Política de Privacidade do Candil

Vigência: [DATA DE VIGÊNCIA]
Versão: [VERSÃO]

1. Quem somos

O Candil é um aplicativo de companhia bíblica. Ele é oferecido por [RAZÃO SOCIAL], inscrita no CNPJ [CNPJ], com sede em [ENDEREÇO]. Nesta política, "Candil", "nós" e "nosso" se referem a essa empresa.

Nós somos o controlador dos seus dados pessoais, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a "LGPD"). Para quem está na União Europeia, também somos o controlador nos termos do Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679, o "GDPR").

Esta política explica quais dados tratamos, por quê, onde ficam, por quanto tempo e quais são os seus direitos. Ela vale para o aplicativo, para o site e para o canal do Candil no WhatsApp.

2. Resumo

• Seu diário fica salvo no aparelho. Encontrar pedidos de oração exige consentimento específico para enviar a anotação escolhida (seção 4.4).
• Fé e oração são dados sensíveis. Só tratamos esse conteúdo com o seu consentimento específico e destacado.
• Não vendemos seus dados. Não mostramos anúncios. Não compartilhamos seus dados para publicidade.
• O modelo de linguagem nunca escreve texto bíblico. O app mostra o texto guardado de cada versículo.
• Antes de qualquer busca ou resposta com IA, verificamos sinais de risco. Esse texto não é guardado nem registrado.
• Você pode exportar e apagar sua conta e seu diário dentro do app.
• Idioma e lembretes sincronizam com a sua conta. Igreja, tradição e motivos só vão para a conta com um consentimento separado, que você pode retirar.

3. Dados sensíveis: fé e oração

A LGPD trata convicção religiosa como dado pessoal sensível (art. 5º, II). O GDPR trata crenças religiosas como categoria especial de dados (art. 9º). Leis estaduais de privacidade dos EUA também tratam crença religiosa como dado sensível.

Perguntas sobre a Bíblia, pedidos de oração, textos do diário e mensagens enviadas ao Candil podem revelar sua fé. Eles também podem revelar dados de saúde ou de outras pessoas. Por isso:

• Pedimos o seu consentimento específico e destacado antes de tratar esse conteúdo nos nossos servidores (LGPD, art. 11, I; GDPR, art. 9º, 2, a).
• Guardar igreja, tradição e motivos na conta tem um consentimento próprio, separado do consentimento para o aparelho (seção 4.10).
• Usamos esse conteúdo só para a finalidade que você pediu, como responder a uma pergunta.
• Não usamos esse conteúdo para publicidade, perfil de marketing ou venda.
• Você pode retirar o consentimento a qualquer momento, nas configurações do app ou pelo contato da seção 14. A retirada é gratuita. Ela não afeta o tratamento feito antes dela. Sem o consentimento, alguns recursos deixam de funcionar.

4. Quais dados tratamos

4.1 Conta

O Candil não usa senha. Você entra com Apple, Google ou um código enviado por e-mail. Quando disponível, você pode conectar o WhatsApp pela sua conta.

Guardamos:

• Um identificador interno da conta e a data de criação.
• O identificador que a Apple ou o Google nos dá para a sua conta.
• O seu e-mail, só quando o provedor confirma que ele foi verificado. Se você usar "Ocultar meu e-mail" da Apple, guardamos o endereço de encaminhamento da Apple e a indicação de que ele é privado.
• O seu número de telefone criptografado, se conectar o WhatsApp à sua conta.
• Na entrada com Apple, um token de atualização da Apple, criptografado. Ele serve para revogar o acesso na Apple quando você apaga a conta.
• Registros de sessão: datas de criação, uso, expiração e revogação. O token de sessão é guardado só como hash, nunca em texto.

Não guardamos o seu nome, a sua foto nem a sua senha de outro serviço.

4.2 Segurança da entrada

• Códigos de e-mail: guardamos só um hash do código, por até 10 minutos, com o número de tentativas.
• Limites de tentativas: para impedir abuso, contamos tentativas por e-mail e por endereço IP. O e-mail e o IP entram nessa contagem só como um código (HMAC) que não revela o valor original. Cada contagem dura 10 minutos e depois é apagada.
• Proteção contra reuso: guardamos um hash de cada token de entrada da Apple ou do Google já usado, até o token expirar. Esse hash não está ligado à conta. Ele fica até expirar mesmo depois que a conta é apagada, para impedir que um token antigo abra uma conta nova.

