Política de privacidade (app)

Princípios básicos

O app não tem servidor e não pede cadastro de conta. Ele não embute SDK de publicidade nem mecanismo de rastreamento. Os seus registros de goshuins, fotos, notas e nomes de templos e santuários não saem do dispositivo, qualquer que seja o ajuste descrito abaixo.

Há duas exceções, e as duas podem ser interrompidas em Ajustes. Em “Ajustes → Privacidade”, você escolhe separadamente se envia ao desenvolvedor, desde a versão 1.3, um registro de onde o app parou (um relatório de falha) e, desde a versão 1.6, os dados de como o app é usado (a análise do produto: quais telas você abriu e por quanto tempo). O estado inicial depende da versão do app: nas versões mais recentes, os dois começam como “enviar”. Quando você desativa um deles em Ajustes, o envio para naquele momento e, a partir daí, esse mecanismo nem sequer é iniciado. O que é enviado, e para quem, está escrito nas seções “Relatórios de falha” e “Dados de uso do app”.

O que esta política rege é o app em si. O site que apresenta o app (goshuinbako.com, incluindo a página que você está lendo) usa análise de acesso para melhorar a leitura. Para saber como o site trata as informações, consulte Política de privacidade (site). A análise de uso do app em si (quais telas você abriu e por quanto tempo) é um mecanismo separado da análise do site, e você pode interrompê-la a qualquer momento nos Ajustes do app. O único tráfego que o app envia para fora é o do mapa, o das compras e restaurações de compra na App Store e, enquanto os ajustes descritos acima estão ativados, o do relatório de falha e o dos dados de uso do app.

Informações que o app coleta

O app não coleta nome, endereço de e-mail nem identificadores do dispositivo, e nunca envia a sua localização ao desenvolvedor (o uso da sua localização atual está descrito em “Localização”). As datas da visita, os nomes de templos e santuários, as notas e as fotos que você registra ficam em um banco de dados no dispositivo, e nenhum terceiro — o desenvolvedor incluído — consegue lê-los. Isso não muda quando “Enviar relatórios de falha” ou “Enviar dados de uso do app” estão ativados. Porém, na comunicação que envia os “Relatórios de falha” e os “Dados de uso do app”, o endereço IP do dispositivo chega ao destinatário (como ele é tratado está descrito em cada seção). Se você nos escrever por e-mail em “Ajustes → Opiniões e contato”, o desenvolvedor recebe o seu endereço de e-mail, a mensagem e, no final dela, a versão do app, a versão do iOS, o modelo do dispositivo e o idioma de exibição, e os usa somente para responder e melhorar o app. Esse e-mail sai do seu próprio app de e-mail; o app nunca o envia por conta própria.

