Política de privacidade

Esta política explica o que acontece com os dados de uma chamada feita no digfone. Ela é específica porque o produto é específico: uma conversa por vídeo com legenda traduzida gera dado pessoal derivado de voz, e isso merece explicação direta.

O áudio e o vídeo não passam por nós

A imagem e o som vão diretamente de um navegador para o outro. Nossos servidores trocam as informações necessárias para os participantes se encontrarem (endereços de rede e o idioma escolhido), emitem credenciais de curta duração e processam as mensagens digitadas no chat, como explicado abaixo.

Quando as duas redes não conseguem se ligar direto (acontece atrás de certos roteadores e redes corporativas), o áudio e o vídeo passam por um servidor de retransmissão de terceiro, que encaminha os pacotes cifrados de ponta a ponta sem poder abri-los. Ele não é nosso e não guarda nada. Continua valendo o principal: em nenhum dos dois caminhos o áudio e o vídeo ficam acessível a nós.

Isso não é uma promessa de conduta, é como o sistema foi construído. Não conseguimos entregar o áudio de uma conversa a ninguém, em nenhuma circunstância, porque ele nunca esteve conosco.

A legenda sai do seu microfone, por um serviço de reconhecimento de fala

Cada participante transcreve o próprio microfone. O áudio vai do seu navegador direto para um serviço especializado de reconhecimento de fala, localizado nos Estados Unidos, com uma credencial temporária emitida por nós. O que volta é texto, e é só texto que trafega entre os participantes: a sua frase original e a tradução dela, para que os dois lados terminem com a conversa nos dois idiomas.

Mensagens digitadas durante a chamada

Ao enviar uma mensagem no chat, o texto passa pelos nossos servidores para ser entregue aos participantes presentes. Quando é necessária uma tradução, enviamos esse texto a um serviço de processamento de linguagem. Cada participante recebe a tradução no idioma que escolheu para a conversa e pode ler o original logo abaixo.

O chat não é incluído no histórico da conta, no resumo ou no PDF. O servidor mantém uma cópia temporária limitada para recuperar entregas em reconexões de até 30 segundos e a elimina ao encerrar a sala. A tela mostra até 200 mensagens recentes durante a chamada. Guardamos apenas identificadores e contadores técnicos de uso e custo, sem o texto, para limitar o serviço. O processamento pelo fornecedor segue os termos aplicáveis à prestação desse serviço; este prazo de memória do digfone não é uma afirmação sobre a retenção do fornecedor.

Medição opcional de navegação e experiência

Você pode aceitar ou recusar, separadamente, duas medições para melhorar o Digfone. A contagem agregada de visitas descrita abaixo continua independentemente dessa escolha. Recusar não impede o cadastro nem a chamada. A medição opcional de navegação registra horários de visita à landing, permanência visível de 10 segundos e etapas de cadastro e chamada. Um código aleatório fica nesta aba por até 30 minutos e pode acompanhar a passagem ao app. Sua escolha de aceitar ou recusar fica neste navegador até você mudá-la ou apagar o armazenamento local, sem guardar o código da sessão de forma permanente. Expirar uma sessão não apaga sua escolha nem exige responder novamente. Não registramos campos digitados, IP, identificação do navegador ou conta nessa tabela. Apagamos a ligação entre eventos após 30 dias e os eventos sem identificador após 400 dias. Os dados descrevem sessões, não pessoas únicas. Você pode mudar a escolha no botão de preferências de medição; revogar remove os eventos ainda ligados ao código daquela sessão.

Durante chamadas com histórico habilitado, cada participante pode autorizar a análise de suas próprias legendas posteriores à escolha, para encontrar relatos sobre qualidade, desempenho, falhas, utilidade e satisfação com o Digfone. Trechos de texto podem ser enviados ao OpenRouter e à TypeSafe para classificação por IA, com processamento fora do Brasil, inclusive nos Estados Unidos. Os fornecedores seguem seus termos de processamento e retenção; não presumimos retenção zero. Não enviamos mídia nem identificadores da conta ao modelo. Reduzimos identificadores evidentes no texto, mas não garantimos anonimização. Os resultados e a identificação do participante ficam restritos à administração; não servem para avaliar assuntos pessoais, decidir crédito ou alterar automaticamente campanhas. Não guardamos uma segunda cópia das falas nessa telemetria. Resultados duram até 30 dias, ou menos quando o histórico expira. A escolha pode ser revogada no controle de qualidade da chamada, removendo resultados ligados ao participante e impedindo novos envios. Envios que já chegaram ao fornecedor não podem ser desfeitos. Pedidos posteriores podem ser feitos pelo canal de privacidade. Limites de custo, disponibilidade e erros de IA podem deixar falas sem classificação; os sinais exigem revisão humana.

