Política de Privacidade

Versão 6.10 — 28 de setembro de 2026. Aplica-se ao serviço EU Delivery ID, na Web e nas aplicações para iOS e Android.

Esta política descreve o que o EU Delivery ID faz com os seus dados. Está escrita para ser lida, e não para cumprir uma formalidade.

1. Quem é responsável

2. Que dados tratamos, e porquê

Recolhemos o que o serviço precisa para funcionar e, à parte, o que quiser dar-nos — o nome é opcional, e a tabela diz quais são quais. Nada é recolhido «para o caso de vir a ser útil».

Nota sobre o nome. O nome é opcional: a conta cria-se e o serviço funciona inteiramente sem ele. Tratamo-lo com fundamento no interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD), e não na execução do contrato — porque o serviço está provado funcional sem nome, e um campo que o produto decide pedir não cria a necessidade objectiva que aquela base exigiria. Finalidade: identificar e personalizar a sua conta, para que o produto se lhe dirija por um nome em vez de um endereço de email. Necessidade: o nome não é usado para entregar, rastrear, cobrar nem notificar — nenhuma dessas funções lhe toca e nenhuma o exige. Ponderação: é um único campo, escrito por si, que não verificamos contra documento nenhum, não divulgamos a lojas, transportadoras, outros utilizadores nem anunciantes, e não usamos para criar perfis nem para publicidade — é tratado apenas pelos fornecedores de infraestrutura indicados no ponto 8, como o resto da sua conta; o impacto na sua privacidade é mínimo e o benefício é seu. Oposição: pode opor-se a este tratamento a qualquer momento, escrevendo para support@eudeliveryid.eu — o nome é apagado da sua conta, que continua a funcionar sem ele. No Perfil pode corrigir o nome ou retirá-lo, sem nos escrever. O pedido por email continua a existir para quem preferir usá-lo.

O que não recolhemos

Não recolhemos o seu número de telefone. Até 20 de agosto de 2026 o perfil tinha um campo opcional para o indicar. Foi retirado do formulário: não tinha utilidade nenhuma no serviço — não servia para entrar, não recebia mensagens, não era comunicado a ninguém. Quem o tinha preenchido continua a tê-lo na conta, e ele sai na exportação. Não o apagámos por nossa iniciativa: era um dado seu, e a decisão de o retirar é sua — escreva-nos e é apagado.

Deixámos de recolher instruções de entrega. Até 21 de agosto de 2026 a morada tinha um campo opcional para as escrever. Foi removido pela mesma razão do telefone: não eram usadas para nada — não iam à transportadora, não apareciam em ecrã nenhum e não eram comunicadas a ninguém. As que já tenha escrito continuam guardadas com a sua morada, aparecem na exportação dos seus dados e desaparecem se eliminar a conta.

Não recolhemos os seus dados de pagamento — nem o número do cartão, nem o nome do titular, nem a morada de facturação. Ver o ponto 7.

Não recolhemos o que comprou nas lojas onde encomenda, o preço que pagou, nem o motivo da compra. Para acompanhar uma entrega, nada disso é preciso.

Não usamos identificadores de publicidade, não fazemos rastreio entre aplicações, não temos ferramentas de estatística de terceiros e não construímos perfis de consumo.

Isto vale para o serviço — a aplicação e app.eudeliveryid.eu, que esta política cobre. Este site público, que é o mesmo em eudeliveryid.eu e em eudeliveryid.com, só mede as visitas com o Google Analytics se o aceitar, e o seu alojamento conta as visitas de forma agregada, sem cookies — ver o ponto 4.

3. Registos do servidor, e para que servem

Como qualquer serviço na Internet, o nosso servidor guarda um registo dos pedidos que recebe. Esse registo contém o endereço IP de onde veio o pedido, o identificador da sua conta quando está autenticado, o caminho pedido e o resultado. Esse registo fica no fornecedor que aloja o serviço e é substituído ao fim de cerca de sete dias — não o guardamos além disso nem o usamos para outra coisa.

