Política de Privacidade

1. Dados que coletamos

Coletamos apenas o necessário para o seu radar funcionar.

• Conta: e-mail, senha (guardada apenas como hash scrypt), nome de exibição, idioma, país, fuso horário, plano e papel. Contas de visitante não têm e-mail.
• Seu radar: itens acompanhados (nome, fabricante, modelo ou versão, identificadores como GTIN, chassi ou versão, URLs de páginas oficiais cadastradas, notas), participação em espaços e convites.
• Atividade: alertas exibidos, status de leitura e de ação, notas, feedback (por exemplo, “não se aplica a mim”) e preferências de notificação.
• Notificações: endpoint e chaves de assinatura push dos navegadores que você ativar.
• Recursos para desenvolvedores: nomes e hashes de chaves de API, URLs de webhooks e segredos de assinatura, contagem diária de requisições.
• Análise de uso: caminho da página, idioma, site de origem, país (pelo cabeçalho da nossa CDN), tipo de dispositivo, família de navegador e sistema, parâmetros UTM e um identificador de visitante que é um hash irreversível do IP e do user agent com um sal trocado diariamente. Não guardamos endereços IP brutos para análise.
• Registros de segurança: sessões (token com hash, user agent, IP com hash), logs de auditoria de ações sensíveis e logs de servidor de curta duração.

2. Dados que não coletamos

• Senhas ou tokens de acesso de outros serviços.
• Dados bancários, de cartão ou de pagamento (o Serviço é grátis durante o beta).
• O conteúdo do seu e-mail ou mensagens.
• Localização precisa, contatos, câmera ou microfone.

3. Finalidades e bases legais

• Prestar o Serviço — relacionar seus itens a eventos oficiais de mudança, exibir alertas e enviar as notificações ativadas (execução de contrato; art. 7º, V, LGPD; art. 6(1)(b) GDPR).
• Proteger contas e evitar abusos, incluindo limites de requisições (legítimo interesse; art. 7º, IX, LGPD; art. 6(1)(f) GDPR).
• Melhorar as correspondências com seu feedback — primeiro só para o seu radar e, de forma agregada, apenas quando várias pessoas diferentes concordam de forma independente; as regras agregadas não identificam quem contribuiu (legítimo interesse).
• Entender o uso de forma agregada e corrigir problemas (legítimo interesse; somente identificadores com hash).
• Enviar e-mails do serviço, como redefinição de senha, convites e alertas solicitados (contrato). E-mails de marketing só com seu consentimento, que pode ser revogado a qualquer momento.

4. Retenção

• Dados da conta e do radar: até você excluir a conta. A exclusão é imediata e irreversível.
• Contas de visitante: excluídas após 90 dias sem uso.
• Sessões: até 30 dias; tokens de redefinição e verificação: até 24 horas.
• Análise de uso (visualizações de página): 400 dias.
• Registros de verificação de fontes: 90 dias. Registros de eventos de produto: 400 dias.
• Exportações solicitadas: disponíveis por 7 dias.
• Logs de auditoria de segurança: até 1 ano, salvo exigência legal de prazo maior.

5. Operadores e transferências internacionais

Não vendemos nem alugamos dados pessoais e não os compartilhamos com terceiros para fins próprios deles. Contratamos os seguintes operadores, obrigados por contrato a manter sigilo e segurança:

• Cloudflare, Inc. (EUA, rede global) — entrega do site, CDN e segurança.
• Railway Corp. (EUA) — servidores da aplicação e banco de dados PostgreSQL.
• Resend (EUA) — envio de e-mails do serviço e de alertas (endereço de e-mail, conteúdo).
• Serviços de push dos navegadores (Google, Mozilla, Apple, Microsoft) — entrega das notificações ativadas (conteúdo criptografado).
• OpenAI, L.L.C. (EUA) — resumo de avisos públicos de fontes oficiais. Apenas texto público é enviado; nunca sua conta, seus itens ou outros dados pessoais.

Esses operadores podem tratar dados fora do seu país, inclusive nos Estados Unidos. Quando necessário, as transferências se apoiam em decisões de adequação, cláusulas contratuais padrão ou no seu consentimento. Para fins da PIPA, os dados transferidos, o país de destino, o momento e o meio (ao usar o Serviço, pela rede), o destinatário e a finalidade são os listados acima; você pode recusar deixando de usar o recurso correspondente ou excluindo a conta.

6. Seus direitos

Em Configurações → Dados você pode acessar, corrigir, exportar (JSON ou CSV) e excluir seus dados. Você também pode se opor ao tratamento, limitá-lo, revogar o consentimento e reclamar à autoridade de proteção de dados (no Brasil, a ANPD). Residentes da Califórnia têm direito de saber, excluir, corrigir e não sofrer discriminação; não vendemos nem compartilhamos dados para publicidade comportamental. Fale conosco e responderemos em até 15 dias (LGPD) ou 30 dias nos demais casos.

7. Cookies e armazenamento local

Usamos um único cookie estritamente necessário (rr_session) para manter você conectado. Algumas preferências (tema, idioma, avisos fechados) ficam no armazenamento local do navegador. Não usamos cookies de publicidade nem de rastreamento de terceiros.

8. Eliminação

Ao fim do prazo de retenção ou na exclusão da conta, os dados são apagados imediatamente e de forma irrecuperável do banco de dados ativo; os backups do provedor expiram conforme seu ciclo (no máximo 30 dias).

9. Segurança

Usamos criptografia em trânsito (TLS/HSTS), hash de senhas e tokens, verificação de propriedade no servidor a cada requisição, política de segurança de conteúdo rígida, limites de requisições, acesso de menor privilégio e proteção contra SSRF. Nenhum sistema é perfeito; comunicaremos incidentes conforme a lei exigir.

10. Crianças

O Serviço não se destina a crianças. É preciso ter 14 anos na Coreia, 13 nos EUA e a idade de consentimento digital do país na UE (13 a 16). No Brasil, menores de 18 anos precisam do consentimento de um responsável. Se soubermos que coletamos dados de uma criança abaixo dessas idades, vamos excluí-los.

11. Encarregado e contato

Encarregado de dados: equipe de privacidade do Reality Radar, Project Team For You. E-mail: projectteamforyou@gmail.com. Atendemos solicitações em coreano e inglês.

12. Alterações

Mudanças relevantes serão anunciadas nesta página e por e-mail ou no app pelo menos 7 dias antes de entrarem em vigor (30 dias se forem desfavoráveis a você).