Política de Privacidade

Última atualização: 30 de outubro de 2026 · vigora para todas as versões do Sidstuga: Google Play, Amazon e sideload.

Resumo numa frase

Tudo o que adiciona (credenciais, URLs, favoritos, definições) fica apenas no seu dispositivo. Sem anúncios, sem registo obrigatório. Os diagnósticos anónimos (relatórios de falhas e métricas de utilização gerais) são enviados por defeito e estão descritos abaixo, em Diagnósticos. Duas funcionalidades opcionais enviam mais dados: Cloud Sync (cópia de segurança cifrada) e o Gestor de fontes (emparelhamento web para as suas listas / fontes).

O Cloud Sync (Premium) é uma funcionalidade opcional. Se decidir ativá-lo, recolhemos o seu endereço de e-mail e usamo-lo apenas para identificar a sua conta. A sua palavra-passe nunca sai do dispositivo: as chaves são derivadas localmente via Argon2id. Os favoritos e o histórico são cifrados ponta-a-ponta antes de saírem do dispositivo; não os conseguimos ler. O backend de sincronização corre em Cloudflare Workers (região: Europa Ocidental) em sync.sidstuga.app. Termine sessão na app para remover os dados de sincronização locais; o cofre cifrado no servidor é apagado quando a conta é eliminada.

Gestor de fontes (emparelhamento web)

Opcional. Se abrir sidstuga.app/cloudsync e o emparelhar com o seu dispositivo, o dispositivo envia (e a página web lê depois) a lista de URLs de fontes que adicionou (URLs de listas M3U e URLs de fornecedores Xtream Codes). O emparelhamento é anónimo: não há conta, apenas um código de 6 caracteres gerado aleatoriamente que é trocado por um token de grupo opaco.

O que guardamos, por grupo: uma etiqueta do dispositivo, o modelo do dispositivo, a versão da app e um hash SHA-256 do IP que pediu o emparelhamento. Os URLs M3U são guardados em claro. O URL + utilizador + palavra-passe do Xtream Codes são guardados cifrados em AES-256-GCM, com uma chave derivada do token de grupo (o servidor consegue decifrar enquanto o token está em trânsito; a cifragem defende contra dumps da base de dados, não contra código de servidor comprometido).
Região: Cloudflare D1, Europa Ocidental.
Retenção: os registos ficam até carregar em "Desemparelhar" no gestor web ou na app. Desemparelhar marca o registo para eliminação e o servidor apaga-o definitivamente ao fim de um período de 7 dias.
O que nunca guardamos: conteúdo dos streams, listas de canais obtidas do seu fornecedor, progresso de visualização, ou seja o que for além do necessário para gerir os URLs das fontes.

O que NÃO fazemos

Não corremos um servidor próprio a recolher os seus dados por defeito: os únicos dados que saem automaticamente do dispositivo são os diagnósticos, as métricas e os dados de atribuição de anúncios descritos abaixo. O Cloud Sync é opt-in e cifrado ponta-a-ponta.
Sem SDKs de terceiros de publicidade ou atribuição: sem AppsFlyer, Adjust ou Branch. (A versão Google Play mede as conversões das campanhas Google Ads através do Firebase, como explicado em Diagnósticos abaixo, mas não mostra anúncios.)
Não mostramos anúncios: não há SDKs publicitários incorporados.
Não exigimos conta ou registo para usar a app: só cria conta se aderir ao Cloud Sync.
Não acedemos à sua agenda, contactos, fotografias ou microfone: a app não pede essas permissões.

O que a app guarda no seu dispositivo

Credenciais Xtream Codes ou URL/ficheiro M3U que adiciona (cifrado via EncryptedSharedPreferences).
Definições da app (idioma, ordem de canais, favoritos, lembretes, PIN parental com hash SHA-256 + salt).
Histórico do "último canal visto" para retomar à reabertura.

Estes dados nunca saem do dispositivo. Quando desinstala ou limpa dados em Definições → Apps → Sidstuga → Armazenamento → Limpar dados, tudo é eliminado. Não temos cópia em lado nenhum.

Diagnósticos & métricas anónimas que recolhemos

Para manter a app estável e perceber como é usada, o Sidstuga envia uma pequena quantidade de dados de diagnóstico anónimos. Nada disto o identifica e nunca inclui as suas playlists, credenciais ou o que vê.

