Política de Privacidade

Aplicação: App do Professor (Teacher's App)
Programador e responsável pelo tratamento: Maciej Bernacki
Contacto: bernacki.dev@gmail.com
Última atualização: 15 de setembro de 2026

1. Visão geral

Esta Política de Privacidade explica que dados a App do Professor trata, o que nunca sai do teu dispositivo, o que é enviado para serviços externos e porquê, e durante quanto tempo cada coisa é conservada. A aplicação é um assistente de planificação e de criação de histórias para adultos que cuidam de crianças pequenas: professores de educação pré-escolar, que planeiam para os seus grupos, e pais, que usam o modo pais (apresentado como App dos Pais) para planear atividades para os próprios filhos em casa. Esta política abrange ambos os casos.

A aplicação não tem contas de utilizador. Não recolhemos o teu nome, o teu endereço de e-mail, nem qualquer perfil sobre ti. A regra de conceção que orienta a aplicação é que os dados pessoais das crianças nunca saem do teu dispositivo: os nomes das crianças, as datas, as notas e quaisquer outros elementos identificativos são removidos ou substituídos por etiquetas neutras no próprio dispositivo, antes de ser enviado qualquer pedido para qualquer serviço. A letra de canção que escreves ou editas na aplicação é uma exceção deliberada: é enviada tal como a escreveste (§3.9).

Para perceber se a aplicação ajuda realmente as pessoas a começar, o nosso servidor guarda um pequeno registo de como cada instalação é utilizada — em que dias foi utilizada e até onde chegou nos primeiros passos — associado apenas a um identificador aleatório da instalação (§3.10).

Não recolhermos o teu nome não significa que sejas invisível para os serviços de publicidade. A versão gratuita mostra anúncios apresentados pela Google AdMob e, quando compras uma subscrição ou um pacote de tokens, a aplicação envia um evento de medição à Meta, para podermos saber que publicidade funciona realmente. Ambos são descritos em pormenor no §6, ambos estão abrangidos por uma única pergunta de consentimento onde as regras europeias a exigem, e recusar não altera nada no funcionamento da aplicação para ti.

2. Dados que ficam no teu dispositivo

Os dados seguintes são guardados apenas no teu dispositivo, na base de dados local e no armazenamento privado da aplicação. Nunca são carregados automaticamente. As únicas formas de qualquer um deles sair do dispositivo são ações da tua iniciativa: gerar conteúdo, o que envia as descrições anonimizadas explicadas no §3.1, exportar ou partilhar um ficheiro, enviar uma denúncia de conteúdo (§3.8) ou criar uma canção a partir de uma letra escrita por ti (§3.9).

• Perfis das crianças para quem planeias — no modo professor, os nomes e as tuas descrições das necessidades educativas de cada criança; no modo pais, os nomes dos teus filhos, o ano de nascimento (opcional), aquilo de que gostam e não gostam e tudo o que anotares sobre as suas necessidades
• Turmas e grupos
• Planos do dia, histórias e canções gerados (quando o conteúdo é personalizado com nomes reais, a aplicação volta a inseri-los localmente depois da geração — as versões que contêm nomes reais existem apenas no teu dispositivo)
• Narrações áudio de histórias que transferiste, áudio de canções compostas e vídeos de histórias ou de canções que exportaste
• Fotografias que escolhes como fundo de vídeo — selecionadas através do seletor de fotografias do sistema Android (a aplicação não tem permissão para percorrer a tua galeria), copiadas para o armazenamento privado da aplicação e combinadas no vídeo inteiramente no dispositivo
• Definições da aplicação e preferências de idioma

O ditado por voz, quando disponibilizado, utiliza o reconhecimento de fala integrado do Android. Apenas o texto reconhecido é utilizado; a aplicação nunca grava, guarda nem transmite áudio para os nossos servidores.

Desinstalar a aplicação elimina todos estes dados locais.