4.3 Busca, perguntas e respostas com IA

Quando você faz uma busca ou uma pergunta, o texto vai para o nosso servidor. Primeiro ele passa pela verificação de risco da seção 6. Depois:

• Para a busca por significado, enviamos o texto à Voyage AI para gerar um vetor numérico (embedding). O vetor serve para encontrar passagens parecidas.
• Para respostas com IA, quando o recurso estiver disponível, enviamos sua pergunta e as passagens encontradas à Anthropic. O modelo escolhe referências de versículos entre as passagens encontradas. O app mostra o texto guardado de cada versículo. O modelo nunca escreve texto bíblico.

Não guardamos o texto das suas buscas e perguntas no nosso banco de dados. [CONFIRMAR antes do lançamento das respostas com IA: se o histórico de perguntas será guardado na conta. Se for, descrever aqui o prazo e como apagar.]

4.4 Diário de oração

O diário guarda textos, pedidos de oração, nomes de pessoas por quem você ora, datas de lembrete e respostas de oração.

O diário fica salvo no seu aparelho:

• Ele é guardado num banco de dados criptografado (SQLCipher) com uma chave aleatória de 256 bits.
• A chave fica no Keychain do iOS ou no Keystore do Android. Ela não sai do aparelho.
• O diário não é guardado nos nossos servidores. Só a anotação escolhida para encontrar pedidos pode ser enviada, com consentimento específico. Um lembrete pelo WhatsApp envia só o dia e um título curto que você escreve (seção 4.6).
• O diário não entra no backup do Android nem na transferência para um novo aparelho. No iOS, uma cópia de backup não abre sem a chave, que não sai do aparelho original. Por isso, se você perder ou trocar o aparelho sem exportar, o diário se perde.
• Os lembretes são notificações locais com um texto genérico, como "Um lembrete do seu diário". Eles não mostram o conteúdo do pedido.

Você pode exportar o diário como um arquivo JSON pela tela de compartilhamento do sistema. O app apaga a cópia temporária depois de 15 minutos. O arquivo exportado não é criptografado. Depois de enviado, ele fica sob o controle do app ou da pessoa que o recebeu.

Você pode apagar todo o diário no app. Isso apaga o arquivo, a chave e todos os lembretes do aparelho.

O ditado de anotações usa o microfone só quando você toca no botão do microfone. O próprio sistema do seu aparelho transforma a voz em texto no aparelho. O ditado não envia áudio nem texto ao Candil. Você pode retirar a permissão do microfone nos ajustes do aparelho. Depois, você pode escolher enviar a anotação para encontrar pedidos, com consentimento específico. Essa permissão se retira nos Ajustes do app.

A sincronização do diário entre aparelhos ainda não existe. Antes de ela começar, vamos atualizar esta política e pedir o seu consentimento.

Se você pedir para encontrar pedidos de oração e der consentimento específico, o texto da anotação escolhida vai ao servidor do Candil. Depois da primeira verificação de risco, a Anthropic trata esse texto como operadora, para verificar riscos e sugerir pedidos. Isso pode envolver dados sensíveis sobre fé, saúde e outras pessoas.

Nem o Candil nem a Anthropic guardam esse texto. O Candil não registra o texto, as sugestões ou detalhes de erros do provedor, nem no Sentry. Você confirma cada pedido antes de ele ser salvo, somente no aparelho. Isso não sincroniza o diário.

Nota para o lançamento: o recurso fica desligado até a revisão jurídica desta política e do consentimento específico. Antes de ativá-lo, precisamos confirmar que a Anthropic não retém os dados, como exigido para as respostas com IA.

4.5 Imagens para compartilhar

As imagens de versículo são criadas no seu aparelho. O link que acompanha a imagem contém só a tradução e a referência do versículo. Ele não contém dados seus. Para salvar uma imagem na galeria, o app pede permissão de acesso às fotos. Ele não lê as suas fotos.

4.6 WhatsApp

O WhatsApp é opcional. O app funciona sem ele. Esse recurso aparece apenas nas regiões disponíveis após o lançamento.
Um código válido enviado pelo número conecta esse número à conta do código, mesmo se estava conectado a outra conta.
A fase 1 verifica textos com referências ou citações bíblicas. Outros textos recebem uma resposta curta sobre o que o número faz.
Na fase 1 não baixamos nem transcrevemos mídias. Processamos o texto e as legendas disponíveis em memória para verificar risco e conferir versículos.
A fase 1 não guarda nem registra o conteúdo ou as respostas.
Quando a análise por modelo está ativa, o texto que passa pela análise local de risco vai para a Anthropic.
Verificações por significado podem enviar o texto liberado pela análise de risco à Voyage AI.
A resposta de crise usa contatos do país indicado pelo código telefônico ou o diretório global quando o país não está claro.