Firebase Crashlytics (apenas na versão Google Play). Quando a app falha, é enviado um relatório anónimo: stack trace, modelo do dispositivo, versão do Android, versão da app. Sem credenciais, sem URLs de playlists, sem identificadores pessoais.
Firebase Analytics (apenas na versão Google Play). Eventos de utilização básicos e agregados associados a um ID de instância anónimo gerado pela app. Para medir que campanha Google Ads trouxe uma instalação ou compra, esta versão permite também o identificador de publicidade da Google e a medição de conversões (Consent Mode: ad_storage e ad_user_data concedidos). A personalização de anúncios fica DESLIGADA (ad_personalization negado) e a app não mostra anúncios: estes dados servem apenas para atribuir conversões às nossas próprias campanhas Google Ads.
Métricas anónimas do Sidstuga (todas as versões). A app envia métricas operacionais e de produto pouco detalhadas para o nosso próprio servidor (metrics.sidstuga.app): um ID de instalação aleatório gerado no seu dispositivo (não é o seu Advertising ID, sem fingerprinting), o tipo de dispositivo (TV / telemóvel / tablet), a versão da app, um país aproximado (a partir do seu IP na periferia da rede; o IP em si nunca é guardado), pings de presença de abertura / sessão / heartbeat, um conjunto fixo de eventos de produto (ex.: "paywall mostrado", "compra iniciada"), códigos de erro pouco detalhados e, depois de verificado com a Google ou a Amazon, o seu estado de subscrição (trial / ativa / expirada). Nunca recebemos os dados do seu cartão ou de faturação. As contagens de instalações são aproximadas; os números oficiais estão na Google Play / Amazon.
Atribuição de anúncios (instalações pela Google Play): quando a app é instalada a partir de um anúncio do Google Ads, o Install Referrer da Play diz à app que clique no anúncio trouxe a instalação. Se aceitar o pedido de medição, a app envia esse identificador de clique (gclid) e o texto bruto do referrer ao nosso servidor, juntamente com um hash irreversível do identificador do dispositivo (SHA-256 do Android ID e do nome do pacote; o Android ID em si nunca sai do dispositivo). O nosso servidor também diz então ao Google Ads, uma só vez, que esse clique levou ao início de um teste grátis ou a uma compra (um ID de ordem opaco, a hora e o identificador de clique: sem nome, e-mail, conta, playlists nem histórico de visualização). Se recusar, o identificador de clique e o texto do referrer não são enviados a nós, a medição não leva o hash, e nada é enviado ao Google Ads. O mesmo hash continua a ser usado, à parte, para gerir o teste gratuito e verificar uma subscrição, porque ambos precisam de reconhecer o aparelho; sem identificador de clique não fica ligado a nenhum anúncio. Se aceitou, o identificador de clique e o hash ficam na nossa base de dados de métricas enquanto a instalação estiver ativa e pode pedir-nos que os apaguemos a qualquer momento. Se recusou, o único identificador que guardamos é o código do aparelho do teste e da subscrição, um pseudónimo que nós próprios não conseguimos ligar a si, por isso pode não ser possível encontrá-lo para o apagar.
Relatórios de falha e de app "encravada" (todas as versões, incluindo sideload). Se a app falhar, encravar ("app não responde") ou for fechada pelo sistema por falta de memória, envia-nos um relatório técnico anónimo na próxima vez que abrir: que tipo de erro foi, um rasto técnico de onde aconteceu (credenciais e dados pessoais são removidos antes de sair do seu dispositivo, e os nomes internos das classes nesse rasto vêm ofuscados pelo processo de compilação em todas as versões que publicamos, não só na Google Play, não são texto legível), modelo do dispositivo, versão do Android, e quanta memória/armazenamento estava livre nesse momento. Isto é independente do Firebase Crashlytics acima: existe para também termos dados de falhas das versões Amazon e sideload, que não têm Firebase nenhum.

A Google processa os dados do Firebase enquanto subcontratante (data processor); veja a documentação de privacidade do Firebase. As métricas do Sidstuga e os relatórios de falha são processados pela Cloudflare em nosso nome e guardados na UE. Tudo isto é anónimo. Os dados de falhas reportados pelo Firebase são retidos pelo Firebase até 90 dias; os nossos próprios relatórios de falha também ficam retidos 90 dias. As métricas em bruto do Sidstuga são apagadas automaticamente (heartbeats ao fim de 7 dias, eventos ao fim de 30 dias, registos de erro ao fim de 90 dias) e apenas os agregados diários anónimos são guardados por mais tempo.