Usamos isto para duas coisas concretas, e não para outras:

• Limitar tentativas. A entrada trava por duas contagens independentes: uma pela origem do pedido, que é o endereço IP, e outra pelo endereço de email escrito no formulário. Cinco tentativas falhadas em quinze minutos bloqueiam essa contagem durante outros quinze, e uma entrada bem sucedida limpa as duas. A contagem pelo email aplica-se ao endereço que foi escrito, exista ou não conta com ele — se só contasse para contas reais, o próprio bloqueio revelaria quais existem. O sistema não sabe de quem é a conta: conta tentativas, não distingue titulares.
• Perceber falhas. Quando alguma coisa corre mal, é nestes registos que se vê o que aconteceu.

O que não entra nestes registos, por configuração explícita do servidor: palavras-passe, o seu email, o seu nome, a sua morada, o conteúdo dos cookies e os códigos de recuperação.

Não usamos estes registos para traçar perfis, medir audiências ou qualquer finalidade comercial.

4. Cookies e o que fica guardado no seu aparelho

Um cookie: o da sua sessão, chamado edid_session. Serve apenas para o manter autenticado.

O cookie de sessão é necessário para o serviço funcionar: sem ele não é possível mantê-lo autenticado.

Guardamos ainda duas preferências no seu aparelho, e essas não são necessárias ao serviço — existem apenas para respeitar escolhas que fez:

Nenhuma das duas é enviada para nós. Ficam no seu aparelho e pode apagá-las limpando os dados do navegador ou da aplicação.

No serviço, não usamos cookies nem qualquer outro armazenamento para publicidade, medição de audiência ou perfilagem.

Medição neste site

Neste site público — e só aqui, nunca na aplicação — medimos as visitas, e só com a sua escolha. Até escolher, e se recusar, nada é carregado da Google nem de outro domínio e nenhum cookie é criado. A sua escolha fica guardada no armazenamento local do navegador (edid-medicao), para não voltarmos a perguntar.

Se aceitar, o Google Analytics (Google Ireland Limited) regista as páginas que visita, até onde desce na página, o botão de loja que usa, o tipo de aparelho, o país aproximado e a campanha que o trouxe. Cria cookies cujo nome começa por _ga. O Google Analytics não guarda endereços IP. Os dados são guardados durante 14 meses. Não usamos publicidade personalizada nem remarketing.

Escolha o que escolher, os botões de loja levam dentro da própria ligação uma etiqueta fixa que diz de onde veio a visita — deste site ou de um dos nossos perfis nas redes sociais. É o que permite à Google Play e à App Store contarem a instalação. Essa etiqueta não o identifica e não depende do seu consentimento.

O alojamento deste site, a Netlify, conta ainda as visitas de forma agregada a partir dos pedidos que já recebe (ponto 8) — número de visitas, páginas e países —, sem cookies e sem guardar nada no seu aparelho.

Pode mudar a sua escolha a qualquer momento em «Definições de cookies», no fim de cada página.

5. Autenticação e sessões

Entra com o seu email e a sua palavra-passe. Não há outra forma de entrar.

A sessão termina ao fim de 30 dias sem utilização. Cada vez que usa o serviço, essa contagem recomeça — quem usa a aplicação regularmente não tem de voltar a autenticar-se.

Há um limite que a utilização não estende: nenhuma sessão dura mais de 180 dias a contar do momento em que foi criada. Passado esse prazo é pedida nova autenticação, mesmo a quem usa o serviço todos os dias.

A sessão termina imediatamente quando:

• termina sessão;
• altera a palavra-passe — nesse caso terminam as sessões dos outros aparelhos, e a que está a usar continua;
• recupera a palavra-passe — nesse caso terminam todas, incluindo a que está a usar;
• elimina a conta.

