Política de privacidade

Versão de 24/10/2026. Entra em vigor na data da publicação.

Esta política explica que dados pessoais a Brisavia trata quando usas a app (iPhone e Android) e o site brisavia.com, para quê, durante quanto tempo, com quem os partilhamos e que direitos tens. Escrevemo-la em linguagem simples de propósito.

Em resumo: usas a Brisavia sem conta; o que é teu (aventuras, diário, gravações GPS, fotos) fica no teu telemóvel; só enviamos dados para os nossos servidores quando a função que pediste precisa deles; as funções com conta (sincronização, Amigos) são opcionais e cada partilha é uma escolha tua; não vendemos dados, não há publicidade e este site não usa cookies nem rastreio.

1. Quem é o responsável

O responsável pelo tratamento dos dados é Helder Pereira (pessoa singular), com morada postal em Rua Particular de Francos 206, 4250-361 Porto, que desenvolve e gere a Brisavia. Contacto para tudo o que tem a ver com privacidade: privacidade@brisavia.com.

2. O que fica só no teu telemóvel

Estes dados são guardados na app, no teu aparelho, e não vão para os nossos servidores (a não ser que escolhas uma das funções com conta, ver os pontos 5 a 7):

os trilhos guardados, as aventuras e as paragens, o diário e as notas;
as gravações GPS completas das tuas caminhadas e a tua localização, usada no aparelho para o mapa, a navegação, os avisos de voz e a deteção das descobertas;
as fotos (a app guarda apenas referências à tua galeria);
os pacotes de mapas offline, os modelos de IA descarregados e as conversas com o Assistente;
a Caderneta (carimbos, metas e territórios), calculada no próprio telemóvel, e as tuas zonas privadas.

Podes exportar ou apagar tudo isto na app, em Perfil. Apagar a conta não toca nestes dados.

3. Que dados chegam aos nossos servidores mesmo sem conta

Identificador da instalação: ao arrancar, a app regista-se com um identificador aleatório, a plataforma (iOS ou Android) e a versão da app, e recebe um código de acesso. Serve para a app falar com o nosso servidor e para limitar abusos. Não contém o teu nome nem o teu e-mail. Guardamo-lo enquanto a instalação for usada, apagamo-lo ao fim de 12 meses sem a usares e também se o pedires.
Importações: quando importas um trilho (por link, ficheiro GPX ou KML, coordenadas), o servidor lê o conteúdo e guarda o resultado (título, percurso, estatísticas, endereço de origem e, se a página tiver, o endereço da sua imagem de partilha), ligado ao identificador da instalação (e à conta, se tiveres sessão iniciada), para o poder devolver rapidamente e para registo de segurança. Apagamos esse registo automaticamente ao fim de 90 dias. Quando o trilho vem de uma página pública, o resultado fica também no catálogo partilhado de trilhos, sem ligação a ti.
Pesquisas e rotas: o texto que pesquisas (o nome de uma serra, um local) e, quando pedes uma rota ou «perto de mim», as coordenadas pedidas, chegam ao servidor para te responder. O cálculo de rotas e a pesquisa de locais são feitos pelo OpenRouteService, sempre a partir do nosso servidor e sem o teu identificador. Guardamos em cache durante 7 dias as rotas calculadas, pelas coordenadas pedidas e sem o teu identificador; o texto das pesquisas não é guardado em cache.
Água e lugares ao longo do percurso: quando abres uma aventura, a app envia o percurso planeado ao servidor para encontrar os pontos de água e os lugares perto dele. Não guardamos esse percurso.
Mapas offline: quando pedes o tamanho de um mapa offline, guardamos a área pedida (um retângulo de coordenadas e os níveis de zoom), ligada ao identificador da instalação. Apagamos ao fim de 90 dias.
Contadores de limite de pedidos: para travar abusos guardamos, durante cerca de uma hora, um contador por instalação e por endereço IP.
Registos técnicos do servidor (o endereço pedido, que pode incluir o texto de uma pesquisa ou coordenadas, o estado e os erros; nunca o conteúdo das conversas), até 30 dias, para detetar falhas e abusos.

O Assistente corre no telemóvel (o modelo do aparelho, um modelo aberto que descarregas ou regras simples). O que escreves ou dizes ao Assistente não é enviado para os nossos servidores; só chegam as pesquisas que ele faz, por exemplo o nome de uma serra, para encontrar trilhos. O ditado por voz usa o reconhecimento de voz do sistema (Apple ou Google). A IA na cloud não está disponível neste momento (ponto 7).

