Fotos e privacidade

Onde suas fotos vivem, e o que nunca coletamos

Fotos de antes e depois são opcionais no Tidywell. Quando você usa, veja onde elas vão, quanto tempo ficam, e as partes sobre armazenamento que preferimos contar de frente em vez de esconder numa política de privacidade.

Opcional, útil

Fotos são um extra opcional, não um requisito

Você pode usar o Tidywell para sempre sem anexar uma única foto. A maioria das pessoas não anexa. Onde elas valem a pena é em tarefas em que você quer um registro: um antes e depois de uma limpeza profunda, prova de que a tarefa da criança foi feita antes da mesada chegar, ou um lembrete de onde o rejunte estava da última vez.

Se a aprovação está ligada para um perfil (tipicamente o de uma criança), o pai ou mãe revisando a conclusão vê a foto anexada no envelope de aprovação. Há um guia separado sobre como funcionam aprovações de ponta a ponta em /guide/approvals.

Caminho de armazenamento

Seu telefone, depois um bucket privado, depois seu lar

Quando você anexa uma foto, ela vai do seu telefone para o backend de armazenamento do Tidywell (Supabase). O bucket é privado. Ler uma foto de volta no app exige uma URL assinada que o app gera em seu nome. Nada da foto fica em listagem pública nem indexável.

Seu telefone

Capturada pela câmera ou escolhida da sua galeria

Bucket privado

Supabase Storage do Tidywell, chamado task-photos

Seu lar

Visível só para os membros que você convidou

Em português claro: nenhuma outra conta vê suas fotos. O app não traz uma ferramenta que liste uploads de todo mundo. Regras no nível do banco de dados (próximo aviso) garantem isso no banco em si, não só no comportamento do app.

Não é público, não é indexável

O bucket está marcado como privado. Não existe link público para sua foto. Mecanismos de busca não conseguem rastrear. O único jeito de ver uma foto é o app gerar uma URL assinada depois de checar que você é membro do lar certo.

Segurança em nível de linha no banco

As fotos são guardadas num caminho restrito ao ID do seu lar. A row-level security do Postgres bloqueia qualquer tentativa de leitura ou listagem de outro lar, mesmo se alguém tivesse uma sessão válida do app. A regra é aplicada no próprio banco, não no cliente.

Limites de armazenamento

10 fotos por 7 dias no grátis, 50 por 35 dias no premium

Fotos ocupam disco real, então existem limites. Os números abaixo são exatos. Depois que a contagem de dias passa, as fotos mais antigas são apagadas automaticamente.

Grátis

Fotos

10

Dias guardados

7

Premium

Fotos

50

Dias guardados

35

O grátis é generoso o bastante para uma semana típica de fotos de antes e depois. O Premium foi dimensionado para que um lar guarde um mês de contexto, mais uma folga para algum projeto longo.

A limpeza roda ao abrir o app, não em tempo real

Se você está no grátis e uma foto agora tem 8 dias, ela é limpa na próxima vez que você abrir o app. Não no exato dia 7. Então pode ser que você veja brevemente uma foto um pouco fora da janela se reabrir depois de muito tempo. Vai sumir antes de você fazer qualquer coisa com ela.

A 11ª foto no grátis é bloqueada

Quando você atinge o limite, anexar outra foto mostra uma mensagem amistosa pedindo para apagar uma mais antiga primeiro. A gente não joga uma foto fora silenciosamente para abrir espaço. Você fica no controle de quais saem.

O que não está na foto

Coisas que não tiramos das suas fotos

Quando você anexa uma foto, o arquivo sobe junto com o ID da tarefa, o ID do lar e o carimbo de tempo do upload. Só isso. Especificamente, veja o que não fazemos.

Sem GPS nem localização

Não lemos nem guardamos dados de localização dos metadados da foto. O fato de uma foto ter sido tirada em casa não nos é útil, e divulgar onde você mora não é útil para ninguém.

Sem treinamento de modelos

Suas fotos nunca são usadas para treinar modelos. Nem os nossos, nem da OpenAI, nem de ninguém. O recurso de divisão de tarefas com IA é só de texto e ignora fotos por completo.

Sem uso em marketing

Fotos não aparecem em anúncios, em estudos de caso, em tweets, nem em capturas de tela da App Store. As fotos no nosso marketing são banco de imagens ou montadas.

