Política de Privacidade

1. Quem é responsável

Entidade

Starthrop Dynamics, Unipessoal Lda

NIPC

519488261

Sede

Rua da Sociedade, n.º 4, 2695-567 São João da Talha, Loures, Portugal

Contacto para privacidade

support@starthrop.com

2. Que dados tratamos, e porquê

Recolhemos o que o serviço precisa para funcionar e, à parte, o que quiser dar-nos — o nome e o telemóvel são opcionais, e a tabela diz quais são quais. Nada é recolhido «para o caso de vir a ser útil». Também pode usar o serviço sem criar conta: nesse caso não lhe pedimos email, nome, telemóvel nem palavra-passe, e as encomendas que acompanha ficam ligadas ao seu aparelho (ponto 5).

Nota sobre o nome. O nome é opcional: a conta cria-se e o serviço funciona inteiramente sem ele. Tratamo-lo com fundamento no interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD), e não na execução do contrato — porque o serviço está provado funcional sem nome, e um campo que o produto decide pedir não cria a necessidade objectiva que aquela base exigiria. Finalidade: identificar e personalizar a sua conta, para que o produto se lhe dirija por um nome em vez de um endereço de email. Necessidade: o nome não é usado para entregar, rastrear, cobrar nem notificar — nenhuma dessas funções lhe toca e nenhuma o exige. Ponderação: é um único campo, escrito por si, que não verificamos contra documento nenhum, não divulgamos a lojas, transportadoras, outros utilizadores nem anunciantes, e não usamos para criar perfis nem para publicidade — é tratado apenas pelos fornecedores de infraestrutura indicados no ponto 8, como o resto da sua conta; o impacto na sua privacidade é mínimo e o benefício é seu. Oposição: pode opor-se a este tratamento a qualquer momento, escrevendo para support@starthrop.com — o nome é apagado da sua conta, que continua a funcionar sem ele. No Perfil pode corrigir o nome ou retirá-lo, sem nos escrever. O pedido por email continua a existir para quem preferir usá-lo.

Nota sobre o telemóvel. É opcional: o serviço funciona inteiramente sem ele, e só o guardamos se o escrever no Perfil. Por isso o fundamento é o seu consentimento (artigo 6.º, n.º 1, alínea a), do RGPD), que dá ao indicá-lo. Finalidade: guardar, a seu pedido, um contacto seu junto dos outros dados do Perfil, para o poder consultar, corrigir ou exportar. O que não fazemos com ele: não o usamos para entrar, nem para verificação em dois passos, nem para entregar, rastrear, cobrar ou notificar; não o verificamos, não lhe enviamos SMS, chamadas nem mensagens que não pediu, e não o divulgamos a lojas, transportadoras, outros utilizadores ou anunciantes. Retirar: apagá-lo no Perfil retira o consentimento e elimina-o da conta; também pode pedir-nos que o apaguemos. Usá-lo para outra finalidade seria uma alteração desta política (ponto 15).

O que não recolhemos

Não lhe enviamos SMS, não verificamos o seu telemóvel e não o usamos para entrar nem para verificação em dois passos. O número que indicar fica guardado como o escreveu. Entre 20 de agosto de 2026 e a versão 1.1.0 o perfil não o pedia; quem o tinha preenchido antes continuou a tê-lo na conta. Em qualquer dos casos sai na exportação e pode corrigi-lo ou apagá-lo no Perfil.

Deixámos de recolher instruções de entrega. Até 21 de agosto de 2026 a morada tinha um campo opcional para as escrever. Foi removido pela mesma razão do telefone: não eram usadas para nada — não iam à transportadora, não apareciam em ecrã nenhum e não eram comunicadas a ninguém. As que já tenha escrito continuam guardadas com a sua morada, aparecem na exportação dos seus dados e desaparecem se eliminar a conta.

Não recolhemos os seus dados de pagamento — nem o número do cartão, nem o nome do titular, nem a morada de facturação, também quando contribui voluntariamente. Ver o ponto 7.