3. O que é enviado para o nosso servidor, e porquê

As funcionalidades de IA da aplicação passam por um servidor proxy operado pelo programador no Google Cloud Run, na União Europeia (região europe-central2, Varsóvia). A aplicação nunca comunica diretamente com os fornecedores de IA. Cada pedido dirigido ao proxy inclui: um identificador anónimo do dispositivo (um UUID aleatório criado na instalação — identifica a instalação, não a ti); a versão da aplicação; em alguns pedidos, um token do Google Play Integrity utilizado para bloquear abusos; e, nas versões atuais da aplicação, os marcadores de progresso dos primeiros passos descritos no §3.10. Os registos do proxy guardam apenas metadados técnicos (por exemplo, tipo de pedido, resultado, tempos, o identificador anónimo do dispositivo e, nos pedidos de planos do dia, o país cujo sistema de ensino foi selecionado) — nunca o conteúdo dos teus pedidos.

3.1. Geração por IA (planos do dia, histórias, adaptações)

Para gerar conteúdo, a aplicação envia os parâmetros da tua aula e — caso as tenhas fornecido — as descrições das necessidades educativas ou de desenvolvimento das crianças. É com base nestas descrições que a IA personaliza as atividades, e elas podem dizer respeito a matérias como a neurodivergência ou o comportamento, pelo que deves descrever apenas o que for necessário. Antes de qualquer envio, a aplicação remove, no próprio dispositivo, os nomes e os elementos identificativos e substitui cada criança por uma etiqueta neutra (como “Criança A”); as respostas são verificadas no dispositivo e rejeitadas se contiverem um nome real. As descrições são tratadas para gerar o teu conteúdo e não são guardadas no nosso servidor. As histórias geradas são escritas apenas com nomes de personagens fictícios.

No modo pais, a aplicação vai mais longe: nunca coloca, por si, o nome da própria criança num pedido. Cada criança que escolheres é descrita apenas por uma idade aproximada, calculada a partir do ano de nascimento que indicaste, e pelo que anotaste sobre aquilo de que gosta, aquilo de que não gosta e as suas necessidades; além disso, os nomes dos teus filhos são removidos no dispositivo de tudo o resto que escreveres antes de ser enviado — exceto a letra e o título de canções que escreves ou editas tu mesmo, que são enviados tal como os escreveste (§3.9). Tal como no modo professor, estas descrições não são guardadas no nosso servidor.

3.2. Narração de histórias (conversão de texto em fala)

Quando pedes uma narração, o texto da história — que contém apenas nomes fictícios — e a voz que escolheste são enviados através do proxy para a ElevenLabs, um fornecedor de síntese de fala sediado nos Estados Unidos (ver o §4 sobre transferência de dados). O áudio final é transferido para o teu dispositivo.

3.3. Ilustrações das histórias

Quando pedes uma ilustração, é utilizada uma descrição da história sem nomes para gerar uma imagem, que é guardada no Google Cloud Storage para que o teu dispositivo a possa transferir. A imagem é disponibilizada a partir de um link impossível de adivinhar, que a aplicação não publica em lado nenhum, mas qualquer pessoa que tenha o link exato poderá abri-la — não trates os links das ilustrações como privados se os partilhares.

3.4. Compras e subscrições

Os pagamentos são tratados exclusivamente pelo Google Play Billing — nunca recebemos os dados do teu cartão, o teu nome nem a tua morada. Depois de uma compra, a aplicação envia ao proxy o token de compra emitido pela Google Play; o proxy verifica-o junto da Google e guarda no Google Cloud Firestore (região da UE): o identificador anónimo do dispositivo, o token de compra, o produto adquirido (nível e plano de subscrição, ou um pacote único de tokens), a sua data de expiração e as marcas temporais de verificação. A Google Play também notifica diretamente o nosso servidor sobre alterações do estado da subscrição (por exemplo, um cancelamento), para que os direitos de acesso se mantenham corretos.

