Skip to content

Política de Privacidade

Last Updated: June 23, 2026

1. Quem somos

O TonesFly é operado por Thang Pham ("TonesFly", "nós", "nosso" ou "nos"). Esta Política de Privacidade explica como recolhemos, utilizamos e protegemos as suas informações quando utiliza a aplicação móvel TonesFly ("a Aplicação").

Para efeitos do RGPD, Thang Pham é o responsável pelo tratamento de dados. Contacto: [email protected]

2. Informações que recolhemos

We collect the following types of information:

  • Account information — your email address, display name, authentication provider, and account/user ID when you create or link an account via Apple Sign-In, Google Sign-In, or email
  • Audio files — audio files you import into the App for listening practice (processed and stored on-device only; never sent to any server)
  • Transcripts and lesson data — generated entirely on your device from your imported audio; stored on-device and in iCloud (if enabled) only
  • Learning data — practice progress, accuracy scores, challenge completion, and streaks stored locally on your device
  • Device-linked identifiers — a persistent device_id stored in Keychain and sent to our server for account binding and free-tier limit enforcement
  • Preferences — your native language, stored locally on your device
  • Device information — device model, operating system version, and app version for diagnostics
  • Usage analytics — product interaction data used to improve the App; optional analytics are collected only with your consent
  • Campaign attribution — when you open the App from a marketing link, we may collect anonymous UTM parameters (source, medium, campaign name) to measure marketing effectiveness. These parameters do not contain personally identifiable information and are processed through PostHog subject to your analytics consent

3. Base legal para processamento (RGPD)

Processamos os seus dados pessoais nas seguintes bases legais:

  • Execução de contrato (Art. 6(1)(b)) — Dados da conta, processamento de áudio e dados de aprendizagem são necessários para fornecer o serviço solicitado
  • Interesse legítimo (Art. 6(1)(f)) — Informações do dispositivo e análises anonimizadas ajudam-nos a manter e melhorar a Aplicação, prevenir fraudes e garantir a segurança
  • Consentimento (Art. 6(1)(a)) — Análises não essenciais (PostHog) são processadas apenas com o seu consentimento, que pode retirar a qualquer momento nas Definições de Privacidade

Você pode retirar o consentimento para análises a qualquer momento sem afetar a legalidade do processamento antes da retirada.

4. Como utilizamos as suas informações

We use the information we collect to:

  • Provide, maintain, and improve TonesFly
  • Process imported audio entirely on your device to generate listening practice challenges
  • Authenticate your account and manage subscriptions
  • Enforce the free tier fairly and prevent abuse across multiple accounts on the same device
  • Process subscriptions and in-app purchases
  • Send important service updates via email
  • Respond to support requests
  • Measure marketing effectiveness using anonymous campaign attribution data from UTM parameters

5. Processamento de ficheiros de áudio

Audio is processed entirely on your device and never leaves it.

When you import an audio file:

  • Speech recognition runs on your device using on-device models
  • All transcription, lesson generation, and practice content creation happen on your device
  • No audio, transcripts, or lesson content are sent to any server
  • Audio files are stored on-device and in iCloud (if enabled) only
  • Processed challenge data is stored locally on your device and in your iCloud account for offline practice

Automated processing: Speech recognition and challenge generation are fully automated and run entirely on your device. No human reviews your audio or transcripts.

5a. On-Device Processing

TonesFly uses on-device speech recognition to convert your imported audio into text for listening practice. All speech recognition and lesson generation run entirely on your device — no audio or transcript data is sent to any external service.

All lesson content is generated and stored on your device.

5b. Automated Processing (GDPR Art. 22)

TonesFly uses on-device automated processing to generate listening practice challenges from your audio. This includes speech recognition, challenge generation, and adaptive pacing. All of this processing runs entirely on your device.

These automated processes help create your learning content but do not produce legal effects. Under GDPR Article 22, you have the right to request human review of any automated processing decision that significantly affects you by contacting [email protected].

For users under the applicable age threshold (13–18 depending on region), optional data collection is disabled entirely.

6. Serviços de terceiros

We use the following third-party services to operate and improve the App:

  • RevenueCat — subscription and purchase management
  • PostHog — product analytics (consent-based)
  • Firebase — authentication and crash reporting
  • Cloudflare — cloud hosting and edge network services (Workers, D1, KV)
  • Resend — transactional email delivery

These providers process data under data processing agreements with appropriate safeguards. Our Data Processing Agreement is available at https://tonesfly.com/dpa. Apple handles all subscription billing directly.

7. Partilha de dados

We do not sell, rent, or trade your personal data to third parties. This applies to all users, including California residents.

