Política de privacidade

Atualizada em 30 de outubro de 2026

Esta política explica quais dados o app Soitilo e o site soitilo.com tratam, para quê, onde eles ficam armazenados e por quanto tempo. Ela se baseia no artigo 13 do Regulamento Geral sobre a Proteção de Dados da UE ((UE) 2016/679).

1. Controlador e contato

Nettiteeri Oy (número de registro empresarial 3331525-2, Finlândia)
E-mail: tuki@soitilo.com

O encarregado de privacidade da Nettiteeri Oy é responsável pelas nossas questões de privacidade e pode ser contatado neste endereço. Envie para cá perguntas e solicitações sobre os seus dados.

2. Quais dados tratamos

A conta do adulto

• Endereço de e-mail.
• Senha, só na forma de hash. A senha em si não é armazenada no servidor nem no aparelho.
• Se você entrar com o Google: o identificador da sua conta do Google e o endereço de e-mail que o Google verificou. O token de login que o Google fornece também pode conter o seu nome e o endereço da sua foto de perfil, mas não os lemos nem os armazenamos. Uma conta criada com o Google não tem senha até você definir uma com um link para redefinir a senha.
• Se você entrar com a Apple (no iPhone e no iPad): o identificador da sua conta Apple e o endereço de e-mail que a Apple fornece, que pode ser o endereço privado de retransmissão da Apple, que encaminha os e-mails para o seu próprio endereço. Não pedimos nenhum nome à Apple. O servidor também mantém, criptografado, um token que a Apple fornece para a conta, para que o acesso do Soitilo à sua conta Apple possa ser revogado quando a conta for excluída. Uma conta criada com a Apple não tem senha até você definir uma com um link para redefinir a senha.
• O idioma que o serviço usa com você (português, alemão, dinamarquês, espanhol, finlandês, francês, inglês, italiano, japonês, norueguês ou sueco), quando a conta foi criada e a versão dos termos de uso em vigor naquele momento.

Família

• Os adultos da família (uma família pode ter dois administradores) e as funções deles.
• Um identificador aleatório da família. Ele não é derivado de um endereço de e-mail.

Assinaturas

• Quando um administrador da família compra uma assinatura no Google Play ou na App Store, o app informa à loja o identificador aleatório da família, para que a compra fique vinculada à família certa. O servidor verifica a compra com a loja e armazena para a família, a partir da resposta da loja: o identificador da compra, o número do pedido do Google (com o qual o suporte encontra uma assinatura do Google Play), o produto e o plano (família ou individual), o status, quando ela expira, se ela é renovada automaticamente, se é um teste grátis ou uma compra de teste, o preço e a moeda, o identificador de uma compra anterior que a assinatura substituiu, quando os dados foram verificados e alterados, quando o lembrete do teste grátis foi enviado, para qual renovação o lembrete de renovação foi enviado e quando foi enviado o último aviso de assinatura em andamento. Quando o teste grátis de uma assinatura com renovação automática termina em cerca de três dias, enviamos um lembrete para os endereços de e-mail dos adultos da família com o horário do término, o preço informado pela loja e como cancelar a assinatura. Cerca de 45 dias antes de uma assinatura anual ser renovada automaticamente, enviamos um lembrete para os endereços de e-mail dos adultos da família com o horário da renovação, o preço informado pela loja, o último momento para interromper a renovação e como cancelar a assinatura. Enquanto uma assinatura continua, enviamos um aviso para os endereços de e-mail dos adultos da família pelo menos a cada seis meses, com o preço informado pela loja e como cancelar a assinatura. Não armazenamos a forma de pagamento, o nome nem o endereço.
• O Google e a Apple notificam o servidor quando uma assinatura muda (por exemplo, quando ela é renovada, cancelada, termina ou é reembolsada). A notificação do Google é armazenada como chega: ela contém o identificador da compra, o produto, o tipo de evento e o horário dele. O servidor não confia no que a notificação do Google diz, mas sempre verifica a assinatura com o Google. A Apple assina digitalmente a sua notificação; o servidor verifica a assinatura digital e armazena a notificação sem ela: os identificadores da compra e do pagamento, o produto, o tipo de evento e o horário dele, quando o período pago começou e quando termina, se ele é renovado e para qual produto, um problema de pagamento ou o motivo pelo qual terminou, se foi reembolsado e por quê, e se é um teste grátis ou uma compra de teste.
• Os administradores do serviço podem dar a uma família acesso sem compra (por exemplo, a um revisor de loja de apps ou a um professor). Esse acesso pode durar até um determinado dia ou ser uma isenção de pagamento permanente. Para isso, armazenamos o plano, quando ele termina (nenhuma data para uma isenção), quem o concedeu e uma observação livre. A concessão, a alteração e a retirada desse acesso também ficam registradas no log do servidor ou, quando feitas na administração, no registro de auditoria dela: para um acesso até um determinado dia, com o plano e o último dia antigos e novos; para uma isenção de pagamento, só se ela foi ativada ou desativada.
• Uma família pode ganhar um mês grátis (30 dias) como agradecimento por um feedback que implementarmos, e os administradores do serviço podem conceder um, no máximo dois em 365 dias no total. Para isso, armazenamos a família, o fundamento (o feedback, ou o administrador que o concedeu e um motivo livre), o método, o status, quando ele começa e termina e o resultado da resposta da loja. Se a família tiver uma assinatura ativa do Google Play ou da App Store, o servidor pede à loja que adie a próxima cobrança ou mude a data de renovação em 30 dias e informa à loja só o identificador da compra; a Apple também envia ao comprador o próprio e-mail dela sobre isso. Caso contrário, a família recebe acesso sem compra por 30 dias. Um e-mail sobre o mês grátis é enviado a quem enviou o feedback ou ao dono da família. Um mês concedido por um administrador fica registrado no registro de auditoria com o método e a data de término.

Convites e professores

Um administrador da família pode convidar por e-mail o segundo administrador da família ou um professor. Para um convite, armazenamos:

• o endereço de e-mail convidado e a função (administrador ou professor)
• o nome de quem convidou, como a pessoa o escreveu (no máximo 40 caracteres), a conta que convidou e quando o convite foi criado e quando termina
• para um professor, os aprendizes que o professor pode ver.

