Política de privacidade da Wave

Data de entrada em vigor: 4 de outubro de 2025

Última atualização: 17 de março de 2026

Versão: 1.0.4

1. Introdução

A presente Política de privacidade descreve como a Wave, uma marca gerida pela Psalm46 Monney («nós», «nos», «nosso»), recolhe, utiliza e partilha as suas informações quando utiliza a nossa aplicação web acessível em https://app.wavepray.com (o «Serviço»).

Comprometemo-nos a proteger a sua privacidade e a tratar os seus dados pessoais de forma transparente, em conformidade com a Lei federal suíça sobre proteção de dados (LPD) e com o Regulamento geral sobre a proteção de dados (RGPD) para utilizadores residentes na União Europeia.

2. Informações que recolhemos

2.1 Informações que nos fornece

Quando utiliza o Serviço, fornece-nos directamente as seguintes informações:

• Dados de conta: nome, endereço de e-mail, palavra-passe (armazenada de forma encriptada)
• Dados de perfil: fotografia de perfil ou avatar (opcional, armazenado nos nossos servidores seguros)
• Conteúdos do utilizador: pedidos de oração, cartões de oração, comentários, pensamentos espirituais que publica no Serviço
• Dados de pagamento: em caso de subscrição de um plano pago, os dados do cartão de crédito são recolhidos e processados directamente pelo nosso processador de pagamentos, Stripe Inc. Nunca armazenamos os seus dados bancários nos nossos servidores
• Notificações push: token de notificação se activar as notificações push no dispositivo
• Comunicações: mensagens que nos envia através de formulários de contacto ou por e-mail

2.2 Informações que recolhemos automaticamente

Quando utiliza o Serviço, recolhemos automaticamente algumas informações:

• Dados de registo: endereço IP, tipo e versão do navegador, sistema operativo, fuso horário
• Dados de utilização: páginas visitadas, funcionalidades utilizadas, tempo passado no Serviço, percursos de navegação
• Dados sobre o dispositivo: modelo do dispositivo, identificadores únicos do dispositivo, resolução do ecrã
• Cookies e tecnologias semelhantes: ver a secção 5 para mais pormenores

2.3 Informações recolhidas de outras fontes

Autenticação Google: se optar por iniciar sessão através do Google OAuth, recebemos da Google o seu nome, o endereço de e-mail e a fotografia de perfil.

Autenticação Apple: se optar por iniciar sessão com Apple Sign In, recebemos da Apple o seu nome e o endereço de e-mail (pode optar por ocultar o seu endereço de e-mail real).

Processador de pagamentos: a Stripe fornece-nos informações sobre o estado da sua subscrição (activa, cancelada, etc.), mas nunca os seus dados bancários completos.

3. Como utilizamos as suas informações e bases jurídicas

Utilizamos as informações recolhidas para as finalidades seguintes. Em conformidade com o RGPD, cada tratamento é justificado por uma base jurídica:

3.1 Prestação e melhoria do Serviço

• Para criar e gerir a sua conta de utilizador
  (Base jurídica: execução de um contrato)
• Para lhe permitir criar, partilhar e gerir os seus movimentos de oração
  (Base jurídica: execução de um contrato)
• Para facilitar a colaboração entre membros do mesmo movimento
  (Base jurídica: execução de um contrato)
• Para personalizar a sua experiência (por ex. apresentação dos movimentos activos)
  (Base jurídica: interesse legítimo em prestar um serviço optimizado)
• Para melhorar e desenvolver novas funcionalidades
  (Base jurídica: interesse legítimo na melhoria do Serviço)
• Para analisar a utilização do Serviço com vista a optimizar o seu desempenho
  (Base jurídica: interesse legítimo em garantir a eficiência técnica do Serviço)

---

3.2 Gestão de subscrições

• Para processar os seus pagamentos e gerir a sua subscrição
  (Base jurídica: execução de um contrato)
• Para lhe enviar confirmações de pagamento, facturas e recibos
  (Base jurídica: execução de um contrato e/ou obrigação legal – contabilidade/fiscal)
• Para o informar sobre renovações, falhas de pagamento ou alterações da subscrição
  (Base jurídica: execução de um contrato)
• Para gerir períodos de teste gratuito
  (Base jurídica: execução de um contrato ou medidas pré-contratuais)

