Política de privacidade do Aconchego

Quem trata os seus dados

O Aconchego é de Raianny Aparecida Souza, que decide o que se faz com os dados que esta app guarda. É o que a lei chama responsável pelo tratamento.

Para qualquer pergunta sobre os seus dados, ou para exercer os direitos que esta política descreve, escreva para geral@aconchego.eu. Respondemos no prazo de um mês. Não é o endereço que lhe envia os códigos de entrada.

Por carta, se preferir: Rua da Fonte 133, 4765-334 Oliveira Santa Maria, Portugal.

Esta é a versão de 11 de outubro de 2026. Quando o texto mudar, pedimos-lhe que o leia outra vez e guardamos a data em que nos disse que o leu. Guardamos também a data da primeira vez, de quando criou a conta.

Que dados guardamos

O seu nome, o seu email e, se a puser, a sua fotografia de perfil. E, de cada família em que entra, a sua relação com o familiar — «Filha», «Neto» — e o papel que tem nela.

Os dados do familiar que a família regista: o nome, a fotografia, a data de nascimento, o sexo, a localidade, o telefone, o médico, as notas, as «Informações importantes» e o fuso horário. Quando alguém a preenche, a informação de saúde: problemas de saúde, medicação, alergias e outras notas. E os contactos de emergência — o nome, o telefone e a relação de cada um —, que, tal como o nome e o telefone do médico, são dados de pessoas que podem nunca ter ouvido falar da app.

As tarefas (o título, a categoria, as notas, o local, o dia e a hora, a repetição, quem as criou, a quem ficaram e quem as concluiu) e as visitas (o dia e a hora, o que foi feito nelas e a nota de quem visitou). O histórico da família e os alertas que lhe enviámos. E um identificador deste telemóvel, para lhe podermos enviar avisos.

Cada visita e cada tarefa concluída guardam também uma prova: uma fotografia e o sítio onde foram confirmadas. O sítio não se guarda se quem confirma recusar a localização, ou se a família desligar «Pedir localização». Nas tarefas de Medicamentos e de Compras, guardamos a fotografia da fatura.

E, de cada convite que criar ou usar, o código, o papel que ele dá e as datas em que foi criado, usado ou anulado.

E os avisos da sua conta. Quando alguém apaga uma família de que fazia parte, fica um aviso para si com o nome dessa família e o primeiro nome de quem a apagou — sem eles, o aviso não dizia o que aconteceu nem a quem. É o único registo que sobrevive à família que o originou, e a secção «Quanto tempo guardamos» diz quanto tempo fica.

Para que servem, e com que fundamento

Tratamos os seus dados para lhe dar o serviço que a app promete: organizar o cuidado de um familiar entre várias pessoas, e guardar a prova de cada visita e de cada tarefa concluída. Quanto a si, o fundamento é o contrato que tem connosco ao usar o Aconchego: sem estes dados não há app.

Os dados do familiar acompanhado não são seus nem nossos: são dele, e é a família que os escreve. O fundamento é o interesse legítimo de quem cuida dele em organizar esse cuidado. Os direitos dele estão descritos mais abaixo, na secção «Quem não tem conta no Aconchego».

A informação de saúde do familiar só é escrita depois de um membro da família confirmar, no formulário, que tem autorização para a registar. É nessa autorização que o tratamento assenta. Fica guardado quem confirmou e quando — e, se essa pessoa eliminar a conta, fica a data sem o nome dela. Como a lei trata a saúde com um cuidado especial, a qualificação final dessa autorização está a ser fechada com um jurista, e esta política diz qual é assim que estiver.

A base legal do tratamento da localização das provas ainda não está fixada, e dizemos porquê: quando quem cuida o faz a troco de pagamento, a lei portuguesa não aceita o consentimento dele como fundamento para o localizar, e a Comissão Nacional de Proteção de Dados escreveu-o. Fixá-la sem a avaliação de impacto que está a ser feita era decidir à pressa uma coisa que diz respeito a quem trabalha. Fica na próxima versão desta política.

