Política de privacidade
1. Responsável
O responsável pelo tratamento dos seus dados pessoais é o programador independente do Trilho (pessoa singular, em Portugal, identificado nas fichas da aplicação na App Store e no Google Play), que publica o Trilho na App Store e no Google Play e gere o respetivo servidor e este site. O Trilho é independente: não é operado por nenhum operador de transportes nem autoridade pública e não tem qualquer ligação oficial a eles.
Contacto para esta política e para qualquer pedido sobre os seus dados: [email protected].
2. Percursos, localização e pesquisas
Quando pede um percurso ou paragens próximas, o Trilho envia ao servidor os identificadores de paragens ou coordenadas necessários. A permissão de localização é opcional, pedida no momento em que é necessária e limitada à utilização da aplicação. Pode escolher as paragens manualmente. O Trilho não acompanha a sua localização em segundo plano. Se puser um widget do Trilho no ecrã principal ou no ecrã bloqueado, o telemóvel pede periodicamente ao servidor, sem ação sua, as próximas partidas do trajeto guardado ou da paragem fixada, só com os códigos do operador, das paragens e da linha (nunca coordenadas), e o servidor conta apenas quantos pedidos de widgets recebe por dia, plataforma, tipo de widget e motivo, sem endereço IP nem identificadores.
As pesquisas de paragens são enviadas ao servidor do Trilho enquanto escreve. Quando o texto tem pelo menos três caracteres e faz uma pausa a escrever, ou quando toca na tecla de pesquisa, o Trilho envia-o também ao servidor para procurar locais e moradas: primeiro no índice de moradas do próprio Trilho (construído a partir de dados públicos de moradas publicados pelo INE) e, se não bastar, para o serviço Nominatim do OpenStreetMap. A localização do telemóvel não é enviada ao Nominatim; serve apenas para ordenar os resultados. Os endereços ou ligações de mapas que decide partilhar com o Trilho também são enviados ao servidor para encontrar o destino; o servidor segue uma ligação de mapa suportada através do respetivo fornecedor e pode enviar ao Nominatim as coordenadas partilhadas. Os resultados encontrados ficam numa cache em memória; são considerados atuais durante 24 horas e substituídos à medida que a cache enche. Este tratamento ultrapassa a resposta em tempo real a um único pedido.
O botão «Comprar bilhete» abre o site da CP através do servidor do Trilho. O servidor recebe o endereço da página da CP (com as estações e a data escolhidas), encaminha-o de imediato e conta apenas quantas vezes o botão é usado por dia, tipo de comboio (por exemplo, Alfa Pendular ou Urbano), antecedência da viagem e ecrã de origem. Não guarda o endereço, as estações, a data nem qualquer identificador da instalação. O Trilho não vende bilhetes nem recebe comissões da CP.
O ecrã inicial para turistas pode mostrar uma oferta do Lisboa Card. Os preços e a ligação são pedidos ao servidor do Trilho como qualquer outro pedido, e o botão abre o site do vendedor no navegador (hoje, a loja oficial do Lisboa Card). Se o Trilho usar uma ligação de parceiro, aparece junto ao botão o aviso «Podemos receber uma comissão». A ligação leva um identificador de parceiro do Trilho e nada sobre si; o vendedor trata da sua compra e dos seus próprios cookies segundo a sua própria política, e o Trilho não recebe do vendedor qualquer informação sobre si.
Os mapas claros e escuros são carregados do servidor de mapas do próprio Trilho (tiles.trilhoapp.com, alojado na Cloudflare); se estiver indisponível, a aplicação recorre ao OpenFreeMap. Quem fornecer o mapa recebe o endereço IP e os pedidos de recursos do mapa, que podem revelar a zona visualizada, e aplica-se a respetiva política de privacidade. Ao tocar num troço a pé, abre-se o Google Maps (ou o Apple Maps no iPhone) com os pontos de início e de fim desse troço; essa aplicação trata-os segundo a sua própria política. Ao tocar em «Procurar «…» no Google Maps» ou «Abrir o Google Maps», abre-se o Google Maps (a aplicação ou, se não estiver instalada, o navegador) com o texto que escreveu na pesquisa, ou apenas o mapa; a partir daí aplica-se a política de privacidade da Google. Para proteger o servidor contra abusos, este conta os pedidos por endereço IP apenas em memória; os contadores nunca são gravados em disco e voltam a zero quando o servidor reinicia. Os serviços de rede podem conservar registos técnicos para operação e segurança. Não usamos pesquisas de percursos para criar perfis publicitários.