---

3.3 Comunicações

• Para lhe enviar notificações importantes relativas ao Serviço (actualizações, alterações às condições, avisos de segurança)
  (Base jurídica: interesse legítimo em garantir a segurança dos utilizadores e uma informação adequada)
• Para responder aos seus pedidos e questões através do nosso apoio ao cliente
  (Base jurídica: execução de um contrato e/ou interesse legítimo numa gestão adequada do apoio)
• Para lhe enviar convites para se juntar a movimentos de oração
  (Base jurídica: interesse legítimo ou consentimento se o convite for enviado pela Wave)
• Para o informar sobre novas actividades nos seus movimentos se activou essas notificações
  (Base jurídica: execução de um contrato e/ou consentimento para notificações push)

---

3.4 Segurança e conformidade legal

• Para detectar, prevenir e resolver problemas técnicos, fraudes e abusos
  (Base jurídica: interesse legítimo em garantir a segurança da rede e dos dados)
• Para fazer cumprir os nossos Termos de utilização
  (Base jurídica: interesse legítimo na protecção dos nossos direitos)
• Para cumprir as nossas obrigações legais e regulamentares
  (Base jurídica: obrigação legal)
• Para proteger os direitos, a propriedade e a segurança da Wave, dos nossos utilizadores e do público
  (Base jurídica: interesse legítimo)

---

3.5 Análise e marketing (apenas página de marketing)

• Na nossa página de marketing (sítio vitrine) utilizamos o Google Tag Manager e, consoante a configuração activa, ferramentas de medição de audiência (incluindo Google Analytics 4) para compreender como os visitantes interagem com o sítio
  (Base jurídica: consentimento – recolhido através do banner de cookies)
• Essas análises ajudam-nos a melhorar a nossa comunicação e a apresentação do Serviço
  (Base jurídica: interesse legítimo)

Importante: as ferramentas de medição de audiência não são carregadas dentro da própria aplicação. Aplicam-se apenas à página de marketing pública após consentimento.

4. Como partilhamos as suas informações

Nunca vendemos os seus dados pessoais. Podemos partilhar as suas informações apenas nos casos seguintes:

4.1 Com fornecedores de serviços

Colaboramos com terceiros que tratam dados por nossa conta:

• Stripe Inc. (Estados Unidos): processamento seguro de pagamentos com cartão de crédito
• Amazon Web Services (AWS) (Zurique, Suíça): armazenamento seguro de fotografias de perfil e imagens via S3, distribuídas globalmente via CloudFront
• Vercel Inc. (Estados Unidos/Europa): alojamento da interface de utilizador, com servidores principalmente na região de Paris (França)
• Infomaniak (Suíça): alojamento do nosso servidor de aplicação e da base de dados
• Resend Inc. (Estados Unidos): envio de e-mails transaccionais (confirmações, notificações)
• RevenueCat Inc. (Estados Unidos): gestão de compras in-app e subscrições nas aplicações móveis (iOS/Android)
• Google Analytics (Estados Unidos): análise apenas para a página de marketing (não para a aplicação)

Estes fornecedores acedem apenas aos dados estritamente necessários à prestação dos seus serviços e estão contratualmente obrigados a proteger os seus dados.

4.2 Dentro do seu movimento de oração

Os conteúdos que publica num movimento (pedidos de oração, cartões, comentários) são visíveis para todos os membros desse movimento.
Os administradores do movimento podem ver a lista de membros e os níveis de participação.
Os fundadores das comunidades têm acesso às estatísticas de utilização das suas comunidades.

4.3 Por motivos legais

Podemos divulgar as suas informações se a lei o exigir:

• Em resposta a uma ordem judicial, intimação ou outro processo legal
• Para fazer cumprir os nossos Termos de utilização ou outros acordos
• Para proteger os nossos direitos, a nossa propriedade ou a nossa segurança, ou os dos nossos utilizadores
• Para prevenir ou investigar actividades ilegais, fraudulentas ou perigosas

4.4 Em caso de mudança de controlo

Se a Wave estiver envolvida numa fusão, aquisição, venda de activos ou processo de insolvência, as suas informações pessoais podem ser transferidas para a entidade sucessora. Informá-lo-emos por e-mail e/ou através de um aviso no Serviço antes de qualquer transferência.

4.5 Com o seu consentimento

Podemos partilhar as suas informações para qualquer outra finalidade com o seu consentimento explícito.