We may share data with:

  • Cloud hosting and infrastructure providers (for authentication and account management only)
  • Analytics services (product interaction data, with your consent where required)
  • Payment processors (Apple handles all subscription billing)
  • Legal authorities when required by law or to protect our legal rights

Audio, transcripts, and lesson content are processed entirely on your device and are not shared with any third party.

For California residents (CCPA/CPRA): We do not sell personal information. We do not share personal information for cross-context behavioral advertising. We do not collect or process sensitive personal information as defined by the CPRA, including precise geolocation, racial or ethnic origin, religious beliefs, genetic data, biometric information, or health information. You have the right to know what personal information we collect, request deletion, and opt out of any future sale. Contact [email protected] to exercise these rights.

8. Segurança dos dados

We implement industry-standard security measures to protect your data, including encryption in transit (TLS/HTTPS). Our server infrastructure is hosted on Cloudflare's global network (Workers, D1, KV) and handles only authentication and subscription management. Audio, transcripts, and lesson content are processed and stored entirely on your device and in your iCloud account — they are never sent to our servers.

In the event of a data breach that poses a risk to your rights and freedoms, we will notify the relevant supervisory authority within 72 hours and affected users without undue delay, as required by GDPR Article 33-34.

However, no method of transmission over the internet is 100% secure.

9. Retenção de dados

We retain your data for as long as your account is active or as needed to provide services.

  • Audio, transcripts, and lesson content: stored on-device and iCloud only. Never sent to our servers.
  • Account data (email, display name, device_id, subscription status): retained on our servers until account deletion.
  • Practice data: stored locally on your device; deleted when you remove the app, delete individual lessons, or choose to remove local data.
  • Analytics data: retained for up to 12 months, subject to your consent settings.

You may request account deletion at any time from Settings > Delete Account. When you request deletion, your account enters a 7-day grace period during which you may cancel by signing in. After the grace period expires, all your data is permanently deleted from our servers. We send email confirmation when deletion is scheduled, a reminder 24 hours before, and confirmation after deletion.

TonesFly cannot delete data stored in your iCloud account. To manage iCloud data, visit Settings > [Your Name] > iCloud on your device.

10. Transferências internacionais de dados

Our server infrastructure is hosted on Cloudflare's global edge network, handling only authentication and subscription management. Audio, transcripts, and lesson content are processed and stored entirely on your device and never leave it. Third-party services including Firebase, RevenueCat, and PostHog process account and analytics data in the United States.

Your information may also be accessed from Viet Nam (where the data controller is located) for administrative and development purposes.

For transfers outside the EU/EEA, we rely on:

  • Standard Contractual Clauses (SCCs) approved by the European Commission
  • Data processing agreements with all third-party service providers
  • Where applicable, adequacy decisions by the European Commission

You may request a copy of the safeguards in place by contacting [email protected]

Japanese residents (APPI): Your account data is transferred to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller) for the purposes described in this policy. Audio and lesson content remain on your device. We ensure appropriate data protection through contractual obligations with all service providers.

Chinese mainland residents (PIPL): Your account information may be transferred outside the People's Republic of China to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). Audio, transcripts, and lesson content remain on your device and are not transferred. By using TonesFly, you consent to this cross-border transfer for the purposes described in Section 4. You may withdraw consent at any time by contacting [email protected], which may affect our ability to provide the service. We conduct personal information protection impact assessments for cross-border transfers as required by PIPL.

South Korean residents (K-PIPA): Your account data is transferred to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We provide notice of the recipient, purpose, and items of personal information transferred. These transfers are protected by data processing agreements with all service providers.

Brazilian residents (LGPD): Your account data is transferred internationally to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller) for the purposes described in this policy. These transfers are protected by contractual clauses that ensure an adequate level of data protection as required by the LGPD.

Vietnamese residents (PDPD): As the data controller is located in Viet Nam, your personal data is subject to Decree 13/2023/NĐ-CP on personal data protection. Account data may be transferred to the United States for processing by third-party services (Firebase, RevenueCat, PostHog). We conduct data processing impact assessments for cross-border transfers as required by Vietnamese law.

United Kingdom residents (UK GDPR): Your account data is transferred to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). For transfers from the UK, we rely on the International Data Transfer Agreement (IDTA) or the UK Addendum to EU Standard Contractual Clauses, as approved by the UK Information Commissioner's Office (ICO).

Indian residents (DPDP Act 2023): Your account data may be transferred outside India to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). Audio and lesson content remain on your device. We ensure appropriate data protection through contractual obligations with all service providers. Note: Under the DPDP Act, children are defined as individuals under 18 years of age, and verifiable parental consent is required before processing their data.

Indonesian residents (PDP Law 27/2022): Your account data may be transferred outside Indonesia to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller) for the purposes described in this policy. These transfers are protected by data processing agreements ensuring an equivalent level of data protection.

