Não há conta, e o app não mede o que você faz. Abaixo está tudo: o que fica no seu celular, o que pode sair dele, o que o nosso servidor guarda e como excluir esses dados.
O RIPEN é feito por Anton Kozionov — uma pessoa, não uma empresa. “Nós” neste documento significa exatamente essa pessoa. Escreva para hello@ripen.day.
o que fica no seu celular
Sua árvore vive no seu celular. Não há conta nem cadastro, então não sabemos quem você é. O app não mede o que você faz: sem análise de uso, sem relatórios de falhas, sem publicidade, sem identificadores de publicidade e sem rastreadores de terceiros.
Seu pin e sua frase de recuperação nunca saem do seu celular. Os nomes dos seus hábitos e identidades, “depois do quê” e “a que horas” só saem dele dentro da cópia on-line descrita abaixo.
o que pode sair do celular
Cinco coisas. A página pública, uma imagem ou um vídeo, um relatório de problema e ideias e opiniões só saem quando você os ativa ou envia. A cópia on-line é feita sozinha.
Uma página pública da sua árvore, só enquanto “link público” estiver ativado. Ela envia ao nosso servidor a forma da árvore, tudo o que a página precisa para desenhá-la: o número da sua forma, o dia em que a árvore foi plantada e o dia em que cada identidade e cada hábito foram iniciados, quais dias foram marcados ou perdidos, a programação de dias de cada hábito, os dias de pausa e se você pediu um lembrete para o fim de uma pausa, quando nasceram frutos e quando hábitos foram enraizados ou cortados, quando as folhas caídas foram varridas, o último dia em que você abriu o app e o apelido na página, se você digitou um. Nunca os nomes de hábitos ou identidades, “depois do quê”, “a que horas”, o pin ou a frase de recuperação. O link é aleatório, e ele é a única coisa que protege a página: quem tiver o link pode abri-la, ninguém encontra a página sem ele, e os mecanismos de busca não a mostram. Desative o link e a página deixa de existir.
Uma imagem ou um vídeo da sua árvore, quando você compartilha. O app cria o arquivo no seu celular e o passa para o menu de compartilhamento do celular; dali, você decide para onde ele vai, e ele não passa pelo nosso servidor.
A cópia on-line, que serve para levar sua árvore para um novo celular. Ela é feita sozinha, sem opção para desligar, e atualizada depois das suas alterações. Ela contém a árvore inteira, nomes incluídos, mas nunca o pin nem a frase de recuperação. Ela é criptografada no seu celular com uma chave gerada a partir da sua frase de recuperação, e só então enviada ao nosso servidor, junto com um rótulo do celular que a salvou (o tipo de celular e 3 caracteres aleatórios, como “iPhone · 3fa”) e o horário. A frase de recuperação em si nunca é enviada, então a cópia não pode ser lida nem por nós nem por quem a obtiver de nós. Num iPhone com iCloud ativado, ela também vai para o seu iCloud: a Apple a guarda na sua própria conta, e lá o app não a criptografa.
Um relatório de problema, só se você enviar um com “relatar um problema” em “mais”. Ele abre um e-mail para nós com uma tabela que você vê antes de enviar: a versão do app, a versão do sistema, o tamanho da tela e a altura da barra do sistema na parte de baixo dela, o tamanho do texto, o idioma e a região do celular, a idade da árvore, quantas identidades e hábitos ela tem e quantos desses hábitos estão crescendo, o número da sua forma, se o Pro, o “link público”, o som e o “modo estático” estão ativados, e os erros desta sessão — só o tipo, o ponto do código do app em que aconteceram e o horário, nunca o texto deles. Ele não contém nomes de hábitos ou identidades nem a frase de recuperação. O app guarda essa lista de erros só na memória enquanto está aberto, e ela só sai neste e-mail. Como qualquer e-mail, ele nos mostra o endereço de onde você o envia.
Ideias e opiniões, só se você as enviar com “ideias e opiniões” em “mais”: seu texto, o idioma do app, a versão do app, se o celular usa iOS ou Android e seu endereço de e-mail só se você digitá-lo, para que possamos responder. Nada mais vai junto: nem nome, nem a árvore, nem nomes de hábitos ou identidades.
lembretes
Os lembretes são agendados pelo próprio celular e nunca saem dele: nenhum servidor nosso os envia. Quando há um pin definido, a notificação não mostra o nome do hábito; ela diz “Está na hora de um dos seus hábitos.”
compras
As compras passam pela App Store ou pelo Google Play. A loja informa ao app que algo foi comprado; seu nome, cartão e endereço ficam com a loja e nunca chegam até nós. As compras pertencem à sua conta da loja, não à árvore: elas continuam quando você apaga a árvore, e num novo celular, na MESMA loja, “restaurar compras” em “mais” as traz de volta. Uma compra feita na App Store não volta no Google Play, nem o contrário.
o site
A página inicial de ripen.day, a árvore de demonstração e as páginas públicas das árvores vêm do nosso próprio site, fontes incluídas: nenhuma página carrega nada do Google nem de outro servidor externo. Este site não usa cookies e não tem script de análise em nenhuma página.
