Documento legal

Política de Privacidade

Conhecimento-zeroVersão 1.4·Atualizada em 9 de agosto de 2026

Resumo honesto (TL;DR)

O conteúdo do seu cofre é cifrado no seu aparelho antes de sair dele. Guardamos apenas texto cifrado que não conseguimos ler — logo, não podemos vazá-lo nem entregá-lo legível a ninguém, nem a uma autoridade. Tratamos um mínimo de dados de conta (e-mail, faturamento, registros técnicos) para operar o serviço. Você pode exportar ou apagar tudo a qualquer momento.

1. Quem é o controlador

A Aeterne ("Aeterne", "nós") é a controladora dos dados pessoais de conta tratados para prestar o serviço. Para o conteúdo cifrado do cofre, atuamos como mero custodiante técnico de texto ininteligível: sem a sua senha ou recovery key, esse conteúdo não é dado pessoal acessível a nós.

Encarregado pelo Tratamento de Dados (DPO/Encarregado, art. 41 da LGPD / art. 37 do GDPR): privacidade@aeterne.app. Empresa AI-first: a operação é conduzida por agentes autônomos, sob regras públicas e trilha de auditoria verificável; auditoria externa independente em preparação.

2. O que tratamos — e por quê (bases legais)

Aplicamos minimização de dados. As categorias e bases legais (LGPD art. 7º / 11; GDPR art. 6 / 9):

Categorias de dados tratados, finalidade e base legal correspondente (role horizontalmente em telas estreitas).
Categoria	Finalidade	Base legal
Conteúdo do cofre (cifrado)	Apenas ciphertext. Não é legível por nós.	Execução de contrato (LGPD art. 7º V / GDPR art. 6.1.b)
E-mail e credencial de conta	Login, recuperação, avisos de segurança do gatilho.	Execução de contrato / segurança
Dados de herdeiros (nome, contato, chave pública)	Operar a entrega no momento certo.	Consentimento + execução de contrato
Identidade legal do titular e de herdeiros — nome legal, CPF, RG, endereço (todos opcionais; tratados apenas quando voluntariamente informados — nunca exigidos para usar o serviço)	Conferência sucessória futura (testamento, inventário, partilha). Cifrados em repouso no banco, como camada adicional; nunca compartilhados com o assistente de IA (Anthropic) nem com o armazenamento de anexos (R2).	Consentimento + execução do plano sucessório (LGPD art. 7º I e V / GDPR art. 6.1.a–b)
Contato de interesse comercial (lead de parceria) — e-mail e área de atuação, informados voluntariamente no formulário do programa de indicação	Retornar o contato e avaliar a candidatura à parceria. E-mail guardado cifrado; um pseudônimo (HMAC) é mantido para deduplicação e prevenção de abuso.	Consentimento (LGPD art. 7º I / GDPR art. 6.1.a), revogável a qualquer momento; retenção residual do pseudônimo por legítimo interesse antifraude (LGPD art. 7º IX / GDPR art. 6.1.f)
Faturamento (via Stripe)	Cobrança da assinatura. Não vemos o número do cartão.	Execução de contrato / obrigação legal fiscal
Registros técnicos (logs, IP, timestamps)	Segurança, antifraude, auditoria de incidentes.	Legítimo interesse (LGPD art. 10 / GDPR art. 6.1.f), balanceado
Token de notificação do aparelho (app mobile — APNs/FCM)	Rotear avisos GENÉRICOS (ex.: lembrete de prova de vida). Só metadado de entrega — nunca conteúdo, valor ou nome, nem na tela bloqueada. Guardado cifrado em repouso; revogado na exclusão da conta ou no opt-out. Quando o canal de push for ativado, a entrega passa pelos serviços da Apple (APNs) e do Google (FCM), que recebem apenas esse metadado. Push é reforço, não um canal de entrega garantido.	Consentimento (opt-in por tipo) + legítimo interesse na segurança do gatilho (LGPD art. 7º I e IX / GDPR art. 6.1.a,f)
Identificador de instalação e sessão do aparelho (app mobile)	Manter a sessão do app e permitir revogar o acesso de um aparelho específico. Não é usado para rastreamento entre apps ou sites (sem ATT/IDFA).	Execução de contrato / segurança (LGPD art. 7º V / GDPR art. 6.1.b,f)
Preferências de notificação e consentimentos	Respeitar suas escolhas (o que você recebe; comunicações de marketing). Armazenadas sem PII sensível; nada vem ligado por padrão.	Consentimento (LGPD art. 7º I / GDPR art. 6.1.a), revogável a qualquer momento

Não tratamos dados pessoais sensíveis em texto claro para finalidades de perfilamento. Se você guardar um documento sensível no cofre, ele permanece cifrado de ponta a ponta — não o lemos nem o classificamos.

3. Acesso técnico, não titularidade jurídica

A Aeterne entrega acesso técnico a credenciais e mensagens aos herdeiros que você escolheu, segundo a regra M-de-N que você definiu. Isso não substitui testamento, inventário ou partilha, nem confere titularidade jurídica sobre bens. Integra-se a esses instrumentos — não os dispensa.

