A Olive Auction gere um mercado de azeite repartido por dois sítios e uma aplicação Android: oliveauction.com para os lagares e herdades que consignam, olive.auction para o leilão propriamente dito. Um único sistema de contas sustenta os três, pelo que esta página descreve os três. Enumera o que o software realmente guarda.
Uma conta guarda o seu endereço de e-mail, o seu nome, o nome do lagar ou da herdade, o país, a região, a morada de entrega que introduz enquanto comprador, o idioma do sítio que utiliza, e os meios de liquidação que decide publicar aos seus vencedores — titular, IBAN, PayPal, Revolut ou Wise, os que preencher. A sua palavra-passe é guardada como resumo PBKDF2-HMAC-SHA256 com sal a 150 000 iterações e nunca em forma legível; uma palavra-passe esquecida é substituída através de uma ligação de reposição enviada por e-mail. O endereço IP a partir do qual uma conta foi aberta fica no registo da conta e serve para detetar um lagar a licitar nos seus próprios lotes.
Iniciar sessão coloca um único cookie, chamado oa_session: um testemunho aleatório, HttpOnly, Secure, SameSite=Lax, válido 30 dias e reposto a 30 dias enquanto continuar a usar a conta. O testemunho nada significa por si só — o que o identifica é a linha correspondente no nosso servidor, e terminar sessão ou eliminar a conta apaga essa linha. Não há cookies de terceiros em nenhum dos sítios. O navegador guarda ainda localmente algumas preferências pequenas: a sua escolha de claro ou escuro, a etiqueta de conta mostrada no cabeçalho, se já viu o aviso de alerta de leilão, e os identificadores de análise do §6. Limpar os dados do sítio limpa-os a todos.
Um lote leva aquilo que escreve no formulário de anúncio — título, casta, região, colheita, valores de laboratório, referência da árvore, embalagem, tarifas de transporte — mais as fotografias que anexa. Os documentos de laboratório que carrega para a sua prateleira de dossiê não são servidos publicamente; só são acessíveis através de um pedido autenticado que verifica que o ficheiro é seu. Cada licitação é guardada com o seu valor, a conta que a fez e o momento em que chegou. Os lotes vendidos geram uma encomenda e uma fatura de comissão, e a estas juntam-se o número de seguimento que regista, qualquer tarifa de transporte revista e qualquer reclamação por danos com as fotografias anexas. Quando um lote é vendido, o lagar recebe o nome e a morada de entrega do vencedor, e o comprador vê os meios de liquidação que o lagar publica. Essa troca acontece para essa liquidação e para mais nada: os dados do comprador nunca são publicados, vendidos nem cedidos para fins comerciais.
Os dados do cartão são introduzidos na página de pagamento alojada pela própria Stripe e nunca chegam aos nossos servidores; não vemos nem guardamos qualquer número de cartão. O que guardamos é o identificador que a Stripe devolve para a sessão de pagamento e para o pagamento, o valor, e se está bloqueado ou liquidado. A comissão do produtor é tomada como pré-autorização — um bloqueio colocado no cartão quando um lote é vendido e capturado quando a expedição é registada — e uma venda cancelada liberta-o. Quando um lagar liquida antes por transferência bancária ou cripto, guardamos a referência ou o id de transação que declara para que o pagamento possa ser conciliado. Os compradores pagam aos lagares diretamente pelos meios do próprio lagar; esse dinheiro nunca passa pela Olive Auction, e não guardamos quaisquer credenciais de pagamento para isso.
O e-mail transacional — resultados de leilão, passos de liquidação, reposições de palavra-passe, confirmações de eliminação — parte do nosso próprio servidor de correio. Os alertas de leilão e qualquer envio vão apenas para os endereços que os pediram no formulário de inscrição, que guarda o nome, o endereço e o idioma. A aplicação Android regista um testemunho Firebase Cloud Messaging para que um lote prestes a fechar ou uma licitação ultrapassada possam chegar ao seu telemóvel; guardamos esse testemunho, a conta a que pertence e quando foi visto pela última vez, e o serviço FCM da Google transporta a mensagem em si. Desativar as notificações, terminar sessão ou desinstalar a aplicação remove o testemunho do nosso lado.
Não há rede publicitária, nem conjunto de análise de terceiros, nem rastreio entre sítios em nenhum dos sítios nem na aplicação. As visualizações de página são contadas pelo nosso próprio script no nosso próprio servidor. Uma visualização regista o caminho e o título da página, o anfitrião do sítio de origem, o idioma do navegador, o tamanho do ecrã, o dispositivo, o navegador e o sistema operativo lidos da cadeia user-agent, um país de duas letras obtido na borda, um identificador de visitante aleatório guardado no próprio armazenamento do navegador, um identificador de sessão que dura até o separador fechar, e um resumo unidirecional com sal do endereço IP. O próprio endereço IP não é escrito no registo de análise. Limpar os dados do sítio repõe os identificadores, e nada do que é recolhido aqui é vendido ou partilhado.
Um pedido de consignação ou uma mensagem de apoio é guardado com o nome, o e-mail e o texto que envia, chega-nos por e-mail para que uma pessoa responda, e é copiado para o nosso próprio sistema de acompanhamento, na nossa própria infraestrutura, para que nada se perca entre respostas. Uma comunicação de problema enviada pela ligação do rodapé leva a sua mensagem, a captura de ecrã que anexar e o contexto do dispositivo que o navegador reporta, juntamente com o seu e-mail se tiver sessão iniciada. Cada formulário tem limite por endereço IP, que fica em memória durante essa janela e não é guardado.
Pode encerrar a sua conta sozinho a partir da página da sua conta. São dois passos: o pedido e depois uma ligação de confirmação enviada por e-mail válida durante uma hora. Confirmar apaga as suas sessões, quaisquer testemunhos de reposição de palavra-passe, a sua lista de seguimento e a sua inscrição nos alertas de leilão. Uma conta sem atividade comercial por detrás é removida por completo. Uma conta que tenha publicado, licitado, encomendado ou sido faturada é anonimizada em vez disso — nome, lagar e região apagados, o e-mail substituído por um marcador inutilizável, a palavra-passe desativada — enquanto as encomendas e as faturas permanecem como registos de vendas concluídas. A eliminação suprime também o endereço no nosso sistema de acompanhamento para que nenhum envio o possa voltar a alcançar.
As contas são conservadas até as eliminar. Os registos de vendas concluídas — encomendas, faturas, o rasto por detrás de uma liquidação — são conservados como os livros do serviço depois de uma conta ser anonimizada. Anúncios, licitações e listas de seguimento vivem com a conta. Os pedidos e as mensagens de apoio são conservados enquanto o assunto estiver aberto e depois para referência.
Uma cópia do que guardamos sobre si, uma correção, ou a eliminação quando não conseguir chegar ao botão: peça-a através do formulário de apoio e é respondida individualmente, em dois dias úteis. As condições para produtores acompanham esta página, e o lado do comprador tem as suas em olive.auction. As alterações a esta página são publicadas aqui.
