Política de Privacidade

O Melodystats é operado por PE Ishtvan Komonii, empresário individual (фізична особа-підприємець) registrado na Ucrânia para atividades de programação de computadores e atividades relacionadas. Essa pessoa é o responsável pelo tratamento dos dados pessoais aqui descritos.

• Endereço registrado: Petliury Street 4, apt. 210, Lviv 79054, Ukraine.
• E-mail: contact@melodystats.me

Não existe encarregado da proteção de dados, e nenhum é exigido: o Melodystats não monitora ninguém em larga escala e não se propõe a tratar categorias especiais de dados. Qualquer questão de proteção de dados deve ser dirigida ao endereço acima, e chega à pessoa que escreveu o código.

Ele abrange o site do Melodystats em melodystats.me e mais nada. Não abrange o Spotify — a sua conta do Spotify é regida pela política de privacidade do próprio Spotify — nem abrange qualquer outro site que você alcance a partir de um link daqui.

Não pedimos que você concorde com ele. Ler uma página não é consentimento, e continuar a navegar também não é. A maior parte do que acontece aqui funciona com base na conexão que você estabeleceu ao autorizar o Spotify: esse é um contrato que você pediu, e o artigo 6.º, n.º 1, alínea b), do RGPD é o seu fundamento. Onde o consentimento é realmente o fundamento — hoje isso é a análise de uso, e nada mais — ele é pedido separadamente, e você pode retirá-lo em “Configurações de cookies”, no rodapé de todas as páginas.

Não existe formulário de cadastro neste site. Não existe conta, não existe senha, e não existe em lugar nenhum um campo que peça que você digite um dado pessoal. Tudo o que é pessoal aqui veio do Spotify porque você o autorizou.

Só há uma forma de entrar: você autoriza o Melodystats a partir da sua conta do Spotify. O Spotify emite então um token que carrega uma lista fixa de permissões. Nada do que se segue é dado público, e nada disso é fornecido por você diretamente a nós — o Spotify é a origem de cada dado pessoal que detemos.

O Melodystats pode ler:

• o seu perfil: nome de exibição, endereço de e-mail, país, tipo de assinatura, número de seguidores e foto de perfil;
• os seus artistas top e as suas faixas top, nas três janelas que o Spotify calcula (aproximadamente as últimas quatro semanas, os últimos seis meses e vários anos);
• as suas últimas 50 reproduções;
• a faixa em que o seu player do Spotify está no momento;
• as suas faixas salvas — as 2 000 mais recentes para as páginas que você vê, até 10 000 quando você pede um arquivo da sua biblioteca — e os seus álbuns salvos;
• os artistas que você segue;
• as suas playlists, incluindo as privadas.

Ele não pode escrever absolutamente nada na sua conta do Spotify. Todas as permissões que ele pede são permissões de leitura.

O Melodystats não pede permissão para controlar a reprodução, portanto não pode iniciar, parar ou pular nada nos seus dispositivos. Ele não pede permissão para alterar a sua biblioteca, portanto não pode adicionar uma faixa às suas Músicas Curtidas nem retirar nenhuma de lá. Quando uma faixa já está nas suas Músicas Curtidas, um coração é exibido ao lado dela, e isso é tudo o que o coração faz — ele marca as que estão salvas e não pode fazer mais nada. Ele não pede permissão para criar ou alterar playlists: pode ler as suas para contá-las, e não pode fazer nada com elas. E nunca escreve no seu perfil do Spotify.

A partir desses dados, o site elabora leituras sobre você: gêneros, décadas, um índice de obscuridade, uma personalidade musical, uma paleta de cores extraída das capas dos seus álbuns. O histórico de escuta pode sugerir coisas que a maioria das pessoas consideraria privadas — crenças, posições políticas, quem elas são. Essas leituras existem para desenhar a sua própria página. Não são compartilhadas com ninguém, não são vendidas a ninguém e não são usadas para mais nada. O que você decidir exportar ou publicar é decisão sua, não nossa.

