Política de Privacidade

• A foto é processada na memória do seu aparelho (no navegador). Dela, o app extrai apenas a cor dominante (valores HSV — números). Só esses números são enviados para gerar a leitura.
• A imagem original é descartada imediatamente após a leitura da cor. Nunca persistimos a foto, nem enviamos a foto a nenhum servidor ou parceiro.
• Sem biometria. Não criamos faceprint nem template facial, não fazemos reconhecimento ou match entre sessões/pessoas, e não treinamos nenhum modelo com fotos de usuário.
• Metadados da foto (EXIF/geolocalização) não são lidos nem armazenados.

Por isso, sob a LGPD, a selfie é tratada como dado comum — não como dado biométrico/sensível. Dado biométrico, no núcleo do conceito (Art. 5º, II), pressupõe um processamento técnico que permita a identificação unívoca da pessoa (faceprint/template para correspondência) — exatamente o que não fazemos: extraímos só a cor dominante, sem template, sem reconhecimento e sem match. Isso é reforçado pela minimização do Art. 6º, III.

• A sua leitura (o seu retrato): as suas respostas às perguntas, a cor da aura (derivada dos números de cor da selfie), o texto que o Conselho escreve a partir das suas respostas, o signo (somente se você escolher um, de uma lista — nunca pedimos a sua data de nascimento) e um identificador aleatório (id). É um artefato pseudônimo — não está ligado a nome, e-mail ou conta, salvo se você criar a Conta opcional (ver a seção "Conta opcional (e-mail e senha)"), quando ele passa a ficar ligado ao seu e-mail e você deixa de ser anônimo. Continuam existindo identificadores técnicos (id, id do aparelho, IP nos registros de acesso, inscrição de push) que tratamos com minimização e sob a LGPD.
• Atribuição de indicação: se você chegou por um link de compartilhamento de alguém, guardamos o id (anônimo) de quem indicou — só para medir o alcance. Sem nome e sem cookie de rastreamento.
• Pagamento: para liberar a sua leitura completa, geramos um PIX via Mercado Pago. Guardamos o id da cobrança, status e valor. Os dados bancários do pagamento ficam com o Mercado Pago — não temos acesso ao seu banco nem ao seu cartão.
• O Norte (acesso por 12 meses): se você adquirir O Norte, guardamos o registro do acesso (id do pagamento, início e fim dos 12 meses) ligado à sua conta/aparelho, e um código de recuperação para reabri-lo em outro aparelho. Não há renovação nem cobrança automática. Perto do fim, só se você tiver deixado um e-mail, enviamos um lembrete (via Resend — ver seção 11); base legal: consentimento de finalidade única (Art. 7º, I) — nunca para marketing. Se você presentear O Norte, geramos um link de presente; quem resgata inicia os próprios 12 meses (o presenteador não vira assinante e não recebe dados de quem resgatou).
• CPF na nota (opcional): a nota fiscal de cada venda é obrigatória e, por padrão, sai como consumidor não identificado. Se — e só se — você quiser o seu CPF na nota, pode informá-lo na tela de pagamento. Nesse caso guardamos o CPF de forma temporária (apaga sozinho em poucos dias ou assim que a nota é emitida) e o compartilhamos com o Asaas (nosso operador de nota fiscal) apenas para emitir a NFS-e. Base legal: obrigação legal/fiscal (LGPD, art. 7º, II). Sem CPF, a nota sai mesmo assim — sem identificação.
• Identificador anônimo do aparelho: geramos um id aleatório no seu navegador (sem nome, e-mail ou telefone) só para lembrar das suas leituras e das suas compras — a menos que você crie a Conta opcional, quando esse id passa a ser vinculado ao seu e-mail (para te dar acesso ao seu conteúdo em vários aparelhos) e deixa de estar desligado da sua identidade. Isso muda só você: o anonimato de quem te respondeu no Encontro continua inviolável. Para recuperar as suas compras em outro aparelho sem conta, geramos um código de recuperação (um segredo, não um dado pessoal). Você pode reiniciar esse id a qualquer momento limpando os dados do site.
• Avisos (notificações): só se você ativar, guardamos a inscrição de push do seu navegador (um endereço técnico do serviço de notificação + chaves de criptografia, sem nome ou e-mail) para te avisar quando algo acontece no seu Encontro (por exemplo, quando alguém te lê às cegas). Você desativa quando quiser nas configurações de notificação do navegador/aparelho.
• Proteção anti-abuso: para conter robôs e excesso de uso, contamos requisições por endereço IP numa janela curta (rate-limit). Não usamos isso para te identificar.
• Registros de acesso (Marco Civil da Internet, Art. 15): ao usar o serviço, guardamos data/hora, o IP de origem e um id da requisição por 6 meses, sob sigilo e separados do uso do produto — é obrigação legal; o acesso por terceiros só ocorre por ordem judicial.
• No seu aparelho (não no nosso servidor): usamos armazenamento local (localStorage) do navegador, nas chaves auragem:v1 (para reabrir a sua leitura se você atualizar a página), auragem:ultima-aura (a cor da sua última leitura, só para a continuidade visual), auragem:uid (o identificador do aparelho), auragem:a2hs e auragem:push-dismiss (para lembrar que você já viu os convites de instalar e de notificação) e auragem:signo (o signo que você escolheu, se escolher um, só para não pedir de novo). Guardamos também um cookie funcional de 1ª parte (auragem_uid) com o mesmo identificador anônimo do aparelho, válido por cerca de 2 anos, só para que a sua sequência e o seu Passe não se percam se você limpar o armazenamento local — é um cookie estritamente necessário ao funcionamento, não é de rastreamento, não te identifica entre sites e não é compartilhado. Se você criar a Conta opcional, guardamos ainda o cookie de autenticação auragem_sessao (estritamente necessário, válido por 180 dias, httpOnly e seguro) — que guarda apenas um token opaco (no banco, só o hash dele) e o navegador; é cookie de login, não de rastreamento. Tudo isso fica no seu dispositivo e não é vendido nem compartilhado.

