Política de Privacidade

1. A versão curta

2. Quem gere este site e como falar comigo

Estes sites são geridos por Vika Taylor, a título individual, a partir de Kyiv (Ucrânia). Nos termos do RGPD e de leis equivalentes, essa pessoa é a responsável pelo tratamento de quaisquer dados pessoais aqui descritos.

Contacto: vika.taylor.one@gmail.com. É o único canal de contacto que existe. Não há número de telefone, não há serviço de apoio e não há formulário que envie o que quer que seja para um servidor: o único formulário de contacto da rede, na demonstração KUROGANE, limita-se a preparar um e-mail no seu próprio programa de e-mail (secção 4.5). Não é publicada nenhuma morada postal. Todos os pedidos descritos nesta página vão para esse endereço.

Dito com todas as letras, para que nada fique subentendido sem ser verdade:

• Não existe empresa. Não há pessoa coletiva registada, não há número de matrícula, não há número de IVA.
• Não existe encarregado da proteção de dados. Não foi designado nenhum e nenhum é exigido: a designação só é obrigatória para autoridades públicas, para o controlo regular e sistemático de pessoas em larga escala, ou para o tratamento em larga escala de categorias especiais de dados. Nada disso acontece aqui.
• Não existe representante designado ao abrigo do artigo 27.º do RGPD nem do RGPD britânico, nem em qualquer outra jurisdição referida mais abaixo nesta página.

A razão é sempre a mesma: trata-se de uma pessoa a publicar um portefólio e exemplos gratuitos. O tratamento descrito abaixo é de pequena escala, não envolve categorias especiais de dados e, além da entrega das páginas, só acontece com o seu consentimento; por isso, a responsável considera que não é provável que represente um risco para os seus direitos e que nenhuma destas designações é exigida. Essa avaliação é dela. Se acha que, no seu caso, é exigido um representante, escreva para o endereço acima e diga-o.

3. Que sites esta política abrange

Treze sites, uma política. Partilham o mesmo código, a mesma barreira de consentimento e a mesma pessoa a geri-los. Os treze são exemplos gratuitos e não comerciais do que se pode construir com ferramentas de IA, feitos para o canal de YouTube @VikaTaylor. Nada é vendido em nenhum deles: quando um site de demonstração mostra uma loja, um menu, um processo de encomenda ou uma secção de preços, mostra como funciona uma página assim, sem preços e sem forma de comprar.

• vikataylor.com — o hub e o portefólio. É onde vive este hub jurídico.
• steamquest.vikataylor.com — uma montra de design para um jogo fictício.
• claude-design-vs-lovable-vs-v0.vikataylor.com — um conjunto de prompts que compara três construtores. Tem um seletor de tema claro e escuro.
• mood-palette-generator.vikataylor.com — Moodpalette, uma ferramenta de cor baseada em regras que corre inteiramente no seu navegador.
• moodpalette-prompts.vikataylor.com — os prompts de construção do Lovable, companheiros de um vídeo.
• fable-vs-opus.vikataylor.com — um conjunto de prompts que compara dois modelos.
• 3d-scroll-prompts.vikataylor.com — um conjunto de prompts: quatro prompts na íntegra mais um vídeo incorporado.
• opal.vikataylor.com — uma demonstração de design guiada pelo scroll para um estúdio de unhas fictício.
• kurogane.vikataylor.com — uma demonstração de página de produto guiada pelo scroll para uma marca fictícia de woks. O seu processo de encomenda de exemplo não mostra nenhum preço, não cobra nada e não faz nenhuma encomenda, e o seu formulário de contacto apenas abre o seu próprio programa de e-mail.
• prompt-kurogane.vikataylor.com — um conjunto de prompts: os dois prompts por trás da demonstração do Kurogane.
• globe.vikataylor.com — Terra Vitrea, um globo de cristal ótico interativo.
• fatcat.vikataylor.com — uma demonstração de landing page para uma casa de dumplings fictícia.
• skystreets.vikataylor.com — uma demonstração de design guiada pelo scroll para um conceito fictício de cidade vertical.

4. O que é tratado

Há cinco coisas a descrever. Duas acontecem em cada visita, porque é assim que uma página lhe chega: o alojamento e os tipos de letra. As outras três só acontecem se o utilizador as escolher: a análise de tráfego depois de carregar em «Accept», o vídeo depois de carregar em «play» e o e-mail quando me escreve.

4.1 Alojamento e registos de pedidos

O quê. Cada um dos treze sites é servido a partir dos ativos estáticos do Cloudflare Workers. Quando o seu navegador pede uma página, a Cloudflare recebe o seu endereço IP e os metadados que acompanham um pedido HTTP: que página pediu, a que horas, a cadeia user-agent do seu navegador e cabeçalhos semelhantes. Guarda isto em registos de pedidos.

Quem os recebe. A Cloudflare, Inc. Atua como subcontratante, ou seja, trata estes dados para prestar o serviço e não para fins próprios. A sua política: cloudflare.com/privacypolicy.