Não recolhemos o que comprou nas lojas onde encomenda, o preço que pagou, nem o motivo da compra. Para acompanhar uma entrega, nada disso é preciso.

Não usamos identificadores de publicidade, não fazemos rastreio entre aplicações e não há anúncios no serviço. A estatística anónima e a medição opcional com Google Analytics/Firebase, descritas no ponto 4, medem utilização e qualidade; não recebem o seu email, nome, telemóvel ou morada.

A escolha de medição nas páginas de starthrop.com e a escolha de Estatística e diagnóstico na aplicação são independentes. Recusar a medição opcional não impede o serviço, o uso sem conta, a sessão, os pagamentos ou as notificações solicitadas.

3. Registos do servidor, e para que servem

Como qualquer serviço na Internet, o nosso servidor guarda um registo dos pedidos que recebe. Esse registo contém o endereço IP de onde veio o pedido, o identificador da sua conta quando está autenticado, o caminho pedido e o resultado. Esse registo fica no fornecedor que aloja o serviço e é substituído ao fim de cerca de sete dias — não o guardamos além disso nem o usamos para outra coisa.

Usamos isto para duas coisas concretas, e não para outras:

• Limitar tentativas. A entrada trava por duas contagens independentes: uma pela origem do pedido, que é o endereço IP, e outra pelo endereço de email escrito no formulário. Cinco tentativas falhadas em quinze minutos bloqueiam essa contagem durante outros quinze, e uma entrada bem sucedida limpa as duas. A contagem pelo email aplica-se ao endereço que foi escrito, exista ou não conta com ele — se só contasse para contas reais, o próprio bloqueio revelaria quais existem. O sistema não sabe de quem é a conta: conta tentativas, não distingue titulares.
• Perceber falhas. Quando alguma coisa corre mal, é nestes registos que se vê o que aconteceu.

O que não entra nestes registos, por configuração explícita do servidor: palavras-passe, o seu email, o seu nome, o seu telemóvel, a sua morada, o conteúdo dos cookies e os códigos de recuperação.

Não usamos estes registos para traçar perfis, medir audiências ou qualquer finalidade comercial.

A estatística anónima do ponto 4 não guarda o seu endereço IP: os pedidos que levam as contagens não deixam o IP nos registos da aplicação, e, para limitar o número de envios, o servidor usa apenas um resumo criptográfico do IP, em memória, que não é gravado.

4. Cookies e o que fica guardado no seu aparelho

Um cookie: o da sua sessão, chamado edid_session. Serve apenas para o manter autenticado — com conta ou sem ela.

Duração

acompanha a duração da sessão. Ver o ponto 5

Quando deixa de valer

quando termina sessão, quando recupera a palavra-passe, quando a sessão expira, ou quando elimina a conta

Proteções

HttpOnly (o JavaScript da página não lhe chega), SameSite=Lax e, em ligação segura, Secure

O cookie de sessão é necessário para o serviço funcionar: sem ele não é possível mantê-lo autenticado.

Guardamos ainda no seu aparelho o que está na tabela. Só as duas primeiras linhas são necessárias ao serviço — a primeira só para quem o usa sem conta; as da última linha servem a estatística anónima do ponto 4, e deixam de ser escritas se se opuser; as outras existem para respeitar escolhas que fez, ou para não lhe repetir uma pergunta ou um aviso:

Só o código do aparelho é enviado para nós, e só para retomar ou juntar as suas encomendas. O resto fica no seu aparelho. Pode apagar tudo limpando os dados do navegador ou da aplicação.

