Política de privacidade

Esta declaração descreve quais dados pessoais o tellmelo trata, para quê, com qual base legal, para quem eles vão e por quanto tempo ficam guardados; as funções citadas são exemplos. A base legal aparece entre parênteses; antes de uma enumeração ou no fim do primeiro parágrafo, ela vale para a seção inteira, salvo indicação em contrário.

Novidades desta versão

Um resumo curto; o que vale é o texto abaixo.

• Duelo de feeds: um jogo de adivinhação com publicações públicas, sozinho ou a dois, com pontuação mensal, ranking e prêmios; durante uma partida, seus outros dispositivos ficam bloqueados; você tira suas publicações e a si mesmo com botões (Duelo de feeds).
• Grupos com canais: canais de chat, papéis, links de convite, um canal do feed, desativado por enquanto, e silenciar, expulsar e banir por parte do grupo; o que é guardado e quem vê está em Grupos.
• Silenciar canais: canais de chat podem ser silenciados só para você, por algumas horas ou até segunda ordem (Grupos).
• Chamadas: chamadas de voz e vídeo com compartilhamento de tela, diretamente entre os aparelhos e com criptografia de ponta a ponta, por enquanto com acesso antecipado; nada é gravado, só a entrada no chat é guardada (em Publicações, respostas e mensagens).
• Canais de voz: nos grupos liberados, falar, câmera e tela pelo próprio servidor de mídia; nada é gravado nem guardado (em Grupos).
• Bots: membros podem criar bots que os grupos aceitam com o seu consentimento; um bot lê o que pode ver no grupo (em Grupos).
• Faíscas para grupos: em vez de níveis, a liderança de um grupo ativa vantagens com as suas faíscas; guarda-se quais e desde quando (em Recompensas, ritmo de fidelidade e faíscas).
• Organizar páginas, widgets e galeria: no computador você organiza as páginas e adiciona widgets; pode enviar seus próprios widgets e designs para a galeria, que a equipe revisa (Organizar páginas, widgets e galeria).
• Área de desenvolvedores e widgets simples: chaves de API, bots, apps e webhooks ficam na área de desenvolvedores, várias chaves de API com nome e último dia, cada alteração confirmada com sua senha e, se for o caso, um código; a equipe verifica alterações de apps aprovados (Ferramentas para organizações, parceiros e desenvolvedores, Entrar em outros sites). Novos widgets simples, entre eles hábitos e humor só para você (Organizar páginas, widgets e galeria).
• Designs para o app inteiro, desenho e avaliações: um design agora abrange o app inteiro, você pode desenhar nas páginas, e widgets, designs e bots podem ser avaliados e resenhados (Organizar páginas, widgets e galeria).
• Pequena correção: Os botões do post da semana e do Programa Descoberto ficam em Configurações → Participar.

Visão geral

Controlador

Não foi nomeado um encarregado de proteção de dados; os requisitos do § 38 BDSG não estão preenchidos.

O essencial

• Sem publicidade, sem venda, sem rastreamento: nenhuma análise para publicidade, nenhuma ferramenta de análise nem pixel de rastreamento; os dados só vão para os destinatários indicados.
• Servidor na Alemanha, operado pelo responsável; tradução, detecção de idioma, imagens, vídeos e a verificação de links rodam lá.
• Fornecedores externos só quando você precisa deles: nenhum ao carregar as páginas; serviços de login e de pagamento só se você os escolher; serviços de push só com push; o Discord só com o app para desktop.
• Você decide: os temas aprendidos, o perfil público e a visibilidade em buscadores podem ser desativados; para o Programa Descoberto, o push, o resumo por e-mail e o seu lugar, você é consultado antes.

A versão em alemão é a que vale. As traduções desta declaração e dos outros textos jurídicos são auxílios de leitura.

Quando você visita

Servidor, segurança e ícones

Para o funcionamento e a segurança (Art. 6(1)(f) GDPR: um serviço seguro, lícito e com apresentação uniforme):

• Registros do servidor: endereço IP, horário, endereço acessado, volume de dados, identificação do navegador e idioma, para o funcionamento e a defesa contra ataques, por no máximo 14 dias; não são registrados o cookie de sessão, as consultas periódicas de membros conectados nem os arquivos de programa que não mudam.
• Contadores contra solicitações em massa: quantas vezes um login ou um endereço IP faz algo, sem conta apenas sob uma impressão irreversível; eles expiram em no máximo dois dias, a maioria depois de um minuto a uma hora.
• Proteção contra ataques (também Art. 32 GDPR): solicitações que só atacantes fazem (endereços-armadilha, busca por arquivos alheios, código malicioso em endereços, tentativas fracassadas repetidas no login ou em áreas da equipe) o tellmelo guarda por 30 dias, com uma impressão irreversível do endereço IP, o endereço IP sem a última parte, o tipo de incidente, o caminho sem termos de busca e o horário. Em caso de repetição, o endereço é bloqueado por 15 minutos, um dia ou 30 dias. As impressões dos endereços dos quais membros da equipe fazem login ou usam o seu login ficam guardadas por 30 dias, para que eles nunca sejam bloqueados; se a administração estiver fechada durante um ataque, só a abrem os endereços dos quais membros da equipe fizeram login.
• Conexões externas ao banco de dados o tellmelo informa à equipe, apenas com o nome do programa e o endereço abreviado, sem salvá-las.
• GIFs e vídeos incorporados: se outro site mostra um GIF ou vídeo do tellmelo, o navegador dos visitantes dele o carrega deste servidor, com registro do servidor; contra sobrecarga, o servidor conta os acessos por um minuto na memória de trabalho, sob uma impressão irreversível do endereço IP. O player não define cookies; pela incorporação, o responsável é o outro site.
• Verificação de país: o servidor identifica o país de uma solicitação a partir do endereço IP com a lista de países da DB-IP (db-ip.com, CC BY 4.0), que ele mesmo baixa, sem salvá-lo nem vinculá-lo à sua conta. A partir de Estados cujas leis sobre redes sociais o tellmelo não consegue cumprir, só aparece um aviso; os textos jurídicos e o formulário de contato continuam acessíveis. A interface para programas (a API com chaves, o seletor de mídia e as incorporações para outros sites, “Entrar com tellmelo” para os servidores de outros sites) continua acessível de todos os países.

Cookies e armazenamento no dispositivo

O tellmelo só guarda entradas próprias no seu dispositivo. Quais estão lá agora aparece no botão do escudo na parte de baixo e, depois do login no celular, em Configurações → Aparência e app → O que está no seu dispositivo.

Não há banner de consentimento: tudo, exceto o script de push, dispensa consentimento, porque você o escolhe ou o serviço precisa disso (§ 25(2) nº 2 TDDDG; para o login e “Ler offline”, também Art. 6(1)(b) GDPR). Para o push, você é consultado expressamente ao ativar (§ 25(1) TDDDG, Art. 6(1)(a) GDPR, push).

Idioma e tradução

O tellmelo está disponível em catorze idiomas. Vale a escolha na conta; senão, o cookie tellmelo-language; senão, o cabeçalho Accept-Language do navegador, que é apenas lido; senão, o inglês (Art. 6(1)(b) GDPR; sem escolha própria, Art. 6(1)(f) GDPR: mostrar a página no seu idioma).

Tradução e detecção de idioma rodam neste servidor, com modelos de tradução da Mozilla e o modelo de idiomas fastText da Meta, que o servidor baixa sem dados sobre os membros; nenhum texto vai para um serviço de terceiros. O idioma de uma publicação, complemento ou resposta, e em parágrafos em vários idiomas também esses, o tellmelo detecta quando você escreve e o salva com o texto, para que “Traduzir” apareça onde for necessário; se não estiver claro, vale o da conta ou o dos últimos textos. A tradução só acontece quando você clica, sem salvar nem registrar texto ou tradução; só o número das suas traduções fica um minuto na memória de trabalho, para o limite por minuto. Mensagens nunca são traduzidas (Art. 6(1)(b) GDPR; em relação a quem escreve, Art. 6(1)(f) GDPR: que seus textos sejam entendidos).

Links e sua verificação

Links abrem por uma página de aviso; o endereço de destino fica depois do #, que o navegador não envia ao servidor. Quais links você abre não é salvo, e o site de destino não fica sabendo de onde você veio. As prévias de links são carregadas pelo servidor, não pelo seu navegador.

Verificação de sites nocivos: o tellmelo compara os links em publicações, respostas, mensagens, perfis e perfis de grupo com listas de sites conhecidos de phishing, golpe e malware (por exemplo Phishing.Database, Block List Project e, se o operador quiser, abuse.ch), que um serviço neste servidor baixa e mantém; para isso, nenhum endereço vai para um serviço de terceiros. Um site novo é aberto uma vez sem dados sobre você e, para saber a idade dele, só o nome de domínio é consultado no registro competente (RDAP). Para cada site são salvos o endereço, quando apareceu pela primeira vez, quantas vezes foi publicado e denunciado e o resultado, não por quem, e, enquanto o link estiver lá, qual perfil leva a ele. O tellmelo apresenta os sites novos uma vez à equipe, assim como os enviados por membros (com o identificador, a avaliação e o motivo deles). Sites bloqueados não podem ser linkados; o tellmelo remove links para eles de perfis e perfis de grupo e avisa (Art. 6(1)(f) GDPR: proteger os membros de sites nocivos).

Conta

Conta e login

Sobre a conta, o tellmelo salva (Art. 6(1)(b) GDPR):

• Nome de usuário e nome de exibição, escolhidos por você, públicos.
• Endereço de e-mail (obrigatório, sem endereços descartáveis), criptografado, com a chave guardada separadamente; para códigos e links de login, comunicados do operador, por exemplo sobre textos jurídicos alterados, e e-mails que você ativar.
• Senha apenas como hash scrypt; códigos por e-mail, links e segredos só por pouco tempo e como hash. O login em duas etapas é opcional; seu segredo fica guardado criptografado.
• Chaves de acesso: a chave pública com identificador, o nome que você der a ela, quando foi criada e usada pela última vez e se é sincronizada; a chave privada fica no seu dispositivo ou no gerenciador de senhas.
• Dispositivos conectados: horário, último acesso e uma descrição aproximada como “Chrome no Windows”, sem endereço IP. Dispositivos e chaves de acesso você remove em Configurações → Conta e segurança.
• Histórico de segurança: nova palavra-passe, novo endereço de e-mail, segundo fator ativado ou desativado, novos códigos de recuperação, chave de acesso adicionada ou removida e inícios de sessão em novos dispositivos, cada um com a hora e, nos novos dispositivos, a descrição aproximada; visível só para ti em Definições → Conta e segurança → Histórico de segurança, guardado 180 dias.
• Último uso, com precisão de uma hora: para marcar publicações novas, avisos depois de uma ausência, “visto por último”, a retrospectiva, convites, programas e o encerramento de contas de organização sem uso.
• Configurações, por exemplo idioma, notificações, privacidade, barra e tela inicial do app, avisos ocultados.

