1. O que coletamos
Dados de conta do tutor, informações escolhidas para o perfil do pet, registros de leitura, preferências e dados de assinatura. No Companheiro, tratamos também as escolhas de identidade e personalidade, consentimentos, mensagens, imagens, documentos e gravações de voz que a pessoa decide enviar. A voz é usada para gerar uma transcrição revisável e não é mantida no histórico pelo aplicativo. No modo visitante, uma credencial de instalação pseudônima aplica limite e segurança sem exigir nome ou e-mail; o histórico fica no aparelho, mas cada mensagem é transmitida para gerar a resposta. O IP pode ser usado no transporte, em logs técnicos do provedor de hospedagem e em prevenção de abuso; quando o EncostaPet cria um identificador próprio para esses controles, usa hash ou HMAC em vez de armazenar o IP em texto puro.
2. Localização
A EncostaPet Tag usa somente a posição que o visitante decide compartilhar pelo navegador. Um EncostaPet Track vinculado pode enviar latitude, longitude, horário, precisão, bateria, sinal e dados de movimento do dispositivo. Recusar localização no perfil não impede acesso aos contatos.
3. Como usamos
Operamos o perfil e o Radar, facilitamos o contato e alertas de pet perdido, processamos assinaturas, damos suporte, protegemos o serviço contra fraude e cumprimos obrigações legais.
4. Perfil público
O tutor escolhe o que aparece no perfil NFC/QR. Não publique endereço residencial completo, documentos, prontuário excessivo ou dados desnecessários para devolver o pet.
5. Fornecedores e integrações
Podemos usar Vercel e Vercel Blob para aplicação e mídia, Neon para banco, Resend para e-mail, Mercado Pago para cobrança, OpenAI para respostas, transcrição e geração visual consentida, Firebase Cloud Messaging para notificações quando ativadas e BigDataCloud para converter coordenadas autorizadas e previamente arredondadas em cidade aproximada. Mensagens e anexos escolhidos para o chat são enviados ao provedor necessário para produzir a resposta. Memórias e rotinas ficam no banco privado da conta; só entram no contexto do provedor após autorização separada, revogável, e quando forem relacionadas à pergunta. Ao revogar essa autorização, a conversa anterior e seus anexos são apagados para que trechos já refletidos no histórico não sejam reenviados; memórias e rotinas continuam guardadas na conta até você apagá-las. Se você conectar o Google Calendar, tokens protegidos, identificação da conta, calendários e eventos necessários à ação confirmada são tratados pela integração com o Google; cada criação, edição ou cancelamento continua pedindo sua confirmação. Uma solicitação que o servidor já tenha aceitado pode concluir o processamento. Dados enviados à API da OpenAI não são usados para treinamento por padrão, salvo adesão específica do controlador, mas podem existir retenções de segurança do provedor. Não vendemos dados pessoais.
6. Fotos e IA do Companheiro
O rascunho começa localmente no navegador, expira em até 24 horas e pode ser apagado manualmente. A confirmação nunca é lembrada no rascunho. Antes do envio, uma única caixa descreve de forma explícita e conjunta a autorização para processar cópias normalizadas, enviá-las à OpenAI somente para gerar o visual, a confirmação de maioridade exigida no piloto e a autorização para usar as fotos. O servidor registra separadamente cada finalidade para auditoria. Ele remove metadados, normaliza os arquivos e envia somente as cópias necessárias. Os originais não são guardados após a criação; a prévia derivada fica privada e só se torna o avatar ativo após aprovação da pessoa. Um atlas animado privado pode ser derivado desse avatar para exibir movimentos, sem reenviar as fotos originais. Aparência nunca é usada para inferir personalidade. O companheiro não aparece no perfil público de resgate por padrão.
7. Retenção e exclusão de conversas
Os padrões atuais são: scans por 90 dias, pings colaborativos por 24 horas, pontos do Track por 30 dias, última posição por até 90 dias e telemetria pseudônima do visitante por 90 dias. Fotos de referência do Companheiro são descartadas após a geração; a prévia, o avatar e o atlas animado derivado permanecem até substituição ou exclusão. O histórico textual autenticado permanece na conta até a pessoa apagar um turno, limpar a conversa ou excluir a conta; o histórico visitante fica no aparelho e não é sincronizado. Imagens enviadas ao chat expiram por padrão em até 90 dias. Ao denunciar uma resposta visitante, somente aquela resposta, o motivo e a nota opcional são copiados para a fila privada; o prompt e o restante do histórico não são copiados, e o conteúdo denunciado é removido após 90 dias. Ao apagar uma imagem, um turno ou a conversa, o conteúdo sai do histórico ativo e o arquivo entra em uma fila segura de exclusão física. Registros mínimos de uso, modelo e custo podem permanecer sem o conteúdo para controle de abuso, segurança e reconciliação, e são removidos com a conta. Ao apagar apenas o Companheiro, datas do acesso inicial e o contador mínimo de gerações permanecem para prevenção de abuso; a exclusão completa da conta também remove esse registro. Uploads abandonados e tokens expirados são limpos automaticamente.
8. Segurança e escolhas
Usamos sessão assinada e revogável, autorização por tutor, mídia privada, limites duráveis contra abuso, hash de credenciais de dispositivo e processamento de imagens que remove metadados. Nenhum sistema é livre de risco; mantenha senha forte e não compartilhe códigos de ativação.
9. Seus direitos
Na conta, você pode exportar dados, corrigir informações, alterar senha e solicitar exclusão. O Companheiro também pode ser apagado separadamente, incluindo avatar, memórias, rotinas, consentimentos e arquivos de geração, ressalvado o registro mínimo antifraude descrito na retenção. Memórias podem ser apagadas individualmente ou revogadas em conjunto. Você pode revogar notificações e consentimentos. Exclusão da conta pode exigir o cancelamento seguro de assinatura ativa. As instruções públicas estão disponíveis em /excluir-conta.
10. Controlador e contato
E-mail: privacidade@encostapet.com.br. A razão social, CNPJ e endereço do controlador devem ser publicados aqui antes do lançamento comercial.
Revisão jurídica pendente