Política de privacidade

Última atualização: outubro de 2026

Operador e alcance

O serviço hospedado do Nibomo é operado pela SAMO DANNI EOOD, ID da empresa 207395566, VAT BG207395566, endereço registrado bulv. Maritza 154, entrance D, floor 6 #14, 4018, Plovdiv, Bulgaria. O Nibomo foi criado por Kirill Markin.

Esta política vale para o site, os aplicativos, a API e o serviço MCP hospedados que operamos. Uma instância auto-hospedada é controlada pelo operador dela, que responde pelas próprias práticas de privacidade.

Idade

O serviço hospedado é para pessoas de 13 anos ou mais. Se a lei do lugar onde você mora fixar uma idade mínima maior para usar um serviço online ou consentir com o tratamento de dados, vale essa idade maior. Se você tiver menos de 18 anos, precisa de autorização de um pai, mãe ou responsável legal.

Dados que tratamos

Dependendo de como você usa o serviço hospedado, tratamos:

dados de conta e autenticação, incluindo seu endereço de e-mail, identificadores internos de usuário, registros de login e tokens de autenticação;
dados de estudo e de espaço de trabalho, incluindo cartões, baralhos, configurações, participações em espaços de trabalho, histórico de revisões e metadados de sincronização;
arquivos e mídias que você envia ou cria, incluindo imagens e dados temporários de upload;
dados opcionais de IA, incluindo prompts, histórico de conversa, contexto de cartões ou do espaço de trabalho, arquivos e imagens incluídos em uma solicitação, áudio ditado, transcrições, respostas do modelo e atividade de ferramentas;
dados de suporte e feedback, incluindo mensagens, seu e-mail de contato quando informado, versão do aplicativo, plataforma, idioma e informações de status relacionadas;
dados operacionais e de segurança, incluindo identificadores de solicitação, marcações de data e hora, endereço IP, user agent, rota, status da resposta, versão do aplicativo, detalhes de dispositivo ou plataforma e diagnósticos de erro higienizados; e
dados de uso do site e do produto descritos nas seções Análise e cookies e Análise de produto abaixo.

Um endereço de e-mail é obrigatório para criar uma conta hospedada e entrar nela. Sem ele, não conseguimos oferecer autenticação por e-mail nem sincronização vinculada à conta. Alguns recursos limitados de visitante ou locais podem estar disponíveis sem uma conta conectada.

Finalidades e bases legais

Tratamos dados de conta, espaço de trabalho, revisões, arquivos e os dados de IA solicitados na medida necessária para prestar o serviço hospedado e executar nosso contrato com você. Tratamos pedidos de suporte para responder a você e prestar a ajuda solicitada.

Tratamos dados limitados de análise, segurança, diagnóstico e melhoria do serviço com base no nosso legítimo interesse em entender o uso, evitar abusos, manter o serviço seguro e corrigir falhas. Ponderamos esses interesses em relação aos seus direitos e minimizamos ou ocultamos dados de diagnóstico quando é viável. Também podemos tratar dados quando isso for necessário para cumprir uma obrigação legal ou para constituir, exercer ou defender direitos em processos. Quando a lei aplicável exigir consentimento para uma atividade específica, vamos nos basear no consentimento, e você pode retirá-lo a qualquer momento.

Não vendemos seus dados pessoais nem os usamos para publicidade direcionada.

Compras e assinaturas da Apple

A Apple processa os pagamentos de compras na App Store; não recebemos os dados do seu cartão ou da sua conta bancária pela cobrança da Apple. Recebemos e armazenamos registros de compra, incluindo identificadores de transações e produtos, um token de conta do aplicativo que vincula a compra à sua conta, o status da assinatura e do período de teste, informações de renovação e reembolso e as datas correspondentes.

Usamos esses registros para verificar compras, fornecer e restaurar o acesso pago, prestar suporte, conciliar transações, manter registros contábeis e analisar o uso do produto. Os registros de cobrança do servidor são mantidos mesmo quando você desativa a análise de produto no aplicativo.