No serviço não usamos armazenamento para publicidade. Quando a versão da aplicação disponibiliza Estatística e diagnóstico e aceita essa escolha, Google Analytics/Firebase mede navegação e utilização; Crashlytics recebe relatórios de falhas e Performance tempos de carregamento. No Android, a mesma escolha controla métricas de entrega das notificações. São tratados eventos, identificadores de instalação, características técnicas do aparelho e resultados técnicos, sem enviar email, nome, morada ou conteúdo das encomendas. Com a mesma escolha, o nosso servidor guarda, ligados à sua conta, marcadores de progresso: para cada passo de uma lista fechada, a primeira vez, a última vez e quantas vezes aconteceu — não a sequência do que fez nem o que escreveu. Saem na exportação e são apagados com a conta.

Estatística anónima na aplicação

Para perceber como a aplicação é usada e corrigir falhas, contamos acontecimentos de uma lista fechada — por exemplo, «foi feita uma consulta», «a aplicação foi aberta» ou «ocorreu um erro» — de forma agregada por dia, com a plataforma, a versão da aplicação, o idioma, o país do idioma do aparelho e a categoria de onde veio a visita (por exemplo, uma pesquisa ou uma rede social). Dos erros guardamos o tipo, o ecrã onde aconteceram e o ponto do código — nunca a mensagem. Estas contagens não incluem a sua conta, o seu aparelho, o seu endereço IP nem nada do que escreve — como números de seguimento — e não permitem identificá-lo; por isso não lhe pedimos consentimento. Pode opor-se: se responder «Não» a Estatística e diagnóstico — na pergunta da aplicação ou, a qualquer momento, no Perfil —, a aplicação deixa de ler e de guardar no aparelho a categoria de onde veio a visita, o país do idioma do aparelho e o registo dos erros já contados, e apaga o que lá estava; as contagens continuam, só com a plataforma, a versão e o idioma da aplicação. Sem resposta, não há oposição. Ficam no nosso servidor, com uma cópia no BigQuery da Google Cloud, ambos na União Europeia. As contagens diárias guardam-se sem prazo, porque não são dados pessoais; os erros agregados, 400 dias.

Na aplicação, a escolha de Estatística e diagnóstico fica em edid-diagnostico; nasce sem autorização e pode ser retirada no Perfil. A retirada interrompe nova recolha opcional e limpa os dados locais de Analytics e relatórios ainda não enviados; não apaga retroactivamente informação já recebida pelos fornecedores. Os consentimentos publicitários permanecem negados.

Medição nas páginas de starthrop.com

As páginas de starthrop.com, incluindo a página do Package Tracker e este documento, são o site institucional da Starthrop Dynamics. A medição de visitas nessas páginas é opcional, só acontece com a sua escolha e serve para perceber como o site é visitado e que campanhas trazem visitantes; os fornecedores, as finalidades, os cookies e os prazos estão na Política de Privacidade e na Política de Cookies da Starthrop Dynamics. Essa medição não faz parte da aplicação: na aplicação (package-tracker.starthrop.com e as aplicações iOS e Android) vale apenas o que este ponto 4 descreve.

5. Autenticação e sessões

Pode usar o serviço sem conta, criar conta com o seu email e uma palavra-passe, ou entrar com «Continuar com o Google» ou «Continuar com a Apple». Não há outra forma de entrar.

A sessão termina ao fim de 30 dias sem utilização. Cada vez que usa o serviço, essa contagem recomeça — quem usa a aplicação regularmente não tem de voltar a autenticar-se.

Há um limite que a utilização não estende: nenhuma sessão dura mais de 180 dias a contar do momento em que foi criada. Passado esse prazo é pedida nova autenticação, mesmo a quem usa o serviço todos os dias.

A sessão termina imediatamente quando:

• termina sessão;
• altera a palavra-passe — nesse caso terminam as sessões dos outros aparelhos, e a que está a usar continua;
• recupera a palavra-passe — nesse caso terminam todas, incluindo a que está a usar;
• elimina a conta.

