Política de Privacidade: Count My Herd

1 Quem somos

O Count My Herd é operado pela Origae (ABN 21 237 258 402), nome comercial registrado em nome de um empresário individual sediado em Melbourne, Victoria, Austrália ("Origae", "nós"). Tratamos informações pessoais de acordo com a Privacy Act 1988 (Cth) e os Australian Privacy Principles, quer a lei se aplique estritamente a um negócio do nosso tamanho, quer não.

Esta política cobre o app Count My Herd para iOS, o app para Android quando estiver disponível no Google Play, a versão web do app que eles carregam e este site. Contato: support@countmyherd.com.

2 Não há contas

O Count My Herd não tem nenhum tipo de login. Não coletamos nem guardamos seu nome, e-mail, telefone, endereço, data de nascimento, dados de cartão ou qualquer senha.

A compra é comprovada por um token assinado que diz qual produto foi pago: uma contagem avulsa ou um pacote de contagens. Ele não leva nenhuma identidade. A Apple recebe o pagamento e nunca nos mostra seu cartão nem seu ID Apple.

Se você usa o app para Android, paga pelo Google Play Billing. O Google recebe o pagamento. Não recebemos o número do seu cartão, sua conta Google nem seu nome. Recebemos um token de compra e um ID do pedido para confirmar com o Google que o Google Play cobrou por um dos nossos produtos, liberar a contagem ou o pacote e depois avisar o Google Play que a compra foi entregue. Não guardamos esse ID do pedido em texto legível e não o gravamos nos nossos registros. Guardamos um hash do ID do pedido junto com o pacote enquanto restarem contagens, ou até você pedir que o apaguemos. O reembolso de um pacote chega até nós pelo Google Play. Um pacote reembolsado não pode ser usado. Uma contagem avulsa reembolsada não é retirada. O Google também envia um aviso de compra anulada quando uma compra é anulada.

3 O que coletamos

Esta é a lista completa. Se não estiver aqui, não coletamos.

Fotos de um pasto

Você escolhe de uma a dez fotos de um pasto ou de um rebanho. Antes do envio, o app reduz cada uma para cerca de 1280 pixels no lado maior e a salva de novo. Ao salvar de novo, somem os dados ocultos da câmera (local, hora, modelo da câmera) que os telefones costumam incluir. Num telefone raro que não consegue salvar a imagem de novo, o original é enviado como está, com os dados ocultos.

A permissão da câmera é usada só para fotografar o pasto. Você pode recusá-la e escolher uma foto. Recusar a câmera não impede uma contagem e não dá ao app acesso à sua galeria de fotos.

Duas coisas que não são animais podem aparecer numa foto:

Pessoas. Quem estiver na foto vai para a empresa de IA junto com o resto da imagem. A IA lê a foto para contar os animais; nós não a guardamos. Evite fotografar pessoas quando puder.
Sua propriedade. Currais, galpões, placas e veículos podem aparecer. Não procuramos por eles e não os registramos.

O que você escolhe ou digita

A espécie que você está contando (bois, ovelhas, cavalos ou cabras), de uma lista fixa.
O nome que você dá a um pasto, se salvar contagens nele. Veja a seção 3C. Por favor, não coloque seu nome, o nome de um vizinho ou outros dados pessoais no nome de um pasto.

