Política de Privacidade | Coffee or Tea on Me

Esta Política de Privacidade explica quais informações a Coffee or Tea on Me Inc. ("Coffee or Tea on Me", "nós" ou "nosso") coleta quando você usa nosso aplicativo móvel (o "Serviço"), como usamos essas informações, com quem as compartilhamos e os direitos que você tem sobre seus dados. Ao usar o Serviço, você aceita esta Política de Privacidade. Se você não concordar, não use o Serviço.

1. O que coletamos

1.1 Dados de identidade

Nome legal, extraído por reconhecimento óptico de caracteres (OCR) do seu documento oficial de identidade com foto. Seu primeiro nome é exibido no seu perfil e não pode ser ocultado — seus matches veem com quem estão conversando.
Data de nascimento, extraída do seu documento. Usamos a data de nascimento para confirmar que você tem 18 anos ou mais e para calcular a "idade" exibida no seu perfil.
Imagem do documento de identidade — a frente e (quando aplicável) o verso do seu documento oficial. Essas imagens são enviadas ao nosso fluxo de verificação e são excluídas assim que a sua verificação é concluída e, em todos os casos, em até 7 dias após o envio — incluindo tentativas que falham ou que você abandona no meio. Guardamos apenas os campos de texto extraídos por OCR e a assinatura facial descrita abaixo. Não guardamos nenhuma cópia do seu documento.
Assinatura facial (dado biométrico) — uma representação numérica do seu rosto (um "vetor"), calculada pelo AWS Rekognition a partir do retrato do seu documento e do seu escaneamento facial ao vivo. Não é uma fotografia e não pode ser revertida em uma. Usamos para (a) confirmar que a pessoa diante da câmera é a pessoa do documento e (b) impedir que um mesmo ser humano tenha mais de uma conta. Ela fica em uma coleção de rostos do AWS Rekognition, junto com um hash unidirecional SHA-256 do identificador dela no nosso banco de dados, e é mantida enquanto sua conta estiver verificada. Se sua conta for excluída ou banida, apenas o hash unidirecional é mantido, como assinatura antibôs anonimizada, sem nome, e-mail ou foto associados; ele é purgado automaticamente em uma janela contínua de três anos, e você pode pedir a exclusão antes disso a qualquer momento em Ajustes → Privacidade → Solicitar exclusão de dados faciais.
Escaneamento facial ao vivo (prova de vida) — a verificação AWS Rekognition Face Liveness transmite um vídeo curto do seu rosto direto do seu aparelho para a AWS, para detectar falsificações (fotos paradas, máscaras, regravações, deepfakes). Nós nunca recebemos esse vídeo, e a AWS está configurada para não armazenar nenhuma imagem da verificação. A AWS devolve um único quadro estático de referência do seu rosto, e esse quadro nós guardamos, em armazenamento privado com acesso controlado, enquanto sua conta permanecer verificada. Ele tem exatamente uma finalidade: cada foto que você enviar depois é comparada com ele, para que ninguém coloque fotos de outra pessoa em um perfil verificado. Ele é excluído quando você exclui sua conta e quando você usa Ajustes → Privacidade → Solicitar exclusão de dados faciais. Se mais tarde pedirmos uma nova verificação (uma checagem rápida de "olhe para a esquerda / para a direita"), esse clipe é excluído em até 7 dias — a menos que a checagem falhe ou sua conta seja sinalizada para revisão de segurança, caso em que mantemos o clipe como registro de fraude e segurança pelo tempo necessário para investigar.

1.2 Dados de perfil

Fotos que você envia (até 6). Cada foto passa pelo nosso pipeline de revisão antes de aparecer no seu perfil: moderação AWS Rekognition para nudez / conteúdo sugestivo / violência, correspondência facial com seu documento verificado, verificações de EXIF e metadados, e uma blocklist de hash perceptual de imagens previamente rejeitadas.
Bio, respostas a prompts e interesses que você escreve ou escolhe.
Atributos de estilo de vida que você decide divulgar: fuma, bebe, tem filhos, quer filhos, animais de estimação.
Dados vitais: gênero (masculino ou feminino, condizente com seu documento), altura, cidade.
Objetivo de relacionamento: casamento, longo prazo, amizade, não tenho certeza, casual.