Você pode ver a autorização e cancelá-la a qualquer momento em spotify.com/account/apps. No momento em que o fizer, o Melodystats deixa de poder ler o que quer que seja.

Não há decisões automatizadas. Nada aqui produz efeitos jurídicos sobre você nem afeta você de forma similarmente significativa. As leituras são descrições, não decisões, e nenhuma pessoa ou máquina age com base nelas.

Nada é exigido de você. Fornecer esses dados não é uma obrigação legal nem contratual. É simplesmente aquilo de que o site é feito: sem a conexão com o Spotify, não há nada a calcular e nada a mostrar.

Não existe banco de dados. Nada a seu respeito é gravado em um disco, em um backup ou em um registro nosso.

Existe um cache, e ele merece ser descrito com exatidão, porque dizer “não armazenamos nada” não seria verdade. Para que uma segunda página não busque de novo tudo o que a primeira já buscou, o que o Spotify devolve é mantido na memória do próprio processo do servidor. Essa memória é:

• indexada por uma impressão digital SHA-256 unidirecional do seu token de atualização do Spotify, truncada — o token em si nunca é armazenado e não pode ser recuperado a partir da chave;
• nunca compartilhada entre ouvintes: duas pessoas não podem cair no mesmo namespace;
• limitada a 200 entradas no total, somando todas as pessoas que usam aquele servidor, sendo descartadas primeiro as menos usadas recentemente;
• nunca gravada em disco, nunca copiada em backup, nunca enviada para lugar nenhum;
• perdida quando o servidor reinicia, e toda implantação o reinicia.

Quanto tempo vive cada tipo de entrada:

Uma ressalva, para que a tabela não seja lida como mais estrita do que é: uma entrada que acabou de expirar pode ser servida mais uma vez enquanto uma cópia nova é buscada por trás da sua página, por, no máximo, mais o dobro do seu próprio tempo de vida. O limite máximo para qualquer item daquela tabela é, portanto, o triplo do valor indicado — três horas para o perfil, noventa minutos para as listas top.

A sua sessão não é mantida no nosso servidor de forma alguma. Ela vive em um cookie no seu próprio navegador, e sair da conta a destrói. Veja a próxima seção.

Cada item que este site define, para que ele serve e se você pode recusá-lo. Nada aqui é um cookie de publicidade, e nada disso é compartilhado com uma rede de publicidade.

ms_session é o único objeto crítico para a segurança aqui. Ele guarda os tokens que o Spotify emitiu para a sua conta, criptografados com AES-256-GCM sob uma chave que só o servidor possui. Está marcado como httpOnly, de modo que nenhum script da página consegue lê-lo; SameSite=Lax, de modo que outro site não consegue fazer o seu navegador enviá-lo; e Secure, de modo que ele nunca trafega por HTTP simples em produção. Sair da conta o destrói, e revogar em spotify.com/account/apps torna sem valor aquilo que está dentro dele.

Os três cookies de preferência carregam uma configuração e nenhum identificador. Os dois itens de armazenamento no navegador nunca saem do seu navegador.

O Melodystats usa o Google Analytics 4 — e somente se você disser sim.

• A tag do Google não está na página até você aceitar. Não é carregada e retida, não é carregada com um sinalizador ligado: está ausente. Se você não respondeu, isso conta como não.
• Aceitar e recusar ficam na mesma linha do banner, um clique cada, com o mesmo peso visual. Não existe botão de dispensar, porque dispensar não é consentimento, e o banner nunca bloqueia a página atrás dele.
• A sua resposta é guardada no cookie ms_consent por 182 dias. Depois disso, o banner pergunta de novo, em vez de presumir que a resposta antiga continua valendo.
• Retirar é tão fácil quanto conceder. Abra “Configurações de cookies” no rodapé de qualquer página. Passar de aceito para recusado recarrega a página, de modo que nada medido sobre aquela sessão continua.
• Quando ela funciona, é configurada com anonymize_ip, e o Google define os cookies _ga e _ga_<id> listados acima.
• O que ela mede. Visualizações de página e eventos de interação nomeados: entrar e sair da conta, compartilhar uma imagem, exportar um arquivo, abrir um recurso a partir da grade da página inicial, mudar o idioma, o tema ou o período, e usar os links de contato e de doação. Um evento de página não encontrada registra o endereço que não levou a lugar nenhum, e um evento de falha registra o código de referência ou o tipo do erro — nunca a sua mensagem ou o seu conteúdo. Cada evento anota se o visitante estava conectado ou era um convidado; nada disso carrega o seu nome, a sua identidade do Spotify, nem nada do que você ouviu.
• A análise de uso funciona apenas no site publicado. Nunca é carregada em desenvolvimento.