Entrar com a Google ou a Apple

Se escolher uma delas, é a Google ou a Apple que confirma quem é; nós nunca vemos a palavra-passe dessas contas. Recebemos delas o identificador da sua conta nelas e o email — no caso da Apple, pode ser um endereço de reencaminhamento privado, se o escolher. A Apple dá-nos também uma credencial, que guardamos cifrada e que serve só para lhe pedirmos que revogue a ligação quando elimina a conta ou desliga a Apple. Se já tiver conta com o mesmo email, não as juntamos por nossa iniciativa: entra com a palavra-passe e liga a Google ou a Apple no Perfil. Pode desligá-las no Perfil, desde que fique outro meio de entrar.

Usar sem conta

Sem conta, o serviço cria para o seu aparelho uma conta de visitante, que nasce só na primeira consulta. Para rastrear como visitante não lhe pedimos nome, email, telemóvel nem palavra-passe. Isso não quer dizer que não haja dados pessoais: os números de seguimento que acompanha, o histórico dessas encomendas, o código do aparelho, o cookie de sessão e os registos do servidor (ponto 3) podem dizer respeito a si e, por isso, tratamo-los como dados pessoais, com os mesmos direitos (pontos 11 e 12). A conta de visitante é uma conta interna — sem email verdadeiro e sem palavra-passe que alguém conheça —, não uma anonimização dos seus dados. O aparelho recebe um código aleatório, guardado nele (ponto 4); nós guardamos apenas um resumo criptográfico, que é um pseudónimo e não um dado anónimo. Esse código serve para duas coisas: retomar as suas encomendas quando a sessão termina, e juntá-las a uma conta, se a criar ou se entrar numa que já tinha — nesse caso pedimos-lhe confirmação, e as encomendas repetidas não se duplicam.

O que convém saber: as encomendas de visitante ficam ligadas a esse aparelho. Não apagamos encomendas, eventos nem contas de visitante por antiguidade ou inactividade: enquanto a conta de visitante existir no servidor, o histórico fica. Mas, se o código se perder — por exemplo, ao apagar os dados da aplicação, ao desinstalá-la ou ao limpar o navegador —, deixa de as poder abrir, e nós não conseguimos saber de quem são para lhas devolver; o que estava guardado continua guardado, e não o apagamos por esse motivo. Para as apagar, use «Apagar os dados deste aparelho», no Perfil, antes de apagar a aplicação. Para poder recuperar o histórico e usá-lo noutros aparelhos, crie uma conta gratuita — é opcional.

A palavra-passe guardada no seu aparelho

Se o seu sistema — iPhone, iPad, Mac ou Android — lhe oferecer guardar a palavra-passe, quem a guarda é ele, no gestor de credenciais do sistema, porque você lho autorizou. Essa cópia é do sistema: fica sob o controlo dele, pode ser apagada nas definições dele, e quando lhe pede Face ID, Touch ID ou o código do aparelho para a preencher, é o sistema a proteger o que é dele. Do nosso lado, a afirmação é sobre nós: nem a aplicação nem os nossos servidores guardam a sua palavra-passe legível. No servidor existe apenas uma derivação criptográfica, que não permite reconstruí-la; a aplicação usa-a para o autenticar e não fica com ela.

6. Notificações

Se autorizar, avisamos quando uma encomenda que você adicionou muda de estado. É essa a função do serviço, e é por isso que a base é a execução do contrato — a mesma da tabela do ponto 2.

Todas as notificações que enviamos nascem de um evento de uma das suas entregas. É o único caminho que existe no serviço para criar um aviso: não há mecanismo de notificações promocionais.

Para lhe podermos enviar um aviso, o seu aparelho gera um identificador de notificações e nós guardamo-lo, associado à sua conta. Esse identificador é entregue ao serviço de notificações da plataforma: a Apple, nos aparelhos Apple; a Google, nos Android.

A notificação leva duas coisas e mais nenhuma: o estado da encomenda, já traduzido por nós, e o nome que lhe deu — ou, se não lhe deu nome, o da transportadora ou «A sua encomenda». Não leva o seu nome, o seu email, o seu telemóvel, a sua morada, o número de seguimento nem o texto que a transportadora escreveu. Esse texto fica guardado, mas não aparece em nenhum ecrã: o percurso da entrega mostra o estado traduzido por nós, a data e o local que a transportadora indicou — não a frase que ela escreveu. Se pedir os seus dados na aplicação, essa frase vai na exportação, porque é sobre a sua encomenda e é seu direito vê-la.

