Política de Privacidade e Proteção de Dados
A arquitetura do Flerty foi projetada sob o princípio de Privacy by Design. Interagir com inteligência artificial exige transparência técnica e jurídica estrita. Esta política descreve como tratamos, isolamos e protegemos seus dados pessoais.
Seus prompts e conversas trafegam por APIs pagas e nunca são utilizados para treinar modelos fundacionais públicos (como ChatGPT ou Gemini).
Segurança nativa em nível de banco de dados (Row Level Security): cada usuário possui acesso estrito apenas aos seus próprios registros.
Desativação instantânea com carência de 90 dias em quarentena segura para litígios e fraudes, culminando em Hard Delete irreversível.
Identificação do Controlador e Encarregado de Dados (DPO)
A operadora do Flerty atua como a Controladora dos seus dados pessoais. Para garantir o atendimento rápido e transparente aos titulares de dados e às autoridades de proteção (como a ANPD e autoridades europeias), mantemos um Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer - DPO) formalmente designado.
Canal do DPO: Para exercer direitos, sanar dúvidas ou relatar preocupações de privacidade, envie um e-mail para contact@flerty.app.
Prazo de Resposta: Em observância ao Artigo 19 da LGPD, responderemos às suas requisições fundamentadas no prazo máximo de 15 (quinze) dias.
Mapeamento de Dados Coletados (Rótulos de Privacidade Apple & Google)
Em conformidade com os Privacy Nutrition Labels da Apple e a declaração de segurança de dados do Google Play, coletamos apenas os dados essenciais para o fornecimento do serviço:
Contato e Autenticação
Endereço de e-mail cadastrado (via login Passwordless / Magic Link gerido pelo Supabase) ou credenciais fornecidas por provedores OAuth (Sign-in com Apple ou Google). Não exigimos dados civis completos, endereço ou CPF para o uso comum.
Conteúdo do Usuário (User Content)
Mensagens de texto enviadas durante as simulações, personas customizadas criadas, opções de diálogo selecionadas e métricas comportamentais calculadas pelo Treinador (Attraction Score).
Identificadores de Dispositivo
Tokens de notificação Push (Expo Notifications - APNs para iOS e FCM para Android), sistema operacional, modelo do dispositivo e cabeçalhos de build para controle de compatibilidade e segurança contra abusos.
Dados de Assinatura (IAP)
Recibos criptografados de transações gerados pela Apple StoreKit e Google Play Billing para validação de plano Pro/Premium. Não coletamos, processamos nem armazenamos números de cartão de crédito.
Finalidades do Tratamento e Bases Legais (LGPD / GDPR)
Todo tratamento de dados realizado pelo Flerty possui fundamentação jurídica explícita, conforme prevê o Artigo 7º da LGPD e o Artigo 6º do GDPR:
| Categoria | Finalidade | Suboperador | Base Legal (LGPD/GDPR) |
|---|---|---|---|
| Autenticação & Perfil | Gerenciamento de sessão e persistência segura de conta. | Supabase (PostgreSQL) | Execução de Contrato (Art. 7º, V) |
| Prompts & Simulações | Geração dinâmica de respostas, personas e feedback de IA. | DeepSeek & Google Gemini (APIs pagas) | Execução de Contrato (Art. 7º, V) |
| Assinaturas In-App | Validação de compras, concessão de cotas Pro e combate a fraudes. | Apple StoreKit & Google Play Billing | Cumprimento Legal & Contrato (Art. 7º, II e V) |
| Tokens Push | Envio de alertas sobre respostas de simulação e novidades. | Expo Push Service (APNs / FCM) | Consentimento Revogável (Art. 7º, I) |
| Logs de Telemetria & IP | Prevenção contra DDoS, auditoria de segurança e guarda legal. | Infraestrutura Railway / Fastify | Obrigação Legal (Marco Civil) & Legítimo Interesse |
Tratamento de Dados por Inteligência Artificial (Não Treinamento)
O motor tecnológico do Flerty depende do roteamento dos seus prompts para Provedores de Modelos de Linguagem de Grande Escala (LLMs). Reconhecendo a natureza sensível dessas interações, firmamos compromissos técnicos e contratuais rigorosos:
- Exclusão Absoluta de Treinamento de Modelos: Utilizamos exclusivamente camadas de inferência corporativas e pagas (Enterprise Paid APIs) com nossos provedores de IA (DeepSeek e Google Gemini). Sob os Acordos de Processamento de Dados (DPAs), seus prompts, mensagens e históricos nunca são utilizados para treinar, retreinar ou aperfeiçoar modelos fundacionais públicos.
