Política de privacidade

Esta política explica o que acontece com os dados de uma chamada feita no digfone. Ela é específica porque o produto é específico: uma conversa por vídeo com legenda traduzida gera dado pessoal derivado de voz, e isso merece explicação direta.

O áudio e o vídeo não passam por nós

A imagem e o som vão diretamente de um navegador para o outro. Nossos servidores trocam as informações necessárias para os participantes se encontrarem (endereços de rede e o idioma escolhido), emitem credenciais de curta duração e processam as mensagens digitadas no chat, como explicado abaixo.

Quando as duas redes não conseguem se ligar direto (acontece atrás de certos roteadores e redes corporativas), o áudio e o vídeo passam por um servidor de retransmissão de terceiro, que encaminha os pacotes cifrados de ponta a ponta sem poder abri-los. Ele não é nosso e não guarda nada. Continua valendo o principal: em nenhum dos dois caminhos o áudio e o vídeo ficam acessível a nós.

Isso não é uma promessa de conduta, é como o sistema foi construído. Não conseguimos entregar o áudio de uma conversa a ninguém, em nenhuma circunstância, porque ele nunca esteve conosco.

A legenda é gerada no seu aparelho

Cada participante transcreve o próprio microfone. O áudio vai do seu navegador direto para um serviço especializado de reconhecimento de fala, localizado nos Estados Unidos, com uma credencial temporária emitida por nós. O que volta é texto, e é só texto que trafega entre os participantes: a sua frase original e a tradução dela, para que os dois lados terminem com a conversa nos dois idiomas.

Mensagens digitadas durante a chamada

Ao enviar uma mensagem no chat, o texto passa pelos nossos servidores para ser entregue aos participantes presentes. Quando é necessária uma tradução, enviamos esse texto a um serviço de processamento de linguagem. Cada participante recebe a tradução no idioma que escolheu para a conversa e pode ler o original logo abaixo.

O chat não é incluído no histórico da conta, no resumo ou no PDF. O servidor mantém uma cópia temporária limitada para recuperar entregas em reconexões de até 30 segundos e a elimina ao encerrar a sala. A tela mostra até 200 mensagens recentes durante a chamada. Guardamos apenas identificadores e contadores técnicos de uso e custo, sem o texto, para limitar o serviço. O processamento pelo fornecedor segue os termos aplicáveis à prestação desse serviço; este prazo de memória do digfone não é uma afirmação sobre a retenção do fornecedor.

