Documento legal
Política de Privacidade
Resumo honesto (TL;DR)
O conteúdo do seu cofre é cifrado no seu aparelho antes de sair dele. Guardamos apenas texto cifrado que não conseguimos ler — logo, não podemos vazá-lo nem entregá-lo legível a ninguém, nem a uma autoridade. Tratamos um mínimo de dados de conta (e-mail, faturamento, registros técnicos) para operar o serviço. Você pode exportar ou apagar tudo a qualquer momento.
1. Quem é o controlador
A Aeterne Brasil Tecnologia Ltda., inscrita no CNPJ 68.180.067/0001-99 ("Aeterne", "nós"), é a controladora dos dados pessoais de conta tratados para prestar o serviço. Para o conteúdo cifrado do cofre, atuamos como mero custodiante técnico de texto ininteligível: sem a sua senha-mestra ou a sua chave de recuperação, esse conteúdo não é dado pessoal acessível a nós.
Canal de comunicação com o titular (LGPD, art. 41, §2º, I; Resolução CD/ANPD nº 2/2022, art. 11): privacidade@aeterne.app. Empresa AI-first: agentes de IA ajudam no atendimento e em tarefas de rotina, sob regras públicas e trilha de auditoria verificável; quem responde pelo serviço e pelos seus dados é a Aeterne Brasil Tecnologia Ltda.
2. O que tratamos — e por quê (bases legais)
Aplicamos minimização de dados. As categorias e bases legais (LGPD art. 7º / 11; GDPR art. 6 / 9):
Não tratamos dados pessoais sensíveis em texto claro para finalidades de perfilamento. Se você guardar um documento sensível no cofre, ele permanece cifrado de ponta a ponta — não o lemos nem o classificamos.
3. Acesso técnico, não titularidade jurídica
A Aeterne entrega acesso técnico a credenciais e mensagens aos herdeiros que você escolheu, segundo a regra que você definiu (M-de-N; ou 1-de-1, para um destinatário único). Isso não substitui testamento, inventário ou partilha, nem confere titularidade jurídica sobre bens. Integra-se a esses instrumentos — não os dispensa.
4. Conhecimento-zero na prática
- A chave do cofre nunca chega ao servidor; é derivada da sua senha no seu device (Argon2id).
- Cada registro é cifrado com AEAD (XChaCha20-Poly1305 com AAD) localmente.
- Com 2+ herdeiros, a chave é dividida por Shamir (M-de-N) e cada fragmento é selado para a chave pública do herdeiro; na regra 1-de-1, a chave é selada inteira para o destinatário único.
- A reconstrução ocorre nos aparelhos dos herdeiros — nunca no nosso servidor.
Consequência prática para você: se perder a senha e a recovery key, nem nós podemos recuperar o conteúdo. Mantenha sempre um backup independente.
5. Compartilhamento e sub-processadores
Não vendemos dados. Compartilhamos o mínimo necessário com operadores (sub-processadores) sob contrato, listados abaixo:
A transferência de dados para fora do Brasil está descrita, operador por operador, no item 5.1.
5.1. Transferência internacional de dados
Em todas as transferências abaixo, a controladora dos seus dados é a Aeterne Brasil Tecnologia Ltda., CNPJ 68.180.067/0001-99, contato privacidade@aeterne.app (canal de comunicação com o titular). Por esse canal você pode pedir acesso, correção, eliminação quando cabível e informação sobre o compartilhamento, e pode peticionar à ANPD. Para cada operador, informamos a forma, a duração e a finalidade, o país de destino, o uso compartilhado e as responsabilidades e medidas de segurança.
Hospedagem da aplicação (Fly.io)
- Forma, duração e finalidade: os dados da sua conta e o texto cifrado do cofre passam pelo servidor da aplicação a cada uso do Aeterne, enquanto a conta existir, para executar o serviço; os registros técnicos do servidor ficam por até 7 dias.
- País de destino: Estados Unidos (Fly.io), em Ashburn, Virgínia.
- Uso compartilhado: a Aeterne compartilha os dados com a Fly.io só para hospedar o Aeterne; a Fly.io os trata como operadora.