A autorização que o seu aparelho lhe pede para mostrar notificações é um controlo técnico do sistema, e pode ser retirada a qualquer momento nas definições dele. Retirá-la não afecta os seus direitos nem o resto do serviço, e não é ela o fundamento do tratamento.

7. Gratuito, contribuições voluntárias e planos antigos

O Package Tracker é gratuito: rastrear, usar sem conta, criar conta, guardar a morada, exportar os seus dados e eliminar a conta não custam nada. Não há anúncios nem planos à venda.

O que não chega até nós

Se contribuir voluntariamente, a transacção é processada pela loja onde o faz — a App Store ou a Google Play — ou, na Web, pela Stripe. O mesmo vale para as subscrições antigas. Não recebemos nem tratamos o número do seu cartão, as credenciais do meio de pagamento, o nome do titular ou a morada de facturação. Esses dados ficam com a loja, ou com a Stripe, e com quem cada uma usa para os processar. Nos pagamentos pela Web, a Starthrop Dynamics é a comerciante registada e a Stripe é o processador de pagamentos.

As contribuições não ficam ligadas à sua conta

Uma contribuição é um apoio voluntário ao desenvolvimento do serviço: um pagamento à Starthrop Dynamics, que é uma empresa — não um donativo a uma entidade sem fins lucrativos. Não desbloqueia nada, não dá vantagens, não é uma assinatura e não muda o que o serviço faz. Nas aplicações, a compra é feita na loja sem lhe juntarmos nenhum identificador seu, e o nosso servidor não regista que contribuiu. Contamos apenas, de forma anónima e agregada, quantas vezes o ecrã de apoio foi visto e quantas contribuições foram concluídas, canceladas ou falharam (ponto 4). Se contribuir pela Web, a Stripe recolhe na página dela o email e os dados de pagamento; a Starthrop Dynamics, como comerciante, tem acesso ao registo desse pagamento na Stripe — valor, data, email e país — e conserva-o pelo prazo que a lei fiscal e contabilística exige.

Os planos antigos, BASIC e PLUS

Até à versão 1.1.0 vendíamos os planos BASIC e PLUS. Deixaram de ser vendidos. Para quem ainda tem ou teve uma subscrição, sabemos e guardamos: qual o plano; em que estado está a subscrição — activa, em período de graça, com cobrança a falhar, cancelada, terminada ou reembolsada; as datas do período pago; e a referência que a loja atribui à compra, para reconhecer as mensagens que ela nos envia depois. Sem isto não é possível respeitar o período pago, um cancelamento ou um reembolso.

O identificador que enviávamos à loja

Quando se comprava um plano, enviávamos à loja um identificador aleatório, gerado por nós, que não contém o seu nome, o seu email, a sua morada nem o código da sua conta. Serve para ligar a compra à sua conta quando a loja nos avisa de uma renovação, de um cancelamento ou de um reembolso. Não enviamos às lojas o identificador interno da sua conta.

Esse identificador continua a ser um dado pessoal: não tem o seu nome, mas pode ser associado a uma compra sua. Por isso tem prazo de conservação e por isso está descrito aqui. Não dizemos que é anónimo, porque não é.

8. Com quem os dados são partilhados

Não vendemos dados e não os partilhamos para fins publicitários. Para o serviço funcionar, recorremos aos seguintes fornecedores, cada um com uma função estrita:

O Package Tracker não envia a sua morada, o seu nome, o seu email nem o seu telemóvel às transportadoras, ao AfterShip nem às lojas de aplicações. A morada também não é mostrada a outros utilizadores. Fica guardada na sua conta, na base de dados do serviço — que é alojada pelo fornecedor indicado na tabela acima, como o resto dos seus dados. Onde essa base está, e o que isso não garante, está no ponto 9.

