Política de Privacidade

Quando você se inscreve no beta ou navega pelo Site, coletamos:

• Dados de contato — seu nome, seu e-mail e, se quiser, seu usuário de mensageiro (Instagram, WhatsApp, Telegram, KakaoTalk).
• Comentários opcionais — o que você escrever no formulário de inscrição.
• Dados técnicos — endereço IP, tipo de navegador e de dispositivo, idioma e URL de origem, coletados pelos serviços de analytics e publicidade da seção 6 e apenas depois que você os aceita no aviso de cookies.

• Conta — seu e-mail, ou o identificador devolvido por Apple, Google ou Naver se você usar o login social, além do identificador de conta que geramos.
• Perfil — nome de exibição, @usuário, foto, bio, gênero, data de nascimento, os idiomas que você fala e os que está aprendendo, interesses, país e cidade. As outras pessoas veem sua idade, nunca sua data de nascimento.
• Conteúdo — mensagens, fotos, vídeos, arquivos, mensagens de voz, stories, publicações, reações e confirmações de leitura.
• Chamadas — quem ligou para quem, quando a chamada começou e quanto durou. O áudio das chamadas nunca é gravado.
• Resultados da verificação — pontuações de vivacidade e de correspondência facial e o veredicto de aprovado ou reprovado; ver seção 3.
• Dados do dispositivo — tokens de notificação push, versão do app e do iOS, idioma e os diagnósticos que acompanham um pedido de suporte.
• Localização aproximada — somente se você ativar a ordenação por proximidade; ver seção 7.
• Analytics de produto — eventos dentro do app e gravações de sessão; ver seção 6.

O CoffeeTalk confere se um perfil pertence a uma pessoa real e única. Na verificação, o App tira uma selfie e nosso servidor a envia à Didit (didit.me), nosso fornecedor de verificação, para até três checagens:

• Vivacidade passiva — há uma pessoa viva diante da câmera, e não uma foto, uma máscara ou uma tela?
• Comparação facial (1:1) — se você enviou uma foto de referência, a selfie corresponde a ela?
• Busca facial (1:N) — esse rosto já está registrado em outra conta do CoffeeTalk? Uma correspondência com outra conta bloqueia a verificação, porque indica conta duplicada ou tentativa de se passar por outra pessoa.

A checagem 1:N funciona porque os rostos verificados são inscritos em uma galeria. Essa galeria fica com a Didit, não conosco, e cada inscrição é marcada com o identificador da sua conta no CoffeeTalk. Ela guarda modelos matemáticos do rosto derivados da selfie, não imagens navegáveis.

Em nossos servidores guardamos apenas o resultado: as pontuações de vivacidade e correspondência, se a checagem passou e o identificador da conta com a qual o rosto coincidiu. Não armazenamos a selfie nem a foto de referência. Elas existem em memória durante a requisição e depois são descartadas.

Pelo GDPR, um modelo facial é dado biométrico usado para identificar você, categoria especial do artigo 9.º. Nós o tratamos com base no seu consentimento explícito, dado ao iniciar a verificação, e com uma única finalidade: manter contas falsas e duplicadas fora da comunidade. A verificação é opcional — você pode recusar, e uma conta não verificada apenas tem limites menores e nenhum selo. Para retirar o consentimento, escreva para help@coffee-talk.net: apagaremos os registros de verificação do nosso lado e pediremos à Didit que exclua sua inscrição.

Uma versão anterior dessa checagem usava o Amazon Rekognition Face Liveness. O App ainda cria, ao iniciar, uma identidade de convidado anônima do Amazon Cognito, resquício daquela integração; nenhuma selfie, modelo facial ou resultado de verificação é enviado à Amazon Web Services.

Mensagens, stories e publicações são armazenados para que possamos entregá-los e mostrá-los a você depois. O texto fica em nosso banco de dados no Supabase; fotos, vídeos, arquivos e mensagens de voz ficam no Cloudflare R2 e são servidos por links assinados de curta duração.