- Responsabilidades e segurança: como operadora, a Fly.io só pode tratar os dados segundo as instruções da Aeterne (LGPD, art. 39), conforme o contrato de tratamento de dados com ela. A transferência é necessária para executar o contrato com você (LGPD, art. 33, IX). A conexão é cifrada, e o conteúdo do cofre chega já cifrado no seu aparelho.
Banco de dados (Turso)
- Forma, duração e finalidade: o texto cifrado do cofre e os dados da sua conta ficam guardados no banco de dados enquanto a conta existir, para operar o serviço; depois da exclusão da conta, as cópias de segurança expiram em até 30 dias.
- País de destino: Estados Unidos (Turso), na região Leste da AWS.
- Uso compartilhado: a Aeterne compartilha os dados com a Turso só para guardá-los; a Turso os trata como operadora.
- Responsabilidades e segurança: como operadora, a Turso só pode tratar os dados segundo as instruções da Aeterne (LGPD, art. 39), conforme o contrato de tratamento de dados com ela. A transferência é necessária para executar o contrato com você (LGPD, art. 33, IX). O conteúdo do cofre chega ao banco já cifrado no seu aparelho, e nem a Turso nem a Aeterne conseguem lê-lo; os dados de identidade legal são cifrados também no banco.
Pagamentos (Stripe)
- Forma, duração e finalidade: os dados de cobrança e de nota fiscal vão para a Stripe durante a assinatura e pelo prazo fiscal, para processar pagamentos e emitir a NFS-e.
- País de destino: Estados Unidos (Stripe, LLC), com possível repasse aos operadores da Stripe em outros países.
- Uso compartilhado: a Stripe trata os dados como operadora, e também como controladora para prevenção a fraude, nos termos dela.
- Responsabilidades e segurança: cláusulas-padrão contratuais da ANPD incorporadas ao contrato com a Stripe (Data Transfers Addendum, §11), com cópia das cláusulas em até 15 dias, a pedido, pelo privacidade@aeterne.app; a Aeterne não recebe nem guarda o número do cartão.
E-mail transacional (Resend)
- Forma, duração e finalidade: o endereço de quem recebe e o texto de cada e-mail do Aeterne, como os avisos do gatilho de inatividade e de segurança, vão para a Resend a cada envio, para entregar a mensagem, e ficam com a Resend por até 30 dias (cópias de segurança até 7 dias).
- País de destino: Estados Unidos (Resend), onde ficam os dados da conta de envio; os e-mails saem da região de São Paulo.
- Uso compartilhado: a Aeterne compartilha os dados com a Resend só para enviar os e-mails; a Resend os trata como operadora.
- Responsabilidades e segurança: como operadora, a Resend só pode tratar os dados segundo as instruções da Aeterne (LGPD, art. 39), conforme o contrato de tratamento de dados com ela. A transferência é necessária para executar o contrato com você (LGPD, art. 33, IX). Nenhum e-mail leva conteúdo do cofre.
Anexos (Cloudflare R2)
- Forma, duração e finalidade: os anexos do cofre e a foto do avatar, se você enviar uma, ficam guardados enquanto existirem na sua conta, e as cópias de segurança do banco, por até 30 dias, para guardar esses arquivos e permitir restaurar o serviço.
- País de destino: Estados Unidos (Cloudflare) e outros países da rede global da Cloudflare.
- Uso compartilhado: a Aeterne compartilha esses arquivos com a Cloudflare só para guardá-los; a Cloudflare os trata como operadora.
- Responsabilidades e segurança: como operadora, a Cloudflare só pode tratar os dados segundo as instruções da Aeterne (LGPD, art. 39), conforme o contrato de tratamento de dados com ela. A transferência é necessária para executar o contrato com você (LGPD, art. 33, IX). Os anexos chegam já cifrados no seu aparelho, e a Cloudflare não tem a chave; a foto do avatar fica em armazenamento privado, sem os metadados da imagem e sem link público; as cópias de segurança são cifradas pelo Aeterne antes do envio.
Assistente de IA (Anthropic)
- Forma, duração e finalidade: as mensagens que você escreve na conversa com a Eva, no Aeterne, no chat público de atendimento e no assistente da área dos herdeiros vão para a Anthropic a cada mensagem, para gerar a resposta, e ficam com a Anthropic por até 30 dias, quando são apagadas. Se os sistemas de segurança da Anthropic marcarem uma mensagem como possível violação das regras de uso, ela pode ser guardada por até 2 anos.
