Política de privacidade

Resumo

• O QR code é lido e analisado no seu aparelho. Nada é pago nem aberto automaticamente.
• Para algumas verificações, enviamos ao nosso servidor só o necessário (a chave Pix, o endereço do link ou o endereço da cobrança no banco).
• Não pedimos cadastro, não usamos cookies de rastreamento e não vendemos dados.
• Não gravamos o seu endereço IP. Para evitar abusos, usamos um código irreversível derivado dele.

Quem é o responsável

O responsável pelo tratamento dos dados (controlador, segundo a Lei Geral de Proteção de Dados, LGPD) é Claudio Crispim. Contato para qualquer assunto de privacidade: claudio.crispim@gmail.com.

O que acontece quando você lê um código

No seu aparelho

A imagem da câmera, as fotos e os prints que você escolhe (inclusive prints de comprovante lidos pelo reconhecimento de texto) são processados só no aparelho e não são enviados a ninguém. A decodificação do QR e a análise inicial do Pix e do link também acontecem no aparelho.

No nosso servidor, sem guardar o conteúdo

• Chave Pix e site lidos: enviados para conferir se há denúncias de golpe sobre eles. Não guardamos o que foi consultado.
• Pix dinâmico: o endereço da cobrança que está no QR é consultado no servidor do banco recebedor, para mostrar o valor e validar a assinatura da cobrança (e, para isso, o certificado e a lista de revogação da autoridade certificadora).
• Verificação de link (quando você toca em verificar): o endereço é consultado na lista de ameaças do Google (Google Web Risk) e o domínio é consultado nos registros públicos de domínios (RDAP).
• Prévia do site (só quando você toca no botão): o endereço é enviado ao urlscan.io, que abre o site em ambiente isolado. A análise é marcada como não pública, mas fica registrada no urlscan.io, conforme a política de privacidade deles.

Extensão do Chrome

• A extensão só age quando você clica (menu do botão direito ou botão da barra); ela não lê as páginas por conta própria.
• Imagens e comprovantes são analisados no seu computador e não são enviados a ninguém.
• Links, chaves Pix e endereços de Pix dinâmico seguem as mesmas regras do app descritas acima.
• Para contar as consultas de pagamento grátis do dia, a extensão envia um código aleatório gerado na instalação e, se você tiver, a sua chave de licença. Guardamos só o total do dia por esse código (e pelo código derivado do IP), apagado em até 48 horas. A chave de licença fica guardada só no seu navegador; no servidor fica apenas um resumo criptográfico (hash) dela.

O que guardamos

• Denúncias: a chave Pix ou o site denunciado, o motivo, o texto opcional que você escreveu, a data e um código irreversível derivado do seu IP (para contar cada pessoa uma vez só). Guardamos enquanto forem úteis para alertar outros usuários. Não escreva dados pessoais no texto da denúncia.
• Lista de espera de lojistas: nome, nome do negócio, tipo, WhatsApp ou e-mail, cidade e data, informados por você, com o seu consentimento. Usamos só para falar sobre o piloto. Apagamos quando você pedir ou quando o piloto terminar.
• Limites anti-abuso: contadores temporários ligados ao código derivado do IP, apagados automaticamente em até 24 horas.
• Métricas de uso: totais por dia (por exemplo, quantas leituras de Pix e quantos bloqueios), sem IP, sem identificador e sem o conteúdo lido. Também usamos o Vercel Web Analytics, que conta visitas sem cookies.

Com quem compartilhamos

Só com os serviços necessários para o app funcionar:

• Vercel (hospedagem e métricas de visitas);
• Redis (banco de dados das denúncias, da lista de espera e das métricas);
• Google Web Risk (lista de ameaças);
• urlscan.io (prévia de sites, só quando você pede);
• o banco que emitiu a cobrança, no caso do Pix dinâmico.

Alguns desses serviços ficam fora do Brasil. A Vercel, como qualquer provedor de hospedagem, pode registrar dados técnicos de acesso (como IP e navegador) por um período curto, conforme a política dela. Não vendemos nem cedemos dados para publicidade.

Bases legais

Tratamos os dados para executar o serviço que você pediu (as verificações), por legítimo interesse em prevenir fraudes e proteger outros usuários (denúncias, limites anti-abuso e métricas agregadas) e com o seu consentimento (lista de espera).

Seus direitos

Você pode pedir confirmação de que tratamos seus dados, acesso, correção, exclusão, informação sobre compartilhamento e revogação do consentimento, conforme o artigo 18 da LGPD. Escreva para claudio.crispim@gmail.com. Se não ficar satisfeito com a resposta, você pode procurar a Autoridade Nacional de Proteção de Dados (ANPD).

Segurança

A comunicação é sempre criptografada (HTTPS). O acesso à área administrativa exige senha, com limite de tentativas. Nenhum sistema é 100% seguro; se houver um incidente que afete você, vamos avisar.

Mudanças

Quando esta política mudar, a data no topo será atualizada. Mudanças importantes serão avisadas no app.