O que o app guarda no seu telefone

Um número de instalação. Na primeira vez que abre, o app cria um número aleatório de 32 caracteres e o guarda. Ele é enviado ao nosso servidor para pedir a sua primeira contagem grátis, para arquivar seus pastos e o histórico de contagens (seção 3C), a cada verificação de compra, e ao PostHog com cada evento de uso (seção 3A), para sabermos distinguir uma primeira contagem de uma segunda. Ele não está ligado ao seu ID Apple, ao número de série do telefone nem a nada mais. No app para Android o número fica só no armazenamento do app, então desinstalar o app ou limpar os dados dele o apaga.
Seu token de contagem grátis, e se ele já foi usado.
Uma lista curta de números de compra já usados, para que uma compra que já liberou uma contagem não seja oferecida de novo.
Um indicador por abertura que impede a tela inicial de se repetir. Ele é apagado quando você fecha o app.
Sua escolha de idioma, para o app abrir no idioma que você escolheu.
Contadores de pagamento e uma nota de pagamento inacabado: a data em que o app foi aberto pela primeira vez, quantas contagens e compras esta instalação já teve e, só enquanto um pagamento estiver em andamento, uma nota de qual produto, um número aleatório para essa tentativa, quando ela começou e até onde chegou. A nota é removida quando o pagamento termina, ou informada uma vez ao PostHog (seção 3A) na próxima vez que o app abrir.
Os registros da Apple dos pacotes de contagens que você compra, para o app conferir seu saldo com o nosso servidor. São registros de compra assinados pela Apple, e não têm nome nem ID Apple.
Seu código de transferência do pacote, se você comprar um pacote, para poder abri-lo de novo no menu. É um código curto que você pode anotar. Não é o seu nome.

Tudo isso é apagado do seu telefone quando você apaga o app. Apagar o app não apaga os pastos e o histórico de contagens guardados no nosso servidor; a seção 3C diz como removê-los. O PostHog também guarda seu próprio número aleatório no seu telefone, no armazenamento do app, que é apagado do mesmo jeito. Nada disso é um identificador de rastreamento no sentido da Apple: nunca é combinado com dados de apps ou sites de outras empresas, e não temos como ligá-lo ao seu nome, e-mail ou ID Apple.

Dois pequenos cookies no app

O app define um cookie chamado cs_locale por um ano. Ele guarda só as duas letras do idioma que você escolheu (por exemplo "pt") e é enviado ao nosso servidor para que as mensagens voltem no seu idioma.

Se você abrir a versão web do app num navegador comum e acrescentar ?web=1 ao endereço, definimos um cookie chamado cmh_web por um ano para você continuar vendo o app em vez deste site. Ele guarda o valor "1" e mais nada. O app para iOS nunca o define, nem o app para Android. Este site não define cookies. O PostHog, neste site e no app, está configurado para usar o armazenamento local do navegador em vez de cookies.

O que chega sozinho

Seu endereço IP, da solicitação de rede. Usamos só para contar solicitações por minuto, para que ninguém faça disparar a nossa conta de IA. Não o guardamos. Ele fica na memória do servidor por cerca de um minuto.
O tipo do seu navegador ou aparelho (o "user agent"), que toda solicitação web leva. Lemos só para distinguir o app para iOS, o app para Android e um navegador.
O registro de compra assinado pela Apple, quando você compra uma contagem ou um pacote. O app o envia ao nosso servidor para confirmarmos com a Apple que é verdadeiro. A seção 7 diz o que há nele.
Um token de compra e um ID do pedido do Google Play, quando você compra no app para Android. O app os envia ao nosso servidor para confirmarmos a compra com o Google. A seção 2 diz o que guardamos.

3A Análise de uso (PostHog)

Usamos o PostHog, um serviço de análise de produto, para entender como o app e este site são usados: por exemplo, quantas pessoas que fotografam um pasto chegam a ver a contagem, onde as compras são canceladas e com que frequência aparece um erro. Isto é o que o PostHog recebe:

Eventos nomeados de uma lista fixa, como uma foto adicionada, uma contagem que começa ou termina, ou uma compra cancelada. Cada um leva só códigos curtos e números, por exemplo: câmera ou galeria, quantas fotos, a espécie, quanto tempo a contagem levou, se era sua primeira contagem, se terminou, falhou ou expirou, e um código de erro se algo falhou. Quando o app oferece uma contagem ou um pacote, também registramos o preço mostrado, a moeda, o país da conta da App Store ou do Google Play de onde veio o preço, qual oferta era e se você aceitou.
Para cada pagamento: qual produto era e seu preço como a Apple ou o Google Play o mostra no seu aparelho, um número aleatório criado no seu telefone para aquela tentativa (não o número de compra da Apple nem o ID do pedido do Google Play), cada etapa alcançada e quanto tempo cada uma levou, e quantas contagens você já tinha pago ou ainda tinha.
Visualizações de página e toques em botões e links. Nesses registros o texto da tela fica oculto para o PostHog, então um evento de toque diz que um botão foi tocado, mas não o que estava escrito nele nem o que foi digitado.
Seu número de instalação, o tipo do aparelho, o sistema operacional e a versão, o tipo de navegador, o tamanho da tela, o idioma, a versão do app e o endereço do app ou da página.