- País de destino: Estados Unidos (Anthropic).
- Uso compartilhado: a Aeterne compartilha as mensagens com a Anthropic só para gerar as respostas; a Anthropic as trata como operadora.
- Responsabilidades e segurança: como operadora, a Anthropic só pode tratar os dados segundo as instruções da Aeterne (LGPD, art. 39), conforme o contrato de tratamento de dados com ela. A transferência é necessária para executar o contrato com você (LGPD, art. 33, IX). Nenhum conteúdo do cofre nem dado da sua conta vai para a Anthropic, e o Aeterne não grava o texto das mensagens nos registros.
Monitoramento de erros (Sentry)
- Forma, duração e finalidade: quando ocorre um erro técnico no servidor, a mensagem e o rastro técnico do erro, o endereço acessado e os avisos registrados antes dele vão para o Sentry, para monitorar e corrigir a falha, e ficam com o Sentry por até 90 dias.
- País de destino: Estados Unidos (Sentry), em Iowa.
- Uso compartilhado: a Aeterne compartilha os relatórios de erro com o Sentry só para monitorar e corrigir falhas; o Sentry os trata como operador.
- Responsabilidades e segurança: como operador, o Sentry só pode tratar os dados segundo as instruções da Aeterne (LGPD, art. 39), conforme o contrato de tratamento de dados com ele. A transferência é necessária para executar o contrato com você (LGPD, art. 33, IX). O Aeterne não envia ao Sentry o endereço IP, cookies, o corpo das requisições nem dados do usuário, e redige segredos e dados pessoais das mensagens e dos endereços antes do envio; nenhum conteúdo do cofre vai para o Sentry.
Conversões de anúncios (Meta) — destinatária e controladora independente do uso próprio dos dados
- Forma, duração e finalidade: quando você se cadastra ou assina um plano, e só se tiver autorizado a medição de anúncios, o evento (cadastro ou assinatura, com o valor pago), o identificador de clique do anúncio que você abriu, um código da sua conta e o seu e-mail em hash SHA-256 (nunca em claro) vão para a Meta, para medir o resultado dos anúncios; a Meta apaga os dados de contato (o e-mail em hash) depois de fazer a correspondência e guarda os dados do evento por até 2 anos.
- País de destino: Estados Unidos e outros países onde a Meta tem servidores (Meta).
- Uso compartilhado: a Aeterne usa os dados para medir e melhorar as suas campanhas de anúncios. A Meta os recebe como destinatária e é controladora independente do uso próprio que faz deles: nos termos dela para as ferramentas de negócios (Meta Business Tools), pode usá-los para escolher os anúncios e conteúdos que mostra às pessoas. Termos: https://www.facebook.com/legal/businesstech.
- Responsabilidades e segurança: o e-mail sai do Aeterne só como hash SHA-256, e não enviamos o endereço IP nem dados do navegador; sem a sua autorização para a medição de anúncios nada é enviado, e você pode retirá-la a qualquer momento em Configurações — a retirada vale para os próximos envios. O envio se baseia no seu consentimento (LGPD, art. 7º, I), e a transferência depende do seu consentimento específico (LGPD, art. 33, VIII).
Avisos no iPhone (Apple)
- Forma, duração e finalidade: quando o Aeterne manda o e-mail da prova de vida (o de que falta a sua confirmação e o de que a carência começou), e só se você ligou o aviso no app, o token do seu iPhone e um aviso genérico ("Hora de confirmar que está tudo bem." ou "Há um passo aguardando sua atenção."), com um código aleatório que só serve para confirmar pela tela bloqueada, vão para o serviço de notificações da Apple (APNs), para entregar o aviso; a Apple o guarda só até entregá-lo; com o iPhone desligado, por até 24 horas (prazo que pedimos à Apple) e nunca mais de 30 dias (limite da Apple).
- País de destino: Estados Unidos (Apple).
- Uso compartilhado: a Aeterne envia à Apple só o necessário para entregar o aviso; a Apple trata esses dados como operadora, nos termos do contrato de desenvolvedor da Apple com a Aeterne.