Este site. trilhoapp.com não define cookies e não carrega análises, publicidade nem scripts ou tipos de letra de terceiros, pelo que não mostra um aviso de cookies. É servido pela Cloudflare, que trata os endereços IP dos visitantes em registos técnicos para entregar e proteger o site.
3. Dados no telemóvel
Favoritos, locais guardados, pesquisas recentes, preferências e histórico de leituras do cartão (que inclui o número do cartão e, quando o cartão o contém, o nome do titular) ficam guardados localmente. A leitura NFC é opcional e apenas de leitura: o Trilho não carrega, valida nem modifica o cartão e não envia o seu conteúdo para o servidor — exceto, se decidir identificar uma paragem desconhecida, os poucos códigos descritos abaixo. A informação disponível depende do cartão e do telemóvel. Pode apagar as listas em Definições ou remover a aplicação e os seus dados locais.
Identificar uma paragem desconhecida. Em algumas viagens o cartão guarda apenas um código interno da paragem — nos autocarros da Carris, por exemplo. Se decidir indicar qual era a paragem, o Trilho mostra logo a sua resposta no telemóvel e envia ao servidor uma sugestão anónima: os códigos do operador, da linha e da paragem gravados no cartão nessa validação, se foi uma entrada ou uma saída, e a paragem escolhida na lista do Trilho. Nunca inclui o número do cartão, as horas das viagens, o saldo nem qualquer identificador do telemóvel ou da instalação. O servidor guarda apenas totais de quantas sugestões indicaram cada paragem — nenhuma sugestão individual, nenhuma hora e nenhum endereço IP —, pelo que uma sugestão não pode ser associada a si e, depois de enviada, não pode ser apagada, porque não sabemos de quem é. O endereço IP é usado apenas em memória para limitar abusos: um limite de pedidos e uma impressão com sal que ignora a repetição da mesma paragem no mesmo dia; ambos ficam apenas na memória do servidor, nunca são gravados pelo Trilho em ficheiro nem em base de dados, e voltam a zero todos os dias. Quando várias pessoas concordam, ou depois de uma verificação manual, o nome da paragem passa a ser mostrado a todos. Pode sempre escolher «Não sei» ou fechar a janela; nesse caso, nada é enviado.
Estes dados fazem parte da cópia de segurança do sistema do telemóvel, se estiver ativa: no Android, só quando a cópia é cifrada ponta a ponta com o bloqueio de ecrã ou na transferência direta para um telemóvel novo; no iPhone, conforme as definições do iCloud (a Apple guarda as chaves, salvo com a Proteção Avançada de Dados; uma cópia no computador sem palavra-passe fica legível nesse computador). O Trilho não tem acesso a estas cópias. Depois de apagar dados em Definições, a cópia é substituída na próxima cópia de segurança do telemóvel.
Notificação ao partilhar (iPhone). Se ativar esta opção (o iPhone só pede autorização nesse momento), quando partilhar um local com o Trilho a partir de outra aplicação o Trilho mostra uma notificação local com o nome desse local, que abre a viagem ao tocar; a notificação é criada e entregue pelo próprio telemóvel e não envia nada ao servidor do Trilho nem a outros serviços, e pode desligá-la nas Definições do Trilho ou do iPhone.
4. Estatísticas de utilização opcionais
Estado: A partilha opcional de utilização faz parte da aplicação desde a versão 1.1.0 (setembro de 2026). Os dois destinos descritos abaixo estão configurados na aplicação publicada: o coletor próprio do Trilho e o Google Analytics para Firebase. Nada é enviado para nenhum deles enquanto não ativar a partilha.
