Política de Privacidade

Quais dados tratamos

[APROVAR] Controlador: [razão social, CNPJ, endereço]. Encarregado (DPO) / canal de privacidade: [e-mail a completar].

Tratamos, em resumo:

• dados de conta: e-mail, idioma preferido, estado de entregabilidade do e-mail, datas de criação e de exclusão;
• dados de autenticação e sessão: códigos de acesso (apenas como hash), sessões, endereço IP no pedido do código;
• dados de cápsula: nome, ocasião, estado, datas de janela e de maturidade, modo de guarda da chave, cotas e metadados necessários ao ciclo de vida;
• conteúdo que você e contribuidores escrevem (metas, cartas, nomes de arquivo de mídia): armazenado cifrado depois do lacre;
• mídias: objetos em armazenamento externo, com metadados (tamanho, tipo, estado de upload) e exclusão rastreável;
• convites e contribuidores: e-mails convidados, status, vínculos de conta;
• registros de consentimento e de escolha de guarda da chave (append-only, com a versão dos termos);
• exportações de contribuinte: blob separado com chave envolvida sob a chave-mestra do serviço, com data de expiração;
• mensagens transacionais: conteúdo necessário para e-mails (avisos de maturidade, códigos, etc.), processadas pelo provedor de e-mail configurado (hoje: Resend, quando configurado);
• telemetria operacional mínima ligada a limites de taxa e saúde do serviço — não usamos isso para publicidade.

[APROVAR bases legais LGPD] Em rascunho: execução de contrato / procedimentos preliminares (prestação do serviço); legítimo interesse (segurança, prevenção a abuso, evidência de consentimento); consentimento onde a interface o pede de forma explícita (aceite dos termos e escolha de guarda da chave). Compartilhamento: provedor de e-mail, provedor de armazenamento de objetos, hospedagem e backups — apenas o necessário para operar. Não vendemos dados pessoais.

Registro do seu aceite

Quando você aceita estes documentos ou escolhe como a chave de uma cápsula é guardada, registramos a escolha, a data, a hora e a versão dos termos em vigor.

Esses registros são append-only e sobrevivem à exclusão da conta: a chave estrangeira e o desenho do banco impedem apagá-los junto com a conta. [APROVAR] Prazo de retenção desses registros após a exclusão da conta e hipótese legal que os sustenta (evidência do aceite / obrigação legal).

Depois da abertura: retenção e exclusão de mídia

Cápsula amadurecida e não aberta: permanece pelo prazo de retenção configurado e exibido no produto; ao fim, a exclusão é enfileirada. Cápsula aberta: conteúdo legível conforme o produto; [APROVAR] prazo pós-abertura para apagar mídias do armazenamento de objetos.

Pedido de exclusão com cápsula lacrada: ver a frase mandatória abaixo e a seção correspondente nos Termos. Mídias têm marcação de exclusão; cópias em backup podem permanecer até o fim da janela de retenção do backup.

Exclusão da conta e conteúdo de quem contribuiu

Para pedir exclusão da conta, use o fluxo de configurações do produto (quando disponível) ou o canal de privacidade indicado acima. Contas com cápsulas lacradas observam o resfriamento de 30 (trinta) dias.

Conteúdo de contribuinte em cápsula de terceiros: o contribuinte pode exportar o que ele mesmo escreveu, sem o restante da cápsula. Esse export é um blob distinto, com chave envolvida sob a chave-mestra, válido por até 30 (trinta) dias — durante essa janela, o serviço consegue ler esse blob (ressalva documentada na página da chave, junto com a troca de custódia). Pedido de exclusão do contribuinte não reescreve a cápsula lacrada do dono.

Cápsulas lacradas

Depois de lacrada, uma cápsula não pode ser apagada antes da data de abertura — por ninguém, nem por nós, nem a seu pedido. Se você pedir a exclusão durante esse período, destruímos imediatamente e para sempre a chave que dá acesso ao conteúdo, e apagamos os arquivos em si assim que a data de abertura chegar.

O que o código faz hoje após o pedido: resfriamento de 30 (trinta) dias e, em seguida, apagamento enfileirado. Não há efeito que destrua a chave no instante do pedido.

Sobre “não conseguimos ler sua cápsula lacrada”: vale no modo “só você guarda”. No modo “guardamos uma cópia”, o operador consegue decifrar enquanto está lacrada — é a troca recuperabilidade ↔ privacidade. No modo “só você guarda”, o único mecanismo criptográfico que afirmamos é o verificador com sal distinto do sal de decifragem (provar que a chave está certa sem ler o conteúdo), com duas ressalvas: export do contribuinte (até 30 dias) e re-wrap na abertura. Detalhes na página “A guarda da chave”.

Seus direitos e como falar com a gente

Nos termos da LGPD, você pode solicitar confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamentos, informação sobre a possibilidade de não consentir e revogação do consentimento, além de petição à Autoridade Nacional de Proteção de Dados (ANPD).

Alguns direitos encontram limite técnico na cápsula lacrada: no modo “só você guarda”, não podemos “corrigir” ou “mostrar” o conteúdo cifrado sem a chave. Em qualquer modo, não apagamos a cápsula lacrada no instante do pedido — a máquina atual conta 30 (trinta) dias de resfriamento e então enfileira o apagamento. [APROVAR] Texto de resposta-padrão a titulares nesse cenário.

[APROVAR] Contato do encarregado e prazo de resposta: [completar]. Canal secundário: [completar].