Tráfego de rede

A app comunica diretamente com o servidor IPTV que o utilizador configura. Esse tráfego ocorre entre o seu dispositivo e o seu fornecedor: não somos intermediários dos seus streams, listas ou credenciais, e não vemos nem registamos nada disso.

Títulos, capas, notas e legendas passam pelo nosso servidor. Quando navega em filmes e séries, a app mostra capas, sinopses, elenco, notas e legendas. Na versão mais recente da app estes pedidos passam pelo nosso servidor (sync.sidstuga.app, Cloudflare Workers, Europa Ocidental) em vez de irem do seu dispositivo diretamente a cada fornecedor. Assim a app não leva nenhuma chave de fornecedores lá dentro e os resultados são partilhados e guardados para todos. Os fornecedores por trás são o TMDB (capas e sinopses), o MDBList (notas), o Fanart.tv (logótipos e imagens), o OpenSubtitles, o SubDL, o SubSource e o Gestdown (legendas) e, só se ligar a sua conta, o Trakt.

O que o nosso servidor recebe: os identificadores dos títulos ou o texto da pesquisa, o idioma e, nas legendas, o título, o episódio e o nome da versão. Se ligar o Trakt, recebe também o token de sessão que o próprio Trakt lhe deu, que segue para o Trakt no mesmo pedido e que nunca guardamos. As suas credenciais IPTV, os URLs das listas e as listas de canais nunca são enviados.
O que guardamos: os resultados públicos (uma capa, uma nota, uma lista de legendas) ficam guardados por título durante horas ou dias, sem ligação a si. Não registamos estes pedidos. Para travar abusos, o servidor mantém um contador por endereço IP que se apaga sozinho em cerca de dois minutos.
O que os fornecedores vêem: o nosso servidor, não o seu dispositivo. Nunca recebem o seu IP nem qualquer identificador seu, com duas exceções: o Trakt, que conhece a conta que ligou, e a opção «Capas com pontuações», que continua a carregar as imagens diretamente do serviço RPDB, que por isso vê o seu IP enquanto estiver ligada.

Exceções (todas opcionais):

Verificação de atualizações: a versão pública usa a API oficial Google Play In-App Updates; é o sistema do Android que faz a chamada.
EPG / catch-up / VOD: pedidos diretamente ao seu servidor IPTV.
Compras & subscrições: tratadas inteiramente pelo Google Play Billing. A Google processa o pagamento; nunca vemos os dados do seu cartão nem a morada de faturação.
Diagnósticos & métricas: os relatórios anónimos do Firebase (versão Google Play) e as métricas anónimas do Sidstuga descritas acima, enviadas para metrics.sidstuga.app.
Verificação de subscrição: após uma compra, a app pede ao nosso servidor para confirmar a subscrição com a Google/Amazon, para que o seu acesso sobreviva a falhas de rede ou da loja. Só o token de compra e o seu ID de instalação anónimo são enviados, nunca dados de cartão ou de faturação.

Permissões

INTERNET: para reproduzir streams.
ACCESS_NETWORK_STATE: detetar quedas de ligação e reconectar automaticamente.
POST_NOTIFICATIONS (Android 13+): apenas se ativar lembretes.
SCHEDULE_EXACT_ALARM: apenas para lembretes à hora exata.
RECEIVE_BOOT_COMPLETED: só se tiver lembretes ativos, para que a app os volte a programar depois de o dispositivo reiniciar.
SYSTEM_ALERT_WINDOW: mantida apenas como isenção de background-activity-launch para a funcionalidade opcional "arranque automático ao ligar" (Android TV). A app não desenha qualquer janela em overlay.
com.android.vending.BILLING: exigida pela Google Play para processar compras de subscrição.
Câmara: quando escolhe associar uma TV, a aplicação usa a câmara do seu dispositivo apenas para ler o código QR de emparelhamento apresentado na TV. A imagem é processada no seu dispositivo e nunca é armazenada, enviada ou partilhada.

Não pedimos as permissões de contactos, calendário, localização, fotografias ou microfone. O Firebase Analytics e o nosso servidor de métricas inferem o seu país aproximado a partir do endereço IP (ver Diagnósticos acima): é toda a informação de localização que alguma vez vemos, e apenas se não tiver desativado a recolha.