O que guardamos, e por quanto tempo

• Texto da conversa, se o plano do anfitrião tiver histórico: 7 dias no Free, 90 no Basic, 365 no Pro. Passado o prazo, o texto é apagado, não arquivado.
• Resumo por IA, quando gerado, com a mesma retenção do texto.
• Resposta da pergunta do fim da chamada, se você responder: uma nota de ruim a boa e, se quiser escrever, um comentário de até 200 caracteres. O comentário é apagado depois de 365 dias. A nota fica guardada junto com o registro daquela chamada e é anônima nas telas administrativas por padrão. Se você marcar a opção de identificação, essa nova avaliação pode mostrar seu nome ou identificação de participante ao admin. As avaliações antigas permanecem anônimas. Não identificamos avaliações sem essa escolha. Apagar a sua conta apaga a nota e o comentário junto.
• Conta: e-mail, nome se informado, idioma, fuso horário e país estimado pela rede. Se você já informou o uso principal do produto, essa resposta continua no seu perfil.
• De onde você chegou: se o link que trouxe você ao digfone tinha um código de origem (por exemplo ref ou utm_source, posto por quem publicou o link), guardamos esse código uma única vez, quando a conta é criada. Ele viaja no próprio endereço das páginas, sem cookie, e a conta não guarda o endereço da página de onde você veio. Quando você abre o pagamento (de um plano ou de um pacote de horas), guardamos também de que tela do digfone ele saiu (por exemplo o aviso de limite ou a página de preços), mesmo que você não conclua, e essa marca vai ao processador de pagamento junto com o pedido. Serve para saber quais canais trazem pessoas, e para mais nada. Quando o pagamento pede os dados da nota fiscal, guardamos também se essa etapa apareceu, se foi concluída ou se deu erro (só o tipo do erro, nunca o que você digitou), para saber se ela faz alguém desistir. O código do cadastro, a marca dos pagamentos abertos e não concluídos e as marcas da etapa da nota fiscal são apagados junto com a conta; a marca de uma compra concluída faz parte do registro daquela compra. Tudo isso aparece na exportação dos seus dados.
• Contagem de visitas: quando uma página do site abre num navegador e a pessoa toca, clica, rola ou digita, ou deixa a página visível por pelo menos 10 segundos, somamos 1 na contagem daquele dia. Guardamos só a soma do dia, separada por página, idioma da página, língua configurada no navegador (só a língua, por exemplo francês), país informado pela rede que entrega o site, domínio do site anterior quando você chega de fora (por exemplo google.com, nunca o endereço completo), código de origem do link (ref), tipo de aparelho (celular ou computador), se foi a primeira página da visita e se a contagem veio de uma ação sua (toque, clique, rolagem ou tecla) ou do tempo na tela. Essa contagem não usa cookie, não guarda nada no seu navegador, não grava o endereço IP e não tem registro de cada visita, só a soma. Nela, o IP é usado apenas no momento, na memória do servidor, para limitar abuso, e é esquecido em no máximo 15 minutos depois da última página. Recarregar ou voltar outro dia conta de novo: a contagem não sabe quem já passou por aqui. As telas da conta e do painel não entram. Serve para saber quantas pessoas chegam ao site, de onde e em que língua, e para mais nada. Mas o pedido que o navegador faz para contar é um pedido ao site como qualquer outro, e por isso fica no registro de acesso do servidor, com o IP e o navegador, pelo prazo descrito em “Registro de acesso do servidor”, logo abaixo.
• Registro de acesso do servidor: todo pedido às páginas do digfone (o site e o aplicativo de chamada), de quem tem conta ou não, fica anotado no registro do servidor que as entrega: o endereço IP, a data e a hora, o endereço pedido (sem a parte depois do ponto de interrogação e sem os códigos de sala e de conversa compartilhada, que são apagados antes de anotar), o site de onde o pedido veio (só o domínio) e o navegador declarado. Alguns pedidos também vão ao registro de erros do servidor, com o IP, o endereço pedido completo e a página anterior. Servem para diagnosticar falhas, conter ataques e contar os acessos ao site. Cada dia desses registros é apagado 15 dias depois. A exceção é uma cópia deles das duas semanas anteriores a 24 de setembro de 2026, guardada quando o site mudou de servidor, que é apagada em dezembro de 2026.
• Cobrança: valor, data, situação e, para a emissão da nota fiscal, o CPF ou CNPJ no Brasil, ou identificação fiscal estrangeira (NIF), país, nome e endereço no exterior. Aproveitamos os dados de cobrança e pedimos os complementos necessários no cadastro fiscal. Os dados do cartão ficam com o processador de pagamento; não os recebemos nem os armazenamos.
