Esta página é uma tradução. Em caso de divergência com a versão inglesa, prevalece a versão inglesa.

Política de Privacidade — WhereAmI

Última atualização: 3 de setembro de 2026

Aplica-se a: a aplicação Android WhereAmI (earth.whereami.app) e ao site whereami.earth

A versão curta

O WhereAmI mostra-lhe onde está. Para isso, tem de saber onde está.

As suas coordenadas vão para o nosso servidor, que pede a duas outras empresas que as transformem num endereço e numa altitude, e depois devolve-lhe a resposta. Não temos contas e não mostramos publicidade. A aplicação Android não contém qualquer software de análise ou de rastreio, de nenhum tipo.

O site conta as visualizações de página. Não usa cookies, não guarda nada no seu dispositivo e não regista nada que o identifique — e mantém-se totalmente separado das localizações que consulta. Mais abaixo está descrito na íntegra.

Guardamos quase nada. As quatro exceções estão descritas abaixo, e nenhuma delas o identifica.

Quem é responsável

Jens Rijks

prikkiecompany@gmail.com

Países Baixos

Somos o responsável pelo tratamento das operações aqui descritas. Se estiver na UE ou no Reino Unido e considerar que tratámos mal os seus dados, pode apresentar reclamação à sua autoridade de controlo nacional. Em Portugal é a Comissão Nacional de Proteção de Dados; nos Países Baixos, a Autoriteit Persoonsgegevens.

O que tratamos, e porquê

A sua localização

O quê: A latitude e a longitude enviadas pelo seu dispositivo, a margem de precisão que o seu dispositivo indica, e o código de idioma de duas letras do seu dispositivo (para podermos mostrar o endereço no seu idioma).

Porquê: É toda a função da aplicação. Sem isso não há nada para mostrar.

Fundamento jurídico: O seu consentimento, ao abrigo do artigo 6.º, n.º 1, alínea a), do RGPD. Dá-o através do pedido de permissão de localização do seu sistema operativo. Pode retirá-lo a qualquer momento nas definições do seu dispositivo, e a aplicação simplesmente deixará de mostrar um endereço.

Por quanto tempo: Não é guardada associada a si de forma alguma. As suas coordenadas são usadas para responder ao seu pedido e depois desaparecem. As exceções são a cache, as ligações de partilha e os pedidos de localização descritos abaixo.

Uma nota sobre precisão: Se no Android conceder apenas a localização «Aproximada», a aplicação mostra deliberadamente menos — o seu bairro em vez da sua rua, com o código postal parcialmente oculto. Não tenta adivinhar além do que o seu dispositivo realmente sabe.

O seu endereço IP

O nosso fornecedor de alojamento vê o seu endereço IP quando o seu dispositivo contacta o nosso servidor, como faz qualquer servidor web. Usamo-lo apenas para entregar a resposta e para impedir abusos do serviço. Não o combinamos com os seus dados de localização e não construímos perfis a partir dele.

Porque é o nosso servidor que consulta os fornecedores de endereço e de altitude em seu nome, essas empresas veem o endereço do nosso servidor — nunca o seu.

O mesmo vale para o mapa de um cartão de partilha. A imagem somos nós que a obtemos, e servimo-la a partir de whereami.earth, por isso quem abrir uma ligação que enviou também não fica exposto ao fornecedor de mapas — e essa pessoa nunca escolheu esta aplicação.

Manter o serviço utilizável

Transformar coordenadas num endereço custa-nos uma consulta paga, e o limite diário é partilhado por todas as pessoas que usam a aplicação. Criar uma ligação de partilha custa armazenamento em vez disso: cada ligação fica no nosso servidor até expirar, e o mesmo vale para cada pedido de localização. Para evitar que um único script gaste qualquer um dos dois, o nosso servidor conta quantas consultas cada requerente pediu recentemente, um total dessas consultas do dia, quantas ligações de partilha cada requerente criou recentemente, e quantos pedidos de localização.

