Declaração de privacidade do WWWveilig Authenticator

Última atualização: 3 de novembro de 2026

Esta é uma tradução da declaração de privacidade em neerlandês. Em caso de divergência, prevalece a versão neerlandesa.

Quem é responsável

A app e a API em api.wwwveilig.nl são um serviço do WWWveilig, que faz parte da EVweb BV. A EVweb BV é responsável pelo tratamento de dados pessoais pela app e pela API.

EVweb BV / Centerdesk / WWWveilig
Bijlestaal 44M
1721 PW Broek op Langedijk
Países Baixos

Tem perguntas sobre esta declaração ou sobre os seus dados? Envie um e-mail para privacy@wwwveilig.nl.

O que fica apenas no seu telemóvel

As chaves secretas com que são calculados os seus códigos de seis dígitos. São guardadas no armazenamento seguro do sistema operativo (iOS Keychain, Android Keystore) e só são utilizadas no dispositivo. Gerar um código é feito offline e não envia nada para lado nenhum.
O endereço da API a que as suas contas pertencem.

A app não tem uma conta própria. Não há nome de utilizador, nem palavra-passe, nem registo.

O que a API guarda

Quando uma aplicação associa o seu telemóvel como segundo passo, o serviço guarda:

Uma referência de utilizador dessa aplicação: para saber a qual dos seus utilizadores pertence este telemóvel. É o identificador próprio dessa aplicação, não o seu nome.
Uma etiqueta opcional (muitas vezes o seu endereço de e-mail): para que possa distinguir as suas contas na app. É fornecida pela aplicação, não por nós.
Uma cópia encriptada da chave secreta: para verificar os códigos que introduz. Guardada de forma encriptada.
O nome, a plataforma e a versão da app do seu dispositivo: para que possa reconhecer o seu telemóvel e para que lhe possamos dar suporte.
Um token de notificações push: para entregar pedidos de aprovação no seu telemóvel.
Para cada pedido de início de sessão: hora, estado, endereço IP e qualquer texto de localização fornecido pela aplicação: para lhe mostrar de onde veio um pedido e como registo de segurança.

Mantemos um registo de segurança de eventos como «código verificado», «pedido aprovado» e «associação revogada», com o endereço IP envolvido. As entradas do registo de segurança são eliminadas automaticamente ao fim de 180 dias.

Pedidos de endereços que não existem

Quando algo pede ao serviço um endereço que este não tem, respondemos com uma página curta de «não permitido» e registamos o pedido: o endereço IP de onde realmente veio, a identificação do browser ou do programa, o endereço pedido e a hora. É assim que detetamos varrimentos e tentativas repetidas de sondar o serviço, o que constitui o nosso interesse legítimo em mantê-lo seguro (artigo 6.º, n.º 1, alínea f), do RGPD). Estes registos dizem respeito ao pedido, não a uma conta: não tentamos descobrir quem o enviou e não os combinamos com outros dados. São eliminados automaticamente ao fim de 90 dias.

Início de sessão de demonstração para revisores da app

O primeiro ecrã de um telemóvel sem contas mostra Conta de demonstração (revisão da app). Destina-se aos revisores do Google Play e da App Store. O que introduzir aí (endereço de e-mail e palavra-passe) é enviado para o nosso site de demonstração m.centerdesk.nl, que só aceita as suas próprias contas de revisão e associa o telemóvel a uma delas. Os utilizadores normais não precisam deste ecrã.

O que não fazemos

Não vendemos nem alugamos os seus dados.
Não utilizamos publicidade, rastreio nem ferramentas de análise.
Não criamos perfis seus nem tomamos decisões automatizadas sobre si.
Não pedimos o seu nome, morada, número de telefone ou data de nascimento.
Não temos acesso às contas que protege: só a aplicação em que inicia sessão sabe quem é.

Quem mais está envolvido

As notificações push são entregues através do serviço do fabricante do sistema operativo: o Apple Push Notification service no iOS e o Firebase Cloud Messaging no Android e, quando configurado, através do serviço de reencaminhamento de push da Expo. Esses serviços recebem o token de notificação e o texto da notificação para a poderem entregar. Não partilhamos mais nada com terceiros.

O serviço funciona em servidores na União Europeia.

Durante quanto tempo guardamos os dados

Dados de associação: até a conta ser removida da app ou até o administrador da aplicação desativar a sua verificação em dois passos.
Pedidos de início de sessão: expiram em poucos minutos; o registo continua a fazer parte do registo de segurança.
Registo de segurança: 180 dias; depois é eliminado automaticamente.
Pedidos de endereços inexistentes: 90 dias; depois são eliminados automaticamente.

Os seus direitos

Ao abrigo do RGPD, pode pedir acesso aos seus dados, a sua retificação ou o seu apagamento, e opor-se ao seu tratamento. O serviço só o conhece através de um identificador da aplicação em que inicia sessão, pelo que o caminho mais rápido é normalmente através das definições de conta dessa aplicação.

Pode sempre remover dados por si próprio:

Remover uma conta: na app, Definições → a conta → Remover. Isto elimina a chave secreta e desassocia o telemóvel.
Remover tudo: Definições → Repor este telemóvel.
Pedido de apagamento completo: consulte Apagar os seus dados ou envie um e-mail para privacy@wwwveilig.nl.

Tem também o direito de apresentar uma reclamação junto da autoridade neerlandesa de proteção de dados (Autoriteit Persoonsgegevens).

Segurança

As chaves secretas são guardadas de forma encriptada. Cada código de seis dígitos só pode ser utilizado uma vez. Os pedidos de aprovação expiram em poucos minutos e estão ligados a um único dispositivo. Todo o tráfego utiliza TLS.

Alterações

Se esta declaração for alterada de forma substancial, atualizamos a data no topo e, quando isso o afetar, mencionamo-lo na app.