Quando. Em cada pedido, sem exceção, antes do consentimento e independentemente dele. Isto não pode ser desligado, porque a entrada no registo é criada pelo próprio ato de entregar a página. Não existe versão do site que possa ser servida sem isso.

Fundamento jurídico, onde o RGPD se aplica. Interesse legítimo, artigo 6.º, n.º 1, alínea f): explorar o site e mantê-lo seguro. Sem isto o site não pode sequer ser entregue.

Durante quanto tempo. A Cloudflare não publica qualquer prazo fixo de conservação para estes dados. A sua política de privacidade diz apenas que guarda informação pessoal «for a period of time that is consistent with the business purposes set forth in Section 3 of this policy or as long as needed to fulfill and comply with legal obligations», e enumera os critérios que pondera em vez de um número (Cloudflare Privacy Policy, secção 11 Data Retention, consultada a 3 de setembro de 2026). Não há, portanto, prazo a indicar, e nenhum é inventado aqui. O prazo é definido e aplicado pela Cloudflare, não por mim, e um pedido sobre isso dirige-se à Cloudflare. Estava aqui antes um marcador que prometia um número lido na conta; nomear a ausência é mais útil do que esperar por um número que não é publicado.

4.2 Análise de tráfego, e só depois de dizer que sim

O quê. Google Analytics 4, ID de medição G-VFPV5MZNL2, que estes sites fazem funcionar através do Cloudflare Zaraz, um serviço da Cloudflare que corre ferramentas deste tipo nos servidores da Cloudflare em vez de no seu navegador. Depois de arrancar, regista que páginas vê, o site ou a pesquisa que o trouxe até aqui, os eventos do próprio site (por exemplo, que vídeo foi reproduzido ou que ligação externa foi seguida), quanto tempo uma página esteve visível, uma localização aproximada e o tipo de dispositivo e navegador. Reconhece um navegador que regressa através de um identificador aleatório guardado num cookie (secção 5).

Quem os recebe. A Cloudflare, Inc., que opera o Zaraz como subcontratante, no mesmo papel que tem no alojamento (cloudflare.com/privacypolicy), e a Google, que recebe as medições a partir dos servidores da Cloudflare (policies.google.com/privacy).

Como funciona. Quando carrega em «Accept», o script do próprio site, /consent.js, arranca o Zaraz, que é servido a partir do endereço do próprio site, em /cdn-cgi/zaraz/. O Zaraz comunica então à Cloudflare o endereço e o título da página, a página de onde veio, o tamanho do ecrã e da janela, a profundidade de cor, o conjunto de caracteres e a diferença horária, bem como os cookies que os scripts da própria página conseguem ler (estes sites não instalam nenhum) e a entrada que o Zaraz guarda no seu navegador (secção 5). Os servidores da Cloudflare passam à Google a visualização da página, os eventos do site, o agente de utilizador do seu navegador, o seu endereço IP e o identificador aleatório. A Google usa o endereço IP para estimar a localização aproximada e afirma que o Google Analytics 4 não regista nem guarda endereços IP (Ajuda do Google Analytics). O seu navegador não faz qualquer pedido à Google para nada disto. Depois de aceitar, o site indica ainda à Google, através do Zaraz, que a análise está autorizada e a publicidade não.

Quando. Só depois de carregar em «Accept» no banner de consentimento, e só no site onde carregou. Antes disso, e a partir do momento em que carrega em «Decline» (recusar), a página não envia nada ao Zaraz, pelo que nada chega à Google e nenhum cookie de análise é instalado. Isto foi verificado num navegador, não presumido.

Fundamento jurídico, onde o RGPD se aplica. Consentimento, artigo 6.º, n.º 1, alínea a), recolhido antes de se medir seja o que for. Pode retirá-lo a qualquer momento no controlo «Cookie settings» no rodapé de todas as páginas, e retirá-lo é exatamente tão fácil como tê-lo dado. A secção 7 diz o que a retirada faz.

Durante quanto tempo. A propriedade do Google Analytics conserva os dados ao nível do utilizador e os dados de eventos durante 14 meses, o mais longo dos dois prazos que a Google oferece para uma propriedade normal. É essa a definição na própria propriedade, escolhida pela responsável e confirmada a 17 de setembro de 2026. No fim desse prazo, a Google apaga os dados automaticamente. Segundo a ajuda do Google Analytics, esta definição não afeta os relatórios agregados padrão da Google.

4.3 Tipos de letra, servidos por este site

O quê. Todo o tipo de letra usado na rede é servido a partir da origem que o usa, incluindo a página que está a ler agora. Este parágrafo enumerava antes quatro famílias; a enumeração foi retirada, porque os sites não partilham um único sistema tipográfico e a lista ficava desatualizada assim que um site era acrescentado. O que importa aqui não é quais são, mas que nenhum deles é carregado a partir de um terceiro.

Quem os recebe. Ninguém de novo. Nenhum pedido chega a fonts.googleapis.com nem a fonts.gstatic.com, pelo que nenhum endereço IP seu vai parar à Google só porque uma página usa um tipo de letra. Os ficheiros de tipo de letra viajam na mesma ligação que a página, o que está coberto pela secção 4.1 e por mais nada.