• Compatibilização da grafia fiscal: nomes e endereços em outros alfabetos podem ser enviados a um serviço de IA (Anthropic) para conversão em caracteres latinos. Preservamos os dados originais e a transformação para conferência. Os campos de CPF, NIF, e-mail, dados do cartão e valores de pagamentos ficam fora dessa consulta. O processamento pode ocorrer fora do Brasil, e a retenção pelo fornecedor segue os termos comerciais aplicáveis; não presumimos retenção zero. Você pode consultar e corrigir seu cadastro fiscal ou solicitar revisão de um documento já enviado.
• Arquivo fiscal e contábil: documentos, recebimentos, tarifas, câmbio, repasses e alterações ficam preservados para cumprir obrigações legais (LGPD, art. 7º, II e art. 16, I), inclusive após excluir a conta. O prazo mínimo alcança o fim do quinto ano seguinte ao registro, e pode ser maior quando houver obrigação, fiscalização ou litígio. Esses dados são acessíveis à administração autorizada, ao escritório contábil contratado e às autoridades competentes para as respectivas finalidades.
• E-mail do convidado, se ele pedir para receber a conversa por e-mail no fim da chamada. Fica ligado àquela chamada e é apagado junto com ela, a menos que essa pessoa crie uma conta, e aí o registro passa a ser o de como a conta dela nasceu. A mensagem que enviamos para esse endereço não contém a conversa, o resumo, o título nem o nome de quem participou: ela só avisa que a conversa existe e traz um link para abri-la. É esse link que confirma o endereço, e a conversa só é enviada depois. Assim, um endereço digitado errado recebe um convite e nada sobre ninguém. Todo e-mail desses traz um link que apaga o endereço num clique, sem precisar de conta. Esse endereço fica guardado por no máximo 45 dias e, nesse período, pode receber até dois lembretes sobre o produto. Depois disso ele é apagado sozinho, tenha a pessoa criado conta ou não. A conversa em si continua sendo apagada no prazo do plano de quem criou a chamada, que é mais curto.
• Dados de reunião marcada, quando alguém abre um convite e confirma presença: o e-mail (se a pessoa quiser deixar), o idioma que ela fala, o fuso em que ela está e com quanta antecedência quer ser avisada. Servem para mostrar a hora certa a ela, abrir a legenda no idioma dela e mandar o lembrete que ela mesma pediu. O convite não leva nome de participante nem título da reunião: o endereço é digitado por quem convida, e uma letra trocada mandaria a reunião de alguém para um estranho. Esses dados ficam guardados enquanto a reunião estiver marcada e até 30 dias depois dela, no máximo 120 dias; quem foi convidado e nunca confirmou sai antes, 7 dias depois da data marcada. Todo e-mail de reunião traz um link que apaga esses dados num clique, sem precisar de conta. Se você tiver uma conta digfone com esse mesmo endereço, eles somem junto com ela quando você a exclui.
• Aviso no navegador (notificação), se você ligar o aviso num aparelho: guardamos o endereço de entrega que o navegador gera para aquele aparelho, as duas chaves que ele cria junto, o idioma em que você lê e o modelo do navegador, este último só para você reconhecer o aparelho na exportação dos seus dados. A notificação leva apenas um título curto, uma frase e o caminho da tela que ela abre: nunca texto de conversa, nunca código de sala, nunca link de acesso. Quem toca nela chega a uma página do site, e é a sua sessão que decide o que aparece ali. A assinatura é apagada quando você desliga o aviso, quando sai da conta naquele aparelho, quando troca a senha (o que desconecta todos os aparelhos), quando exclui a conta, e também quando a entrega falha repetidas vezes, que é como um aparelho que deixou de existir some sozinho.
• Contatos e toque de chamada: um pedido de contato guarda quem pediu, quem recebeu, em que estado ele está e as datas. Um toque de chamada guarda quem ligou, para quem, o estado (tocando, atendido, recusado, sem resposta) e as horas, e é apagado depois de 30 dias. Nenhuma chamada é criada e nenhum minuto é consumido enquanto ninguém atende. Quem recebe um pedido vê apenas o nome e a inicial do e-mail de quem pediu. Contatos já aceitos veem o nome e o identificador público (handle), nunca o telefone e nunca o histórico de conversas.
• Lembretes sobre o produto, enviados para o endereço da sua conta: mensagens curtas sobre como usar o digfone e sobre o que o seu plano inclui. Todo lembrete traz um link que desliga esse envio num clique. Desligar não apaga o seu endereço nem tira o link de acesso à conta: ele continua chegando sempre que você pedir para entrar.
