Política de privacidade

Quem trata os dados, e como falar com quem trata

O controlador é a Filhos.app, responsável por decidir o que é tratado e por quê. O canal do titular é fsannino@collabz.com.br: é por ele que se pede acesso, correção, exportação, exclusão ou explicação sobre qualquer ponto deste aviso. O endereço não usa o domínio da marca porque ele ainda não recebe e-mail — e um canal bonito que descarta pedidos em silêncio seria pior do que nenhum canal.

O encarregado formalmente designado ainda não existe, e dizer isso é parte do aviso. Até a designação, quem responde pelo canal acima é a equipe responsável pelo produto, no mesmo prazo e com o mesmo registro. Omitir a pendência faria parecer que há uma estrutura que ainda não há.

Para que cada dado é tratado

Cada finalidade tem base legal e prazo próprios — não há uma autorização genérica que cubra tudo. A tabela abaixo é a mesma que governa o código, e está reproduzida em docs/lgpd/bases-legais.md, no repositório público do produto.

O rascunho trafega até o nosso servidor

Quando o motor de tom lê uma mensagem antes do envio, o texto do rascunho sai do seu aparelho e vai até o nosso servidor, onde é processado em memória. Ele não é gravado em nenhuma hipótese — nem se você enviar, nem se desistir. O que fica guardado é só o resultado: nível de risco, marcadores e se a sugestão foi aceita.

Dizemos isto com todas as letras porque a frase confortável seria outra: muita gente descreveria o mesmo mecanismo como "análise no seu dispositivo". Não é. Enquanto o motor rodar no servidor, nenhum texto nosso vai prometer processamento local.

O motor é uma heurística escrita por nós, que roda na nossa própria infraestrutura. Sua mensagem não é enviada a nenhum serviço de inteligência artificial de terceiro, e não é usada para treinar modelo nenhum.

Quem mais vê, e quem não vê

O outro responsável vê o que é compartilhado por natureza: as mensagens trocadas entre vocês, o calendário, as trocas, os acordos e os impasses da família. Não vê o seu rascunho, não vê se você consentiu com a análise de tom, e não vê a leitura que o motor fez das suas mensagens. Essa separação está nas regras do banco de dados, e é testada simulando o outro responsável tentando ler o que não deve.

Um profissional só entra por convite da família, com finalidade declarada, escopo definido e prazo de validade. Todo acesso dele fica registrado na trilha de auditoria, visível às duas pessoas. Quando o prazo vence, o acesso morre sozinho — não depende de alguém lembrar de revogar.

Não vendemos, não alugamos e não cedemos dado de ninguém a anunciante, corretor de dados ou parceiro comercial. Não existe essa transação no produto.

A infraestrutura que hospeda, e a ferramenta que não existe aqui

Rodar um produto exige operadores: a Supabase guarda o banco de dados e cuida da autenticação, a Vercel hospeda a aplicação, e um serviço de e-mail entrega convite e recuperação de senha. Eles tratam dado por nossa conta e ordem, para executar o serviço, e não para finalidade própria.

O que não existe aqui é a outra categoria: não há ferramenta de análise de comportamento, de rastreamento publicitário, de mapa de calor, de gravação de sessão nem de inteligência artificial de terceiro. Nenhum dado de criança sai para ferramenta desse tipo, porque nenhuma ferramenta desse tipo está instalada.

A distinção importa e é feita de propósito. Dizer "nada vai para terceiros" seria falso enquanto houver hospedagem — e uma promessa falsa é exatamente o que este aviso não pode conter.

Seus direitos, e como exercê-los

Você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento e revogação de consentimento. O pedido vai para fsannino@collabz.com.br e é respondido em até 15 dias.

Hoje não existe botão de exclusão de conta dentro do produto: o pedido é atendido pelo canal acima, por pessoa, com registro do que foi feito. Dizemos isso porque a alternativa — descrever um autoatendimento que não está construído — transformaria este aviso em propaganda.

O que a exclusão alcança, e o que ela não alcança

Identificação, dados da criança, calendário e acordos são apagados a pedido. O conteúdo das mensagens trocadas entre os responsáveis, não: ele é retido mesmo após o pedido de exclusão de quem escreveu.

O motivo é o que o produto é. Uma mensagem trocada entre duas pessoas em litígio é prova de ambas, e apagá-la a pedido de uma delas destruiria o que a outra pode precisar demonstrar em juízo. A retenção se apoia no exercício regular de direito em processo, e não em conveniência nossa.

A trilha de auditoria também não é apagável, por construção: ela é encadeada, e remover um elo quebraria a verificação de todos os seguintes. É o que dá valor ao registro.

Se você revogar o consentimento da análise de tom

Suas mensagens continuam sendo enviadas — normalmente, sem nenhuma penalidade. Elas passam a ser enviadas sem análise, e o registro anota que não houve análise porque você revogou.

Esse registro existe por causa da revogação, e não apesar dela. Sem ele, "não analisou porque o titular revogou" ficaria indistinguível de "não analisou porque o sistema falhou" — e num processo a diferença entre exercer um direito e sofrer um defeito é o caso inteiro.

O seu consentimento, e a sua revogação, não são visíveis ao outro responsável.

O que este produto não é

A Filhos.app não presta mediação, conciliação, aconselhamento psicológico nem consultoria jurídica. O motor de tom não emite parecer, não avalia quem tem razão e não substitui profissional nenhum: ele aponta como uma frase pode ser lida e oferece outra forma de dizer a mesma coisa. Aceitar ou ignorar é sempre decisão de quem escreve.

Quando um profissional atua dentro do produto, a relação é entre ele e a família. Nós operamos a ferramenta, damos o escopo de acesso e registramos o que foi acessado — não respondemos pelo conteúdo técnico do trabalho dele.

Dados de criança e de adolescente

Dado de criança tem prioridade sobre conveniência de produto, e é tratado no melhor interesse dela, com consentimento do responsável. Dado de saúde só é tratado com consentimento específico e destacado — nunca embutido num aceite geral.

O relatório de impacto (RIPD) é pré-requisito para a fase seguinte deste produto. Enquanto ele não existir, o tratamento é o mínimo necessário para operar a coparentalidade, e está descrito nesta página.