signal.org — 72/100 (Risco médio de privacidade)
Última análise
Signal Messenger LLC · signal.org
Detalhes do relatório
Risco médio de privacidadeO Signal genuinamente quase não coleta nada e criptografa tudo, mas sua documentação legal está desatualizada e sem divulgações críticas exigidas pelo RGPD (GDPR), como salvaguardas de transferência, períodos de retenção e procedimentos de direitos do usuário.
A arquitetura e as práticas de dados do Signal estão entre as mais amigas da privacidade do setor — criptografia de ponta a ponta por padrão, sem monetização de dados e coleta mínima. No entanto, a política de privacidade não é atualizada desde maio de 2018 e carece de elementos formais de conformidade com o RGPD: sem descrição dos direitos dos titulares de dados, sem bases legais para o processamento, sem períodos de retenção, sem contato do DPO e sem menção de salvaguardas adequadas para transferências para os EUA. A cláusula obrigatória de jurisdição da Califórnia também é problemática para os consumidores da UE.
Avaliação por categoria
Repartição da política pelas principais áreas de conformidade. Bom = sólido, razoável = misto, fraco = preocupante.
Apenas o número de telefone é obrigatório; os dados do perfil são opcionais e criptografados de ponta a ponta; os metadados técnicos são limitados ao mínimo necessário para operar o serviço.
A política é clara sobre a criptografia e o que é coletado, mas carece de períodos de retenção, bases legais para o processamento e não é atualizada desde maio de 2018.
O compartilhamento é limitado a provedores de código de verificação e serviços de terceiros opcionais como Giphy, mas nenhuma lista de subprocessadores é fornecida e nenhuma salvaguarda contratual é descrita.
Os dados são explicitamente transferidos para os EUA e outros países, mas nenhum mecanismo de transferência em conformidade com o RGPD (CCS, decisão de adequação, RCE) é mencionado em nenhum lugar da política.
A política é omissa sobre o treinamento de IA, mas a firme postura do Signal contra a monetização e a coleta mínima de dados tornam isso improvável; no entanto, não está explicitamente proibido.
Nenhuma descrição explícita dos direitos do RGPD (acesso, retificação, exclusão, portabilidade, oposição, restrição); apenas uma referência vaga ao gerenciamento de informações nas configurações do aplicativo.
Conclusões principais
Cláusulas relevantes, problemas ou boas práticas identificadas (críticas primeiro)
Sem salvaguardas de transferência do RGPD para fluxos de dados para os EUA
Os Termos afirmam que os usuários concordam com 'a transferência de suas informações criptografadas e metadados para os Estados Unidos e outros países onde temos ou usamos instalações, provedores de serviços ou parceiros', mas a política não menciona Cláusulas Contratuais Padrão, decisões de adequação ou Regras Corporativas de Empresa. Pós-Schrems II, esta é uma lacuna de conformidade significativa para os usuários da UE.
Os direitos dos titulares de dados do RGPD não são descritos
A política de privacidade não enumera ou explica nenhum direito do RGPD (Artigos 15-22): nenhum direito de acesso, retificação, apagamento, restrição, portabilidade ou oposição. A única menção é que os usuários podem 'gerenciar suas informações pessoais nas Configurações do aplicativo Signal', o que é insuficiente nos termos do Artigo 13(2)(b) do RGPD.
Nenhum período de retenção de dados especificado
A política afirma que os dados de suporte são 'mantidos apenas para fins de pesquisa do problema' e que as informações técnicas são 'limitadas ao mínimo necessário', mas nenhum período de retenção específico é fornecido para qualquer categoria de dados, conforme exigido pelo Artigo 13(2)(a) do RGPD.
Cláusula obrigatória de jurisdição dos EUA entra em conflito com os direitos do consumidor da UE
Os Termos exigem que as disputas sejam resolvidas exclusivamente no 'Tribunal Distrital dos Estados Unidos para o Distrito Norte da Califórnia ou em um tribunal estadual no Condado de San Mateo, Califórnia', o que pode ser inexequível contra os consumidores da UE nos termos do Regulamento Bruxelas I e é inconsistente com o Artigo 79(2) do RGPD.
Política de privacidade desatualizada — última atualização em maio de 2018
A política de privacidade não foi atualizada desde 25 de maio de 2018, levantando questões sobre se reflete as práticas de dados atuais, os relacionamentos com terceiros e os requisitos regulatórios que evoluíram desde então.
Nenhuma base legal para o processamento especificada
A política não identifica a base legal sob o Artigo 6 do RGPD para qualquer atividade de processamento (por exemplo, desempenho de contrato para registro de conta, interesse legítimo para segurança), conforme exigido pelo Artigo 13(1)(c) do RGPD.
Provedores de terceiros carecem de detalhes contratuais
A política menciona 'Provedores de Terceiros' que enviam códigos de verificação e afirma que eles 'estão vinculados por suas próprias Políticas de Privacidade para proteger essas informações', mas não os nomeia, não descreve salvaguardas contratuais ou fornece uma lista de subprocessadores conforme esperado nos princípios de responsabilidade do RGPD.
