Política de Privacidade

Esta Política descreve como o Avaqia, operado por Raphael Depes Bruzzi Emery, pessoa física (“controlador”), trata os dados pessoais de seus usuários, em conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e demais normas aplicáveis.

1. Dados que coletamos

Cadastrais:nome, e-mail e, opcionalmente, telefone (usado, se você quiser, para a busca de amigos). No login social (Google, Microsoft ou Apple), recebemos nome, e-mail e foto de perfil. No login com a Apple, você pode optar por ocultar seu e-mail; nesse caso a Apple nos fornece um endereço de redirecionamento privado (“Ocultar meu e-mail”), que armazenamos apenas para enviar comunicações essenciais da conta. De uso e aprendizado: progresso nas missões, pontuação, conquistas, as respostas do onboarding (objetivo e perfil de uso, para personalizar as missões) e os textos, prompts, áudios e imagens que você submete ou gera nas atividades. De contatos (opcional): se você usar a busca de amigos, códigos irreversíveis (hash) derivados da sua agenda — nunca os números em si (ver seção 3). De cobrança: status e histórico da assinatura Premium; os dados do cartão são tratados diretamente pelo processador de pagamento, não por nós. Técnicos: registros de acesso, dispositivo e identificadores necessários ao funcionamento e à segurança e, se você autorizar notificações, um identificador de push (token do Expo/APNs no aplicativo ou assinatura de push do navegador na web) usado exclusivamente para lhe enviar notificações.

2. Finalidades e bases legais

Tratamos seus dados para: prestar e personalizar o serviço e processar pagamentos (execução de contrato, art. 7º, V, da LGPD); cumprir obrigações legais e regulatórias (art. 7º, II); aprimorar a plataforma, prevenir fraudes e garantir a segurança (legítimo interesse, art. 7º, IX); e enviar comunicações ou tratar dados de envio de voz quando aplicável (consentimento, art. 7º, I), que pode ser revogado a qualquer momento.

3. Contatos (busca de amigos, opcional)

Se você optar por usar a busca de amigos, o aplicativo acessa sua agenda de contatos somente com sua permissão e apenas para verificar quais dos seus contatos já usam o Avaqia. O processamento é feito no seu dispositivo: cada número de telefone é convertido em um código irreversível (hash SHA-256) antes de sair do aparelho. Nunca enviamos, exibimos nem armazenamos os números de telefone em si; os códigos são usados apenas para o cruzamento momentâneo e os que não correspondem a nenhum usuário são descartados, não sendo retidos. A base legal é o seu consentimento (art. 7º, I, da LGPD), revogável a qualquer momento nas configurações do seu dispositivo. Por envolver dados de terceiros, você é responsável por ter autorização para consultá-los.

4. Entrada por voz e processamento por IA

Entrada por voz. Se você usar a entrada por voz, o áudio é enviado ao nosso provedor de transcrição (Groq, com modelo Whisper) apenas para convertê-lo no texto que preenche sua resposta. O áudio é processado em memória, nunca é armazenado em nossos servidores e a transcrição não é registrada em logs. A voz é usada só para transcrição, jamais para identificação biométrica. Na web, se a transcrição pelo nosso provedor falhar ou o limite diário for atingido, o navegador pode usar o próprio serviço de reconhecimento de fala do fabricante (por exemplo, Google no Chrome), sujeito à política de privacidade dele. Se preferir, basta digitar.

Processamento por IA e geração de conteúdo. Para gerar feedback e conteúdos, seus textos, prompts, áudios e imagens são processados por provedores de IA que atuam, conforme o caso, como operadores ou outros destinatários autorizados dos dados, de acordo com os contratos aplicáveis (ver seção 5). Selecionamos provedores que, de acordo com seus contratos e políticas vigentes para APIs comerciais, não utilizam as entradas enviadas por meio dessas APIs para treinar seus modelos, ou oferecem mecanismos para excluir esse uso; caso essa política seja alterada por algum fornecedor, atualizaremos esta Política conforme aplicável. As imagens que você gera nas missões ficam em um repositório privado, acessível apenas por você, enquanto sua conta existir; as que você salvar na Galeria podem ser excluídas individualmente por você, e excluir a conta apaga todas. O feedback da IA é educativo e pode conter imprecisões; revise antes de usar.