4. Acompanha-me (partilha da posição ao vivo)

Só acontece quando começas uma partilha e podes terminá-la ou revogá-la quando quiseres. Enquanto dura, enviamos para o servidor:

as últimas posições (cerca de 300 pontos nas últimas 6 horas), a bateria, a distância percorrida e o estado da partilha;
o título e o nome que escolheres mostrar, o percurso planeado e as horas de início e de fim previstas;
um link com um segredo aleatório (guardamos apenas uma impressão digital dele).

Quem tem o link vê a página brisavia.com/l/… com o mapa, a tua posição e a bateria. Não é preciso conta nem instalar nada, e a página não usa cookies. Quem partilha o link com outras pessoas decide quem o vê. As tuas zonas privadas são aplicadas no telemóvel antes de as posições saírem.

O link deixa de funcionar 24 horas depois do fim da partilha, ou logo que a revogues, e as posições são apagadas ao revogar. Os restantes dados da partilha são apagados automaticamente pouco depois; uma partilha abandonada é apagada ao fim de 48 horas.

Se ligares o aviso de atraso, guardamos o código de notificações push do teu telemóvel (ver o ponto 9) para te lembrar se passares da hora prevista. Base legal: o teu consentimento, ao começares a partilha.

5. Conta e sincronização (opcional)

A conta serve para repor os teus dados noutro telemóvel e para as funções que precisam de ti identificado (Amigos). Só a crias se quiseres, com «Entrar com a Apple» (iPhone) ou «Entrar com a Google» (Android). Não pedimos nem guardamos palavra-passe. Guardamos:

o identificador que a Apple ou a Google dá à tua conta para a Brisavia e, se o fornecerem, o teu e-mail apenas sob a forma de uma impressão digital irreversível (não guardamos o e-mail em si; com «Ocultar o meu e-mail», a Apple dá-nos um endereço de retransmissão);
o nome de apresentação (opcional), o idioma, o plano e o registo de que declaraste ter 16 anos ou mais;
as sessões da conta (identificador do aparelho, datas de uso) e, com a Apple, um código que só serve para revogar o acesso quando apagas a conta.

Depois de tocares em «Associar este telemóvel», sincronizamos documentos entre os teus telemóveis: trilhos guardados, aventuras, descobertas, entradas do diário, resumos das caminhadas (distância, tempo, subida e um percurso simplificado, já sem as tuas zonas privadas) e preferências (unidades, voz, modo cão e zonas privadas com o centro deslocado). Não sincronizamos as gravações GPS completas, as fotos, os mapas offline, a Caderneta nem as conversas do Assistente. Há um limite de 20 MB por conta.

Base legal: execução do contrato (prestar-te a conta e a sincronização). Guardamos estes dados até apagares a conta (ver o ponto 11).

6. Amigos: amigos, ligas, equipas e descobertas (opcional, com conta)

A área Amigos só funciona com conta e tudo nela começa desligado. Nada é público: o que partilhas só é visto pelos teus amigos (amizades mútuas, por convite) ou pelos membros de uma liga em que estejas. Não há mensagens privadas nem «pessoas perto de ti». Quando usas Amigos, tratamos:

