Ember works without an account. What you pray, read and write is kept on your device, and stays there unless you choose to sync it. If you do, each entry is encrypted on your device before it leaves, so that Ember's service stores it without being able to read it. Separately, the app sends counts of which parts of Ember are used, under a random identifier that is not tied to you; you can switch that off.
Your plan of life, the record of what you prayed, reading positions, bookmarks, highlights and notes, your collections, your saved churches and Mass check-ins, and your settings are stored in the app's local database. They leave your device only if you start sync, encrypted as described below. Your theme, reading fonts and layout, downloads and search history are never synced. Uninstalling the app, or Settings → Reset Database, deletes them from the device. On Android, the system's own backup may include this data in your Google account's device backup, under Google's control and yours.
Sync keeps the same prayer life on every device you use, and serves as a backup. It is off until you choose it: You → Account → Start with this device. Until then, none of the data above leaves your device. It is being introduced gradually: it appears as Account on the You page once your version of Ember has it.
In You → Account you may tell us who you are: a name, an email address, a phone number, a birthday. All four are optional, each can be left empty, and you can change or remove them there at any time.
Unlike your synced data, these are stored by Ember's service in readable form, beside your account identifier, so that we know who uses Ember and can contact them. The email address and phone number are not verified.
We send you news about Ember only if you tick Send me news about Ember. It is unticked to begin with, and you can untick it again at any time.
When you give an email address or a phone number, a switch appears: Keep a recovery copy. It is on by default and you can turn it off. It changes what Ember holds:
There are three ways out, all in You → Account:
Deleting removes the encrypted data, the details about you and the recovery copy at once. The service keeps only the bare fact that that identifier was deleted, which is what tells your other devices to erase themselves.
To learn which parts of Ember are used, the app sends counts of actions and screens: for example that a practice was prayed and which one from Ember's catalogue (the Rosary, say), that a book was opened and for how many minutes it was read, that an item was saved. Each count carries the day and hour it happened on your device's clock. With them go the app version and which update of it is running, the platform (iOS, Android or web) and the language, under a random identifier created on your device for this purpose alone.
These statistics are never sent together with an account, a name or an email. They contain nothing you wrote: no notes, no names of your own collections or practices, no church or location. Your network address is not stored with them. They go only to Ember's own service on Cloudflare; no third-party analytics is used in the app.
This is on by default. You can switch it off in Settings → Privacy → Help improve Ember; switching it off also discards that identifier.
The website (ember.dpgu.me) counts its visits with Cloudflare Web Analytics: which page was opened, the site that linked to it, and the browser, device type and country. It sets no cookies, stores nothing on your device and does not follow you across sites or visits. Nothing you do on the website is linked to the app or to an account.
A record of prayer says something about a person's religious beliefs, which data-protection law (the GDPR in Europe, the LGPD in Brazil) treats as specially protected. This is why sync is built so that Ember's service holds your record only in a form it cannot read: every entry is encrypted with a key the service does not have.
If you fill in About you, those details sit beside your account identifier, and so tell us that a person uses Ember. The prayer record itself remains encrypted.
The recovery copy is the one thing that could make an account's record openable, by whoever holds the offline recovery key together with the stored data. It exists only if you have given an email address or a phone number and left the switch on, and we do not use it except to return an account to its owner.
Usage statistics do say which prayers an install prays. That install is unnamed: the statistics are kept apart from accounts, are not tied to a person, and can be turned off.
You can see and correct everything Ember holds for you in the app itself, and delete it as described under Leaving. For anything held against your details, write to the address at the end of this page. You may complain to your data-protection authority.
Ember asks for your location only for Mass Times, in the app and on the website, and only when you use it. It is used to centre the map on you and to show how far each church is. To find churches, Ember sends the area of the map you are looking at — its centre and edges — to Ember's Mass Times service. That request carries no account or name. Like any web request it may appear in the service's short-lived technical logs. You can decline the permission; the map then starts from a default city and everything else works.
On a church's page in the app you can confirm that its times are correct or suggest a correction, with an optional note and an optional photo (a parish bulletin, for instance). What you write and attach is sent to Ember's Mass Times service and kept, so the listing can be fixed. Alongside it the service stores a one-way hash made from your network address and a random identifier created by the app on your device; it is used to limit abuse and to count one confirmation per person, and is not used to identify you. Please do not include personal information in notes or photos. To have a submission removed, write to the address below.