O código no link do convite é armazenado só como hash. O e-mail do convite tem o nome de quem convidou, mas nenhum nome de aprendiz. Um professor tem uma conta própria, com os mesmos dados da conta de um adulto. Para um professor, também armazenamos quais aprendizes de qual família foram compartilhados com ele, o nome de quem convidou e a conta que convidou. Um professor não é membro da família.

Um professor vê os aprendizes compartilhados no navegador, na visão do professor, só para leitura: o nome do aprendiz, o nome de quem convidou, o capítulo, o último dia de prática, se o perfil está em pausa, os estados das habilidades que o app determinou (tocou com apoio ou com autonomia, com dificuldade) e as estrelas e medalhas das músicas da Biblioteca (no ritmo, com as duas mãos). Se for possível que o aparelho da família ainda não tenha enviado a prática mais recente, a visão do professor diz isso sem informar nada sobre os aparelhos. Um professor não vê os eventos de execução, os outros aprendizes da família nem nada sobre os adultos da família.

Aprendizes

O adulto adiciona os aprendizes da família, geralmente crianças. Para um aprendiz, armazenamos:

• um nome ou apelido (no máximo 20 caracteres)
• uma imagem de perfil, que é uma das imagens do próprio app
• uma faixa etária (4–7, 8–17 ou adulto)
• o idioma, o estilo de apresentação e as outras configurações do app, exceto as escolhas espirituais e a trilha de músicas (abaixo, No aparelho)
• quando o servidor recebeu a confirmação do adulto de que é mãe, pai ou responsável legal da criança, ou um adulto autorizado por eles (seção 11); nada para um aprendiz adicionado com uma versão mais antiga do app
• se o perfil está ativo ou em pausa.

Não pedimos data de nascimento, foto nem dados de contato.

Eventos de execução e progresso

Para cada vez que um aprendiz toca, exceto hinos e Cânticos de Sião (abaixo, No aparelho), armazenamos qual peça e qual tarefa foram tocadas, de que forma (escutar, praticar ou tocar), com qual entrada (o piano na tela, um teclado conectado por cabo USB ou Bluetooth, ou o microfone), quando e em qual fuso horário, como terminou e, para cada nota, se ela foi acertada, qual foi o desvio de tempo em milissegundos e por quanto tempo a tecla ficou pressionada. Com um teclado conectado, também armazenamos com que força a tecla foi pressionada. O tempo de pressão e a força da tecla são usados para as habilidades de expressão. As dicas dadas também são armazenadas. Quando um adulto abre manualmente uma etapa da Trilha de Aprendizagem, armazenamos qual etapa foi aberta e quando. Também armazenamos o estado das habilidades do aprendiz e o estado das etapas da Trilha de Aprendizagem do aprendiz (quais etapas estão concluídas e qual é a atual), e as músicas da Biblioteca em que o aprendiz ganhou estrelas, com os nomes, as estrelas e as medalhas delas, exceto hinos e Cânticos de Sião. O app calcula esses dados a partir dos eventos. Também armazenamos o login de qual aparelho enviou cada evento.

Aparelhos

Cada aparelho conectado à conta recebe o seu próprio token de login. O nome dele é “Soitilo Android” ou “Soitilo iOS”, e ele registra quando foi usado pela última vez e com qual versão do app. O app não lê o nome do dono do aparelho e só envia o modelo do aparelho junto com um feedback (veja Feedback).

Um adulto pode parear outro aparelho da família, por exemplo o celular de jogos das crianças, como aparelho da família sem credenciais próprias. O app do adulto pede um código de uso único de seis caracteres, válido por 10 minutos. O servidor armazena só um hash do código, com a família, a conta que o pediu e quando ele termina, e os exclui quando o código é usado ou quando um novo código é pedido. O aparelho pareado recebe o seu próprio token de login na conta do adulto que pediu o código. O nome dele é como nos outros aparelhos, e ele registra quando foi pareado, quando foi usado pela última vez e a versão do app. Um aparelho da família pode tocar e sincronizar os dados dos aprendizes, mas não pode comprar, exportar nem excluir dados, nem gerenciar os adultos ou os aparelhos da família. Os administradores da família veem no app os nomes, os horários de pareamento e os horários do último uso dos aparelhos da família e podem remover um aparelho. O pareamento e a remoção ficam registrados no registro de auditoria: a conta, a família, o identificador do token do aparelho e o horário, nunca o código.

Dados técnicos

• O app envia a sua versão em cada requisição, e o seu idioma em cada requisição, exceto no relatório de um passo inicial.
• Passos iniciais: na primeira vez que o app mostra a tela de boas-vindas, abre o cadastro, o login ou o pareamento de aparelho, ou conclui um deles, ele informa esse passo ao servidor, cada passo uma vez por instalação. O relatório contém só o passo, o sistema operacional (Android ou iOS) e a versão do app: nenhum token de login, idioma, nem identificador do aparelho ou da instalação. O servidor soma um à contagem daquele dia, passo e sistema operacional e não guarda mais nada do relatório. O endereço IP só aparece no log do servidor web e na prevenção de abusos, como nas outras requisições. Um relatório que não chegou é enviado de novo nas próximas vezes que o app é iniciado, até o servidor aceitá-lo.
• Log do servidor web: endereço IP, horário, o método da requisição, o endereço solicitado (sem o código de um link de convite ou de redefinição de senha, nem o endereço de e-mail contido nele) e o protocolo, o código de status e o tamanho da resposta, o endereço da página de onde veio a requisição e o identificador do navegador ou do app.
• Quando algo dá errado, o log de erros do servidor: os detalhes do erro e o número de ID da conta, se a requisição veio de uma conta conectada.
• Para evitar abusos, o servidor conta tentativas: por endereço IP, as tentativas de cadastro, de login (também com o Google ou a Apple), de pareamento de aparelho da família, de redefinição de senha, de convite e de compra e os relatórios de passos iniciais; por endereço de e-mail junto com o endereço IP, as tentativas de login e de redefinição de senha; por conta, as tentativas de confirmação de senha, de aceitação de convite, de feedback e de compra; e por família, as tentativas de convite e cada alteração que o app envia ao servidor.
• A página de redefinição de senha, a página do convite e a visão do professor iniciam uma sessão que registra o endereço IP, o identificador do navegador e o identificador da conta conectada.

