Política de Privacidade

Conforme o uso, tratamos:

• conta: e-mail, nome de exibição, nome de usuário, identificador, datas de criação e atualização, a confirmação do e-mail, a versão dos Termos que você aceitou e a data do aceite, a sua declaração de ter 18 anos ou mais, com a data, se a conta é aberta ou fechada e, quando houver, a suspensão e o prazo dela;
• autenticação: a sessão e os dados necessários para entrar, confirmar o e-mail e trocar a senha. O sistema de autenticação guarda também as datas de acesso e pode guardar, por sessão, o endereço IP e a identificação do navegador;
• leituras: obras e edições, estado de leitura, datas informadas, sessões e releituras, total de páginas, se a leitura é privada, as sessões do modo foco, o livro escolhido para o destaque do início e os livros que você cadastra à mão;
• progresso: página ou percentual, e a data e a hora de cada atualização, inclusive correções;
• acervo: os exemplares que você declara ter, o suporte (físico, e-book, audiolivro), onde está, as datas de aquisição e de saída e se o exemplar é privado;
• opiniões: notas, resenhas, as marcas de clima e de ritmo, trechos, a marca de spoiler e a visibilidade escolhida;
• foto de perfil: se você escolher pôr uma, a imagem já recortada no seu aparelho, em 256 por 256 pixels, sem metadados (como local, data ou modelo da câmera). A foto original não é enviada à Sublinha;
• capa enviada: se você enviar a capa de um livro que cadastrou à mão, a imagem já recortada no seu aparelho, em 400 por 600 pixels, sem metadados;
• relações: quem você segue, quem segue você, os pedidos para seguir, as resenhas que você curtiu e os trechos de outras pessoas que você guardou;
• clubes: participação, função, mensagens, spoilers, indicações e votos, prazos, ocultação do progresso e ações administrativas;
• importação: se você usar a importação da estante do Goodreads, o que vem do arquivo (título, ISBN, prateleira, nota, data de leitura e resenha) vira leitura, nota e resenha na sua conta. O arquivo é lido na hora e não é guardado;
• segurança: o IP e derivados irreversíveis descritos na seção 3, e os registros técnicos necessários contra abuso;
• moderação: as denúncias que você faz, as que são feitas sobre o que você publicou, as decisões e os motivos;
• atendimento: o que você nos envia em suporte, denúncia, contestação ou exercício de direitos;
• dados técnicos: o registro de acesso do servidor (seção 3), o registro de erros do servidor, que guarda a rota, o tipo de erro e a hora, sem nenhum dado de conta, e contagens agregadas de uso que não identificam ninguém.

A Sublinha não armazena sua senha de forma legível. A autenticação é administrada pelo Supabase, e a aplicação não precisa conhecer sua senha para validar o acesso.

A leitura do código de barras pela câmera acontece inteira no seu aparelho: nenhuma imagem da câmera é enviada à Sublinha, só o número lido.

Na época da retrospectiva do ano, você pode gerar uma imagem com os números da sua leitura. Ela é montada na hora, no nosso servidor, a partir dos seus dados, não é guardada e só sai do seu aparelho se você a compartilhar. Leitura privada entra só nos números, nunca pelo título.

Você pode ver a página inicial, a busca do catálogo e as páginas de livro sem criar conta. Nesse caso, tratamos só o registro de acesso do servidor (seção 3): o endereço IP, a data e a hora, o endereço pedido e a identificação do navegador. Não gravamos cookie em quem não tem conta.

Contamos visitas de quem não tem conta de forma agregada: quantas por dia e por tipo de página. Não usamos cookie, não guardamos IP nem navegador e não ligamos a visita a ninguém, nem a uma conta criada depois.

Quando a medição da busca está ligada, contamos, por semana e de forma agregada, quantas vezes cada livro aparece, é aberto e é adicionado a partir da busca, e guardamos os termos que não encontraram nenhum resultado, sem ligação com quem buscou. Termos que parecem dado pessoal, como um e-mail, um telefone ou o nome de uma pessoa da Sublinha, não são guardados.