Compras e assinaturas do Google Play

O Google processa os pagamentos de compras no Google Play; não recebemos os dados do seu cartão ou da sua conta bancária pela cobrança do Google. Recebemos e armazenamos registros de compra, incluindo identificadores de transações e produtos, tokens de compra e um identificador de conta opaco que vincula a compra à sua conta, o status da assinatura e do período de teste, informações de renovação e reembolso e as datas correspondentes.

Compras pelo Stripe e e-mails de cobrança

O Stripe processa pagamentos de assinaturas web. Nas páginas de checkout e cobrança hospedadas por ele, o Stripe coleta o e-mail, nome, endereço ou localização de cobrança e dados de pagamento que você fornece. Trocamos com o Stripe uma referência opaca da conta Nibomo e identificadores de checkout, cliente e assinatura. Recebemos registros e notificações de cobrança que podem incluir dados de contato e cobrança, valores, moedas, informações fiscais, status de teste e assinatura, informações de pagamento, reembolso e contestação e datas relevantes. Não armazenamos números completos de cartão nem códigos de segurança de cartões.

Usamos esses dados para cumprir nosso contrato de assinatura, verificar e fornecer acesso pago, gerenciar a cobrança e enviar e-mails de serviço; também mantemos registros para contabilidade, conciliação e obrigações ou reivindicações legais. Registros de cobrança e eventos de cobrança registrados no servidor são mantidos independentemente do controle de análise de produto. O tratamento realizado pelo próprio Stripe está descrito em sua Política de privacidade.

Enviamos lembretes de teste e recibos de pagamentos e reembolsos do Nibomo pelo Resend. O Resend recebe o e-mail de cobrança do cliente do Stripe e o conteúdo da mensagem, incluindo o valor e a moeda relevantes, a data de término do teste quando aplicável e um link para gerenciar a cobrança ou acessar o recibo. Mantemos o status e os identificadores de envio para gerenciar novas tentativas e evitar mensagens duplicadas.

Análise e cookies

O site de divulgação usa o Vercel Web Analytics para medir visualizações de página e alguns eventos de clique no site. Esse serviço funciona sem cookies de análise, mas o próprio site grava um cookie seu, descrito abaixo. Para visualizações de página, o Vercel pode receber a hora do evento, a URL da página e os parâmetros de consulta filtrados, o referenciador, a localização aproximada, o navegador, o sistema operacional e o tipo de dispositivo. Nossos eventos de clique personalizados incluem propriedades limitadas, como idioma, plataforma, posição do link ou tipo de interação. Não incluímos de propósito nomes, endereços de e-mail, conteúdo de cartões ou identificadores de conta nesses eventos. O Vercel agrega os dados e não associa um ponto de dado a uma pessoa ou a um endereço IP; o hash diário de visitante é descartado depois de 24 horas. Quando o seu navegador expõe o Global Privacy Control, o site não envia nada para o Vercel Web Analytics.

