Privacidade

Política de privacidade

Última atualização: 8 de setembro de 2026.

Escopo

Esta política descreve a versão pública atual do SANITIZE. O serviço foi desenhado para minimizar exposição de dados durante a pseudonimização; isso não transforma automaticamente qualquer conteúdo em dado anônimo.

Dados de conta

Quando uma conta controlada é utilizada, o serviço pode tratar e-mail normalizado, identificadores internos de usuário e organização, estado de assinatura, sessões, consumo e eventos técnicos de auditoria necessários para autenticação, segurança e operação.

Conteúdo submetido

Texto e arquivos enviados à área SANITIZE são processados de forma transitória para produzir o conteúdo pseudonimizado. O processador não recebe o nome original do arquivo e seu código de sanitização não consulta o PostgreSQL. O conteúdo original e o mapa reversível não são destinados à persistência no Histórico Pro.

Quando o Histórico Pro está habilitado, somente o artefato já sanitizado pode ser persistido, cifrado no servidor com chave dedicada e isolamento por organização. A retenção configurável atualmente é de 7, 30 ou 90 dias, sujeita aos limites do produto e à exclusão pelo usuário.

Cofre reversível

O cofre é um recurso do fluxo Pro. A senha é utilizada no navegador e não deve ser enviada ao backend. A validade configurável é de 1 a 7 dias; o usuário é responsável por guardar a senha e o arquivo de cofre com segurança.

Logs e segurança

A aplicação desativa access log no Nginx do SANITIZE para reduzir metadados locais. Componentes de infraestrutura e do provedor de hospedagem podem manter registros técnicos mínimos para disponibilidade, segurança e prevenção de abuso.

Login com Google

Quando o usuário escolhe entrar com Google, utilizamos Google OpenID Connect apenas para confirmar a identidade da Conta Google e o endereço de e-mail, com os escopos mínimos openid e email. O SANITIZE não solicita nem acessa Gmail, Google Drive, Agenda, Contatos ou outros conteúdos da Conta Google. Não armazenamos access token ou refresh token do Google. Após a validação, conservamos apenas o identificador estável sub necessário para reconhecer o vínculo de autenticação com a conta SANITIZE. O e-mail da conta SANITIZE continua sujeito às regras desta Política.

Publicidade e métricas

Nesta versão, não há Google AdSense, Google Analytics, pixels de marketing, chat de terceiros ou session replay. Se publicidade vier a ser habilitada, ela ficará restrita às páginas públicas e esta política será atualizada antes da ativação. Quando os requisitos do Google se aplicarem, será utilizada CMP certificada compatível com o fluxo de consentimento exigido. A área de processamento continuará sem tecnologia publicitária.

Compartilhamento

O SANITIZE não tem como finalidade vender dados pessoais. Fornecedores de infraestrutura podem tratar dados estritamente necessários para hospedagem, rede, segurança e continuidade do serviço, conforme os contratos e obrigações aplicáveis.

Retenção

O original submetido é destinado a tratamento transitório. No Histórico Pro, somente saídas já sanitizadas podem ser armazenadas cifradas pelo prazo configurado de 7, 30 ou 90 dias. A exclusão/expiração remove o item do armazenamento ativo; cópias cifradas já presentes em backups operacionais do PostgreSQL seguem a retenção própria do backup, atualmente 7 dias no host e 30 dias no Google Drive, e não ficam disponíveis pelo Histórico da aplicação. Dados de conta, consumo e auditoria podem ser mantidos pelo período necessário para segurança, operação, exercício de direitos e cumprimento de obrigações aplicáveis.

Direitos e contato

O canal formal de privacidade será publicado junto ao domínio oficial antes da abertura comercial. Antes da abertura comercial, dúvidas de privacidade devem ser encaminhadas pelo canal oficial pelo qual o usuário recebeu suporte ou acesso ao serviço.

Leitor Privado

No Leitor Privado, PDF, PNG/JPEG e TXT selecionados pelo usuário são lidos diretamente no navegador e não são enviados à API, ao processor, ao banco ou ao Histórico. O recurso pode executar OCR local no navegador para leitura/busca de páginas escaneadas, não realiza análise documental e não persiste nem envia o arquivo ao backend.