• Tradução. Quando você traduz uma mensagem, o texto é enviado ao OpenRouter, que o encaminha a um modelo de linguagem. Fixamos esse encaminhamento em fornecedores que operam sob termos de retenção zero de dados e que proíbem o uso do texto para treinamento.
• Mensagens de voz. Ao traduzir uma mensagem de voz, o áudio é enviado ao OpenRouter para transcrição, e o texto resultante é traduzido do mesmo modo. A transcrição fica em cache junto à mensagem.
• Chamadas. O áudio passa pelo LiveKit em tempo real e não é gravado nem armazenado. As legendas ao vivo são geradas pelo reconhecimento de fala no seu próprio iPhone; somente o texto resultante é enviado para tradução, nas mesmas condições.

Todo o tráfego é criptografado com TLS. O CoffeeTalk não tem criptografia de ponta a ponta: tecnicamente podemos ler o conteúdo armazenado, e só o fazemos pelos motivos da seção 5 ou quando a lei exige.

• Denúncias. Quando você denuncia uma mensagem, um perfil, um story ou uma publicação, nosso servidor guarda sua própria cópia do conteúdo denunciado, para que a denúncia continue analisável mesmo se o conteúdo for editado ou apagado depois.
• Mensagens apagadas. Quando você apaga uma mensagem para todos, ambas as partes veem uma marca de exclusão no chat, mas o texto original é copiado para um arquivo de moderação somente de acréscimo. Ele existe para que um abuso não possa ser apagado antes de a pessoa que o recebeu denunciá-lo. Hoje esse arquivo não tem expiração automática.
• Acesso dos moderadores. Nossa equipe de moderação pode abrir chats, mídias, stories e perfis denunciados por meio de um console separado, protegido por login. Cada abertura de caso gera um registro de auditoria.
• Decisões. Um caso pode terminar em arquivamento, remoção do conteúdo, advertência (strike) ou banimento temporário ou permanente. Toda ação fica em um registro somente de acréscimo.

Site. Com o seu consentimento no aviso de cookies, o Site carrega o Google Analytics (estatísticas de uso), o Pixel da Meta e o Pixel do Reddit (medição de conversões e públicos de anúncios). Se você recusar o aviso, eles não são carregados.

App. O App usa o PostHog em sua nuvem europeia (eu.i.posthog.com) para analytics de produto: eventos nomeados — telas abertas, botões tocados, etapas de cadastro concluídas — vinculados ao identificador da sua conta. O conteúdo das mensagens nunca vira propriedade de um evento. A gravação de sessões está ativa e, nas versões da App Store e do TestFlight, oculta campos de texto, imagens carregadas e telas do sistema. Você pode desligar o analytics nas configurações do App.

O App não tem nenhum SDK de publicidade, não usa o identificador de publicidade (IDFA) e nunca pede permissão de App Tracking Transparency. Nada do que é coletado no App serve para rastrear você em apps ou sites de terceiros.

• Câmera e fototeca — apenas para a selfie da verificação e para as fotos e vídeos que você escolhe enviar ou publicar.
• Localização — opcional. Se você ativar a ordenação por proximidade, o App faz uma única leitura com precisão de cerca de um quilômetro. Guardamos as coordenadas no seu perfil, mas nunca as exibimos: as outras pessoas veem apenas uma distância.
• Reconhecimento de fala — roda no seu aparelho, para gerar legendas ao vivo durante uma chamada.
• Notificações push — entregues pelo serviço da Apple (APNs). A notificação de mensagem inclui o nome de quem enviou e até 140 caracteres do texto, para que a prévia seja útil na tela de bloqueio. Você pode desativá-las nas configurações do iOS ou no App.

Compartilhamos dados pessoais apenas com os fornecedores que operam o serviço em nosso nome, sob contratos que os limitam às nossas instruções. Não vendemos dados pessoais.