Isto importa sobretudo na Alemanha: um tribunal de Munique decidiu que incorporar Google Fonts a partir dos servidores da Google, o que transmite o endereço IP do visitante à Google sem consentimento, viola os direitos do visitante (LG München I, 20 de janeiro de 2022, processo 3 O 17493/20). Alojar os ficheiros no próprio site é a forma de o evitar, e não apenas de o declarar.

4.4 O vídeo incorporado, em onze dos treze sites

Onze sites incorporam um vídeo: claude-design-vs-lovable-vs-v0, fable-vs-opus, 3d-scroll-prompts, prompt-kurogane, opal, steamquest, mood-palette-generator, moodpalette-prompts, kurogane, fatcat e skystreets. Os outros dois, o próprio vikataylor.com e globe, não têm nenhum.

O quê. O que vê antes de carregar em «play» não é um leitor. É uma imagem fixa guardada no próprio site. Só quando carrega em «play» é que um script cria um <iframe> apontado a www.youtube-nocookie.com.

Quem os recebe, e quando. Até esse clique, absolutamente nada é pedido a nenhum servidor do YouTube ou da Google. A partir do momento em que a reprodução começa, o YouTube recebe o seu endereço IP e pode guardar dados no seu dispositivo ao abrigo das suas próprias condições. Junto de cada vídeo há também uma ligação simples para o youtube.com, que pode usar em alternativa: leva-o ao YouTube deliberadamente, com o mesmo efeito e sem nenhuma ambiguidade.

Fundamento jurídico, onde o RGPD se aplica. Consentimento, artigo 6.º, n.º 1, alínea a), dado pelo ato deliberado de carregar em «play» depois de a página lhe dizer o que carregar em «play» faz.

4.5 Os e-mails que me envia

O quê. Se escrever para vika.taylor.one@gmail.com, seja através de uma ligação mailto:, do formulário de contacto da demonstração KUROGANE ou do seu próprio programa de e-mail, recebo o seu endereço de e-mail, o seu nome, se o indicar, e o que escrever. O formulário de contacto da demonstração KUROGANE não envia nada por si: abre o seu próprio programa de e-mail com a mensagem preparada e o nome do site no assunto, e nada sai do seu dispositivo até carregar em Enviar.

Quem os recebe. A Google, que gere a caixa de correio Gmail, enquanto meu fornecedor de e-mail. A sua política: policies.google.com/privacy.

Fundamento jurídico, onde o RGPD se aplica. O seu pedido de resposta, artigo 6.º, n.º 1, alínea b), ou o meu interesse legítimo em responder às mensagens que me enviam, artigo 6.º, n.º 1, alínea f).

Durante quanto tempo. Apenas o necessário para lhe responder e acompanhar a conversa. Um e-mail é apagado se o pedir. Nunca é acrescentado a uma lista de distribuição, nunca é usado para publicidade e nunca é partilhado.

5. O que fica guardado no seu dispositivo

Duas coisas. Antes de carregar em «Accept», e se recusar, só existe a primeira.

A sua escolha, site a site. Cada site guarda a sua escolha no banner no localStorage, que pertence a uma só origem: um valor escrito por um destes sites não pode ser lido por outro. Nenhum dos treze sites define para isso um cookie próprio.

Nada disto são dados pessoais. Um registo de consentimento é uma palavra, uma data e hora e uma data de versão: diz que alguém a usar este navegador carregou em «Accept» ou em «Decline», e quando. Não contém nenhum identificador, nada de aleatório e nada que o possa individualizar. A chave do tema é uma preferência de apresentação, claro ou escuro.

Só depois de «Accept»: o que o Zaraz guarda. Quando aceita, o Cloudflare Zaraz instala os três cookies abaixo para vikataylor.com. Como pertencem a esse domínio principal, os treze sites partilham-nos: o seu navegador envia-os com os pedidos a cada um desses sites, como faz com qualquer cookie, e o Google Analytics reconhece o mesmo navegador em cada site onde carregou em «Accept». Estão marcados como HttpOnly, pelo que nenhum script numa página os pode ler ou apagar. O Zaraz escreve ainda uma entrada no localStorage do site onde aceitou: _zaraz_google_consent_update, com o estado do consentimento da secção 4.2 (análise autorizada, publicidade não) e sem qualquer identificador.

Estes cookies contêm, esses sim, um identificador, e é por isso que só aparecem depois de carregar em «Accept», nunca antes. Os nomes e as durações foram lidos num navegador a 17 de setembro de 2026; a Cloudflare pode alterá-los, e esta tabela acompanhará. Onde a sua escolha for «Decline», o script do site apaga a entrada _zaraz_, e esse site não corre o Zaraz, pelo que lá nada lê os cookies; ficam no seu navegador até expirarem ou até os apagar. O script apaga também o que a configuração anterior destes sites pode ter deixado até setembro de 2026: os cookies _ga, _ga_*, _gid e _gat* e a entrada de armazenamento _gcl_ls. Pode remover tudo a qualquer momento apagando os cookies e os dados do site de vikataylor.com no seu navegador.

