Política de Privacidade

1. Responsável pelo Tratamento

O responsável pelo tratamento dos seus dados pessoais é o aimag.me. Para consultas sobre proteção de dados, entre em contato: aimag.me/contact.

2. Quais Dados Coletamos

Como parte da prestação do serviço, coletamos os seguintes dados:

• Endereço de e-mail — necessário para a criação de conta e login.
• Leituras de tarô — perguntas, cartas tiradas e interpretações geradas, armazenadas na conta do usuário.
• Dados de uso — número de leituras por dia, data do último login, preferências de idioma.
• Preferências — idioma escolhido (PL/EN/PT), configurações de exibição.
• Dados de pagamento — processados exclusivamente pelo Stripe. Não armazenamos números de cartão nem dados de pagamento em nossos servidores.
• Dados de autenticação — se você entrar via Google ou Apple, recebemos seu nome e foto de perfil. Não recebemos nem armazenamos sua senha de provedores terceiros.
• Declarações de cancelamento e de arrependimento — quando você usa “Cancelar contratos aqui” ou “Retrate-se do contrato aqui”: nome, endereço de e-mail, o contrato e sua descrição, o motivo e a data de término solicitada, se informados, o momento do recebimento e, para proteger o formulário contra abusos, um hash do seu endereço IP e o identificador do seu navegador.

3. Finalidade e Base Legal do Tratamento

Tratamos seus dados com base nas seguintes bases legais:

• Execução de um contrato (Art. 6(1)(b) RGPD) — necessário para prestar o serviço de leitura de tarô e manter sua conta.
• Interesse legítimo do responsável (Art. 6(1)(f) RGPD) — análise de uso para melhorar o serviço, prevenção de abusos.
• Autenticação de terceiros — o processamento é baseado no seu consentimento ao escolher entrar via Google ou Apple (Art. 6(1)(a) LGPD/GDPR).
• Consentimento para e-mails de marketing (Art. 6(1)(a) RGPD) — se você o marcar ao entrar ou criar sua conta, ou assinar a newsletter, enviamos por e-mail novidades, dicas e ofertas da aimag.me. Você pode retirá-lo a qualquer momento pelo link presente em cada um desses e-mails ou escrevendo para nós; sem ele, enviamos apenas e-mails sobre sua conta e pagamentos.
• Obrigação legal e defesa de direitos (Art. 6(1)(c) e (f) RGPD) — recebimento e confirmação de uma declaração de cancelamento ou de arrependimento e conservação da prova em caso de disputa.

4. Período de Retenção de Dados

• Leituras anônimas (sem conta) — excluídas automaticamente após 30 dias.
• Dados de conta — armazenados até que o usuário exclua a conta. Após a exclusão, os dados são apagados em até 30 dias.
• Dados de faturamento — armazenados de acordo com os requisitos da legislação fiscal (5 anos a partir do final do ano em que a transação foi realizada).
• Declarações de cancelamento e de arrependimento — 3 anos a partir do final do ano em que foram feitas, inclusive após a exclusão da conta (prova em caso de disputa); depois são excluídas automaticamente. O hash do endereço IP e o identificador do navegador são excluídos após 30 dias, e os envios rejeitados como automáticos, por completo após 30 dias.
• Cópias de segurança — mantemos as cópias de segurança do banco de dados por até 30 dias e os snapshots criptografados dessas cópias por até 6 meses. Dados excluídos do serviço podem permanecer nessas cópias até que expirem: no máximo 7 meses após a exclusão.

5. Seus Direitos

De acordo com o RGPD, você tem os seguintes direitos:

• Direito de acesso — você pode perguntar quais dados processamos sobre você.
• Direito de retificação — você pode solicitar a correção de dados imprecisos.
• Direito de exclusão ("direito ao esquecimento") — você pode solicitar a exclusão dos seus dados.
• Direito à portabilidade de dados — você pode baixar seus dados em formato JSON.
• Direito à limitação do tratamento — você pode solicitar a limitação do tratamento em determinadas situações.
• Direito de retirar o consentimento — quando o tratamento se baseia no consentimento, você pode retirá-lo a qualquer momento. A retirada não afeta a legalidade do tratamento realizado antes da retirada.
• Direito de oposição — você pode se opor ao tratamento dos seus dados baseado em interesses legítimos (Art. 21 RGPD). Cessaremos o tratamento a menos que demonstremos motivos legítimos imperiosos.
• Direito de apresentar uma reclamação — você pode apresentar uma reclamação perante uma autoridade supervisora (no seu país de residência dentro da UE, ou perante a Autoridade de Proteção de Dados correspondente).