Login com Google, Clovord ou Apple

Com “Continuar com o Google”, “Continuar com o Clovord” ou, no app iOS, “Iniciar sessão com a Apple”, o serviço transmite, com a sua autorização, um identificador da sua conta lá, o seu endereço de e-mail, se ele o tiver confirmado (na Apple, se você quiser, um endereço de encaminhamento), e o seu nome, no Clovord também o nome de usuário; foto de perfil, contatos e senha, não. O identificador é salvo para reconhecer você; se o endereço confirmado já pertencer a uma conta, as duas são vinculadas. Para uma conta nova, os dados ficam criptografados até o fim do cadastro, por no máximo 30 minutos. Enquanto uma conta criada assim não tiver uma senha definida por link, você também entra sem o serviço, com um código que o tellmelo envia para o endereço. Contas com permissões de equipe não podem usar alguns serviços. Desconectar em Configurações → Conta e segurança apaga o identificador; no caso da Apple, o tellmelo revoga então, como ao excluir a conta, a autorização também lá. O que os próprios serviços tratam é regido pelas políticas de privacidade deles (Art. 6(1)(b) GDPR).

Login com o celular

No computador, você entra com o seu celular já conectado: o computador mostra três números entre 1 e 99, e você confirma “É você?” no celular com os mesmos três entre nove números ou, com o “Login por proximidade” na mesma rede, com um toque; não é preciso câmera. É guardada uma solicitação com uma descrição aproximada do computador como “Chrome no Windows”, os números e um hash do seu segredo, válida por poucos minutos e apagada em no máximo um dia; o celular recebe uma notificação, também por push. Se você digitar o seu nome no computador e estiver conectado ao app em um celular, a página oferece essa opção e, para isso, fica sabendo se a sua conta a oferece. Desligar em Configurações → Conta e segurança → Dispositivos conectados (Art. 6(1)(b) GDPR).

O “Login por proximidade” é opcional e começa desligado. Ligado, o tellmelo guarda, enquanto o app estiver aberto no celular, por no máximo dez minutos uma impressão do endereço IP público dele, formada com uma chave secreta, e não o endereço em si. Um computador na mesma rede então oferece o login a você sem mostrar o seu nome; com mais de três celulares assim na rede, não. Desligar apaga a impressão na hora e revoga o consentimento (Art. 6(1)(a) GDPR).

Idade e pais

A data de nascimento é verificada no cadastro e não é salva. Com menos de 16 anos, a conta só é criada com o consentimento de um responsável legal; até lá, os dados, com os dois endereços de e-mail criptografados, ficam guardados por no máximo 14 dias. Como prova, o momento do consentimento e o endereço de onde ele veio (criptografado) ficam guardados até a exclusão da conta (Art. 6(1)(b) em conjunto com o Art. 8 GDPR).

Supervisão (opcional): até dois responsáveis legais podem vincular a própria conta e definir um tempo diário e um horário de descanso noturno. Para isso, o tellmelo conta por dia os segundos em que uma página fica aberta e visível no dispositivo da criança. Os pais veem esses tempos dos últimos sete dias, o nome e o nome de usuário da criança e as configurações, nunca publicações, mensagens ou contatos; a criança vê quem está vinculado e o que vale. Se um dos pais confirmar que a criança tem 16 anos (a data de nascimento é verificada de novo e não é salva) ou se a supervisão terminar, vínculos, configurações e tempos são apagados. Contas supervisionadas têm configurações padrão mais rígidas e não usam algumas funções (Art. 6(1)(b) em conjunto com o Art. 8 GDPR; para os dados da criança, Art. 6(1)(f) GDPR: poder familiar conforme o § 1626 BGB e proteção de menores).

Convites

Contas preparadas pelo operador contêm nome, nome de usuário, em organizações dados públicos de contato e, em um convite por e-mail, o endereço (criptografado). Nada fica visível antes de a pessoa abrir o link e definir uma senha; convites não aceitos são apagados após 14 dias, ou na hora, se pedido (Art. 6(1)(f) GDPR: facilitar a entrada de pessoas e organizações).

Links de convite de membros contêm apenas o nome de usuário. Para as recompensas, o tellmelo salva quem convidou e verifica, com dados já salvos de qualquer forma, se a conta nova cumpre os requisitos (termos de uso); o membro que convida só vê números, não pessoas. Se o convite não contar, o vínculo é apagado em no máximo 60 dias, com “Não me contar” na hora, senão junto com uma das contas (Art. 6(1)(b) GDPR; perante o membro convidado, Art. 6(1)(f) GDPR: recompensar convites de forma justa).

Perfil

Sobre o perfil (Art. 6(1)(b) GDPR):

• Dados do perfil, como foto, imagem de capa, descrição, site, página de links e selos, são vistos por quem pode ver o seu perfil (perfil público); os itens da loja em uso, só por quem não desligou os visuais da loja. O mês de entrada e os selos podem ser ocultados (para o mês de entrada, Art. 6(1)(f) GDPR: os outros veem há quanto tempo alguém está aqui). O servidor consulta de vez em quando o site informado em busca de um link com rel=me para o seu perfil e salva só o resultado.
• Lugar (opcional): cidade, região, país, CEP, rua e número (criptografados) e coordenadas arredondadas, para reconhecer publicações e perguntas da sua região; público é só a cidade, se você a mostrar. A busca de endereço consulta o Photon (komoot GmbH, Potsdam) com o que você digita, sem o seu endereço IP; as respostas ficam em cache por 30 dias, sem identificador. A revogação em Configurações → Perfil → Seu lugar apaga todos os dados de lugar (Art. 6(1)(a) GDPR).
• Contas de organização mostram publicamente endereço, setor, telefone, e-mail e horário de funcionamento. O tipo de conta termina após 18 meses sem login ou se a equipe o retirar; a conta e as publicações continuam.
• Contatos em comum e indicações parecidas são calculados pelo tellmelo na exibição, a partir de listas que já são visíveis, sem salvá-los.

Verificação e dados sobre organizações

Uma pessoa decide sobre os pedidos de selo de verificação, também de grupos. São salvos o pedido com o motivo, o tipo de conta e o momento, para pessoas os números principais no envio, e a decisão. Empresas e associações enviam um documento oficialmente reconhecido; ele fica criptografado e só até a decisão, só administradores podem abri-lo, cada abertura é registrada, e você pode tarjar o que não for necessário (Art. 6(1)(b) e (f) GDPR: proteção contra contas que se passam por outra pessoa).

Dados sobre organizações: se uma conta escreve em publicações, respostas ou no perfil que fala em nome de uma empresa, de uma autoridade ou do tellmelo, ela recebe, se não for verificada, a indicação “não confirmado” até se verificar ou até a equipe resolver a indicação, além do pedido de uma prova pela verificação. São salvos a conta, o local onde aparece, o nome da organização e quando a indicação foi resolvida, não o resto do texto; as pendentes ficam até serem resolvidas, as resolvidas por um ano. Se o operador tiver ativado, também mensagens diretas não criptografadas são verificadas no envio, as com criptografia de ponta a ponta nunca (Art. 6(1)(f) GDPR: proteger os membros contra enganos).

Programa de moderação

As candidaturas são feitas em Configurações → Participar → Moderação, enquanto o operador as mantiver abertas. São salvos os idiomas escolhidos, quando você aceitou qual versão do compromisso, os resultados do teste e do treinamento em porcentagem, o estado da candidatura e as decisões do operador com o motivo. Para cada teste enviado (candidatura, conclusão do treinamento, novidades do treinamento), as publicações exibidas e cada uma das suas decisões ficam criptografadas por 90 dias, para que só o operador possa revisar suas respostas; se você retirar a candidatura ou excluir sua conta, elas são apagadas na hora. A data de nascimento só é verificada. Como moderador, o tellmelo conta suas ações no registro de auditoria dos últimos 30 dias e a data da sua última publicação, para o nível do seu selo e um lembrete depois de 14 dias sem atividade; depois de 30 dias, o operador fica sabendo (Art. 6(1)(b) GDPR).

Ajudantes a partir de 16 anos passam por um teste mais curto, um treinamento mais curto e a mesma verificação da cópia do documento; também é salvo se você quer ser moderador ou ajudante. Se o operador convidar você, não há candidatura; são salvos quem convidou você e quando, e a sua resposta (Art. 6(1)(b) GDPR).

Cópia do documento: depois de passar no teste, você envia uma foto da frente ou do verso da sua carteira de identidade ou do passaporte em que dê para ler o nome, o número do documento e a data de nascimento; o resto você pode tarjar. Ela recebe uma marca visível de cópia, é reduzida, tem os metadados removidos e é guardada criptografada. Só o operador pode abri-la: uma vez para a análise e, depois, só com um motivo que você recebe toda vez por notificação e por e-mail; cada abertura fica no registro de auditoria. A cópia é apagada assim que você retira a candidatura ou sai, uma nova é pedida ou a colaboração termina; se ela terminar por falta grave, a cópia fica guardada por no máximo 3 meses, mesmo depois da exclusão da sua conta, e você fica sabendo o motivo (Art. 6(1)(a) GDPR e § 20(2) PAuswG, revogado ao retirar a candidatura ou sair; depois de falta grave, Art. 6(1)(f) GDPR: exercício ou defesa de direitos).