Para a medição publicitária descrita no §6.2, o servidor calcula ainda um hash unidirecional com sal do número da encomenda emitido pela Google Play e devolve-o à aplicação. Serve para que a Meta possa contar uma compra uma única vez; não pode ser reconvertido no número da encomenda, e nem o próprio número da encomenda nem o token de compra são alguma vez enviados para um serviço de publicidade.

3.5. Limites de utilização e saldos de tokens

Para aplicar de forma justa os limites da versão gratuita e a economia de tokens, mesmo depois de reinstalações, o servidor mantém contadores por dispositivo associados ao identificador anónimo do dispositivo: quantas gerações gratuitas foram utilizadas, quantos anúncios com recompensa foram creditados, os saldos atuais de tokens de histórias e de áudio e a data de criação de cada um destes registos.

3.6. Anúncios com recompensa

Se vires um anúncio com recompensa para ganhar uma geração adicional, a Google AdMob contacta o nosso servidor com uma confirmação assinada que contém o evento publicitário e o identificador anónimo do dispositivo, a qual o servidor verifica e utiliza para creditar a recompensa.

3.7. Programa de recomendações

Se instalares a aplicação através do link de recomendação de alguém, o referenciador de instalação da Google Play transporta o código de recomendação dessa pessoa; a aplicação lê dele apenas esse código — e, nas instalações feitas a partir da página da App dos Pais na loja, um marcador que pré-seleciona o modo pais e que fica no teu dispositivo. Creditar uma recomendação associa, no nosso servidor, o identificador anónimo do dispositivo da nova instalação ao identificador anónimo do dispositivo de quem convidou. Nenhum dos identificadores pode ser associado a uma pessoa — não são recolhidos nomes, contactos, contas nem dados de perfil da Play. Os pedidos de recomendação utilizam ainda verificações do Play Integrity e limites por dispositivo, para impedir a angariação fraudulenta de recomendações.

3.8. Denúncias de conteúdo

A aplicação inclui uma opção “Denunciar este conteúdo” nos conteúdos gerados por IA. Enviar uma denúncia carrega: o tipo de conteúdo e o motivo da denúncia que escolheste, o teu comentário facultativo, o próprio conteúdo denunciado, os metadados de idioma e de voz, a versão da aplicação e o identificador anónimo do dispositivo. As denúncias são o único caso em que conteúdo da aplicação é carregado para ser analisado por um humano (e não por uma IA). As proteções de privacidade continuam a aplicar-se no momento do envio: as histórias denunciadas contêm, por conceção, apenas nomes fictícios; num plano do dia denunciado, os nomes reais das crianças são substituídos por etiquetas neutras no teu dispositivo antes do carregamento; denunciar uma ilustração envia o link já existente, em vez de voltar a carregar a imagem. As denúncias são analisadas pelo programador e utilizadas para moderação de conteúdos, conforme exigido pela política da Google Play sobre conteúdos gerados por IA.

3.9. Criação de canções

Quando crias uma canção, a letra é preparada primeiro como texto. Podes pedir à IA que a escreva a partir do teu tema e das tuas escolhas — tratada como no §3.1, com as descrições de necessidades anonimizadas no dispositivo — ou podes escrever ou editar a letra tu mesmo. A letra que escreves ou editas tu mesmo, deliberadamente, não é anonimizada: é o teu próprio texto e é enviada exatamente como a escreveste — para o serviço de IA que a organiza na estrutura de uma canção e, se pedires uma capa, para o serviço de imagens (que recebe o título e a letra da canção). O editor recorda-te disto no local onde escreves; não incluas dados pessoais que não queiras ver tratados. A letra final é depois enviada à ElevenLabs (Estados Unidos, §4) para compor o áudio, que é transferido para o teu dispositivo e guardado apenas aí — o servidor não guarda a tua letra nem o áudio composto. As imagens de capa são guardadas como as ilustrações das histórias (§3.3).

