Privacidade e dados locais

O DevSweep analisa e calcula hashes de ficheiros localmente. Não exige conta. A aplicação não inclui publicidade, telemetria nem SDK de envio de crashes.

Ativação da licença — o que é enviado, uma vez

Esta página dizia antes que nenhum servidor de ativação era contactado. Deixou de ser verdade, e a mudança é deliberada. Uma licença cobre agora um número determinado de Macs, e não se contam lugares sem um sítio onde os contar.

Na primeira vez que ativas uma licença, o DevSweep envia três coisas para devsweep.app:

a chave de licença que recebeste por email;
um hash SHA-256 do UUID de hardware deste Mac — não o UUID em si. Não o conseguimos inverter, e não conseguiríamos identificar a tua máquina a partir dos nossos próprios registos sem já saber a resposta;
o nome deste Mac, tal como aparece nas Definições do Sistema, para conseguires distinguir as tuas máquinas quando precisares de libertar um lugar.

O que volta é a mesma licença, reassinada para incluir esse hash. Fica guardada no teu Mac e é verificada localmente a partir daí. Depois da ativação a aplicação nunca mais contacta o servidor de licenças — nem ao arrancar, nem periodicamente, nunca. O DevSweep funciona sem rede.

Libertar um lugar, nas Definições em Plano, envia a mesma chave e o mesmo hash para o lugar poder ser libertado. Mais nada é guardado: não é retido nenhum endereço IP, nenhum resultado de análise, nenhum caminho, nenhum nome de ficheiro.

Uma exceção, dita já: o DevSweep pode verificar se há atualizações dele próprio. Essa verificação está desligada até tu a ligares, e está descrita por inteiro em Comportamento de rede.

O que é guardado

Preferências, pastas de projetos configuradas, caminhos protegidos e a chave de licença opcional: UserDefaults do macOS para com.devsweep.DevSweep.
Recibos de limpeza: ~/Library/Application Support/DevSweep/history.json. Os recibos contêm caminhos, identificadores de itens, datas, classificações, ações, resultados e indicações de regeneração. Ficam lá até removeres o ficheiro de histórico. Um histórico corrompido é preservado e bloqueia novas limpezas, em vez de repor o registo em silêncio.
Tendências de armazenamento: uma amostra local de capacidade por dia, retida 90 dias. As amostras contêm datas e contagens de bytes livres/totais, não nomes de ficheiros. Usa Definições → Limpar tendência para as apagar.
Hashes de duplicados e caminhos candidatos: apenas em memória para a vista atual; não são enviados nem escritos como base de dados de análise. As remoções de duplicados aprovadas produzem recibos de limpeza normais.
Preferências de atualização: se as verificações automáticas estão ligadas, e a data da última verificação, no mesmo domínio de UserDefaults. A chave de assinatura de atualizações guardada na aplicação é apenas uma chave pública.
O macOS pode reter os seus próprios relatórios de falha locais, de acordo com a política do sistema. O DevSweep não os recolhe nem os transmite.

Comportamento de rede

O próprio DevSweep não envia resultados de análise, caminhos, hashes ou código fonte. A inspeção do Git usa referências locais e não vai buscar nem verificar o estado atual do remoto. As ferramentas instaladas invocadas pela aplicação mantêm o seu próprio comportamento. A atualização automática e a analítica do Homebrew são desligadas para os comandos do DevSweep. Algumas operações de ferramentas e a regeneração subsequente podem aceder aos seus registos; a regeneração offline não é garantida.

Verificação de atualizações — a única exceção

O DevSweep pode verificar se existe uma versão mais recente. É o único pedido que a aplicação faz, e a única parte do DevSweep que não é local.

Está desligada até tu a ligares. Definições → Atualizações. Nada é verificado antes disso.
O que é enviado: um GET HTTPS normal ao feed de versões. Não vai anexado nenhum identificador, chave de licença, resultado de análise, caminho ou perfil da máquina. A recolha de perfil do sistema está desativada no pacote. Como em qualquer pedido web, o servidor vê o teu endereço IP e a versão da aplicação no user agent.
Para onde vai: o servidor de versões indicado nas Definições, que é o mesmo de onde a aplicação foi descarregada.
O que volta: uma lista assinada de versões. Cada atualização é verificada contra a chave Ed25519 de atualizações do DevSweep antes de poder substituir a aplicação; uma atualização que falhe a verificação é descartada.
Nada se instala sozinho. O download automático e a instalação automática estão ambos desativados no pacote. Uma atualização só é aplicada quando tu escolhes aplicá-la.