O app traz as fontes dentro dele e não carrega nenhuma de fora.
o que o nosso servidor guarda
Cinco tipos de registro, e nada mais.
A forma de uma árvore publicada, sob o link dela: a lista acima, e uma imagem dessa mesma árvore, mostrada como pré-visualização quando o link é compartilhado. Seu telefone desenha essa imagem e marca nela o dia em que a desenhou, para que uma pré-visualização antiga tenha data e não seja falsa. Ambas só ficam lá enquanto “link público” estiver ativado. Desativar o link ou apagar a árvore exclui as duas.
A cópia on-line, de cada celular: o bloco criptografado, o rótulo do celular, o horário em que foi salva e um número de versão. Ela fica guardada sob um endereço calculado no seu celular a partir da sua frase de recuperação, até você apagar a árvore. Nós não conseguimos lê-la.
Um registro para cada link que já foi ativado: a parte aleatória do link, um salt aleatório e um hash calculado a partir da sua frase de recuperação. Ele prova a qual árvore o link pertence, para que ninguém mais possa pegá-lo. Ele fica mesmo depois que a página deixa de existir; veja abaixo.
As ideias e opiniões que você enviou: o texto, o idioma do app, a versão do app, iOS ou Android, o horário em que chegaram e, se você o digitou, seu endereço de e-mail. Usamos esse endereço só para responder a essa mensagem. Uma mensagem sem ele não aponta para ninguém, então não conseguimos respondê-la nem saber quem a enviou.
Um endereço na lista de lançamento, se você o deixar no nosso site: o endereço e o dia em que chegou, e nada mais. Ele serve para uma única mensagem — no dia em que o RIPEN estiver nas lojas — e assim que ela sai, a lista inteira é apagada. Escreva antes e o seu sai mais cedo.
Nosso site e nosso servidor funcionam na Cloudflare, então cada requisição, com o endereço IP de onde vem, passa pela Cloudflare. O código do nosso servidor não guarda nenhum endereço IP e não registra quem abriu uma página ou salvou uma cópia.
crianças
O RIPEN não é direcionado a crianças. Ele não pede a ninguém, seja qual for a idade, o nome verdadeiro, a idade ou a localização. Ele pede um endereço de e-mail em dois lugares, e nos dois é opcional: “ideias e opiniões” no app e a lista de lançamento no nosso site.
excluir seus dados
Não há conta aqui, então não há conta para excluir. É você quem exclui sua árvore, a cópia on-line e a página pública dela, dentro do app, assim que seu celular conseguir se conectar ao nosso servidor. Só ideias e opiniões são excluídas a pedido, como descrito abaixo.
Desative “link público” (em “mais”, ou com “link” em “árvore”) e a página pública deixa de existir: aquele link nunca mais funciona, e ativá-lo depois gera um link novo. Sem conexão, a página continua no ar até você tentar de novo.
“apagar a árvore”, no fim de “mais”, apaga a árvore do seu celular para sempre. No mesmo instante, exclui a cópia on-line, do nosso servidor e do seu iCloud, e tira a página pública do ar. Para falar com o nosso servidor é preciso estar on-line: sem conexão, o app não apaga nada e avisa você, porque, depois que a frase de recuperação some, ninguém mais conseguiria remover o que ficou lá. Aí você pode se conectar e tentar de novo, ou escolher “apagar mesmo”. Seu pin e suas compras continuam.
Desinstalar o app não basta. Isso tira a árvore do seu celular, mas a cópia on-line, no nosso servidor e no seu iCloud, e a página pública continuam onde estão. Use “apagar a árvore” antes.
Uma coisa fica, de propósito: o registro de cada link descrito acima, com um salt aleatório e um hash calculado a partir da sua frase de recuperação. É isso que impede outra pessoa de pegar esse link depois que você o deixa. Ele não contém nomes, nem dias, nem a frase de recuperação, e nada pode ser recuperado a partir dele.
Você também pode pedir a nós. Mande um e-mail para hello@ripen.day, de qualquer endereço, e diga o que quer que seja excluído. Respondemos em até 24 horas. Podemos excluir uma página pública se você mandar o link dela, mas, enquanto “link público” estiver ativado no app, a página volta com a sua próxima alteração; então desative-o também. Não conseguimos encontrar à mão uma cópia on-line no nosso servidor: ela fica guardada sob um endereço calculado a partir da sua frase de recuperação, que nunca vemos. Para excluí-la, use “apagar a árvore”.
Ideias e opiniões não podem ser excluídas dentro do app. Se você as enviou com seu endereço de e-mail, mande um e-mail para hello@ripen.day desse mesmo endereço, e excluímos todas as mensagens que o tenham. Uma mensagem enviada sem endereço não aponta para ninguém, então não conseguimos saber qual é a sua.
alterações
Esta política é a mesma no app, em “privacidade” dentro de “mais”, e em ripen.day/privacy. Quando ela muda, a data no topo da página na web muda também.