• O convite é público. O link do seu Encontro (auragem.com.br/e/…) exibe o seu nome e pode ser aberto por qualquer pessoa que tenha o link. Só entra no seu círculo quem responde; a divulgação do link é decisão sua.
• Quem responde escolhe: nomeado ou anônimo. Cada convidado decide responder com o nome ou anônimo, e essa escolha é imutável. O anonimato é inviolável: nunca de-anonimizamos um respondente anônimo. Quem responde anônimo entra sem nome, nunca vira leitura de par (Aura a Dois) e tem a resposta ordenada sem revelar quem chegou quando.
• O que guardamos de cada convidado: a percepção (o caminho que a pessoa respondeu sobre você), o nome — só se ela optou por se identificar — ou a marca de anônimo; a data/hora do consentimento e a afirmação de que tem 14 anos ou mais; e, sob sigilo e separados do resultado, o IP e o navegador (user-agent) do momento da resposta. Base legal: o próprio ato de responder é o consentimento do convidado (Art. 7º, I); a geração do Encontro para você (o criador) apoia-se na execução do serviço (Art. 7º, V); o IP/navegador apoiam-se em obrigação legal (Art. 7º, II, c/c Marco Civil da Internet, Art. 15) e legítimo interesse em segurança e moderação (Art. 7º, IX).
• Por que guardamos IP/navegador mesmo de quem responde anônimo: é o único vínculo que pode, só por ordem judicial, identificar o autor de um abuso — inclusive numa resposta anônima. Guardar para a Justiça não é revelar ao criador: no uso normal do produto, o IP/navegador nunca aparece para você nem para ninguém. Isso atende à vedação ao anonimato absoluto (CF, Art. 5º, IV) e ao dever de cuidado do ECA Digital, sem quebrar o anonimato.
• A síntese, as camadas e a Aura a Dois nascem das respostas reais do seu círculo e são escritas pela Anthropic (a mesma que escreve a sua leitura). Para isso, o texto enviado inclui o seu nome, o nome de quem respondeu nomeado e as percepções — e esse conteúdo sai do Brasil (ver seção 11). O respondente anônimo nunca tem o nome enviado a nenhum serviço.
• A Aura a Dois (leitura mútua) exige o "sim" explícito das duas pessoas. A leitura compartilhada entre você e outra pessoa do círculo só é gerada se ambos consentirem: o auto-retrato do outro só entra com o consentimento explícito dele (Art. 7º, I) — é regra pétrea do produto. Sem esse "sim", a Aura a Dois nunca é gerada.
• Aviso ao dono (opcional). Se você deixar um e-mail de aviso, avisamos quando alguém do círculo te lê. Esse aviso pode conter o primeiro nome de quem te leu (se a pessoa respondeu nomeada); se ela respondeu anônima, o aviso diz apenas "Alguém". Base: consentimento de finalidade única (Art. 7º, I) — não usamos esse e-mail para marketing. O envio é feito pela Resend (ver seção 11).
• Recuperar o seu Encontro sem conta. Para você reassumir a posse do Encontro em outro aparelho sem precisar de conta, mostramos uma única vez um código de recuperação e guardamos apenas o hash dele — é um segredo, não um dado pessoal. Quem tiver esse código assume a posse do Encontro, então guarde-o com cuidado.
• Moderação e remoção. Qualquer pessoa pode denunciar um Encontro (por exemplo, um Encontro criado sobre alguém sem o consentimento dela ou abusivo), de graça e sem precisar ter comprado — contato@auragem.com.br. Para tratar a denúncia guardamos o motivo e o IP/navegador de quem denuncia — legítimo interesse em segurança e dever legal de cuidado (Art. 7º, II e IX; ECA Digital). Podemos remover um Encontro: uma vez removido, ele deixa de aparecer e o link para de funcionar. Os registros da moderação ficam sob sigilo, para cumprir o dever de cuidado e permitir, só por ordem judicial, a rastreabilidade de um abuso.
• Retenção. O seu Encontro e as leituras que ele gera (síntese/camadas/par) ficam guardados enquanto o Encontro existir, para você reabrir e compartilhar — são imutáveis. Você pode pedir a eliminação do seu Encontro e das respostas a qualquer momento por privacidade@auragem.com.br, e atendemos no prazo legal. Atenção honesta: quando um Encontro é removido por moderação, ele deixa de aparecer e o link para de funcionar, mas os registros (respostas e trilha de moderação) podem permanecer sob sigilo pelo tempo necessário ao dever de cuidado e à eventual apuração judicial — a eliminação completa ocorre quando você pede ou quando essa necessidade cessa. O IP e o navegador ficam sob sigilo, acessíveis só por ordem judicial, pelo prazo necessário à finalidade (observado o mínimo legal do Marco Civil, Art. 15), e são eliminados quando essa necessidade cessa ou a seu pedido.