Assinaturas, faíscas, presentes, loja e pagamento

Sobre compras e presentes, o tellmelo salva (Art. 6(1)(b) GDPR; perante quem recebe presentes, Art. 6(1)(f) GDPR: entregar os presentes):

• Assinaturas, faíscas e presentes: tipo, quantidade, início e fim de assinaturas, faíscas compradas e da assinatura de faíscas, quem deu o que a quem e de onde veio (compra, operador, cota de um parceiro). O que o operador dá a um parceiro para presentear (meses de assinatura, faíscas, visuais com quantidade de exemplares) fica no inventário dele e é apagado com o fim da parceria ou da conta. Quem recebe o presente vê o nome e o @nome de quem presenteou; quem distribui presentes sob uma publicação só vê o número de vagas dadas.
• Itens da loja: quais você comprou, quando e por qual preço ou ganhou de presente de quem e quais está usando, nos limitados o número do seu exemplar, nos visuais únicos o da sua compra. O que está em uso (moldura de perfil, efeito sobre a imagem de capa, visual do card de perfil) é visto por quem vê o seu perfil ou as suas publicações e não desligou os visuais da loja. Para grupos, o mesmo: qual grupo recebeu um item, quando e por qual preço, quem da liderança o comprou e o que o grupo está usando (moldura em volta da imagem dele, efeito sobre a imagem de capa dele, visual do cabeçalho dele); isso é visto por quem vê o grupo e não desligou os visuais da loja. As compras são apagadas com a conta ou com o grupo; o pagamento fica guardado como comprovante com a pessoa que comprou. Itens exclusivos só são vistos e recebidos pelos membros e grupos que estão na lista deles; o registro termina com a conta ou o grupo. Se a equipe der um item de presente a você ou colocá-lo para você, o tellmelo salva quando e por quem, o que estava em uso antes e a sua resposta (manter ou voltar); você fica sabendo por notificação e por e-mail.
• O que você cria com funções da assinatura, como notas (criptografadas), lembretes, mensagens enviadas depois (criptografadas até o envio), emojis próprios animados e os que passam dos dez que toda conta tem, ou textos prontos, fica guardado por seis meses depois do fim da assinatura, para voltar com uma nova assinatura, e então é apagado, com um e-mail duas semanas antes.
• Inventário e pontos de plano: para cada ponto, a assinatura, a origem (assinatura, pacote, presente, equipe, ponto de teste, agradecimento por uma compra de teste na beta do app iOS), o pagamento, o recebimento e, em presentes, a chegada, se e quando ele foi resgatado automaticamente ou por você e qual tempo de assinatura ele cobre, se foi reembolsado, além da sua configuração sobre o resgate automático. Em presentes dados pelo inventário (pontos, faíscas, itens), quem deu o que a quem e quando, visível para os dois no histórico; para faíscas e itens, também a chegada (para o bloqueio de sete dias) e, para itens, se e quando você os usou pela primeira vez. Pontos e histórico são apagados com a conta; no histórico do outro membro aparece então “uma conta excluída”.
• Códigos de cupom: código, pagamento e momento, para que um código valha só uma vez por membro; apagados com um reembolso.

Pagamento: no navegador pela Stripe (na UE: Stripe Payments Europe, Limited, Dublin), no app Android pelo Google Play (Google Commerce Limited, Dublin), no app iOS pela App Store (Apple Distribution International Ltd., Cork). Os dados de pagamento você só digita lá; o tellmelo não os recebe. O tellmelo só transmite produto, quantidade, preço e um identificador de pedido pseudônimo e fica sabendo se e quando houve pagamento, renovação, cancelamento ou reembolso, com os identificadores e comprovantes de compra do provedor. Se quem vende é o próprio tellmelo ou o provedor, que então cuida de imposto, comprovante e reembolso, a página de pagamento mostra. Como vendedores e para fins próprios, os provedores são eles mesmos responsáveis (stripe.com/de/privacy, policies.google.com/privacy, apple.com/legal/privacy). Compras na App Store você cancela ou pede reembolso na janela da Apple, que o app iOS abre a partir do inventário; o tellmelo só fica sabendo do resultado (Art. 6(1)(b) GDPR).

No tellmelo são salvos os pedidos até a conclusão, pagamentos, reembolsos (inclusive os voluntários em até 48 horas), o seu consentimento com o início imediato (renúncia ao direito de arrependimento), faturas, cancelamentos e arrependimentos (os dados do formulário /cancel criptografados) e um endereço de cobrança informado (criptografado); faturas para pessoas físicas não mostram nome (Art. 6(1)(b) GDPR; para comprovantes, Art. 6(1)(c) GDPR com o § 147 AO e o § 14b UStG).

Conteúdos e interação

Posts, respostas e mensagens

O que você escreve e faz fica salvo até você apagar isso ou a sua conta: publicações, respostas, reações, votos em enquetes e em respostas, versões anteriores de publicações editadas, rascunhos (criptografados), respostas agendadas para depois (até lá, visíveis só para você), coleções, quem você segue, silenciamentos, bloqueios, listas como amigos próximos e mensagens diretas. Publicações públicas qualquer pessoa vê; as para amigos próximos, só eles; mensagens diretas, só os participantes. Cada publicação inclui as suas configurações, por exemplo quem pode responder, se as respostas aguardam aprovação, coautores, se uma imagem foi criada com IA; uma resposta aprovada mantém o momento em que foi escrita e recebe também o da aprovação. Ao importar do arquivo de outra plataforma, é o seu navegador que lê o arquivo; só as suas publicações vão para o tellmelo (Art. 6(1)(b) GDPR; quando outros membros são afetados, por exemplo em indicações sobre as publicações deles ou na biblioteca de mídia, Art. 6(1)(f) GDPR: interação na plataforma).

• Votos positivos e negativos: respostas recebem votos para cima ou para baixo, e uma “curtida” anterior conta como voto positivo; é salvo quem votou como em qual resposta e quando, nunca os dois. Sob a resposta aparece a pontuação dela, votos positivos menos votos negativos, também abaixo de zero (não no modo tranquilo); o autor dela fica sabendo por notificação quem votou positivamente, no máximo uma vez a cada 30 dias por pessoa e resposta; fora isso, isso não é mostrado. Quem votou negativamente ninguém vê, nem o autor; só quem dá um voto negativo vê o seu próprio; ninguém é notificado disso. Cada nível é ordenado por votos positivos menos votos negativos, com uma pequena vantagem nas primeiras 3 horas; uma resposta com pelo menos 3 votos negativos e mais que o dobro de votos negativos em relação aos positivos fica recolhida no fim (“pouco útil”) e não aparece na página pública da publicação. Os votos terminam com a resposta ou com a conta e constam da exportação de dados.
• Resposta destacada: quem escreveu uma publicação pode destacar uma resposta direta a ela, trocá-la ou retirar o destaque. Ela aparece então em primeiro lugar para todos, também na página pública, com “Destacada por …”; o autor dela recebe uma notificação, no máximo uma vez a cada 30 dias por resposta. Fica salvo na publicação até o destaque ser retirado ou a resposta ser apagada.
• Imagens são reduzidas pelo seu navegador, que antes remove os dados EXIF, incluindo a localização GPS; vídeos, GIFs e sons são convertidos pelo servidor (ffmpeg) sem metadados e sem local de gravação, e o arquivo enviado é apagado. Para cotas como os pontos de vídeo, o tamanho e o horário de um envio ficam guardados por até 7 dias. Um post que você envia enquanto o vídeo ou GIF ainda está sendo convertido fica retido pelo tellmelo sem publicar até lá; se a conversão falhar, ele volta a ser um rascunho.
• Biblioteca de mídia: GIFs e vídeos liberados para todos podem ser encontrados e publicados por todos os membros, com o seu nome e @nome; você retira a liberação a qualquer momento. Em outros sites, o player do tellmelo os mostra, também com nome e @nome, só se você permitir expressamente. Emojis próprios compartilhados com seus seguidores podem ser usados por eles nos próprios textos, os animados só com assinatura. Em cada caso, só é salva a liberação ou a permissão, até você retirá-la; a permissão para outros sites termina também com a liberação.
• O texto das mensagens fica criptografado no servidor (AES-256-GCM, com a chave guardada separadamente), assim como as mensagens de boas-vindas e de ausência de organizações; isso protege sobretudo cópias e backups do banco de dados. Imagens e arquivos nelas só podem ser abertos pelos participantes. Por padrão, as mensagens não têm criptografia de ponta a ponta: o servidor as descriptografa para exibi-las, e quem tem acesso ao servidor em funcionamento pode tecnicamente lê-las. Se a outra pessoa está digitando ou online fica no máximo 24 horas na memória de trabalho e só é visível para pessoas a quem você mesmo escreveu; desative em Configurações → Mensagens. As mensagens de voz são gravadas pelo seu navegador com o microfone quando você o permite e grava uma; tellmelo converte a gravação num arquivo MP3 de no máximo três minutos, sem metadados, e guarda apenas esse, como as imagens, em mensagens, publicações e respostas (Art. 6(1)(b) GDPR). Não estão disponíveis em chats com criptografia de ponta a ponta.
• Criptografia de ponta a ponta (opcional, Configurações → Mensagens): seu navegador cria um par de chaves e sela a chave privada com o seu PIN de seis dígitos, que nunca sai do seu dispositivo, e uma parte aleatória que o servidor guarda criptografada. São salvos a chave pública (para as pessoas com quem você conversa), a chave privada selada, um valor de verificação do PIN como hash, a parte do servidor (criptografada), o número de PINs errados seguidos, se a criptografia está ativada e se só pessoas com criptografia podem escrever para você; depois de recomeçar por ter esquecido o PIN, também as chaves públicas anteriores. Se as duas pessoas de um chat a tiverem ativado, o navegador sela cada texto e cada foto (AES-GCM) antes do envio, inclusive mensagens para depois; o tellmelo os salva assim, com os identificadores das duas chaves, e não consegue lê-los nem vê-los, nem para prévias. Continuam visíveis quem escreve para quem e quando, o tamanho aproximado, o número e o tamanho aproximado das fotos e se a mensagem foi lida. As fotos o seu navegador verifica antes com o modelo e o limite da verificação de imagens, que ele baixa uma vez do tellmelo com a primeira foto (cerca de 3 MB), e não envia uma foto detectada; o resultado fica no dispositivo, nada é salvo. Vídeos e GIFs não funcionam nesses chats; links o tellmelo só verifica quando são abertos. O pedido para ativar a criptografia chega como mensagem automática não criptografada. O PIN curto é protegido pelo servidor, que só libera a parte dele com o PIN certo e faz esperar mais a cada cinco tentativas erradas; mas quem opera o próprio servidor e tem as chaves dele poderia adivinhá-lo com esforço. Por quanto tempo um dispositivo fica desbloqueado você mesmo escolhe (dispositivo). Na exportação de dados, essas mensagens aparecem seladas; com a conta, todas as chaves são apagadas.
• Chamadas (por enquanto com acesso antecipado): você pode ligar para pessoas para quem pode escrever e com quem suas mensagens não esperam como solicitação, a menos que tenham desligado as chamadas em Configurações → Chamadas. Voz, imagem e uma tela compartilhada vão diretamente entre os aparelhos, com criptografia de ponta a ponta (WebRTC com DTLS-SRTP); onde um firewall impede isso, o próprio servidor TURN de tellmelo retransmite o fluxo criptografado sem poder lê-lo. Para isso, cada aparelho fica sabendo os endereços IP e os dados de rede do outro. Nada é gravado. Enquanto uma chamada toca ou está em andamento, tellmelo guarda quem liga para quem desde quando, se com vídeo, e os dados de conexão dos dois aparelhos com seus endereços IP; depois fica apenas uma entrada no chat (chamada de voz ou vídeo com a duração, perdida ou recusada), guardada e apagada como uma mensagem, e uma chamada perdida chega como notificação. Uma chamada tocando chega como push, como uma mensagem, se você recebe mensagens como push. A supressão de ruído (RNNoise) e a ativação por voz funcionam só no seu aparelho; seu navegador guarda os aparelhos e as configurações escolhidos (Art. 6(1)(b) GDPR).
• Silenciar e bloquear não é comunicado às pessoas afetadas, a não ser pelo fato de que elas não conseguem mais escrever para você ou ver você.
• Contagens e indicações como “Desde a sua última visita”, a sua semana, “Ajude também”, “Diga oi” ou estatísticas das suas publicações são calculadas pelo tellmelo na exibição, a partir de dados já salvos; no máximo é salvo quando você ocultou uma indicação, e uma imagem para compartilhar só se você a publicar.
• Selos mostram em cinco níveis, com o número, quantas publicações, respostas e imagens alguém publicou, quantos perfis segue, quantos seguidores tem, quantas curtidas (em respostas, votos positivos) e repostagens recebeu e quantas curtidas (em respostas, votos positivos) deu; calculados na exibição, no máximo 10 minutos na memória de trabalho. Na conta só é salvo: para Caçador de bugs, o número dos seus relatos de erro que a equipe marcou como confirmados ou corrigidos e, no relato, que ele foi contado (o selo não mostra os relatos); para Early Supporter, quem tem tempo de assinatura antes de 2027 (comprado, recebido de presente, da equipe ou de teste), desde quando e, depois do fim dele, quando terminou. O selo expira, com os dois dados, três meses depois, se não houver mais tempo de assinatura em curso. Esconder em Configurações → Participar → Recompensas (Art. 6(1)(f) GDPR: incentivo à participação).