Sem compartilhamento com terceiros

Fotos não são vendidas, não são compartilhadas com profissionais de marketing nem entregues a corretores de dados. O único terceiro na cadeia é nosso provedor de armazenamento, que processa o upload em nosso nome e está coberto nas ressalvas abaixo.

Removendo fotos

Duas formas de se livrar de uma foto

A limpeza automática cuida das antigas quando passam da janela de retenção. Você também pode apagar sob demanda quando quiser.

Apagar uma de cada vez

Toque numa foto a partir de uma tarefa, depois toque em apagar. Some do seu aparelho e do servidor num passo só. Não tem lixeira, então tenha certeza.

Apagar sua conta

Configurações → Conta → Apagar Conta remove sua conta e seus dados locais. Se você é o único admin de um lar, o lar é apagado junto. Estamos trabalhando para apertar a cascata e garantir que todo blob de foto no servidor seja limpo no mesmo passo. Até lá, qualquer coisa ainda anexada à sua conta é apagada, e uploads antigos saem pelas regras normais de retenção.

As partes honestas

O que preferimos que você saiba de cara

Há algumas coisas que pareceriam dissimuladas se ficassem enterradas numa política de privacidade. Lê-las não deveria te preocupar, mas você merece saber.

URLs assinadas duram 10 anos

Quando o app carrega uma foto, ele recebe uma URL temporária assinada pela camada de armazenamento. Definimos a validade em 10 anos para fotos não falharem ao carregar no meio de uma sessão. Efeito prático: se você copiar essa URL para fora do app e postar em algum lugar público, qualquer pessoa com o link conseguiria ver aquela foto até a URL expirar. Trate uma URL de foto copiada como qualquer outro link privado.

Fotos ficam guardadas em texto claro

A gente não aplica criptografia do lado do cliente nem ponta a ponta nos arquivos de foto. Eles ficam no bucket como você fez upload, protegidos por regras de acesso e não por criptografia por arquivo. Esse é o padrão do mercado para armazenamento de fotos em apps. Mencionamos para você não assumir algo mais forte do que é a verdade.

O Supabase é o subprocessador

O Supabase processa uploads e armazenamento de fotos em nosso nome. Está listado na nossa política de privacidade junto com o resto dos subprocessadores. Eles não usam suas fotos para nada além de rodar o serviço de armazenamento para nós.

Quer a versão completa com todo o jurídico? Está na nossa política de privacidade.

FAQ

Perguntas frequentes

Outros lares podem ver minhas fotos?
Não. As fotos são restritas ao seu lar no nível do banco via row-level security. Um lar diferente tentando ler suas fotos é bloqueado pelo Postgres antes de a requisição chegar a qualquer código do app. Só membros do seu lar, que você convidou explicitamente, podem ver.
As fotos são usadas para IA ou treinamento de modelos?
Não. Suas fotos nunca saem do armazenamento do Tidywell para qualquer serviço de IA. O recurso de divisão de tarefas com IA, que é o único lugar onde mandamos algo para a OpenAI, é só de texto e não vê fotos. A gente também não treina modelos nossos com suas fotos.
O que acontece com minhas fotos quando eu cancelo o premium?
Suas fotos existentes ficam no lugar mas passam a obedecer às regras de retenção do grátis: limite de 10 fotos, janela de 7 dias. O que ultrapassar é limpo no próximo abrir do app. Nada é apagado na hora em que você cancela. Se você re-assinar, os limites maiores voltam.
Posso salvar uma foto para fora do Tidywell?
Você pode salvar fotos uma a uma para fora do app pela folha de compartilhamento padrão do telefone, a partir da tela da foto. Ainda não tem um botão único de exportar tudo num arquivo só.
E se eu compartilhar a URL de uma foto com alguém?
URLs assinadas que o app gera valem por 10 anos. Se você copiar uma e mandar para um amigo, qualquer pessoa com aquele link pode ver aquela foto até a URL ser rotacionada. Não compartilhe URLs de fotos publicamente nem em lugares onde você não compartilharia, digamos, um link privado de nuvem.
Uma criança pode ver as fotos de outra criança?
Só fotos anexadas a tarefas em que ela está envolvida. Cada perfil vê fotos relevantes às próprias tarefas mais qualquer atividade do lar a que tenha acesso. O fluxo de aprovação mostra a foto para o pai ou mãe revisando a conclusão, mas crianças não ganham passe livre para navegar por toda foto do lar.