Feedback

Um adulto conectado pode enviar feedback pelo app. Armazenamos a mensagem (até 2.000 caracteres), a conta que a enviou, a família em que a conta estava naquele momento, quando ela foi enviada e os dados do aparelho que o app envia: a versão e o build do app, o sistema operacional e a versão dele, o modelo do aparelho, o idioma, o tamanho da tela e a forma de tocar. O app não acrescenta dados de aprendizes; a mensagem contém só o que o adulto escreve nela. Se respondermos, a resposta vai por e-mail para o endereço da conta, e cada resposta e o horário dela são armazenados com o feedback. Com o próprio login, não num aparelho da família, o adulto vê na área dos adultos do app o feedback que enviou, o status dele e as nossas respostas; o app mantém essa lista só na memória enquanto está aberto.

Um feedback pode ser transformado em um chamado no sistema de chamados do próprio fornecedor, o Teeri-ERP, que roda no mesmo servidor que o serviço. O chamado recebe a mensagem, os dados do aparelho, quando ela foi enviada e um link para o feedback na administração do serviço, não o endereço de e-mail, a conta nem a família de quem o enviou. Quando o chamado é concluído, o Teeri-ERP informa ao serviço só o número do chamado e o novo status dele: o feedback é então marcado como implementado, o que fica registrado no registro de auditoria, e quem o enviou recebe um agradecimento por e-mail; um chamado rejeitado encerra o feedback.

Quando o suporte pede uma tradução automática, o servidor envia a mensagem do feedback, ou a resposta escrita a ela, para a API paga Gemini do Google, para traduzir mensagens de suporte, e mantém a tradução da mensagem com o feedback; pelos termos do Google para a API paga Gemini, o Google não usa os textos para melhorar os seus produtos e os registra em log por um período limitado, só para detectar e evitar abusos. Um chamado criado a partir de um feedback traduzido também recebe a tradução para o finlandês.

Quando você entra em contato conosco

Quando você nos envia um e-mail, tratamos o seu endereço de e-mail, o seu nome, se você o informar, e o conteúdo da sua mensagem.

No aparelho

O app também armazena os aprendizes e os eventos de execução no aparelho, para que a prática funcione sem conexão com a rede. As notas que um aprendiz toca na tarefa “Minha melodia” (as teclas e o tempo delas, sem som) são armazenadas só no aparelho e não são enviadas ao servidor. A trilha de músicas do aprendiz (músicas infantis, Cânticos de Sião ou hinos) e as escolhas espirituais, ou seja, o interesse por músicas religiosas e os hinos ou Cânticos de Sião escolhidos como músicas extras, e cada vez que um hino ou um Cântico de Sião é tocado e as estrelas dele, também ficam só no aparelho, porque poderiam revelar as crenças da família. Por isso, eles não passam para os outros aparelhos da família, não entram na exportação e não são vistos por um professor. Tudo isso é excluído quando a família é excluída no app ou quando a conta de outra família entra no aparelho, e quando o app é removido do aparelho. Quando um adulto conecta um teclado Bluetooth, o app guarda o nome e o endereço Bluetooth dele só neste aparelho, para que o teclado se reconecte. Eles não são enviados ao servidor nem a outros aparelhos. Eles são excluídos quando o adulto esquece o teclado no app ou quando o app é removido do aparelho. O token de login fica no armazenamento seguro do aparelho. No mesmo armazenamento, o app guarda quais passos iniciais alcançou e quais já informou, para informar cada passo só uma vez. O código da área dos adultos é armazenado no aparelho só como hash com salt.

3. Para que os dados são usados e com que base legal

• Prestar o serviço. A conta, a família, os aprendizes e os eventos de execução são necessários para entrar, para salvar o progresso de cada aprendiz, para levar os dados entre os aparelhos da família e para escolher exercícios adequados. Os links para redefinir a senha são enviados por e-mail. Uma conta que entra com o Google ou a Apple é reconhecida pelo identificador da conta do Google ou da Apple. Base legal: o contrato pelo qual o adulto passa a usar o serviço para si e para a sua família (artigo 6(1)(b) do RGPD). Os dados de um aprendiz são tratados para isso com base no contrato, que a mãe, o pai ou o responsável legal celebra também em nome da criança, e não com base no consentimento.
• Assinaturas. Com os dados da assinatura, o servidor decide se a família recebe o conteúdo pago (o capítulo 1 é grátis para todos), e o app mostra o status da assinatura. A compra é verificada com a loja (Google Play ou Apple), para que a compra de outra família ou uma compra falsificada não dê acesso. Base legal: o contrato (artigo 6(1)(b)).
• Convites. Um convite é enviado para o endereço que um administrador da família informa, para trazer à família um segundo adulto ou um professor. Base legal: o interesse legítimo da família em trazer um segundo adulto ou um professor (artigo 6(1)(f)). A conta de um professor e o acesso dela aos aprendizes compartilhados com ela se baseiam no contrato pelo qual o professor passa a usar o serviço (artigo 6(1)(b)).
• Manter o serviço funcionando e seguro. Logs, o registro de auditoria da administração, a prevenção de abusos e os backups. Base legal: o interesse legítimo em manter o serviço funcionando e seguro (artigo 6(1)(f)).
• Feedback. Lemos o seu feedback, respondemos a ele e, com ele, corrigimos e desenvolvemos o serviço. Os dados do aparelho nos dizem onde ocorreu uma falha. Base legal: o interesse legítimo em desenvolver o serviço e responder ao feedback (artigo 6(1)(f)).
• Desenvolver o serviço. No servidor, calculamos agregados dos dados já armazenados para desenvolver os exercícios e o app: quantas famílias e aprendizes usaram o app em cada semana, quantos aprendizes passaram por cada etapa da trilha ou estão com dificuldade em uma habilidade, quantos receberam uma dica em cada tarefa ou tocaram o desvio dela, quantos tocaram com cada forma de tocar, quantas famílias têm um aparelho em cada versão do app e quantas instalações chegaram a cada passo inicial (veja Dados técnicos). Um agregado não tem nenhuma linha de um único aprendiz, família ou instalação, e um grupo de menos de cinco aprendizes, famílias ou instalações mostra só que são menos de cinco. Só os relatórios de passos iniciais são coletados para eles, e nenhum outro serviço é usado. Base legal: o interesse legítimo em desenvolver o serviço (artigo 6(1)(f)).
• Quando você entra em contato conosco. Respondemos à sua mensagem e cuidamos do seu assunto. Para atender a uma solicitação de suporte, podemos consultar os dados da família na administração do serviço (veja a seção 7). Base legal: o interesse legítimo em responder (artigo 6(1)(f)).

