Política de privacidade

Dhana — versão de 11 de outubro de 2026
Este texto é uma tradução; em caso de divergência, prevalece a versão alemã.

O Dhana é uma aplicação para aprender línguas. Foi concebido para saber o menos possível sobre si: o que aprende fica no seu telemóvel, e o servidor só guarda aquilo de que precisa para reconhecer a sua conta, saber o que pagou e limitar o que produz.

Responsável pelo tratamento

René Obe, editor do Dhana.
Endereço postal: Schloßstraße 2, 53115 Bonn, Alemanha
E-mail: rene@perihelie-labs.net

O Dhana não tem encarregado da proteção de dados: a sua dimensão não o exige. Os pedidos são tratados pela pessoa acima indicada.

O que o Dhana não faz

É mais curto começar por aqui, e pode ser verificado no código, que está escrito sem nenhum destes componentes:

O que fica no seu dispositivo, e nunca sai dele

A maior parte do que produz ao utilizar o Dhana é guardada numa base de dados local, no seu telemóvel. O servidor não a recebe, não a vê e não faz cópia de segurança dela:

Nada disto sai sozinho do dispositivo. Se desinstalar a aplicação ou perder o telemóvel, estes dados perdem-se, porque não temos nenhuma cópia deles — a menos que tenha feito uma cópia de segurança, como descreve a secção seguinte. A aplicação permite também exportá-los para um ficheiro que guarda onde quiser.

O que o servidor guarda

Sete coisas, e nada mais. A primeira só lá está se a tiver pedido; a terceira, só se tiver comprado alguma coisa. As suas mensagens e os textos que cola, esses, apenas passam por ele.

A sua cópia de segurança, se a fizer. Nas Definições há um botão «Guardar no servidor». Enquanto não lhe tocar, o servidor não tem nada do que aprende. Quando lhe toca, o servidor recebe uma cópia do que a secção anterior enumera — a sua estante, os seus cartões e o respetivo plano, as suas coleções, as suas fichas pessoais com o nome e a descrição, as fichas dos seus textos, as suas frases e as suas notas —, associada à sua conta e substituída a cada nova cópia de segurança. Não a lemos nem a utilizamos: é um ficheiro que guardamos para si e que mais ninguém pode recuperar. É apagada com a sua conta, imediatamente e sem cópia de reserva.

A sua conta. No primeiro início de sessão, a Google transmite-nos um identificador estável, próprio do Dhana, e o seu endereço de e-mail. Acrescentamos a data de criação da conta; contadores de utilização — as fichas produzidas, as perguntas feitas, as traduções pedidas e as propostas examinadas, para limitar o custo do serviço; números, nunca o texto —; a lista das fichas que pôs na estante, com a respetiva data — é o contador que a aplicação lhe mostra: uma ficha posta uma vez não conta uma segunda vez, e, para o saber, o servidor tem de se lembrar de qual se trata —; o seu plano e as respetivas datas; o que resta dos seus carregamentos; e um único dado sobre o seu telemóvel: se é um dos dispositivos de teste automáticos da Google (Firebase Test Lab), para que as pessoas possam ser contadas à parte destes robôs. Esta lista diz que lugares, atividades e obras abriu, e em que língua; não diz nada sobre o que fez com eles. Para um texto que colou, contém uma impressão digital do texto — calculada a partir dele, não permite reconstituí-lo —, que basta para que um mesmo texto não conte duas vezes. Não recebemos nem a sua palavra-passe Google, nem os seus contactos, nem o conteúdo da sua conta Google.

As suas compras, se as fizer. Quando compra uma subscrição ou um carregamento, o Google Play entrega à aplicação um token de compra — uma sequência de caracteres que identifica essa compra junto da Google, e nada mais. A aplicação transmite-o ao servidor, que o verifica junto da Google: que produto, se foi pago e até quando decorre uma subscrição. Só uma compra que a Google confirme como paga desbloqueia alguma coisa. O servidor guarda o token com a sua conta, juntamente com o produto e a data: é com ele que pergunta à Google, no fim de cada período, se a subscrição foi renovada. Para que uma compra não seja atribuída a outra conta, a aplicação junta-lhe uma impressão digital da sua conta — calculada a partir dela, não revela nada sobre si à Google —, que a Google nos devolve com a sua resposta. Não recebemos nem o seu nome, nem o número do seu cartão de pagamento, nem os seus dados bancários.