6. Cookies

Utilizamos apenas cookies essenciais: um cookie de sessão (PHPSESSID) para manter sua sessão de login e um cookie de preferência de idioma. Não utilizamos cookies publicitários, de rastreamento nem de análise baseados em cookies. A análise (Plausible) funciona sem cookies.

7. Terceiros

Para operar o aimag.me, utilizamos os seguintes prestadores de serviços (destinatários dos seus dados):

• Hetzner Online GmbH (Alemanha) — hospedagem da aplicação, do banco de dados, dos backups e da nossa ferramenta de estatísticas própria. OVH SAS (Gravelines, França) — hospedagem de uma cópia sincronizada da aplicação e do banco de dados, que assume o funcionamento se o servidor principal falhar.
• Cloudflare, Inc. (EUA) — rede de distribuição de conteúdo e proxy de segurança para todo o tráfego do aimag.me, incluindo a verificação Turnstile nos formulários de login e de contato. Trata o seu endereço IP e os dados das requisições.
• Google Firebase Authentication (Google LLC, EUA) — gerencia o login com e-mail e senha, pelo Google ou pela Apple. Trata o seu endereço de e-mail, o identificador da conta e os dados recebidos do Google ou da Apple no login. Se você entrar com o Google ou a Apple, essas empresas também tratam o seu login como controladoras independentes, conforme suas próprias políticas de privacidade.
• Resend (Plus Five Five, Inc., EUA) — envio de e-mails transacionais (conta, pagamentos, notificações); trata o seu endereço de e-mail e o conteúdo da mensagem. Nossas caixas de e-mail são hospedadas pela Proton AG (Suíça), que recebe as mensagens que você nos envia pelo formulário de contato ou por e-mail, e pela Google LLC (EUA), que recebe nossas notificações de operação sobre novas contas e pagamentos; estas podem incluir o seu endereço de e-mail.
• Stripe — processa os pagamentos. Os dados do cartão são inseridos diretamente no Stripe e nunca chegam aos nossos servidores; mantemos os registros de transações exigidos para fins contábeis e fiscais.
• OpenRouter, Inc. (EUA) — encaminha as solicitações de IA para os provedores de modelos listados abaixo. Recebe a sua pergunta e as cartas tiradas; nas leituras seguintes na sua conta, também as suas perguntas anteriores e trechos das suas leituras anteriores e, numa pergunta de acompanhamento, a leitura a que ela se refere. Não anexamos o seu endereço de e-mail nem o identificador da sua conta. Configuramos o OpenRouter para enviar essas solicitações apenas aos serviços próprios da OpenAI e da Anthropic e para excluir provedores que, segundo o OpenRouter, coletam dados dos usuários.
• OpenAI (via OpenRouter) — os modelos GPT geram as leituras dos planos Free e Seeker e a segunda etapa das leituras Mystic. Recebe os dados descritos para o OpenRouter e, na segunda etapa de uma leitura Mystic, também o texto da primeira etapa.
• Anthropic PBC (via OpenRouter) — os modelos Claude geram a primeira etapa das leituras Mystic e funcionam como modelo reserva em todos os planos. Recebe os dados descritos para o OpenRouter.
• Plausible Analytics — ferramenta de estatísticas de tráfego executada no nosso próprio servidor (Hetzner, acima); nenhum dado é enviado ao desenvolvedor do Plausible. Não usa cookies.
• Pushover, LLC (EUA) — envia ao operador do aimag.me alertas técnicos e de segurança. Os alertas podem conter identificadores de conta e de assinatura, plano, valor do pagamento, país, endereços IP de tráfego suspeito e detalhes técnicos de erros.

8. Contato

Para consultas sobre proteção de dados, você pode entrar em contato conosco em: aimag.me/contact. Respondemos às consultas em até 30 dias.