Separadamente, o site envia eventos para o nosso próprio coletor de análise de produto: um evento de visualização de página para cada página que você abre; um evento de clique quando você segue um link para o aplicativo web, para uma loja de aplicativos ou para instalar um baralho do catálogo; o que você busca, filtra, ordena, pagina e abre no catálogo público de baralhos; um clique em um link que leva para fora do site; a cópia do endpoint para agentes; a exibição do aviso de sugestão de idioma e a sua resposta a ele; e a decisão sobre o cookie e o botão de coleta descritos abaixo. Conforme o evento, eles trazem o tipo de página, o identificador público da versão do pacote nas páginas de baralhos do catálogo e nos links de instalação, a posição do link, se um clique para o aplicativo web era de entrar, criar conta ou abrir o aplicativo, se uma resposta sobre o cookie foi dada no aviso ou no controle de análise do canto, o idioma oferecido pelo aviso de sugestão de idioma, o idioma da interface da página, o idioma do dispositivo no navegador, a categoria de origem, a categoria do dispositivo e o identificador analytics_visitor descrito abaixo quando o seu navegador o tem. Um evento de visualização de página traz também o host do site de onde você veio, tirado de uma lista de buscadores e redes sociais conhecidos e informado como other para qualquer outro, e os parâmetros utm_source, utm_medium e utm_campaign do endereço pelo qual você chegou. Uma busca, um filtro, uma ordenação ou uma mudança de página no catálogo traz quantos resultados você viu e o que você escolheu: a ação do filtro — adicionar, selecionar, remover ou limpar — com a sua categoria e quantos filtros ficam selecionados, a ordenação, ou o número da página junto com o total de páginas. Abrir um baralho do catálogo traz o identificador público do baralho e o ponto da página de onde você o abriu, e nenhuma contagem de resultados. Uma busca no catálogo traz ainda o tamanho do que você digitou e, somente quando o texto normalizado tem no máximo 64 caracteres e contém apenas letras, os sinais que se combinam com elas, dígitos, espaços e hifens, esse texto; qualquer outra busca é informada só pelo tamanho e nunca é encurtada para caber. Nosso servidor deduz um código de país de duas letras a partir do endereço de onde cada evento chega e o guarda junto com o evento; ele não guarda endereço nenhum e não deduz país nenhum para os eventos que não levam identificador algum, descritos abaixo. Quando o seu navegador expõe o Global Privacy Control, o site não pede nenhum identificador de visitante e não exibe o aviso de consentimento, enquanto os eventos acima continuam chegando ao nosso próprio coletor sem esse identificador, e todos eles, com exceção dos que não levam identificador algum, recebem o identificador diário descrito abaixo. Não lemos a configuração Do Not Track.

O aplicativo web hospedado usa cookies estritamente necessários, como otp_session, session, refresh e logged_in, para concluir a autenticação, manter uma sessão, renovar o acesso e mostrar o estado de conectado. Desativar esses cookies impede que o fluxo de login no navegador funcione.

O site de divulgação e o aplicativo web hospedado compartilham um mesmo cookie de análise próprio chamado analytics_visitor. Ele guarda um identificador aleatório de visitante, pode ser lido pelos nossos scripts no navegador e expira depois de 13 meses. Usamos esse cookie para reconhecer o mesmo navegador entre visitas, de modo que os eventos mostrem um visitante que volta, e não um visitante novo a cada vez. Ele não é estritamente necessário. Essa decisão trata apenas de o seu navegador carregar ou não esse identificador; se o site coleta alguma coisa é um botão separado, descrito mais abaixo. Onde o consentimento é exigido, incluindo a UE/EEE e o Reino Unido, só gravamos o cookie depois que você concorda: o site pergunta com um aviso e, enquanto você não responde, não pede identificador nenhum nem anexa nenhum, enquanto os eventos descritos acima continuam sendo enviados sem ele, e todos eles, com exceção dos que não levam identificador algum, recebem o identificador diário descrito no parágrafo seguinte. Onde o consentimento não é exigido, gravamos o cookie sem perguntar. Nos dois casos, você pode desativá-lo quando quiser, no controle de análise no canto de qualquer página do site ou nas configurações do aplicativo web; então apagamos o cookie do seu navegador e deixamos de usá-lo. Sua resposta fica guardada no seu navegador para não perguntarmos de novo. Quando o seu navegador expõe o Global Privacy Control, apagamos esse cookie e, junto com ele, uma resposta que o tivesse permitido, então, se o sinal for desligado depois, tratamos esse navegador como um novo: onde o consentimento é exigido, perguntamos de novo; onde não é exigido, gravamos o cookie sem perguntar. Uma resposta que recusou o cookie fica guardada e continua valendo. Também registramos essa decisão sobre o cookie como eventos: que o aviso foi exibido e o que você respondeu, onde quer que você tenha respondido — no aviso ou no controle de análise do canto, que tem essa mesma escolha. A resposta registrada leva em qual desses dois lugares ela foi dada. O evento de exibição e o evento de uma recusa não levam identificador algum; o evento de uma aceitação leva o identificador que você acabou de permitir. Os eventos em si ficam guardados enquanto forem necessários para as finalidades descritas nesta política.