Cookies neste site

Esta secção é sobre o sidstuga.app, o site que está a ler agora. A app em si não usa cookies nenhuns.

Estritamente necessário. O sidstuga_locale guarda o idioma em que o site lhe está a aparecer. Na primeira visita é um palpite feito a partir da sua localização aproximada, não uma escolha sua; a partir do momento em que escolhe um idioma, passa a guardar esse. É nosso, expira ao fim de um ano, e é colocado nas páginas com idioma seja qual for a sua resposta à faixa: sem ele o site não consegue continuar a mostrar-lhe a língua que está a ler.

Medição e publicidade: só com o seu consentimento. Usamos o Google Analytics 4 para perceber que páginas são mesmo úteis, e o Google Ads para saber que anúncio trouxe alguém que acabou por comprar. Ambos correm pelo gtag.js da Google, em Consent Mode v2.

Antes de responder à faixa, e se recusar: nada fica guardado no seu dispositivo e não existe identificador de publicidade nenhum. O seu navegador chega a enviar à Google um sinal de medição sem cookie e sem identificador: o suficiente para contar que uma página foi vista, nunca o suficiente para o reconhecer, aqui ou noutro site qualquer.

Se aceitar: a Google coloca os cookies de análise e de publicidade dela (tipicamente _ga, _ga_* e _gcl_*), que são o que nos permite distinguir uma visita de outra e ligar uma compra ao anúncio que a produziu. A personalização de anúncios faz parte desse consentimento.

Não mostramos anúncios neste site e não vendemos os seus dados a ninguém.

Guardado pelo próprio site, e nunca enviado para nós. Ficam no armazenamento local do seu navegador, no seu dispositivo: o sidstuga_consent, a sua resposta à faixa, para não ser perguntada outra vez em cada página; o sid-lang-routed e o sid-lang-manual, que impedem o reencaminhamento de idioma de discutir com um idioma que escolheu à mão; o sidstuga_purchase_…, escrito na página de confirmação depois de uma compra (só se tiver aceitado) para que reabrir esse link não conte a mesma venda duas vezes; e, só nas páginas de revenda, o sid_reseller_token, que o mantém com sessão iniciada ali.

Mudar de ideias. Reabra a faixa dos cookies e responda outra vez: dá o mesmo clique que deu a primeira resposta, e a nova passa a valer de imediato.

O que a Google faz com o que recebe está explicado em Como a Google utiliza informações de sites que usam os seus serviços.

Eliminação de dados

Quase tudo fica no seu dispositivo. Para apagar tudo:

Vá a Definições → Apps → Sidstuga → Armazenamento.
Carregue em Limpar dados.
(Opcional) Desinstale a app.

Para os diagnósticos anónimos do Firebase, envie e-mail para support@sidstuga.app e apagamos os seus registos da consola Firebase; caso contrário, os dados de falhas expiram automaticamente ao fim de 90 dias.

Para as métricas anónimas do Sidstuga (incluindo os nossos próprios relatórios de falha/app encravada), envie e-mail para support@sidstuga.app com a versão da app, o modelo do aparelho e, se subscreveu, o número da encomenda do Google Play (a app não mostra o ID de instalação anónimo), e procuramos os registos que conseguirmos ligar a si e apagamo-los; caso contrário, os dados em bruto expiram automaticamente conforme descrito acima.

Conteúdo de terceiros e responsabilidade do utilizador

O Sidstuga é um leitor de multimédia. Não é fornecedor, alojador, distribuidor nem agregador de conteúdo. A app não inclui, recomenda, indexa nem distribui streams IPTV, listas de canais ou ficheiros multimédia de qualquer tipo.

Para usar a app, tem de fornecer as suas próprias credenciais (Xtream Codes) ou lista (M3U/M3U8) de um serviço a que está autorizado a aceder de forma independente. É o único responsável por garantir que esse uso cumpre a legislação aplicável, os termos do seu fornecedor IPTV e quaisquer direitos de autor relevantes. Na medida permitida por lei, o programador renuncia a toda a responsabilidade por conteúdo de terceiros transmitido através de fontes fornecidas pelo utilizador.

Crianças

A app não é dirigida a crianças menores de 13 anos. Não recolhemos dados pessoais, e os diagnósticos do Firebase descritos acima são anónimos.

Alterações

Se alterarmos esta política, a data no topo muda. Para uma cópia de uma versão anterior, envie e-mail para support@sidstuga.app.

Contacto

support@sidstuga.app