Livros, resenhas e mensagens podem, conforme o contexto, revelar ou permitir inferências sobre religião, política, saúde, vida sexual ou outras características protegidas pela lei. A Sublinha não cria perfil sensível, não faz essas inferências e não as usa para recomendar, anunciar ou discriminar.

Tudo o que está nesta tabela é necessário para a função que você pediu, é da própria Sublinha e não é lido por terceiros. Não usamos cookies de publicidade nem de rastreamento, nem ferramentas de análise de terceiros.

Os itens de armazenamento local com prefixo "sublinha:" são apagados quando você sai da conta.

O servidor que recebe os pedidos registra cada acesso, com ou sem conta: o endereço IP, a data e a hora, o endereço pedido, que pode conter o termo buscado ou o código de um link de confirmação, e a identificação do navegador. Esse registro serve para segurança e para apurar abuso, é guardado por 6 meses e não é usado para medir ou perfilar ninguém.

O IP pode ser registrado em tentativas de cadastro, de entrada, de renovação de sessão, de troca de senha pelo link, de reenvio do e-mail de confirmação e na confirmação de senha para excluir a conta. A tentativa de entrada recusada registra também um derivado irreversível do e-mail digitado, e a confirmação de senha da exclusão registra o mesmo derivado do e-mail da conta. Nunca o endereço em si: a Sublinha guarda o resultado de um cálculo com segredo de servidor, que serve para contar tentativas contra a mesma conta e não permite recuperar o endereço nem testá-lo contra uma lista. É pseudonimização, não anonimização: o registro continua sendo dado pessoal e continua sujeito ao mesmo expurgo.

O registro perde a validade em 10 minutos e é apagado no expurgo disparado pela tentativa seguinte. Enquanto não houver nova tentativa em todo o serviço, um registro já vencido pode permanecer armazenado. Em casos raros, quando o sistema falha no meio de uma tentativa válida, o IP ou o derivado do e-mail dessa tentativa pode ficar guardado como se ela tivesse sido inválida, pelo mesmo prazo.

Por que o e-mail entra nisso. Sem contar as tentativas por conta, quem quisesse adivinhar a senha de alguém bastava trocar de rede para recomeçar do zero. O limite é de 20 tentativas recusadas em 10 minutos por conta, e ele destranca sozinho ao fim desses 10 minutos: não existe bloqueio permanente nem necessidade de pedir desbloqueio a ninguém.

Outros limites usam o identificador da conta, e não o IP: a troca de senha de quem já está conectado, os pedidos para seguir (20 por dia), as denúncias (10 por dia) e a importação do Goodreads (3 a cada 24 horas). Nos pedidos para seguir e nas denúncias, guardamos um derivado irreversível do identificador, calculado com segredo de servidor. Cada registro é apagado quando a janela do limite vence.

Na página de cada livro, "Deixar esta leitura privada" tira aquela leitura do seu perfil, do feed, do quadro de quem segue você e do painel dos clubes. Ela continua contando, sem o seu nome, em "lido por N pessoas". Tornar a leitura privada não torna privada a resenha dela: a resenha tem escolha própria, e uma resenha pública continua mostrando que você leu. Do mesmo jeito, "Só eu vejo este exemplar" tira um exemplar do seu perfil e da página do livro.

Você pode fechar a sua conta em Ajustes, com "Fechar minha conta", e abri-la de novo quando quiser.

Com a conta fechada, seguir você passa a ser um pedido, que você aprova ou recusa. Quem já seguia você continua seguindo, e você pode remover qualquer pessoa da lista de quem segue você, com a conta aberta ou fechada. Quem não segue você com aprovação vê só o seu nome, a sua arroba, os números de quem você segue e de quem segue você e o botão de seguir: não vê resenhas, trechos, leituras, acervo nem as suas listas de conexões. Quem não tem conta não vê você nomeada em lugar nenhum. Os números agregados dos livros continuam contando você, sem nome. Nos clubes, nada muda: integrante é integrante, com a conta aberta ou fechada.