• É opcional. Você pode usar o Auragem inteiro sem nunca criar conta. A conta só faz sentido se você quiser guardar e reabrir as suas leituras, compras e Encontros em vários aparelhos.
• Com a conta, você passa a ser identificável. Você informa e-mail e senha; a partir daí o seu e-mail te identifica — é a passagem do artefato pseudônimo para um titular identificável (Art. 5º). Base legal: execução do serviço que você pediu (Art. 7º, V).
• Posse entre aparelhos (cross-device). A conta liga os identificadores anônimos dos SEUS aparelhos (até 32) ao seu e-mail, para dar acesso ao seu conteúdo em qualquer aparelho logado. Isto muda só você, não o seu círculo: o anonimato de quem te respondeu no Encontro continua inviolável — a conta não revela quem te leu às cegas.
• Senha guardada como hash — nunca em texto. A sua senha nunca é gravada em texto: no servidor ela é transformada imediatamente em um hash com scrypt (parâmetros robustos — N = 65.536, r = 8, com sal aleatório único por senha) e o texto é descartado; a verificação é feita em tempo constante. Base: execução (Art. 7º, V), observado o princípio de segurança (Art. 6º, VII). Não dependemos de nenhum serviço externo de login.
• Sessão e cookie de login. Ao entrar, criamos uma sessão e um cookie estritamente necessário (auragem_sessao, httpOnly, seguro, válido por 180 dias) que guarda apenas um token opaco — no banco guardamos só o hash desse token — além do navegador (user-agent). É cookie de autenticação, não de rastreamento, e não te identifica entre sites.
• Esqueceu a senha? Reset por e-mail. Você pede pelo seu e-mail e enviamos (via Resend — ver seção 11) um link com um token de uso único, válido por 1 hora, que só troca a senha — nunca faz login sozinho (não é "magic link") — e, ao ser usado, encerra todas as suas sessões. Por segurança, a resposta é sempre a mesma, exista ou não a conta. Guardamos apenas o hash do token; usado ou expirado, ele fica inerte e é descartado.
• Você controla as suas sessões. Ao trocar a senha (exige a senha atual) encerramos todas as outras sessões; "sair de todos os aparelhos" encerra todas; "sair" encerra só a deste aparelho. Essas ações apagam imediatamente as sessões no banco. Base: execução (Art. 7º, V), observada a segurança (Art. 6º, VII).
• Retenção e exclusão. A conta e o e-mail ficam guardados enquanto a conta existir; as sessões expiram em 180 dias e as inativas são apagadas automaticamente (rotina diária); os tokens de reset valem 1 hora e são de uso único. Você mesmo exclui a conta a qualquer momento, na sua conta, confirmando a senha atual (direito de eliminação, Art. 18, VI) — e exporta os seus dados num arquivo (Art. 18, V), no mesmo lugar. A exclusão apaga a conta e o que está ligado a ela — e-mail, senha, vínculos de aparelho, sessões e tokens de recuperação. Importante e honesto: excluir a conta te devolve ao estado pseudônimo — as suas leituras e Encontros continuam existindo por id (não somem junto com a conta). Para apagá-los também, use o link/id de cada leitura e, no Encontro, o código de recuperação, ou peça no mesmo e-mail.