A palavra-passe guardada no seu aparelho

Se o seu sistema — iPhone, iPad, Mac ou Android — lhe oferecer guardar a palavra-passe, quem a guarda é ele, no gestor de credenciais do sistema, porque você lho autorizou. Essa cópia é do sistema: fica sob o controlo dele, pode ser apagada nas definições dele, e quando lhe pede Face ID, Touch ID ou o código do aparelho para a preencher, é o sistema a proteger o que é dele. Do nosso lado, a afirmação é sobre nós: nem a aplicação nem os nossos servidores guardam a sua palavra-passe legível. No servidor existe apenas uma derivação criptográfica, que não permite reconstruí-la; a aplicação usa-a para o autenticar e não fica com ela.

6. Notificações

Se autorizar, avisamos quando uma encomenda que você adicionou muda de estado. É essa a função do serviço, e é por isso que a base é a execução do contrato — a mesma da tabela do ponto 2.

Todas as notificações que enviamos nascem de um evento de uma das suas entregas. É o único caminho que existe no serviço para criar um aviso: não há mecanismo de notificações promocionais.

Para lhe podermos enviar um aviso, o seu aparelho gera um identificador de notificações e nós guardamo-lo, associado à sua conta. Esse identificador é entregue ao serviço de notificações da plataforma: a Apple, nos aparelhos Apple; a Google, nos Android.

A notificação leva duas coisas e mais nenhuma: o estado Esse texto fica guardado, mas não aparece em nenhum ecrã: o percurso da entrega mostra o estado traduzido por nós, a data e o local que a transportadora indicou — não a frase que ela escreveu. Se pedir os seus dados na aplicação, essa frase vai na exportação, porque é sobre a sua encomenda e é seu direito vê-la.

A autorização que o seu aparelho lhe pede para mostrar notificações é um controlo técnico do sistema, e pode ser retirada a qualquer momento nas definições dele. Retirá-la não afecta os seus direitos nem o resto do serviço, e não é ela o fundamento do tratamento.

7. Planos, pagamentos e a loja

Instalar a aplicação, criar conta, ter o seu EU Delivery ID, guardar a morada, exportar os seus dados e eliminar a conta são gratuitos.

O que não chega até nós

A transacção financeira é processada pela loja onde compra — a App Store ou a Google Play — ou, se comprar na Web, pela Stripe. Não recebemos nem tratamos o número do seu cartão, as credenciais do meio de pagamento, o nome do titular ou a morada de facturação. Esses dados ficam com a loja, ou com a Stripe, e com quem cada uma usa para os processar. Na compra pela Web, a Starthrop Dynamics é a comerciante registada e a Stripe é o processador de pagamentos.

O que tratamos, e é preciso dizê-lo com clareza

Para lhe podermos dar o serviço que comprou, sabemos e guardamos: qual o plano — BASIC ou PLUS; em que estado está a subscrição — activa, em período de graça, com cobrança a falhar, cancelada, terminada ou reembolsada; as datas do período pago; e a referência que a loja atribui à compra, para reconhecer as mensagens que ela nos envia depois. Sem isto não é possível conceder-lhe o plano, renová-lo, respeitar um cancelamento nem reagir a um reembolso.

O identificador que enviamos à loja

Quando compra um plano, enviamos à loja um identificador aleatório, gerado por nós, que não contém o seu nome, o seu email, a sua morada nem o seu EU Delivery ID. Serve para ligar a compra à sua conta quando a loja nos avisa de uma renovação, de um cancelamento ou de um reembolso. Não enviamos às lojas o identificador interno da sua conta.

Esse identificador continua a ser um dado pessoal: não tem o seu nome, mas pode ser associado a uma compra sua. Por isso tem prazo de conservação e por isso está descrito aqui. Não dizemos que é anónimo, porque não é.

8. Com quem os dados são partilhados

Não vendemos dados e não os partilhamos para fins publicitários. Para o serviço funcionar, recorremos aos seguintes fornecedores, cada um com uma função estrita:

O EU Delivery ID não envia a sua morada ao AfterShip, às lojas de aplicações nem às transportadoras. Ela também não é mostrada a outros utilizadores. Fica guardada na sua conta, na base de dados do serviço — que é alojada pelo fornecedor indicado na tabela acima, como o resto dos seus dados. Onde essa base está, e o que isso não garante, está no ponto 9.