O app calcula no aparelho os estados das habilidades de um aprendiz a partir dos eventos de execução, os resultados da prática, e os usa para escolher os próximos exercícios, para que a prática corresponda às habilidades de piano do aprendiz. Os estados das habilidades são sincronizados pelo servidor, para que os aparelhos da família mostrem o mesmo progresso. Isso não produz efeitos jurídicos nem efeitos igualmente significativos (artigo 22). Os dados não são usados para publicidade e não são vendidos.

Uma conta precisa de um endereço de e-mail e de uma senha, de uma conta do Google ou de uma conta Apple, e um aprendiz precisa de um nome, de uma imagem e de uma faixa etária. Sem eles, o serviço não pode ser usado. Nenhuma lei obriga você a fornecer os dados.

4. Dados das crianças

A conta é destinada a um adulto: um adulto cria a conta e adiciona crianças como aprendizes. O perfil de aprendiz de uma criança não é uma conta própria. As configurações e os dados da família ficam na área dos adultos, que abre com o código do próprio adulto.

A mãe, o pai ou o responsável legal, ou um adulto autorizado por eles, informa o nome ou apelido do aprendiz e as configurações do perfil. Os dados da prática são coletados quando o aprendiz toca (seção 2). A parte “Para a criança”, abaixo, ajuda você a explicar isso à criança.

Um administrador pode compartilhar com um professor os aprendizes que escolher. O professor não vê os outros aprendizes da família. O administrador pode mudar o que é compartilhado ou remover o professor a qualquer momento, e o acesso termina na hora. Excluir um aprendiz também encerra o acesso de um professor a ele. O app informa ao aprendiz que os adultos da família podem ver o progresso dele e, quando um professor foi convidado, que o professor também pode.

O nome de um aprendiz pode ser um apelido. O app pode falar o nome do aprendiz em voz alta com a síntese de voz do próprio aparelho, que funciona sem conexão com a rede. O nome não é enviado a um serviço de voz on-line.

Para a criança

Esta parte é para você, aprendiz. Leia junto com um adulto.

• O Soitilo lembra o seu nome ou apelido e como vai a sua prática.
• Quando o aparelho está conectado à internet, a maior parte disso também é salva no servidor do Soitilo, para que os outros aparelhos da sua família também saibam.
• Os adultos da sua família podem ver como você está indo.
• Se um adulto convidar o seu professor, o professor pode ver uma parte disso, como o seu nome, o seu capítulo, as suas habilidades e as suas estrelas.
• Quando o Soitilo escuta o seu piano pelo microfone, ele encontra as notas neste aparelho. Ele não grava o som nem o envia para lugar nenhum.
• Você pode pedir a um adulto que ajude você a ver as suas informações ou a excluí-las.

5. Microfone

Quando a entrada é o microfone, o app escuta o piano e reconhece as notas na memória do aparelho. O som nunca é gravado nem enviado para lugar nenhum. Só o evento de execução vai para o servidor: quais notas foram acertadas e como foi o tempo, assim como quando se toca no piano na tela.

6. Sem anúncios, sem rastreamento

O app não tem anúncios, análise, relatórios de erros nem outros serviços de terceiros que coletem dados, exceto o registro em log da biblioteca de faturamento do Google descrito na seção 7. Só ficamos sabendo de travamentos pelos relatórios das próprias lojas de apps (Google Play e App Store), que as lojas coletam de acordo com as suas próprias políticas e as configurações do aparelho. As contagens dos passos iniciais (seção 2, Dados técnicos) são feitas pelo nosso próprio servidor, sem identificadores.

O site não carrega nada de outros sites e não usa cookies de rastreamento nem de publicidade. Só a página de redefinição de senha, a página do convite, a visão do professor e o login da nossa própria equipe na administração do serviço definem os cookies de sessão de que os formulários e o login deles precisam.

Não rastreamos você em outros sites ou serviços, por isso respondemos aos sinais Do Not Track e Global Privacy Control do seu navegador da mesma forma que a qualquer visita: nada é coletado para rastreamento.

O Soitilo não vende informações pessoais, mas você pode enviar solicitações sobre a venda delas para tuki@soitilo.com.

7. Onde ficam os dados e quem os trata

• DigitalOcean, LLC fornece o servidor onde rodam o serviço e o banco de dados dele. O servidor fica em Frankfurt, na Alemanha. Uma vez por semana é feito um backup do servidor inteiro no serviço da DigitalOcean no mesmo data center.
• Mailgun Technologies, Inc. (grupo Sinch) envia, a partir da região da UE da Mailgun, os e-mails de redefinição de senha, os convites, as respostas e os agradecimentos por feedback, os lembretes do teste grátis e de renovação e os avisos de assinatura em andamento. Ela recebe o endereço de e-mail do destinatário e a mensagem.
• Dropbox International Unlimited Company (Irlanda) mantém um backup criptografado do banco de dados. O backup é criptografado no servidor antes de ser transferido, e a Dropbox não tem a chave.
• Zoho Corporation B.V. (Países Baixos) fornece o serviço de e-mail onde chegam as mensagens enviadas para nós. Ela mantém as mensagens no seu data center na UE.
• Google traduz, pela API paga Gemini, a mensagem de um feedback ou a resposta escrita a ela, só quando o suporte pede uma tradução (veja Feedback). Ele recebe só o texto a ser traduzido.

Essas empresas tratam os dados em nosso nome, como operadores. Os dados não são divulgados a mais ninguém, exceto às autoridades quando a lei exige.