Os eventos de uso do PostHog nunca incluem suas fotos, os nomes dos seus pastos, as notas escritas da IA, nada que você digita, seu ID Apple, nem o registro ou o número de compra da Apple. O PostHog não define cookies aqui. Como qualquer serviço web, o PostHog recebe seu endereço IP em cada solicitação. Uma localização aproximada (país e geralmente cidade) é calculada a partir do IP, e depois o IP é descartado.

O PostHog guarda esses dados em servidores nos Estados Unidos pelo período definido pelo nosso plano do PostHog: um ano no plano grátis, sete anos nos planos pagos. Se quiser que seus dados de uso sejam apagados, escreva para nós.

3B Gravações de tela (PostHog)

Podemos usar o PostHog para gravar sessões no app para iOS, para ver onde as pessoas travam. Uma gravação é uma reprodução das telas do app: o que aparecia nelas e onde você tocou e rolou. A gravação de sessões não funciona no app para Android. A versão web do app, aberta num navegador, nunca é gravada, nem este site.

Se uma sessão for gravada, a gravação só pode começar quando uma contagem começa. Uma gravação pode mostrar as telas, os resultados e os preços do app, incluindo a contagem, a faixa, os nomes dos seus pastos e o seu histórico de contagens. Ela nunca mostra nada que você digita numa caixa de texto e nunca mostra suas fotos: elas são ocultadas no seu telefone antes de qualquer envio, e um bloco vazio aparece no lugar.

Se gravarmos sessões, usamos as gravações só para ver onde as pessoas travam no app e corrigir. Não as usamos para descobrir quem é alguém, nem para marketing ou publicidade. O PostHog guarda qualquer gravação nos Estados Unidos e, pelas nossas configurações, a mantém por 30 dias e depois a apaga.

3C Pastos e histórico de contagens

Se você salvar uma contagem num pasto, nosso servidor guarda, sob o seu número de instalação:

o nome de cada pasto, a espécie que você definiu para ele (se houver) e quando foi criado;
cada contagem salva: a espécie, a estimativa, a faixa, o nível de confiança, quantas fotos foram usadas e a data.

Nenhuma foto é guardada com um pasto ou uma contagem, e nada nesse histórico diz quem você é. O app compara uma nova contagem com a última do pasto e avisa quando ela é menor. Essa comparação usa só esses números.

Como apagar. Você pode apagar um pasto na tela de histórico do app, o que o apaga, junto com as contagens salvas, do nosso servidor. Para apagar todos os seus pastos e contagens salvas de uma vez, abra o Histórico na tela inicial do app e toque em Apagar meus dados no fim. Isso apaga do nosso servidor todos os pastos e contagens salvas desta instalação. Não mexe nas suas compras nem nos pacotes, que são mantidos como descreve a seção 6. Desinstalar o app remove o número de instalação do seu telefone, então o histórico não pode mais ser aberto numa nova instalação, mas isso, por si só, não apaga o que está no nosso servidor. Toque antes em Apagar meus dados.

O que não coletamos

Nenhum pixel de publicidade ou rastreamento, e nenhuma análise além das contagens de uso da seção 3A e de eventuais gravações de tela do app para iOS descritas na seção 3B. Nenhum dado de localização: o app não tem permissão de localização e nunca pede. Nenhum contato, microfone ou identificador do telefone, como o identificador de publicidade. Não vendemos informações pessoais e não as divulgamos para publicidade.