Quando um evento chega ao nosso coletor sem o identificador analytics_visitor, por exemplo porque você recusou o cookie, ainda não respondeu ou o desativou, nosso servidor gera um identificador temporário a partir do endereço IP e do agente de usuário do navegador da requisição, combinados com um valor aleatório que muda a cada dia UTC e é apagado quando esse dia termina. O endereço IP em si não fica guardado na nossa análise. Esse identificador só liga os eventos do mesmo dia vindos do mesmo navegador e do mesmo endereço IP. Ele nunca é guardado no seu navegador, nunca é ligado ao identificador analytics_visitor nem a uma conta, nunca é anexado a um registro da sua resposta ao consentimento e não pode ser recalculado depois que o valor aleatório daquele dia é apagado. Usamos esse identificador para entender como os visitantes usam o site, com base no nosso legítimo interesse descrito na seção Finalidades e bases legais. Um navegador que expõe o Global Privacy Control nunca leva o identificador analytics_visitor, então os eventos dele recebem esse identificador diário como os de qualquer outro navegador sem esse cookie. Os eventos que não levam identificador algum não recebem nem esse identificador diário nem país: a exibição do aviso de consentimento, uma recusa, e o desligar e religar da coleta deste site. Eles não levam o identificador analytics_visitor, nem o identificador diário, nem país: só o que aconteceu e, no caso de uma resposta sobre o cookie, onde você a deu.

O controle de análise no canto de qualquer página do site tem o botão que desliga a coleta deste site e, ao lado dele, o consentimento do cookie de análise descrito acima; depois que você responde ao aviso, o controle também tem essa escolha de cookie enquanto a coleta está ligada e a oferece de novo quando você religa a coleta. Quando o seu navegador expõe o Global Privacy Control, o controle tem apenas esse botão: não damos nenhum cookie de análise a esse navegador, então não há escolha de cookie a oferecer. Ao desligá-la, é enviado um último evento que registra apenas que ela foi desligada, e ao religá-la é enviado o evento correspondente; nenhum dos dois leva identificador, identificador diário ou país. Enquanto a coleta está desligada, o site não envia nenhum outro evento sobre a sua visita, nem para o nosso coletor nem para o Vercel Web Analytics, e não pede identificador de visitante nenhum; como já nada chega ao nosso coletor, também não é gerado nenhum identificador diário. Ela fica ligada a menos que você desligue, com base no legítimo interesse descrito na seção Finalidades e bases legais. Este site não tem contas, então a sua resposta fica guardada naquele navegador e vale só ali; o aplicativo web hospedado tem a própria configuração, e os aplicativos de iOS e Android a têm a partir da versão que a introduz, ambas descritas na seção Análise de produto.

Análise de produto

Os aplicativos web, iOS e Android hospedados nos enviam eventos de uso do produto. Esses eventos vão para a nossa própria infraestrutura e ficam guardados no nosso próprio banco de dados; não usamos um provedor de análise terceiro para eles.

Os eventos descrevem telas, a duração e a contagem das sessões de revisão e se as ações deram certo ou não. Eles podem incluir identificadores de instalação e de sessão e, quando for o caso, identificadores de espaço de trabalho e de conta. Esses eventos dos aplicativos não incluem texto livre, conteúdo de cartões ou baralhos, nem seu endereço de e-mail.

Quando a versão do cliente permite, o idioma da interface é registrado no momento de cada evento, antes do enfileiramento offline. O idioma do dispositivo é separado e pode ser diferente do idioma da interface. Os perfis de instalação guardam o contexto técnico atual, incluindo plataforma, versões do aplicativo e do sistema operacional, idioma do dispositivo e fuso horário, quando informados pelo cliente. Parte do contexto técnico também permanece em eventos individuais por compatibilidade. Clientes ou eventos mais antigos podem não ter o idioma da interface; não deduzimos valores ausentes a partir do idioma do dispositivo ou do fuso horário.