Fotos

O app recebe apenas as fotos que você escolheu na tela de seleção de fotos do sistema iOS e guarda uma cópia reduzida delas no dispositivo. Ele não pede permissão para ler a sua biblioteca de fotos inteira. Uma foto tirada com a câmera dentro do app também é guardada apenas no dispositivo e não é gravada na sua biblioteca de fotos; a permissão de uso da câmera é pedida na primeira vez que você usa a câmera dentro do app. Para que você possa corrigir depois o recorte e os ajustes, uma foto registrada com “Registrar goshuin” ou “Fotografar páginas” também é guardada, além da cópia reduzida, como uma cópia para edição de até 4096px no lado maior (sem informações como a data e a hora ou o local em que foi tirada), apenas no dispositivo. Quando você corrige uma foto com “Reajustar foto”, a foto de antes da correção ou a cópia para edição continua no dispositivo, para que a foto possa ser refeita a partir da foto inicial. A cópia para edição e a foto de antes da correção são apagadas junto quando você apaga o registro a que pertencem ou remove a foto de “Fotos importadas” (as que ficaram para trás porque o app foi encerrado no meio são apagadas na próxima vez que você abre o app), e não são incluídas no arquivo de backup criptografado. Uma foto que você guardou em um registro de visita também é guardada apenas no dispositivo, como cópia reduzida (sem informações como a data e a hora ou o local em que foi tirada), e é incluída no arquivo de backup criptografado. Quando você apaga o registro de visita, ou remove essa foto e salva, a cópia também é apagada. Uma foto enviada ao “Acervo de Goshuins” pelo menu de compartilhamento do app Fotos ou de outro app é colocada, como arquivo, em um local do dispositivo que só este app e a extensão de compartilhamento dele podem usar (um App Group); na próxima vez que você abre o app, ela é importada como cópia reduzida e o arquivo original é apagado. Enquanto você mantém o widget deste app na Tela de Início, o nome do templo ou santuário e a data de um goshuin que você recebeu neste mesmo dia em um ano anterior são gravados nesse mesmo local (quando você remove o widget, eles são apagados na próxima vez que você abre e fecha o app) e, somente quando você escolhe “Mostrar fotos no widget” em Ajustes, uma cópia reduzida da foto exibida também é colocada ali (uma foto que deixa de ser exibida é apagada). As datas escritas em uma foto são lidas no próprio dispositivo pelo reconhecimento de texto (o Vision do iOS) como candidatas à data da visita; o texto reconhecido não é guardado nem sai do dispositivo. Nas versões que têm “Encontrar o templo ou santuário na foto”, quando você toca nele, o texto escrito na foto também é lido pelo mesmo reconhecimento de texto e comparado com a lista de templos e santuários incluída no app e com os nomes dos templos e santuários que você mesmo adicionou, para sugerir candidatos (se a foto contiver o local onde foi tirada, os templos e santuários próximos desse local também podem ser acrescentados aos candidatos. O local onde foi tirada uma foto feita com a câmera dentro do app não é usado). O texto reconhecido não é guardado nem sai do dispositivo. Nas versões em que “Fotos importadas” tem a linha “Sugestões das fotos”, as fotos colocadas em “Fotos importadas” também são lidas uma a uma pelo reconhecimento de texto no dispositivo enquanto o app está aberto, para sugerir candidatos à data da visita e ao templo ou santuário. Como resultado dessa leitura, o app guarda no dispositivo apenas a data que conseguiu ler, o número que aponta o templo ou santuário cujo nome coincidiu (um item da lista de templos e santuários incluída no app ou um templo ou santuário que você mesmo adicionou), as pistas da leitura (como a data está escrita, a nitidez das letras, se é a página esquerda ou direita da página dupla, o número de caracteres do nome e o número de linhas lidas), a sua escolha de aplicar o candidato ou de não usá-lo, a versão do método de leitura, a data e a hora da leitura, quantas vezes a leitura falhou e se a foto pôde ser lida; o texto lido em si não é guardado. Quando uma foto importada pela tela de seleção de fotos ou pelo menu de compartilhamento contém o local onde foi tirada, o app calcula no dispositivo, uma única vez, no momento da importação, os números que apontam os templos e santuários a até 500 m desse local (no máximo 10) e os guarda; a latitude e a longitude desse local não são guardadas. Tudo isso fica no dispositivo somente enquanto a foto está em “Fotos importadas”: é apagado junto quando você adiciona a foto a um caderno ou a remove de “Fotos importadas”, não é incluído no arquivo de backup criptografado e nunca sai do dispositivo (enquanto os “Dados de uso do app” estão ativados, o que é enviado são apenas números agrupados em faixas, como o de fotos lidas e o de fotos em que o candidato foi aplicado, e se a leitura teve sucesso). Para avisar “Pode ser o mesmo goshuin”, o app cria no dispositivo, a partir das fotos importadas e das fotos registradas, um valor curto que representa as características visuais da foto e o guarda; quando você escolhe “Manter como outro goshuin”, guarda também o par formado por essas duas fotos. Nenhum deles contém a foto em si, nem é incluído no arquivo de backup criptografado, nem sai do dispositivo (enquanto os “Dados de uso do app” estão ativados, o que é enviado é apenas como você respondeu ao aviso e o grau de semelhança, dividido em dois níveis). A data e a hora em que a foto foi tirada são usadas como valor inicial da data da visita. Quando uma foto contém o local onde foi tirada, isso é lido no dispositivo como candidato para colocar um marcador no mapa do templo ou santuário. Esse local não é usado no mapa até você escolher o candidato; só então um marcador é colocado e o mapa ao redor dele é exibido (o tráfego com a Apple que acompanha a exibição de um mapa é o descrito em “Localização”). Em um registro que você ainda está escrevendo (um rascunho), o local onde a foto foi tirada também fica no dispositivo até você salvar ou descartar. Se você escolher não incluir a informação de localização em “Opções”, na tela de seleção de fotos do iOS, o local onde a foto foi tirada não é lido.