Grupos

Em grupos (Art. 6(1)(b) GDPR; para decisões da liderança, infrações e páginas públicas de grupo, Art. 6(1)(f) GDPR: ordem nos grupos, grupos públicos visíveis):

• A participação, com papel e início, é vista pelos membros; em grupos públicos, por todos que veem o grupo; o sino, as faíscas e os números mostram só totais, não quem.
• Canais e chat: Além do canal com as publicações do grupo, há canais de chat. De cada mensagem são guardados o canal, o autor, a hora, o texto, as mídias (imagens, GIFs, vídeos, mensagens de voz) e a mensagem que ela responde; os membros que veem o canal podem vê-las. Diferente das mensagens diretas, o texto fica sem criptografia no servidor, como as publicações. Até onde você leu um canal é guardado para o número de mensagens não lidas, ninguém mais vê e é apagado quando você sai do grupo. Se um de dois membros bloqueou o outro, nenhum vê as mensagens do outro. Uma mensagem apagada some na hora com suas mídias; as respostas a ela perdem a citação. Se a liderança ou alguém com permissão para moderar remover a mensagem de outra pessoa, o registro do grupo anota isso, sem conteúdo e sem motivo. Quando você sai do grupo, suas mensagens ficam nele; se não quiser isso, apague-as antes. Quem é mencionado numa mensagem com @nome ou, por funções com essa permissão, com @everyone recebe uma notificação que nomeia o canal e o grupo, não o texto; com @nome só se permitir menções de quem escreve, com @everyone só se o sino do grupo não estiver desligado. Você pode denunciar à equipe mensagens de outras pessoas; a denúncia termina com a mensagem. Se a equipe remover uma mensagem, ela some com suas mídias; o início dela (até 160 caracteres) fica guardado com o caso, para que quem a escreveu veja do que se tratava.
• Silenciar canais: Você pode silenciar um canal de chat para você, por 1, 8 ou 24 horas ou até reativá-lo. São salvos o canal, o fim e o momento; ninguém mais vê. Enquanto isso, o canal não conta para o que não foi lido, e @everyone vindo dele não chega até você, seu @nome sim. O silêncio termina com seu tempo (apagado na noite seguinte), quando você o reativa, quando sai do grupo, ou com o canal ou a conta; está na exportação de dados.
• Canais de voz (por enquanto só nos grupos que o operador libera): ali os membros conversam e, se puderem, mostram a câmera ou a tela. Som e imagem seguem criptografados (WebRTC, DTLS-SRTP) até o próprio servidor de mídia de tellmelo (LiveKit), que os repassa aos outros no canal; portanto não têm criptografia de ponta a ponta, e nada é gravado. Enquanto você está em um canal, o servidor de mídia conhece sua conta, nome, foto, endereço IP, se seu microfone, câmera ou tela estão ligados, se você desativou o áudio e seu ping com o tipo de conexão (UDP, TCP ou pelo servidor TURN próprio de tellmelo); todos que veem o canal no grupo e a equipe na administração também veem isso. Nada disso é guardado. Silenciar ou desconectar pela moderação fica no registro do grupo. A supressão de ruído e a ativação por voz funcionam só no seu aparelho. As reações (emojis) seguem o mesmo caminho até os outros no canal e não são guardadas; o volume com que você ouve alguém só fica guardado no seu navegador.
• Bots: membros podem criar até cinco bots: contas do tipo “bot” sem senha nem endereço de e-mail, controladas por uma chave de API própria e que não aparecem na busca. São guardados nome, nome de usuário, descrição, as permissões pedidas, se outros podem adicioná-lo, quem o criou e quando (bots). Um grupo só aceita um bot se alguém que pode gerenciar cargos ali concordar; o bot recebe um cargo próprio com as permissões concedidas (community_roles.bot_id), e entrada e remoção ficam no registro do grupo. Um bot leva a marca “Bot” e lê e escreve nos canais que pode ver, como um membro; tellmelo entrega-lhe esse conteúdo pela API. Pelo que o programa por trás de um bot faz com ele responde a pessoa que o opera. Um bot é excluído quando essa pessoa o exclui ou exclui a própria conta; sai de um grupo quando o grupo o remove (art. 6.º, n.º 1, al. b RGPD).
• Bots em tempo real: Um bot pode ter uma foto e um banner carregados pelo seu criador. Os bots que os criadores abrem a todos aparecem num diretório com nome, foto, descrição, criador e número de grupos. Um bot só entra no diretório depois que a equipe o revisou; para isso são salvos a categoria, o status da revisão com uma observação da equipe ao criador, se a equipe o destaca e desde quando ele está listado (bots.category, review_state, review_note, featured, listed_at). O que acontece num grupo com bots (uma mensagem escrita ou apagada, alguém que entra ou sai, alguém que entra num canal de voz) é guardado um dia como evento (bot_events) para os bots desse grupo; um bot só recebe eventos dos canais que pode ver, como fluxo, página a página ou entregues a um endereço HTTPS definido pelo criador (bots.webhook_url, assinado, com novas tentativas). A pessoa que opera o bot é responsável por isso (art. 6.º, n.º 1, al. b RGPD). Os bots podem oferecer comandos, que o campo do chat sugere após «/», e botões nas suas mensagens; usar um indica ao bot quem o usou, guardado 15 minutos para que possa responder (bot_interactions). A resposta de um bot para um único membro só lhe é mostrada a ele no canal, durante um dia (bot_private_replies). Um bot pode ocupar um lugar num canal de voz para tocar música ou som, marcado como bot; ali não ouve ninguém.
• Papéis: A liderança e quem tem permissão para gerenciar papéis podem criar papéis com nome, cor e permissões e atribuí-los a membros. Quais papéis alguém tem, os membros do grupo veem na lista de membros; de cada papel é guardado quem o tem e desde quando. Ele termina quando a pessoa sai do grupo.
• Hub e símbolos de canal: Cada grupo tem um hub, a sua página com imagem, capa, nome, descrição e as partes que a liderança ativa, também um texto próprio da liderança; podem vê-lo todos os que veem o grupo. Quem pode gerir canais pode dar a canais e categorias um símbolo: um emoji, um símbolo do conjunto de tellmelo ou uma imagem própria, com cor e forma; os membros veem-no na lista de canais. Uma imagem própria passa pela verificação de imagens, pertence a quem a carregou e é apagada assim que deixa de ser usada em qualquer lado.
• Mensagens fixadas: Quem pode moderar num canal de chat pode fixar mensagens, no máximo 50 por canal; todos os que veem o canal encontram-nas no seu painel lateral. Com a mensagem guarda-se desde quando está fixada e por quem; ninguém vê quem a fixou. Com a mensagem termina também a fixação. Procurar num canal não guarda nada.
• Conversas nos canais: Respostas a uma mensagem de um canal de chat podem ir para a conversa dela em vez do chat; guardamos a qual mensagem uma resposta pertence. Visível para todos que veem o canal. Quando a primeira mensagem é apagada (pelo autor, pela moderação ou junto com a conta), a conversa termina com todas as respostas.
• Funções escolhidas pelos membros e boas-vindas: A liderança de um grupo pode oferecer funções que os membros assumem e deixam por conta própria; elas não permitem mais do que participar (ver, escrever, anexos, canais de voz) e muitas vezes abrem canais próprios. Quem tem uma dessas funções fica visível para os membros, como nas outras funções. Nos seus primeiros dias num grupo, o app dá as boas-vindas uma vez com o texto de boas-vindas e essas funções; que isso já aconteceu fica guardado apenas no seu aparelho.
• Emojis de um grupo: Quem pode gerir os canais de um grupo pode dar-lhe até 50 emojis próprios (imagem e nome); os membros usam-nos nos seus textos e os canais como símbolos, e os textos mostram-nos a todos que os leem. A imagem pertence a quem a enviou; os emojis acabam com o grupo.
• Links de convite: Quem tem permissão para convidar pode criar links para o grupo. São guardados quem criou um link e quando, por quanto tempo e quantas vezes ele vale e quantas vezes foi usado, não por quem; a liderança e quem o criou podem ver isso. Quem entra com um link conta como convidado. O tellmelo apaga links expirados e esgotados na noite seguinte, e os revogados, na hora. Um link só funciona enquanto quem o criou puder convidar; ele é apagado quando essa pessoa sai do grupo ou a conta dela é excluída.
• Canal do feed: As publicações no canal do feed de um grupo também aparecem no feed público, desde que o grupo seja visível para quem lê; só a liderança e os papéis com essa permissão podem escrever ali. Se o canal do feed estiver desativado, as publicações dele continuam guardadas e na exportação de dados, mas até que ele seja reativado só quem as escreveu as vê, no próprio perfil, onde também pode apagá-las; com a conta, elas são apagadas.
• Pedidos de entrada ficam criptografados junto com as perguntas exatamente como foram feitas; a liderança pode lê-los, a equipe do tellmelo não.
• Convites: a liderança vê se estão pendentes ou foram recusados; os recusados ficam 30 dias, para que não se convide de novo logo em seguida.
• Moderação no grupo: a liderança e os papéis com a permissão podem silenciar membros abaixo deles (de um minuto a uma semana; eles então só podem ler, também depois de sair e entrar de novo), expulsá-los (podem entrar de novo) ou bani-los (1, 7 ou 30 dias ou até ser retirado; até lá, nem entrar nem se candidatar). De cada silêncio e banimento são guardados quem é afetado, até quando, quando e por quem; isso é visto por quem pode silenciar ou banir, e pela pessoa afetada através da notificação e na exportação de dados, ali sem quem foi. tellmelo apaga os que expiraram na noite seguinte, imediatamente com o grupo ou a conta.
• As decisões no grupo, inclusive remover uma publicação, são registradas com o motivo (criptografado; opcional ao silenciar), que a liderança vê; as pessoas afetadas recebem o motivo como notificação.
• Páginas públicas de grupo mostram nome, descrição, imagens, temas, número de membros e as publicações mais recentes, estas só de membros que também são encontráveis.
• Infrações de um grupo são decididas por uma pessoa da equipe, com motivo; a liderança pode recorrer (moderação).