Para análise de público, estimamos o país da conexão a partir do endereço IP recebido pelo nosso gateway de API em solicitações diretas elegíveis do aplicativo, no máximo uma vez por instalação por dia UTC em que ela se conecta. Consultamos o endereço em um banco de dados MaxMind GeoLite Country mantido na nossa própria infraestrutura AWS. O endereço é tratado na memória da solicitação, não é guardado na análise de produto e não é enviado à MaxMind. Os logs de acesso do API Gateway que configuramos omitem o endereço IP bruto; a infraestrutura de rede ainda trata endereços IP para atender às solicitações. O país é aproximado, pode ser desconhecido ou ser afetado por uma VPN, e não identifica residência, nacionalidade ou localização precisa. Retransmissores de servidor, clientes de IA e solicitações de eventos do site não informam o país da instalação. Separadamente, um evento que chega ao nosso coletor sem credenciais de conta — os eventos do site descritos acima, os eventos do aplicativo web hospedado quando você não está conectado e os eventos do nosso serviço de entrada — traz um código de país de duas letras que o nosso servidor deduz na chegada a partir do endereço de onde a solicitação vem, que pode ser o de um retransmissor e não o seu; guardamos esse código junto com o evento, não guardamos endereço nenhum e não deduzimos país nenhum para os eventos que não levam identificador algum. Não aplicamos o país do momento do envio a eventos offline anteriores.

O histórico de país é formado por observações esparsas, que estendem um período enquanto o país amostrado não muda e iniciam outro quando ele muda. Os limites do período não comprovam atividade diária nem presença contínua entre as observações. O feedback registra à parte o país da conexão quando o envio é aceito pela primeira vez, e não quando um rascunho offline foi criado.

Este produto inclui dados GeoLite criados pela MaxMind, disponíveis em MaxMind.

O cookie de análise e a análise de produto são duas decisões separadas, e nenhuma é deduzida da outra. Recusar o cookie de análise descrito acima, ou retirá-lo depois, interrompe apenas o identificador de visitante compartilhado: os eventos em si continuam a ser coletados e, enquanto você estiver conectado, permanecem vinculados à sua conta.

A análise de produto tem a própria configuração, que desliga essa coleta. Enquanto ela está desligada, o aplicativo não registra nem envia nenhum evento de uso do produto, e a nossa API descarta qualquer lote que ainda assim chegue de uma conta ou sessão de visitante que a desligou. Ela fica ligada a menos que você desligue, porque tratamos esses eventos com base no legítimo interesse descrito na seção Finalidades e bases legais, e não em consentimento; por isso nunca perguntamos, e quem recusou o cookie de análise continua com ela ligada. Ela cobre apenas os eventos de uso do produto enviados pelos aplicativos; os relatórios de erro e de falha e os nossos próprios registros de servidor sobre o serviço fazendo o seu trabalho ficam de fora.

No aplicativo web hospedado, a configuração fica nas configurações do aplicativo web: a sua resposta fica guardada naquele navegador e, enquanto você está conectado, também na sua conta; e uma conta que esteja com ela ligada nunca religa um navegador que a desligou. Os aplicativos de iOS e Android registram a resposta no dispositivo e, assim que existe uma conta ou sessão de convidado onde guardá-la, também a guardam ali, tentando de novo até que ela seja salva; a resposta do próprio dispositivo decide o que ele envia, então uma resposta registrada em outro lugar não consegue reiniciar a coleta ali. Nesses aplicativos, a configuração aparece nas configurações do app a partir da versão que a introduz; uma versão publicada sem ela continua enviando eventos, e a nossa API descarta qualquer lote que ainda assim chegue de uma conta ou sessão de convidado que a desligou. Esse descarte depende de uma conta ou sessão de convidado que guarde a sua resposta, então, numa instalação que não tem nenhuma das duas, o que impede o envio é o registro do próprio dispositivo. O site de divulgação tem o próprio botão, descrito na seção Análise e cookies, que vale apenas para aquele navegador.

Desligar a configuração interrompe a coleta futura. Isso não apaga os eventos já registrados: os eventos de análise de produto são apenas acrescentados. A exclusão da conta apaga os perfis de instalação associados e anonimiza os eventos guardados, em vez de apagá-los, conforme descrito na seção Retenção e exclusão.