Thai residents (PDPA 2019): Your account data may be transferred outside Thailand to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We ensure that adequate safeguards are in place as required by the Personal Data Protection Act, including contractual obligations with all service providers.

Turkish residents (KVKK): Your account data may be transferred outside Turkey to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We rely on your explicit consent or contractual necessity as the legal basis for these cross-border transfers, in accordance with the Law on the Protection of Personal Data (Law No. 6698).

Filipino residents (Data Privacy Act 2012): Your account data may be transferred outside the Philippines to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). These transfers are protected by contractual safeguards ensuring compliance with the Data Privacy Act of 2012 and regulations of the National Privacy Commission (NPC).

Saudi Arabian residents (PDPL 2023): Your account data may be transferred outside the Kingdom of Saudi Arabia to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We ensure an adequate level of data protection for cross-border transfers as required by the Personal Data Protection Law.

11. Privacidade infantil

O TonesFly utiliza um fluxo de verificação de idade para ajudar a cumprir as leis de privacidade infantil, incluindo COPPA (EUA) e RGPD (UE/EEE). Se ainda não completou esse fluxo, a aplicação pedirá a sua data de nascimento antes que a recolha opcional de dados possa ser ativada. A sua data de nascimento exata é processada localmente no dispositivo para determinar o limiar de idade correto; armazenamos apenas uma faixa etária (menos de 13, 13-15, 16-17 ou 18+) localmente no dispositivo, não nos nossos servidores.

Se se identificar como abaixo do limiar de idade aplicável (13 nos EUA e na maioria dos países, 13-16 na UE/EEE dependendo do país, 14 na China e Coreia do Sul e 18 na Índia), a recolha opcional de dados — incluindo análises, relatórios de falhas e diagnósticos — é automaticamente desativada e não pode ser reativada nas Definições.

Se acredita que os dados de uma criança foram recolhidos por engano, contacte [email protected] e nós eliminá-los-emos prontamente.

12. Os seus direitos

Dependendo da sua jurisdição, você possui os seguintes direitos:

Todos os utilizadores:

  • Aceder aos dados pessoais que mantemos sobre si
  • Solicitar a correção de dados imprecisos
  • Solicitar a eliminação dos seus dados
  • Exportar os seus dados em formato portátil
  • Recusar a recolha de dados analíticos

Residentes da UE/EEE (RGPD):

  • Direito de restringir o tratamento dos seus dados
  • Direito de se opor ao tratamento baseado em interesse legítimo
  • Direito de retirar o consentimento a qualquer momento
  • Direito de não ser submetido a decisões baseadas exclusivamente em tratamento automatizado
  • Direito de apresentar reclamação à sua autoridade local de proteção de dados (autoridade supervisora)

Residentes da Califórnia (CCPA/CPRA):

  • Direito de saber quais informações pessoais são recolhidas
  • Direito de eliminar informações pessoais
  • Direito de recusar a venda de informações pessoais (não vendemos os seus dados)
  • Direito à não discriminação pelo exercício dos seus direitos

Residentes do Japão (APPI):

  • Direito de solicitar a divulgação de dados pessoais retidos
  • Direito de solicitar correção, adição ou eliminação
  • Direito de solicitar a cessação do uso ou eliminação
  • Direito de solicitar a cessação do fornecimento a terceiros

Residentes da China continental (PIPL):

  • Direito de conhecer e decidir sobre o tratamento das suas informações pessoais
  • Direito de aceder e copiar as suas informações pessoais
  • Direito de corrigir ou complementar informações imprecisas ou incompletas
  • Direito de solicitar a eliminação das suas informações pessoais
  • Direito de retirar o consentimento a qualquer momento
  • Direito de solicitar explicação das regras de tratamento
  • Direito à portabilidade dos dados

Residentes da Coreia do Sul (K-PIPA):

  • Direito de aceder às suas informações pessoais
  • Direito de solicitar correção ou eliminação
  • Direito de solicitar a suspensão do tratamento
  • Direito de retirar o consentimento a qualquer momento

Residentes do Brasil (LGPD):

  • Direito à confirmação do tratamento de dados
  • Direito de aceder aos seus dados pessoais
  • Direito de corrigir dados incompletos, imprecisos ou desatualizados
  • Direito à anonimização, bloqueio ou eliminação de dados desnecessários
  • Direito à portabilidade dos dados
  • Direito à informação sobre entidades com as quais os dados foram partilhados
  • Direito de revogar o consentimento a qualquer momento

Residentes do Vietname (PDPD):

  • Direito de conhecer as atividades de tratamento de dados pessoais
  • Direito de consentir e retirar o consentimento
  • Direito de aceder aos seus dados pessoais
  • Direito de solicitar a correção dos seus dados pessoais
  • Direito de solicitar a eliminação dos seus dados pessoais
  • Direito de restringir o tratamento de dados
  • Direito à portabilidade dos dados