- Responsabilidades e segurança: o aviso é sempre genérico: nunca leva um nome, um valor ou conteúdo do cofre, nem na tela bloqueada; o token só serve para a Apple entregar o aviso ao seu iPhone, e você pode desligar o aviso a qualquer momento no app, em Conta › Notificações. A transferência é necessária para executar o contrato com você (LGPD, art. 33, IX).
Consulta de CNPJ (CNPJá)
- Forma, duração e finalidade: o CNPJ informado vai para a CNPJá a cada consulta, pelo servidor do Aeterne, para preencher a razão social e o endereço a partir dos dados públicos da Receita Federal, na nota fiscal e no cadastro de parceiros; a consulta fica nos registros de acesso da CNPJá por até 45 dias.
- País de destino: Estados Unidos e outros países da rede do Google Cloud (CNPJá).
- Uso compartilhado: a Aeterne envia à CNPJá só o CNPJ, para a consulta; a CNPJá guarda os registros de acesso nos termos da política de privacidade dela, para segurança e auditoria.
- Responsabilidades e segurança: a consulta sai do servidor do Aeterne e leva só o CNPJ: nem o seu IP nem outro dado seu chega à CNPJá. No MEI e no empresário individual, o CNPJ identifica uma pessoa física. A transferência é necessária para cumprir a obrigação legal de emitir a nota fiscal (LGPD, art. 7º, II) e para executar o contrato com você (art. 7º, V) — LGPD, art. 33, IX.
6. Seus direitos (LGPD art. 18 / GDPR art. 12–22)
Você pode exercer, sem custo:
- Acesso e portabilidade — exporte tudo em Configurações → Seus dados.
- Correção de dados de conta incompletos ou desatualizados.
- Eliminação — apague a conta e tudo em cascata (irreversível).
- Informação sobre compartilhamento e bases legais (este documento).
- Revogação de consentimento e oposição ao tratamento por legítimo interesse.
Atendemos pedidos (DSAR) sem demora injustificada. Prazo de referência: 15 dias(LGPD) e até 30 dias (GDPR, prorrogáveis). Canal: privacidade@aeterne.app ou autoatendimento no app. Você pode reclamar à ANPD (Brasil) ou à autoridade de proteção de dados competente (UE/EEE).
7. Retenção e eliminação
Mantemos dados de conta enquanto o cofre existir. Ao apagar a conta, removemos os registros associados em cascata; backups operacionais expiram em até 30 dias. Obrigações legais (ex.: fiscais de faturamento) podem exigir retenção mínima de metadados não sensíveis.
Leads de interesse comercial sem conversão são anonimizados (removemos o contato cifrado, mantendo apenas o pseudônimo e a trilha de consentimento) em até 12 meses após a última interação, ou imediatamente mediante pedido.
Os cookies de atribuição expiram no seu navegador 90 dias após o último clique em link de parceiro (aet_ref) e 60 dias após a última visita (aet_attr); o registro de cliques em links de parceiros é apagado após 13 meses.
Sem plano pago, guardamos sem prazo até 5 GB de arquivos do cofre. Acima disso, valem as regras do item 5.3.1 dos Termos de Uso: aviso com 90 dias de antecedência, escolha sua entre contratar um plano ou apagar arquivos, e, sem escolha, exclusão dos arquivos maiores primeiro, nunca com o gatilho em andamento nem sem confirmação recente de que você está bem.
8. Segurança e incidentes
Cifragem de ponta a ponta, envelope versionado, audit log encadeado por hash, e logging que redige segredos/PII na origem. Em caso de incidente de segurança que possa causar risco ou dano relevante, comunicamos a ANPD e os titulares afetados em até 3 dias úteis, contados de quando soubermos que o incidente afetou dados pessoais (Resolução CD/ANPD nº 15/2024), conforme o nosso plano de resposta a incidentes. Lembre-se: como só guardamos ciphertext, um vazamento de banco não revela o conteúdo do seu cofre.
9. Crianças e adolescentes
O serviço não se destina a menores de 18 anos. Não tratamos dados de crianças e adolescentes de forma intencional.
10. Alterações
Atualizações materiais desta política são versionadas e comunicadas. A versão vigente é a publicada nesta página, com data acima.