Privacidade

Dando a um app toda a sua biblioteca de fotos

É a permissão mais sensível do celular, e o app que a está pedindo é um utilitário que você encontrou numa listagem de loja. Veja como verificar as afirmações em vez de simplesmente aceitá-las.

O que você está realmente entregando

O acesso à biblioteca de fotos não é uma permissão, são várias, e as extras são fáceis de esquecer porque nenhuma caixa de diálogo as menciona.

• Toda fotografia — sua família, sua casa, seus filhos, seus documentos.
• Capturas de tela, que frequentemente são as coisas mais sensíveis de uma biblioteca: saldos bancários, resultados médicos, conversas privadas, senhas.
• Metadados EXIF em cada item — o modelo exato do seu celular, suas configurações, e o horário exato.
• Coordenadas de GPS na maioria das fotos, que juntas descrevem onde você mora, onde você trabalha, e onde você estava em qualquer dia específico.
• O formato da sua vida ao longo dos anos, de um jeito trivialmente analisável.

É por isso que “funciona no dispositivo” não é uma frase de marketing. É a diferença entre um app que pode vazar tudo isso e um que não pode.

Quatro verificações que você pode fazer sozinho

Você não precisa confiar na página de privacidade de ninguém, nem na nossa. Essas quatro coisas você consegue verificar.

1. Modo avião. Ative-o e use o app. Se revisar, filtrar e colocar exclusões na fila continuarem funcionando, a análise é genuinamente local. Se travar ou mostrar um indicador de carregamento, alguma coisa estava indo para um servidor.
2. Leia o rótulo de privacidade da loja. O cartão de Privacidade do App da Apple e a seção Segurança de dados do Google Play são declarações que o desenvolvedor faz seguindo as regras da loja. Procure especificamente por “Fotos ou vídeos” em dados coletados. Um limpador que funciona no dispositivo não deveria listar isso.
3. Verifique se ele quer uma conta. Não existe motivo técnico para um limpador de fotos precisar saber quem você é. Se ele insiste num cadastro antes de deixar você excluir suas próprias fotos, o motivo é comercial.
4. Verifique com o que a versão gratuita é financiada. Grátis não é problema — anúncios, um plano pago, os dois. O que importa é se a rede de anúncios recebe um identificador de publicidade do dispositivo e se a publicidade personalizada vem ativada por padrão. Isso deveria ser encontrável na política de privacidade em menos de um minuto, e se não for, essa já é a resposta.

O que o Time To Swipe faz, por completo

Suas fotos nunca saem do celular. Não como política — como uma propriedade do app. Ele lê sua biblioteca pelas próprias APIs de fotos do sistema operacional e não contém nenhum caminho de envio para uma imagem, uma miniatura, um campo EXIF ou uma marcação de localização. Não existe nada nele capaz de enviar uma.

Não existe conta, cadastro, e-mail ou senha. Seus contadores — deslizes, exclusões, espaço na fila — são calculados e armazenados no dispositivo e nunca são transmitidos. Não rodamos nenhum SDK de análise de dados, nenhum relator de falhas e nenhum pipeline de eventos, então não sabemos quantas fotos você excluiu nem se você já abriu o app alguma vez.

O que realmente sai, dito de forma clara e completa:

• Um pequeno arquivo de configurações baixado de timetoswipe.app, sem nada sobre você anexado — a mesma requisição em toda cópia — que é como o comportamento de cota e paywall pode mudar sem uma atualização do app. Os 100 deslizes grátis com que toda instalação começa vêm desse arquivo: o próprio app os concede, nenhum servidor é consultado, e nada sobre o seu celular é enviado para reivindicá-los.
• Se você compra um plano, o recibo da loja e um identificador anônimo aleatório vão para a RevenueCat, que gerencia os direitos de uso para nós. Sem nome, sem e-mail, sem número de cartão — a loja guarda isso, e nós nunca vemos.
• Anúncios no plano gratuito, de três redes testadas em ordem — Start.io, Google AdMob e Unity Ads. Eles não são personalizados para ninguém: cada rede é avisada, antes de exibir qualquer coisa, de que você não concordou com publicidade personalizada, e onde a lei exige o app mostra o aviso de consentimento do Google, que decide apenas se o AdMob é consultado para algum anúncio. Cada uma lê o próprio identificador de publicidade do sistema operacional, que nós nunca recebemos, e nenhuma delas jamais recebe uma foto ou qualquer coisa derivada dela.

Os planos pagos removem os anúncios por não iniciarem os SDKs de anúncios de forma alguma, então eles não coletam nada, em vez de coletar menos.

A ressalva honesta, que a política de privacidade também faz: antes dos anúncios, “nada é transmitido” era verdade para o app inteiro. Agora é verdade só para nós, e as redes de anúncios mantêm seus próprios diagnósticos. Preferimos escrever essa frase a simplesmente parar de fazer essa afirmação, em silêncio.

E este site

As páginas que você está lendo seguem uma versão mais restrita do mesmo padrão. Este site é um conjunto de arquivos estáticos: sem fontes, frames ou imagens de nenhum outro domínio, sem conta, sem formulário, e nada que pudesse alcançar uma foto. Ele roda sim duas tags de terceiros — o pixel de publicidade da Meta e a tag de anúncios do Google — para que possamos saber quais dos nossos anúncios realmente trouxeram alguém até aqui, e se elas rodam depende de onde você está.

Na UE, no Reino Unido e na Suíça, as tags só carregam se você aceitá-las numa barra na sua primeira visita; ignorar a barra significa não. Em qualquer outro lugar elas rodam por padrão, e o controle no rodapé — “Não Vender ou Compartilhar Minhas Informações Pessoais” nos Estados Unidos — as desativa com um toque, assim como um sinal de Global Privacy Control do seu navegador. Quando elas rodam, definem os cookies da Meta e do Google e informam à Meta e ao Google que você visualizou uma página e se tocou num link de loja, e nada além disso; a seção “This website” da política de privacidade lista exatamente o que isso carrega.

A Content-Security-Policy do site ainda parte de não permitir nenhuma origem externa, e depois nomeia os hosts da Meta e do Google, e só esses, então o próprio navegador recusa qualquer outra coisa. A frase no rodapé é gerada a partir do que o site realmente contém, em vez de mantida manualmente: uma página que carrega um rastreador e diz que não carrega não é um estado em que este site pode estar.

O que não podemos prometer

Dois limites, porque uma página de privacidade que lista só pontos fortes não é uma página de privacidade.

O host deste site e do arquivo de configurações mantém registros de acesso padrão — endereço IP, data e hora, caminho, user agent — como todo servidor web faz. Não lemos, agregamos nem analisamos esses registros, mas eles existem.

E as redes de anúncios do plano gratuito coletam seus próprios diagnósticos e seu próprio registro de como você interagiu com um anúncio. Isso é deles, não nosso; nós nunca recebemos. O jeito de não ter nada disso é um plano pago, que impede os SDKs de rodar por completo — não porque pagar deveria ser exigido para ter privacidade, mas porque essa é a descrição honesta do que o dinheiro muda.

Perguntas frequentes

Continue lendo

• O que um limpador de galeria realmente faz — Os três tipos de limpador, o que nenhum deles consegue fazer, e o que perguntar antes de conceder acesso.
• Limpador de fotos do iPhone — Apagados Recentemente, Fotos do iCloud e Otimizar Armazenamento — o que cada um faz com o espaço que você recupera.
• Limpador de fotos do Android — Duas lixeiras com regras diferentes, e por que o Liberar espaço do Google Fotos não é exclusão.

Last updated 2026-09-03