• Gerar e entregar a sua leitura — execução de contrato (Art. 7º, V).
• Processar o pagamento — execução de contrato e obrigação legal/fiscal.
• Proteger o serviço (anti-abuso, rate-limit, anti-bot) e medir o alcance de forma anônima — legítimo interesse (Art. 7º, IX), sempre com dados minimizados.
• Enviar avisos do seu Encontro (notificações), se você ativar — consentimento (Art. 7º, I), dado pela permissão do navegador e revogável a qualquer momento nas configurações de notificação.
• Guardar os registros de acesso — cumprimento de obrigação legal (Art. 7º, II, c/c Marco Civil da Internet, Art. 15).
• Gerar o seu Encontro (síntese, camadas e Aura a Dois a partir das respostas reais do círculo) — execução de contrato (Art. 7º, V) do seu lado (o criador); a resposta de cada convidado apoia-se no consentimento dele (Art. 7º, I).
• Guardar o IP/navegador de quem responde ou denuncia um Encontro — obrigação legal (Art. 7º, II, c/c Marco Civil, Art. 15) e legítimo interesse em segurança e moderação (Art. 7º, IX).
• Manter a sua Conta opcional e a posse entre aparelhos — execução do serviço que você pediu (Art. 7º, V); a senha e a sessão observam o princípio de segurança (Art. 6º, VII).
• Enviar o e-mail de aviso do Encontro (se você optar) — consentimento de finalidade única (Art. 7º, I); enviar o e-mail de redefinição de senha — execução (Art. 7º, V).
• Enviar dados ao exterior para gerar a leitura/Encontro e os e-mails — sob base de transferência internacional (Art. 33 — ver seção 11).

• Selfie: 0 segundos no servidor — nunca sobe; descartada no aparelho logo após a leitura da cor.
• A sua leitura (cor + texto, por id): mantida para você reabrir/compartilhar pelo link; pode ser apagada a seu pedido.
• Registros de pagamento: pelo prazo legal/fiscal aplicável.
• Registros de acesso à aplicação (data/hora, IP, id da requisição): 6 meses (Marco Civil, Art. 15), depois apagados automaticamente.
• Inscrição de avisos (push), se você ativar: até você desativar; inscrições inativas há 180 dias são apagadas automaticamente.
• Contadores anti-abuso por IP: expiram em minutos a poucos dias.
• O seu Encontro e as leituras que ele gera (síntese/camadas/par): enquanto o Encontro existir — são imutáveis e servem para reabrir/compartilhar; apagáveis a seu pedido. Quando removido por moderação, deixa de aparecer e o link para de funcionar, mas os registros podem permanecer sob sigilo pelo tempo necessário ao dever de cuidado e à eventual apuração judicial.
• IP e navegador de quem responde ou denuncia um Encontro: sob sigilo, acessíveis só por ordem judicial, pelo prazo necessário à finalidade de segurança e registro (observado o mínimo legal do Marco Civil, Art. 15), e eliminados quando essa necessidade cessa ou a seu pedido.
• Conta opcional (e-mail e senha): enquanto a conta existir (você mesmo a exclui, na sua conta, quando quiser); sessões expiram em 180 dias (inativas apagadas automaticamente, rotina diária); tokens de reset: validade de 1 hora, uso único — guardamos só o hash, que fica inerte e é descartado depois.
• E-mail de aviso do Encontro (se você optar): guardado enquanto o Encontro existir ou até você removê-lo.