Perfil: o nome de apresentação, a cor do avatar e, se quiseres, um @utilizador único (3 a 20 caracteres, que podes mudar uma vez de 30 em 30 dias; o antigo fica reservado para ti durante 30 dias) e uma frase de uma linha. O nome, o @utilizador e a frase passam por um filtro de palavras ofensivas antes de serem aceites e são visíveis só para os teus amigos e, o nome e o @utilizador, para os membros das tuas ligas. As tuas escolhas de avisos e de partilha, e a versão das regras de Amigos que aceitaste, com a data.
Foto de perfil e capa (opcionais): se escolheres uma foto da galeria, o telemóvel recorta-a, reduz-a e volta a codificá-la em JPEG (o que retira a localização e outros dados da foto) e envia-a para um armazenamento privado do servidor, sem endereço público, onde o servidor aceita só JPEG e volta a retirar os metadados. Só os teus amigos a veem, nunca pessoas bloqueadas nem membros de ligas que não sejam teus amigos; a capa pode também ser o traçado da tua última caminhada ou uma capa ilustrada da Brisavia, que não envolvem nenhuma foto. Podes remover a foto e a capa quando quiseres, na app (Perfil, Editar), e elas são apagadas de imediato; ao apagar a conta também são. A foto que escolhes como fundo da Story fica só no telemóvel. Não analisamos as fotos automaticamente: só as vemos se alguém as denunciar, e quem as vê é uma pessoa.
Convites: um código de uso único, válido 7 dias (brisavia.com/c/…). Quem o abre, com sessão iniciada, vê o teu nome antes de aceitar. As amizades (com a data), as pessoas que bloqueaste (com o nome que tinham nessa altura) e os «Boa!» que dás e recebes.
Caminhadas partilhadas com amigos: só se ligares «Mostrar as caminhadas aos amigos». Enviamos o resumo de cada caminhada guardada no diário (título, dia, distância, duração, subida, concelhos ou províncias e carimbos), sem hora de início nem ponto de partida. O traçado só vai se o ligares nessa caminhada; vai já cortado pelas tuas zonas privadas e o servidor corta ainda 300 m em cada ponta e simplifica-o.
Links públicos de caminhadas (opcionais): se tocares em «Partilhar link da caminhada», criamos um link (brisavia.com/w/…) que qualquer pessoa que o tenha abre, sem conta. A página mostra o título, a região, o dia (nunca a hora), a distância, a subida, os carimbos, a água e os lugares pelo caminho e o traçado, cortado pelas tuas zonas privadas e em 300 m em cada ponta; o teu nome só aparece se ligares «Mostrar o meu nome». O link expira ao fim de 90 dias e podes renová-lo por mais 90 dias na app (Renovar); deixa também de funcionar se o desligares na app, apagares a caminhada ou a conta, e logo que o desligas (cópias temporárias podem demorar até 5 minutos a desaparecer). Um link expirado fica escondido mais 30 dias, para o poderes renovar, e depois é apagado. A página não usa cookies e pede aos motores de busca que não a indexem. Quem partilha o link com outras pessoas decide quem o vê.
Ligas privadas (até 12 pessoas, por convite): o nome da liga, os membros e os pontos de cada um, visíveis só para os membros.
Equipa e tabelas de territórios: o distrito (Portugal) ou a província (Espanha) que escolhes como equipa, uma vez por estação. As tabelas mostram só somas por território, sem nomes, e um território só aparece com pelo menos 10 participantes. Desafios da estação e «A tua estação» (os teus números da estação).
Descobertas verificadas: quando uma descoberta conta para os pontos, o telemóvel envia o lugar, a hora, 2 ou 3 posições que a confirmam, um resumo da aproximação (distância, tempo em movimento, número de pontos), a indicação de localização simulada e o concelho ou província. O servidor verifica-a contra batota. Nunca enviamos uma descoberta, nem posições, dentro das tuas zonas privadas. «Descoberto por N pessoas» só aparece a partir de 5 pessoas e nunca diz quem. Também guardamos as tuas confirmações de água (potável, não potável, seca).
Denúncias, bloqueios e moderação: podes denunciar o nome, a foto (e a capa) ou o @utilizador de uma pessoa, ou bloqueá-la. Guardamos a denúncia (quem, quem foi denunciado, o que foi denunciado, o motivo e uma nota opcional). Duas denúncias de pessoas diferentes escondem o nome, a foto ou o @utilizador para todos menos para o próprio, até mudar ou até ser revisto. O responsável revê as denúncias numa consola fechada, pode esconder uma foto ou retirar um @utilizador (a pessoa tem de escolher outro) e cada ação fica registada.

Base legal: execução do contrato para as funções de Amigos que ativas; consentimento para a foto de perfil e a capa (és tu que escolhes enviá-las, e podes retirá-las quando quiseres), para mostrar as tuas caminhadas e o traçado aos amigos e para criar links públicos de caminhadas (podes desligar quando quiseres, e as caminhadas ou os links deixam de aparecer); interesse legítimo para a verificação das descobertas, a prevenção de abusos e a moderação.

Os avisos de Amigos (amizade aceite, «Boa!», fim da estação) usam as notificações push do ponto 9 e começam desligados.

