Privacidade

Esta ferramenta existe porque falar de dinheiro é incómodo. Isso só funciona se as promessas de privacidade forem precisas. Eis o que acontece de facto, incluindo o que não podemos prometer.

A versão curta

Sem contas, sem nomes, sem endereços de e-mail, sem telefones.
O seu valor nunca é mostrado ao grupo, a quem organiza, nem a mais ninguém.
Os valores individuais são cifrados antes de serem guardados.
São apagados no momento em que o resultado do grupo é calculado.
As salas são temporárias. Nada é guardado mais de 14 dias no total.
As páginas de sala privada não carregam publicidade nem rastreio de terceiros.

O que guardamos, e por quanto tempo

Enquanto uma sala está aberta

A sala: um identificador aleatório, o título que escreveu, a moeda, o número de pessoas previsto, quantas respostas chegaram, e quando foi criada.
Cada resposta: guardada apenas como dado cifrado. O valor é cifrado antes de chegar à base de dados, com uma chave guardada fora dela. Nada na base contém um valor legível.
O testemunho do seu navegador: um valor aleatório gerado pelo seu navegador para poder editar a sua resposta. Guardamos apenas uma impressão de sentido único, diferente em cada sala, por isso não serve para o associar entre salas.

Depois de o resultado aparecer

As respostas individuais são apagadas na mesma operação de base de dados que publica o limite. Fica o título da sala, a moeda e o único número arredondado. O valor mais baixo indicado também não é guardado, apenas o limite arredondado.

Eliminação

Uma sala sem resultado é apagada 7 dias depois de criada.
Uma sala com resultado é apagada 7 dias depois de o resultado aparecer.
Quem organiza pode apagar uma sala, e tudo o que contém, a qualquer momento.
Reiniciar uma sala apaga imediatamente todas as respostas, incluindo a de quem organiza.

O que deliberadamente não temos

Não há sistema de contas, por isso não há perfil para construir. Não há lista de participantes, por isso não há registo de quem participou. Não existe em parte alguma do produto um campo para um nome, um e-mail ou um telefone. Nem escondido, nem opcional: não existe.

O que não podemos prometer

Esta é a parte que a maioria das páginas de privacidade deixa de fora.

Grupos pequenos podem deixar deduzir. O sistema nunca revela quem indicou o quê. Mas num grupo de três ou quatro, alguém que conheça bem os outros pode adivinhar quem definiu o limite. O arredondamento dificulta isso. Não o torna impossível, e nenhum software conseguiria.
Qualquer pessoa com o link pode abrir a sala. É esse o modelo de acesso: sem contas não há forma de verificar quem é um visitante. Os links contêm 128 bits de aleatoriedade, por isso não podem ser adivinhados nem encontrados, mas podem ser reencaminhados.
Uma pessoa pode responder mais do que uma vez. O testemunho do navegador evita duplicados acidentais. Não consegue impedir alguém de usar deliberadamente um segundo dispositivo ou uma janela privada. Não vamos fingir o contrário exigindo uma verificação que não queremos recolher.
A infraestrutura vê dados de rede. Como em qualquer site, os pedidos chegam a um servidor que consegue ver endereços IP e navegadores. Não os guardamos. O nosso fornecedor processa-os para servir o site e bloquear abusos.

Serviços de terceiros

Onde	O que corre
Páginas de sala, resultado e organizador	Nada. Sem analítica, sem publicidade, sem pixels, sem widgets incorporados.
Páginas públicas como esta	Analítica respeitadora da privacidade (visitas e desempenho de carregamento, sem cookies nem identificadores entre sites) e Google AdSense, que usa cookies e faz perfilagem para publicidade.
O formulário de criação	Cloudflare Turnstile, uma verificação anti-robôs que funciona sem cookies nem perfilagem comportamental. Nunca corre quando alguém está a responder numa sala.
Alojamento e base de dados	Cloudflare Workers e Cloudflare D1.

Este site é gratuito e é pago por publicidade nas suas páginas públicas: como funciona, as perguntas frequentes e os guias por caso de uso. Esses anúncios são servidos pela Google AdSense, que instala cookies e pode usar a sua atividade noutros sites para escolher o que lhe mostrar. O tratamento desses dados pela Google está descrito na sua política de sites parceiros.

Não corre publicidade numa sala de orçamento privada. Nem na página da pergunta, nem no resultado, nem na vista de organizador. Isso é garantido de três formas independentes: a sala é uma aplicação separada que não contém código publicitário, o script de anúncios só é adicionado a páginas públicas, e a política de segurança enviada com cada página de sala proíbe o navegador de contactar qualquer site externo. Se alguma vez fosse ali adicionado um anúncio por engano, o navegador recusaria carregá-lo e os nossos testes falhariam.

No EEE, no Reino Unido e na Suíça é pedido o seu consentimento antes de correr publicidade personalizada. Esse pedido aparece apenas em páginas públicas. Nunca interromperá alguém a responder a uma pergunta de orçamento.

Cookies

O produto em si não instala cookies. O seu navegador guarda um testemunho aleatório por sala no armazenamento local para que possa editar a sua resposta. Limpar os dados do site remove-o e a sala continua a funcionar. Apenas deixa de poder editar uma resposta anterior.

A língua em que está a ler é guardada da mesma forma, para que o site abra nela da próxima vez. É uma preferência de apresentação, nunca nos é enviada, e limpar os dados do site repõe o que o seu navegador pedir.

Os cookies neste site vêm da publicidade, apenas em páginas públicas. Uma sala de orçamento privada não instala qualquer cookie.

As nossas próprias medições

Contamos eventos, por exemplo que foi criada uma sala ou que se chegou a um resultado, como totais diários agrupados por país e por tipo geral de proveniência. Não há registo de uma visita concreta: cada evento incrementa um contador e nada mais é escrito.

Esses contadores nunca contêm um valor, um título de sala, um link, um testemunho de navegador ou qualquer identificador. Servem para responder a uma única pergunta: esta ferramenta é usada como pensamos que é?

Quem gere este site

Budget Cap é feito por Global Anomaly. É a única parte com acesso à base de dados, e nenhum fornecedor de analítica, rede publicitária ou subcontratante recebe seja o que for vindo de uma sala privada.

Contacto

Questões de privacidade: helpdesk@budgetcap.org. Para o resto: helpdesk@budgetcap.org.

Como as salas são anónimas e de curta duração, normalmente não conseguimos identificar os dados relativos a uma pessoa concreta para dar seguimento a um pedido sobre eles. A forma mais fiável de eliminar uma sala é apagá-la a partir do link de organizador, ou esperar que expire.