O que sabemos de ti e porque.

O que recolhemos

• O teu email - so se subscreveres.

  Para o email diario do coach. Guardado ate cancelares. Nunca partilhado nem vendido. Ponto.

• O teu pais (sempre) e lat/lon (muitas vezes).

  O pais vem de uma base DB-IP local no nosso servidor - sem chamada externa, o teu IP nao vai para terceiros. Decide se mostramos Celsius ou Fahrenheit e que pais fica no topo em /cidade. Lat/lon (nivel cidade) alimentam o tempo para a frase do coach combinar com o que esta la fora. Ambos derivados do IP da tua visita e nao guardados por muito tempo.

• A tua localizacao precisa - so se concederes.

  Quando clicas em /cidade em 'Usar localizacao precisa', o browser pede permissao. Se aceitares, usamos a lat/lon exata do aparelho para o tempo e para ver se cobrimos a tua cidade. Caso contrario, voltamos a estimativa via IP acima.

• O teu IP - brevemente, com hash.

  Calculamos um hash SHA-256 (primeiros 16 caracteres) para limitar contributos community, custom-roasts e sugestoes de cidade. O IP cru nunca e guardado - so o hash, e so pelo tempo necessario.

• O que escreves - para custom-roasts e linhas community.

  As desculpas livres vao para a OpenAI para moderacao e geracao. Os contributos community e sugestoes de cidade ficam na nossa base ate pedires remocao ou um admin rejeitar.

• Anonymous pageviews and clicks — our own counter.

  We run our own first-party audience-measurement: pageviews, which excuses are picked, which destinations are shared to, run-commits, subscribes. Stored in our database with route + event-type + country (from local mmdb) + device class + referrer host. No cookie set, no visitor identifier, no PII, no fingerprinting. Falls outside cookie-consent rules per CNIL / DSK / ICO guidance for consent-free first-party analytics. We use it to answer product questions (what works, what gets shared) — not to profile.

• Eventos anonimos de corrida.

  Quando carregas em Yes e te comprometes a uma corrida, registamos o momento (timestamp, idioma, desculpa escolhida, cidade + temperatura + codigo do tempo, hash IP). Alimenta o contador no rodape e o ticker de atividade. Sem nome, sem email associado. Detalhado 90 dias, depois anonimizado.

• Um pequeno conjunto de cookies + localStorage - ver tabela.

  Idioma, tema, unidades, a tua escolha de cookies e (so com consentimento) Google Tag Manager. Lista completa mais abaixo.

Quem mais ve

• Brevo (email transacional).

  Quando enviamos o email diario, a Brevo ve o teu email e a mensagem renderizada. Servidores UE, subcontratante UE.

• OpenAI (custom-roasts + moderacao + traducoes admin).

  Quando escreves uma desculpa livre, o texto vai para a OpenAI. Em traducoes IA do admin, o texto fonte tambem. A OpenAI nao retem pedidos API para treino, segundo a politica atual.

• Open-Meteo (tempo + geocoding).

  Para o tempo enviamos lat/lon. Na sugestao de cidade geocodificamos o nome inserido. Sem conta, sem cookie. Servidor na Alemanha.

• OpenStreetMap Nominatim (geocoding inverso, so opt-in).

  Se carregares em /cidade em 'Usar localizacao precisa' e deres permissao, enviamos a tua lat/lon ao Nominatim da OSM Foundation para obter um nome de cidade (ex. 'Porto'). Servico gratuito. Nunca invocado sem clique explicito + permissao dada.

• Mapbox (imagens de mapa).

  Os mapas estaticos das paginas de cidade sao pedidos pelo nosso servidor a Mapbox. A Mapbox ve o nosso IP de servidor, nao o teu. Nenhum script de tracking carrega no teu browser pela Mapbox.

• Strava (segmentos de corrida).

  A API publica de segmentos da Strava alimenta os marcadores em /city/[nome]. O nosso servidor consulta com lat/lon da cidade. A Strava ve o nosso IP de servidor e o pedido bounding-box, nao o teu IP nem a tua identidade.

• Meta (Facebook + Instagram, so saida).

  Quando publicamos automaticamente o roast diario na nossa pagina FB e conta IG, o nosso servidor chama a API Meta Graph. Nao e enviado nenhum dado do visitante - so o nosso texto e a nossa imagem quadrada. A Meta nao sabe quem es.

• Google Tag Manager + GA4 (analytics, opcional).

  So carrega se aceitares cookies. Para contar visitas e cliques e apoiar decisoes de produto. Sem pixels publicitarios.

• O nosso alojamento (Vultr via Cleavr).

  Servidor numa instancia Vultr na UE. Logs padrao (IP, user agent, URL pedido, timestamp) ficam 7 dias com o fornecedor para monitorizacao de abuso e uptime.

Que cookies exatamente

Mantemos esta lista completa e atualizada. Se acrescentarmos algo, muda a data no topo da pagina e (se aceitaste analytics) o GTM ve um novo campo consent_version.

Quanto tempo guardamos

Email: ate cancelares (um clique em cada email diario). Eventos de corrida / escolhas de desculpa: 90 dias com detalhe, depois anonimizados (cidade + temp vazios, ficam slug + timestamp para estatisticas). Contributos community + sugestoes de cidade: ate pedires remocao do teu, ou rejeitarmos. Hashes de rate-limit: 1 hora, deslizante. Logs do servidor na Vultr: 7 dias.

Os teus direitos

Podes pedir-nos para: - Mostrar tudo o que esta ligado ao teu email ou nome submetido. - Apagar. - Entregar em formato portavel (enviamos JSON). - Corrigir ou atualizar o que estiver errado. - Opores-te ao tratamento. Responde a um email diario ou escreve para o endereco abaixo. Tentamos responder em 7 dias. Se estiveres na UE/EEE/UK e nao estiveres satisfeito, podes reclamar a tua autoridade nacional.

O que nunca fazemos

Nao vendemos os teus dados. Nao os partilhamos com redes de publicidade. Nao te perfilamos entre sites. Nao usamos dark patterns para te manter subscrito - cada email tem link de cancelamento e uma pagina de confirmacao a um clique sem conta. Nao fazemos fingerprinting. Sem pixel-tracking. Nao carregamos scripts de terceiros tirando o Google Tag Manager, e so se disseste que sim.

Criancas

O nobs.run destina-se a pessoas com 16 anos ou mais. Nao recolhemos a sabendas dados de utilizadores mais novos. Se achares que aconteceu - contacta-nos e apagamos.

Transferencias internacionais

A OpenAI processa chamadas API nos EUA. Apoiamo-nos no EU-US Data Privacy Framework para essa transferencia. A Brevo e a Open-Meteo processam na UE. A Mapbox usa servidores US; as transferencias sao servidor-para-servidor (o teu IP nao faz parte). A Strava e US; idem - servidor-para-servidor, nao o teu IP.

Alteracoes a esta pagina

Quando algo substancial muda, atualizamos a data no topo e (se estiveres subscrito) mencionamos num email diario. Historico completo em git: github.com/elixermedia/nobsrun.