9. Transferências internacionais de dados

Alguns prestadores listados na seção 7 estão localizados fora do Espaço Econômico Europeu. Nos Estados Unidos: OpenRouter, Inc., OpenAI e Anthropic PBC (leituras de IA), Google LLC (login e caixa de e-mail do operador), Resend (Plus Five Five, Inc.; e-mail), Cloudflare, Inc. (CDN e segurança), Pushover, LLC (alertas para o operador) e Stripe, LLC (pagamentos; nossa parte contratante é a Stripe Payments Europe, Limited, Irlanda). As transferências para Stripe, Cloudflare e Resend são cobertas pelas cláusulas contratuais-padrão adotadas pela Comissão Europeia ou, no caso do Stripe, pelo Quadro de Privacidade de Dados UE-EUA (EU-U.S. Data Privacy Framework), conforme previsto nos seus termos de tratamento de dados. A Google declara nos termos de tratamento de dados do Firebase que a Google LLC é autocertificada nesse quadro, e a Cloudflare e a Resend declaram nos seus acordos de tratamento de dados que o cumprem. Segundo a sua própria política de privacidade, o OpenRouter baseia-se em decisões de adequação e cláusulas contratuais-padrão; a OpenAI e a Anthropic tratam as solicitações como provedores de modelos utilizados pelo OpenRouter. Segundo a sua própria política de privacidade, a Pushover baseia-se, quando exigido por lei, em mecanismos como as cláusulas contratuais-padrão. A Proton AG tem sede na Suíça; a Comissão Europeia reconheceu a este país um nível de proteção adequado. Não vendemos os seus dados pessoais.

10. Residentes da Califórnia

Se você reside na Califórnia, o CCPA/CPRA lhe concede direitos adicionais: direito de saber, direito de exclusão, direito de recusar a venda (não vendemos seus dados), direito à não discriminação. Contato: aimag.me/contact.

11. Tomada de decisões automatizada

Nosso serviço utiliza inteligência artificial para gerar interpretações de tarô. Isso constitui um processamento automatizado sem efeitos legais, já que as interpretações são fornecidas exclusivamente para fins de entretenimento. Você tem o direito de se opor ao processamento baseado em interesse legítimo (Art. 21 RGPD) — entre em contato conosco em aimag.me/contact.

12. Privacidade de Menores

Nosso serviço não é destinado a pessoas menores de 18 anos. Não coletamos conscientemente dados pessoais de menores. Se você é pai ou responsável e acredita que seu filho nos forneceu dados pessoais, entre em contato conosco em aimag.me/contact — excluiremos esses dados imediatamente.

13. Monitoramento de segurança e prevenção de fraude

Para proteger nosso Serviço e nossos usuários contra atividades fraudulentas, abusos e acessos não autorizados, processamos certos dados técnicos com base em nossos interesses legítimos (Artigo 6(1)(f) LGPD/GDPR). Os dados processados para fins de segurança incluem: endereços IP associados ao acesso à conta e às transações (retidos por até 90 dias, depois anonimizados ou excluídos); identificadores técnicos derivados dos cabeçalhos de solicitações HTTP (retidos por até 90 dias); carimbos de data/hora e frequência das interações com o serviço; país de acesso derivado do endereço IP; e domínio de e-mail utilizado para registro para identificar provedores de e-mail descartáveis ou de alto risco. Nossos sistemas podem suspender automaticamente contas quando atividade fraudulenta é detectada. Nesses casos, você receberá uma notificação por e-mail em até 24 horas e poderá recorrer entrando em contato conosco em aimag.me/contact. Os recursos são analisados por um ser humano em até 5 dias úteis. Você tem o direito de solicitar intervenção humana, expressar seu ponto de vista e contestar a decisão (Artigo 22(3) GDPR). Não utilizamos impressão digital de dispositivo baseada em JavaScript além do estritamente necessário para fornecer o Serviço.

14. Análise do serviço

Analisamos padrões de uso agregados (como frequência de uso do serviço, duração das sessões e comportamento de navegação) com o objetivo de melhorar o Serviço e detectar padrões de uso anormais que possam indicar fraude ou abuso. Esta análise é realizada com base em nossos interesses legítimos (Artigo 6(1)(f) LGPD/GDPR) e não envolve tomada de decisão automatizada com efeitos legais sem revisão humana. Utilizamos o Plausible Analytics, uma ferramenta de análise que preserva a privacidade, não utiliza cookies e não realiza rastreamento entre sites.

15. Aplicativo móvel

Nosso aplicativo Android disponível no Google Play ("AI Tarot Reading — aiMag.me") é uma Trusted Web Activity (TWA) — um wrapper leve que abre nosso site (aimag.me) em uma visualização de navegador em tela cheia. O aplicativo não coleta dados adicionais além do descrito nesta Política de Privacidade. Todo o processamento de dados ocorre através do nosso site. O aplicativo não utiliza Google Play Billing; todos os pagamentos são processados pelo Stripe conforme descrito na Seção 7.