• Supabase — banco de dados, autenticação e funções de servidor (o backend do App e a lista de inscritos no beta vinda do Site).
• Cloudflare R2 — armazenamento de fotos, vídeos, arquivos, mensagens de voz e avatares.
• Didit — verificação de identidade e a galeria biométrica da seção 3.
• OpenRouter e os provedores de modelos para os quais ele encaminha — tradução e transcrição de voz.
• LiveKit — áudio em tempo real das chamadas.
• PostHog (nuvem europeia) — analytics de produto e gravação de sessões.
• Apple — entrega de notificações; Apple, Google e Naver se você usar o login deles.
• Resend — envio dos e-mails da conta, como os códigos de acesso.
• Amazon Web Services — a identidade de convidado herdada do Cognito descrita na seção 3.
• Vercel — hospedagem do Site.
• Google, Meta e Reddit — analytics e publicidade do Site, somente após o consentimento.

A CoffeeTalk Inc. fica nos Estados Unidos e nossos fornecedores operam nos Estados Unidos e na União Europeia, de modo que seus dados serão tratados fora do seu país. Quando os dados saem do Espaço Econômico Europeu ou do Reino Unido, apoiamo-nos nas cláusulas contratuais-padrão da Comissão Europeia e nos próprios mecanismos de transferência dos nossos fornecedores.

• Conta, perfil e conteúdo — enquanto sua conta existir (ver seção 12).
• Registros de verificação — as pontuações e o veredicto, enquanto sua conta existir; a inscrição mantida pela Didit, até você pedir a remoção.
• Denúncias, arquivo de moderação e ações de moderação — somente de acréscimo e hoje sem expiração automática, por serem a prova por trás de uma decisão de segurança.
• Pedidos de suporte — mantidos para que possamos responder e preservar o histórico da conversa.
• Analytics — conforme os prazos de retenção padrão do PostHog e, no Site, do Google, da Meta e do Reddit.

Dependendo de onde você mora (GDPR, GDPR do Reino Unido, CCPA/CPRA, LGPD e outras leis), você pode ter direito a:

• acessar os dados pessoais que temos sobre você e obter uma cópia;
• corrigir dados incorretos ou pedir sua exclusão;
• opor-se a certos tratamentos ou limitá-los;
• retirar um consentimento dado — inclusive o da verificação biométrica — sem afetar a licitude do tratamento anterior;
• apresentar reclamação à autoridade de proteção de dados do seu país.

Não vendemos informações pessoais nem as compartilhamos para publicidade comportamental entre contextos, no sentido da legislação da Califórnia. Para exercer qualquer direito, escreva para help@coffee-talk.net.

Você pode excluir sua conta dentro do App, em Configurações. A exclusão é imediata e irreversível — não há período de carência nem como restaurá-la depois.

São removidos seu perfil, as mensagens que você enviou, seus stories, publicações, sequências, denúncias, tokens de notificação e registros de verificação, junto com seus avatares e as mídias dos seus stories e publicações. Duas coisas permanecem de propósito: as mídias enviadas dentro de uma conversa, porque já foram entregues à outra pessoa e não são só suas para apagar, e o arquivo de moderação e os registros de ações de moderação da seção 5. Os eventos de analytics já recebidos pelo PostHog não são apagados automaticamente — peça e nós os excluiremos.

O CoffeeTalk não se destina a menores de 17 anos e o App tem classificação 17+ na App Store. Não coletamos dados de crianças conscientemente. Se você acredita que uma criança criou uma conta, escreva para help@coffee-talk.net e nós a removeremos.

O tráfego é criptografado com TLS. O acesso aos dados armazenados é restrito por regras de segurança em nível de linha no banco de dados, as mídias só são alcançáveis por links assinados de curta duração, e as credenciais de serviços de terceiros ficam em segredos do servidor, nunca no binário do app. Nenhum sistema é totalmente seguro; se você acredita que sua conta ou seus dados foram comprometidos, escreva para help@coffee-talk.net.

Atualizaremos esta política conforme o produto mudar. A data de «Última atualização» no topo sempre reflete a versão vigente, e avisaremos as pessoas cadastradas sobre mudanças relevantes por e-mail ou dentro do App.

CoffeeTalk Inc., 8 The Green, Suite 15796, Dover, DE 19901, Estados Unidos.

Dúvidas, pedidos e reclamações sobre esta política: help@coffee-talk.net.