3.10. Atividade da instalação e progresso nos primeiros passos

Para perceber se as pessoas que instalam a aplicação conseguem começar a usá-la e continuam a utilizá-la, o servidor mantém um pequeno registo por instalação, associado ao identificador anónimo do dispositivo. Esse registo contém o momento em que a aplicação contactou o nosso servidor pela primeira vez, quando o fez mais recentemente (atualizado no máximo cerca de uma vez por dia), a versão da aplicação nesses dois momentos e a lista dos dias em que a aplicação contactou o nosso servidor.

As versões atuais da aplicação enviam também, com os seus pedidos, marcadores de progresso dos primeiros passos, que ficam igualmente guardados no registo. Um marcador é um número que indica que a instalação chegou a uma das etapas do início de utilização: por exemplo, que o ecrã de boas-vindas foi apresentado (e se conseguiu pré-selecionar o teu país a partir da definição de região do dispositivo), que foi escolhido o modo professor ou o modo pais, que foi guardada uma primeira turma ou criança, que o passo do perfil da criança foi aberto, concluído ou ignorado, que foi aberto um ecrã de plano do dia, que se tocou no botão para gerar o plano, que foi guardado um plano, que a introdução foi concluída, ou que a janela de impressão ou de partilha foi aberta para um plano. Um dos marcadores indica apenas que a instalação é anterior a esta funcionalidade. Os marcadores não contêm conteúdo, nomes nem nada do que escreves.

Utilizamos este registo apenas para medir como as instalações começam a utilizar a aplicação e voltam a ela — sobretudo no conjunto de todas as instalações e, para investigar um problema, consultando o registo de uma instalação individual juntamente com os seus contadores de utilização (§3.5) e o estado da subscrição (§3.4). Não é utilizado para publicidade nem transmitido a parceiros publicitários.

3.11. Lembretes

A aplicação pode enviar lembretes ocasionais — por exemplo, ao domingo à noite, um incentivo para planeares a semana seguinte. Ficam desligados até decidires ativá-los: a aplicação sugere-os depois de teres gerado um plano e só pede à Google um token de notificações se aceitares e se o Android permitir notificações. Em seguida, a aplicação envia ao nosso servidor esse token — um identificador emitido pelo Google Firebase Cloud Messaging que permite que uma mensagem chegue a esta instalação — juntamente com o identificador anónimo do dispositivo, o idioma da interface da aplicação, a diferença entre o teu fuso horário e o UTC (para que o lembrete chegue à hora local certa) e a versão da aplicação. O servidor regista também quando começou este registo e quando a aplicação o renovou pela última vez (cerca de uma vez por dia enquanto usas a aplicação), bem como quando foi enviado o último lembrete a esta instalação, para que o mesmo lembrete não seja enviado duas vezes.

Os lembretes são entregues através do Google Firebase Cloud Messaging, que recebe o token e o texto do lembrete. O texto é igual para todas as pessoas que usam a aplicação no teu idioma e nunca contém o teu nome, o nome de uma criança nem nada dos teus planos. Podes desligar os lembretes a qualquer momento nas definições de notificações do Android para a aplicação.

4. Prestadores de serviços e outros destinatários

A aplicação recorre aos seguintes serviços externos:

A AdMob e a Meta não são nossas subcontratantes. Utilizam também o que recebem para as suas próprias finalidades publicitárias, na qualidade de responsáveis pelo tratamento independentes. Não podemos aceder, corrigir nem eliminar as cópias que detêm; os pedidos relativos a essas cópias devem ser dirigidos diretamente à Google ou à Meta (§8).