Your reading choices (light or dark, text size, Latin beside the text, a notice you closed) are remembered in your browser's own storage and are not sent anywhere. Search runs in your browser. Fonts and images are served by Ember itself.
Fetching content means contacting the server that holds it, which necessarily sees your network address:
Each of these applies its own privacy policy. Beyond what this page describes, Ember sends them nothing about you but the request itself.
Reminders are scheduled on your device; no push service is involved. A photo is read only when you pick one to attach to a correction. The camera is used only to scan the code when you add a device to your account.
Ember is suitable for all ages and can be used in full without giving any personal information. Giving a name, email address, phone number or birthday, or keeping a recovery copy, is meant for people old enough to consent for themselves under the law of their country; a younger person needs a parent or guardian to do it for them.
If this policy changes, the new text will be published here with a new date. Questions and requests: github.com/gustavo-depaula/ember/issues. Ember is open source, so everything described here can be checked in the code.
O Ember funciona sem conta. O que você reza, lê e escreve fica guardado no seu aparelho, e permanece ali a menos que você decida sincronizar. Nesse caso, cada registro é criptografado no aparelho antes de sair, de modo que o serviço do Ember o guarda sem conseguir lê-lo. À parte disso, o aplicativo envia contagens de quais partes do Ember são usadas, sob um identificador aleatório que não é ligado a você; você pode desligar isso.
Seu plano de vida, o registro do que você rezou, as posições de leitura, marcadores, destaques e notas, suas coleções, as igrejas salvas e os registros de Missa, e suas configurações são guardados no banco de dados local do aplicativo. Só saem do aparelho se você iniciar a sincronização, criptografados como descrito abaixo. O tema, as fontes e o layout de leitura, os downloads e o histórico de busca nunca são sincronizados. Desinstalar o aplicativo, ou Ajustes → Redefinir Banco de Dados, apaga tudo do aparelho. No Android, o backup do próprio sistema pode incluir esses dados no backup do aparelho na sua conta Google, sob o controle do Google e seu.
A sincronização mantém a mesma vida de oração em todos os aparelhos que você usa, e serve de cópia de segurança. Ela fica desligada até você escolhê-la: Você → Conta → Começar com este aparelho. Até lá, nenhum dos dados acima sai do seu aparelho. Ela está sendo introduzida aos poucos: aparece como Conta na página Você quando a sua versão do Ember já a tiver.
Em Você → Conta você pode nos dizer quem é: um nome, um endereço de e-mail, um telefone, uma data de aniversário. Os quatro são opcionais, cada um pode ficar em branco, e você pode alterá-los ou removê-los ali quando quiser.
Ao contrário dos dados sincronizados, estes são guardados pelo serviço do Ember em forma legível, ao lado do identificador da sua conta, para que saibamos quem usa o Ember e possamos entrar em contato. O e-mail e o telefone não são verificados.
Só enviamos novidades do Ember se você marcar Quero receber novidades do Ember. A opção vem desmarcada, e você pode desmarcá-la de novo quando quiser.
Quando você informa um e-mail ou um telefone, aparece uma chave: Manter uma cópia de recuperação. Ela vem ligada e você pode desligá-la. Ela muda o que o Ember guarda:
Há três saídas, todas em Você → Conta:
A exclusão remove de imediato os dados criptografados, as informações sobre você e a cópia de recuperação. O serviço conserva apenas o simples fato de que aquele identificador foi excluído, que é o que avisa os seus outros aparelhos para se apagarem.
Para saber quais partes do Ember são usadas, o aplicativo envia contagens de ações e telas: por exemplo, que uma prática foi rezada e qual delas, do catálogo do Ember (o Rosário, digamos), que um livro foi aberto e por quantos minutos foi lido, que um item foi salvo. Cada contagem leva o dia e a hora em que aconteceu, pelo relógio do seu aparelho. Junto vão a versão do aplicativo e qual atualização dela está em uso, a plataforma (iOS, Android ou web) e o idioma, sob um identificador aleatório criado no seu aparelho apenas para esse fim.
Essas estatísticas nunca são enviadas junto com uma conta, um nome ou um e-mail. Não contêm nada do que você escreveu: nem notas, nem nomes das suas próprias coleções ou práticas, nem igreja ou localização. Seu endereço de rede não é guardado com elas. Vão apenas para o serviço do próprio Ember na Cloudflare; não se usa nenhuma ferramenta de análise de terceiros.