Recusar a localização não impede nenhuma visita nem nenhuma tarefa, e um administrador pode desligar «Pedir localização» para toda a família.

As quatro qualificações jurídicas desta secção — o contrato, o interesse legítimo, a autorização da saúde e a base da localização — estão a ser fechadas com um jurista, junto com a avaliação de impacto. Escrevemos as duas primeiras porque a lei obriga a dizer o fundamento de cada tratamento, e esta política diz se alguma delas mudar.

As provas das visitas e das tarefas

A fotografia é obrigatória: sem ela não se confirma uma visita nem se conclui uma tarefa. Tira-se no momento, com a câmara da própria app, e não se pode escolher da galeria. Antes de sair do telemóvel, é comprimida e perde os dados escondidos que a câmara lhe junta, como o sítio onde foi tirada.

A localização lê-se uma só vez, no momento em que confirma a visita ou conclui a tarefa. Nunca se lê em segundo plano, por exemplo com a app fechada, nem de forma contínua. Guardamos o ponto (latitude e longitude), a precisão em metros, a hora da leitura e a morada que o serviço de moradas do telemóvel devolve: a rua e o número da porta, quando ele os dá, e só a localidade quando a leitura é imprecisa.

Quando não há localização, guardamos o motivo, que a família vê: não foi autorizada, o GPS estava desligado ou não havia sinal. No Android, a família vê também quando a localização foi simulada por outra app.

A localização serve só para a família ver onde cada visita e cada tarefa foram confirmadas. Não se destina a avaliar o desempenho de ninguém, incluindo o de um cuidador contratado.

Como recusar a localização

Pode recusar a localização no pedido do telemóvel, ou retirar a autorização depois, nas definições do telemóvel. A visita ou a tarefa ficam registadas na mesma, e a família vê «Sem localização (não autorizada)».

Um administrador pode desligar «Pedir localização» no separador Família. A partir daí, não se guarda a localização de ninguém dessa família, e a app deixa de a pedir quando souber da mudança. Desligar não apaga as localizações já guardadas.

Quem os vê

Os membros da família, de acordo com o papel de cada um. Quem tem o papel de Visualização não vê a informação de saúde nem as faturas: em vez de cada fatura, vê só «Fatura anexada». Uma fatura de farmácia diz que medicamentos se compraram.

As outras fotografias e a localização das visitas e das tarefas são visíveis para todos os membros. Isto inclui quem tem o papel de Visualização e quem entrar depois na família. Veem a morada e, em «Ver no mapa», o ponto guardado.

Quem abre a secção «Saúde e medicação» fica registado: guardamos quem a consultou e quando, e mostramos essa lista a quem pode ver essa secção. É a maneira de o familiar, ou de quem o represente, poder saber quem viu a informação de saúde dele.

Além dos membros da família, quem responde pelos dados — a primeira secção diz quem é — pode consultar o que está guardado, para manter o serviço a funcionar, corrigir avarias e responder aos seus pedidos.

Os programas que correm no servidor deixam registos técnicos do que fizeram, e, quando alguém da nossa parte faz uma alteração à mão, fica quem a fez, que a mesma pessoa lê. Esses registos levam códigos de erro e identificadores internos — incluindo o caminho de um ficheiro que não se conseguiu apagar —, nunca nomes, notas nem informação de saúde.

Onde ficam e por onde passam

A base de dados e os ficheiros do Aconchego estão alojados na Supabase, num projeto criado em Frankfurt, na Alemanha, com ligações encriptadas. A região diz onde o projeto vive, mas não é um limite do contrato: o contrato com a Supabase permite-lhe tratar os dados onde ela, ou quem trabalha para ela, tiver instalações.

Uma visita confirmada sem rede fica neste telemóvel, com as fotografias (faturas incluídas) e a localização, até ser enviada. Se o servidor a recusar, fica até a apagar. No iPhone, enquanto a visita estiver neste telemóvel, as fotografias dela entram também na cópia de segurança, se estiver ligada.