• Mensagem de contato, se você escrever pelo formulário do site: seu nome, seu e-mail, o assunto e o texto que você mandou. Usamos para responder, e nada mais. Guardamos por 12 meses e depois apagamos, tenha a conversa terminado ou não. Se pedirmos algo por e-mail e você não quiser mais falar, é só não responder.
• Medição de uso: duração e quantidade de sessões de legenda, que é o que define a cobrança.
• Registro de segurança: no momento do cadastro, uma única vez, o endereço IP, o navegador/aparelho e o país; e, ao longo do uso, o IP das ações sensíveis da conta (entrada, troca de plano, exclusão). Servem ao suporte e à contenção de abuso. Quando a conta é apagada, eles saem junto: o registro do cadastro é apagado e o IP deixa de constar nos demais. Fica só o registro do próprio pedido de exclusão (a data, o e-mail e o IP de quem pediu), como prova de que ele foi atendido.
• Registro de erro: quando uma página falha no navegador de quem está visitando, guardamos a mensagem e o tipo do defeito, o rastro técnico dele (em que ponto do código ele aconteceu), o caminho da página, o navegador e o endereço IP, inclusive de quem não tem conta conosco, porque o problema que mais precisamos enxergar é justamente o de quem não conseguiu nem carregar o site. Junto com o erro vão dados técnicos da página e da conexão: o tamanho da tela, o idioma da página, a versão do site, como a página foi aberta (por exemplo por um link ou pelo botão de voltar), o andamento e os tempos do carregamento (quanto da página e dos arquivos do site já tinha chegado, e se o site já tinha recarregado a página sozinho), o protocolo e o tipo de rede que o navegador informa (por exemplo 4G), a latência estimada da conexão, se a economia de dados está ligada, e sinais de que um tradutor ou uma extensão alterou a página (as classes da página e quantos elementos e atributos eles acrescentaram, nunca os nomes). O endereço da página vai sem os códigos de acesso e sem o e-mail que alguns links carregam, e a mesma limpeza vale para a mensagem e para o rastro técnico. Serve para consertar o defeito, e para mais nada. O IP é apagado em 7 dias e o registro inteiro em 90 dias.
• Registro de tentativa de ataque: o site mantém armadilhas em caminhos que não existem (endereços que só um programa de varredura procura) e recusa acessos a rotas internas. Quando uma dessas armadilhas é tocada, guardamos o endereço IP, o país informado pela rede que entrega o site, o navegador declarado, o caminho pedido e a hora. Nunca guardamos o conteúdo enviado: nada do que foi digitado em formulário, nenhuma senha, nenhum texto de conversa. Serve para detectar ataque e proteger as contas, e para mais nada. Tudo é apagado em 90 dias.
• Qualidade técnica da chamada: durante a conversa, o seu navegador mede a própria conexão e nos manda números sobre a rede, nunca sobre o conteúdo: tempo de resposta, perda de pacotes, se a imagem congelou, quanto a legenda demorou, e a classe do aparelho (por exemplo Chrome · Android, nunca a identificação completa do seu navegador). Serve para descobrir por que uma chamada ficou ruim e consertar, e para mais nada. Nada de áudio, vídeo ou texto da conversa está nesses números, nem o seu endereço IP. O detalhe minuto a minuto é apagado em 30 dias; o resumo por chamada segue a retenção da própria chamada.
• Diagnóstico da legenda: quando o áudio do seu microfone deixa de chegar à legenda no meio de uma chamada, o seu navegador nos manda um registro curto do episódio, anotado com o código da sala, um código sorteado para o participante, o idioma e o país da conexão. O registro diz quanto tempo o áudio ficou parado e o que o trouxe de volta (um toque ou tecla, a volta da página para a tela, uma nova tentativa de captura ou nada que tenhamos visto), o estado do processamento de áudio do navegador, se a página estava visível ou em segundo plano e por quanto tempo, há quanto tempo ela voltou à tela, se já houve toque ou tecla na página, se o microfone e a câmera estavam ativos, mudos ou ausentes, em que momento da chamada aconteceu, quantas tentativas de retomar a captura foram feitas e quantas falharam, e a classe do aparelho (por exemplo Safari · iOS, nunca a identificação completa do seu navegador). Junto vai a contagem desses episódios na chamada: quantos houve, quantos foram registrados, quantos terminaram sem o áudio voltar, quantos duraram só um instante e, se o limite de registros da chamada for atingido, qual ficou de fora. Nada de áudio, vídeo ou texto da conversa vai nesse registro, nem o seu endereço IP. Serve para descobrir por que a legenda parou e consertar, e para mais nada. É apagado em até 30 dias.