Organizar páginas, widgets e galeria

No computador você pode organizar as partes de uma página, colocar a barra de menu em cima ou à esquerda e adicionar widgets; o recurso está sendo liberado aos poucos. Nas suas configurações ficam salvos o arranjo de cada página (posição, tamanho, direção e aparência das partes), a barra de menu, para onde você moveu o lápis e seus widgets com as configurações deles, inclusive o texto de uma nota e o título e o horário de uma contagem regressiva (settings.ownLayout); só você vê isso. Para que uma página organizada já apareça certa ao carregar, seu navegador lembra se você organizou páginas e onde está a barra de menu (armazenamento local tellmelo-own-layout). Se um widget mostra uma imagem que você enviou, fica anotado que ela está em uso, para que a limpeza de imagens não usadas não a apague (widget_media). Um widget de posts busca, ao ser exibido, os posts mais recentes que você já pode ver. Tudo termina quando você o remove ou exclui sua conta, e consta na exportação de dados (art. 6, n.º 1, alínea b do RGPD). Os widgets simples guardam o que você digita, também só nas suas configurações: os itens de uma checklist, fusos horários, opções para sortear, links, hábitos com os dias marcados nos últimos 28 dias e seu humor por dia nos últimos 30 dias. Os widgets de chats, grupos, notificações, tendências, o desafio e sua semana só mostram o que você já pode ver e não guardam nada a mais. Seu humor pode revelar algo sobre sua saúde: só é guardado se você mesmo o registrar, não é mostrado a ninguém e é apagado a qualquer momento com “Apagar histórico” (art. 9, n.º 2, alínea a do RGPD).

• Seus próprios widgets: você pode escrever widgets, em HTML com estilos e scripts. Ficam salvos nome, descrição, categoria, o código, quando você o escreveu e alterou e se o enviou (gallery_items). Um widget roda num quadro isolado: sem acesso à sua conta, aos cookies e ao armazenamento de tellmelo e sem conexão com a internet. Ele só sabe a hora, o idioma, claro ou escuro e o próprio tamanho, e pode buscar posts públicos de uma #tag ou de um perfil (texto, nome, nome de usuário, horário), que não consegue enviar a lugar nenhum. Se o autor indicar que o widget usa a internet (gallery_items.network), ele também pode carregar conteúdo de endereços https fora do tellmelo e enviar solicitações para lá; seus operadores ficam sabendo do seu endereço IP e do que o seu navegador envia em cada solicitação, e são responsáveis por isso. Um widget assim só funciona depois que você o permitir após um aviso; quais você permitiu e quais estão bloqueados fica nas suas configurações (settings.widgetNetwork) até você mudar (art. 6, n.º 1, alínea a do RGPD). Se um widget tentar baixar algo, isso é impedido, o widget é bloqueado para você e a tentativa é registrada uma vez por membro com a data para a verificação da equipe (gallery_download_reports) até a equipe decidir; o autor não fica sabendo com quem aconteceu (art. 6, n.º 1, alínea f do RGPD: proteger os membros de conteúdo nocivo).
• Desenhos: o que você desenha numa página ao organizá-la fica sob as partes e os widgets e é salvo nas suas configurações: cada linha e forma com ferramenta, cor, espessura e pontos (settings.ownLayout); só você vê, enquanto não compartilhar como design. Termina quando você apaga o desenho ou a sua conta, e consta da exportação de dados (art. 6.º, n.º 1, alínea b do RGPD).
• Designs: você pode compartilhar sua organização como design: o app inteiro como você o organizou, ou seja, todas as páginas, grupos e mensagens, a barra de menu, os widgets e seus desenhos, com uma descrição completa se você escrever uma (gallery_items, gallery_items.details). Imagens nunca vão junto; seus próprios widgets só se estiverem na galeria; notas, contagens regressivas e desenhos como você os inseriu. Quem aplica um design substitui com ele a própria organização; isso pode ser desfeito logo em seguida.
• Galeria e revisão: o que você envia é revisado pela equipe antes que outros possam encontrar. Para isso ela vê nome, descrição, código ou design e seu nome e nome de usuário, e pode devolver com uma observação; fica salvo qual membro da equipe revisou (gallery_items.reviewer_id). Na galeria todos os membros veem o item com seu nome, seu nome de usuário e quantas vezes foi usado; quem usou é apenas contado, uma vez por membro (gallery_uses), e não é mostrado a ninguém. Se você altera algo aprovado, os outros recebem a versão revisada até a equipe aprovar a alteração; se você o exclui, ele some da galeria e para todos que o usam (art. 6, n.º 1, alínea b do RGPD; para a revisão art. 6, n.º 1, alínea f do RGPD: proteger os membros de conteúdo nocivo ou enganoso).
• Avaliações e resenhas: você pode avaliar widgets, designs e bots do diretório com uma a cinco estrelas e escrever uma resenha, mas não suas próprias entradas. São salvos as estrelas, o texto e quando você avaliou e alterou pela última vez (gallery_ratings). Todos os membros veem a média e quantos deram cada número de estrelas; veem sua resenha com seu nome e nome de usuário, e estrelas sem resenha sem nome. Você pode alterar ou apagar ambas a qualquer momento; elas também terminam se a entrada for apagada ou você apagar sua conta, e constam da exportação de dados (art. 6.º, n.º 1, alínea b do RGPD). Se você denunciar uma resenha, isso é salvo uma vez por membro com o horário até a equipe ocultá-la ou considerá-la adequada (gallery_review_reports); quem a escreveu não fica sabendo quem denunciou. Uma resenha oculta só é vista por quem a escreveu; suas estrelas continuam contando (art. 6.º, n.º 1, alínea f do RGPD: proteger os membros de resenhas ofensivas ou enganosas).

Redação local

Sobre a redação local (Art. 6(1)(b) GDPR; para denúncias e visualizações, Art. 6(1)(f) GDPR: uma plataforma segura, mostrar o alcance dos artigos):

• Convite com região e data, até você responder ou a equipe retirá-lo. Função: região, um texto próprio do selo, caso seja atribuído, área (centro e raio), quem convidou, início e fim. A área o tellmelo determina a partir do nome da região pela busca de endereços, para a qual só esse nome vai (Photon); senão, a partir do local das suas configurações.
• Artigos: título, linha fina, texto, imagem de capa, datas, status. Os publicados são públicos, podem ser lidos sem conta e ficam abertos a buscadores, com o seu nome e o selo; são apagados quando você os apaga ou apaga a sua conta.
• Seguir regiões: quais regiões você segue e desde quando, para notificações sobre novos artigos (podem ser desativadas). Para o card do feed e a seleção perto de você, só o servidor compara as regiões com o local das suas configurações; o local não é repassado.
• Visualizações apenas como total diário por artigo, separadas entre membros e visitantes, sem as visualizações do autor e de buscadores; quem leu não fica salvo.
• Denúncias: artigo, motivo, conta que denunciou, data e decisão, até 180 dias após a decisão; quem denunciou é visto pela equipe, não pelo autor.
• Função, convite, artigos, regiões seguidas e as suas próprias denúncias constam da exportação de dados.

Perfil público, prévias e buscadores

O que é público também fica acessível e encontrável sem conta. Você se opõe (Art. 21 GDPR) com os botões em Configurações → Privacidade; o que já foi indexado, os buscadores removem segundo as próprias regras (Art. 6(1)(f) GDPR: tornar conteúdos públicos acessíveis e encontráveis, fazer links compartilhados levarem claramente ao login).

Perfil público (ativado por padrão, desativado sob supervisão): em /u/nome-de-usuario, qualquer pessoa vê o seu perfil como um membro, com as suas publicações públicas e, nas páginas delas, respostas de outros perfis públicos; curtir, responder, seguir e mandar mensagens exige login. Nunca são públicas as publicações para amigos próximos, as de grupos não públicos, as agendadas e as removidas. Se o seu perfil não for público, o link e a prévia mostram só nome, nome de usuário e foto de perfil, com o convite para fazer login.

Encontrável por buscadores (botão próprio, ativado por padrão, só com perfil público): buscadores podem indexar o perfil, as publicações públicas e as imagens delas, que entram no sitemap, e as suas publicações podem aparecer como exemplos em páginas públicas do tellmelo, por exemplo na página de login (traduzidas neste servidor, sem serem salvas). Desativado, as suas páginas ficam fechadas para buscadores, e os seus conteúdos não aparecem em páginas indexáveis.

Links compartilhados: para um link de uma publicação em um mensageiro ou em outra rede, o servidor desse serviço carrega uma prévia com nome, foto de perfil, início do texto e primeira imagem; em perfis públicos, mais; nenhuma para publicações de grupos não públicos, de contas suspensas e removidas. Links para uma #tag, para Explorar, para os grupos, para a loja e para o post da semana têm uma prévia com título e imagem; uma #tag mostra também a visitantes sem conta as publicações mais recentes dela de membros cujos conteúdos os buscadores podem indexar. Essas páginas não são incluídas nos buscadores.

Links curtos em tmlo.app (/@… perfil, /+… grupo, /t/… #tag; fora isso, um código) levam na hora ao tellmelo, com registro do servidor como qualquer acesso. De um código, o tellmelo salva só o destino e o momento da criação, não quem o criou ou o abre. O nome para uma publicação sua (com assinatura) o tellmelo salva com a publicação e o momento, até a publicação ser apagada.