4.6 Dados agregados e anonimizados

Podemos partilhar estatísticas agregadas e anonimizadas que não o identificam pessoalmente (por exemplo: «50% dos utilizadores utilizam a funcionalidade de oração diária»).

5. Cookies e tecnologias de rastreio

5.1 O que é um cookie?

Um cookie é um pequeno ficheiro de texto armazenado no seu dispositivo quando visita um sítio web. Os cookies ajudam-nos a fazer funcionar o Serviço e a melhorar a sua experiência.

5.2 Cookies que utilizamos

Na aplicação (app.wavepray.com)

Cookies estritamente necessários (não desactiváveis):

• accessToken: token de acesso para autenticação da sessão
• refreshToken: token para renovar automaticamente a sessão
• session: identificador da sessão activa
• deviceId: identificador único do dispositivo para segurança, gestão multi-sessão e detecção de actividade suspeita
• NEXT_LOCALE: a sua preferência de idioma
• theme: a sua preferência de tema (claro/escuro)
• timezone: o seu fuso horário para a correcta apresentação de datas e horas
• sidebar_state: estado de abertura/fecho da barra lateral
• onboarding_status: progresso no fluxo de integração

Estes cookies são essenciais ao funcionamento do Serviço e expiram após 30 dias de inactividade ou quando termina a sessão.

Na página de marketing

• Cookies analíticos (via Google Tag Manager, potencialmente incluindo Google Analytics 4 consoante a configuração):

Estes cookies ajudam-nos a compreender como os visitantes utilizam o nosso sítio de marketing. Recolhem informações anónimas sobre as páginas visitadas e o comportamento de navegação.

Importante: em conformidade com o RGPD, estes cookies são instalados no seu dispositivo apenas após o seu consentimento activo (opt-in) através do banner da nossa plataforma de gestão de consentimento (CMP). A recusa destes cookies não afecta a utilização do Serviço principal.

5.3 Gestão de cookies e consentimento

Banner de consentimento:

Quando visita pela primeira vez a nossa página de marketing, um banner sobre cookies permite-lhe:

• Aceitar todos os cookies.
• Recusar todos os cookies não essenciais.
• Escolher aceitar ou recusar cookies não essenciais.

Revogação do consentimento:

Pode revogar o consentimento a qualquer momento eliminando os cookies e o armazenamento local associado no navegador e, em seguida, exprimindo novamente a sua escolha na visita seguinte.

No navegador:

A maioria dos navegadores aceita automaticamente os cookies, mas pode alterar as definições para os recusar.
Note que o bloqueio de cookies essenciais impedirá o correcto funcionamento do Serviço.

Extensões do navegador:

Pode instalar extensões como uBlock Origin ou Privacy Badger para bloquear cookies de terceiros.

6. Segurança dos dados

6.1 Medidas de segurança

Levamos muito a sério a segurança dos seus dados e aplicamos medidas técnicas e organizativas adequadas:

Medidas técnicas:

• Encriptação de palavras-passe com algoritmo Argon2 (padrão de segurança moderno)
• Encriptação ao nível da aplicação de alguns conteúdos sensíveis (incluindo pedidos de oração, cartões e descrições)
• Ligações HTTPS/TLS para todas as comunicações
• «Firewall» e sistemas de detecção de intrusão
• Cópias de segurança automáticas regulares da base de dados
• Servidores alojados na Suíça com padrões de segurança rigorosos

Medidas organizativas:

• Acesso aos dados limitado às pessoas que dele necessitam estritamente
• Controlo de acessos reforçado para operações administrativas
• Monitorização contínua do sistema para detectar ameaças
• Procedimentos de resposta a incidentes de segurança

6.2 As suas responsabilidades

É responsável por:

• Manter a sua palavra-passe confidencial
• Não partilhar a sua conta com outras pessoas
• Informar-nos de imediato em caso de utilização não autorizada da sua conta

6.3 Limites da segurança

Apesar dos nossos esforços, nenhum sistema é seguro a 100%. Não podemos garantir a segurança absoluta das suas informações. Em caso de violação de dados que afecte as suas informações pessoais, informá-lo-emos em conformidade com a lei aplicável.