Isto é uma afirmação sobre o que nós fazemos. Uma transportadora que lhe entregue uma encomenda conhece naturalmente a morada de entrega — recebeu-a de quem lhe enviou a encomenda, não de nós.

Google Ireland Limited presta também os serviços opcionais Google Analytics/Firebase, Crashlytics e Performance da aplicação. A escolha tem finalidade de estatística de utilização e diagnóstico; não partilhamos a identidade da conta com esses serviços. O prazo de 14 meses refere-se à retenção configurada de Analytics, não a uma promessa uniforme de eliminação de todas as cópias ou de todos os serviços Google.

9. Onde os dados são tratados

A infraestrutura que aloja o serviço e a base de dados está na União Europeia, na região de Frankfurt, Alemanha. É aí que a sua conta, a sua morada e as suas encomendas ficam guardadas, e é aí que ficam os registos do servidor descritos no ponto 3.

As cópias de segurança descritas no ponto 10 ficam, em parte, no mesmo fornecedor e na mesma região. Outra parte são cópias cifradas guardadas pela própria empresa, fora do fornecedor: em equipamento seu e no armazenamento da Google Cloud, na Bélgica, também na União Europeia. A cópia da estatística anónima do ponto 4 fica no BigQuery da Google Cloud, na localização multirregional da União Europeia.

Isso diz onde os dados ficam, e não é o mesmo que dizer que nada sai da Alemanha. Vale a pena separar três coisas que costumam ser confundidas: onde os dados ficam guardados, onde ficam as cópias de segurança, e quem lhes pode aceder para manter o serviço a funcionar. O alojamento é feito por uma empresa com operação internacional: a consola e a interface de administração com que operamos a infraestrutura não estão limitadas a esta região, e o acesso técnico de manutenção pode ser feito de fora dela.

Os restantes fornecedores indicados no ponto 8 são empresas com operação internacional, e o tratamento que fazem pode envolver transferência de dados para fora do Espaço Económico Europeu — designadamente a consulta às transportadoras, a entrada com a Google ou a Apple, a entrega das notificações, o correio do serviço e os pagamentos nas lojas. Cada um deles disponibiliza os seus próprios termos de tratamento de dados, que se aplicam a esse tratamento e que indicam as salvaguardas em que assenta.

Se quiser saber, em relação a um fornecedor concreto, que salvaguarda se aplica e onde a consultar, escreva para support@starthrop.com e respondemos com a referência exacta.

10. Durante quanto tempo

Enquanto a sua conta existir — com conta ou como visitante. Não apagamos encomendas nem eventos por antiguidade nem por inactividade: o histórico fica até apagar a encomenda ou eliminar a conta. Há uma única excepção, e só para uma fonte: hoje a DHL não é uma fonte em uso no serviço; se e enquanto a interface oficial da DHL for usada, a informação obtida dela é apagada 30 dias depois da entrega, por condição da própria DHL — a encomenda, o histórico que veio de outras fontes e tudo o resto ficam. Este prazo não se aplica a nenhuma outra transportadora.

Quando elimina a conta, os seus dados são apagados da base que serve o serviço — conta, telemóvel, moradas e o seu histórico, encomendas, eventos de rastreio, sessões, pedidos de recuperação, identificadores de notificação, ligações à Google e à Apple, marcadores de estatística da conta e o registo do plano — numa única operação que ou corre inteira ou não corre. É imediato, e é sobre a base activa que o dizemos. Nem tudo acaba nesse instante, e o que fica divide-se em duas categorias, nada mais: os registos residuais, que são quatro e vêm na tabela a seguir, e as cópias de segurança técnicas, que são coisa diferente e estão explicadas no fim deste ponto.