O que resta de uma conta eliminada, durante doze meses no máximo. Uma impressão digital do identificador que a Google nos tinha transmitido — calculada a partir dele, sem que seja possível reconstituí-lo —, os seus contadores de utilização reduzidos a datas, sem o nome de nenhuma ficha, o estado do seu acesso com o que resta dos seus carregamentos, e as suas compras — o respetivo token, o produto, a data. Nenhum endereço, nenhuma cópia de segurança, nenhuma lista de fichas. É isto que impede que uma eliminação seguida de um novo início de sessão ponha os contadores a zero; se voltar, reencontra-os, com o seu acesso e as suas compras, e o rasto é apagado. Eliminar a conta não cancela uma subscrição: cancele-a primeiro no Google Play.

Os registos técnicos. O servidor mantém um registo do que faz e do que recusa — uma ficha escrita, um início de sessão recusado, uma avaria —, datado, sem endereço IP e sem o texto dos seus pedidos — de um texto colado, pode citar uma palavra ou uma expressão da respetiva ficha, nunca o texto. Serve para diagnosticar avarias e detetar abusos.

As pesquisas sem resultado. Quando uma pesquisa não encontra nada, a palavra pesquisada é guardada para completar o catálogo. Este registo contém a palavra e a data, sem qualquer ligação a uma conta: sabemos que alguém pesquisou «talho», nunca quem.

Os avisos de erro. No fundo de cada ficha, uma ligação permite dizer que algo nela está errado, com uma frase, se quiser explicar; o aviso também pode partir de uma pergunta, já preenchido. Regista a ficha em causa, a data e a sua frase — ou, se partir de uma pergunta, o elemento, a sua pergunta e a explicação do modelo —, nunca o seu identificador. Saberemos que uma ficha está errada, nunca quem o disse. É também por isso que não lhe podemos responder: não escreva, portanto, uma pergunta neste campo, mas sim o que está errado.

As suas mensagens. Nas Definições, «Escreve-nos» permite-lhe enviar-nos uma mensagem — uma sugestão, um comentário, uma pergunta. Com ela seguem o endereço de e-mail da sua conta, para que lhe possamos responder, a versão da aplicação e o par de línguas que utiliza. O servidor não a guarda: reencaminha-a para nós por e-mail, e a troca de mensagens continua depois por e-mail, como se nos tivesse escrito diretamente.

Os textos que cola. O servidor mantém um texto em memória o tempo necessário para escrever a respetiva ficha, e a ficha até a aplicação a vir buscar — um quarto de hora, no máximo —, e depois esquece-os. Nunca os escreve em disco. Uma pergunta sobre essa ficha volta a enviar o texto com ela; é igualmente esquecido assim que a resposta é dada.

O que é transmitido a terceiros

Um modelo de linguagem, na DeepSeek (República Popular da China). É este o ponto que merece a sua atenção, e preferimos dizê-lo claramente. Quatro ações na aplicação enviam texto a este fornecedor:

Estes envios não contêm nenhum identificador de conta: o fornecedor recebe um texto, não uma pessoa. Constituem, no entanto, uma transferência para fora da União Europeia, para um país que não é objeto de uma decisão de adequação da Comissão Europeia. Esta transferência é necessária para prestar o serviço que pede: sem ela, a funcionalidade não pode existir. Não escreva nem cole, portanto, nada de confidencial nestes campos.

