Proteção de dados e RGPD

A decisão de desenho de que tudo decorre

As denúncias são públicas. É deliberado e é o que faz a rede funcionar: um mapa só serve se as pessoas puderem ver o que lá está, confirmar e agir.

Os dados pessoais não são públicos. Dados de conta, email, histórico de localização e o rasto de atividade de um residente não são expostos a outros utilizadores, não são vendidos, nem partilhados com terceiros para publicidade. Não existe publicidade no produto, o que elimina uma categoria inteira de questões sobre partilha de dados.

O resumo honesto é: o lixo é público, a pessoa não é. Quem estiver a avaliar deve exigir-nos exatamente essa linha e verificá-la.

O que é visível numa denúncia pública

• A localização da denúncia: necessariamente, porque é esse o objetivo
• As fotografias submetidas com ela
• Título, descrição, tipo e gravidade
• O nome de apresentação e o avatar de quem reportou, como os escolheu
• O ciclo de vida: quando foi reportada, limpa ou reaberta

O que não é

• Endereço de email e credenciais de conta
• O histórico de localização do residente: a aplicação sabe onde foi feita uma denúncia, não por onde a pessoa andou
• Identificadores de dispositivo ou publicitários para rastreio; não há ad tech no produto
• Grupos e eventos privados, visíveis apenas para os seus membros

Alojamento e localização

Os dados estão alojados na UE. Na maioria dos procedimentos municipais é esta a pergunta por trás da pergunta, pelo que o dizemos de forma direta em vez de o enterrar numa subcláusula.

Se o seu processo exigir especificidades, subcontratantes envolvidos, região exata, mecanismos de transferência, peça e entregamos por escrito. Preferimos responder na primeira semana de uma avaliação do que ao terceiro mês de uma análise jurídica.

Eliminação, e o que sobrevive a ela

Um residente pode eliminar a sua conta e os dados pessoais associados, a partir da aplicação. Isto merece precisão, porque "eliminar tudo" não é exatamente o que acontece, e quem avalia vai notar a diferença se a disfarçarmos.

O que é eliminado é a pessoa: conta, dados pessoais, e a ligação entre ela e as suas contribuições. O que permanece é o conteúdo público que criou, locais reportados, registos de limpeza, comentários e eventos, mas anonimizado, sem ficar associado ao seu nome ou perfil.

A razão é que o mapa partilhado e o histórico da comunidade são registos coletivos de que outras pessoas também dependem. Apagar uma limpeza de há três anos reescreveria o histórico de um local para todos os que contribuíram para ele. Se a vossa posição jurídica exigir comportamento diferente, é uma conversa a ter antes de um piloto, não depois.

O que o pessoal municipal vê

O acesso está limitado ao seu território. O pessoal vê denúncias dentro da vossa fronteira e nada fora dela. As denúncias de um município vizinho não são visíveis para a vossa equipa, nem as vossas para a deles.

Dentro da organização, as permissões são baseadas em capacidades e não em três cargos fixos, pelo que atribui triagem, despacho, relatórios ou definições aos perfis que realmente tem. As notas internas numa denúncia são visíveis para o vosso pessoal, não para quem reportou.

Prestadores externos podem ter acesso ao trabalho que lhes é atribuído sem que isso implique acesso a tudo o resto.

Responsável, subcontratante, e a resposta honesta

Na aplicação para cidadãos, os residentes usam um serviço público e o CleanSpot determina as finalidades do tratamento.

No painel municipal, a repartição depende do enquadramento: o que a vossa autoridade faz com as denúncias do vosso território, e com que fundamento legal, é matéria para o vosso Encarregado de Proteção de Dados e para o nosso contrato, não algo que uma página de marketing deva afirmar.

Preferimos escrever "depende, e eis quem decide" do que publicar uma resposta confiante que se revele errada para a vossa configuração concreta.

Moderação e fotografias

As fotografias são submetidas por utilizadores, o que cria um risco óbvio: alguém fotografa uma pessoa, uma matrícula ou um interior privado juntamente com os resíduos.

Existe um circuito de moderação para remoção de conteúdo, e a remoção propaga-se: uma fotografia removida deixa de ser servida e deixa de contar para os números públicos. Se a vossa autoridade precisar de um circuito definido para pedidos de remoção vindos de residentes, peça; é razoável querer isso escrito em contrato.