Localização

O app pede permissão para usar a sua localização somente nas versões que têm um botão “Localização atual” no mapa ou na tela de registros, e somente quando você toca nesse botão (apenas “Durante o Uso do App”; nunca ao abrir o app nem ao salvar um registro). Se você permitir, a sua localização atual é usada no dispositivo apenas para mostrá-la no mapa e mover o mapa ao redor dela, e para mostrar os templos e santuários próximos no mapa ou em uma lista, do mais próximo ao mais distante e com a distância de cada um; ela nunca é salva nem enviada. O botão “Localização atual” da tela de registros lê a sua localização uma única vez quando você o toca e nunca a acompanha continuamente. Um marcador no mapa é apenas o ponto que você mesmo tocou, o ponto que você escolheu a partir do local onde uma foto foi tirada, ou a posição de um templo ou santuário que você escolheu na lista incluída no app (dados do Wikidata); nada além disso é guardado no dispositivo, e o app não faz busca de endereço nem geocodificação reversa. Os templos e santuários dessa lista exibidos no mapa também são consultados nos dados incluídos, no próprio dispositivo, sem nenhuma requisição de rede para isso.

Os mapas são exibidos com o MapKit da Apple, que se comunica com os servidores da Apple para buscar os blocos do mapa. As informações que acompanham esse tráfego, como a área exibida, são tratadas conforme a política de privacidade da Apple, e o app não as guarda.

Nas versões em que os templos e santuários do mapa têm o botão “Rotas no Google Maps” (o ícone de rotas), o app entrega o marcador desse lugar ao Google Maps somente quando você toca nesse botão, para que ele mostre a rota. Nas versões em que a tela de “Planos de visita” tem o mesmo botão, somente quando você toca nele, o app entrega os templos e santuários do plano cuja posição é conhecida, até 4 lugares de cada vez, na ordem em que você os organizou. Ele entrega apenas a latitude e a longitude (e essa ordem), inclusive de um marcador que você colocou a partir do local onde uma foto foi tirada. Abre, em geral, o app Google Maps se estiver instalado e, se não estiver, o seu navegador padrão (em geral o Safari). A sua localização atual, o nome do lugar, o nome e a data do plano, as notas e os seus registros não são entregues, e o Google Maps decide o ponto de partida. A posição entregue é tratada conforme a política de privacidade do Google, e o app não a guarda.

Backups

Os dados no dispositivo entram no backup padrão do iOS (Backup do iCloud e Início Rápido). O arquivo de backup (.goshuin) que o app exporta é criptografado com a frase-senha que você define, e essa frase-senha não é guardada nem enviada para lugar nenhum. Se você esquecer a frase-senha, nem o desenvolvedor consegue descriptografar o arquivo.

Informações da compra

A compra dentro do app é processada pela App Store da Apple. O app recebe apenas se a compra está ativa e não coleta nem guarda dados de pagamento, como o seu nome ou a sua forma de pagamento.

Relatórios de falha (podem ser desativados em Ajustes)

Enquanto “Ajustes → Privacidade → Enviar relatórios de falha” está ativado no app, o que está abaixo é enviado, e somente quando o app para. O que acontece ao desativá-lo está descrito no fim desta seção.

Onde ele parou (a posição no programa) e o tipo do erro (quando o próprio app trava ou congela, inclui a descrição do motivo registrada pelo iOS)
O modelo do dispositivo e a versão do sistema, e a versão e o número de build do app

Os seus registros de goshuins, fotos, notas, os nomes e as posições de templos e santuários, o nome do seu dispositivo e o seu endereço IP não são incluídos. O que pode ser enviado está escrito no código como uma lista de permissões, e, nos relatórios de erros capturados dentro do app, o que não está nela é removido antes do envio, seja do tipo que for. Os relatórios de quando o próprio app trava ou congela são enviados diretamente pelo componente da Sentry e por isso não passam por essa lista, mas estão configurados para não anexar o nome do dispositivo, o endereço IP, capturas de tela, a estrutura da tela nem o histórico de ações. Como não existe conta, o que é enviado nunca é ligado a você como pessoa. Quanto a aberturas do app, mudanças de tela e afins — o uso em si não é enviado nos relatórios de falha (o uso é uma escolha separada, no ajuste “Dados de uso do app” descrito abaixo).