Feed e programas

Feed e temas aprendidos

Temas das publicações: o servidor atribui a cada publicação alguns temas, tirados de #tags, de uma lista fixa de palavras em catorze idiomas e de palavras-chave do texto, passadas para o inglês neste servidor. Só os veem membros da equipe com permissão para isso; eles atuam no feed, na busca, na barra de #tags e nas automações e terminam com a publicação (Art. 6(1)(b) GDPR).

Temas aprendidos (ativado por padrão, desativado sob supervisão): ler, buscar, curtir, votar, responder, compartilhar e responder a perguntas ocasionais no “Para você” dão pontos aos temas das publicações, só da lista de palavras, da qual política, religião, saúde e sexualidade ficam de fora de propósito. Para cada tema são salvos uma pontuação e um momento, não o que você leu ou buscou; sem atividade, os pontos caem pela metade após 30 dias. Com isso, o “Para você” pondera o seu feed e sugere grupos: criação de perfil no sentido do Art. 4(4) GDPR, sem decisão automatizada nos termos do Art. 22 GDPR. Em Configurações → Seu feed você vê e apaga os temas; desativar é a sua oposição (Art. 21 GDPR) e apaga tudo o que foi aprendido (Art. 6(1)(f) GDPR: um feed que combine com você).

O que você mesmo ajusta, como #tags seguidas, desejos temporários, controles deslizantes e misturas salvas, fica só nas suas configurações, sem ser visível para ninguém; o Espelho e visões parecidas são calculados ao abrir e não são salvos (Art. 6(1)(b) GDPR).

Um feed emprestado só existe se você pedir: pelo link, outra pessoa lê durante uma hora a sua lista “Para você” na sua ordem e fica sabendo, assim, quais temas ocupam você; é salva uma linha com uma chave aleatória por uma hora (Art. 6(1)(a) GDPR).

Alcance, destaque e parceiros

O tellmelo conta as exibições de uma publicação uma vez por pessoa e por dia, por meio de uma impressão irreversível de dia, pessoa e publicação, apagada após 2 dias; o número é visto pelo autor e pela equipe. A equipe pode destacar publicações (sinalizado, não é vendido) ou retê-las, o que fica anotado na publicação e no registro de auditoria. Por dia e por semana, o tellmelo conta quantos membros estiveram ativos e voltaram e salva só esses totais (Art. 6(1)(f) GDPR: mostrar o efeito das publicações, melhorar uma oferta justa). Em contas de parceiros, o tellmelo só avalia a data da última publicação, para lembrar de publicar (Art. 6(1)(b) GDPR).

Programa Descoberto

Para o Programa Descoberto (termos de uso), o tellmelo calcula regularmente, a partir de dados já salvos, um valor da sua atividade nas últimas semanas (em quantos dias você escreveu, como os outros reagiram) e não o salva; a equipe só o vê para membros com vaga e para os próximos da fila. Isso é criação de perfil no sentido do Art. 4(4) GDPR, sem decisão automatizada: uma vaga só surge com o seu sim; sob supervisão, com o dos pais (Art. 6(1)(f) GDPR: dar visibilidade a membros ativos; oposição com “Não perguntar de novo” ou em Configurações → Participar).

É salvo se você foi convidado, se tem uma vaga ou se não quer mais ser consultado, e a sua escolha para o retrato. Com vaga, Explorar mostra a todos os membros o seu perfil com o selo “Descoberto”, publicações públicas selecionadas, em quantos dias das últimas quatro semanas você escreveu e a sua #tag mais frequente. Se uma vaga combina com as #tags e os interesses de uma pessoa, o tellmelo calcula na exibição, só para ela. Depois do fim, o seu perfil fica até 30 dias em “Descobertos antes”; para isso, é salvo desde quando a vaga existia (Art. 6(1)(b) GDPR).

“Recém-chegados” mostra contas dos últimos 14 dias com publicações públicas, calculadas na exibição, sem contas supervisionadas e sem membros que se opuseram ao programa.

Recompensas, ritmo de fidelidade e faíscas

Para programas sem valor em dinheiro (termos de uso), o tellmelo só salva o que eles precisam: no ritmo de fidelidade, os dias da semana atual em que você esteve ativo (sem horário, lidos das suas publicações e reações), o dia e a semana da última visita, as semanas contadas e os níveis alcançados; nas faíscas, para cada uma a origem, a validade e a qual grupo ela está dada no momento; nos grupos, que vantagens a liderança ativou e desde quando, e o link de convite próprio do grupo; nas recompensas, os níveis alcançados. O seu ritmo só você vê; a quem você dá faíscas os outros não veem, os grupos só o número. A participação o tellmelo verifica com dados já salvos, como a idade da conta, um endereço confirmado ou os primeiros passos (Art. 6(1)(b) GDPR).

Post da semana

Para o post da semana (termos de uso), todo domingo o tellmelo escolhe, a partir de dados já salvos, as publicações públicas da semana anterior com mais retorno, no máximo uma por pessoa, nunca de contas sob supervisão nem de membros que desativaram isso em Configurações → Participar → Post da semana. As vencedoras aparecem no álbum do ano em /album; visitantes sem conta veem ali só publicações de perfis públicos e encontráveis em buscadores. Publicações apagadas somem da votação e do álbum (Art. 6(1)(f) GDPR: uma seleção feita pelos membros; oposição com o botão ou retirando a publicação).

De cada votação são salvas as publicações escolhidas com o seu retorno e se foram retiradas ou removidas pela equipe; quem votou em quê, só até o encerramento da votação e sem ser visível para ninguém, nem para a equipe; depois, só o número de votos (para votar, Art. 6(1)(b) GDPR).

Duelo de feeds

No Duelo de feeds, membros adivinham, sozinhos, contra alguém que também está procurando no momento ou por desafio, qual de duas publicações públicas teve mais retorno no primeiro dia. Para isso, o tellmelo escolhe, a partir de dados já salvos, publicações de perfis públicos que tenham de um dia a uma semana e conta as curtidas, respostas e repostagens delas no primeiro dia; nunca publicações dos próprios jogadores nem de contas que um jogador bloqueou ou silenciou ou que bloquearam um jogador, nunca de contas sob supervisão nem de membros que desativaram isso em Configurações → Participar → Duelo de feeds. Desativado, o texto das suas publicações também falta em resultados anteriores (Art. 6(1)(f) GDPR: um jogo com publicações que já são públicas; oposição com o botão).

Para cada duelo, o tellmelo salva quem joga contra quem e como ele surgiu, as duas publicações de cada rodada com o retorno delas, quando cada jogador começou e, em cada rodada, o palpite dele com o horário. Os jogadores veem o nome e a foto de perfil do outro, os palpites dele só depois da rodada, e o resultado. Você só pode desafiar membros que seguem você; o desafio e o resultado chegam como notificação. Contas sob supervisão só jogam sozinhas. Quantos estão procurando um adversário no momento, os outros veem apenas como número (Art. 6(1)(b) GDPR).

Pontuação e ranking: A partir dos duelos de um mês, o tellmelo calcula para cada jogador uma pontuação (a partir dos palpites, da rapidez deles e dos resultados contra outros) e a salva com o número de partidas. O ranking mostra aos membros nome, foto de perfil, pontuação e partidas do mês; nunca contas sob supervisão, nunca entre duas contas quando uma bloqueou a outra; desative em Configurações → Participar → Duelo de feeds (Art. 6(1)(f) GDPR: uma competição entre jogadores; oposição com o botão). Os dois primeiros de cada mês recebem um prêmio (termos de uso); fica salvo quem recebeu qual posição com qual pontuação (Art. 6(1)(b) GDPR).

Bloqueio de outros dispositivos: Enquanto você joga, o tellmelo registra em qual sessão a partida acontece, com o nome do dispositivo informado no login, e bloqueia até o fim da partida, por no máximo alguns minutos, suas outras sessões e chaves de API; elas só mostram em qual dispositivo se está jogando. Depois, o registro é apagado (Art. 6(1)(f) GDPR: uma partida justa, sem consultas por fora).

Duelos ficam salvos por 90 dias após o fim, buscas e desafios que ninguém aceitou, por um dia após expirarem, pontuações, por 90 dias após o mês delas, e prêmios concedidos, por um ano; seus duelos, palpites, pontuações e prêmios constam da exportação de dados.

Calendário do Advento e sorteio

Em dezembro, o calendário do Advento conta, a partir de dados já salvos de qualquer forma, o que você fez em um dia no tellmelo, por exemplo publicações, respostas, curtidas e votos positivos; o que passa a ser salvo é quais portas você abriu e quando. Os presentes vão para o seu inventário (Art. 6(1)(b) GDPR).

Para cada bilhete do sorteio, o tellmelo salva o número do bilhete, um código aleatório, o momento, a versão das condições de participação e a sua confirmação de que tem pelo menos 18 anos; a data de nascimento só é lida para isso. A equipe pode consultar a qual conta pertence um número de bilhete e qual número de bilhete uma conta tem, para verificar a participação e o prêmio; isso não mostra o código, e cada consulta fica registrada no registro da equipe. A lista de bilhetes é publicada sem nomes; o número aleatório público vem do drand, sem que dados sobre você sejam enviados para lá.

Se você ganhar, o tellmelo salva de forma criptografada a forma de pagamento escolhida e o endereço do PayPal ou a loja, e verifica a sua idade com um documento de identidade, cuja cópia é apagada depois (Art. 6(1)(b) GDPR; para a verificação da idade, também Art. 6(1)(f) GDPR: prêmios só para maiores de idade).

As portas ficam guardadas até 31 de março depois do dezembro a que pertencem; os bilhetes, 90 dias depois do fechamento da lista de bilhetes (depois disso, só os números dos bilhetes sorteados); os dados de pagamento, 30 dias depois do pagamento ou da expiração do prêmio; portas e bilhetes constam da exportação de dados.

Apps e notificações

Mandy, a conta do sistema

A Mandy é a conta do sistema do tellmelo: não é uma pessoa nem uma inteligência artificial, mas regras fixas e contagens simples definidas pela equipe. Sob o nome dela funcionam a verificação de links, a moderação automática e a sinalização de dados sobre organizações; sobre o que chama a atenção nisso, quem decide é a equipe. Não é possível escrever para a Mandy, e ela não lê mensagens; em mensagens não criptografadas, ela só verifica links e, se o operador ativar isso, dados sobre organizações. O que a Mandy salva sobre você termina com a conta (Art. 6(1)(f) GDPR: uma plataforma viva em que novos membros se integram).