Os avisos que chegam ao telemóvel passam pelo serviço de envio da Expo, nos Estados Unidos, e daí pela Google (Android) ou pela Apple (iPhone); para isso, a Expo recebe um identificador deste telemóvel. Cada aviso leva só o tipo de aviso, primeiros nomes (o do familiar e, nalguns avisos, o de quem fez alguma coisa ou entrou na família), o dia e a hora, quando os tem, e códigos internos que só o Aconchego sabe ler. Nunca leva o título das tarefas, notas nem dados de saúde.

O texto do aviso (os primeiros nomes e o dia e a hora, nunca o título das tarefas) pode aparecer no ecrã bloqueado, conforme as definições do telemóvel.

Os emails com o código de entrada são enviados por um serviço de email contratado para isso, que recebe o seu endereço e pode tratá-lo fora da União Europeia. Se entrar com a conta Google ou Apple, a entrada passa pelos serviços dessa empresa.

Para mostrar a morada, o telemóvel de quem confirma envia o ponto a um serviço de moradas: ao confirmar ou, se não houver rede nesse momento, quando a visita for enviada, que pode ser dias depois e de outro sítio. No Android, é o da Google; no iPhone, o da Apple. Esse serviço pode tratar o ponto fora da União Europeia. «Ver no mapa» abre o ponto na app de mapas do telemóvel de quem toca, ou no Google Maps, no navegador.

Do contrato com a Supabase fazem parte as cláusulas-tipo de proteção de dados da Comissão Europeia. Os outros serviços por onde os seus dados passam — o envio dos avisos, o email com o código de entrada, a entrada com a conta Google ou Apple e o serviço de moradas do telemóvel — têm cada um as suas condições, e a próxima versão desta política diz, um a um, com que garantia se faz cada passagem.

Quanto tempo guardamos

Ficam enquanto a família existir: as visitas e as suas provas, as tarefas, o histórico, a informação de saúde do familiar, o registo de quem a consultou e o registo das folhas de informação que foram geradas. Uma visita não se apaga.

A prova e a fatura de uma tarefa ficam enquanto a tarefa existir: reabrir ou apagar a tarefa apaga-as, e a fotografia e a localização da visita em que ela foi concluída ficam com a visita. O título da tarefa fica no histórico da família, porque o histórico é o que diz o que foi feito. Quando uma família fica sem membros, apaga-se com tudo o que guardava.

Fica uma coisa só: o aviso que os outros membros recebem a dizer que aquela família foi apagada, com o nome dela e o primeiro nome de quem a apagou. Sem o nome, o aviso não dizia qual família desapareceu. Esse aviso apaga-se 90 dias depois de ser lido — e um aviso que ninguém leia fica, como ficam os alertas por ler.

Os alertas que já leu apagam-se 90 dias depois de os ter lido; os que não leu ficam. O texto que saiu no aviso do telemóvel apaga-se 7 dias depois, com o registo desse envio. Um convite deixa de servir 7 dias depois de ser criado.

Os ficheiros que ninguém usa entram numa fila de limpeza e são apagados do servidor. A fotografia de uma prova apagada, a fatura de uma tarefa reaberta e a fotografia anterior do familiar saem na passagem seguinte da limpeza, que corre de hora a hora. O que chegou ao servidor sem nunca ter servido de prova espera oito dias — uma visita guardada sem rede pode demorar dias a ser enviada — e sai na passagem seguinte a essa espera.

A limpeza não promete prazo: enquanto o serviço que guarda os ficheiros estiver em baixo, a passagem seguinte volta a tentar. E estar na fila não é um prazo de conservação: um ficheiro que a app ainda usa fica lá enquanto for usado.

Um ficheiro que deixe de aparecer na app continua lá, até a limpeza correr, embora a app não o mostre: quem tiver o caminho dele chega-lhe enquanto ele lá estiver. Nas fotografias das visitas e do familiar, isso quer dizer qualquer membro da família; nas faturas e nas fotografias das tarefas, quem as enviou e quem pode ver as provas.