7. Conservação dos dados

7.1 Período de conservação

Conservamos as suas informações pessoais durante o tempo necessário a:

• Conta activa: enquanto a sua conta estiver activa e utilizar o Serviço
• Conta eliminada: os seus dados pessoais são anonimizados imediatamente após a eliminação da conta
• Obrigações legais: mais tempo se a lei o exigir (por ex. dados de facturação conservados 10 anos para conformidade fiscal suíça)
• Litígio: até à resolução de eventuais litígios ou reclamações

7.2 Após a eliminação da conta

Quando elimina a sua conta:

• Os seus dados pessoais (nome, e-mail, fotografia de perfil) são anonimizados de imediato
• Os seus conteúdos públicos partilhados nos movimentos (pedidos de oração, cartões) permanecem visíveis mas anonimizados («[Conta eliminada]»)
• Pode solicitar a eliminação completa de todos os seus conteúdos contactando-nos antes de eliminar a conta
• Os dados de facturação são conservados separadamente pelo nosso processador de pagamentos (Stripe) para conformidade legal mas desassociados do seu perfil

8. Os seus direitos em matéria de protecção de dados

Em conformidade com a LPD suíça e o RGPD, tem os seguintes direitos relativamente aos seus dados pessoais:

8.1 Direito de acesso

Tem o direito de saber que dados pessoais conservamos sobre si. Pode solicitar uma cópia desses dados a qualquer momento.

8.2 Direito de rectificação

Pode corrigir ou actualizar as suas informações pessoais directamente nas definições da conta. Para alterações que não possa fazer sozinho, pedimos que nos contacte.

8.3 Direito ao apagamento

Pode solicitar a eliminação da sua conta e dos seus dados pessoais a qualquer momento. Note que:

• Alguns dados podem ser conservados por conformidade legal
• Os conteúdos partilhados publicamente podem ser conservados de forma anonimizada
• A anonimização dos seus dados pessoais é efectiva de imediato

8.4 Direito à limitação do tratamento

Pode solicitar a limitação do tratamento dos seus dados em determinadas circunstâncias (por exemplo enquanto verificamos a precisão dos seus dados ou a legitimidade dos nossos interesses).

8.5 Direito à portabilidade dos dados

Tem o direito de receber os seus dados pessoais num formato estruturado, de uso corrente e legível por dispositivo automático. Por agora, os pedidos de portabilidade são tratados através do apoio no endereço community@wavepray.com. Uma exportação do movimento está disponível na aplicação para determinados planos, mas não constitui uma exportação completa de todos os dados da conta.

8.6 Direito de oposição

Pode opor-se em qualquer momento ao tratamento dos seus dados para fins de marketing directo. Para outros tratamentos, pode opor-se por motivos relacionados com a sua situação particular.

8.7 Direito de retirar o consentimento

Quando tratamos os seus dados com base no consentimento, pode retirá-lo a qualquer momento. Isso não prejudica a licitude do tratamento baseado no consentimento antes da retirada.

8.8 Direito de apresentar reclamação

Se considerar que não respeitamos os seus direitos em matéria de protecção de dados, pode apresentar reclamação a:

Na Suíça:
Delegado federal para a protecção de dados e a transparência (PFPDT)
Feldeggweg 1
CH-3003 Berna
Telefone: +41 (0)58 462 43 95
E-mail: confidentialite@edoeb.admin.ch
Sítio web: https://www.edoeb.admin.ch

Na União Europeia:
A autoridade de protecção de dados do seu país.

8.9 Como exercer os seus direitos

Para exercer qualquer destes direitos:

• Aceda à sua conta e às definições
• Envie-nos um e-mail para community@wavepray.com
• Responderemos ao seu pedido no prazo de 30 dias

Por motivos de segurança, poderemos pedir-lhe que prove a sua identidade antes de processar o pedido.

8.10 Decisões automatizadas e perfilagem

Por agora não utilizamos decisões inteiramente automatizadas que produzam efeitos jurídicos ou afectem significativamente as pessoas. Alguns tratamentos técnicos (por exemplo segurança ou prevenção de abusos) podem incluir regras automatizadas, com revisão humana quando necessário.

9. Privacidade de menores

9.1 Idade mínima

O nosso Serviço destina-se a pessoas com pelo menos 16 anos. Não recolhemos conscientemente informações pessoais de menores de 16 anos sem o consentimento de um progenitor ou tutor legal.

9.2 Se é progenitor

Se considerar que o seu filho menor de 16 anos nos forneceu informações pessoais sem o seu consentimento, pedimos que nos contacte de imediato em community@wavepray.com. Tomaremos medidas para eliminar essas informações o mais rapidamente possível.