1.3 Dados comportamentais

As notas que você escreve para outros membros e as margens — o que você escreve nas margens da passagem diária compartilhada.
As conversas que se abrem quando alguém responde, com suas mensagens, anexos e reações.
O horário da última atividade, usado para mostrar às pessoas com quem você escreve há quanto tempo você esteve por aqui e para tirar membros inativos das telas de leitura.
Os tokens de notificação push, usados para entregar avisos de notas e mensagens.

1.4 Dados do dispositivo

Endereço IP, usado no cadastro e periodicamente depois para determinar seu país e região. Não retemos endereços IP vinculados ao seu perfil além do que nosso provedor de hospedagem mantém em logs operacionais (normalmente 30 dias).
Tokens iOS DeviceCheck e App Attest — atestados emitidos pela Apple usados para detectar dispositivos emulados ou comprometidos no cadastro. Esses tokens não podem ser vinculados ao seu Apple ID por nós; recebemos apenas uma chave opaca.
Modelo do dispositivo, versão do iOS, versão do app e fuso horário, enviados com as requisições à API para fins de compatibilidade e depuração.

Nota sobre localização: o app não acessa a localização do seu dispositivo. A cidade exibida no seu perfil é texto que você digita durante o onboarding; é usada para estimar a distância entre você e possíveis matches. Não solicitamos a permissão de localização do iOS e não coletamos coordenadas GPS.

1.5 Analytics

Não incorporamos nenhum SDK de terceiros de analytics de produto ou relato de falhas no app. O app não envia telemetria a terceiros. Como não realizamos rastreamento entre apps nem entre sites, o aviso App Tracking Transparency do iOS não é necessário e não o exibimos.
Não usamos SDK do Facebook, Google Analytics, AppsFlyer, PostHog, Sentry, nem qualquer outra rede de publicidade de terceiros. Não veiculamos anúncios no app.
Coletamos, sim, analytics de uso de primeira parte em nosso próprio backend: abertura/fechamento do app, duração da sessão, quais telas você visualiza e por quanto tempo, padrões de navegação e conclusão do funil de onboarding/verificação. Esses eventos são usados para melhorar o app e detectar abusos. Os eventos brutos são retidos por até 180 dias e então excluídos. Agregados anonimizados (sem identificador de usuário) podem ser mantidos indefinidamente para análise de tendências. Não compartilhamos esses eventos com anunciantes, brokers de dados ou redes de marketing.
Nosso backend também mantém logs operacionais de requisições (ver Seção 4) para depuração e prevenção de abusos; são de primeira parte e de curta duração.

2. Como usamos suas informações

Usamos as informações descritas acima para:

Fornecer o Serviço — mostrar a você possíveis matches que se enquadram nos seus filtros, entregar mensagens, enviar notificações push, exibir seu perfil.
Verificar sua identidade — confirmar que você é um ser humano real, vivo, com 18 anos ou mais, e que o documento escaneado corresponde ao rosto observado.
Prevenir abusos — detectar contas duplicadas, documentos fraudulentos, golpes e padrões de assédio.
Operar e depurar o Serviço — diagnosticar erros e falhas com logs de servidor de primeira parte e curta duração.
Fazer cumprir nossos termos — investigar denúncias, aplicar ações de moderação, atender solicitações legais.
Comunicar com você — status da verificação, notificações de match, alertas de segurança, atualizações ocasionais de serviço. Não enviamos e-mails de marketing sem seu consentimento explícito.

Não vendemos suas informações pessoais. Não alugamos suas informações pessoais. Não compartilhamos suas informações pessoais com anunciantes, corretoras de dados ou redes de marketing.