6. O que não acontece

São ausências, não intenções, e estão escritas como ausências de propósito. São a coisa mais forte que este documento consegue dizer.

• Não há contas, não há início de sessão, não há perfis e não há conteúdos criados por quem visita.
• Não há pagamentos, não há encomendas, não há envios e não há dados de faturação, e nada é vendido em nenhum dos treze sites. O processo de encomenda de exemplo da demonstração KUROGANE não mostra nenhum preço, não pede dados, não cobra nada e não faz nenhuma encomenda.
• Não há newsletter nem lista de distribuição. O campo de e-mail no hub abre o seu próprio cliente de correio através de uma ligação mailto:. Nada é transmitido a nenhum servidor gerido por mim, e não existe lista onde um endereço possa aterrar.
• Não há nenhum formulário que envie o que quer que seja para um servidor. O contacto é uma ligação mailto:, e o único formulário de contacto da rede, na demonstração KUROGANE, funciona da mesma maneira: abre o seu próprio programa de e-mail, e nada sai do seu dispositivo até carregar em Enviar. A sua mensagem viaja depois pelo seu próprio fornecedor de e-mail até uma caixa de correio comum; a secção 4.5 diz o que lhe acontece.
• Não há publicidade, nem rede publicitária, nem pixel de retargeting, nem rastreio de afiliação, nem testes A/B, nem gravação de sessões, nem mapas de calor, nem widget de chat, nem CAPTCHA, nem CDN de terceiros para bibliotecas.
• Não há definição de perfis nem decisões automatizadas que produzam efeitos jurídicos ou efeitos similarmente significativos.
• Nada é vendido, e nada é partilhado para publicidade comportamental entre contextos, no sentido exato em que a CCPA e a CPRA definem essas duas palavras. Ver a secção 9.4.
• Não são conscientemente recolhidos dados pessoais de crianças. Ver a secção 10.
• Moodpalette em concreto: o motor de cor é baseado em regras e corre inteiramente no seu navegador. Não há modelo de IA, não há conta, e nenhuma paleta nem nenhum dado introduzido é alguma vez transmitido para lado nenhum. O único formulário desse site é tratado dentro da própria página: não tem atributo action e não há servidor nenhum por trás dele.

7. Os seus direitos e como usá-los

Todos os regimes referidos neste documento concedem alguma versão dos direitos de acesso, retificação, apagamento, oposição e portabilidade. Há um único canal para todos eles, em todas as jurisdições: vika.taylor.one@gmail.com. Não há portal, não há formulário e não há número de processo.

O que esse canal consegue mesmo fazer, e onde não consegue:

• Retirar o consentimento. Este é imediato e não precisa de e-mail: carregue em «Cookie settings» no rodapé de qualquer página e escolha «Decline». A partir desse momento a página não envia mais nada ao Zaraz, e na sua página seguinte desse site o Zaraz nem sequer arranca.
• Acesso. A lista completa do que é recolhido é a secção 4 desta página, e é a mesma para todos os visitantes. Para além disso há um limite real: nada aqui está ligado a um nome, a uma conta ou a um endereço de e-mail, pelo que normalmente não há maneira de encontrar os registos que lhe pertencem a si em vez de a outra pessoa.
• Retificação. Não há perfil nem registo guardado sobre si que possa ser corrigido. Se me escreveu por e-mail, essa mensagem pode ser corrigida ou apagada a pedido, porque é a única coisa que de facto fica numa caixa de correio.
• Apagamento. Os cookies e os dados guardados pela análise de tráfego no seu dispositivo podem ser removidos por si, de imediato, apagando os cookies e os dados do site de vikataylor.com. As medições já enviadas ao Google Analytics são guardadas durante o prazo indicado na secção 4.2 e estão ligadas apenas ao identificador aleatório. Os registos de pedidos da Cloudflare não podem ser apagados a pedido: estão na posse da Cloudflare ao abrigo das suas próprias regras de conservação e expiram lá. Um e-mail que me tenha enviado pode ser apagado da caixa de correio, e será, se o pedir.
• Oposição. Pode opor-se ao tratamento baseado no interesse legítimo descrito na secção 4.1. Vale a pena saber a consequência honesta disto: a entrada no registo é criada pelo próprio pedido, pelo que a única coisa que a impede é não abrir a página.
• Portabilidade. Este é praticamente vazio de sentido aqui, e dizer o contrário seria encher espaço. O único registo assente em consentimento que poderia ser portátil é o indicador de consentimento, e esse já está no seu próprio dispositivo, no localStorage, onde o pode ler sozinho.
• Reclamação. Pode dirigir-se à sua autoridade de controlo em vez de me escrever, ou além disso. A autoridade relevante para cada regime está indicada na secção 9.

Quanto tempo demora a resposta. Dentro do prazo fixado pela lei que se lhe aplica, e aqui não é prometido nada para além disso. Ao abrigo do RGPD e do RGPD britânico, esse prazo é de um mês, prorrogável nos termos em que essas leis o permitem.