IA hospedada e clientes de IA externos

A OpenAI é o provedor de IA configurado para os recursos hospedados de conversa, transcrição e geração de imagens. Quando você escolhe esses recursos, enviamos à OpenAI os dados da solicitação necessários para executá-los, o que pode incluir seu prompt, o contexto relevante da conversa e do espaço de trabalho, anexos ou imagens, áudio ditado e um identificador pseudônimo de segurança. As solicitações de texto hospedadas usam store: false, o que desativa o armazenamento dos objetos de resposta para consulta posterior. Como essas solicitações também usam cache de prompt, a OpenAI pode reter por até 24 horas o estado criptografado de aplicação em cache. Pelos controles atuais da API da OpenAI, os logs aplicáveis de monitoramento de abuso podem ser retidos por até 30 dias, enquanto o endpoint de transcrição declara que não retém nem conteúdo de monitoramento de abuso nem estado de aplicação. A OpenAI não usa dados da API para treinar seus modelos, a menos que o titular da conta opte expressamente por isso.

As solicitações de IA hospedadas também são observadas pelo Langfuse Cloud para depuração e análise de qualidade do serviço. Os traces do Langfuse podem incluir prompts, respostas do modelo, atividade de ferramentas, identificadores de usuário, espaço de trabalho e sessão, além de metadados operacionais. A implementação mascara endereços de e-mail e campos com aparência de segredo; os traces personalizados de transcrição excluem os bytes brutos de áudio e os dados de anexos.

Nossos administradores podem ler o conteúdo dos chats de IA hospedados guardado no nosso próprio banco de dados, incluindo seus prompts, as respostas do modelo e as sugestões de prompts do campo de entrada do chat, para analisar como os recursos de IA são usados e melhorá-los. O acesso a esse conteúdo é restrito aos administradores do operador.

Quando você conecta o Nibomo a um cliente de IA externo pelo serviço MCP remoto ou pela Agent API, os dados que você pede a esse cliente para buscar também são tratados pelo cliente e pelo provedor de IA ou de modelo dele. Esse tratamento separado é controlado pelo operador do cliente e regido pelos termos e pela política de privacidade dele.

Operadores e destinatários

Usamos as seguintes categorias de prestadores de serviço para o serviço hospedado:

Amazon Web Services (AWS) para hospedagem, autenticação com o Cognito, Postgres, armazenamento de arquivos, backups e logs operacionais;
Apple para pagamentos na App Store, verificação de compras e notificações de assinaturas;
Google para pagamentos no Google Play, verificação de compras e notificações de assinaturas;
Stripe para pagamentos de assinaturas web, gestão de cobrança, cálculo de impostos e notificações de pagamento;
Resend para e-mails transacionais de autenticação e cobrança;
OpenAI para as solicitações opcionais de IA hospedada;
Langfuse Cloud para observabilidade da IA hospedada;
Sentry para relatórios higienizados de erro e diagnóstico, quando ativado no serviço hospedado ou na build do aplicativo em questão;
Vercel para o site de divulgação e para o Web Analytics sem cookies dele; e
Cloudflare para DNS e gestão de domínios. Os registros DNS atuais do Nibomo são somente DNS, então a Cloudflare não faz proxy do tráfego HTTP do site nem do aplicativo hospedado.

Os dados também podem ser divulgados a outros membros de um espaço de trabalho compartilhado conforme os recursos de colaboração do serviço, a um cliente externo que você autorize, a consultores profissionais sujeitos a dever de sigilo ou a autoridades públicas quando a divulgação for exigida por lei.

Transferências internacionais

O aplicativo hospedado principal roda na infraestrutura da AWS na União Europeia. A região de e-mail configurada no Resend, a região de dados do Sentry e o endpoint do Langfuse também ficam na Europa. Alguns provedores, incluindo a OpenAI e a Vercel, podem tratar dados fora do seu país ou do Espaço Econômico Europeu. Quando é exigido, usamos as decisões de adequação aplicáveis, acordos de tratamento de dados e Cláusulas Contratuais Padrão ou salvaguardas equivalentes para essas transferências.