Isto é uma afirmação sobre o que nós fazemos. Uma transportadora que lhe entregue uma encomenda conhece naturalmente a morada de entrega — recebeu-a de quem lhe enviou a encomenda, não de nós.

9. Onde os dados são tratados

A infraestrutura que aloja o serviço e a base de dados está na União Europeia, na região de Frankfurt, Alemanha. É aí que a sua conta, a sua morada e as suas encomendas ficam guardadas, e é aí que ficam os registos do servidor descritos no ponto 3.

As cópias de segurança descritas no ponto 10 ficam, em parte, no mesmo fornecedor e na mesma região. Outra parte são cópias cifradas guardadas pela própria empresa, fora do fornecedor: em equipamento seu e no armazenamento da Google Cloud, na Bélgica, também na União Europeia.

Isso diz onde os dados ficam, e não é o mesmo que dizer que nada sai da Alemanha. Vale a pena separar três coisas que costumam ser confundidas: onde os dados ficam guardados, onde ficam as cópias de segurança, e quem lhes pode aceder para manter o serviço a funcionar. O alojamento é feito por uma empresa com operação internacional: a consola e a interface de administração com que operamos a infraestrutura não estão limitadas a esta região, e o acesso técnico de manutenção pode ser feito de fora dela.

Os restantes fornecedores indicados no ponto 8 são empresas com operação internacional, e o tratamento que fazem pode envolver transferência de dados para fora do Espaço Económico Europeu — designadamente a consulta às transportadoras, a entrega das notificações, o correio do serviço e a compra do plano nas lojas. Cada um deles disponibiliza os seus próprios termos de tratamento de dados, que se aplicam a esse tratamento e que indicam as salvaguardas em que assenta.

Se quiser saber, em relação a um fornecedor concreto, que salvaguarda se aplica e onde a consultar, escreva para support@eudeliveryid.eu e respondemos com a referência exacta.

10. Durante quanto tempo

Enquanto a sua conta existir.

Quando elimina a conta, os seus dados são apagados da base que serve o serviço — conta, moradas e o seu histórico, encomendas, eventos de rastreio, sessões, pedidos de recuperação, identificadores de notificação e o registo do plano — numa única operação que ou corre inteira ou não corre. É imediato, e é sobre a base activa que o dizemos. Nem tudo acaba nesse instante, e o que fica divide-se em duas categorias, nada mais: os registos residuais, que são três e vêm na tabela a seguir, e as cópias de segurança técnicas, que são coisa diferente e estão explicadas no fim deste ponto.

Categoria um — os três registos residuais:

Sobre o identificador de pagamento: conservamo-lo enquanto a sua conta existir — mesmo depois de a subscrição terminar, porque sem ele uma compra antiga deixaria de ser reconhecível — e apagamo-lo 180 dias depois de eliminar a conta. O prazo não é arbitrário — cobre as janelas em que a loja ainda nos pode escrever sobre a sua compra: a Apple repete tentativas de cobrança até 60 dias, e um reembolso ou uma contestação pode chegar depois disso. Passados os 180 dias, é eliminado. Não o conservamos para fins contabilísticos: a cobrança é processada pela loja e os registos financeiros da transacção ficam com ela — a nós chega apenas este identificador e o estado da subscrição.

As cópias de segurança

A base de dados tem cópias de segurança que existem para uma única finalidade: reconstruir o serviço se alguma coisa correr muito mal. Não são usadas para consulta corrente nem para recuperar seletivamente os dados de uma pessoa. São de quatro tipos:

As cópias guardadas pela empresa são cifradas quando chegam ao seu equipamento, e só podem ser abertas com uma chave que nem o fornecedor de alojamento nem a Google Cloud têm. Quando elimina a conta, os seus dados deixam a base activa de imediato, mas continuam nestas cópias até cada uma expirar. Se alguma vez for preciso reconstruir o serviço a partir de uma cópia, voltamos a apagar as contas cuja eliminação conste do registo descrito acima, que guardamos 30 dias. Por isso, nenhuma cópia guardada pela empresa fica mais tempo do que esse registo: uma cópia mais antiga do que ele já não poderia ser reposta sem devolver ao serviço contas eliminadas, e é apagada.