Alguns destes fluxos podem ser tratados fora do EEE: a ElevenLabs trata os pedidos de narração e de composição de canções — o texto da história ou a letra da canção — nos Estados Unidos ao abrigo das suas condições de tratamento de dados, que incorporam as Cláusulas Contratuais-Tipo da UE; os pedidos ao Google Gemini passam pelo nosso proxy na UE até à API Gemini da Google, onde a Google os pode tratar fora do EEE ao abrigo das suas condições de tratamento de dados; e os eventos de compra descritos no §6.2 seguem para a Meta Platforms Ireland, que os pode tratar nos Estados Unidos ao abrigo das suas próprias garantias de transferência. Os lembretes (§3.11) são entregues através do Google Firebase Cloud Messaging, que pode igualmente tratar o token e o texto do lembrete fora do EEE. Ver também: Política de Privacidade da Google.

5. Durante quanto tempo os dados são conservados

Todos os registos do lado do servidor estão associados apenas ao identificador anónimo do dispositivo. Podes solicitar a sua eliminação a qualquer momento (§8). A linha da Meta acima é o único elemento desta tabela que não nos cabe eliminar.

6. Publicidade e consentimento

Há duas coisas na aplicação que envolvem publicidade: os anúncios mostrados na versão gratuita e um evento de medição enviado quando compras algo. No EEE, no Reino Unido e na Suíça, ambas são regidas por um único formulário de consentimento, que a aplicação mostra no primeiro arranque. Pergunta se os anúncios podem ser personalizados e — ao abrigo das finalidades da própria aplicação relativas ao armazenamento ou à leitura de informações no teu dispositivo e à medição do desempenho da publicidade — se os nossos parceiros publicitários, entre eles a Meta, podem receber a medição descrita no §6.2. Não há uma segunda pergunta nem um controlo separado. Podes reabrir o formulário a qualquer momento nas Definições da aplicação (“Opções de privacidade dos anúncios”) ou utilizar as definições do sistema Android. Recusar não te custa nada: todas as funcionalidades, incluindo as compras, funcionam exatamente da mesma forma.

Fora desses países, o formulário não é mostrado, porque as regras que o exigem não se aplicam aí. Nesse caso, os anúncios são personalizados e o evento de compra descrito no §6.2 é enviado quando fazes uma compra. Ainda assim, podes limitar a personalização dos anúncios através das próprias definições do Android e, se preferires que o evento de compra não seja enviado, escreve-nos (§11).

6.1. Anúncios (Google AdMob)

A versão gratuita mostra anúncios apresentados pela Google AdMob. A AdMob pode recolher o identificador de publicidade do teu dispositivo e outros identificadores do dispositivo, a forma como a aplicação e os seus anúncios são utilizados (por exemplo, aberturas da aplicação, toques e visualizações de vídeos), informações sobre o desempenho da aplicação e a localização aproximada (ao nível do país). Quem tem subscrição não vê anúncios. Detalhes: Política de Publicidade da Google.

6.2. Medição de compras (Meta)

Para podermos saber que publicidade leva realmente as pessoas até à aplicação, esta envia um evento à Meta de cada vez que inicias uma subscrição ou compras um pacote de tokens. Nunca é enviado mais nada: nem a renovação de uma subscrição, nem uma mudança de plano, nem o restauro de uma compra, nem uma reinstalação — e absolutamente nada se nunca comprares seja o que for. O evento segue diretamente do teu dispositivo para a Meta — não passa pelo nosso servidor — e contém:

• um identificador aleatório que o software da Meta gera para esta instalação. O identificador de publicidade da Google do teu dispositivo não é transmitido à Meta;
• o que compraste e quanto custou: o montante e a moeda, o produto, o modo da aplicação que estavas a utilizar e o hash unidirecional com sal do número da encomenda da Play descrito no §3.4 — nunca o próprio número da encomenda e nunca o token de compra;
• os dados padrão da aplicação e do dispositivo que o software da Meta junta a tudo o que envia: o nome do pacote e a versão da aplicação, a tua versão do Android, o modelo do dispositivo, o tamanho do ecrã, o idioma da interface, o fuso horário e o nome da rede móvel.