Se você conectar o WhatsApp pela sua conta, guardamos seu número criptografado, um hash com chave do número e a data da conexão.
Você pode desconectar pelo app. A exportação da conta inclui o número conectado. A exclusão da conta remove o número e os códigos pendentes.
Os códigos de conexão expiram em dez minutos e são guardados apenas como hashes. Os contadores de tentativas usam hashes com chave.
Guardamos hashes com chave dos identificadores de mensagens por 48 horas para evitar processamento duplicado.
A limpeza periódica remove códigos, contadores e hashes de mensagens vencidos. Esses dados de segurança não contêm o texto das mensagens.
Os hashes de mensagens não têm vínculo com a conta e podem permanecer até a limpeza após a exclusão da conta.

A Meta é a operadora do canal opcional de WhatsApp. Ela recebe mensagens, números de telefone e nossas respostas.
A Meta também trata dados das conversas conforme sua política de privacidade do WhatsApp.
A fase 1 não inclui caixa de entrada, armazenamento de mídias, transcrição de áudio ou conta provisória.

O versículo do dia no WhatsApp exige um consentimento separado. Guardamos a decisão, a data, a versão do texto de consentimento que você aceitou, o horário, o fuso, o idioma e a tradução. Você pode desligar no aplicativo ou responder PARAR, SAIR ou CANCELAR. Guardamos a data e a hora da última mensagem recebida de um número vinculado para escolher entre uma mensagem dentro da janela gratuita e um modelo aprovado. Guardamos o estado de entrega por data por 30 dias, nunca o texto da mensagem. A Meta recebe o seu número e a mensagem.

[CONFIRMAR na revisão jurídica: a base legal do consentimento, pois a escolha deste canal pode revelar prática religiosa.]

Os lembretes de oração pelo WhatsApp exigem outro consentimento separado. Para cada lembrete, você escreve um título curto, de até 80 caracteres. O pedido de oração, os nomes das pessoas e as anotações ficam no aparelho. Guardamos o dia, o título criptografado, o fuso, o idioma e o registro de consentimento. O envio é às 10h do dia escolhido, no seu fuso.

Apagamos o título depois do envio, da última tentativa ou de uma pausa dos lembretes. A limpeza periódica também apaga títulos de lembretes com mais de duas horas de atraso, mesmo com os envios desativados. Guardamos o dia e o estado de entrega por 30 dias, para a exportação. A Meta recebe o seu número e a mensagem com o título.

Você pode remover um lembrete no pedido ou todos nos Ajustes. Responder PARAR pausa os lembretes e o versículo do dia juntos. Apagar todo o diário ou retirar o consentimento do diário também remove todos os lembretes de oração pelo WhatsApp da conta conectada e o consentimento deles, quando este aparelho criou um lembrete que ainda não removeu. A exportação da conta inclui os lembretes e os títulos que ainda existem. Desvincular o número ou excluir a conta apaga os lembretes e o consentimento.

[CONFIRMAR na revisão jurídica: a base legal dos lembretes de oração, pois o título pode revelar fé ou saúde.]

Pedimos consentimento para áudio antes de processar qualquer áudio. A Groq faz a transcrição. Imagens não exigem uma etapa de consentimento. A Anthropic lê as imagens para conferir versículos; não guardamos imagens nem seu texto. Apagamos arquivos temporários após o processamento; a limpeza apaga arquivos com mais de um dia.

STOP retira o consentimento para áudio e apaga notas ainda não conectadas a uma conta. Notas já conectadas ficam para revisão. Você pode descartá-las ou salvá-las no app. Notas da caixa expiram 30 dias após o recebimento e são removidas. Nunca registramos conteúdo religioso, transcrições, texto de imagens, números de telefone ou mensagens.

4.7 Assinatura

A assinatura é vendida pela App Store da Apple ou pelo Google Play. A loja cuida do pagamento. Nós não recebemos o número do seu cartão. Recebemos da loja dados da compra, como o produto, a situação da assinatura, as datas e um identificador da transação. [CONFIRMAR a lista exata após a integração de pagamentos.]