O quê: um número, arquivado sob um código curto que representa «um requerente hoje». O seu endereço IP não é guardado. É usado para gerar esse código, e esse código é construído com um segredo novo todos os dias, pelo que a mesma ligação não pode ser reconhecida de um dia para o outro.

O que não contém: os lugares onde esteve. Os contadores registam quantas vezes algo foi pedido, nunca o que foi pedido. Nada liga um contador a um lugar, a uma coordenada, a uma ligação de partilha ou a um pedido de localização.

Porquê: sem isto, um único ciclo esgota as consultas de endereços do dia para todos os utilizadores reais da aplicação, e enche o nosso armazenamento de ligações que ninguém alguma vez abrirá.

Fundamento jurídico: o nosso interesse legítimo ao abrigo do artigo 6(1)(f) do RGPD em manter o serviço a funcionar para todos e os nossos custos previsíveis.

Por quanto tempo: até à limpeza da noite seguinte, que elimina os contadores assim que o respetivo período passa.

O que notaria: com quase toda a certeza, nada. Se ainda assim atingisse o limite de consultas — por exemplo por ter a aplicação aberta muito tempo num carro em andamento —, continua a mostrar as suas coordenadas e a sua altitude e deixa de mostrar um endereço até o contador reiniciar. O limite de partilha são dezenas de ligações em poucos minutos, muito mais do que custa enviar um lugar a alguém; acima dele não é criada nenhuma ligação nova até o contador reiniciar. Perguntar às pessoas onde estão tem o seu próprio limite, mais baixo — trinta em poucos minutos, mais do que qualquer pessoa pergunta à mão.

Visualizações de página no site

Onde se aplica: apenas ao site whereami.earth. Na aplicação Android não existe qualquer análise.

O quê: Quando abre uma página do site, contamos a visita com o Vercel Web Analytics. Cada visualização de página regista a hora, o caminho que abriu (/, /privacy e assim por diante), a página que o enviou para lá se existiu, o seu país, região e cidade, o tipo de dispositivo, e a versão do seu navegador e sistema operativo.

O que não faz: Não coloca cookies e não guarda nada no seu dispositivo. O seu endereço IP não é registado — é usado para gerar um hash que representa «um visitante», e esse hash é descartado e regenerado a cada 24 horas. Não pode ser seguido até si e não pode ser usado para o acompanhar de um dia para o outro, nem deste site para qualquer outro. Podemos ver que uma página foi aberta um certo número de vezes. Não podemos ver quem a abriu.

Não é cruzado com a sua localização. As coordenadas que consulta nunca são enviadas para a análise. São dois sistemas separados e nada os liga, e nenhum registo de visualização de página contém uma localização que tenha procurado.

Os códigos são removidos antes da contagem. Uma ligação de partilha tem o seu código no endereço, e esse código é a única coisa que a protege. Removemos o código no seu navegador, antes de a visualização ser enviada, pelo que é registada como /s/[id] e mais nada. Podemos ver que alguém abriu uma página de partilha. Não podemos ver qual, e o código nunca chega à análise do Vercel.

O mesmo é feito para os pedidos de localização, onde importa mais: a página que quem pergunta guarda tem um token no seu endereço, e esse token é a única forma de ler a resposta. Essas páginas são registadas como /r/[id] e /r/[id]/[token] — a forma, nunca o código. Pedimos também ao seu navegador para não passar nenhum dos dois endereços quando segue uma ligação que o leva para fora destas páginas.

Um botão é contado. Uma página de partilha tem um único botão, o que oferece procurar onde está. Quando é premido, registamos que houve uma pressão, e mais nada — nenhum código de partilha, nenhuma localização, nenhum registo de qual página de partilha foi. O endereço é limpo exatamente como na visualização de página acima, pelo mesmo código. Podemos ver quantas das pessoas que abriram uma ligação de partilha passaram depois a procurar onde estavam. Não podemos ver quem, nem a partir de que ligação.

Porquê: Para sabermos se alguém está a usar isto, e que páginas vale a pena manter. É esse todo o propósito.