4 Por que coletamos

Fotos e a espécie que você escolhe: para produzir a contagem. É o único uso delas.
O resultado da contagem que guardamos (seção 6): para a contagem que você libera ainda estar lá quando você voltar.
Nomes dos pastos e histórico de contagens (seção 3C): para você ver as contagens de um pasto ao longo do tempo e ser avisado quando uma contagem for menor que a anterior.
O número de instalação: para dar uma contagem grátis por instalação, arquivar seus pastos e contar o uso por instalação no PostHog (seção 3A).
Eventos de uso (seção 3A): para descobrir onde o app confunde ou falha e corrigir.
Gravações de tela do app para iOS (seção 3B): para ver onde as pessoas travam no app e corrigir.
O registro de compra da Apple e o token de compra do Google: para confirmar que a compra é verdadeira e liberar o que foi pago.
Seu endereço IP: para limitar as solicitações por minuto.

Não usamos nada disso para marketing, criação de perfis ou publicidade.

5 Inteligência artificial

A contagem é feita por um grande modelo de IA que olha imagens. Suas fotos são enviadas por uma conexão criptografada ao Google LLC, cujo modelo Gemini as lê. Se o Gemini não devolver nada útil, as mesmas fotos são enviadas à OpenAI, L.L.C.. As duas são empresas dos Estados Unidos. Cada contagem é lida três vezes, então as mesmas fotos são enviadas a essa empresa mais de uma vez numa única solicitação. O modelo marca cada animal que vê, e o nosso software conta as marcas.

Não guardamos suas fotos. Elas ficam na memória do nosso servidor durante a solicitação e nunca são gravadas em disco ou banco de dados. A empresa de IA pode guardar o que enviamos por até 30 dias, segundo seus próprios termos, para monitorar abusos, antes de apagar. Essa retenção é deles, não nossa. Não podemos desligá-la nem encurtá-la, e não a verificamos além de ler os termos deles.

Usamos os serviços pagos para desenvolvedores das duas empresas. Pelos termos para desenvolvedores publicados por elas, fotos enviadas dessa forma não são usadas para treinar seus modelos. Não autorizamos nenhum uso para treinamento, e o nosso software não ativa nada que o permita. Esses termos são das empresas e podem mudar; atualizaremos esta política se mudarem de forma relevante.

Junto com as marcas, o modelo devolve uma nota curta sobre como leu as fotos. Guardamos essa nota com o resultado da contagem por 30 dias (seção 6). Ela trata dos animais, mas nada impede que mencione outra coisa que estava na imagem.

A IA pode errar. Ela pode deixar de ver animais, contar um duas vezes ou confundir uma espécie com outra. A seção 4 dos Termos de Serviço explica o que isso significa para você.

6 Por quanto tempo guardamos

Fotos: só durante a solicitação. Nunca gravadas no nosso disco ou banco de dados.
O resultado da contagem (a estimativa, a faixa, onde cada marca fica em cada foto, a nota curta da IA e a verificação das fotos): 30 dias, depois apagado automaticamente. É guardado para toda contagem, paga ou não, sob um código aleatório de 32 caracteres que só o seu telefone tem. Nada nele diz quem você é.
Pastos e histórico de contagens: até você apagar o pasto no app, ou nos pedir para apagá-los. Guardamos até 1.000 contagens por instalação; acima disso, as mais antigas são descartadas.
Comprovante de compra: 120 dias. Registra que uma compra foi usada numa contagem, para que uma única compra não libere várias contagens. Guarda uma versão embaralhada do número de compra, não o número em si, e nenhuma identidade.
Seu número de instalação: no seu telefone até você apagar o app. No Android fica no armazenamento do app até você apagar o app ou limpar os dados dele. Nosso servidor o guarda com seus pastos e o histórico de contagens (acima), o usa para assinar sua contagem grátis e o mantém ao lado de uma versão embaralhada de cada número de compra por 400 dias, para que um aviso de reembolso posterior da Apple possa ser associado à mesma instalação. O PostHog o guarda com seus eventos de uso pelo período abaixo.
Um ID do pedido do Google Play: não é guardado em texto legível nem gravado nos nossos registros. Guardamos um hash dele com o pacote enquanto restarem contagens, ou até você pedir que o apaguemos.
O ID de transação da Apple de um pacote de contagens: guardamos enquanto o pacote tiver contagens e o apagamos 2 anos após a última atividade do pacote, quando ele não tiver mais contagens ou for reembolsado.
Um código de transferência do pacote: se você comprar um pacote no app para iOS, guardamos uma forma embaralhada do código com o ID de transação da Apple, o pacote, quantas contagens ainda não foram usadas e quando esse código foi usado para passar essas contagens a outro iPhone. Guardamos esse registro enquanto o pacote tiver contagens não usadas e o apagamos até 30 dias depois que a última contagem for usada, que as contagens forem passadas a outro iPhone ou que o pacote for reembolsado. O app oferece isso só entre iPhones. Um uso é gravado nos nossos registros como uma referência embaralhada, não o código em si.
Eventos de uso: guardados pelo PostHog pelo período definido pelo nosso plano: um ano no plano grátis, sete anos nos planos pagos.
Gravações de tela (só no app para iOS, se usadas): guardadas pelo PostHog por 30 dias e depois apagadas.
Registros do servidor: nosso provedor de hospedagem guarda registros operacionais de curta duração das solicitações. Nossas próprias linhas de registro anotam erros e o número de compra da Apple de cada compra verificada, para que um reembolso possa ser rastreado. Elas não registram endereços IP nem fotos, e não registram um ID do pedido do Google Play em texto legível.