A Google Ireland Limited atua como subcontratante para visitantes no EEE e no Reino Unido, e os dados chegam à Google LLC nos Estados Unidos. Veja na próxima seção como essa transferência é feita.

Cada um atua sob os seus próprios termos escritos, como subcontratante ou — no caso dos servidores de imagens — simplesmente como quem hospeda um arquivo que o seu navegador solicita. A nenhum deles entregamos os seus dados para que os use com finalidades próprias.

Nada é vendido. Não há aqui rede de publicidade, nem corretor de dados, nem rastreamento de afiliados, e nenhum perfil é construído para ninguém além de você. Dados pessoais só chegam a mais alguém quando a lei o exige — uma ordem judicial ou um pedido legítimo de uma autoridade competente — e apenas na medida em que ela o exige.

Transferências para fora do EEE e para fora da Ucrânia. A Vercel e o Google estão nos Estados Unidos. Para leitores no EEE e no Reino Unido, isso é uma transferência nos termos dos artigos 44.º a 49.º do RGPD, feita com base no EU–US Data Privacy Framework quando o destinatário está certificado nele e, caso contrário, nas Standard Contractual Clauses da Comissão Europeia. Como o responsável pelo tratamento está estabelecido na Ucrânia, as mesmas transferências são feitas nos termos do artigo 29.º da Lei da Ucrânia “Sobre a Proteção de Dados Pessoais”, com o fundamento de que a transferência é necessária para executar a conexão que você pediu.

Se você apoia o Melodystats no Patreon e pede para ser creditado, o seu primeiro nome e a inicial do seu sobrenome aparecem na página de apoiadores — “Oleksandr K.”, e não o nome completo. Isso é feito com a sua concordância, é tudo o que é publicado, e não é usado para mais nada.

Escreva para contact@melodystats.me e o crédito sai na próxima implantação do site. Você não precisa dar um motivo.

Quando o RGPD se aplica a você, todos os direitos a seguir são seus, e nenhum deles custa nada:

• Acesso — uma cópia dos dados pessoais mantidos a seu respeito. Este aviso já é a maior parte dessa resposta: não existe banco de dados, portanto o que existe é uma entrada de cache que expira dentro dos prazos indicados em Onde os seus dados ficam.
• Retificação — correção de qualquer coisa errada. Quase tudo aqui vem do Spotify, portanto a correção geralmente pertence ao seu perfil do Spotify; ela passa a valer na próxima busca de dados.
• Apagamento — saia da conta e revogue em spotify.com/account/apps. O cookie de sessão é destruído, os tokens deixam de funcionar, e as entradas em cache expiram por conta própria. Escreva para nós se quiser uma confirmação disso.
• Limitação e oposição — incluindo opor-se ao tratamento baseado em interesses legítimos indicado em Por quê, e com que fundamento jurídico.
• Portabilidade — a maioria das páginas que mostram uma leitura traz um controle de exportação: CSV, XLSX ou JSON dos dados por trás daquela página. A sua biblioteca salva, e como ela cresceu mês a mês, saem da mesma forma a partir do seu perfil. Onde o controle existe, você não precisa pedi-lo a nós; onde uma página não tem nenhum, escreva para nós e nós construiremos para você o mesmo arquivo.
• Retirada do consentimento — para a análise de uso, a qualquer momento, em “Configurações de cookies”, no rodapé. A retirada interrompe a medição futura; ela não pode desfazer o que já foi medido, que é a única coisa que a retirada nunca pode fazer.
• Não ser sujeito a decisões automatizadas — não há nenhuma aqui a que você possa estar sujeito.