Se você entrar com o Google, a Google Ireland Limited (no EEE e na Suíça; nos demais lugares, inclusive no Japão, a Google LLC) identifica você na qualidade de controlador independente, de acordo com os seus próprios termos e a sua política de privacidade, e fica sabendo que você entrou no Soitilo. Recebemos do Google só os dados descritos na seção 2 e não enviamos ao Google nenhum dado sobre os aprendizes.

Se você entrar com a Apple, a Apple Distribution International Limited (no EEE, no Reino Unido e na Suíça; nos demais lugares, a empresa da Apple responsável pelo seu país segundo a política de privacidade da Apple) identifica você na qualidade de controlador independente, de acordo com os seus próprios termos e a sua política de privacidade, e fica sabendo que você entrou no Soitilo. Recebemos da Apple só os dados descritos na seção 2 e não enviamos à Apple nenhum dado sobre os aprendizes. Quando a conta é excluída, o servidor pede à Apple que revogue o token do Soitilo para a sua conta Apple, como a Apple exige. Se você deixar de usar o recurso Iniciar sessão com a Apple para o Soitilo nas configurações da sua conta Apple, ou excluir a sua conta Apple, a Apple avisa o servidor, que então remove da conta o identificador e o token da sua conta Apple; a família e os dados dela continuam.

As assinaturas são vendidas e cobradas pelo Google Play. No EEE e na Suíça, a Google Ireland Limited trata o pagamento e os dados do comprador na qualidade de controlador independente, de acordo com os seus próprios termos e a sua política de privacidade; nos demais lugares, inclusive no Japão, quem faz isso é a Google LLC (Estados Unidos). Com a compra, o app informa ao Google o identificador aleatório da família, e o servidor envia ao Google o identificador da compra e o nome do pacote do app para verificar a compra. Quando uma família pede ao suporte que cancele ou reembolse uma assinatura, o servidor envia ao Google o identificador da compra e a solicitação de cancelamento ou de reembolso. As notificações do Google sobre assinaturas alteradas chegam ao servidor pelo Google Cloud Pub/Sub. Quando um adulto abre a tela da assinatura, o app se conecta ao Google Play com a biblioteca de faturamento do Google, que registra em log as suas chamadas de faturamento (se deram certo ou falharam) e os problemas de conexão e envia essas informações ao Google: no EEE e na Suíça, à Google Ireland Limited; nos demais lugares, à Google LLC (Estados Unidos). O Google as usa, de acordo com a sua própria política de privacidade, para melhorar a biblioteca e o suporte a erros dela.

No iPhone e no iPad, as assinaturas são vendidas e cobradas pela App Store. A Apple Distribution International Limited (no Japão, a iTunes K.K., e em alguns outros países, a empresa da Apple indicada nos termos da App Store daquele país) trata o pagamento e os dados do comprador na qualidade de controlador independente, de acordo com os seus próprios termos e a sua política de privacidade. Com a compra, o app informa à Apple o identificador aleatório da família, e o servidor envia à Apple o identificador da compra para verificar a compra. As notificações da Apple sobre assinaturas alteradas chegam ao servidor vindas da Apple.

A administração do serviço

Só a nossa própria equipe, o proprietário e o suporte, vê os dados de uma família na administração do serviço, para atender a solicitações de suporte. Entrar na administração exige uma senha e verificação em duas etapas, ou uma chave de acesso que pede o PIN ou a biometria do aparelho todas as vezes. O suporte vê os endereços de e-mail, as funções, as datas de criação das contas e as versões dos termos de uso dos adultos da família, os nomes, os horários de uso e as versões do app dos tokens de login dos aparelhos e se um aparelho é um aparelho da família, os nomes, os estados e as datas de criação dos aprendizes, quando o servidor recebeu pela última vez um evento de execução de um aprendiz, e os convites da família (endereço, função, aprendizes, quando foram enviados e até quando valem) e os professores (endereço, os aprendizes que veem, quando entraram). Para atender a uma solicitação de suporte, o suporte pode abrir por que o app se adaptou para um aprendiz: em qual habilidade o aprendiz está com dificuldade ou por que o aprendiz recebeu um desvio, e os horários, as tarefas, os modos, os finais e as contagens de notas certas na primeira vez das tentativas que levaram a isso, mas não as notas tocadas. O proprietário e o suporte também veem o feedback com o endereço de e-mail e os dados do aparelho de quem o enviou, e podem pedir a tradução automática dele e da resposta, respondê-lo, encerrá-lo e transformá-lo em um chamado. O proprietário e o suporte veem os meses grátis da família e podem conceder um à família. O proprietário pode executar ali uma solicitação de exclusão que chegou por e-mail. Cada consulta e exclusão dos dados de uma família ou de um aprendiz, e cada consulta, tradução automática, resposta, encerramento e chamado de um feedback, fica registrada em um registro de auditoria, assim como os aparelhos da família pareados e removidos no app: quem consultou ou alterou, qual família, aprendiz ou feedback, e quando. O registro contém só identificadores, nenhum nome nem outros dados, exceto que uma alteração de um acesso concedido sem compra registra, para um acesso até um determinado dia, o plano e o último dia antigos e novos, para uma isenção de pagamento, se ela foi ativada ou desativada, e, para um mês grátis concedido, o método e a data de término.

O proprietário e o suporte também veem na administração os agregados descritos na seção 3 (desenvolver o serviço). Eles não têm nomes, identificadores nem linhas de uma única família ou aprendiz, por isso a consulta deles não fica registrada no registro de auditoria.

Transferências para fora da UE e do EEE

• A DigitalOcean é uma empresa dos EUA, embora o servidor fique na UE. Quando ela trata dados fora da UE e do EEE, o acordo de tratamento de dados dela baseia a transferência na Estrutura de Privacidade de Dados UE–EUA (EU–U.S. Data Privacy Framework) e, de forma subsidiária, nas cláusulas contratuais padrão da Comissão Europeia (Decisão de Execução (UE) 2021/914).
• A Mailgun armazena na UE as mensagens da região da UE, mas os dados também podem ser tratados pelas empresas do grupo nos EUA. Essas transferências se baseiam nas cláusulas contratuais padrão (Decisão de Execução (UE) 2021/914) do acordo de tratamento de dados da Mailgun.
• A Dropbox pode transferir o backup criptografado para a sua empresa do grupo nos EUA, a Dropbox, Inc. A transferência se baseia na certificação da Dropbox, Inc. na Estrutura de Privacidade de Dados UE–EUA.
• Funcionários da empresa indiana do grupo Zoho, a Zoho Corporation Private Limited, podem tratar as mensagens a partir da Índia, embora as mensagens sejam mantidas na UE. Isso se baseia em cláusulas contratuais padrão entre as empresas holandesa e indiana da Zoho e nas medidas complementares de uma avaliação de impacto da transferência.
• O Google pode armazenar o texto enviado para a API Gemini de forma transitória ou em cache em qualquer país onde o Google ou os seus agentes tenham instalações. Pelos termos de tratamento de dados do Google, as transferências para as empresas do Google nos EUA se baseiam na Estrutura de Privacidade de Dados UE–EUA e, na falta dela, nas cláusulas contratuais padrão.