Verificação de identidade. Não existe processo de verificação, porque não existe conta contra a qual o verificar. Se um pedido implicar expor dados de outra pessoa, será recusado com uma explicação, em vez de respondido por adivinhação.

Custo. Nenhum. Sem taxas, e sem qualquer diferença na forma como os sites passam a funcionar para si.

8. Transferências internacionais

A Cloudflare e a Google têm ambas sede nos Estados Unidos e tratam dados fora do EEE e do Reino Unido. Isso é inevitável se os sites tiverem de ser alojados e, quando o permite, medidos.

Ambos os fornecedores declaram que recorrem ao Quadro de Privacidade de Dados UE-EUA e à sua extensão para o Reino Unido, e ambos oferecem Cláusulas Contratuais-Tipo como mecanismo de transferência. São esses os mecanismos. O estado atual da sua certificação não é aqui afirmado como facto, deliberadamente, porque pode mudar e não é algo que eu possa verificar de forma contínua. Confirme-o na fonte:

• Cloudflare: cloudflare.com/privacypolicy
• Google: policies.google.com/privacy
• O registo oficial do Data Privacy Framework, onde a participação pode ser consultada diretamente: dataprivacyframework.gov

Se carregar em «play» num vídeo, o YouTube recebe o seu endereço IP, e a ele aplica-se o mesmo. Se me escrever, o seu e-mail chega a uma caixa de correio Gmail, e à Google nesse papel aplica-se o mesmo.

A responsável está na Ucrânia. Vika Taylor vive e trabalha em Kyiv, fora do EEE e do Reino Unido. A Comissão Europeia não adotou nenhuma decisão de adequação para a Ucrânia: a sua lista, consultada a 17 de setembro de 2026, tem dezassete entradas e a Ucrânia não está entre elas. Os dados pessoais só chegam à responsável na Ucrânia de duas formas: como os relatórios da conta do Google Analytics, depois de carregar em «Accept», e como os e-mails que decida enviar, que chegam à caixa de correio Gmail gerida pela Google. Ambos são consultados através dos serviços da Google; nada é copiado para um servidor meu.

9. Regras que podem aplicar-se onde vive

Os factos não mudam de país para país: a secção 4 é tudo o que há. O que muda é o nome do direito, o nome do regulador e, por vezes, se uma regra chega sequer a aplicar-se a um site como este. Onde genuinamente não se aplica, é isso que fica dito, em vez de disfarçado.

9.1 União Europeia: RGPD

A responsável pelo tratamento é Vika Taylor, contactável em vika.taylor.one@gmail.com. Os fundamentos jurídicos estão indicados junto de cada atividade na secção 4: artigo 6.º, n.º 1, alínea f), para servir e proteger as páginas; artigo 6.º, n.º 1, alínea a), para a análise de tráfego e para o leitor de vídeo; e artigo 6.º, n.º 1, alínea b) ou f), para os e-mails que enviar. As transferências para fora do EEE estão tratadas na secção 8.

Tem os direitos previstos nos artigos 15.º a 21.º: acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição, mais o direito, previsto no artigo 7.º, n.º 3, de retirar o consentimento a qualquer momento sem que isso seja mais difícil do que tê-lo dado. Leia a secção 7 antes de escrever, porque é lá que se diz quais destes direitos podem aqui ser efetivamente exercidos e quais não podem.

Pode apresentar reclamação junto da autoridade de controlo do seu país de residência, do seu local de trabalho ou do local da alegada infração. A lista está em edpb.europa.eu.

Não foi designado encarregado da proteção de dados nem representante ao abrigo do artigo 27.º; a secção 2 explica porquê. Não foi realizada avaliação de impacto sobre a proteção de dados, porque o artigo 35.º não a exige para um tratamento deste tipo: não há controlo sistemático em larga escala, não há dados de categorias especiais e não há decisões automatizadas.

9.2 Reino Unido: RGPD britânico e PECR

O RGPD britânico dá-lhe o mesmo conjunto de direitos da secção 9.1, com os mesmos fundamentos jurídicos, através do mesmo endereço de e-mail.

Guardar seja o que for no seu dispositivo, no Reino Unido, é regulado pelas Privacy and Electronic Communications Regulations, que exigem consentimento para tudo o que não seja estritamente necessário. O banner de consentimento é esse consentimento, e os dados de análise de tráfego descritos na secção 5 são a única coisa que ele abrange.

As reclamações vão para o Information Commissioner's Office: ico.org.uk. Não foi designado representante britânico ao abrigo do artigo 27.º.

9.3 Alemanha: TDDDG e o Impressum

Na Alemanha, guardar informação no seu dispositivo ou ler informação a partir dele é regulado pelo § 25 da TDDDG, anteriormente TTDSG. É exigido consentimento, salvo se o armazenamento for estritamente necessário para prestar um serviço que tenha pedido expressamente.