Quem teve um pedido recusado só pode pedir de novo depois de 30 dias. Para isso guardamos, por 30 dias, um derivado irreversível do par de contas, calculado com segredo de servidor. Ao abrir a conta de novo, os pedidos que estavam esperando viram seguidores.

As páginas de livro podem ser vistas por quem não tem conta, e parte delas pode ser lida e listada por buscadores como o Google. Nessas páginas aparecem a média e as contagens do livro e as resenhas e os trechos públicos de contas abertas, com o nome e a arroba de quem escreveu. Perfis, listas de conexões, feed, clubes e tudo o que é de conta ficam fora: só são vistos por quem entrou.

O limite, dito com todas as letras: tudo o que é público pode ser copiado por terceiros, e o que for copiado ou listado por um buscador antes de você tornar privado, fechar a conta ou excluí-la não volta com a sua escolha. A raspagem é proibida pelos Termos (seção 7), mas proibir não impede.

A resenha ou o trecho marcado como spoiler chega escondido na tela e só aparece quando quem lê pede para revelar. O texto vem junto com a página, então a marca protege quem lê, não é segredo. Na mensagem de clube é diferente: o corpo marcado como spoiler só é enviado pelo servidor quando quem lê pede para revelar.

• Não existe bloqueio de outra conta.
• Não existe forma de tirar só dos buscadores o que é público: para isso, torne o item privado ou feche a conta.
• Não existe exportação dos seus dados.
• Não existe como apagar ou editar uma mensagem de clube depois de enviada.
• Não existe aviso de acesso administrativo: você não é avisada quando a sua conta é lida pela administração (abaixo).

"Não exibido" não significa "nunca processado". Pessoas autorizadas e fornecedores podem ter acesso técnico limitado para operar, dar suporte, investigar incidentes, atender denúncias, cumprir a lei ou defender direitos.

O que existe de fato, hoje, é isto:

• A administração da Sublinha pode ler uma conta inteira, inclusive o que é privado e o registro do progresso, pelo painel de administração. Para isso precisa abrir, antes, uma autorização registrada para aquela conta, com a razão (denúncia, ordem judicial, pedido da própria pessoa ou incidente de segurança) e uma referência, que vale por 72 horas. Cada leitura feita assim deixa uma linha na trilha da administração. Você não é avisada desses acessos. Mesmo pelo painel, ninguém vê senha, credenciais de sessão nem códigos de convite, e não existe "entrar como" outra pessoa.
• O painel de administração mostra também números e listas de cadastros e de uso, com nome e arroba, sem e-mail, e a fila de denúncias, em que quem analisa vê o conteúdo denunciado e o necessário para decidir.
• Quem opera a Sublinha tem acesso direto ao banco de dados, pelo painel do fornecedor. Com ele é possível ler qualquer linha de qualquer conta, e esse acesso não deixa registro. É por ele que uma ordem judicial sob sigilo é atendida. Não podemos provar a você que não olhamos, e não vamos afirmar que podemos.
• Quem separa uma conta da outra é o código da aplicação, não o banco. A aplicação se conecta ao banco com uma credencial restrita, que não altera a estrutura do banco, mas as regras do banco não distinguem uma conta da outra. Se houver um erro no código, o banco não é a segunda barreira que impediria o vazamento.
• Criar, excluir e conferir a senha de uma conta usa uma chave administrativa do sistema de autenticação, que alcança qualquer conta.

Isto está escrito aqui porque a alternativa seria deixar você supor que existe um controle que não existe. Se isso mudar, esta seção muda antes.

Você pode excluir a sua conta a qualquer momento, em Ajustes. Pedimos a sua senha antes, e a exclusão não pode ser desfeita. Ajustes fica aberto mesmo com a conta suspensa ou com uma versão nova dos Termos esperando aceite.