7. Assistente e IA

O Assistente percebe o que lhe pedes no telemóvel. Conforme o aparelho, usa a Apple Intelligence (iPhone), o Gemini Nano (Android), um modelo aberto que descarregas (iPhone) ou, se nenhum estiver disponível, regras simples. Os prints que juntares são lidos no próprio telemóvel, com o Apple Vision (iPhone) ou o ML Kit (Android). As tuas mensagens e imagens não são enviadas para os nossos servidores.

O que chega aos nossos servidores:

só as pesquisas que o Assistente faz depois de perceber o pedido, por exemplo o nome de uma serra para encontrar trilhos;
a posição do telemóvel, só quando pedes algo «perto de mim», e serve só para as nossas pesquisas;
os percursos vêm sempre do catálogo e do motor de rotas, nunca são inventados pela IA, e o GPS (navegação, gravação, Acompanha-me) nunca depende da IA.

IA na cloud: o passo opcional de IA online e o assistente na cloud não estão disponíveis para os utilizadores neste momento. Antes de os abrirmos, atualizamos esta política e perguntamos-te primeiro.

A Brisavia não guarda as conversas: nada fica na base de dados nem nos registos, que só têm contagens. O servidor só conta pedidos (quantos por mês, ligados à conta, e totais por dia), para aplicar limites.

8. Com quem partilhamos (subcontratantes e destinatários)

Não vendemos dados nem os usamos para publicidade ou para criar perfis. Usamos estes prestadores, só para o que é preciso:

Cloudflare, Inc.: alojamento do servidor e do site, base de dados, armazenamento e rede. As bases de dados e o armazenamento de ficheiros estão na região da Europa Ocidental (localização que escolhemos), mas isso é só uma indicação de localização: não garantimos que os dados fiquem sempre na União Europeia, e a Cloudflare é uma empresa norte-americana. É o nosso principal subcontratante.
Apple: «Entrar com a Apple» e notificações push no iPhone (APNs).
Google: «Entrar com a Google» e notificações push no Android (Firebase Cloud Messaging).
OpenRouteService (HeiGIT gGmbH, Alemanha): cálculo de rotas e pesquisa de locais. Recebe o texto ou as coordenadas do pedido, não o teu identificador.
OpenFreeMap: os mapas (mosaicos) carregados pela app e pelo site. Vê o teu endereço IP e a zona do mapa que pedes.
Hugging Face: se descarregares um modelo de IA, o ficheiro vem de huggingface.co para o teu telemóvel; eles veem o teu endereço IP.
jsDelivr (rede de distribuição de código): as páginas do site com mapa, como o Acompanha-me e as fichas de trilhos, carregam o programa de mapas MapLibre a partir da jsDelivr, que vê o endereço IP de quem abre a página.
Páginas de terceiros: quando importas um link, o nosso servidor visita essa página para a ler. Se a página tiver uma imagem de partilha (OpenGraph), a app pode mostrá-la, com o nome da página como crédito: nesse caso carrega-a diretamente da página de origem, que vê o teu endereço IP.

Algumas destas empresas estão fora da União Europeia (por exemplo nos Estados Unidos). Nesses casos as transferências apoiam-se em mecanismos previstos no RGPD, como as cláusulas contratuais-tipo ou o Quadro de Privacidade de Dados UE-EUA.

9. Notificações push

Se aceitares notificações, guardamos o código do teu telemóvel dado pela Apple ou pela Google (e o idioma e o fuso horário) para te enviar avisos da própria app: os lembretes do Acompanha-me e, se os ligares em Amigos, amizade aceite, «Boa!» e fim da estação. Podes recusar ou desligar nas definições do telemóvel ou da app. O texto do aviso (por exemplo o nome do amigo que te deu um «Boa!») passa pela Apple ou pela Google para chegar ao teu telemóvel. Apagamos o código quando deixa de ser válido, ao apagares a conta ou se o pedires. Base legal: consentimento.

10. Este site

O site brisavia.com não usa cookies, não tem análise de visitas e não rastreia ninguém. A Cloudflare processa o endereço IP de quem visita, temporariamente, para entregar as páginas e proteger o serviço. As páginas com mapa (o Acompanha-me e as fichas de trilhos) carregam o programa de mapas da jsDelivr e os mapas do OpenFreeMap, que veem o endereço IP de quem as abre (ver o ponto 8).

Se um dia usarmos estatísticas de visitas, será o Cloudflare Web Analytics, que não usa cookies nem identifica pessoas, e esta política será atualizada antes disso.