Fundamento jurídico: O nosso interesse legítimo em compreender o uso básico do nosso próprio site, ao abrigo do artigo 6.º, n.º 1, alínea f), do RGPD. Apoiamo-nos nisto em vez de pedir consentimento porque a medição não usa cookies, não guarda nada no seu dispositivo e produz apenas contagens agregadas que não podem ser associadas a si.

Não quer ser contado? Qualquer bloqueador de conteúdos ou de scripts impede-o, e o site funciona exatamente da mesma forma sem isso.

A cache de endereços

Quando resolvemos um endereço, guardamos o resultado na nossa base de dados para não termos de perguntar novamente. A entrada é arquivada sob as coordenadas, arredondadas para um quadrado de cerca de 11 metros ou 1,1 quilómetros, conforme a precisão da medição original.

O que contém: um local e as suas coordenadas arredondadas.

O que não contém: qualquer identificador seu. Nada regista quem perguntou, nem quando, nem de onde, nem com que dispositivo. A cache não pode ser usada para determinar que uma pessoa concreta esteve em algum lugar.

Por quanto tempo: Indefinidamente. É uma tabela de referência do que existe numa localização, tal como um mapa é.

As correções que faz

Quando o endereço que mostramos está errado — o número do vizinho, ou a empresa errada num edifício com várias — pode escolher o certo numa lista curta de locais próximos. Guardamos essa escolha para não a ter de fazer duas vezes.

Onde fica: no seu dispositivo, e em mais nenhum lugar. No armazenamento local do seu navegador no site, e no armazenamento próprio da aplicação no Android. Nunca nos é enviado, por isso nunca o vemos.

O que contém: o endereço que escolheu, arquivado sob um quadrado de coordenadas arredondado a cerca de 110 metros. Nenhum identificador, e nada sobre quando escolheu.

Por quanto tempo: até o apagar. No site basta limpar os dados do site, ou o botão Limpar as correções memorizadas na página de eliminação. Na aplicação, desinstalá-la resolve.

O seu local guardado

Pode guardar a posição em que está — para estacionamento, um parque de campismo, uma tenda, o início de um trilho, qualquer sítio onde queira voltar a encontrar o caminho. Guardamo-lo até o apagar.

Onde fica: no seu dispositivo, e em mais nenhum lugar. No armazenamento local do seu navegador no site, e no armazenamento próprio da aplicação no Android. Nunca nos é enviado, por isso nunca o vemos.

O que contém: as coordenadas que guardou. Nenhum identificador, e nada sobre quando as guardou.

Há apenas um. Guardar de novo substitui-o — nada é adicionado a uma lista, e não existe nenhuma lista. Isto não é um histórico de localizações.

Por quanto tempo: até o apagar. O botão Limpar ao lado, na gaveta de definições do painel no site ou na aplicação; limpar os dados do site; desinstalar a aplicação.

O widget do ecrã principal

Se adicionar o widget, a aplicação guarda um endereço no seu dispositivo: o que o widget está a mostrar nesse momento, já escrito tal como o vê, junto com as coordenadas de onde veio, para que a aplicação possa saber se se deslocou.

Há apenas um. Um novo endereço substitui o anterior — nada é acrescentado a uma lista, e nenhuma lista existe.

Enquanto o widget estiver presente, o seu telemóvel procura um endereço em segundo plano depois de se deslocar cerca de 250 metros. É a mesma consulta que a aplicação faz quando está aberta, descrita acima, e não envia mais nada.

Remova o widget e tanto o endereço guardado como as pesquisas em segundo plano param, de imediato. Desinstalar a aplicação também os remove.

A sua escolha de aparência

O letreiro segue sozinho a definição clara ou escura do seu dispositivo. Também o pode fixar numa das duas, a partir da gaveta de definições no canto superior direito do sinal. Se o fixar, guardamos qual.

Onde fica: no seu dispositivo, e em mais nenhum lugar. No armazenamento local do seu navegador no site, e no armazenamento próprio da aplicação no Android. Nunca nos é enviado, por isso nunca o vemos.