O que guardamos, e por quanto tempo

• Texto da conversa, se o plano do anfitrião tiver histórico: 7 dias no Free, 90 no Basic, 365 no Pro. Passado o prazo, o texto é apagado, não arquivado.
• Resumo por IA, quando gerado, com a mesma retenção do texto.
• Conta: e-mail, nome se informado, idioma, fuso horário e (quando você responde no cadastro) o país e para que pretende usar o produto.
• Cobrança: valor, data, situação e, para a emissão da nota fiscal, o CPF ou CNPJ no Brasil, ou identificação fiscal estrangeira (NIF), país, nome e endereço no exterior. Aproveitamos os dados de cobrança e pedimos os complementos necessários no cadastro fiscal. Os dados do cartão ficam com o processador de pagamento; não os recebemos nem os armazenamos.
• Compatibilização da grafia fiscal: nomes e endereços em outros alfabetos podem ser enviados a um serviço de IA (Anthropic) para conversão em caracteres latinos. Preservamos os dados originais e a transformação para conferência. Os campos de CPF, NIF, e-mail, dados do cartão e valores de pagamentos ficam fora dessa consulta. O processamento pode ocorrer fora do Brasil, e a retenção pelo fornecedor segue os termos comerciais aplicáveis; não presumimos retenção zero. Você pode consultar e corrigir seu cadastro fiscal ou solicitar revisão de um documento já enviado.
• Arquivo fiscal e contábil: documentos, recebimentos, tarifas, câmbio, repasses e alterações ficam preservados para cumprir obrigações legais (LGPD, art. 7º, II e art. 16, I), inclusive após excluir a conta. O prazo mínimo alcança o fim do quinto ano seguinte ao registro, e pode ser maior quando houver obrigação, fiscalização ou litígio. Esses dados são acessíveis à administração autorizada, ao escritório contábil contratado e às autoridades competentes para as respectivas finalidades.
• E-mail do convidado, se ele pedir para receber a conversa por e-mail no fim da chamada. Fica ligado àquela chamada e é apagado junto com ela, a menos que essa pessoa crie uma conta, e aí o registro passa a ser o de como a conta dela nasceu. A mensagem que enviamos para esse endereço não contém a conversa, o resumo, o título nem o nome de quem participou: ela só avisa que a conversa existe e traz um link para abri-la. É esse link que confirma o endereço, e a conversa só é enviada depois. Assim, um endereço digitado errado recebe um convite e nada sobre ninguém. Todo e-mail desses traz um link que apaga o endereço num clique, sem precisar de conta. Esse endereço fica guardado por no máximo 45 dias e, nesse período, pode receber até dois lembretes sobre o produto. Depois disso ele é apagado sozinho, tenha a pessoa criado conta ou não. A conversa em si continua sendo apagada no prazo do plano de quem criou a chamada, que é mais curto.
• Mensagem de contato, se você escrever pelo formulário do site: seu nome, seu e-mail, o assunto e o texto que você mandou. Usamos para responder, e nada mais. Guardamos por 12 meses e depois apagamos, tenha a conversa terminado ou não. Se pedirmos algo por e-mail e você não quiser mais falar, é só não responder.
• Medição de uso: duração e quantidade de sessões de legenda, que é o que define a cobrança.
• Registro de segurança: no momento do cadastro, uma única vez, o endereço IP, o navegador/aparelho, o país e a página de onde você veio; e, ao longo do uso, o IP das ações sensíveis da conta (entrada, troca de plano, exclusão). Servem ao suporte e à contenção de abuso, e saem junto com a conta.
• Registro de erro: quando uma página falha no navegador de quem está visitando, guardamos a mensagem do defeito, o caminho da página, o navegador e o endereço IP, inclusive de quem não tem conta conosco, porque o problema que mais precisamos enxergar é justamente o de quem não conseguiu nem carregar o site. Serve para consertar o defeito, e para mais nada. O IP é apagado em 7 dias e o registro inteiro em 90 dias.
• Registro de tentativa de ataque: o site mantém armadilhas em caminhos que não existem (endereços que só um programa de varredura procura) e recusa acessos a rotas internas. Quando uma dessas armadilhas é tocada, guardamos o endereço IP, o país informado pela rede que entrega o site, o navegador declarado, o caminho pedido e a hora. Nunca guardamos o conteúdo enviado: nada do que foi digitado em formulário, nenhuma senha, nenhum texto de conversa. Serve para detectar ataque e proteger as contas, e para mais nada. Tudo é apagado em 90 dias.
• Qualidade técnica da chamada: durante a conversa, o seu navegador mede a própria conexão e nos manda números sobre a rede, nunca sobre o conteúdo: tempo de resposta, perda de pacotes, se a imagem congelou, quanto a legenda demorou, e a classe do aparelho (por exemplo Chrome · Android, nunca a identificação completa do seu navegador). Serve para descobrir por que uma chamada ficou ruim e consertar, e para mais nada. Nada de áudio, vídeo ou texto da conversa está nesses números, nem o seu endereço IP. O detalhe minuto a minuto é apagado em 30 dias; o resumo por chamada segue a retenção da própria chamada.

Quem recebe o link também é titular

A pessoa que entra pelo link não tem conta conosco, e metade da conversa é a fala dela. Reconhecemos essa pessoa como titular dos dados: ela pode pedir a exclusão do texto de qualquer conversa de que participou, escrevendo para [email protected] e indicando a data e o código da sala. O pedido dela apaga a conversa para os dois lados, porque não existe metade de uma transcrição.

Desligar o registro

Há um controle na conta para não guardar transcrição nenhuma. Ele vale para as chamadas que você cria: nelas a transcrição de voz existe apenas na tela e não é enviada para armazenamento nos nossos servidores. As mensagens digitadas continuam sendo processadas temporariamente para entrega e tradução, sem histórico permanente. Numa chamada criada por outra pessoa, quem decide se há registro é ela: é a conta dela que responde por aquela transcrição e é o plano dela que define por quanto tempo ela fica guardada.

Seus direitos

Você pode pedir acesso, correção, exportação ou exclusão dos seus dados, e revogar consentimento, pelo e-mail acima. Respondemos em até 15 dias.

Apagar a conta apaga junto as conversas em que você foi o anfitrião. Nos sistemas em uso a exclusão é imediata e não tem volta.

Uma ressalva que precisa estar escrita: o banco de dados tem cópia de segurança, que existe só para recuperação de desastre. Essas cópias são rotativas, não ficam guardadas indefinidamente e não são consultadas para restaurar dado que alguém pediu para apagar. O mesmo vale para o texto purgado pelo prazo de retenção: ele sai dos sistemas em uso na hora, e das cópias no ciclo seguinte.

Não vendemos dado nenhum, e não usamos o conteúdo das suas conversas para treinar modelo algum.

Transferência internacional

Parte do processamento acontece fora do Brasil, inclusive nos Estados Unidos e na Alemanha. A Anthropic informa armazenamento nos Estados Unidos e processamento que pode ocorrer também na Europa, Ásia e Austrália. A finalidade da consulta fiscal é converter a grafia dos dados necessários à nota. As transferências estão sujeitas às hipóteses e garantias previstas no art. 33 da LGPD e aos termos aplicáveis a cada operador.

Para saber quais operadores tratam os seus dados e com que finalidade, escreva para o encarregado, no fim desta página.

Encarregado

Pedidos sobre dados pessoais: [email protected].

As regras de uso do serviço estão nos termos de uso.