O que é apagado no momento da exclusão:

• a sua conta de acesso, o seu e-mail na conta e o seu perfil;
• todas as suas leituras, exemplares do acervo, todo o registro de progresso e as sessões do modo foco;
• as suas notas, resenhas e trechos, públicos ou privados;
• a sua foto de perfil e as capas que você enviou;
• as marcas que você deu em trechos de outras pessoas e as curtidas que você deu em resenhas;
• quem você segue, quem segue você e os pedidos para seguir;
• a sua participação em cada clube, com o progresso que aparecia no painel;
• as denúncias feitas sobre o que você publicou e as autorizações administrativas abertas para a sua conta.

A sua arroba fica livre, e outra pessoa pode registrá-la depois.

O que a exclusão muda para outras pessoas. Parte do que é apagado também estava na conta de outras pessoas:

• quem guardou um trecho escrito por você perde essa marca. O trecho é apagado, e a marca de quem o guardou vai junto;
• as curtidas que outras pessoas deram nas suas resenhas são apagadas com as resenhas;
• a sua nota deixa de contar na média da comunidade, e os números em que você entrava ("lido por N pessoas", "guardado por N pessoas", curtidas, seguidores) diminuem;
• quem seguia você deixa de seguir, e para de ver as suas leituras e o seu progresso.

Vale também no sentido contrário: se a pessoa que escreveu um trecho que você guardou excluir a conta dela, o trecho some da sua coleção, e a sua marca some com ele. O mesmo acontece com uma resenha que você curtiu. A Sublinha não guarda uma cópia para quem guardou ou curtiu. Se um trecho importa para você, mantenha também uma cópia própria, fora da Sublinha.

O que fica, sem o seu nome:

• As mensagens que você escreveu em clubes. Elas continuam na conversa, visíveis aos integrantes daquele clube, e passam a aparecer como "Conta excluída". Ficam porque apagá-las deixaria buracos na conversa das outras pessoas. O nome sai; o texto da mensagem fica como foi escrito, e se você escreveu nela algo que identifica você, isso continua lá. Hoje não existe como apagar uma mensagem própria, nem antes de sair. Elas ficam enquanto o clube existir.
• Os livros que você cadastrou à mão. O registro do livro, com o título, a autoria e os dados de edição que você digitou, continua no banco, mas deixa de aparecer para qualquer pessoa: ninguém mais consegue encontrá-lo nem incluí-lo. A capa que você enviou para ele é apagada. Ele não é apagado porque descreve um livro, e não você.
• Os clubes. Os clubes que você criou continuam existindo para quem está neles. Se você organiza um clube, a organização passa, antes da exclusão, para quem entrou primeiro entre as pessoas que ficam; se você era a única pessoa no clube, ele é arquivado, e não apagado. A trilha do clube guarda essa passagem e as ações que você fez antes, como convites, indicações e votações abertas, sem o seu nome. Se a exclusão falhar depois desse passo, a sua conta continua existindo, e a organização já terá mudado de mãos.
• As denúncias que você fez, sem ligação com você.
• As ações da administração sobre a sua conta ou o seu conteúdo, sem ligação com a sua conta, pelo prazo da tabela acima. O texto dessas ações pode conter a sua arroba.

O que ainda contém os seus dados depois da exclusão:

• o registro do aceite dos Termos e da sua declaração de idade, com a versão e as datas, por 5 anos, para provar o aceite;
• o registro de eventos do sistema de autenticação, que guarda o seu e-mail, o IP e as datas das suas entradas e da exclusão. Ele não é apagado junto com a conta; veja a linha dele na tabela acima, e peça a eliminação se quiser;
• o registro de acesso do servidor, pelo prazo da tabela acima;
• cópias feitas por terceiros do que você publicou enquanto era público, como buscadores e raspagem. A Sublinha não controla essas cópias e não consegue apagá-las.

Exportação. Não existe hoje uma forma de exportar os seus dados antes de sair. Se você quiser saber o que a Sublinha tem sobre você, faça o pedido de acesso da seção 8 antes de excluir a conta.