5. Compartilhamento e operadores

Não vendemos seus dados. Compartilhamos o estritamente necessário com fornecedores que atuam, conforme o caso, como operadores, suboperadores, prestadores de serviços ou controladores independentes, de acordo com a natureza do tratamento, os contratos celebrados e a legislação aplicável: provedores de IA, que processam seus textos, prompts, áudios e imagens para gerar feedback, transcrições e conteúdos (ex.: Google Cloud / Vertex AI, OpenAI, xAI e Groq); provedor de autenticação, banco de dados e armazenamento (Supabase); provedores de login social, quando você opta por eles (Google, Microsoft e Apple); hospedagem em nuvem (Google Cloud / Firebase App Hosting); envio de e-mails (Resend) e roteamento de e-mails e proteção de rede (Cloudflare); serviço de entrega de notificações (Expo, que encaminha ao APNs da Apple ou ao FCM do Google); processador de pagamentos do plano Premium (Stripe); e gestor de assinaturas nas lojas de aplicativos (RevenueCat). Cada fornecedor trata os dados conforme o papel que desempenha, os contratos aplicáveis e suas próprias políticas.

Proteção antibot (Cloudflare Turnstile):para distinguir usuários humanos de robôs e proteger o acesso contra automações maliciosas, utilizamos o serviço Cloudflare Turnstile, inclusive em seu modo de verificação invisível. Em sua operação, o Turnstile coleta sinais técnicos do seu dispositivo e da sua conexão, tais como endereço IP, características do navegador (User-Agent), impressão digital TLS e o identificador do site (sitekey). Esse tratamento fundamenta-se no legítimo interesse de garantir a segurança da plataforma e prevenir fraudes (art. 7º, IX, da LGPD). O tratamento realizado pela Cloudflare observa o Adendo de Privacidade do Turnstile (“Turnstile Privacy Addendum”), disponível em cloudflare.com/turnstile-privacy-policy.

6. Transferência internacional

Alguns operadores estão sediados no exterior, o que pode implicar transferência internacional de dados, realizada com as garantias previstas nos arts. 33 a 36 da LGPD.

7. Retenção e segurança

Mantemos os dados pessoais apenas pelo tempo necessário às finalidades descritas ou ao cumprimento de obrigações legais. Os dados da sua conta são eliminados quando você exclui a conta; registros de cobrança e de consentimento podem ser mantidos pelos prazos legais aplicáveis. Quando mantivermos registros de conexão e de acesso, observaremos os prazos exigidos pela legislação aplicável (por exemplo, o Marco Civil da Internet). Encerrado o tratamento, os dados são eliminados ou anonimizados (art. 16 da LGPD). Adotamos medidas técnicas e administrativas de segurança adequadas a proteger os dados, na forma do art. 46 da LGPD. No aplicativo, parte do conteúdo que você visualiza ou compartilha (como imagens) pode ser mantida temporariamente no cache do seu dispositivo pelo sistema operacional, sendo removida ao desinstalar o aplicativo.

8. Seus direitos

Você pode, a qualquer tempo, solicitar confirmação do tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamentos e revogação do consentimento, nos termos do art. 18 da LGPD, mediante contato com o Encarregado. Persistindo dúvidas, é possível reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Você pode excluir sua conta a qualquer momento diretamente no aplicativo, em Perfil › Excluir conta, o que apaga permanentemente seu perfil e os dados associados (missões, progresso, imagens geradas e a conta de autenticação); se você entrou com a Apple, o vínculo com a Apple também é revogado. Alguns registros podem ser mantidos quando a lei exigir (ex.: registros de consentimento e de cobrança).

9. Encarregado pelo Tratamento de Dados Pessoais e contato

O Encarregado pelo Tratamento de Dados Pessoais (“DPO”, termo internacional equivalente) é Raphael Depes Bruzzi Emery, que pode ser contatado pelo e-mail legal@avaqia.com. Esta Política pode ser atualizada; alterações relevantes serão comunicadas e poderão exigir novo aceite.

Veja também os Termos de Uso.