Residentes do Reino Unido (UK GDPR):

  • Direito de aceder aos seus dados pessoais
  • Direito à retificação de dados imprecisos
  • Direito à eliminação dos seus dados
  • Direito de restringir o tratamento
  • Direito à portabilidade dos dados
  • Direito de se opor ao tratamento
  • Direito de retirar o consentimento a qualquer momento
  • Direito de não ser submetido a decisões baseadas exclusivamente em tratamento automatizado
  • Direito de apresentar reclamação ao Information Commissioner's Office (ICO)

Residentes da Índia (DPDP Act 2023):

  • Direito de aceder a informações sobre os seus dados pessoais
  • Direito à correção e eliminação de dados pessoais
  • Direito à resolução de reclamações
  • Direito de nomear um representante para exercer os seus direitos em seu nome

Residentes da Indonésia (Lei PDP 27/2022):

  • Direito de ser informado sobre o tratamento de dados
  • Direito de aceder aos seus dados pessoais
  • Direito de corrigir dados imprecisos
  • Direito de solicitar a eliminação dos seus dados pessoais
  • Direito de retirar o consentimento a qualquer momento
  • Direito à portabilidade dos dados

Residentes da Tailândia (PDPA 2019):

  • Direito de aceder aos seus dados pessoais
  • Direito de corrigir dados imprecisos
  • Direito de solicitar a eliminação ou anonimização
  • Direito de restringir o tratamento
  • Direito à portabilidade dos dados
  • Direito de se opor ao tratamento
  • Direito de retirar o consentimento a qualquer momento
  • Direito de apresentar reclamação ao Personal Data Protection Committee (PDPC)

Residentes da Turquia (KVKK):

  • Direito de saber se os seus dados pessoais estão a ser tratados
  • Direito de solicitar informações sobre o tratamento
  • Direito de conhecer a finalidade do tratamento
  • Direito de corrigir dados incompletos ou imprecisos
  • Direito de solicitar a eliminação ou destruição de dados pessoais
  • Direito de se opor ao tratamento
  • Direito à portabilidade dos dados
  • Direito de apresentar reclamação à Autoridade de Proteção de Dados Pessoais (Conselho do KVKK)

Residentes das Filipinas (Data Privacy Act 2012):

  • Direito de ser informado sobre o tratamento de dados
  • Direito de aceder aos seus dados pessoais
  • Direito de corrigir dados imprecisos
  • Direito de solicitar a eliminação ou bloqueio de dados
  • Direito de se opor ao tratamento
  • Direito à portabilidade dos dados
  • Direito de apresentar reclamação à National Privacy Commission (NPC)

Residentes da Arábia Saudita (PDPL 2023):

  • Direito de ser informado sobre o tratamento de dados
  • Direito de aceder aos seus dados pessoais
  • Direito de corrigir dados imprecisos
  • Direito de solicitar a eliminação de dados pessoais
  • Direito de restringir o tratamento
  • Direito à portabilidade dos dados

Para exercer qualquer um destes direitos, contacte-nos em [email protected], utilize as Definições de Privacidade na Aplicação ou elimine a sua conta diretamente em Definições > Eliminar Conta. Responderemos dentro de 30 dias para pedidos do RGPD, dentro de 45 dias para pedidos do CCPA, dentro de duas semanas para pedidos do APPI, dentro de 15 dias úteis para pedidos do PIPL, dentro de 10 dias para pedidos do K-PIPA, dentro de 15 dias para pedidos do LGPD e PDPD, dentro de 30 dias para pedidos do UK GDPR, dentro de 30 dias para pedidos do DPDP, dentro de 14 dias para pedidos do PDP indonésio, dentro de 30 dias para pedidos do PDPA, dentro de 30 dias para pedidos do KVKK, dentro de 15 dias para pedidos do DPA filipino e dentro de 30 dias para pedidos do PDPL (ou antes, conforme exigido por lei).

13. Alterações nesta Política

Podemos atualizar esta Política de Privacidade periodicamente. Notificá-lo-emos sobre alterações materiais através da Aplicação ou por e-mail com pelo menos 30 dias de antecedência antes que as alterações entrem em vigor. O uso continuado da Aplicação após as alterações constitui aceitação da política atualizada.

14. Contacte-nos

Se tiver dúvidas sobre esta Política de Privacidade ou desejar exercer os seus direitos sobre dados, contacte-nos:

Thang Pham (TonesFly)
E-mail: [email protected]

Para utilizadores da UE/EEE: Se não estiver satisfeito com a nossa resposta, tem o direito de apresentar uma reclamação à sua autoridade supervisora local de proteção de dados.