Podem ainda existir cópias pontuais, criadas antes de uma operação de manutenção — por exemplo, antes de uma alteração à estrutura da base — para se poder voltar atrás se a operação correr mal. Ficam no fornecedor ou, cifradas, com a empresa, e têm a mesma finalidade, a mesma protecção e o mesmo prazo das outras cópias do sítio onde ficam.

Os pedidos de recuperação de palavra-passe expiram ao fim de uma hora e são invalidados assim que são usados, ou quando faz um pedido novo.

11. Eliminar a sua conta

Pode eliminar a conta a partir do Perfil, com dupla confirmação. É definitivo.

Ter um plano pago não impede a eliminação. O seu direito de apagar os seus dados não depende de nenhuma questão comercial.

Mas eliminar a conta não cancela a subscrição. O plano é comprado na App Store, na Google Play ou na Web, e cancela-se onde foi comprado: na App Store, na Google Play, ou no portal do cliente a partir da sua conta. Uma subscrição de loja não podemos cancelar por si.

Se eliminar a conta sem cancelar, continuará a ser cobrado por quem lhe cobra. A aplicação avisa-o disto antes de confirmar, e mostra a ligação para o sítio onde comprou.

12. Os seus direitos

Enquanto titular dos dados, assistem-lhe os direitos de acesso, retificação, apagamento, limitação, oposição e portabilidade. Uma parte exerce-se no produto, sem nos escrever, e é esta:

• Exportar — descarrega os seus dados num ficheiro, a partir do seu perfil. É o direito de acesso e o de portabilidade.
• Eliminar a conta — no perfil, com dupla confirmação. É definitivo.
• Corrigir ou retirar o nome — no perfil. É o direito de retificação, na parte que lhe podemos dar directamente.
• Corrigir a morada — no perfil. A versão anterior fica guardada, como está dito no ponto 2.

O que ainda depende de nos escrever: alterar o endereço de email da conta, que identifica a conta e ainda não é editável no produto; opor-se ao tratamento do nome com fundamento no interesse legítimo, se preferir esse caminho ao botão; e limitar o tratamento. Para esses, escreva para support@eudeliveryid.eu. Tem também o direito de apresentar reclamação à autoridade de controlo — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD).

13. Segurança

As ligações ao serviço são cifradas em trânsito.

As palavras-passe são guardadas apenas sob a forma de uma derivação criptográfica — nunca como as escreveu. Os pedidos de recuperação e as sessões são guardados sob a forma de resumo criptográfico: o valor que está no seu cookie não existe na nossa base de dados, e um pedido de recuperação não pode ser reconstruído a partir do que guardamos.

O correio que enviamos é assinado criptograficamente (DKIM) e o domínio está protegido por SPF e DMARC, para dificultar que alguém se faça passar por nós.

Os registos do servidor são configurados para omitir palavras-passe, email, nome, morada, cookies e códigos de recuperação. As credenciais de acesso a fornecedores não vivem no código do serviço.

14. Menores

O serviço destina-se a pessoas com 18 anos ou mais.

Não recolhemos dados de menores de forma consciente.

15. Alterações

Esta política tem versão e data no topo, e a versão em vigor está sempre publicada nesta página.

Quando houver alterações materiais — que mudem de forma significativa o que fazemos com os seus dados — informamos os utilizadores antes de entrarem em vigor, pelos meios adequados à natureza da alteração e sempre que a lei o exija.

16. Contacto

Qualquer questão sobre esta política ou sobre os seus dados: support@eudeliveryid.eu.