Retenção e exclusão

Os dados de conta e dos espaços de trabalho hospedados são mantidos enquanto sua conta ou o espaço de trabalho compartilhado em questão permanecer ativo. A exclusão da conta remove do banco de dados ativo os dados atuais da sua conta, as credenciais, as participações e os espaços de trabalho em que você é o único membro. O conteúdo de um espaço de trabalho que ainda tem outros membros continua disponível para eles.
O histórico de cobrança da Apple permanece após a exclusão da conta para fins contábeis, de conciliação e de demandas jurídicas. Substituímos os identificadores internos de usuário por valores pseudônimos e apagamos o conteúdo armazenado das notificações da Apple atribuíveis à conta excluída. Os identificadores necessários de compra e de atribuição à conta da Apple permanecem; a Apple ainda pode vinculá-los a você, portanto isso não é uma anonimização completa. Excluir sua conta do Nibomo não cancela sua assinatura da Apple; gerencie ou cancele a assinatura pela Apple.
O histórico de cobrança do Google permanece após a exclusão da conta para fins contábeis, de conciliação e de demandas jurídicas. Substituímos os identificadores internos de usuário por valores pseudônimos e apagamos o conteúdo armazenado das notificações do Google atribuíveis à conta excluída. Os identificadores necessários de compra e de atribuição à conta permanecem; o Google ainda pode vinculá-los a você, portanto isso não é uma anonimização completa. Excluir sua conta do Nibomo não cancela sua assinatura do Google Play; gerencie ou cancele a assinatura pelo Google Play.
O histórico de cobrança do Stripe permanece após a exclusão da conta para contabilidade, conciliação e reivindicações legais. Mantemos notificações brutas e decodificadas do Stripe para conciliação; a exclusão apaga o conteúdo das notificações armazenadas atribuíveis à conta e substitui identificadores internos de usuário por valores pseudônimos. Permanecem os registros necessários de clientes, assinaturas, transações, testes e prevenção de e-mails duplicados. O Stripe ainda pode vincular seus identificadores a você, portanto isso não é uma anonimização completa. Antes de apagar os dados, confirmamos o cancelamento das futuras renovações do Nibomo pelo Stripe; se isso falhar, a conta não será excluída.
Envios pendentes de e-mails de cobrança podem manter o destinatário e o conteúdo da mensagem no nosso banco de dados até que o Resend aceite a mensagem, o envio seja interrompido ou a conta seja excluída. A aceitação ou interrupção apaga esse conteúdo privado; a exclusão da conta também apaga o identificador armazenado da mensagem no Resend. Os registros de envio restantes evitam duplicatas. Isso não apaga cópias já mantidas pelo Stripe ou Resend, cujas práticas de retenção também se aplicam.
Os eventos de análise de produto permanecem depois da exclusão da conta. Para os eventos ligados à sua conta e às identidades de visitante vinculadas, substituímos os identificadores de conta por um valor aleatório, removemos os vínculos de identidade e limpamos os campos de instalação, sessão, espaço de trabalho, solicitação, modelo do dispositivo, sistema operacional, idioma do dispositivo, idioma da interface, fuso horário e país. Os perfis de instalação associados e o histórico de país deles são excluídos. Isso descreve a remoção de identificadores, e não uma garantia de que os eventos mantidos sejam anônimos em qualquer contexto.
A exclusão da conta também expira o cookie analytics_visitor no navegador em que a exclusão é feita e reinicia o identificador de sessão de análise desse navegador. Depois disso, esse navegador segue como um visitante anônimo novo, com um identificador novo sem ligação com o anterior, onde a sua escolha sobre análise permitir. Isso alcança apenas esse navegador; não chega a uma cópia guardada em outro navegador ou em outro dispositivo, e um navegador que bloqueia a gravação ou é fechado antes dela mantém o identificador antigo até que ele expire sozinho. Também não altera os eventos já coletados: os eventos registrados enquanto você estava desconectado e nunca vinculados à sua conta mantêm o identificador com que foram registrados, e é a remoção dos vínculos de identidade descrita acima que impede ligar esse identificador de volta a você.
Os períodos detalhados de país são excluídos das leituras de público assim que a última observação deles fica com mais de 90 dias. Uma limpeza diária apaga esses períodos; a exclusão física pode demorar até que uma execução de limpeza termine com sucesso. Um período sem mudança pode começar antes dos 90 dias, mas não é um registro diário de localização. O primeiro país conhecido é guardado à parte durante toda a vida do perfil de instalação, até que esse perfil seja excluído.
O país do feedback fica com o registro do feedback e é excluído junto com esse registro pelo ciclo de exclusão da conta; a regra de 90 dias do histórico de país não se aplica ao feedback.
As mídias guardadas são mantidas enquanto o conteúdo ativo do espaço de trabalho relacionado precisar delas e são excluídas pelo processo de limpeza do armazenamento depois que deixam de ser referenciadas. Uploads temporários incompletos expiram depois de 7 dias.
O banco de dados tem 7 dias de backups automáticos do RDS e um plano separado de AWS Backup diário com retenção de 35 dias. Registros excluídos do serviço ativo podem permanecer em backups de recuperação criptografados até que esses backups expirem; os backups servem para recuperação de desastres, não para o acesso normal ao serviço.
Os logs de acesso do API Gateway expiram depois de 7 dias. Os demais logs de aplicação no CloudWatch hoje não têm expiração automática configurada e permanecem até serem excluídos manualmente. Restringimos o uso deles a operações, segurança e depuração e excluímos as entradas pertinentes quando isso é necessário para atender a um direito aplicável de proteção de dados.
O plano Developer atual do Sentry oferece uma janela de consulta de eventos de 30 dias. O Resend retém os dados de e-mails enviados por 30 dias conforme as configurações padrão atuais do serviço dele.
A retenção na OpenAI está descrita na seção IA hospedada. O Langfuse Cloud exclui os traces de IA depois de 30 dias: o limite de acesso do provedor aplicado ao nosso projeto remove todas as noites os traces mais antigos, e essa exclusão é irreversível. Excluímos traces identificáveis quando isso é necessário para atender a um pedido válido de exclusão.
A correspondência de suporte e os registros necessários para questões legais ou de segurança são mantidos apenas pelo tempo necessário para a finalidade em questão. O hash de visitante da Vercel expira depois de 24 horas; as estatísticas agregadas do site são retidas conforme as configurações do projeto na Vercel.