• Avisos para participar vêm da Mandy, sempre com o motivo, por exemplo sobre uma publicação sem resposta, o desafio da semana, como foi recebida uma publicação sua e, de dois a quatro dias após o cadastro, uma única vez sobre os primeiros passos. O número máximo por dia é definido pela equipe, contado a partir das notificações existentes. Só é salvo quando chegaram um estímulo para escrever e o lembrete, para que não se repitam, e a sua escolha em Configurações → Notificações, onde você desativa os avisos.
• Publicações e respostas: a Mandy dá boas-vindas a novos membros na primeira publicação deles, agradece por respostas, faz perguntas sobre #tags movimentadas, escreve em ocasiões fixas, anuncia o desafio da semana, faz uma retrospectiva da semana, resume respostas e destaca publicações; se ela citar uma publicação ou resposta (sem links e menções), o autor recebe a notificação de sempre. Cada texto é planejado antes e salvo com o membro e a publicação por 90 dias, para que a equipe possa vê-lo e interrompê-lo; isso consta da exportação de dados. Em grupos, a Mandy só escreve se a liderança ativar isso.
• O que a Mandy pode fazer: boas-vindas, agradecimentos e o destaque ou a citação dos seus textos você desativa em Configurações → Notificações (três interruptores nas suas configurações). Quem silencia ou bloqueia a Mandy não recebe respostas dela.
• Aprendizado só a partir de totais: quantas respostas, curtidas (nas respostas dela, votos positivos) e repostagens os textos dela tiveram após 48 horas e em que hora mais se escreve. Não surgem dados sobre membros individuais; a equipe pode redefinir o que foi aprendido.
• Depois de uma pausa de pelo menos 7 dias, o “Para você” mostra por um dia mais acima as publicações das contas que você segue; é salvo o momento da sua volta, sobrescrito na próxima vez. A equipe pode desativar isso para todos.

Push, apps e e-mails

Push só existe se você ativar em um dispositivo; você pode revogar a qualquer momento, por dispositivo. Nenhum serviço de push recebe o conteúdo, só o sinal de que há algo novo; o texto e o número de não lidas o seu dispositivo busca neste servidor com uma chave própria. São salvos o endereço ou o identificador do dispositivo no serviço de push e as chaves do navegador ou uma impressão da chave do app, até você desativar o push ou sair. Quais são esses serviços de push está em Destinatários; sem os serviços do Google, o app Android consulta sozinho de tempos em tempos, e o app para desktop enquanto estiver aberto. Você só é notificado onde estiver usando o tellmelo no momento; para isso, as páginas abertas informam de que tipo são e se estão em primeiro plano, só por 75 segundos na memória de trabalho (Art. 6(1)(a) GDPR, § 25(1) TDDDG). Os botões de uma notificação (responder, curtir, votar, compartilhar, seguir de volta, aceitar ou recusar uma chamada) fazem o mesmo que em tellmelo; os apps de iPhone e Android os enviam a este servidor com sua chave. Se você escolher uma vez por dia, reações, novos seguidores, menções e novidades dos grupos chegam juntos no horário escolhido em vez de um a um; mensagens e logins continuam chegando na hora. Para isso, o horário e o fuso horário do seu dispositivo são salvos com as suas configurações. No app de iPhone, uma chamada toca como uma chamada telefônica (CallKit): para isso é salvo um segundo identificador do dispositivo na Apple, e a Apple só recebe um identificador aleatório da chamada; o app busca neste servidor, com a sua chave, quem está ligando. Essas chamadas não aparecem no histórico de chamadas do celular.

• Nos apps vale o mesmo, e mais: widgets mostram só o número de não lidas, buscado com a chave do app e só no dispositivo. Compartilhar no tellmelo coloca o conteúdo compartilhado como rascunho no app; ele só vai para o servidor com a sua publicação. Escolher fotos abre o seletor de fotos do sistema; o app recebe, sem permissão, só as imagens escolhidas. O bloqueio com Face ID, Touch ID ou código do aparelho é verificado pelo dispositivo; o app só fica sabendo do resultado. O ícone do app e “Ler offline” (dispositivo) ficam no dispositivo. Para que links do tellmelo abram no app, é buscado um arquivo deste site que só cita o app, no iOS pela Apple (Art. 6(1)(b) GDPR; para entradas no dispositivo, § 25(2) nº 2 TDDDG).
• Exibição no Discord: se o Discord estiver rodando no mesmo dispositivo que o app para desktop para Windows ou Linux, este mostra no seu perfil do Discord o que você está fazendo no tellmelo no momento (“Rich Presence”): de início a área (feed, uma #tag, um grupo aberto, a loja); conforme a sua escolha, só que você está usando o tellmelo ou também a publicação pública ou o perfil público que você está vendo, com nome, início do texto e imagem; além disso, botões para a página e, enquanto o seu perfil for público, para o seu link de convite. Nunca são mostrados mensagens, termos de busca, perfis não públicos nem publicações para amigos próximos ou de grupos internos e ocultos. Os dados só vão para o programa do Discord no seu dispositivo; o Discord os transmite, segundo as próprias condições, a todos que podem ver o seu perfil. O tellmelo não salva nada para isso; a sua escolha fica no app para desktop. A exibição, com a área e o link de convite, vem ativada desde o início, o que o app indica na primeira vez com um botão para as configurações. Exibição e link de convite podem ser desativados em Configurações → Aparência e app → Discord (Art. 6(1)(f) GDPR: mostrar no Discord o seu uso do tellmelo, como é comum lá).
• Beta do app iOS pelo TestFlight da Apple (Apple Distribution International Ltd., Cork), com os termos e os avisos de privacidade da Apple. Feedback e relatórios de falha do TestFlight o operador recebe pela Apple, com os dados que a Apple anexa, como o dispositivo e a versão do sistema (Art. 6(1)(f) GDPR: melhorar o app). Compras na beta são compras de teste gratuitas no ambiente de teste da Apple; o tellmelo salva sobre isso apenas o ponto de plano que a primeira compra de teste de uma conta dá como agradecimento (Art. 6(1)(b) GDPR).
• Pedido de avaliação: no mínimo duas semanas após o cadastro, no máximo a cada quatro meses, pela Apple, que também decide se a janela aparece; a avaliação só acontece lá. É salvo o momento do último pedido (Art. 6(1)(f) GDPR: tornar o app mais conhecido).
• Sons próprios (com assinatura): o seu navegador recorta cinco segundos de uma gravação; o servidor os converte sem metadados e os guarda até você remover o som (Art. 6(1)(b) GDPR).
• E-mails sobre conta, segurança, compras, decisões e textos jurídicos alterados você recebe enquanto a conta existir (Art. 6(1)(b) GDPR). A retrospectiva após sete dias de ausência (só números) e e-mails parecidos, só com o seu consentimento, revogável com um clique em cada e-mail, não sob supervisão (Art. 6(1)(a) GDPR, § 7(2) nº 2 UWG).

Ferramentas

Ferramentas para organizações, parceiros e desenvolvedores

As ferramentas (Art. 6(1)(b) GDPR; perante pessoas que entram em contato com elas, por exemplo em uma conversa com uma organização ou como origem de um webhook ou de uma automação, Art. 6(1)(f) GDPR: atender pedidos, entregar eventos, reações como à mão):

• Acesso de equipe e caixa de entrada da equipe (Organização): até cinco pessoas agem pela conta, veem o que ela vê, inclusive mensagens para a conta, e escrevem em nome dela; as ações delas ficam 90 dias no registro da conta. Nas conversas, elas anotam quem está cuidando e uma nota interna criptografada, pela qual a organização é responsável.
• Eventos, locais e complementos do perfil (Organização) ficam públicos no perfil. As inscrições em eventos a organização vê com nome e @nome, os outros só como número; eventos e inscrições são apagados um ano depois do evento.
• Widget para sites e webhooks: o widget mostra publicações públicas de um perfil público em um site externo, sem cookies e sem script. Webhooks enviam a um endereço https informado o tipo e os identificadores de eventos novos e @nomes, nunca textos, e a parceiros também a situação da cota deles; pelo recebimento é responsável quem os configura.
• Chaves de API são mostradas uma vez e não são salvas; ficam uma impressão irreversível, as permissões, o último uso e o número de chamadas, não o que foi consultado. Chaves de site para o seletor de GIFs em sites próprios são públicas; são salvos a chave, o nome, os endereços informados e quando ela foi criada, até você excluí-la. O seletor só mostra o que os membros permitiram para outros sites; os acessos dele o servidor trata como GIFs e vídeos incorporados. Na área de desenvolvedores (/developer), você tem até dez chaves de API, cada uma com nome, permissões e, se quiser, um último dia (api_keys.name, api_keys.expires_at); uma chave renovada substitui o segredo e as expiradas são recusadas. Cada alteração ali, inclusive em chaves de site, bots, webhooks e apps, você confirma com sua senha e, se ativado, um código da verificação em duas etapas; só tentativas erradas são contadas, como no login.
• Automações (para papéis com permissão para isso): rotinas agem pela sua conta por horário (publicações, também com #tags, perfis indicados, seguidos ou não seguidos; a cada algumas horas, se você quiser só em determinados horários, com uma probabilidade) ou por eventos (cada publicação nova, publicações novas de perfis, com #tags ou em grupos, primeiras publicações de membros novos, seguidores novos, respostas nas suas publicações), com uma curtida, em respostas com um voto positivo (nunca contra um voto negativo da sua conta), um compartilhamento, uma resposta a partir dos seus textos ou um seguir. São salvas as rotinas (horário ou evento, perfis, grupos ou #tags indicados, blocos com textos, última execução e quanto ela planejou) e, para cada ação planejada ou pulada, a publicação, a resposta ou a pessoa, a ação, o texto escolhido e os horários, até 2 dias depois do horário dela, e as executadas por 8 dias, para que nada que você desfez seja repetido. Só são lidos dados já salvos de qualquer forma; cada ação passa pelas mesmas verificações que as feitas à mão.

Entrar em outros sites

Outros sites podem oferecer o login com a sua conta do tellmelo. Só quando você escolhe “Permitir” o site recebe o seu nome de usuário, o seu endereço de e-mail confirmado e um identificador só para aquele site, ou parte disso, nunca nome, foto de perfil, publicações, contatos ou senha. São salvos o seu consentimento com alcance e datas e, para a entrega, um código de uso único por no máximo um minuto. Remover em Configurações → Apps e API → Sites conectados; o que o site faz com os dados é responsabilidade dele. Contas supervisionadas não podem usar isso (Art. 6(1)(a) GDPR).

Quem pede um app para o próprio site informa nome, site, política de privacidade, endereços de retorno e finalidade; a equipe decide com motivo (Art. 6(1)(b) GDPR). Você pode alterar um app aprovado a qualquer momento: a alteração fica ao lado do app (oidc_clients.changes) até a equipe adotá-la ou recusá-la com justificativa, e você pode retirá-la; até lá vale a versão aprovada.