4.8 Dados técnicos

• Endereço IP, data e hora de acesso. A lei brasileira exige que guardemos esses registros de acesso por 6 meses, em sigilo (Marco Civil da Internet, Lei nº 12.965/2014, art. 15).
• Idioma e região do aparelho, para escolher a tradução da Bíblia, os telefones de ajuda e os preços.
• Relatórios de erro (Sentry), com dados do aparelho, do sistema e do erro. Configuramos esses relatórios para não incluir texto de busca, perguntas, diário ou tokens.
• Token de notificação (Firebase Cloud Messaging), se você permitir notificações.

O aplicativo e o site enviam contagens anônimas de uso, etapas iniciais, ofertas, compras, visitas a páginas compartilhadas e cliques nas lojas. Guardamos apenas totais diários em UTC por evento, plataforma, região atendida e idioma do aplicativo. Não guardamos nem registramos identificador de conta ou aparelho, IP, agente do navegador, versículo, pergunta, oração, texto do diário ou outro conteúdo junto ao evento. Usamos contadores próprios, sem provedor externo de análise. A limpeza periódica remove totais com mais de 400 dias.

Para evitar abuso, guardamos por uma hora um código embaralhado feito a partir do seu endereço IP. Esse código não está ligado às contagens. A limpeza periódica apaga os códigos expirados. Você pode desativar as contagens do aplicativo em Ajustes.

Os logs de requisição da plataforma são configurados para não guardar o texto das buscas e das perguntas.

4.9 Suporte

Se você nos escrever, guardamos a sua mensagem, o seu contato e a nossa resposta.

4.10 Personalização da conta

Quando você entra na conta, guardamos nela o idioma, a escolha de lembretes e os horários locais. Assim, essas escolhas valem em outro aparelho, na tela inicial e nas notificações.

Igreja, tradição e motivos para usar o Candil podem revelar crença religiosa. Eles só vão para a conta com um consentimento específico e separado: "Guardar minhas respostas de fé na minha conta, para usar em outro celular." Esse consentimento vale para cada conta. Ele é diferente do consentimento para guardar dados só no aparelho. Sem ele, essas respostas nunca saem do aparelho, mas o idioma e os lembretes continuam sincronizando.

Registramos a decisão, a data e a versão do texto apresentado. Se você escolher "Agora não" em um aparelho, a conta mantém o que já guardava, e esse aparelho não envia nem usa essas respostas. Para remover as respostas da conta, use "Remover da minha conta" e confirme. A remoção precisa de conexão com a internet. Ao sincronizar após a remoção, os aparelhos apagam as respostas recebidas da conta. As respostas digitadas em cada aparelho ficam. Se outra conta entrar no mesmo aparelho, ela pede o próprio consentimento. Ao sair da conta, o aparelho apaga as respostas que vieram dela e mantém as que você digitou nele.

As preferências ficam até você substituí-las, removê-las ou excluir a conta. A exportação da conta inclui as preferências e o registro de consentimento. A exclusão da conta remove esses dados com os demais dados vinculados. Nunca gravamos o documento de preferências nos registros do sistema.

4.11. Grupos

Entrar em um grupo exige consentimento específico para guardar seu nome de exibição e mostrar o conteúdo compartilhado aos membros. Guardamos a data do consentimento e a versão da política. A participação em grupos pode revelar crença religiosa. Estudos usam a fonte escolhida e passagens recuperadas, após a verificação de crise, pelos provedores descritos acima. Pedidos de oração nunca vão para Anthropic ou Voyage.

Pedidos de oração exigem consentimento separado em cada grupo e confirmação em cada envio. O aplicativo mostra quantas pessoas podem ler o pedido. Não inclua dados de saúde de outra pessoa sem a permissão dela. Os pedidos ficam criptografados no servidor e expiram após 90 dias. Você pode apagar seus pedidos a qualquer momento. Retirar o consentimento de oração ou sair do grupo apaga seus pedidos.

O líder pode remover membros e apagar pedidos. Convites expiram após sete dias e permitem até 50 entradas. Links públicos de estudos expiram após 60 dias. Qualquer pessoa com um link válido pode ler o estudo e o nome do grupo. Páginas públicas não mostram membros nem pedidos de oração. O líder controla a publicação e pode apagar o estudo para remover o acesso.

A exportação da conta inclui seus grupos, participações, estudos que você criou e seus pedidos de oração descriptografados. Apagar a conta remove suas participações e pedidos. Apagar a conta de um líder também apaga seus grupos, estudos e todos os pedidos desses grupos. Cópias de segurança seguem a retenção descrita nesta política.