O que contém: uma palavra — light ou dark. Mais nada, nenhum identificador, e nada sobre quando escolheu. Deixado em Automático, não guarda absolutamente nada.

Por quanto tempo: até o repor em Automático, o que o apaga. No site, limpar os dados do site também resolve. Na aplicação, desinstalá-la resolve.

Porque é que isto não é uma das exceções acima: essas são registos — sobre si, ou sobre os locais que consultou. Esta é uma preferência sobre o aspeto de um ecrã. Descrevemo-la mesmo assim, porque a aplicação a guarda no seu dispositivo e isso deve estar escrito em algum lugar.

A sua escolha de cartão de partilha

Quando envia uma ligação, a pré-visualização que aparece na conversa é um cartão que nós desenhamos. Há seis modelos e escolhe qual, na mesma gaveta de definições. Se escolher um, guardamo-lo e usamo-lo em todas as ligações que enviar depois.

Onde fica: no seu dispositivo, e em mais lado nenhum. No armazenamento local do seu navegador no site, e no armazenamento próprio da aplicação no Android. Nunca nos é enviado sozinho — apenas com uma ligação, no momento em que cria uma, para que o cartão possa ser desenhado.

O que contém: uma palavra — o nome de um modelo. Mais nada, nenhum identificador, e nada sobre quando escolheu. Deixá-lo no modelo predefinido não guarda absolutamente nada.

Durante quanto tempo: até o repor no modelo predefinido, o que o apaga. No site, limpar os dados do site também o faz. Na aplicação, desinstalá-la faz.

A sua escolha de idioma

A app está escrita em seis idiomas e escolhe um a partir do seu navegador ou do seu telefone. Pode escolher outro a partir da mesma gaveta de definições.

Onde é guardado: no seu dispositivo, e em mais lado nenhum.

No site é um cookie chamado NEXT_LOCALE. É o único cookie que este site define. Existe para que abrir o whereami.earth amanhã lhe dê o idioma que escolheu hoje em vez de recomeçar — contém duas letras, não é lido por mais ninguém além deste site, e não participa de forma alguma na contagem de visualizações descrita acima. Na app é uma única entrada no armazenamento da própria app, ao lado de uma segunda que guarda a legenda do mosaico das Definições rápidas nesse mesmo idioma. O mosaico é desenhado pelo próprio Android, por isso precisa das palavras onde as possa ler.

O que contém: um código de idioma — en, nl, lt, fr, es ou pt, e no Android a legenda do mosaico nesse idioma. Nenhum identificador, e nada sobre quando escolheu.

Durante quanto tempo: um ano no site, ou até limpar os dados do site. Na app, até desinstalar.

Porque não há aviso de cookies: um cookie que apenas guarda uma definição que o próprio escolheu está isento do requisito de consentimento — é estritamente necessário para fornecer o que pediu, e não pode ser usado para o seguir. Pedir autorização para guardar a sua própria escolha seria um aviso sobre nada.

Ligações de partilha

Se tocar em Partilhar, guardamos o local resolvido e as suas coordenadas na nossa base de dados sob um código aleatório de 10 caracteres, e damos-lhe uma ligação como whereami.earth/s/k7x2p9m4qd.

Se acrescentou um detalhe seu — «3.º andar, apartamento B» — essa linha é guardada com ele, exatamente como a escreveu. É a única coisa no registo que não fomos nós que escrevemos, e quem abrir a ligação vê-a, assinalada como palavras suas e não nossas.

Guardamos também qual dos seis modelos de cartão escolheu, para que a pré-visualização que aparece quando a ligação é colada numa conversa fique com o aspeto que quis. Cinco dos seis incluem um pequeno mapa do local. Esse mapa desenhamo-lo no nosso servidor e servimo-lo a partir de whereami.earth, por isso quem abrir a sua ligação não é encaminhado para mais ninguém para o obter.