Como isso se traduz na secção 5:

• Dados guardados pela análise de tráfego: consentimento. O banner é o consentimento, e é pedido antes de ser guardado o que quer que seja.
• O próprio registo do consentimento (vt_consent, mp_consent, fvo_consent, p3d_consent, opal_consent, ku_consent, pk_consent, ss_consent, gl_consent, fc_consent): guardado sem consentimento autónomo, com o fundamento de que recordar a sua resposta é estritamente necessário para a respeitar. Sem ele, seria questionado em cada página.
• A chave do tema (vt-theme): guardada sem consentimento autónomo, com o fundamento de que só existe porque foi o utilizador a carregar no seletor claro/escuro.

O Impressum exigido pelo § 5 da DDG, onde se aplique, seria uma página separada. Não está publicado: o § 5 da DDG exige uma morada postal onde possam ser feitas citações e notificações, e a responsável decidiu não publicar a morada da sua casa. Estes sites são exemplos gratuitos e não comerciais, sem publicidade e sem ligações de afiliados. Existe um rascunho dessa página com os campos em falta visíveis como marcadores entre parênteses retos; está em noindex e não é ligada a partir de nenhuma página. O canal de contacto é o endereço de e-mail indicado neste documento.

As reclamações vão para a autoridade de proteção de dados do seu Land. O comissário federal mantém a lista: bfdi.bund.de.

9.4 Estados Unidos: Califórnia (CCPA, CPRA e CalOPPA) e outros estados

Primeiro, a parte honesta. A CCPA aplica-se a empresas acima de limiares de que este site nem se aproxima: receita bruta anual superior a 26 625 000 dólares (o valor em vigor desde 1 de janeiro de 2025), comprar, vender ou partilhar dados pessoais de 100 000 ou mais consumidores ou agregados familiares, ou obter pelo menos metade da receita anual com a venda ou partilha de dados pessoais. Estes sites são gratuitos e não geram receita, pelo que nenhum desses limiares é atingido, e muito provavelmente a lei nem sequer se aplica. As informações abaixo são prestadas na mesma, porque os factos subjacentes são curtos e não devia ter de descobrir primeiro se tem ou não o direito de perguntar.

Categorias de dados pessoais recolhidas nos últimos doze meses: identificadores, limitados a um endereço IP, a um identificador aleatório de análise se carregar em «Accept» e, só se me escrever, ao seu endereço de e-mail e ao seu nome; atividade em redes eletrónicas, ou seja, as páginas que viu e o que o encaminhou para cá; geolocalização aproximada derivada desse endereço IP; informação sobre o dispositivo, ou seja, o tipo de navegador e de dispositivo; e, só se me escrever, o conteúdo do seu e-mail. Não é recolhida nenhuma outra categoria. Não são recolhidos quaisquer dados pessoais sensíveis.

De onde vêm: diretamente de si, por abrir uma página ou por me escrever.

Para quê: para servir e proteger os sites, para responder ao seu e-mail e, se carregar em «Accept», para ver que conteúdos as pessoas leem.

A quem são divulgados: à Cloudflare, para alojamento e, depois de «Accept», para fazer funcionar a ferramenta de análise; à Google, para análise de tráfego, só depois de «Accept», e enquanto fornecedora da caixa de correio que recebe o seu e-mail; ao YouTube, só se carregar em «play» num vídeo.

Nada é vendido e nada é partilhado. Nem nos últimos doze meses, nem em qualquer outro momento, usando essas duas palavras exatamente como a CCPA e a CPRA as definem, o que inclui a divulgação para publicidade comportamental entre contextos. Não existe, por isso, nestes sites, uma ligação «Do Not Sell or Share My Personal Information»: não há divulgação nenhuma da qual se possa sair, e acrescentar a ligação sugeriria o contrário.

O direito de limitar a utilização de dados pessoais sensíveis não chega aqui a surgir, porque não são recolhidos dados pessoais sensíveis. Não fica nada escondido atrás desta frase.

Tem o direito de saber, de apagar, de retificar e de não ser discriminado por o pedir. Não há preço, não há conta e não há escalões de serviço, pelo que não existe nada com que discriminar, e não existe nenhum programa de incentivo financeiro. Um agente autorizado pode escrever em seu nome para o mesmo endereço. Note o limite indicado na secção 7: sem conta, é frequente que um pedido não possa ser associado aos dados de uma pessoa em vez dos de outra.

Global Privacy Control. Como nada é vendido nem partilhado, um sinal Global Privacy Control do seu navegador não tem aqui nada para desligar. A análise de tráfego fica desligada até carregar em «Accept», quer o seu navegador envie esse sinal, quer não.

Do Not Track e outras entidades. Um sinal Do Not Track do seu navegador não muda nada aqui, porque nada que o possa seguir de site em site funciona antes de o escolher: a análise de tráfego só carrega depois de carregar em «Accept», e o leitor de vídeo só depois de carregar em «play». A partir daí, a Google, através do Google Analytics, e o YouTube podem recolher informação sobre a sua atividade ao longo do tempo e em diferentes sites, segundo as suas próprias políticas.

Outros estados norte-americanos. Vários outros estados, entre eles a Virgínia, o Colorado, o Connecticut e o Texas, têm leis de privacidade com direitos semelhantes. Os pedidos ao abrigo de qualquer uma delas vão para o mesmo endereço e recebem a mesma resposta indicada acima.