8. Por quanto tempo os dados são mantidos

• A conta, a família, os aprendizes e os eventos de execução são mantidos enquanto a conta existir. Excluir a família exclui a família inteira de uma vez (veja Excluir a conta). Se durante 24 meses nenhum dos adultos da família tiver entrado no app, usado o app em qualquer um dos aparelhos da família ou alterado a senha, a família é excluída com todos os seus dados, como quando a família é excluída. Não há aviso separado. Uma família não é excluída enquanto tiver uma assinatura do Google Play ou da App Store que esteja ativa, em período de carência, em espera ou pausada, ou um acesso concedido pelos administradores que esteja em vigor.
• Os dados de uma assinatura, os acessos concedidos pelos administradores e os meses grátis são mantidos enquanto a família existir, também depois que a assinatura terminar, e são excluídos com a família.
• As notificações do Google e da Apple sobre assinaturas alteradas são mantidas por 12 meses a partir da chegada. As que se referem às compras da família são excluídas imediatamente quando a família é excluída.
• O token de login de um aparelho termina quando o aparelho sai da conta, quando um administrador da família remove um aparelho da família, quando a senha da conta é redefinida ou a conta é excluída, quando a Apple informa que o login com a Apple da conta terminou e a conta não tem senha nem login com o Google, ou quando ele não é usado por 90 dias. Um código de pareamento não usado termina em 10 minutos. Um token encerrado é excluído em até dois dias.
• As respostas às requisições do app são mantidas por 24 horas, para que um envio interrompido não seja salvo duas vezes.
• Um convite é válido por 14 dias. Ele é excluído quando é aceito ou cancelado ou quando a conta do adulto que o enviou é excluída; caso contrário, 30 dias depois de terminar.
• O acesso de um professor aos aprendizes dura até que um administrador remova o professor ou o aprendiz, a família seja excluída ou a conta do professor seja excluída. Quando a conta do adulto que convidou o professor é excluída, o acesso continua, mas deixa de mostrar o nome de quem convidou. A conta de um professor é mantida até que o professor peça a exclusão dela (veja Excluir a conta).
• O feedback e as respostas a ele são mantidos por 12 meses a partir da última alteração (envio, resposta, encerramento ou chamado). Eles são excluídos imediatamente quando a conta de quem o enviou é excluída, também quando a família é excluída. Um feedback copiado para um chamado não é excluído com a conta; ele é mantido enquanto o atendimento do assunto exigir.
• Os contadores de tentativas expiram em no máximo um dia.
• As contagens dos passos iniciais são só números por dia, passo e sistema operacional, sem identificadores, e são mantidas por tempo indeterminado.
• Uma sessão do site (a página de redefinição de senha, a página do convite e a visão do professor) expira quando não é usada por duas horas, e termina na hora quando o professor sai da conta. Uma redefinição de senha encerra todas as sessões da conta. As sessões expiradas são excluídas periodicamente.
• O registro de auditoria da administração é mantido por 12 meses, também depois que a família ou o aprendiz é excluído.
• Os logs de erros do servidor são mantidos por até 15 dias.
• Os logs do servidor web são mantidos por até 15 dias.
• As mensagens enviadas para nós são mantidas enquanto o atendimento do assunto exigir.

Backups

É feito um backup do banco de dados todas as noites. O servidor mantém todos os backups dos últimos 7 dias, depois um por semana até completarem 2 meses e, em seguida, um por semestre até completarem 12 meses. A cópia criptografada no Dropbox é mantida da mesma forma, e uma cópia excluída do Dropbox ainda pode ser restaurada por 30 dias. Além disso, o backup semanal do servidor inteiro é mantido por 4 semanas.

Por isso, os dados excluídos do serviço podem permanecer nos backups por no máximo 12 meses e 30 dias. Os backups são usados só para restaurar o serviço depois de uma falha.

9. Seus direitos

Pelo RGPD, você tem o direito de

• saber quais dados sobre você e sobre os aprendizes da sua família são tratados, e obter uma cópia (artigo 15)
• obter a correção de dados incorretos (artigo 16)
• obter a exclusão dos dados (artigo 17); veja Excluir a conta
• restringir o tratamento (artigo 18)
• receber os dados em um formato legível por máquina (artigo 20); os dados da família podem ser exportados na área dos adultos do app, em “Dados e conta”; a exportação deixa de fora o feedback, os registros de assinaturas e de acessos (inclusive as notificações das lojas sobre alterações de assinaturas), os registros de login dos aparelhos, os identificadores das contas do Google e da Apple e o registro de auditoria da administração, mas você os recebe se pedir
• se opor, por motivos relacionados à sua situação particular, ao tratamento baseado em interesse legítimo (artigo 21).

Envie a sua solicitação para tuki@soitilo.com a partir do endereço de e-mail da sua conta. Respondemos sem demora indevida e em no máximo um mês (artigo 12).

Um aprendiz com 13 anos ou mais também pode enviar ele mesmo um e-mail para tuki@soitilo.com para ver, corrigir ou excluir os seus próprios dados de aprendiz. Tomamos medidas razoáveis para garantir que a solicitação vem do aprendiz e para proteger os dados dos outros membros da família.

Se recusarmos uma solicitação, informamos o motivo. Você pode recorrer respondendo à nossa resposta ou enviando um e-mail para tuki@soitilo.com com “Privacy appeal” no assunto. Respondemos ao recurso por escrito em até 60 dias. Se o negarmos e você morar nos Estados Unidos, informamos como entrar em contato com a autoridade de privacidade do seu estado.