O responsável pelo tratamento é a Functional Software, Inc. (“Sentry”, nos Estados Unidos; os dados também são guardados nos Estados Unidos). Para saber como ela trata essas informações, consulte a Política de Privacidade da Sentry (em inglês). Na comunicação que faz esse envio, o endereço IP do dispositivo chega à Sentry, mas ele não é anexado aos relatórios, e deixamos a Sentry configurada para não escrever nos relatórios o endereço IP de origem da conexão que ela recebe. Quando você desativa o ajuste, o envio de dentro do app para naquele momento, e nada é enviado a partir da abertura seguinte. Porém, durante a mesma abertura em que você o desativou, os relatórios de quando o próprio app trava ou congela ainda podem ser enviados. Além disso, os relatórios que ficaram no dispositivo antes de você desativá-lo podem ser enviados depois, se você ativá-lo de novo.

Dados de uso do app (podem ser desativados em Ajustes)

Enquanto “Ajustes → Privacidade → Enviar dados de uso do app” está ativado no app, para corrigir os pontos em que um recurso é difícil de usar, o que é enviado é a ordem em que você abriu as telas e se a operação chegou ao fim. Enquanto o ajuste está desativado, nada é enviado.

O nome da tela (um nome fixo definido por este app), a ordem em que ela foi aberta e por quanto tempo ficou aberta
O nome da operação (importar uma foto, adicionar ao caderno, exportar, abrir a tela de compra e afins) e o resultado dela
Que o app travou ou foi encerrado no meio (o nome da tela naquele momento e uma faixa de quanto tempo ficou parado; nas versões novas)
Sobre a tela de compra: quantas vezes você a abriu, quantos registros tinha e há quantos dias instalou o app (tudo em faixas, nunca os registros em si) e, ao fechar, se um preço aparecia, se você tocou em comprar e como ela foi fechada. Se você escolher um “motivo para não comprar agora”, essa opção (uma de cinco fixas). Nas versões novas
A versão e o número de build do app, a versão do sistema, o modelo do dispositivo e o tamanho da tela, o idioma escolhido e o fuso horário
Um número aleatório criado no dispositivo quando o envio começa (não é uma conta nem um identificador do dispositivo; quando você desativa, ele é descartado, e ativar de novo não traz o número anterior de volta)
Se você instalou o app por um anúncio da Apple (nas versões mais recentes). É a resposta da Apple à consulta do app e, se você veio de um anúncio, inclui os números da campanha, do grupo de anúncios, da palavra-chave e do anúncio (dígitos atribuídos pela Apple). A consulta usa apenas um código temporário que a Apple cria no aparelho; as palavras que você pesquisou e o identificador de publicidade (IDFA) não entram. O tráfego dessa consulta é tratado conforme a política de privacidade da Apple

Os seus registros de goshuins, fotos, notas, os nomes e as posições de templos e santuários, as datas da visita, o nome do seu dispositivo e o texto que você digitou não são incluídos. O que pode ser enviado está escrito no código como uma lista de permissões, e cada valor só pode ser uma opção prevista, um número ou um sim/não. Não existe nem o mecanismo para enviar um texto que você digitou livremente. O app também não grava a tela, e o componente capaz de fazer isso não está embutido nele. A única exceção são os números de anúncio da Apple abaixo, enviados exatamente como a Apple os atribui; só passam dígitos.

Nada disso é usado para rastreamento com fins de publicidade. Esses dados não são ligados a dados coletados em apps ou sites de outras empresas, nem entregues a corretores de dados.

O responsável pelo tratamento é a PostHog, Inc. (“PostHog”, nos Estados Unidos; os registros enviados também são guardados nos Estados Unidos). Para saber como ela trata essas informações, consulte a Política de Privacidade da PostHog (em inglês). Na comunicação que faz esse envio, o endereço IP do dispositivo chega à PostHog. Deixamos a PostHog configurada para não registrar os endereços IP que recebe, mas essa configuração vale desde outubro de 2026; nos dados recebidos antes disso, permanece o endereço IP registrado no momento do recebimento (ele não é usado para estimar a região). Quando você desativa o ajuste, o envio para naquele momento e o que ainda não foi enviado é descartado no dispositivo.