9.5 Canadá: PIPEDA

A PIPEDA abrange dados pessoais recolhidos no âmbito de atividade comercial. Estes sites não vendem nada e não têm publicidade, pelo que é duvidoso que a lei se lhes aplique. A substância é a mesma de qualquer maneira.

O consentimento é significativo e dado antecipadamente: a análise de tráfego só carrega depois de carregar em «Accept», o que é um opt-in expresso e não uma presunção. Pode retirá-lo a qualquer momento. Os pedidos de acesso a dados pessoais ou de correção dos mesmos vão para vika.taylor.one@gmail.com, com os limites da secção 7.

Se não ficar satisfeito, o Office of the Privacy Commissioner of Canada recebe reclamações: priv.gc.ca.

9.6 Brasil: LGPD

Nos termos da LGPD, Vika Taylor é a controladora dos dados pessoais e a Cloudflare atua como operadora. As bases legais correspondem ao artigo 7.º: legítimo interesse para a hospedagem e os registros de requisições, e consentimento para a análise de tráfego e para o player de vídeo.

O artigo 18.º garante ao titular a confirmação da existência de tratamento, o acesso aos dados, a correção de dados incompletos, inexatos ou desatualizados, a anonimização, o bloqueio ou a eliminação de dados desnecessários, a portabilidade, a informação sobre com quem os dados foram compartilhados e a revogação do consentimento. A secção 7 explica quais destes direitos são substantivos aqui e quais são meras formalidades, dado o pouco que existe.

Não foi indicado encarregado (DPO). O endereço de e-mail no topo desta página é o canal para os pedidos ao abrigo da LGPD, e é lido pessoalmente pela controladora.

A autoridade competente é a ANPD, a Autoridade Nacional de Proteção de Dados: gov.br/anpd.

9.7 Índia: Lei de Proteção de Dados Pessoais Digitais de 2023

Ao abrigo da Lei DPDP, Vika Taylor é a Data Fiduciary e o utilizador é o Data Principal. A lei está a ser posta em vigor através de regulamentação aprovada ao seu abrigo, pelo que o que se segue descreve como estes sites estão montados, em vez de fazer uma afirmação sobre a entrada em vigor atual de cada um dos seus artigos.

A análise de tráfego assenta em consentimento, que é o que a lei exige, e o aviso que está a ler é o que a acompanha. Tem direito a um resumo dos dados pessoais tratados, à retificação e ao apagamento, à apreciação de queixas e a nomear alguém para exercer os seus direitos.

As queixas vão para vika.taylor.one@gmail.com. Não há Consent Manager registado nem encarregado da proteção de dados, porque nenhum deles é exigido a uma fiduciária deste tipo: estes sites não foram designados Significant Data Fiduciary. Se uma queixa não for resolvida, a via seguinte é o Data Protection Board of India.

Quanto a crianças, a lei fixa o limiar nos dezoito anos e exige, abaixo dele, consentimento parental verificável, além de proibir o rastreio e a publicidade comportamental dirigida a crianças. Não são conscientemente recolhidos dados pessoais de crianças, não existe publicidade comportamental em nenhum destes sites, e a análise de tráfego fica desligada até alguém carregar ativamente em «Accept». Ver a secção 10.

9.8 Japão: APPI

Ao abrigo da APPI, a finalidade de utilização fica dita com todas as letras: explorar e proteger os sites e, com o seu consentimento, medir que conteúdos são lidos. Não é usada para mais nada, e não é usada para construir um perfil.

A transferência de dados pessoais para um terceiro num país estrangeiro exige o seu consentimento, e é exatamente isso que o botão «Accept» é. Nada chega à Google antes de carregar nele. O papel da Cloudflare é o de uma prestadora que trata dados para fazer funcionar o alojamento e, depois de carregar em «Accept», a ferramenta de análise.

Pode pedir a divulgação, a retificação, a suspensão da utilização e a divulgação dos registos de fornecimento a terceiros, através do endereço no topo desta página. A secção 7 é o limite honesto: sem conta, não há muitas vezes nada que possa ser identificado como seu para lhe ser divulgado.

O organismo de supervisão é a Personal Information Protection Commission: ppc.go.jp.

9.9 Coreia do Sul: PIPA

A PIPA assenta no consentimento, e aqui o consentimento é opt-in e específico. Os elementos são os da secção 4.2, a finalidade é perceber que conteúdos são lidos, e a conservação é a definição referida nessa secção. Nada é fornecido a terceiros além do que a secção 4 enumera, e nada é fornecido para fins de marketing.

Tem direito a aceder aos seus dados pessoais, a retificá-los ou apagá-los e a suspender o respetivo tratamento, através do endereço no topo desta página, com os limites da secção 7.

Não foi designado representante local na Coreia. A PIPA só o exige a operadores estrangeiros acima de certos limiares de dimensão; isto é o portefólio de uma pessoa e um conjunto de recursos gratuitos.

As reclamações e a mediação vão para a Personal Information Protection Commission: pipc.go.kr.