4. Conhecimento-zero na prática

A chave do cofre nunca chega ao servidor; é derivada da sua senha no seu device (Argon2id).
Cada registro é cifrado com AEAD (XChaCha20-Poly1305 com AAD) localmente.
A chave é dividida por Shamir (M-de-N) e cada fragmento é selado para a chave pública do herdeiro.
A reconstrução ocorre nos aparelhos dos herdeiros — nunca no nosso servidor.

Consequência prática para você: se perder a senha e a recovery key, nem nós podemos recuperar o conteúdo. Mantenha sempre um backup independente.

5. Compartilhamento e sub-processadores

Não vendemos dados. Compartilhamos o mínimo necessário com operadores (sub-processadores) sob contrato, listados de forma transparente no nosso Trust Center:

Sub-processadores, função e local de transferência de dados (role horizontalmente em telas estreitas).
Sub-processador	Função	Transferência
Hospedagem da aplicação (Fly.io)	Executa o servidor da aplicação — processa dados de conta em trânsito e logs de infraestrutura.	Estados Unidos — Ashburn, Virgínia (iad) · mecanismos contratuais e salvaguardas de transferência internacional, quando aplicável
Banco de dados (Turso)	Guarda o texto cifrado do cofre e os dados de conta.	Estados Unidos — Leste (aws-us-east-1) · mecanismos contratuais e salvaguardas de transferência internacional, quando aplicável
Pagamentos (Stripe)	Processa a assinatura — nunca vê o conteúdo do cofre.	EUA / União Europeia · mecanismos contratuais e salvaguardas de transferência internacional, quando aplicável
E-mail transacional (Resend)	Envia os avisos do gatilho de inatividade e de segurança.	Brasil — São Paulo (sa-east-1) · tratamento em território nacional
Anexos (Cloudflare R2)	Armazena arquivos já cifrados no seu aparelho.	Rede global — cifrado em repouso · mecanismos contratuais e salvaguardas de transferência internacional, quando aplicável
Assistente de IA (Anthropic)	Orienta o preenchimento (Eva) — nunca recebe segredos do cofre.	Estados Unidos · mecanismos contratuais e salvaguardas de transferência internacional, quando aplicável
Anti-bot (Cloudflare Turnstile)	Verificação anti-bot/abuso (CAPTCHA invisível) no chat público de atendimento.	EUA / rede global · mecanismos contratuais e salvaguardas de transferência internacional, quando aplicável

Transferências internacionais são cobertas por mecanismos contratuais e salvaguardas aplicáveis de cada operador, quando cabível. A lista vigente fica em /trust.

No chat público de atendimento (/atendimento) usamos o Cloudflare Turnstile para confirmar que o visitante é uma pessoa e proteger o serviço contra bots e abuso — sem rastreamento publicitário. O tratamento de dados pela Cloudflare nesse contexto é regido pelo Adendo de Privacidade do Turnstile da Cloudflare.

6. Seus direitos (LGPD art. 18 / GDPR art. 12–22)

Você pode exercer, sem custo:

Acesso e portabilidade — exporte tudo em Configurações → Seus dados.
Correção de dados de conta incompletos ou desatualizados.
Eliminação — apague a conta e tudo em cascata (irreversível).
Informação sobre compartilhamento e bases legais (este documento).
Revogação de consentimento e oposição ao tratamento por legítimo interesse.

Atendemos pedidos (DSAR) sem demora injustificada. Prazo de referência: 15 dias(LGPD) e até 30 dias (GDPR, prorrogáveis). Canal: privacidade@aeterne.app ou autoatendimento no app. Você pode reclamar à ANPD (Brasil) ou à autoridade de proteção de dados competente (UE/EEE).

7. Retenção e eliminação

Mantemos dados de conta enquanto o cofre existir. Ao apagar a conta, removemos os registros associados em cascata; backups operacionais expiram em até 30 dias. Obrigações legais (ex.: fiscais de faturamento) podem exigir retenção mínima de metadados não sensíveis.

Leads de interesse comercial sem conversão são anonimizados (removemos o contato cifrado, mantendo apenas o pseudônimo e a trilha de consentimento) em até 12 meses após a última interação, ou imediatamente mediante pedido.

8. Segurança e incidentes

Cifragem de ponta a ponta, envelope versionado, audit log encadeado por hash, e logging que redige segredos/PII na origem. Em caso de incidente com risco relevante, notificamos a ANPD e os titulares em prazo compatível (referência GDPR: 72 horas à autoridade), conforme nosso plano de resposta a incidentes. Lembre-se: como só guardamos ciphertext, um vazamento de banco não revela o conteúdo do seu cofre.

9. Crianças e adolescentes

O serviço não se destina a menores de 18 anos. Não tratamos dados de crianças e adolescentes de forma intencional.

10. Alterações

Atualizações materiais desta política são versionadas e comunicadas. A versão vigente é a publicada nesta página, com data acima.