Fornecimento a terceiros

Os seus registros, fotos e notas nunca são fornecidos a terceiros. As partes externas com as quais o app se comunica são a Apple (pagamentos na App Store e mapas do MapKit e, enquanto o envio de como o app é usado estiver ativado, a consulta sobre se você instalou o app por um anúncio da Apple), a Sentry, quando os “Relatórios de falha” acima estão ativados, e a PostHog, quando os “Dados de uso do app” estão ativados. Em nenhum dos casos os seus registros de goshuins, fotos ou notas são enviados.

Além disso, o app abre uma página da web ou outro app somente quando você toca em um botão ou link. Nas versões com as fichas dos templos e santuários, o artigo da Wikipédia citado como fonte e a página da licença do seu texto (Creative Commons) e, nas versões que têm a linha “Site oficial” do templo ou santuário, o site oficial dele registrado no Wikidata abrem no navegador dentro do app (Safari), e “Rotas no Google Maps” abre o Google Maps como descrito em “Localização”. O tráfego para a página ou o app que você abre é enviado por esse navegador ou app e é tratado conforme a política de quem o opera; o app não recebe o que você vê lá. As fichas em si (fundação, escola, o resumo da Wikipédia etc.) são dados incluídos no app e mostrados no aparelho, sem tráfego para elas.

Prazo de guarda e exclusão

Os seus registros (datas da visita, nomes de templos e santuários, notas) e as cópias das suas fotos ficam apenas no dispositivo e permanecem lá até você apagá-los. O desenvolvedor não tem servidor e nunca recebe esses dados, então não há nada guardado nem prazo de guarda do lado dele. O que é enviado pelos “Relatórios de falha” é excluído pela Sentry depois de 30 dias. O prazo de guarda do que é enviado pelos “Dados de uso do app” é o prazo determinado pelo contrato com a PostHog (quando esse prazo for decidido, ele será indicado nesta política).

Apagar um goshuin também apaga do dispositivo a cópia da foto dele. Uma foto que está em “Fotos importadas” é apagada, cópia e tudo, quando você a remove dessa lista (a original na sua biblioteca de fotos continua).
Um backup exportado (.goshuin) pode ser apagado em “Ajustes → Backup e novo iPhone → Histórico de exportações”. Um CSV ou um PDF é criado em uma área temporária do dispositivo a cada exportação e entregue ao destino que você escolher nas opções de compartilhamento.
Uma cópia que você salvou em outro lugar pelas opções de compartilhamento — o app Arquivos, o iCloud Drive, o e-mail — está sob o seu controle. Apague-a lá quando não precisar mais dela.
Quando você apaga o app, o iOS apaga junto o banco de dados no dispositivo, as cópias das suas fotos e os arquivos de exportação que ainda estiverem dentro do app.
Os dados levados para o backup padrão do iOS estão sob o controle da Apple. Se você não os quiser, apague o backup do iCloud nos Ajustes do iOS.
O registro da sua compra fica com a Apple e continua depois de você apagar o app. Depois de reinstalar, “Ajustes → Restaurar compra” traz a compra de volta. O dispositivo guarda apenas a anotação de que você comprou, e ela vai embora quando o app é apagado.

Retirada do consentimento e pedido de exclusão

Como nem os seus registros nem as suas fotos saem do dispositivo, esses dados não estão nas mãos do desenvolvedor. O envio dos “Relatórios de falha” e dos “Dados de uso do app” pode ser interrompido desativando-os em Ajustes (o envio para naquele momento). Se quiser que o que já foi enviado seja excluído, escreva para o contato abaixo. Porém, como o que foi enviado não está ligado ao seu nome nem aos seus dados de contato, pode não ser possível identificar o que é seu e excluí-lo individualmente. Nesse caso, informamos isso a você, junto com o motivo. Para retirar o consentimento ao tratamento descrito nesta política, apague os dados do dispositivo como descrito acima e apague o app. As fotos são recebidas apenas como as que você aponta na tela de seleção de fotos do iOS a cada vez, então nenhuma permissão contínua à sua biblioteca de fotos fica para trás.

Dúvidas sobre como apagar, pedidos de retirada do consentimento e pedidos de exclusão são recebidos no contato abaixo. Respondemos sem demora depois que você escrever.

Como pedir a exclusão do endereço de e-mail que você cadastrou na lista de espera do site (já encerrada) e como interromper a análise de acesso do site estão descritos em Política de privacidade (site).

Revisões

Se esta política for revisada, a revisão será publicada nesta página e a data da última revisão será atualizada.

Contato

Dúvidas sobre esta política: tomodahinata@gmail.com