Atualizado: 25 de agosto de 2026
Os seus dados
Estas páginas não foram revistas por nenhum jurista. Descrevem fielmente o que o serviço faz hoje, e nesse ponto vinculam a Mizan. Uma verificação jurídica continua a ser necessária antes de qualquer abertura comercial, e está inscrita como tal no acompanhamento do projeto.
O princípio, numa frase
Guardamos o estritamente necessário para o serviço funcionar, dizemos exatamente o quê, e pode levar tudo ou apagar tudo a partir do seu espaço, sem nos escrever.
Num serviço de encontro com vista ao casamento, só a informação de que alguém está inscrito já é sensível. É isso que esta página protege em primeiro lugar.
1. O que guardamos
Esta lista cobre todos os dados pessoais que a base guarda. É revista a cada alteração do modelo: se faltar uma linha, é um defeito, e comunica-se no endereço do §5.
| Dado | Porquê | Até quando |
|---|---|---|
| Endereço de email | Identificador de acesso, e único meio de o contactar | Eliminação da conta |
| Impressão da palavra-passe | Reconhecê-lo sem conhecer a sua palavra-passe | Eliminação da conta |
| Nome próprio, idade, data de nascimento (se a fornecer), género, género procurado, cidade, país | Conteúdo do perfil. O género procurado determina por si só quem lhe é apresentado, e a quem é apresentado: sem ele, ninguém lhe pode ser proposto. | Eliminação da conta |
| Prazo de casamento, mobilidade, projeto de filhos, tipo de casa | Os quatro critérios mostrados no topo do perfil | Eliminação da conta |
| Texto de apresentação | O que escreve sobre si | Eliminação da conta |
| Religião, e a sua relação com ela — facultativo | Dado sensível na aceção do artigo 9.º do RGPD. O formulário de entrada não o pede; só é registado a partir do seu espaço, e apenas se assinalar a caixa de consentimento. Serve unicamente para que quem lhe dá importância possa fazer dele um critério. Retira-se escolhendo « Não responder ». | Eliminação da conta, ou retirada do consentimento |
| Origem, uma ou duas — facultativo | Distinta do local de vida. Algumas pessoas fazem dela um critério, outras ignoram-na. Preenchida a partir do seu espaço, nunca pedida à entrada. | Eliminação da conta, ou apagamento do campo |
| Nível de estudos — facultativo | Na escala internacional CITE, para que um diploma se leia de um país para outro. Serve de critério a quem o defina. | Eliminação da conta, ou apagamento do campo |
| Nível de verificação atingido | Regras de publicação e de contacto | Eliminação da conta |
| Limiar mínimo que exige | Filtrar quem lhe pode escrever | Eliminação da conta |
| As suas exigências de pesquisa — zona, país, cidade, origem, religião, nível de estudos, idade, prazo, nível de verificação | O que pede na outra pessoa, e quanto lhe importa. Uma exigência de religião cai no artigo 9.º tal como a sua: só é registada se definir esse critério, e uma preferência ausente não é uma exigência nula — é a ausência de exigência. | Eliminação da conta, ou retirada do critério |
| Data de confirmação do seu endereço | Provar que o endereço é seu. A ligação de confirmação nunca é guardada: apenas a sua impressão, e esta apaga-se assim que a ligação serviu. | Eliminação da conta |
| Sessões abertas | Mantê-lo com sessão iniciada catorze dias | Saída da conta, expiração ou eliminação |
| Pedidos enviados e recebidos, com o seu texto, e o encerramento de uma conversa — a sua data, e quem a encerrou | É nisso que consiste o serviço. O encerramento é visível dos dois lados: é isso que o distingue do bloqueio, que permanece silencioso | Eliminação da conta de qualquer uma das duas pessoas |
| Mensagens trocadas numa conversa, com o seu texto e a hora de leitura | Um contacto aceite abre um fio; sem essas linhas não há conversa. Só são legíveis por vocês os dois, e por um moderador se um de vocês denunciar uma mensagem concreta. | Eliminação da conta de qualquer uma das duas pessoas |
| Decisão de verificação de identidade: o resultado, a data, quem a tomou, e uma impressão do documento entregue | Provar que houve uma verificação, e a que nível lhe dá direito. Nem a selfie nem o documento de identidade são guardados: vivem fora da base de dados, são apagados assim que a decisão é tomada, e no máximo duas horas após a entrega. A impressão permite reconhecer um reenvio idêntico sem guardar a imagem. | Ver §3 |
| Bloqueios | Fazer valer um bloqueio nos dois sentidos | Ver §3 |
| Denúncias que apresentou | Moderação | Ver §3 |
| Registo das ações sensíveis | Prova em caso de queixa, segurança do serviço | Ver §3 |
| Contadores de ritmo | Impedir a recolha automatizada e o assédio | Uma hora |
| Os acontecimentos do serviço de que o informámos (mudança de regra, manutenção, interrupção, atualização, novidade), e a data de cada envio | Informá-lo apenas uma vez por acontecimento, e na sua língua. Nenhum conteúdo é guardado aqui: apenas o facto e a data de lhe ter sido enviada uma mensagem. | Eliminação da conta |
2. O que nunca guardamos
- O seu documento de identidade. É verificado e depois apagado. Guardamos o nível atingido, nunca o documento, nunca uma cópia, nunca um número.