Compreenda bem o que isto significa:

O que contém: o endereço, as coordenadas e a altitude, a sua linha de detalhe se acrescentou uma, e o nome do modelo de cartão que escolheu. Não quem a criou. Não guardamos o seu IP nem qualquer identificador de dispositivo junto dela.

Por quanto tempo: 30 dias, após os quais a ligação deixa de funcionar e o registo é eliminado.

Fundamento jurídico: O seu consentimento, dado ao escolher criar a ligação.

Mudou de ideias? Escreva-nos para prikkiecompany@gmail.com com a ligação e eliminamo-la de imediato.

Pedidos de localização

Também pode perguntar a outra pessoa onde está. Cria uma ligação, envia-lha, ela abre-a num navegador — sem aplicação, sem conta, sem nada para registar — e toca uma vez. A localização dela volta para si.

Este é o único ponto em que uma localização que temos não foi colocada ali pela pessoa que descreve, por isso vale a pena ser exato.

O que contém: a linha que escreveu para ela ler, se escreveu uma; e, uma vez respondido, o local que o toque produziu — o mesmo endereço, as mesmas coordenadas e a mesma altitude que qualquer consulta dá. Não quem perguntou, não quem respondeu. Nenhum endereço IP e nenhum identificador de dispositivo é guardado junto de qualquer das duas metades.

Duas ligações, e não são a mesma. A que envia tem um código aleatório curto. A que guarda tem esse código e um segundo segredo, muito mais longo. A ligação que envia serve para responder, e não serve para ler uma resposta. Só a ligação que guarda pode ler uma, e desse segundo segredo guardamos apenas uma impressão digital — por isso se perder a página, não a podemos recuperar por si, e também não o pode quem leia a nossa base de dados.

Compreenda bem o que isto significa:

A lista está no seu dispositivo, porque não pode estar no nosso. Guardamos apenas uma impressão digital do segundo segredo, por isso se fechar a página que guardou não há qualquer caminho de volta à resposta — nem para si, nem para nós. Por isso o seu navegador anota os pedidos que fez e mostra-os na página de pedidos; a aplicação faz o mesmo no seu próprio armazenamento.

O que contém: de cada pedido, o seu código, o segredo que o lê, quando expira, e a linha que escreveu. O que não contém: qualquer resposta. O sítio que alguém lhe enviou nunca é escrito no seu dispositivo, e uma entrada desaparece da lista assim que expira.

Nunca nos é enviada — não a podemos ler, e não é um registo que tenhamos. No site, limpar os dados do site remove-a. Na aplicação, desinstalá-la resolve.

Avisá-lo de que chegou uma resposta é também o seu próprio dispositivo que o faz. Se o pedir, o site mostra uma notificação do navegador e a aplicação Android um aviso — mas apenas enquanto essa página ou essa aplicação ainda estiverem a correr, porque é a verificação dela que vê a resposta e a notificação dela que o diz.

Não há push. Não usamos Firebase nem qualquer outro serviço de notificações push, não guardamos qualquer token de dispositivo, e nada no nosso servidor envia alguma vez o que quer que seja para o seu telemóvel sem ser pedido. É por isso que a aplicação pode pedir a permissão de notificações sem que esta política mude: essa permissão deixa o seu dispositivo falar consigo, não connosco.

O que isso custa, dito com clareza: se o Android fechou a aplicação, ou o senhor fechou o separador, nada o avisará. A resposta espera na página, e a lista da página de pedidos é como a encontra.

Por quanto tempo: 24 horas. Não trinta dias — um pedido é uma coisa do próprio dia, e essa vida mais curta é o ponto. Depois disso deixa de funcionar e o registo é eliminado.

Fundamento jurídico: O seu consentimento para fazer o pedido, dado ao criar a ligação; e o consentimento da própria pessoa que responde, dado através do pedido de localização do sistema operativo dela e ao premir o botão.

Mudou de ideias? Cancele-o na página que guardou. Isso elimina o registo de imediato, resposta incluída. Se já não tem essa página, as 24 horas resolvem.