Se você achar que o tratamento dos seus dados viola a legislação de proteção de dados, pode apresentar uma reclamação a uma autoridade de controle. Na Finlândia, é o Ouvidor de Proteção de Dados (Tietosuojavaltuutettu): Office of the Data Protection Ombudsman, PL 800, 00531 Helsinki, Finlândia, tietosuoja@om.fi, tietosuoja.fi. Você também pode reclamar à autoridade de proteção de dados do país onde mora, por exemplo à Data Protection Commission na Irlanda, ao Office of the Australian Information Commissioner (OAIC), ao Privacy Commissioner na Nova Zelândia ou ao Office of the Privacy Commissioner of Canada (OPC).

10. Crianças nos Estados Unidos (COPPA)

Esta seção informa aos pais nos Estados Unidos como tratamos os dados de crianças menores de 13 anos de acordo com a Children’s Online Privacy Protection Act (COPPA) e o seu regulamento (16 CFR parte 312).

Operador: Nettiteeri Oy, Viereläntie 4 A, 90630 Oulu, Finlândia, telefone +358 44 280 9861, e-mail tuki@soitilo.com.

O que o uso de uma criança armazena no servidor. Uma criança não tem conta própria: um adulto cria a conta e adiciona a criança como aprendiz. Nunca se pede a uma criança endereço de e-mail, número de telefone, endereço, data de nascimento ou foto. O servidor armazena o nome ou apelido do aprendiz, a imagem de perfil (uma das imagens do próprio app), a faixa etária e as configurações que o adulto informa e, da prática da criança, os eventos de execução (qual música e qual tarefa, de que forma, quando, quais notas foram acertadas e como foi o tempo, as dicas dadas), os estados das habilidades, o estado das etapas da trilha e as estrelas e medalhas das músicas da Biblioteca (com mais detalhes na seção 2). Ele também armazena o token de login do aparelho e o login de qual aparelho enviou cada evento, e o log do servidor web registra o endereço IP e o identificador do app de cada requisição.

Para que os dados são usados. Usamos os dados só para prestar o serviço: para o login, para sincronizar os dados entre os aparelhos da família, para adequar os exercícios às habilidades da criança e, se o adulto escolher, para a visão do professor. Também calculamos agregados a partir deles para desenvolver o serviço, sem dados de nenhuma criança individual (seção 3), e o suporte pode consultá-los ao atender à solicitação de suporte da família (seção 7). Os dados não são usados para publicidade e não são vendidos, e o app não tem anúncios nem análise de terceiros. Os dados ficam no servidor e nos backups dele, que só os operadores indicados na seção 7 tratam em nosso nome.

A visão do professor. Só um adulto da família pode convidar um professor, e o adulto escolhe quais aprendizes o professor vê. O professor vê no navegador um resumo, só para leitura, dos aprendizes compartilhados: o nome do aprendiz, o nome de quem convidou, o capítulo, o último dia de prática, se o perfil está em pausa, os estados das habilidades (tocou com apoio ou com autonomia, com dificuldade) e as estrelas e medalhas das músicas da Biblioteca. O professor não vê os eventos de execução, os outros aprendizes da família nem nada sobre os adultos da família. O adulto pode mudar o que é compartilhado ou remover o professor no app a qualquer momento, e o acesso termina na hora.

Microfone. O som do microfone nunca sai do aparelho: o app reconhece as notas na memória do aparelho, e o som nunca é gravado nem enviado para lugar nenhum (seção 5).

Os direitos dos pais. Como mãe ou pai, você pode a qualquer momento revisar os dados da criança e impedir que eles continuem sendo coletados:

• O progresso da criança aparece no app, e os dados da família podem ser exportados na área dos adultos do app, em “Dados e conta” (a seção 9 diz o que a exportação deixa de fora).
• Quando você exclui o aprendiz na área dos adultos do app (“Dados e conta”, “Excluir perfil”), o perfil, os eventos de execução e os estados das habilidades do aprendiz são excluídos do servidor na hora, e o acesso de um professor termina. Depois disso, nenhum outro dado é coletado sobre a criança. A família inteira pode ser excluída no mesmo lugar (veja Excluir a conta).
• Você também pode enviar um e-mail para tuki@soitilo.com a partir do endereço de e-mail da sua conta para nos pedir que mostremos, exportemos ou excluamos os dados da criança ou que paremos de coletá-los. Respondemos em no máximo um mês.

Retenção. Os dados de uma criança são mantidos como diz a seção 8: enquanto o aprendiz e a família existirem, e a família é excluída quando não tiver sido usada por 24 meses. Os dados excluídos podem permanecer nos backups por no máximo 12 meses e 30 dias.

11. Canadá

Esta seção é para as famílias no Canadá, inclusive em Quebec.

Tratamento fora do Canadá. As suas informações são tratadas fora do Canadá: na UE (o servidor fica na Alemanha) e nos outros países descritos na seção 7. Elas podem estar acessíveis a tribunais e autoridades públicas segundo as leis desses países. O nosso encarregado de privacidade, em tuki@soitilo.com, pode informar mais sobre os nossos prestadores de serviços fora do Canadá e sobre como protegemos os dados.

O consentimento da mãe, do pai ou do responsável legal. Ao adicionar um aprendiz, você confirma que é mãe, pai ou responsável legal da criança, ou um adulto autorizado por eles, e concorda que o Soitilo use o nome ou apelido do aprendiz, as configurações do perfil e o progresso na prática como esta política descreve. Esse é o consentimento que a legislação canadense de privacidade, inclusive a de Quebec, pede à mãe, ao pai ou ao responsável legal; pelo RGPD, a base legal continua sendo o contrato (seção 3). Você pode retirá-lo a qualquer momento, excluindo o aprendiz na área dos adultos do app ou enviando um e-mail para tuki@soitilo.com. O uso do serviço sincronizado pela criança então termina.

As versões mais recentes do app pedem essa confirmação com uma caixa de seleção sempre que um aprendiz é adicionado; um adulto que adiciona a si mesmo como aprendiz confirma isso para os seus próprios dados. O servidor armazena com o aprendiz o horário em que recebeu a confirmação (seção 2), e ele é excluído com o aprendiz.