- A sua palavra-passe. Só é armazenada uma impressão irreversível.
- A sua localização. Nenhum dado de geolocalização é recolhido. A cidade é uma declaração, não uma medição.
- Os seus contactos. Nenhum acesso à lista de contactos, em nenhum suporte.
3. O que sobrevive à eliminação da sua conta, e porquê
Apagar a sua conta elimina o seu perfil e encerra as suas sessões, imediatamente. Três coisas sobrevivem, e seria desonesto não o dizer:
- O registo das ações — quem publicou, bloqueou, denunciou, e quando. É guardado de forma anonimizada: a linha já não designa ninguém. Sem ele, nenhuma prova subsistiria em caso de queixa.
- As denúncias que lhe dizem respeito. Sem essa exceção, bastaria encerrar a conta para apagar as denúncias que o visam, e depois abrir outra.
- Os bloqueios que colocou. Um bloqueio protege outra pessoa. Apagá-lo ao encerrar a sua conta devolveria a quem foi bloqueado uma visibilidade que lhe havia recusado — e não seria avisado. A linha subsiste; já não carrega a sua identidade.
Uma política que prometesse o apagamento total enquanto essas linhas sobrevivem seria uma política falsa.
4. Os seus direitos, e como exercê-los sem nos escrever
| Direito | Como | Prazo |
|---|---|---|
| Acesso e portabilidade | « Exportar os meus dados » no seu espaço: tudo aparece, pronto a copiar | Imediato |
| Retificação | Alterar o seu perfil no seu espaço | Imediato |
| Apagamento | « Apagar a minha conta » no seu espaço | Imediato |
| Oposição e limitação | Retirar o seu perfil da pesquisa, sem apagar a conta | Imediato |
Nenhum destes direitos pede justificação, formulário nem troca de correspondência. É uma escolha: um direito que exige escrever para um endereço e esperar um mês não é exercido.
5. Cookies e medição de audiência
É colocado um único cookie, e só depois de iniciar sessão: o cookie de sessão. É HttpOnly — logo fora do alcance de qualquer script —, SameSite=Strict — logo nunca enviado a partir de outro site —, e expira ao fim de catorze dias.
A medição de audiência é feita pelos nossos próprios servidores, sem qualquer serviço externo: sem cookie, sem dado pessoal, sem revenda. O seu endereço IP e o seu navegador nunca são guardados tal como são — servem por um instante para calcular uma impressão digital de uso único, válida por um único dia, e depois são descartados. Nunca saberemos quem leu o quê.
A lista de cidades proposta na inscrição vem do GeoNames. Esses dados são públicos e carregados dos nossos próprios servidores: nenhum pedido é dirigido ao GeoNames durante a sua visita, e ninguém aí fica a saber onde mora. A atribuição é citada aqui porque a licença o exige.
6. Quem pode ver os seus dados
- As outras pessoas inscritas: apenas o que publica, e apenas se tiver publicado. Nunca o seu correio eletrónico, nunca o limiar que exige.
- A moderação: as denúncias e os perfis que visam.
- Mais ninguém. Nenhum dado é vendido, alugado, partilhado para fins publicitários nem transmitido a terceiros.
Dois limites. Os dados não estão cifrados em repouso: quem tiver acesso ao servidor pode lê-los. E o registo guarda as escritas, não as leituras: um acesso de leitura não deixa rasto. Ambos os pontos estão identificados no modelo de ameaças do projeto.
7. Alojamento e transferências
Não há alojamento em funcionamento até hoje: o serviço não está aberto, e não existem dados reais. O alojador, o seu país e a eventual transferência para fora da União Europeia serão escritos aqui antes da primeira inscrição real — não depois.
8. Segurança
- Palavras-passe protegidas por scrypt, nunca em claro.
- O testemunho de sessão é entregue uma só vez; apenas a sua impressão é armazenada. Uma fuga da base não torna nenhuma sessão utilizável.
- Todas as consultas à base passam por instruções preparadas.
- A pesquisa é limitada em número de resultados e em ritmo, o que torna dispendiosa a recolha automatizada de perfis.
- Nenhum rasto de execução é devolvido ao navegador em caso de erro.
Estas proteções são verificadas por testes automatizados, e várias delas foram provadas partindo propositadamente o código para confirmar que o teste falha.