Excluir uma conta não remove de imediato as cópias que já estejam em um backup programado ou em um log de provedor. Essas cópias expiram ou são excluídas conforme os prazos acima, a menos que a lei exija um prazo maior.

Seus direitos

Dependendo da lei que se aplica a você, você pode nos pedir acesso aos seus dados pessoais, correção, exclusão, restrição do uso ou uma cópia portátil. Você também pode se opor ao tratamento baseado em legítimo interesse e retirar o consentimento quando o tratamento se basear em consentimento. Esses direitos podem ser limitados quando a lei permitir, inclusive quando os dados precisarem ser mantidos por uma obrigação legal ou pelos direitos de outra pessoa.

Você pode excluir sua conta hospedada no aplicativo web, iOS ou Android. Para outro pedido, fale com a gente pelo endereço abaixo. Talvez a gente precise confirmar sua identidade antes de concluir um pedido.

Você pode apresentar reclamação à autoridade de proteção de dados do lugar onde mora ou trabalha, ou onde acredita que ocorreu uma infração. Na Bulgária, a autoridade supervisora é a Comissão para a Proteção de Dados Pessoais.

Segurança e código aberto

Usamos controles de acesso, criptografia em trânsito, armazenamento criptografado na AWS e minimização ou ocultação de dados nos sistemas de diagnóstico. Nenhum serviço pode garantir segurança absoluta.

O código-fonte público permite que você examine os caminhos documentados de tratamento de dados e a configuração versionada nos repositórios. O código público, por si só, não comprova a configuração ou o comportamento atual do serviço hospedado.

Contato

Para dúvidas sobre privacidade ou pedidos relacionados a direitos, escreva para kirill+flashcards@kirill-markin.com ou use a página de suporte.

Idioma

Esta política de privacidade é publicada em vários idiomas. Se uma tradução divergir da versão em inglês, prevalece a versão em inglês.