7 Quem mais trata seus dados

Somente estes, e somente para a finalidade indicada:

Google LLC (Estados Unidos). Seu modelo Gemini lê suas fotos para produzir a contagem. Veja a seção 5.
OpenAI, L.L.C. (Estados Unidos). Lê suas fotos como reserva, quando o Gemini não devolve nada útil. Veja a seção 5.
Apple Inc. (Estados Unidos, atuação mundial). Processa as compras feitas no app para iOS segundo a política de privacidade da própria Apple. A Apple recebe o pagamento; nunca vemos seu cartão nem seu ID Apple. A Apple dá ao app um registro de compra assinado. Nosso servidor lê quatro coisas dele: qual produto foi pago, se foi reembolsado, o número da compra e se era uma compra de teste. Nosso servidor também consulta a Apple para confirmar que a assinatura do registro continua válida.
Google Play (Google LLC, Estados Unidos, atuação mundial). Processa as compras feitas no app para Android, quando ele estiver disponível no Google Play, segundo a política de privacidade do próprio Google. O Google recebe o pagamento; nunca vemos seu cartão, sua conta Google nem seu nome. A seção 2 diz qual token de compra e ID do pedido recebemos, e o que guardamos.
Vercel Inc. (Estados Unidos). Roda o nosso servidor. Na data desta política, as funções do nosso servidor rodam na região de Sydney da Vercel, então a foto que você envia chega à Austrália antes de ir para a empresa de IA. A Vercel guarda seus próprios registros de solicitações de curta duração, que incluem endereços IP, como qualquer hospedagem.
PostHog (servidores nos Estados Unidos). Recebe os eventos de uso descritos na seção 3A, do app e deste site, e eventuais gravações de tela descritas na seção 3B, só do app para iOS. Nunca recebe fotos nem registros de compra.
MongoDB, Inc. (Estados Unidos). Guarda o resultado da contagem, o comprovante de compra, os registros de pacotes e seus pastos e histórico de contagens num banco de dados gerenciado. Na data desta política esse banco está hospedado em Sydney, Austrália. Fotos nunca são gravadas nele, e nada nele identifica você.
Google Fonts, só neste site. As páginas que você está lendo carregam a fonte dos servidores do Google, então seu navegador envia ao Google uma solicitação web comum quando você as abre. O app não faz isso: a fonte vem dentro dele.

8 Divulgação no exterior

Duas perguntas diferentes, com respostas diferentes.

Onde seus dados ficam guardados: na Austrália, exceto eventos de uso e gravações de tela

O resultado da contagem, o comprovante de compra, os registros de pacotes e seus pastos e histórico de contagens ficam num banco de dados em Sydney, e esses registros não saem do país.

Os eventos de uso descritos na seção 3A e eventuais gravações de tela do app para iOS descritas na seção 3B são a exceção. Eles são guardados pelo PostHog nos Estados Unidos.