Um segundo modelo de linguagem, na Zhipu AI — Z.ai (República Popular da China). Cada ficha produzida é relida por dois modelos que se enganam de maneiras diferentes — em todas as línguas exceto o árabe egípcio —, e este é o segundo. Recebe a ficha — frases na língua que se aprende e as respetivas glosas; para um texto que colou, as frases do texto que a ficha cita —, nunca nada que o identifique. É a mesma transferência para fora da União Europeia que acima, pela mesma razão.

Wikidata, da Wikimedia Foundation (Estados Unidos). Quando pesquisa um filme, uma série ou um livro, o título que escreveu é transmitido à Wikidata para identificar a obra. Também aqui, um texto sem identificador de conta.

Google Ireland Limited. O início de sessão na aplicação passa pela sua conta Google. A Google sabe, portanto, que inicia sessão no Dhana, nos termos da sua própria política de privacidade. Não transmitimos à Google nada do que faz na aplicação, além da impressão digital associada a uma compra (ver acima).

netcup GmbH (Alemanha). O servidor está alojado neste fornecedor, que atua como subcontratante na aceção do artigo 28.º do RGPD, ao abrigo de um contrato. Os dados ficam na Alemanha.

Zoho Corporation GmbH (Alemanha). O nosso correio eletrónico está alojado neste fornecedor, que atua como subcontratante na aceção do artigo 28.º do RGPD, nos centros de dados europeus da sua empresa irmã Zoho Corporation B.V. (Países Baixos). Recebe as mensagens enviadas a partir de «Escreve-nos», como qualquer e-mail que nos seja dirigido.

Google Play. Se comprar uma subscrição ou um carregamento, o pagamento é processado pelo Google Play, nos termos da sua própria política de privacidade. Não recebemos nem o seu nome, nem o número do seu cartão de pagamento, nem os seus dados bancários: apenas o que o parágrafo sobre as suas compras descreve acima.

A beta fechada

Para experimentar o Dhana antes do lançamento, pode juntar-se, a partir da página inicial de dhana.eu, ao grupo Google beta_test_dhana. Este grupo é alojado pela Google, e é com a sua conta Google que se junta a ele, nos termos da política de privacidade da Google. Vemos aí o endereço de e-mail dessa conta, e apenas esse; os outros membros não o veem.

Serve para duas coisas: escrever-lhe com a ligação para instalar a versão de teste, e abrir-lhe esse teste no Google Play, que aceita os membros do grupo como testadores. Não serve para mais nada. Pode sair do grupo a qualquer momento a partir da página dele, e o seu endereço sai de imediato; retiraremos os membros restantes no fim da beta fechada.

As fichas não lhe pertencem, e não falam de si

Uma ficha produzida a seu pedido entra num catálogo comum e serve todos os utilizadores que vierem depois de si. Não guarda nenhum vestígio de quem a pediu, pelo que apagá-la não teria qualquer efeito na sua privacidade. É por isso que as fichas não são apagadas quando uma conta o é: o que fez nascer não o segue, e não o designa.

Uma ficha feita a partir de um texto que cola é uma exceção: é escrita só para si, não entra no catálogo, e o servidor esquece-a assim que o seu telemóvel a recebe. Vive no seu telemóvel, e na sua cópia de segurança ou na sua exportação, se as fizer.

Com que fundamento jurídico

Durante quanto tempo

Os seus direitos

Tem direito de acesso, de retificação, de apagamento, de limitação do tratamento, de oposição e de portabilidade relativamente aos dados que lhe dizem respeito. Para os exercer, escreva para o endereço indicado no topo desta página; receberá uma resposta no prazo de um mês.

A eliminação da conta faz-se diretamente, sem nos escrever: ver a página prevista para esse efeito.

Pode também apresentar reclamação a uma autoridade de controlo da proteção de dados — a do seu país de residência, ou a competente para o responsável pelo tratamento.

Menores

O Dhana destina-se a pessoas a partir dos treze anos; abaixo dos dezoito, com a autorização de um dos pais ou do representante legal. Não recolhemos conscientemente dados de crianças com menos de treze anos.

Alterações

Esta política pode evoluir com a aplicação. Cada versão tem a sua data no topo.