A propriedade GA4 tem conservação de eventos e utilizadores de 2 meses, sem renovação por nova atividade. Esta definição não cobre relatórios padrão agregados nem comprova eliminação física. Signals, dados fornecidos pelo utilizador, recolha granular de localização/dispositivo e personalização publicitária estão desativados.
Se ativar a partilha, o Trilho envia categorias limitadas de utilização para dois destinos. O nosso servidor recebe um identificador aleatório da instalação, um identificador estável de cada evento para evitar duplicados, datas ao nível do dia, plataforma, versão e ambiente da aplicação. O Google Analytics para Firebase recebe eventos individuais diretamente da aplicação. São registos pseudónimos, não totais anónimos. Nenhum destes fluxos inclui coordenadas GPS, moradas, texto de pesquisa, identificadores de paragens, conteúdo do cartão ou histórico de trajetos fornecidos pelo Trilho.
Entre essas categorias estão os passes que indicar nas Definições: o passe da cidade (Navegante Metropolitano, Municipal, +65, Urbano 3ª Idade ou jovem até aos 23; Cartão Porto, Andante Metropolitano ou Andante jovem; cartão bancário, sem passe ou não indicado) e se tem o Passe Ferroviário Verde da CP. As opções +65, Urbano 3ª Idade e jovem revelam uma faixa etária; Urbano 3ª Idade revela também morada fiscal em Lisboa, e Cartão Porto que vive ou estuda no Porto. O município que escolher para o passe Municipal fica apenas no telemóvel, e as pesquisas de percursos não incluem os seus passes.
Incluem também como terminou uma leitura do cartão (que tipo de cartão foi reconhecido, ou o tipo de falha), se optou por guardar o histórico de um cartão, se o ecrã do cartão foi aberto a partir do Início ou ao aproximar o cartão do telemóvel, e os passos da identificação de uma paragem desconhecida (pergunta mostrada, aberta, respondida, «Não sei», fechada ou anulada, e se a paragem foi escolhida na linha ou por pesquisa). Nunca o número, o saldo, as viagens, as linhas ou as paragens do cartão.
Quando toca em «Comprar bilhete», incluem o tipo de comboio, com quanta antecedência é a viagem, o ecrã de origem e, no ecrã dos comboios, a linha escolhida (por exemplo, Lisboa–Porto) — nunca as estações ou a data.
Incluem ainda se o Trilho pediu ao sistema a janela de avaliação da loja (e depois de que tipo de resposta: percurso, partidas, cartão ou metro) e os toques em «Avaliar o Trilho» e «Enviar comentários» nas Definições — nunca a avaliação, que só a Apple e a Google conhecem. Incluem também a abertura de «Onde carregar» (no ecrã do cartão ou a partir do aviso na Início, e qual era o aviso), o toque em «Abrir a app navegante®» e o pedido para partilhar o Trilho (a partir do aviso de carregamento ou das Definições) — nunca o número do cartão, o saldo, os passes ou a app escolhida para partilhar. E incluem a abertura de «Como pagar esta viagem» a partir de um percurso, com a resposta que mostrava (basta o cartão bancário, exceto num troço, talvez não chegue ou precisa de bilhete) — nunca o percurso, os operadores ou os locais. O Trilho não pede nem guarda dados do cartão bancário.
Desde a versão 1.5.0, incluem também como terminou a receção de um local partilhado a partir do Google Maps (percurso encontrado, escolha entre sítios, pesquisa ou falha), se foi a primeira vez, que dica a antecedeu e as dicas sobre a partilha mostradas e tocadas — nunca o endereço, o nome, as coordenadas ou a ligação partilhada, nem o texto pesquisado.
No iPhone, com a notificação ao partilhar, incluem também se a viagem foi aberta pela notificação ou abrindo o Trilho, quanto tempo passou desde a partilha (por intervalos), se a notificação foi mostrada (ou porque não) e a resposta ao pedido de autorização de notificações — nunca o local.