Isso vem ligado. Você pode desligar em Ajustes → Privacidade → Ajudar a melhorar o Ember; ao desligar, esse identificador também é descartado.
Um registro de oração diz algo sobre a convicção religiosa de uma pessoa, o que a lei de proteção de dados (a LGPD no Brasil, o GDPR na Europa) trata como dado sensível. É por isso que a sincronização é feita de modo que o serviço do Ember só tenha o seu registro em forma que não consegue ler: cada registro é criptografado com uma chave que o serviço não tem.
Se você preencher Sobre você, essas informações ficam ao lado do identificador da sua conta, e assim nos dizem que uma pessoa usa o Ember. O registro de oração em si continua criptografado.
A cópia de recuperação é a única coisa que poderia tornar possível abrir o registro de uma conta, por quem tiver a chave de recuperação offline junto com os dados guardados. Ela só existe se você informou um e-mail ou um telefone e deixou a chave ligada, e não a usamos a não ser para devolver uma conta ao seu dono.
As estatísticas de uso dizem, sim, quais orações uma instalação reza. Essa instalação não tem nome: as estatísticas ficam separadas das contas, não são ligadas a uma pessoa, e podem ser desligadas.
Você pode ver e corrigir tudo o que o Ember guarda para você pelo próprio aplicativo, e apagar como descrito em Para sair. Para qualquer coisa guardada junto às suas informações, escreva para o endereço no fim desta página. Você pode reclamar à autoridade de proteção de dados (no Brasil, a ANPD).
O Ember pede sua localização apenas para os Horários de Missa, no aplicativo e no site, e apenas quando você os usa. Ela serve para centralizar o mapa em você e mostrar a distância até cada igreja. Para encontrar igrejas, o Ember envia a área do mapa que você está vendo — o centro e as bordas — ao serviço de Horários de Missa do Ember. Esse pedido não leva conta nem nome. Como qualquer requisição na web, pode aparecer nos registros técnicos de curta duração do serviço. Você pode recusar a permissão; o mapa então começa por uma cidade padrão e todo o resto funciona.
Na página de uma igreja, no aplicativo, você pode confirmar que os horários estão corretos ou sugerir uma correção, com uma nota opcional e uma foto opcional (o boletim da paróquia, por exemplo). O que você escreve e anexa é enviado ao serviço de Horários de Missa do Ember e guardado, para que a listagem seja corrigida. Junto disso o serviço guarda um hash irreversível feito do seu endereço de rede e de um identificador aleatório criado pelo aplicativo no seu aparelho; ele serve para limitar abusos e contar uma confirmação por pessoa, e não é usado para identificar você. Por favor, não inclua informações pessoais em notas ou fotos. Para pedir a remoção de um envio, escreva para o endereço abaixo.
Suas escolhas de leitura (claro ou escuro, tamanho do texto, latim ao lado do texto, um aviso que você fechou) são lembradas no armazenamento do próprio navegador e não são enviadas a lugar algum. A busca roda no seu navegador. As fontes e as imagens são servidas pelo próprio Ember.
Buscar um conteúdo significa contatar o servidor que o guarda, que necessariamente vê o seu endereço de rede:
Cada um deles aplica a própria política de privacidade. Fora o que esta página descreve, o Ember não lhes envia nada sobre você além do próprio pedido.
Os lembretes são agendados no seu aparelho; nenhum serviço de notificações externo é usado. Uma foto só é lida quando você escolhe uma para anexar a uma correção. A câmera é usada apenas para ler o código quando você acrescenta um aparelho à sua conta.
O Ember é adequado a todas as idades e pode ser usado por inteiro sem fornecer nenhuma informação pessoal. Informar nome, e-mail, telefone ou data de aniversário, ou manter uma cópia de recuperação, destina-se a quem tem idade para consentir por si mesmo segundo a lei do seu país; os mais novos precisam que o pai, a mãe ou o responsável o faça por eles.
Se esta política mudar, o novo texto será publicado aqui com nova data. Dúvidas e pedidos: github.com/gustavo-depaula/ember/issues. O Ember é de código aberto; tudo o que está descrito aqui pode ser conferido no código.