Forte compromisso de não monetização
Os Termos afirmam explicitamente: 'O Signal não vende, aluga ou monetiza seus dados pessoais ou conteúdo de forma alguma – nunca.' Este é um compromisso forte e sem reservas que vai além da linguagem típica do setor.
Resumo para o utilizador
Suas mensagens e chamadas são genuinamente privadas e criptografadas, mas se você precisar exercer seus direitos sob o RGPD ou quiser clareza sobre como seus dados se movem para os EUA, a política não deixa respostas claras.
Postura de conformidade
Forte em privacidade técnica, fraca em documentação legal. A substância é excelente, mas a estrutura formal de conformidade com o RGPD está incompleta.
Transferências UE
Os Termos reconhecem explicitamente transferências para os EUA e outros países, mas não mencionam nenhum mecanismo de transferência do RGPD (CCS, decisão de adequação ou RCE). Esta é uma lacuna de conformidade significativa pós-Schrems II.
Sinais detetados
Dados e práticas específicas identificadas no texto
Fragmentos de evidência
Citações diretas da política que suportam estas conclusões
Signal does not sell, rent or monetize your personal data or content in any way – ever.
you agree to our data practices as described in our Privacy Policy, as well as the transfer of your encrypted information and metadata to the United States and other countries where we have or use facilities, service providers or partners.
You can manage your personal information in Signal's application Settings. For example, you can update your profile information or choose to enable additional privacy features like a Registration Lock PIN.
Signal limits this additional technical information to the minimum required to operate the Services.
You agree to resolve any Claim you have with us relating to or arising out of our Terms, us, or our Services exclusively in the United States District Court for the Northern District of California or a state court in San Mateo County, California.
These providers are bound by their Privacy Policies to safeguard that information.
Em falta ou pouco claro
- Sem bases legais do RGPD para o processamento
- Sem períodos de retenção de dados
- Sem lista de subprocessadores
- Sem informações de contato do DPO
- Sem mecanismo de transferência do RGPD (CCS, adequação, RCE)
- Sem política explícita de treinamento de IA/modelos
- Sem divulgação de cookies ou tecnologias de rastreamento
- Sem referências a AIPD
- Sem procedimento de notificação de violação de dados
- Sem enumeração explícita dos direitos do RGPD
Perguntas a fazer
- Quais Cláusulas Contratuais Padrão ou outros mecanismos de transferência o Signal utiliza para transferências de dados da UE para os EUA, e você pode fornecer a documentação relevante?
- Quais são os períodos de retenção específicos para cada categoria de dados coletados (números de telefone, metadados técnicos, dados de suporte)?
- Quem são os 'Provedores de Terceiros' que processam os códigos de verificação e quais obrigações contratuais de proteção de dados eles têm além de suas próprias políticas de privacidade?
- Como um usuário da UE pode exercer seus direitos sob o RGPD (acesso, apagamento, portabilidade, oposição) — existe um processo ou contato dedicado além do e-mail geral privacy@signal.org?
- O Signal conduziu uma Avaliação de Impacto à Proteção de Dados para seu recurso de descoberta de contatos, dado que envolve o hash e a transmissão de dados da lista de endereços?
- Por que a política de privacidade não foi atualizada desde maio de 2018 e ela reflete com precisão todas as atividades atuais de processamento de dados e relacionamentos com terceiros?
Partilhar esta análise
Qualquer pessoa com esta ligação pode ver o resultado acima.
Criado pela DentroChat
Chat de IA 100% europeu para todos
Converse com IA, trabalhe com ficheiros, gere imagens e pesquise na web. Os dados permanecem na Europa.
Outras políticas de privacidade analisadas
Ver todasapple.com
72/100
Risco médio de privacidadeA divulgação de privacidade do Messages da Apple mostra criptografia forte e curta retenção de dados, mas deixa lacunas críticas de conformidade da UE — sem menção a transferências internacionais, direitos do usuário sob o RGPD (GDPR), ou se os metadados das mensagens treinam modelos de IA.
Ver relatório →about.qwant.com
72/100
Risco médio de privacidadeO Qwant oferece forte privacidade por padrão sem cookies de rastreamento, mas criar uma conta ou consentir com os cookies compartilha dados significativos com a Microsoft, e a política carece de clareza sobre transferências internacionais e treinamento de IA.
Ver relatório →slack.com
72/100
Risco médio de privacidadeO Slack recolhe uma vasta gama de dados pessoais e de utilização, dependendo fortemente de interesses legítimos amplos para os processar e transferir globalmente, embora forneça os direitos padrão do RGPD (GDPR) e salvaguardas como as Cláusulas Contratuais Padrão.
Ver relatório →robotstxt.es
68/100
Risco médio de privacidadeA Robotstxt geralmente respeita a privacidade da UE, mas carece de detalhes claros sobre as bases legais, processadores terceiros e uso de IA.
Ver relatório →