O SDK do Google usa o seu próprio identificador de instância da aplicação e regista horas dos eventos, sessões, eventos de ciclo de vida e dados técnicos do dispositivo e da aplicação. Pode inferir a localização aproximada a partir do endereço IP da ligação. No Analytics, desativamos identificadores publicitários, personalização de anúncios e registo de ecrãs, e não definimos um ID de utilizador. Isto não elimina o identificador próprio do SDK nem torna os eventos anónimos. Consulte a informação do Google sobre dados do SDK.
Para as métricas próprias, a aplicação guarda localmente contadores de sessões e indicadores de resultados apresentados, interações e regressos nos dias 7 e 30. A observação começa quando aceita a partilha, não na primeira instalação. Conta-se uma nova sessão após uma ausência de pelo menos 30 minutos. Os resultados desconhecidos mantêm-se desconhecidos; estas estatísticas não comprovam que tenha feito uma viagem. Os relatórios de sessões e regressos do Google têm definições diferentes.
Seja qual for a sua escolha de partilha, para decidir quando pedir uma avaliação na loja a aplicação guarda no telemóvel quantas respostas úteis viu e em que dias (últimos 30) e quando pediu (últimos 365 dias). Estes contadores nunca saem do telemóvel. A janela de avaliação e a avaliação são tratadas pela Apple ou pela Google, segundo as condições delas; o Trilho não sabe se a janela apareceu nem que nota foi dada.
O nosso servidor guarda os dados de forma persistente: registos para evitar duplicados, com impressões do identificador da instalação e do conteúdo, numa janela de 8 dias pelo dia do evento; contagens por instalação, categoria e dia numa janela de 45 dias. A impressão continua a ser pseudónima. A limpeza corre no arranque e de hora a hora, incluindo-se o dia-limite. Não é uma garantia de apagamento físico ao segundo ou durante uma paragem do servidor. Os relatórios internos suprimem grupos positivos abaixo de 25 identificadores de instalação declarados. Este limiar não se aplica aos eventos individuais enviados ao Google ou Sentry.
A fila própria tem um máximo de 2000 eventos e descarta os que têm mais de 7 dias. Há tentativas de entrega periódicas em primeiro plano, ao iniciar, ao aceitar a partilha e ao recuperar a ligação; o envio em segundo plano não é garantido. O SDK do Google gere a sua própria entrega e não usa esta fila. A conservação no Sentry e em cópias de segurança precisa de verificação separada: não prometemos que lhes seja aplicado o prazo de 45 dias da base própria.
A versão 1.1.0 pediu a toda a gente uma nova escolha antes de ser possível ativar a partilha opcional: quem tinha aceite voltou a «por decidir» e quem tinha recusado manteve a recusa. Apagámos a fila e o estado local de sessão/regresso e substituímos o identificador aleatório. Pode continuar a usar o Trilho sem aceitar ou ativar a partilha nas Definições ou na apresentação inicial. Retirar o consentimento interrompe nova recolha opcional, limpa a nossa fila e estado de observação e repõe os dados analíticos locais e o identificador de instância do Google. Não apaga automaticamente dados já recebidos pelo nosso servidor ou pelos fornecedores.
5. Diagnóstico e tradução
No Android e no iOS, quando o serviço está configurado, o mesmo consentimento ativa relatórios de falhas e erros no Sentry. Podem incluir dados do dispositivo e da aplicação, stack traces, contexto técnico e o identificador pseudónimo da instalação. Desativar a partilha fecha este serviço na mesma sessão. O mesmo consentimento controla os relatórios Sentry no iOS.
O Android usa o Google ML Kit para a tradução opcional de avisos dos operadores. O texto é traduzido no dispositivo, mas o ML Kit pode enviar ao Google identificadores de instalação, dados do dispositivo e da aplicação, métricas de desempenho e eventos da funcionalidade. Esta atividade do SDK é separada do interruptor de estatísticas opcionais do Trilho. Pode ser necessário descarregar modelos de idioma. Nas versões iOS compatíveis, a tradução usa o framework Translation da Apple, no dispositivo.