3. Com quem compartilhamos informações

Compartilhamos informações com um pequeno conjunto de prestadores de serviços estritamente para operar o Serviço:

Supabase Inc. — hospedagem do banco de dados Postgres, autenticação, armazenamento de arquivos e canais em tempo real. Nosso projeto Supabase é hospedado na região canadense (AWS ca-central-1, Montreal); as imagens do seu documento, o quadro de referência de prova de vida e o hash da assinatura facial ficam lá.
Amazon Web Services, Inc. (AWS) — Rekognition para prova de vida, comparação e indexação de rostos; Textract para OCR do documento; S3 e Lambda para os fluxos de processamento; Bedrock para classificação de moderação (nunca para gerar conteúdo voltado ao usuário). O Rekognition e o Textract processam seus dados faciais e de identidade na região AWS us-east-1 (Estados Unidos), onde também fica a coleção de rostos do Rekognition. Todos os recursos da AWS são isolados no namespace da conta Coffee or Tea on Me e acessíveis apenas por papéis IAM restritos.
Resend, Inc. — entrega de e-mails transacionais (e-mails de verificação, alertas de segurança, respostas de suporte). A Resend não tem permissão para usar seu e-mail para marketing.
Apple Inc. — hospedagem na App Store, compras dentro do app (StoreKit 2), notificações push (APNS), DeviceCheck e App Attest. O tratamento desses dados pela Apple é regido pela Política de Privacidade da Apple.

Não usamos provedor terceirizado de analytics ou de relato de falhas; nenhum SDK desse tipo está embutido no app.

Também podemos compartilhar informações quando exigido por lei, em resposta a processo legal válido (intimação, ordem judicial, mandado de busca), para proteger os direitos ou a segurança de usuários ou do público, ou no contexto de uma transação corporativa (fusão, aquisição, venda de ativos) — neste último caso, suas informações continuarão a ser regidas por uma política de privacidade pelo menos tão protetora quanto esta.

Não transferimos informações pessoais a redes de publicidade, corretoras de dados ou qualquer terceiro para fins de publicidade ou marketing.

4. Retenção

Imagens de documento de identidade: excluídas assim que a verificação é concluída e, em todos os casos, em até 7 dias após o envio — incluindo tentativas que falharam ou foram abandonadas, varridas por uma rotina noturna.
Quadro de referência de prova de vida (a única imagem estática que a AWS devolve do escaneamento facial ao vivo): mantido enquanto sua conta estiver verificada e excluído quando você exclui a conta ou solicita a exclusão dos seus dados faciais. O vídeo de prova de vida em si nunca é armazenado — nem por nós, nem pela AWS.
Clipes de vídeo de nova verificação (a checagem de "olhe para a esquerda / para a direita"): excluídos em até 7 dias quando a checagem passa e a conta está regular. Clipes de checagens que falharam ou de contas sinalizadas são mantidos como registro de fraude e segurança.
Resultados de OCR (nome, data de nascimento, campos do documento): retidos enquanto sua conta existir.
Assinatura facial: mantida enquanto sua conta estiver verificada. Quando você exclui sua conta, ou usa Ajustes → Privacidade → Solicitar exclusão de dados faciais, o vetor é removido imediatamente do nosso índice de verificação. Para impedir que usuários banidos e contas excluídas se registrem de novo na hora, uma assinatura antibôs anonimizada (um hash unidirecional, sem nome, e-mail ou foto) pode ser mantida após a exclusão; ela é purgada automaticamente em uma janela contínua de três anos, e você pode pedir sua exclusão a qualquer momento em Ajustes → Privacidade. A exclusão é real: uma vez que a assinatura some, você não fica bloqueado para sempre e pode se verificar de novo no futuro.
Dados de perfil, fotos, notas, margens, conversas: retidos enquanto sua conta existir. Ao excluir a conta, esses dados são apagados em definitivo do nosso banco de dados em até 30 dias, salvo quando a retenção for exigida por motivos legais, de segurança ou prevenção a fraudes (ver Seção 7).
Logs operacionais (endereços IP, tempos de requisição, traces de erros): retidos por até 30 dias pelos nossos provedores de hospedagem e, em seguida, rotacionados. Não mantemos um armazenamento separado de eventos de analytics de terceiros.
Denúncias de conteúdo censurável ou usuários abusivos: retidas indefinidamente para que possamos reconhecer reincidentes e cumprir nosso SLA de revisão em 24 horas.

