Política de Privacidade

O Shipcue foi feito para saber o mínimo possível sobre si. Esta página explica o que armazenamos, onde e porquê.

Rascunho. Esta política é um rascunho de trabalho e será finalizada antes do lançamento do Shipcue. Atualizada em 28 de outubro de 2026.

Quem somos

O Shipcue é feito pela AppLabs.lv (Letónia). Dúvidas sobre esta política: privacy@shipcue.app.

Resumo

• Sem conta, sem nome, sem e-mail, sem palavra-passe.
• Sem SDKs de análise, publicidade ou rastreio.
• No modo Private, as suas chaves de API do App Store Connect nunca chegam ao nosso servidor.
• O nosso servidor só fica a saber algo sobre quem usa a app quando o Shipcue Pro e as notificações push são ativados, ou quando é usado Send Test Notification em Settings (nesse caso, guarda apenas o ID anónimo do Shipcue e o registo de push desse dispositivo).

No nosso servidor

O nosso servidor fica na UE (DigitalOcean, Frankfurt). Antes da subscrição do Shipcue Pro e da configuração do push, não sabe nada sobre quem usa a app. Send Test Notification em Settings é a única exceção: funciona sem o Pro e regista esse dispositivo (ID anónimo do Shipcue e os dados do dispositivo indicados abaixo). Quando o Pro é usado com push, o servidor guarda:

• Um ID anónimo do Shipcue: a parte pública de uma chave que o dispositivo criou no primeiro uso, mais um ID aleatório da subscrição.
• Para cada dispositivo com push: o token de push, o modelo, a versão do iOS, a versão do Shipcue, o idioma, o fuso horário, quais das suas chaves guarda (por impressão digital) e um hash do token de sessão. As sessões expiram após 90 dias sem uso.
• Os nomes de conta escolhidos, o tipo de chave e uma impressão digital da parte pública de cada chave e, para chaves de equipa, um hash com chave do Issuer ID; nunca a chave nem o próprio Issuer ID.
• Nomes de apps, bundle IDs, números de versão, estados de revisão e o respetivo histórico, incluindo de apps ainda não lançadas.
• Para apps que estão na App Store: o endereço público do ícone da app, obtido no diretório público da App Store da Apple apenas com o ID da app, para que as notificações o possam mostrar. Atualizado semanalmente e apagado quando já ninguém acompanha a app.
• Dados de encaminhamento de webhooks e segredos de webhook encriptados, para podermos verificar que as atualizações de estado vêm da Apple. Os eventos de webhook são mantidos por 30 dias.
• As definições de notificação, as regras de lançamento automático assinadas e os horários dos temporizadores.
• Histórico de ações (o que foi lançado, retirado ou cancelado, e a partir de que dispositivo) e um registo de push de 30 dias.
• Confirmações de entrega: o ID do push e a hora a que uma notificação chegou ao dispositivo (comunicada pela app quando a notificação chega, não quando é aberta). Mantidas durante 30 dias.
• Se o Shipcue Pro está ativo e quando renova ou termina, mais registos de eventos do RevenueCat mantidos por 30 dias.
• Cópias de segurança encriptadas do que está acima, mantidas durante 30 dias.
• Registos do servidor sem segredos nem tokens, mantidos durante cerca de 7 dias.

Modo Server-assisted (previsto para uma versão futura, opcional por conta): uma cópia encriptada da chave de API dessa conta. Nunca entra nas cópias de segurança e é apagada imediatamente quando a conta volta para Private, é desligada ou os dados do Shipcue são apagados.

No seu iCloud Keychain

Encriptados de ponta a ponta pela Apple, sincronizados com os seus próprios dispositivos e incluídos nas cópias de segurança encriptadas do dispositivo. Nada disto chega ao nosso servidor.

• As suas chaves de API (.p8) com Key ID, Issuer ID e nome da conta, exceto as chaves mantidas num único dispositivo por escolha.
• A chave de assinatura do Shipcue, que assina as suas regras de lançamento automático para que o nosso servidor não possa alterá-las.
• Um pequeno registo das regras mais recentes e dos temporizadores cancelados.

Apenas no seu dispositivo

• Chaves de API mantidas num único dispositivo por escolha. Não são sincronizadas nem incluídas em cópias de segurança.
• A sessão, o estado em cache, o tema e as definições de aparência.

Compras

A Apple processa todos os pagamentos. Usamos o RevenueCat para verificar o estado da subscrição; recebe um ID aleatório do Shipcue e o histórico de compras, nunca o nome, o e-mail, as chaves de API nem os dados das apps.

O que não recolhemos

Nome, endereço de e-mail, palavra-passe da Conta Apple, dados de análise ou de rastreio. Os relatórios de falhas só nos chegam através da Apple, e apenas se a opção de partilhar análises com programadores de apps estiver ativada nas Definições do iOS.

Apagar os seus dados

Delete Account nas definições da app remove os dados do nosso servidor (das cópias de segurança no prazo de 30 dias) e as chaves do iCloud Keychain. Apagar não cancela o Shipcue Pro, que é cobrado pela Apple, nem revoga as chaves de API; faça-o no App Store Connect se já não as for usar.

Os seus direitos

Ao abrigo do RGPD, pode pedir o acesso, a retificação ou o apagamento dos dados e apresentar reclamação à autoridade de proteção de dados local. Como não sabemos quem é cada pessoa, podemos pedir que o pedido seja enviado a partir da app.

Alterações

Se esta política mudar, atualizaremos esta página e a data acima e avisaremos na app sobre mudanças importantes.