Categoria um — os quatro registos residuais:

Sobre o identificador de pagamento: conservamo-lo enquanto a sua conta existir — mesmo depois de a subscrição terminar, porque sem ele uma compra antiga deixaria de ser reconhecível — e apagamo-lo 180 dias depois de eliminar a conta. O prazo não é arbitrário — cobre as janelas em que a loja ainda nos pode escrever sobre a sua compra: a Apple repete tentativas de cobrança até 60 dias, e um reembolso ou uma contestação pode chegar depois disso. Passados os 180 dias, é eliminado. Não o conservamos para fins contabilísticos: a cobrança é processada pela loja e os registos financeiros da transacção ficam com ela — a nós chega apenas este identificador e o estado da subscrição.

As cópias de segurança

A base de dados tem cópias de segurança que existem para uma única finalidade: reconstruir o serviço se alguma coisa correr muito mal. Não são usadas para consulta corrente nem para recuperar seletivamente os dados de uma pessoa. São de quatro tipos:

As cópias guardadas pela empresa são cifradas quando chegam ao seu equipamento, e só podem ser abertas com uma chave que nem o fornecedor de alojamento nem a Google Cloud têm. Quando elimina a conta, os seus dados deixam a base activa de imediato, mas continuam nestas cópias até cada uma expirar. Se alguma vez for preciso reconstruir o serviço a partir de uma cópia, voltamos a apagar as contas cuja eliminação conste do registo descrito acima, que guardamos 30 dias. Por isso, nenhuma cópia guardada pela empresa fica mais tempo do que esse registo: uma cópia mais antiga do que ele já não poderia ser reposta sem devolver ao serviço contas eliminadas, e é apagada.

Podem ainda existir cópias pontuais, criadas antes de uma operação de manutenção — por exemplo, antes de uma alteração à estrutura da base — para se poder voltar atrás se a operação correr mal. Ficam no fornecedor ou, cifradas, com a empresa, e têm a mesma finalidade, a mesma protecção e o mesmo prazo das outras cópias do sítio onde ficam.

Os pedidos de recuperação de palavra-passe expiram ao fim de uma hora e são invalidados assim que são usados, ou quando faz um pedido novo.

11. Eliminar a sua conta

Pode eliminar a conta a partir do Perfil, com dupla confirmação. É definitivo. Sem conta, «Apagar os dados deste aparelho», no Perfil, elimina da mesma maneira a conta de visitante e as encomendas dela.

Ter um plano pago antigo não impede a eliminação. O seu direito de apagar os seus dados não depende de nenhuma questão comercial.

Mas eliminar a conta não cancela uma subscrição antiga. O plano foi comprado na App Store, na Google Play ou na Web, e cancela-se onde foi comprado: na App Store, na Google Play, ou no portal do cliente a partir da sua conta. Uma subscrição de loja não podemos cancelar por si.

Se eliminar a conta sem cancelar, continuará a ser cobrado por quem lhe cobra. A aplicação avisa-o disto antes de confirmar, e mostra a ligação para o sítio onde comprou.

12. Os seus direitos

Enquanto titular dos dados, assistem-lhe os direitos de acesso, retificação, apagamento, limitação, oposição e portabilidade. Uma parte exerce-se no produto, sem nos escrever, e é esta:

• Exportar — descarrega os seus dados num ficheiro, a partir do seu perfil, também sem conta. É o direito de acesso e o de portabilidade.
• Eliminar a conta — no perfil, com dupla confirmação. É definitivo.
• Corrigir ou retirar o nome e o telemóvel — no perfil. É o direito de retificação, na parte que lhe podemos dar directamente.
• Corrigir a morada — no perfil. A versão anterior fica guardada, como está dito no ponto 2.
• Desligar a Google ou a Apple — no perfil, desde que fique outro meio de entrar.
• Retirar o consentimento de Estatística e diagnóstico — no perfil, a qualquer momento. A retirada não afecta o tratamento feito antes dela. A mesma resposta «Não» vale como oposição à estatística anónima no aparelho (ponto 4).