Os registos técnicos do servidor servem para diagnóstico e segurança. O registo de pedidos da aplicação guarda apenas o estado da resposta e o método, sem moradas, coordenadas, texto de pesquisa nem endereços IP; o proxy web está configurado sem registo de acessos, embora o seu registo operacional possa guardar eventos técnicos de ligação que podem incluir um endereço IP. Os registos dos contentores são substituídos por tamanho (cerca de 100 MB na aplicação) e não têm prazo fixo de eliminação. Um serviço externo de registo, se estiver configurado, segue a sua própria retenção. A avaliação de privacidade descreve a verificação ainda necessária.
6. Serviços e bases legais
Os pedidos necessários permitem prestar o serviço solicitado (artigo 6.º, n.º 1, alínea b), do RGPD); os diagnósticos operacionais e de segurança limitados protegem esse serviço (alínea f)); a análise opcional do Trilho e os relatórios Android e iOS do Sentry assentam no consentimento (alínea a)). Uma sugestão de paragem que decide enviar é tratada para executar esse pedido (alínea b)), com limites contra abuso apenas em memória ao abrigo do interesse legítimo (alínea f)); os totais guardados são anónimos.
| Serviço | Finalidade |
|---|---|
| Hetzner | Alojamento do servidor Trilho na Alemanha |
| Cloudflare | Site, DNS, encaminhamento de email e servidor de mapas do próprio Trilho |
| OpenStreetMap Foundation / Nominatim | Pesquisa de locais e geocodificação inversa |
| OpenFreeMap | Estilos, mosaicos e fontes de mapas de reserva, usados só se o servidor de mapas do Trilho falhar |
| Google ML Kit (Android) | Tradução no dispositivo, descarga de modelos e diagnóstico do SDK |
| Sentry, quando configurado | Relatórios opcionais de falhas Android e iOS e diagnóstico de erros do servidor |
| Google Analytics para Firebase | Eventos individuais de utilização e dados técnicos do SDK, opcionais no Android e iOS |
| Axiom, quando configurado | Registos técnicos do servidor |
Alguns fornecedores operam internacionalmente. Quando a Google, o Sentry ou a Cloudflare tratam dados fora do EEE, apoiam-se em garantias como o EU–US Data Privacy Framework ou as cláusulas contratuais-tipo dos respetivos termos de tratamento de dados; esses termos e as regiões configuradas determinam esse tratamento. O Trilho não vende dados individuais de trajetos ou cartões. As ligações externas para operadores, fontes e apoio abrem os respetivos serviços, que tratam a informação que lhes fornecer.
7. Escolhas e direitos
Pode recusar a localização, manter a partilha de utilização desligada, apagar dados locais ou pedir acesso, retificação, apagamento, limitação ou oposição quando aplicável. Um identificador aleatório pode ser um dado pessoal; a ausência de conta não elimina os seus direitos. Podemos precisar de informação suficiente para localizar um registo, sem lhe pedir dados pessoais desnecessários. Remover a aplicação não apaga automaticamente os registos do servidor ou de terceiros.
Os registos da estatística opcional no nosso servidor e no Google estão associados apenas a identificadores aleatórios que a aplicação não mostra, pelo que, em regra, não conseguimos saber quais lhe pertencem (artigo 11.º do RGPD). Retirar o consentimento interrompe novos registos e substitui o identificador, de modo que os registos anteriores deixam de poder ser associados ao seu telemóvel; os registos do nosso servidor expiram nos prazos da secção 4.
Escreva para [email protected]. Pode apresentar reclamação à CNPD. Tratamos os pedidos nos prazos aplicáveis do RGPD.
8. Crianças e alterações
O Trilho é um serviço geral de transportes e não se dirige a crianças. Em Portugal, a partir dos 13 anos uma criança pode dar consentimento por si própria a serviços em linha (Lei n.º 58/2019, artigo 16.º); abaixo dessa idade, a partilha opcional deve ficar desligada. As alterações no uso de dados serão refletidas aqui. Consulte a avaliação técnica de privacidade ou a política em inglês.