Quem mais toca nos seus dados

QuemO que recebemOndePorquê
Geoapify GmbH (Alemanha)Coordenadas e um código de idioma, do nosso servidorCentros de dados da UETransformar coordenadas num endereço, e desenhar o mapa de um cartão de partilha
Open-MeteoCoordenadas, do nosso servidorUEAltitude do terreno
VercelO seu endereço IP, como nosso fornecedor de alojamento; contagens anónimas de visualizações do siteFrankfurt, AlemanhaManter o site e a API a funcionar, e contar visualizações
SupabaseOs registos de cache, de partilha, os pedidos de localização e os contadores antiabusoLondres, Reino UnidoA nossa base de dados

Todo o tratamento ocorre dentro do Espaço Económico Europeu, com uma exceção: a nossa base de dados está alojada no Reino Unido. O Reino Unido dispõe de uma decisão de adequação da Comissão Europeia, renovada em dezembro de 2025 e válida até dezembro de 2031, o que significa que dados pessoais podem circular para lá a partir do EEE tão livremente como circulam dentro dele. Não são necessárias garantias de transferência adicionais.

A nenhuma destas empresas é entregue algo que o identifique, e a nenhuma é permitido usar o que recebe para os seus próprios fins.

Não vendemos os seus dados. Não os partilhamos com anunciantes. Não há anunciantes.

O que não fazemos

Os seus direitos

Ao abrigo do RGPD pode pedir-nos para lhe mostrarmos o que temos sobre si, corrigi-lo, eliminá-lo, limitar a forma como o usamos, ou entregá-lo num formato portátil. Pode retirar o seu consentimento quando quiser.

Na prática, para a maioria das pessoas, a resposta honesta é que não temos nada sobre si — não há conta para consultar e nenhum registo a ligar uma localização a uma pessoa. Aquilo sobre o qual podemos agir é o que tem um código nas suas mãos: uma ligação de partilha e um pedido de localização. Envie-nos qualquer das duas ligações e eliminamos o registo; um pedido cuja página ainda tenha, pode cancelá-lo você mesmo.

Um ponto incómodo, dito com clareza em vez de deixado para ser descoberto. Se respondeu ao pedido de alguém, não nos pode pedir para eliminarmos essa resposta, porque não tem nada que a identifique — nem conta, nem código, nada com que pudéssemos ligá-lo a um registo. A pessoa que perguntou pode eliminá-la, e elimina-se sozinha em 24 horas de qualquer modo. Essa vida curta existe precisamente porque a pessoa com menos poder sobre o registo é aquela que ele descreve.

Escreva para prikkiecompany@gmail.com. Responderemos no prazo de 30 dias.

Crianças

O WhereAmI não se destina a crianças e não tratamos conscientemente dados de pessoas com menos de 16 anos. Não existem contas, pelo que não temos forma de verificar a idade. Se acredita que uma criança partilhou uma localização através da aplicação, ou respondeu a um pedido através dela, escreva-nos e removê-la-emos.

Segurança

Tudo circula em HTTPS. O acesso à base de dados é controlado, e as tabelas que guardam os endereços em cache e os contadores antiabuso não são legíveis pelo público de forma alguma, e nem a que guarda os pedidos de localização — cada leitura dessa tabela passa por uma verificação do código ou do token que está no endereço. Os registos de partilha só são legíveis por alguém que já tenha a ligação exata.

Nenhum sistema é perfeitamente seguro, e não vamos fingir o contrário.

Atribuição

Os dados de endereços vêm do Geoapify e dos colaboradores do OpenStreetMap. Os dados de altitude vêm do Open-Meteo, licenciados sob CC BY 4.0.

Alterações

Se mudarmos a forma como algo disto funciona, atualizaremos esta página e a data no topo. Se a alteração for significativa, dizê-lo-emos na aplicação.

Contacto

prikkiecompany@gmail.com

Onde estou?

Eliminar uma localização partilhada
Porque o seu telemóvel mente sobre onde está