Moderação, suporte e segurança

Moderação e situação da conta

Denúncias, decisões, advertências, restrições e recursos são salvos para que as decisões possam ser verificadas; os seus próprios textos neles ficam criptografados. A sua situação aparece em “Situação da conta”; cada decisão você recebe com o motivo como notificação e por e-mail, sem o nome de quem decidiu (Art. 6(1)(b) e (f) GDPR: proteger os membros contra spam, fraude e conteúdos nocivos; ordem e segurança da plataforma).

Moderação automática: antes de uma publicação aparecer, regras do operador verificam, com dados já salvos (por exemplo idade da conta, últimos textos, links, menções, palavras de uma lista da equipe), se uma pessoa deve olhá-la primeiro ou se ela chega rápido demais, com frequência demais ou com um link bloqueado; até lá, só você a vê, com os motivos. Quem decide é uma pessoa, também sobre limites depois de publicações muito rápidas. A equipe está isenta.

Ordem das denúncias: a Mandy ordena as denúncias abertas para a equipe por pesos fixos (motivo mais grave, número de pessoas que denunciaram, casos contra o autor nos últimos 90 dias, tempo de espera), com perigo a crianças sempre no topo. Cada denúncia é decidida pela equipe; nenhum dado novo surge nesse processo.

Verificação de imagens: um modelo de reconhecimento neste servidor examina cada imagem, vídeo e GIF enviado em busca de representações pornográficas ou sexualmente explícitas, inclusive desenhadas; em vídeos e GIFs, a partir da prévia e de alguns quadros. Só é salvo um valor em porcentagem; nada vai para terceiros. Acima do limite do operador, uma publicação espera por uma pessoa; como resposta, mensagem, imagem de perfil ou de grupo, a imagem não é aceita. A equipe está isenta; sobre chats com criptografia de ponta a ponta, veja lá.

Tirado do ar provisoriamente: ajudantes e a equipe podem tirar do ar uma publicação ou dados do perfil (descrição, imagem de perfil e de capa, site) até a decisão da moderação; isso é salvo como uma denúncia, e o estado anterior de um perfil criptografado, até 30 dias depois da decisão. Se o conteúdo é restaurado ou continua removido, você fica sabendo por notificação, sem o nome de quem o tirou do ar.

Visão da equipe e papéis: para moderar, membros da equipe com permissão para isso veem também conteúdos que ficariam ocultos para eles como membros, por exemplo por causa de um bloqueio ou por serem para amigos próximos, sinalizados e sem poder interagir com eles. Cada membro da equipe tem um papel com permissões definidas; os papéis e as alterações deles ficam no registro de auditoria.

Contato, suporte e relatos de erro

• Pedidos de contato e denúncias de direitos autorais pelos formulários ou por e-mail para o endereço nas informações legais: nome, endereço de e-mail, mensagem e, em denúncias de direitos autorais, um endereço postal para citação ficam criptografados, junto com as respostas; o tellmelo busca a caixa postal pelo próprio servidor, os anexos ficam lá, e e-mails enviados automaticamente são apagados sem abrir um pedido. A sua avaliação de um pedido encerrado é atribuída à pessoa da equipe que o atendeu (Art. 6(1)(f) GDPR: responder a pedidos; em denúncias de direitos autorais, também Art. 6(1)(c) GDPR com o § 10 DDG).
• Central de ajuda e suporte, também em subendereços próprios como help. e support., que rodam no mesmo servidor: uma solicitação no suporte guarda também o seu tema. Para que você possa receber por e-mail os links das suas solicitações, cada solicitação leva um valor de chave irreversível do seu endereço de e-mail (HMAC); com login, “Minhas solicitações” mostra as que você fez com login. Se um artigo ajudou é contado só como um número por artigo, sem ligação com você (art. 6.º, n.º 1, al. f) do RGPD: responder solicitações e melhorar a ajuda).
• Perguntas sobre um pedido a partir do inventário: mensagem (criptografada) junto com as respostas, o seu nome, o endereço de e-mail da sua conta (criptografado) e o pedido; a equipe vê o que foi pedido, quando, por quanto e por qual provedor, e pode reembolsar (Art. 6(1)(b) GDPR).
• Pedidos com base no GDPR (acesso, exclusão e outros) a equipe registra em uma lista com tipo, recebimento, prazo, prorrogação com motivo, conclusão e quem os registrou (quem os conclui fica no registro de auditoria); a lista é apagada junto com o pedido ou com a conta (Art. 6(1)(c) em conjunto com o Art. 5(2) e o Art. 12(3) GDPR).
• Relatos de erro: área, descrição (criptografada), versão, navegador e sistema em poucas palavras, a tela e, se você quiser, uma captura de tela; o que será enviado você vê antes (Art. 6(1)(b) GDPR).
• Tickets: denúncias, pedidos e outros casos a equipe trata como tickets, com responsável, situação e notas internas (criptografadas) que você não vê (Art. 6(1)(f) GDPR: atendimento organizado).
• Acesso de suporte: só se você concordar pelo link em um e-mail, uma pessoa da equipe age por 24 horas na sua conta, sem acesso a dados de login, pagamentos, exclusão, exportação de dados, consentimentos e as suas mensagens. Cada alteração é registrada com o estado anterior (criptografado), para que você possa desfazê-la; no fim, você recebe um resumo. Encerre a qualquer momento em Configurações → Conta e segurança (Art. 6(1)(a) GDPR).
• Feedback: no mínimo 14 dias após o cadastro, um cartão no feed pergunta no máximo uma vez por mês o que você está achando do tellmelo (cinco níveis e, se você quiser, uma frase); ao excluir a conta, você pode escolher um motivo e escrever uma frase. As duas coisas são voluntárias e são salvas sem vínculo com a sua conta (resposta ou motivo, frase criptografada, mês, idioma); o operador as vê na administração em forma de análise. Por favor, não escreva na frase nada que permita identificar você. Na conta fica só o mês da última pergunta, quer você tenha respondido, quer tenha fechado o cartão (Art. 6(1)(f) GDPR: melhorar o tellmelo com base em feedback voluntário).

Registro de auditoria

Decisões e intervenções na administração são registradas com pessoa, objeto, momento e motivo, sem publicações nem mensagens. O registro continua após a exclusão de uma conta, para que a moderação continue verificável (Art. 6(1)(f) em conjunto com o Art. 17(3)(e) GDPR: exercício ou defesa de direitos). Reembolsos elevados e alterações a funções da equipa só são executados quando uma segunda pessoa com o mesmo direito concorda; para isso, o pedido, quem o fez e quem decidiu são guardados até 90 dias.

Prazos e direitos

Por quanto tempo os dados ficam guardados

Os dados são apagados assim que a finalidade deixa de existir, no máximo nestes prazos; se uma seção acima indicar um prazo menor, vale esse.

Destinatários e países terceiros

• Operadores de dados na Alemanha (Art. 28 GDPR, com contrato): um operador de data center para o servidor e um prestador de envio de e-mails; nomes mediante pedido pelo formulário de contato.
• Photon (komoot GmbH, Potsdam): só o que você digita na busca de endereço.
• Serviços de login, só se você os escolher: Google (Google Ireland Limited, Dublin), Clovord (Noah-Steffen Pansegrau, Sundern), Apple (Apple Distribution International Ltd., Cork); eles ficam sabendo que o login é para o tellmelo.
• Provedores de pagamento, só na compra: Stripe, Google Play, App Store (Pagamento).
• Serviços de push, só com push e só para o sinal sem conteúdo: no navegador, o serviço do fabricante dele (Google, Mozilla, Apple); no app Android, o Firebase Cloud Messaging (Google); no app iOS, o Apple Push Notification service.
• Discord, só com o app para desktop, pelo programa do Discord no seu dispositivo: a exibição no Discord, até você desativá-la.
• Destinatários que você mesmo define: servidores de webhook de uma organização ou de um parceiro, sites em que você entra com o tellmelo e o DuckDuckGo para buscas em janelas de navegador do app para desktop; eles são responsáveis pelo recebimento.
• Autoridades e tribunais, só quando uma lei obrigar (Art. 6(1)(c) GDPR).

Não há outros destinatários. Países terceiros: vão dados para os EUA para Google, Apple ou Mozilla com o push; no pagamento e no login por um serviço, Stripe, Google e Apple podem transferir dados para os EUA. A base é a decisão de adequação sobre o EU-U.S. Data Privacy Framework (Art. 45 GDPR), na medida em que o provedor seja certificado nele; no push, também o seu consentimento (Art. 49(1)(a) GDPR). O que o Discord faz com a exibição, também fora da UE, é regido pelas condições do Discord.

Nenhuma decisão automatizada

Não há decisão automatizada nos termos do Art. 22 GDPR. O feed ordena segundo uma fórmula cujos controles você ajusta; os principais parâmetros dela estão nos termos de uso. Sobre moderação, restrições e programas decide uma pessoa ou o seu próprio sim; também a Mandy só retém publicações e ordena denúncias, quem decide é a equipe. Só acontece automaticamente o que não tem efeito jurídico ou efeito igualmente significativo, por exemplo na verificação de links e imagens, ao recolher respostas com muitos votos negativos e na indicação “não confirmado” em dados sobre organizações. Você pode recorrer de qualquer decisão.

Seus direitos

• Acesso (Art. 15 GDPR), retificação (Art. 16), exclusão (Art. 17), restrição (Art. 18) e portabilidade dos dados (Art. 20).
• Oposição (Art. 21 GDPR) ao tratamento baseado em interesse legítimo.
• Revogação do consentimento (Art. 7(3) GDPR) com efeito para o futuro.

Faça você mesmo: em Configurações → Seus dados você baixa seus dados e exclui sua conta; ela é bloqueada na hora e excluída definitivamente após 30 dias; até lá, você desfaz isso entrando de novo. Para todo o resto, escreva para kontakt@tellmelo.com ou use o formulário de contato.

Reclamação: a uma autoridade de supervisão de proteção de dados (Art. 77 GDPR), por exemplo onde você mora ou onde o responsável tem sede; na Baviera, a Autoridade de Proteção de Dados da Baviera (BayLDA), Promenade 27, 91522 Ansbach.

Alterações

Se o tellmelo tratar dados de um tipo novo, para finalidades novas ou com destinatários novos, esta declaração é ajustada antes; funções novas dentro do quadro descrito não a alteram. A data no topo indica a versão em vigor. Sobre alterações relevantes, um e-mail para o endereço da sua conta avisa antes; sobre alterações apenas de redação, não.