A Meta vê ainda o endereço de Internet a partir do qual o evento chega, o que indica a localização aproximada. O evento nunca transporta o teu nome, o nome de uma criança, nem qualquer conteúdo de um plano, de uma história ou de uma canção.

Onde o formulário de consentimento se aplica, nenhum evento é enviado sem que tenhas dado o teu acordo a essas finalidades e à Meta como parceira. Retirar esse acordo impede o envio de eventos futuros, elimina do teu dispositivo o identificador acima referido e descarta qualquer evento que ainda não tenha sido carregado — mas não pode anular um evento já enviado. Para tudo o que a Meta já detenha, contacta diretamente a Meta (§8). A política da própria Meta: Política de Privacidade da Meta.

7. Dados das crianças

A aplicação é uma ferramenta para adultos — professores e pais — e não se dirige a crianças; não recolhemos conscientemente dados pessoais de crianças. As informações que o professor introduz sobre as crianças constituem o registo profissional do próprio professor, e as informações que os pais introduzem no modo pais dizem respeito aos seus próprios filhos. Em ambos os casos, são guardadas apenas no dispositivo desse adulto e, tal como descrito no §2 e no §3, nunca são transmitidas para lado nenhum de uma forma que identifique uma criança. Se escreveres tu mesmo a letra de uma canção, ela é enviada tal como a escreveste (§3.9) — evita incluir aí dados pessoais de crianças. As compras estão associadas à própria conta Google Play do adulto.

8. Os teus direitos (RGPD)

Ao abrigo do RGPD, tens os direitos de acesso, retificação, apagamento, limitação do tratamento, oposição e portabilidade dos dados, bem como o direito de apresentar reclamação junto da tua autoridade de controlo (na Polónia: a UODO).

• Os dados locais estão sob o teu controlo direto — podes editá-los ou eliminá-los na aplicação, e a desinstalação remove-os na totalidade.
• Os registos do lado do servidor são anónimos (um identificador de dispositivo aleatório; nada que te identifique pelo nome). Para que os registos da tua instalação sejam eliminados, contacta-nos através de bernacki.dev@gmail.com — nota que eliminá-los remove também o histórico de direitos de acesso e de saldos que eles contêm.
• O consentimento publicitário, onde o formulário de consentimento se aplica (§6), pode ser retirado a qualquer momento — uma única retirada abrange tanto os anúncios personalizados como o evento de compra enviado à Meta.
• Dados detidos pelos parceiros publicitários. A Google e a Meta detêm o que o §6 descreve na qualidade de responsáveis pelo tratamento independentes, e não em nosso nome. Não podemos aceder, corrigir nem eliminar por ti as cópias que detêm: os pedidos relativos a essas cópias devem ser dirigidos diretamente à Google ou à Meta.

9. Segurança

Todo o tráfego entre a aplicação, o proxy e os prestadores de serviços utiliza HTTPS. Os dados locais estão protegidos pela sandbox de aplicações do Android. Os dados do lado do servidor residem na região da UE; o acesso administrativo aos mesmos está restringido ao programador e protegido por um segredo de acesso; os registos nunca contêm o conteúdo dos pedidos. Nenhuma medida de segurança é absoluta, mas a arquitetura foi concebida para que os dados mais sensíveis — tudo o que identifique uma criança — nunca cheguem sequer a um servidor (a exceção deliberada é a letra de canção que escreves tu mesmo, §3.9).

10. Alterações a esta política

Podemos atualizar esta política à medida que a aplicação evolui ou conforme a lei o exija. A versão em vigor está sempre disponível neste endereço, com a data da última atualização indicada acima. As alterações substanciais serão refletidas na aplicação ou na sua página da loja.

11. Contacto

Para questões relacionadas com privacidade, contacta:
📧 bernacki.dev@gmail.com