12. Suíça

Esta seção é para as pessoas na Suíça.

Os seus direitos. Pela Lei Federal suíça de Proteção de Dados (FADP), você também pode perguntar quais dados sobre você são tratados (artigo 25), receber os dados que nos forneceu em um formato eletrônico comum (artigo 28) e obter a correção de dados incorretos, a interrupção do tratamento ou a exclusão dos dados (artigo 32). Envie a sua solicitação para tuki@soitilo.com como diz a seção 9.

Transferências. A Suíça reconhece que os países da UE e do EEE têm proteção de dados adequada, por isso o servidor na Alemanha e os operadores na UE não precisam de outra base legal. Das transferências para fora da UE e do EEE descritas na seção 7, a DigitalOcean, LLC e a Dropbox, Inc. também são certificadas na Estrutura de Privacidade de Dados Suíça–EUA (Swiss–U.S. Data Privacy Framework), que a Suíça reconhece; o acordo de tratamento de dados da Mailgun aplica as suas cláusulas contratuais padrão também aos dados vindos da Suíça; os termos de tratamento de dados do Google aplicam as mesmas bases de transferência aos dados vindos da Suíça, com a Estrutura de Privacidade de Dados Suíça–EUA; e o tratamento da Zoho na Índia se baseia nas cláusulas contratuais padrão e nas medidas complementares descritas na seção 7.

Autoridade de controle. Se você achar que o tratamento dos seus dados viola a legislação suíça de proteção de dados, pode comunicar isso ao Comissário Federal de Proteção de Dados e Informação (FDPIC), Feldeggweg 1, 3003 Berna, Suíça, edoeb.admin.ch.

13. Singapura

Esta seção é para as famílias em Singapura.

Encarregado de proteção de dados. O nosso encarregado de proteção de dados responde a perguntas e solicitações com base na Personal Data Protection Act 2012 (PDPA) de Singapura em tuki@soitilo.com.

O consentimento da mãe, do pai ou do responsável legal. A confirmação que o app pede quando um aprendiz é adicionado (seção 11) também é o consentimento da mãe, do pai ou do responsável legal que a PDPA pede para os dados de uma criança. Você pode retirá-lo da mesma forma.

Tratamento fora de Singapura. Os seus dados são tratados fora de Singapura: na UE (o servidor fica na Alemanha) e nos outros países descritos na seção 7. Os operadores indicados ali são obrigados por acordos de tratamento de dados a protegê-los.

14. Japão

Esta seção é para as pessoas no Japão. Ela acrescenta o que a Lei de Proteção de Informações Pessoais do Japão (APPI) exige; o restante desta política também se aplica.

Empresa responsável. Nettiteeri Oy (número de registro empresarial 3331525-2), Finlândia; informamos o endereço completo sem demora mediante solicitação. Representante: o representante legal da empresa. Perguntas, solicitações e reclamações sobre dados pessoais: tuki@soitilo.com.

Finalidades. Usamos dados pessoais só para as finalidades da seção 3, e os fornecemos a terceiros só como descrevem a seção 7 e esta seção ou quando a lei exige.

Onde os dados são tratados. A nossa empresa fica na Finlândia e o servidor fica na Alemanha, ambos na UE. A Comissão de Proteção de Informações Pessoais do Japão (PPC) designou a UE como tendo um sistema de proteção de informações pessoais equivalente ao do Japão. Os outros países onde os dados são tratados estão indicados na seção 7 e abaixo.

Medidas de segurança. Só a nossa própria equipe, o proprietário e o suporte, vê os dados de uma família na administração do serviço. Entrar nela exige verificação em duas etapas ou uma chave de acesso, e cada consulta dos dados de uma família fica registrada em um registro de auditoria. O backup do banco de dados é criptografado antes de ser enviado ao Dropbox (seção 7).

Transferências a terceiros em outros países (artigo 28 da APPI). Não pedimos o seu consentimento para essas transferências. Cada destinatário está na UE, ou os acordos indicados aqui o obrigam a adotar medidas que atendem aos padrões da PPC:

• DigitalOcean, LLC (Estados Unidos; o servidor fica na Alemanha): o acordo de tratamento de dados dela e as cláusulas contratuais padrão contidas nele.
• Mailgun Technologies, Inc. (Estados Unidos): o acordo de tratamento de dados dela e as cláusulas contratuais padrão contidas nele.
• Dropbox International Unlimited Company (Irlanda, na UE). Ela pode transferir o backup para a sua empresa do grupo nos EUA (seção 7); o backup é criptografado, e a Dropbox não tem a chave.
• Zoho Corporation B.V. (Países Baixos, na UE). Para o tratamento feito pela sua empresa indiana do grupo a partir da Índia: as cláusulas contratuais padrão entre as empresas da Zoho e as medidas complementares de uma avaliação de impacto da transferência.
• Google, para as traduções pela API Gemini: os termos de tratamento de dados do Google e as cláusulas contratuais padrão contidas neles.

Mediante solicitação, informamos mais sobre essas medidas. Quando você entra com o Google ou a Apple, ou compra uma assinatura no Google Play ou na App Store, você usa o serviço dessa empresa de acordo com os próprios termos e a política de privacidade dela (seção 7).

Suas solicitações. Pela APPI, você pode nos pedir que divulguemos os dados pessoais que mantemos sobre você e os registros do fornecimento deles a terceiros, que os corrijamos, complementemos ou excluamos, e que paremos de usá-los ou de fornecê-los a terceiros (artigos 33 a 35). Envie a sua solicitação para tuki@soitilo.com como diz a seção 9.

Reclamações. Envie reclamações sobre como tratamos dados pessoais para tuki@soitilo.com. Você também pode entrar em contato com a Comissão de Proteção de Informações Pessoais do Japão (PPC), ppc.go.jp.

15. Alterações

Atualizamos esta política quando o serviço ou o tratamento dos dados muda. A data da atualização fica no topo da página.

Marcamos as alterações substanciais no topo da página. Se uma alteração exigir aviso prévio ou consentimento, entramos em contato com os adultos da família antes que ela entre em vigor.

↑ Voltar ao topo