Quem recebe o link também é titular

A pessoa que entra pelo link não tem conta conosco, e metade da conversa é a fala dela. Reconhecemos essa pessoa como titular dos dados: ela pode pedir a exclusão do texto de qualquer conversa de que participou, escrevendo para contact@digfone.com e indicando a data e o código da sala. O pedido dela apaga a conversa para os dois lados, porque não existe metade de uma transcrição.

Perguntas à IA sobre suas conversas

Nos planos elegíveis, você pode fazer perguntas sobre uma conversa ou sobre seu histórico. Somente as transcrições disponíveis às quais sua conta tem acesso são consultadas. Ao enviar uma pergunta, enviamos a pergunta, o contexto recente e as transcrições necessárias ao nosso provedor de IA. Conversas apagadas, com retenção vencida ou com registro desativado não entram em novas consultas. Perguntas e respostas ficam na memória da página, sem histórico permanente adicional no digfone. Guardamos apenas contadores de uso e custo, sem o conteúdo das perguntas ou respostas. O processamento pelo provedor segue os termos aplicáveis ao serviço.

Desligar o registro

Há um controle na conta para não guardar transcrição nenhuma. Ele vale para as chamadas que você cria: nelas a transcrição de voz existe apenas na tela e não é enviada para armazenamento nos nossos servidores. As mensagens digitadas continuam sendo processadas temporariamente para entrega e tradução, sem histórico permanente. Numa chamada criada por outra pessoa, quem decide se há registro é ela: é a conta dela que responde por aquela transcrição e é o plano dela que define por quanto tempo ela fica guardada.

Seus direitos

Você pode pedir acesso, correção, exportação ou exclusão dos seus dados, e revogar consentimento, pelo e-mail acima. Respondemos em até 15 dias.

Apagar a conta apaga junto as conversas em que você foi o anfitrião. Nos sistemas em uso a exclusão é imediata e não tem volta.

Uma ressalva que precisa estar escrita: o banco de dados tem cópia de segurança, que existe só para recuperação de desastre. Essas cópias são rotativas, não ficam guardadas indefinidamente e não são consultadas para restaurar dado que alguém pediu para apagar. O mesmo vale para o texto purgado pelo prazo de retenção: ele sai dos sistemas em uso na hora, e das cópias no ciclo seguinte.

Não vendemos dado nenhum, e não usamos o conteúdo das suas conversas para treinar modelo algum.

Transferência internacional

Parte do processamento acontece fora do Brasil, inclusive nos Estados Unidos e na Alemanha. A Anthropic informa armazenamento nos Estados Unidos e processamento que pode ocorrer também na Europa, Ásia e Austrália. A finalidade da consulta fiscal é converter a grafia dos dados necessários à nota. As transferências estão sujeitas às hipóteses e garantias previstas no art. 33 da LGPD e aos termos aplicáveis a cada operador.

Para saber quais operadores tratam os seus dados e com que finalidade, escreva para o encarregado, no fim desta página.

Encarregado

Pedidos sobre dados pessoais: contact@digfone.com.

As regras de uso do serviço estão nos termos de uso.