5. Para que usamos os dados e com qual base legal

Quando usamos legítimo interesse, avaliamos antes se ele não fere os seus direitos. Você pode pedir essa avaliação pelo contato da seção 14.

6. Verificação de risco

Toda busca e toda pergunta para a IA passam por uma verificação de risco antes de qualquer outra etapa. Ela procura sinais de perigo, como pensamentos de suicídio ou violência. Se encontrar, o app mostra os telefones de ajuda do seu país, como o CVV 188 no Brasil, e não faz a busca. Se a verificação falhar, o app também mostra os contatos de ajuda.

• O texto verificado não é guardado nem registrado em logs.
• O resultado da verificação não fica ligado à sua conta.
• Hoje a verificação roda no nosso servidor. No futuro, ela pode usar também um provedor de IA da seção 8, com as mesmas regras.

A verificação é uma proteção. Ela não é atendimento de saúde e pode errar. Em perigo, ligue para o serviço de emergência local.

7. Onde os dados ficam

• Banco de dados: Postgres na Neon, na região de São Paulo (AWS sa-east-1).
• Servidor: Google Cloud Run, na região de São Paulo (southamerica-east1).
• Arquivos: Google Cloud Storage, na região de São Paulo (southamerica-east1).
• Áudios: Google Cloud Storage, na região de São Paulo (southamerica-east1). Contêm só texto bíblico público.
• Diário: só no seu aparelho.

Ao tocar um áudio, seu aparelho envia ao Google os dados normais de conexão. Este recurso não grava a sua voz.

Alguns provedores tratam dados fora do Brasil (seção 9).

8. Com quem compartilhamos

Compartilhamos dados só com operadores que nos ajudam a prestar o serviço. Eles só podem usar os dados conforme as nossas instruções.

Provedores de IA: configuramos a Voyage AI e a Anthropic para não usar seus dados para treinar modelos. A Voyage AI deve guardar dados pelo menor prazo que oferece. [PRAZO DE RETENÇÃO DA VOYAGE AI]

A Anthropic não pode reter dados para respostas com IA nem para encontrar pedidos de oração. Precisamos confirmar isso antes de ativar esses recursos. Vamos verificar essas configurações antes do lançamento e a cada mudança nos termos dos provedores.

Também podemos compartilhar dados quando a lei ou uma ordem judicial exigir, para defender direitos, ou numa venda ou fusão da empresa. Nesse último caso, a nova empresa deve seguir esta política.

Não vendemos seus dados. Não compartilhamos seus dados para publicidade comportamental entre contextos.

9. Transferência internacional

Alguns operadores ficam ou tratam dados fora do Brasil, principalmente nos Estados Unidos. Nesses casos, usamos uma das bases do art. 33 da LGPD. Para os operadores fora de países considerados adequados, adotamos as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024). [CONFIRMAR, para cada operador, o país e o instrumento usado.]

Para quem está na União Europeia, os dados vêm para o Brasil. A Comissão Europeia reconheceu o Brasil como país com nível adequado de proteção em janeiro de 2026. [CONFIRMAR a referência da decisão no Jornal Oficial da UE.] Para operadores fora da UE e do Brasil, usamos as cláusulas contratuais-tipo da Comissão Europeia ou o EU-U.S. Data Privacy Framework, quando o operador participa dele.

10. Por quanto tempo guardamos

Depois desses prazos, apagamos ou anonimizamos os dados. Podemos guardar dados por mais tempo só quando a lei exigir ou para defender direitos (LGPD, art. 16).

11. Exportar e apagar

• Exportar a conta: no app, em [CAMINHO NO APP], você baixa em JSON os dados da sua conta, das identidades, das sessões, dos códigos pendentes, das preferências e do registro de consentimento.
• Exportar o diário: no app, em Diário, "Exportar meu diário".
• Apagar a conta: no app, em [CAMINHO NO APP]. Apagamos de uma vez a conta, as identidades, as sessões e os dados ligados a ela. Se você entrou com Apple, pedimos à Apple que revogue o acesso. Cópias de segurança são apagadas no ciclo normal delas, em até [PRAZO DE BACKUP DA NEON].
• Apagar o diário: no app, em Diário, "Apagar todo o diário".

Apagar a conta não apaga o diário do aparelho, e apagar o diário não apaga a conta. Desinstalar o app também apaga o diário.