Para onde suas fotos viajam: Estados Unidos

Sua foto é enviada ao nosso servidor em Sydney e de lá ao Google ou à OpenAI nos Estados Unidos para ser lida. Nada a guarda em nenhum dos lugares além da contagem e da retenção da própria empresa de IA (seção 5), mas ela atravessa o Pacífico, e esse trecho não pode ser eliminado enquanto o modelo que a lê funcionar lá.

A Apple processa as compras na sua própria infraestrutura mundial. O Google Play faz o mesmo com as compras no app para Android. O Google Fonts serve a fonte deste site a partir do servidor do Google mais próximo. O PostHog guarda os eventos de uso, e eventuais gravações de tela do app para iOS, nos Estados Unidos.

Ao usar o app Count My Herd para iOS, o app para Android quando estiver disponível no Google Play, ou este site, você consente com essas divulgações no exterior. Essas empresas estão sujeitas às leis dos seus próprios países, que são diferentes das da Austrália, e não temos como obrigá-las a seguir os Australian Privacy Principles. Escolhemos essas empresas porque os termos publicados por elas estão de acordo com o que esta política diz.

9 Segurança

O que de fato existe, não o que soaria bem:

Todo o tráfego para o nosso servidor é criptografado em trânsito (HTTPS). O app para iOS se recusa a carregar de outra forma.
Não há contas, então não há senhas para roubar nem perfil para vazar.
Os tokens de compra são assinados com uma chave secreta que só o nosso servidor tem, então um token falsificado não libera nada.
Cada resultado de contagem é arquivado sob um código aleatório de 32 caracteres. Sem o código, que só o seu telefone tem, ele não pode ser encontrado. Pastos e histórico de contagens só podem ser lidos com o número de instalação que os criou.
Cada solicitação tem o tamanho e o formato verificados antes de ser processada, e cada endereço é limitado a um número definido de solicitações por minuto.
As fotos nunca são guardadas, então uma invasão do nosso banco de dados não pode expô-las.
O banco de dados só é acessível com credenciais que nós temos. O provedor criptografa os dados guardados por padrão; esse controle é do provedor, e não o verificamos de forma independente.

Nenhum sistema é perfeitamente seguro, e não vamos dizer o contrário. Se ocorrer um vazamento de dados que possa causar dano grave, avisaremos os usuários afetados e o Office of the Australian Information Commissioner, como exige o Notifiable Data Breaches scheme.

10 Seus direitos

Você pode pedir para ver as informações pessoais que temos sobre você, pedir que as corrijamos, pedir que as apaguemos ou reclamar de como as tratamos. Escreva para support@countmyherd.com e responderemos em até 30 dias.

Saiba o que conseguimos e o que não conseguimos encontrar. Como não há contas, não temos nada que ligue uma contagem ou um pasto a uma pessoa. Para seus pastos e histórico de contagens, o botão Apagar meus dados na tela Histórico do app os apaga sem precisar de nós. Se você nos pedir "os seus dados", só conseguimos encontrar um resultado de contagem se você nos der o código dele do seu telefone, e aí podemos apagá-lo. Sem isso, a resposta honesta costuma ser que não conseguimos identificar nenhum dado como seu, e não que estamos nos recusando.

11 Crianças

O Count My Herd é uma ferramenta para produtores rurais e não é voltado a crianças. A classificação etária 4+ na App Store descreve o conteúdo, não o público. Não coletamos conscientemente informações pessoais de menores de 16 anos, e não há conta pela qual uma criança possa nos dar alguma.

12 Mudanças nesta política

Atualizaremos a data no topo quando esta política mudar. Se uma mudança afetar de forma relevante como suas fotos são tratadas, qual empresa de IA as lê ou onde os dados ficam guardados, diremos isso nesta página, e enviaremos a versão anterior se você pedir em support@countmyherd.com.

13 Contato e reclamações

Origae (ABN 21 237 258 402)
Suite 329, 98-100 Elizabeth Street, Melbourne VIC 3000, Austrália
support@countmyherd.com

Se não estiver satisfeito com a forma como tratamos uma dúvida ou reclamação sobre privacidade, você pode levá-la ao Office of the Australian Information Commissioner em oaic.gov.au.