- Processamento Stateless: O envio de dados destina-se estritamente à inferência contextual momentânea. Provedores parceiros retêm logs criptografados por períodos mínimos (de 0 a 30 dias) exclusivamente para auditoria de segurança contra abusos (ex.: verificação de CSAM e injeções maliciosas), sendo expurgados em seguida.
- Não Comercialização: A Empresa não comercializa, não aluga e não compartilha o conteúdo de suas conversas com corretores de dados (data brokers) ou redes publicitárias sob nenhuma circunstância.
Segurança da Informação e Isolamento Arquitetural (Art. 46 LGPD)
Em conformidade com o Artigo 46 da LGPD, adotamos medidas técnicas e administrativas avançadas para proteger seus dados contra acessos não autorizados e incidentes de segurança:
- Criptografia: Comunicações protegidas por criptografia TLS 1.3 em trânsito e dados em repouso encriptados via padrão AES-256 no banco de dados.
- Row Level Security (RLS): Todas as tabelas sensíveis de conversas, perfis e compras possuem políticas estritas de RLS no PostgreSQL. O controle de acesso é aplicado diretamente no nível do motor do banco de dados, tornando estruturalmente impossível o vazamento cruzado de dados entre contas (isolamento multi-tenant rigoroso).
- Prevenção contra Ataques: Rate limiting dinâmico em todas as rotas da API Fastify, proteção contra injeções e validação de schema estrita com Zod.
Transferências Internacionais de Dados
Dada a distribuição global dos serviços em nuvem (como servidores da AWS e GCP operados por nossos parceiros), seus dados podem ser processados e armazenados em servidores localizados fora do território nacional (predominantemente nos Estados Unidos).
Estas transferências são amparadas pelo Capítulo V da LGPD e pela Resolução CD/ANPD nº 19/2024, baseando-se em Cláusulas-Padrão Contratuais (Standard Contractual Clauses - SCCs) e garantias equivalentes de proteção de dados que asseguram o mesmo padrão de privacidade exigido pela legislação brasileira.
Cronograma de Retenção e Protocolo de Exclusão (Soft Delete de 90 Dias)
O Usuário pode solicitar a exclusão de sua conta a qualquer momento diretamente no aplicativo (Perfil > Excluir Minha Conta). Para harmonizar seu direito de apagamento com nossas obrigações legais e antifraude, implementamos um fluxo técnico em 3 estágios:
Estágio 1: Soft Delete Instantâneo (Dia 0)
Sua conta é desativada no exato momento da solicitação. As sessões são revogadas, o perfil fica invisível e qualquer tentativa de chamada às APIs de inteligência artificial é imediatamente rejeitada com status HTTP 403 (account_deleted).
Estágio 2: Período de Retenção Legal (Dias 1 a 90)
Os dados são mantidos em quarentena segura e isolada por exatos 90 dias corridos, com base no Artigo 16 da LGPD e Artigo 17(3) do GDPR. Este período é estritamente necessário para: (a) cumprimento do Art. 15 do Marco Civil da Internet (guarda de registros de conexão); e (b) defesa técnica em disputas financeiras e chargebacks fraudulentos junto às lojas de aplicativos e operadoras. Durante este período, o titular pode cancelar a exclusão realizando novo login.
Estágio 3: Hard Delete Irreversível (Dia 91 em diante)
Decorrido o período de carência, um processo automatizado no banco de dados executa a exclusão física e irreversível (Hard Delete) de todos os registros de conversas, personas, mensagens e credenciais do usuário através de exclusão em cascata (CASCADE).
Direitos do Titular dos Dados (LGPD / GDPR)
Em conformidade com o Artigo 18 da LGPD e as normas do GDPR, asseguramos a você o exercício fácil e gratuito dos seguintes direitos:
- Confirmação e Acesso: Confirmar a existência de tratamento e acessar uma cópia clara de suas informações cadastradas.
- Retificação: Solicitar a correção de dados incompletos, inexatos ou desatualizados.
- Portabilidade: Solicitar a exportação dos seus dados em formato estruturado e legível por máquina (ex.: .JSON).
- Revogação do Consentimento: Revogar o consentimento para o envio de notificações push a qualquer momento nas configurações do seu celular.
- Eliminação e Anonimização: Requisitar a exclusão dos dados pessoais tratados, que seguirá o protocolo de retenção detalhado na Seção 7.
- Revisão de Decisões Automatizadas: Obter informações claras sobre as diretrizes algorítmicas de pontuação e contestar eventuais bloqueios de conta gerados por filtros automáticos de segurança.
Como exercer seus direitos:
Basta encaminhar uma mensagem para o e-mail oficial do nosso DPO: contact@flerty.app, indicando o endereço de e-mail associado à sua conta. Para garantir a segurança dos seus dados, confirmaremos sua identidade antes de processar solicitações de acesso ou exclusão.