Se você assina pela loja, apagar a conta não cancela a assinatura. Cancele na App Store ou no Google Play (veja os Termos de Uso).

12. Seus direitos

12.1 Brasil (LGPD)

Você pode pedir, a qualquer momento (art. 18):

• confirmação de que tratamos seus dados;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• portabilidade dos dados;
• eliminação dos dados tratados com o seu consentimento;
• informação sobre com quem compartilhamos dados;
• informação sobre a possibilidade de não dar consentimento e as consequências;
• revogação do consentimento.

Você também pode se opor a um tratamento feito sem consentimento, se ele descumprir a lei. Você pode pedir revisão de decisões tomadas só por meios automatizados. Respondemos em até 15 dias quando a lei exige esse prazo. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em https://www.gov.br/anpd.

12.2 União Europeia e Espaço Econômico Europeu (GDPR)

Você tem direito de acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição (arts. 15 a 21). Você pode retirar o consentimento a qualquer momento (art. 7º, 3). Você pode reclamar à autoridade de proteção de dados do seu país (art. 77). Respondemos em até um mês, prazo que pode ser prorrogado nos casos da lei.

Representante na UE: [REPRESENTANTE NA UE, se exigido pelo art. 27 do GDPR].

12.3 Estados Unidos

Moradores de estados com lei de privacidade, como a Califórnia (CCPA, alterada pela CPRA), podem ter direito de:

• saber quais dados coletamos, de onde vêm, para que usamos e com quem compartilhamos;
• acessar e receber uma cópia dos dados;
• corrigir e apagar dados;
• recusar a venda, o compartilhamento para publicidade e o perfilamento;
• limitar o uso de dados sensíveis;
• não sofrer discriminação por exercer esses direitos;
• recorrer de uma recusa nossa, onde a lei estadual prevê recurso.

Como fazemos:

• Não vendemos dados pessoais e não os compartilhamos para publicidade comportamental entre contextos. Não fizemos isso nos últimos 12 meses.
• Tratamos crença religiosa como dado sensível. Só tratamos dados sensíveis com o seu consentimento prévio (opt-in) e só para prestar o serviço que você pediu.
• Respeitamos o sinal Global Privacy Control como pedido de recusa.
• Categorias da CCPA que coletamos: identificadores (conta, e-mail, IP), informações de compra, atividade na internet (uso do app e relatórios de erro) e informações pessoais sensíveis (crença religiosa, dados de entrada na conta). Não usamos essas informações para inferir características sobre você.
• Você pode pedir pelo contato da seção 14. Um agente autorizado também pode pedir por você. Vamos confirmar sua identidade antes de atender. Respondemos em até 45 dias, prazo que a lei permite prorrogar.

13. Crianças e adolescentes

O Candil não é feito para crianças. Não deve ser usado por menores de 13 anos, ou de 16 anos na União Europeia (ou a idade menor fixada pelo país), sem o consentimento de um dos pais ou do responsável legal.

[CONFIRMAR o mecanismo antes do lançamento.] Ao criar a conta, pedimos que a pessoa confirme a idade. Abaixo da idade mínima, o app pede o consentimento de um dos pais ou do responsável, conforme o art. 14 da LGPD, o art. 8º do GDPR e a lei COPPA dos EUA. Se soubermos que coletamos dados de uma criança sem esse consentimento, apagamos os dados. Pais e responsáveis podem nos pedir isso pelo contato da seção 14.

14. Encarregado e contato

Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD): [NOME DO ENCARREGADO]
E-mail: [E-MAIL DO ENCARREGADO]
Endereço: [ENDEREÇO]

Use este contato para exercer seus direitos, retirar consentimentos ou tirar dúvidas.

15. Segurança

Usamos criptografia em trânsito e em repouso, tokens guardados só como hash, chaves separadas por finalidade, limites de tentativas e acesso restrito aos sistemas. Os logs não guardam tokens, códigos, e-mails nem o texto de buscas e perguntas. Nenhum sistema é totalmente seguro. Se houver um incidente de segurança que possa causar risco ou dano relevante, vamos avisar você e a ANPD, como manda o art. 48 da LGPD, e as autoridades de outros países quando a lei delas exigir.

16. Mudanças nesta política

Podemos mudar esta política. Quando a mudança for relevante, vamos avisar no app antes de ela valer. Se a mudança exigir novo consentimento, como a sincronização do diário, vamos pedir antes. A data de vigência no topo mostra a versão atual.