Escreva para contact@melodystats.me. Você terá uma resposta dentro de um mês e, se um pedido se revelar complicado, você será informado disso dentro desse mês, e não depois dele.

Reclamações. Se você está no EEE, pode reclamar à autoridade de controle do lugar onde mora, do lugar onde trabalha ou do lugar onde acha que algo correu mal. Na Ucrânia, a autoridade é o Verkhovna Rada Commissioner for Human Rights. Você não é obrigado a escrever primeiro para nós, embora isso costume ser mais rápido.

• A entrada é feita por OAuth 2.0 com PKCE. Nenhuma senha chega ao Melodystats, porque o Melodystats não tem senha.
• O cookie de sessão é criptografado com AES-256-GCM sob uma chave mantida apenas pelo servidor, e é httpOnly, SameSite=Lax e Secure.
• Nada a seu respeito é gravado em disco, portanto não há banco de dados a ser violado nem backup a vazar.
• A chave do cache é um hash unidirecional; o seu token de atualização não pode ser recuperado a partir dela, e o resumo nunca sai do servidor.

Nenhum sistema é perfeitamente seguro, e este aviso não fingirá o contrário. Se algo der errado e colocar os seus dados em risco, nós o diremos — a você e à autoridade de controle, quando a lei o exigir.

O Melodystats não é dirigido a crianças. Você precisa de uma conta do Spotify para poder usá-lo, e o Spotify define a sua própria idade mínima para o seu país.

Onde o RGPD se aplica, a idade a partir da qual você pode concordar por conta própria com um serviço online é 16 anos, salvo se o seu país a tiver reduzido — ela não pode ficar abaixo de 13. Abaixo dessa idade, um pai, uma mãe ou um responsável tem de concordar por você.

Não existe formulário aqui nem perfil nosso, portanto não temos como verificar a idade de ninguém. Isto é uma regra, e não uma barreira. Se você acredita que uma criança conectou o Spotify ao Melodystats, revogar a autorização em spotify.com/account/apps interrompe isso imediatamente — nada mais pode ser lido, e as entradas em cache expiram dentro dos prazos indicados em Onde os seus dados ficam. Escreva para contact@melodystats.me se quiser ajuda para fazer isso ou a confirmação de que foi feito.

O Melodystats é operado a partir da Ucrânia, portanto a Lei da Ucrânia “Sobre a Proteção de Dados Pessoais” (n.º 2297-VI) aplica-se ao responsável pelo tratamento — incluindo os seus deveres quanto às finalidades da coleta, quanto a informar você sobre transferências a terceiros, quanto à segurança e quanto aos fundamentos para enviar dados ao exterior.

O site é oferecido a leitores no EEE, nos idiomas deles, portanto o RGPD aplica-se em paralelo a esse tratamento, nos termos do artigo 3.º, n.º 2, alínea a).

Quando os dois estabelecem padrões diferentes, o Melodystats aplica o mais exigente, em vez de escolher o mais conveniente. As reclamações vão para o Verkhovna Rada Commissioner for Human Rights, na Ucrânia, ou para a sua própria autoridade de controle nacional, no EEE.

Este aviso traz uma única data, no topo da página, e é essa a sua versão. Não existe uma segunda marca, contraditória.

• Uma correção que não altera o que acontece — um erro de digitação, uma frase mais clara — entra em vigor quando é publicada.
• Uma alteração no que é coletado, no porquê, ou em quem o recebe é anunciada no site antes de entrar em vigor, e quando a alteração precisar do seu consentimento você será perguntado de novo, e não apenas informado. Continuar a usar o Melodystats não é tratado como concordância com uma alteração substancial.

PE Ishtvan Komonii, Petliury Street 4, apt. 210, Lviv 79054, Ukraine.

contact@melodystats.me — para qualquer assunto deste aviso, incluindo todos os direitos indicados em Os seus direitos. Chega a uma pessoa, não a uma fila.

Os Termos e Condições regem o seu uso do próprio site.