10. Transferências internacionais de dados

10.1 Localização dos dados

Os seus dados são principalmente armazenados e processados na Suíça, que oferece um nível de protecção de dados equivalente ao da União Europeia.

10.2 Transferências para fora da Suíça

Alguns dos nossos fornecedores de serviços estão situados fora da Suíça:

Stripe (Estados Unidos):

• Processa pagamentos em conformidade com os padrões PCI DSS.
• As transferências de dados são reguladas pela implementação das Cláusulas contratuais-tipo (SCC) da União Europeia e, quando aplicável, pela adesão da Stripe ao Quadro de Privacidade de Dados UE-EUA (DPF).
• Mais informações: https://stripe.com/privacy

Amazon Web Services (AWS) (Zurique, Suíça):

• Armazenamento seguro de fotografias de perfil e imagens via S3, distribuídas globalmente via CloudFront.
• Nota: as transferências para fora da Suíça são reguladas pelas SCC.

Vercel (Estados Unidos/Europa):

• Alojamento da interface de utilizador, com servidores principalmente na região de Paris (França).
• Conforme ao RGPD com Cláusulas contratuais-tipo (SCC).

Resend Inc. (Estados Unidos):

• Apenas envio de e-mails transaccionais.
• Conforme ao RGPD com Cláusulas contratuais-tipo (SCC).

RevenueCat Inc. (Estados Unidos):

• Gestão de compras in-app e subscrições em iOS e Android.
• Conforme ao RGPD com Cláusulas contratuais-tipo (SCC).

Google Analytics (Estados Unidos):

• Utilizado apenas na página de marketing.
• As transferências para a Google são reguladas pelas Cláusulas contratuais-tipo (SCC).

10.3 Garantias aplicadas

Para todas as transferências de dados para fora da Suíça/EEE, aplicamos garantias adequadas:

• Cláusulas contratuais-tipo (SCC) aprovadas pela Comissão Europeia.
• Verificação de que os fornecedores oferecem um nível adequado de protecção (avaliação de risco da transferência).
• Medidas de segurança técnicas e organizativas reforçadas.
• Quando disponível, adesão do fornecedor ao Quadro de Privacidade de Dados UE-EUA (DPF), reconhecido pela Comissão Europeia como adequado para garantir um nível adequado de protecção.

11. Alterações a esta Política de privacidade

11.1 Actualizações

Podemos alterar esta Política de privacidade periodicamente para reflectir:

• Alterações às nossas práticas
• Evoluções legislativas ou regulamentares
• A adição de novas funcionalidades ao Serviço

11.2 Comunicação das alterações

Em caso de alteração significativa:

• Enviaremos um e-mail para o endereço associado à sua conta
• Apresentaremos um aviso na aplicação
• Actualizaremos a data no topo do presente documento

11.3 Aceitação das alterações

Ao continuar a utilizar o Serviço após a entrada em vigor das alterações, aceita a Política revista. Se não aceitar as alterações, deve deixar de utilizar o Serviço e eliminar a sua conta.
Recomendamos que consulte regularmente esta página para se manter informado sobre as nossas práticas em matéria de protecção de dados.

12. Contactos

12.1 Questões sobre privacidade

Para qualquer questão, dúvida ou pedido relativo a esta Política de privacidade ou ao tratamento dos seus dados pessoais, pode contactar-nos:

Por e-mail:
community@wavepray.com

Por correio:
Psalm46 Monney
Nathanaël Monney
Route de Châtel 338
1609 St-Martin
Suíça

12.2 Encarregado de protecção de dados e representante RGPD

Encarregado de protecção de dados (DPO – Suíça):
Dada a dimensão actual da nossa organização, não dispomos de um encarregado de protecção de dados (DPO) dedicado. Todos os pedidos relacionados com a protecção de dados devem ser enviados para o e-mail community@wavepray.com e serão tratados com o máximo cuidado.

Representante RGPD (para utilizadores da União Europeia):
Por agora não designámos um representante estabelecido na União Europeia nos termos do artigo 27.º do RGPD. Os utilizadores com sede na UE podem contactar-nos directamente em community@wavepray.com para qualquer questão relativa ao tratamento dos seus dados pessoais.

12.3 Prazos de resposta

Comprometemo-nos a responder aos seus pedidos no prazo de 30 dias após a recepção. Se o pedido for complexo, podemos prorrogar esse prazo por mais 60 dias, informando-o dos motivos do atraso.