9.10 Indonésia: Lei PDP

Ao abrigo da Lei n.º 27 de 2022 relativa à proteção de dados pessoais, Vika Taylor é a responsável pelo tratamento dos dados pessoais e a Cloudflare é subcontratante.

A análise de tráfego assenta no seu consentimento, dado antes de carregar seja o que for e revogável a qualquer momento. Tem direito a ser informado sobre o tratamento, a aceder aos dados, à sua retificação, ao seu apagamento e a retirar o consentimento. O direito de se opor a decisões automatizadas não tem aqui nada em que pegar: não há decisões automatizadas, como diz a secção 6.

Os pedidos vão para vika.taylor.one@gmail.com. Não foi designado representante local na Indonésia. A autoridade de controlo prevista nessa lei é a via para reclamações, a partir do momento em que estiver a funcionar.

9.11 Médio Oriente: PDPL saudita, PDPL dos EAU e vizinhos

Nesta região, as exigências diferem muito de jurisdição para jurisdição, e esta secção não pretende cobri-las a todas.

As duas principais leis nacionais são a Personal Data Protection Law da Arábia Saudita, supervisionada pela SDAIA, e o Decreto-Lei Federal n.º 45 de 2021 dos Emirados Árabes Unidos, relativo à proteção de dados pessoais. Ambas lhe dão, em termos gerais, o direito de ser informado, de aceder aos seus dados, de os retificar, de os apagar e de retirar o consentimento. Todos eles passam pelo endereço no topo desta página.

Algumas zonas francas têm regimes próprios e separados, incluindo o DIFC e o ADGM, com os seus próprios reguladores e os seus próprios procedimentos.

Não se afirma aqui nada sobre registo, licenciamento ou representante local em qualquer jurisdição do Médio Oriente. Nenhum foi obtido, e nenhum é afirmado. Se alguma exigência concreta se aplicar à sua situação, escreva e diga qual.

9.12 Ucrânia: Lei de proteção de dados pessoais

A responsável vive e trabalha na Ucrânia, pelo que o direito ucraniano também pode aplicar-se: a Lei da Ucrânia n.º 2297-VI «Sobre a proteção de dados pessoais», de 1 de junho de 2010. O seu artigo 8.º dá-lhe, entre outros, o direito de saber de onde vêm os seus dados pessoais, para que são tratados e quem os trata; de lhes aceder e de receber, no prazo de trinta dias de calendário, uma resposta sobre se são tratados e o que contêm; de se opor ao tratamento; de pedir que os seus dados sejam alterados ou destruídos se forem tratados ilicitamente ou forem inexatos; de retirar o seu consentimento; e de apresentar queixa sobre o tratamento ao Comissário da Verkhovna Rada da Ucrânia para os Direitos Humanos ou a um tribunal. Todos os pedidos vão para vika.taylor.one@gmail.com, com os limites da secção 7.

O cumprimento dessa lei é fiscalizado pelo Comissário da Verkhovna Rada da Ucrânia para os Direitos Humanos, o Provedor, e pelos tribunais: ombudsman.gov.ua.

A Ucrânia está a preparar uma nova lei de proteção de dados alinhada com o RGPD, o projeto de lei n.º 8153. Foi aprovado na generalidade, em primeira leitura, a 20 de novembro de 2024 e, a 17 de setembro de 2026, a Verkhovna Rada indicava-o como em preparação para a segunda leitura. Esta secção será atualizada quando entrar em vigor uma nova lei.

10. Crianças

Nenhum destes sites é dirigido a crianças, e não são conscientemente recolhidos dados pessoais junto delas. Não há conta para criar nem formulário que envie o que quer que seja para um servidor, pelo que não há forma de uma criança submeter o que quer que seja através dos sites.

Como a análise de tráfego está desligada até alguém carregar em «Accept», uma criança que visite o site e não carregue não é medida de todo.

O limiar de idade difere de país para país: treze anos ao abrigo da COPPA nos Estados Unidos, entre treze e dezasseis conforme o Estado-Membro nos termos do artigo 8.º do RGPD, dezoito ao abrigo da Lei DPDP indiana. Não existe verificação de idade nestes sites, pela mesma razão por que não existe início de sessão: não há nada a que a possa ligar.

Se acredita que dados pessoais de uma criança chegaram até mim, escreva para vika.taylor.one@gmail.com e serão apagados.

11. Alterações a esta política

A data no topo desta página muda sempre que o texto muda. Esta versão tem a data de 17 de setembro de 2026.

Não há lista de distribuição, pelo que não há forma de o notificar de uma alteração, e nenhuma é prometida. De qualquer modo, o consentimento volta a ser pedido a cada 180 dias, e de imediato quando uma alteração afeta o que é recolhido, porque cada escolha guardada indica a versão desta política a que respondeu (secção 5).

12. Versões linguísticas

A versão inglesa é a que faz fé. As versões alemã, francesa, espanhola e portuguesa são traduções disponibilizadas por conveniência. Se alguma vez uma tradução e a página inglesa divergirem, é a página inglesa que se aplica.

Documentos relacionados: Termos de Utilização, Política de Cookies. O Impressum (em alemão) não está publicado; ver a secção 9.3.