Isto existe porque o DevSweep não é distribuído pela App Store. Sem um canal de atualização, um defeito de segurança numa ferramenta que apaga ficheiros não poderia ser corrigido numa máquina que já a tivesse instalada.

O envio remoto de relatórios de falha não está ativado. Qualquer funcionalidade de rede futura exige configuração explícita e uma divulgação atualizada. As notificações opcionais do macOS são notificações locais, sem servidor de push do DevSweep.

Permissões e exclusões

O Acesso Total ao Disco é opcional. Os locais ignorados e as medições incompletas são mostrados. Escolher uma pasta para deteção de duplicados autoriza apenas a inspeção local; mover cópias para o Lixo exige uma confirmação separada. Os locais pessoais protegidos e as árvores de código fonte são excluídos da limpeza de duplicados. Não partilhes recibos nem capturas de ecrã exportadas a não ser que queiras divulgar os caminhos que contêm.

Quem é responsável pelos teus dados

O responsável pelo tratamento é Marcelo Martins, em nome individual sob a designação DevSweep, em Portugal. Tudo o que está nesta página, e qualquer pedido sobre os teus dados, vai para support@devsweep.app.

As secções acima descrevem a aplicação, que é a parte que praticamente não trata de nada. As secções abaixo descrevem o site e o sistema de licenças, que é onde os teus dados estão de facto.

O que o site e o sistema de licenças tratam

Emitir e entregar a tua licença. O teu endereço de email, a data da compra e a referência da encomenda. Fundamento jurídico: execução do contrato — compraste uma licença e é assim que ela te chega. O teu nome e o país de faturação ficam com o prestador de pagamentos; não os copiamos.
Contar lugares. O teu endereço de email, a data da licença, um SHA-256 de um identificador de máquina que o teu Mac calcula localmente, e um nome de máquina que escolheste. Fundamento jurídico: execução do contrato — o limite de lugares é uma cláusula da licença. O hash não pode ser revertido num número de série, e nenhum endereço IP é guardado.
Diagnosticar falhas. Registos de servidor com datas, códigos de estado, mensagens de erro e referências de encomenda. Fundamento jurídico: interesse legítimo num serviço que funcione. Os endereços de email não são escritos nos registos; um pseudónimo não reversível substitui-os, para que duas linhas do mesmo incidente possam ser associadas sem identificar ninguém.
Contar visitas. Ver a página de cookies e armazenamento no dispositivo. Nada é guardado no teu dispositivo e nenhum endereço IP é recolhido, por isso não há aqui nada que te identifique.

Quem mais lhes toca

Ter uma loja implica usar outras empresas. Cada uma atua segundo as nossas instruções ao abrigo de um contrato de subcontratação, e nenhuma pode usar os teus dados para fins próprios.

Creem — recebe o pagamento e guarda os dados de faturação que nós nunca vemos por inteiro.
Resend — entrega o email da licença.
Neon — a base de dados com as licenças e as ativações.
Vercel — aloja o site e os endpoints de licença, e mantém os registos deles.
PostHog — analítica do site, em infraestrutura europeia em Frankfurt.

Algumas destas são empresas sediadas fora do Espaço Económico Europeu. Quando os dados lhes chegam, a transferência assenta nas cláusulas contratuais-tipo da Comissão Europeia. O nosso registo completo das atividades de tratamento, incluindo os contratos em vigor, é mantido junto do código fonte.

Durante quanto tempo é guardado

Registos de licença e ativação — enquanto a licença for válida, depois apagados a pedido.
Analítica — doze meses, e em todo o caso não atribuível a ninguém.
Registos de servidor — o período de retenção da plataforma de alojamento.
Faturas — o que a lei fiscal portuguesa exigir, tipicamente dez anos. Este prazo prevalece sobre um pedido de apagamento, e dir-to-emos se o fizeres.

Os teus direitos

Podes pedir uma cópia dos teus dados, corrigi-los, fazer com que sejam apagados, recebê-los num formato portável, ou opor-te ao tratamento que baseamos em interesse legítimo — que aqui são apenas os registos de servidor. Escreve para support@devsweep.app. Verificamos a identidade contra o endereço de email com que a compra foi feita, e respondemos no prazo de um mês.

Apagar os dados da tua licença faz com que a licença deixe de funcionar: a contagem de lugares fica sem nada contra que contar. Dizemos-to antes de o fazer, não depois.

Se achares que tratámos mal os teus dados, diz-nos primeiro, por favor — mas tens o direito de reclamar diretamente junto da autoridade de controlo do teu país. Em Portugal é a CNPD.

Decisões automatizadas

Nenhuma. Nada aqui te cria um perfil, te atribui uma pontuação, nem decide seja o que for sobre ti automaticamente.