11. Durante quanto tempo guardamos

Posições do Acompanha-me: apagadas ao revogar a partilha; o link e os restantes dados duram até 24 horas depois do fim.
Importações e pedidos de mapas offline: 90 dias, apagados automaticamente. Identificador da instalação: apagado ao fim de 12 meses sem uso, ou se o pedires.
Conta e documentos sincronizados: até apagares a conta. A conta deixa de existir de imediato e os dados são apagados de vez passados 14 dias. Os documentos apagados num telemóvel ficam registados 90 dias, para se propagar a eliminação aos outros aparelhos.
Amigos: o perfil, as amizades, os bloqueios e as ligas, até os removeres ou apagares a conta; uma caminhada partilhada com amigos, até desligares a partilha, apagares a entrada do diário ou a conta; um link público de caminhada, até expirar (90 dias depois de o criares ou renovares; escondido mais 30 dias para o poderes renovar, e depois apagado), o desligares, apagares a caminhada ou a conta; as descobertas, os números da estação, os desafios e as confirmações de água, até apagares a conta; as denúncias ainda por resolver, enquanto as duas contas existirem, e as já resolvidas, durante 1 ano depois de resolvidas (ou até uma das contas ser apagada). As tabelas de uma estação fechada ficam arquivadas só como somas por território, sem pessoas.
Código de notificações: até deixar de ser válido ou até apagares a conta. Contagem de pedidos do Assistente (só números, ver o ponto 7): até apagares a conta. O registo das ações do responsável na consola de moderação (quem, quando, porquê): 1 ano.
Registos técnicos: até 30 dias. Contadores de limite: cerca de uma hora. Cópias de segurança técnicas da base de dados podem conservar dados já apagados durante um curto período (até cerca de 30 dias) antes de desaparecerem.

12. Bases legais

Execução do contrato: conta, sincronização e as funções de Amigos que ativas (amigos, ligas, equipa, desafios, descobertas).
Consentimento: partilha da posição ao vivo, notificações push, a foto de perfil e a capa, mostrar as caminhadas aos amigos e links públicos de caminhadas (podes retirá-lo quando quiseres).
Interesse legítimo: limites de pedidos, segurança, registo das importações, verificação das descobertas contra batota e moderação.

13. Os teus direitos

Tens direito a aceder aos teus dados, a retificá-los, a apagá-los, a limitar ou opor-te ao tratamento, à portabilidade e a retirar o consentimento. Na app podes:

exportar os teus dados (Perfil, Exportar; com conta, a exportação inclui tudo o que o servidor tem sobre ti, incluindo Amigos e as descobertas; a foto e a capa aparecem na lista com o tamanho e a data, mas não os ficheiros);
apagar a conta (Perfil, Conta, Apagar conta) ou todos os dados do telemóvel (Perfil, Apagar tudo).

Também podes escrever para privacidade@brisavia.com. Respondemos no prazo de um mês. Se achares que tratamos mal os teus dados, podes reclamar à autoridade de controlo: em Portugal, a Comissão Nacional de Proteção de Dados (cnpd.pt); em Espanha, a Agencia Española de Protección de Datos (aepd.es).

14. Idade mínima

A app pode ser usada sem conta. A conta, e por isso Amigos, é só para quem tem 16 anos ou mais: pedimos uma declaração ao criar a conta e não guardamos a data de nascimento. Se soubermos que uma conta é de alguém com menos de 16 anos (por exemplo se alguém nos avisar em privacidade@brisavia.com), apagamo-la: o responsável apaga a conta e os dados associados pela consola de gestão, como descrito na página «Apagar conta».

15. Segurança

As ligações usam HTTPS. Os códigos de acesso e o link do Acompanha-me são guardados apenas como impressões digitais, os convites são de uso único e expiram em 7 dias, os links de caminhadas são códigos aleatórios longos que expiram ao fim de 90 dias se não os renovares, não há palavras-passe, o acesso aos dados é restrito, a consola de gestão está fechada por autenticação e cada ação nela fica registada, e a página pública do Acompanha-me tem proteções reforçadas. Nenhum sistema é perfeito: se houver uma violação que te afete, avisamos-te e a autoridade de controlo, nos termos da lei.

16. Alterações

Se esta política mudar de forma relevante, avisamos na app e no site antes de a mudança valer. Guardamos as versões anteriores.