5. Seus direitos

Sujeito à lei aplicável, você tem o direito de:

Acessar as informações que mantemos sobre você. Envie um e-mail para support@coffeeorteaonme.com a partir do endereço associado à sua conta.
Corrigir informações imprecisas. A maioria dos campos do perfil pode ser editada diretamente no app; para correções de nome legal (que exigem uma nova verificação com um documento atualizado), escreva ao suporte.
Excluir sua conta em três toques em Perfil → Ajustes → Excluir conta. A exclusão no servidor termina em até 30 dias e também apaga seu vetor facial e o quadro de referência de prova de vida guardado. Se quiser apagar seus dados faciais sem excluir a conta (por exemplo, para retirar o consentimento à retenção biométrica), use Ajustes → Privacidade → Solicitar exclusão de dados faciais — é imediato e revoga seu status de humano verificado até você se verificar de novo.
Portar seus dados — solicitar uma exportação do seu perfil, fotos e histórico de conversas em formato legível por máquina (JSON para dados estruturados, mídia original para fotos).
Opor-se a determinados tratamentos, restringir determinados tratamentos e revogar o consentimento ao tratamento biométrico a qualquer momento. Revogar o consentimento ao tratamento biométrico equivale a excluir sua conta, porque a verificação biométrica é condição para usar o Serviço.
Apresentar reclamação a uma autoridade supervisora — por exemplo, a Autoridade Nacional de Proteção de Dados (ANPD) no Brasil, o Office of the Privacy Commissioner of Canada, a Commission d'accès à l'information du Québec ou sua autoridade local de proteção de dados no Espaço Econômico Europeu.

Responderemos a solicitações válidas em até 30 dias e em prazos menores quando a lei aplicável exigir.

6. Crianças

A Coffee or Tea on Me destina-se a adultos com 18 anos ou mais. Não coletamos intencionalmente informações de pessoas com menos de 18 anos. Se descobrirmos que coletamos informações de uma pessoa com menos de 18 anos, as excluiremos imediatamente. Se você acredita que uma criança está usando o Serviço, entre em contato com support@coffeeorteaonme.com.

7. Retenção por motivos legais e de segurança

Não obstante os prazos de exclusão da Seção 4, podemos reter dados limitados se necessário para:

Impedir o novo registro de um usuário banido — especificamente, a assinatura facial anonimizada de um usuário removido permanece no nosso índice de deduplicação até ser apagada a pedido ou purgada pelo cronograma contínuo de retenção de três anos.
Investigar, prevenir ou responder a fraude, abuso, assédio ou atividade ilegal.
Fazer cumprir nosso EULA e proteger os direitos e a segurança de usuários e do público.
Proteger contra o reingresso de um usuário banido — especificamente, o vetor facial de um usuário cuja conta foi encerrada permanece no nosso índice de deduplicação a menos que e até que uma solicitação de exclusão bem-sucedida seja feita.

8. Transferências internacionais

A Coffee or Tea on Me opera a partir do Canadá e usa infraestrutura em nuvem nos Estados Unidos e no Canadá. Ao usar o Serviço, você entende que suas informações serão transferidas e tratadas nessas jurisdições. Apoiamo-nos em cláusulas contratuais padrão, certificações de conformidade do lado do provedor (SOC 2, ISO 27001) e salvaguardas aplicáveis de transferência transfronteiriça.

9. Segurança

Protegemos suas informações com salvaguardas padrão do setor: TLS 1.2+ em trânsito, AES-256 em repouso para imagens de documentos e vetores faciais, roles IAM de escopo limitado, segurança em nível de linha no nosso banco de dados e acesso de menor privilégio para nossa pequena equipe. Nenhum sistema é perfeitamente seguro; se identificarmos um incidente de segurança que afete seus dados, notificaremos você e as autoridades competentes prontamente, em conformidade com a lei aplicável.

10. Alterações desta Política

Podemos atualizar esta Política de Privacidade de tempos em tempos. Alterações relevantes serão comunicadas no app e por e-mail com pelo menos 14 dias de antecedência da entrada em vigor. A versão vigente está sempre disponível em Configurações → Legal → Política de Privacidade.

11. Contato

Dúvidas sobre privacidade, solicitações de dados ou reclamações: support@coffeeorteaonme.com.

Coffee or Tea on Me Inc. Montreal, Quebec, Canadá