O que ainda depende de nos escrever: alterar o endereço de email da conta, que identifica a conta e ainda não é editável no produto; opor-se ao tratamento do nome, que assenta no interesse legítimo, ou pedir-nos que apaguemos o telemóvel, se preferir esse caminho ao Perfil; e limitar o tratamento. Para esses, escreva para support@starthrop.com. Tem também o direito de apresentar reclamação à autoridade de controlo — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD).

13. Segurança

As ligações ao serviço são cifradas em trânsito.

As palavras-passe são guardadas apenas sob a forma de uma derivação criptográfica — nunca como as escreveu. Os pedidos de recuperação, as sessões e o código do aparelho de quem usa sem conta são guardados sob a forma de resumo criptográfico: o valor que está no seu cookie não existe na nossa base de dados, e um pedido de recuperação não pode ser reconstruído a partir do que guardamos.

O correio que enviamos é assinado criptograficamente (DKIM) e o domínio está protegido por SPF e DMARC, para dificultar que alguém se faça passar por nós.

Os registos do servidor são configurados para omitir palavras-passe, email, nome, telemóvel, morada, cookies e códigos de recuperação. As credenciais de acesso a fornecedores não vivem no código do serviço.

14. Menores

O serviço destina-se a pessoas com 18 anos ou mais, com conta ou sem ela. Não pedimos documentos para o confirmar.

Não recolhemos dados de menores de forma consciente.

15. Alterações

Esta política tem versão e data no topo, e a versão em vigor está sempre publicada nesta página. A partir da versão 1.1.0, o endereço de referência é starthrop.com/package-tracker/privacy/, com a versão em cada língua. As versões anteriores são conservadas e podem ser pedidas por support@starthrop.com.

Quando houver alterações materiais — que mudem de forma significativa o que fazemos com os seus dados — informamos os utilizadores antes de entrarem em vigor, pelos meios adequados à natureza da alteração e sempre que a lei o exija.

O que muda com a versão 6.14. O serviço apresenta-se só como Package Tracker, um produto da Starthrop Dynamics, em starthrop.com/package-tracker/ e package-tracker.starthrop.com; o contacto é support@starthrop.com e a eliminação da conta está descrita em starthrop.com/pt/package-tracker/eliminar-conta/. O site público anterior foi descontinuado, por isso a medição dele deixa de ser descrita aqui; a medição nas páginas de starthrop.com está na política de privacidade da Starthrop Dynamics (ponto 4). O código da conta passa a ser descrito pelo seu papel real (ponto 2), e a lista do que fica no aparelho inclui a marca técnica de saída por confirmar (ponto 4). As novas aplicações iOS e Android usam os mesmos fornecedores — Apple e Google, incluindo o Firebase e a entrada com a Apple e com a Google — para as mesmas finalidades. Não há novas categorias de dados, finalidades, bases legais, destinatários nem prazos de conservação. O parágrafo seguinte descreve a versão 6.13.

O que muda com esta versão, e desde quando. Já eram verdade antes da versão 1.1.0: a entrada com a Google ou a Apple, disponível desde 14 de outubro de 2026; o que leva uma notificação (ponto 6); e o fim da venda dos planos BASIC e PLUS, retirados da venda a 21 de outubro de 2026. Passam a ser verdade com a versão 1.1.0, no dia em que esta política entra em vigor: o uso sem conta, o serviço gratuito com contribuições voluntárias, o telemóvel opcional no Perfil, a consulta directa às transportadoras, a estatística anónima e o novo endereço de contacto. O AfterShip só deixa de receber pedidos no corte descrito no ponto 8.

Como avisamos. Quando a alteração o exigir, avisamos por email quem tem conta com email e, na aplicação, no aviso que aparece ao abrir uma versão nova. Os prazos de aviso dos Termos de Serviço (ponto 13) continuam a valer para o que eles regulam.

16. Contacto

Qualquer questão sobre esta política ou sobre os seus dados: support@starthrop.com.