Não se compra nada dentro do Aconchego. Se isso mudar, e uma família com uma subscrição desaparecer, fica o registo da compra — a loja, o número da compra, o produto e as datas, nunca quem comprou — para se poder cancelar ou devolver o dinheiro. Esse registo apaga-se um ano depois de a subscrição terminar.

Porque é que quase tudo fica enquanto a família existir: o Aconchego existe para guardar a prova de que alguém esteve com quem precisava. Uma prova que se apagasse ao fim de uns meses deixava de servir para aquilo que foi feita, e o histórico de uma família é dela.

O que fica quando sai ou elimina a conta

Se sair da família, ou eliminar a conta, as visitas e as tarefas que confirmou continuam no histórico da família, com as suas provas. Deixam de ter o seu nome: passam a aparecer como «Antigo membro».

Das provas que deixou fica a fotografia e a morada aproximada; sai o ponto de GPS exato e sai a precisão da leitura. As faturas que enviou ficam com a família, porque são a prova de uma despesa dela. Saem a sua fotografia de perfil, os seus alertas, as suas preferências de aviso e o registo deste telemóvel.

Onde o seu primeiro nome apareceu num aviso que outra pessoa recebeu, ele fica nesse aviso: é o texto que já lhe foi mostrado no telemóvel. Nos avisos da conta — os que dizem que uma família foi apagada — o seu primeiro nome é apagado no instante em que a sua conta deixar de existir.

O fundamento para ficar o resto é o artigo 21.º, n.º 3, da Lei n.º 58/2019: os dados precisos para comprovar o cumprimento de obrigações podem conservar-se enquanto não prescreverem os direitos correspondentes. O mesmo artigo exige que essa conservação seja informada — e é o que esta secção faz.

Há uma coisa que nem sempre conseguimos apagar. Quando uma conta é eliminada, o serviço de autenticação que usamos escreve o endereço de email dessa conta no seu próprio registo de segurança, no mesmo instante em que a apaga. Tentamos apagar essa linha; quando não é possível, fica como registo de segurança, a dizer que aquela conta foi eliminada e quando.

Os seus direitos

Tem direito a saber o que guardamos sobre si, a corrigi-lo, a apagá-lo, a limitar o que fazemos com ele, a levá-lo consigo e a opor-se ao tratamento.

No separador Mais, em «A minha conta», pode exportar os seus dados num ficheiro só e eliminar a sua conta. Eliminar a conta apaga tudo o que é seu na hora, à sua frente, e a secção anterior diz o que fica. Algumas fotografias podem ainda estar a sair do servidor quando a app lhe disser que acabou: saem sozinhas, na limpeza automática, e já não estão ligadas a si. Se já desinstalou a app, pode pedir a eliminação na nossa página da internet, sem voltar a instalar nada.

Enquanto a app lhe estiver a pedir o nome, a política ou a primeira família, o separador Mais ainda não existe. A mesma página abre-se pela ligação «Exportar ou eliminar a minha conta», que está nesses ecrãs.

Para os direitos que não têm botão — corrigir, limitar, opor-se — e para qualquer pergunta, escreva para geral@aconchego.eu.

Pode também apresentar queixa à Comissão Nacional de Proteção de Dados (CNPD), que é a autoridade portuguesa de proteção de dados.

Quem não tem conta no Aconchego

O familiar acompanhado não tem conta no Aconchego, e a informação sobre ele é escrita por quem cuida dele. Tem, ainda assim, todos os direitos desta política, e pode exercê-los por qualquer membro da família ou escrevendo-nos diretamente.

Para que ele saiba o que se guarda sobre si sem ter de instalar nada, a app gera uma folha de informação, numa página, para a família lhe entregar. Guardamos a data em que essa folha foi gerada, quem a gerou, para qual das duas folhas era e a versão desta política que ia nela.

Quem cuida a troco de pagamento tem a mesma folha, escrita para si, e deve recebê-la antes da primeira visita. A localização dele não é tratada com base no consentimento dele, e recusá-la não impede nenhuma visita nem nenhuma tarefa.

A nossa página da internet mostra esta política e diz por onde se fala connosco, sem ser preciso ter a app instalada.