer momento na página Conta. Ver seção 4.1.
- Direito à limitação do tratamento (Art. 18 GDPR): você pode solicitar a limitação do tratamento dos seus dados pessoais em determinadas circunstâncias.
- Direito de portabilidade dos dados (Art. 20 GDPR): você pode receber seus dados pessoais em um formato estruturado, de uso comum e legível por máquina (JSON). Ver seção 4.2.
- Direito de oposição (Art. 21 GDPR): você pode se opor ao tratamento dos seus dados pessoais baseado em interesses legítimos. Em particular, pode revogar o consentimento de análise a qualquer momento (ver seção 6).
- Direito de revogar o consentimento (Art. 7 GDPR): quando o tratamento se baseia no seu consentimento, você pode revogá-lo a qualquer momento. Isso não afeta a licitude do tratamento anterior à revogação.
- Direito de apresentar reclamação (Art. 77 GDPR): você pode apresentar uma reclamação a uma autoridade supervisora. Na Alemanha, a autoridade competente para Hamburgo é a Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), sendo o Comissário Federal para a Proteção de Dados (BfDI) um contato alternativo.
Exercício dos seus direitos: Para exercer qualquer desses direitos, entre em contato conosco pelo e-mail [email protected]. Responderemos no prazo de um mês (Art. 12 para. 3 GDPR). A exclusão da conta e a exportação de dados estão disponíveis como funcionalidades de autoatendimento no aplicativo.
11. Transferências para países terceiros
Alguns dos nossos prestadores de serviços estão localizados fora do Espaço Econômico Europeu (EEE). Garantimos que existam salvaguardas adequadas para qualquer transferência desse tipo:
| Prestador | País | Garantia |
|---|---|---|
| Google (Analytics, FCM) | EUA | EU-US Data Privacy Framework + cláusulas contratuais padrão |
| Resend (e-mail) | EUA | EU-US Data Privacy Framework |
| Sentry (monitoramento de erros) | UE (de.sentry.io) | Sem transferência para país terceiro (região de dados da UE) |
12. Fornecimento de dados pessoais
O fornecimento do seu endereço de e-mail e da sua senha é necessário para criar uma conta de usuário. Sem esses dados, não podemos prestar o serviço baseado em conta. Você pode usar o site sem criar uma conta; nesse caso, apenas são tratados os dados descritos na seção 2 ("Sem conta de usuário").
Todo o restante tratamento de dados, incluindo análises (seção 6) e notificações push (seção 7.4), é opcional e se baseia no seu consentimento explícito.
13. Decisões automatizadas
Não realizamos decisões automatizadas nem criação de perfis no sentido do Art. 22 GDPR. Nenhuma decisão com efeitos jurídicos ou efeitos significativos semelhantes é tomada exclusivamente com base no tratamento automatizado dos seus dados pessoais.
14. Idade mínima
Os Serviços não se destinam a pessoas com menos de 16 anos. Não coletamos intencionalmente dados pessoais de crianças com menos de 16 anos. Se tomarmos conhecimento de que coletamos dados pessoais de uma criança com menos de 16 anos sem o consentimento dos pais, excluiremos esses dados imediatamente.
15. Alterações nesta política de privacidade
Podemos atualizar esta política de privacidade periodicamente. As alterações serão publicadas nesta página com uma data de "Última atualização" atualizada. Recomendamos que você revise esta página periodicamente.
16. Contato
Se você tiver dúvidas sobre esta política de privacidade ou quiser exercer seus direitos, entre em contato conosco:
Marcel Sangals
Am Knill 152
22147 Hamburg
Alemanha
E-mail: [email protected]