Política de Privacidade

Última atualização: 6 de setembro de 2026

O que coletamos

• Informações da conta: Endereço de e-mail e nome de exibição (para criar sua conta e personalizar sua experiência).
• Entradas do diário: O texto que você escreve, incluindo metadados (datas, tags, tipo de entrada). Armazenado em nosso banco de dados PostgreSQL.
• Relacionamentos: Nomes que você menciona nas entradas usando @menções. São apenas nomes — não coletamos informações de contato de outras pessoas.
• Emoções e temas: Extraídos de suas entradas pela nossa IA. Inclui emoções (primárias e secundárias), intensidade (1–10), direção emocional (positiva/negativa), temas de vida (ex: relacionamentos, carreira, saúde), gatilhos e um breve resumo. Armazenados como dados estruturados ao lado de cada entrada.
• Conversas do Explorar: Seus chats com o recurso Explorar IA, incluindo suas perguntas e as respostas da IA.
• Memória do usuário: Enquanto você conversa com o Explore, o Pensio pode anotar algumas coisas que você conta — um nome, uma preferência, um padrão, um fio que você deixou em aberto — para que as conversas seguintes tenham contexto sobre você. Isso fica guardado na sua conta. Você pode ver, corrigir, deixar de lado ou excluir permanentemente qualquer uma delas na página Memória.
• Insights: Relatórios semanais e mensais gerados por IA sobre seus padrões emocionais, temas recorrentes e mudanças ao longo do tempo. São resumos derivados de suas entradas, armazenados na sua conta.
• Fotografias de páginas manuscritas: Se você fotografar páginas de um diário de papel, guardamos as fotografias e enviamos cada uma a um serviço de IA que lê a caligrafia e a transforma em texto — qualquer outra coisa visível no enquadramento vai junto. A fotografia permanece anexada à entrada em que se torna; nada é salvo no seu diário até você revisar a leitura e adicioná-la você mesmo.
• Registros de acesso: Cada vez que você entra ou sai — incluindo uma tentativa de entrada que falha — e cada vez que você muda sua senha, liga ou desliga a verificação em duas etapas, baixa seu diário, conecta ou para um aplicativo, muda seu e-mail ou pede para excluir sua conta, escrevemos uma linha no registro de segurança da sua conta: o que aconteceu, quando, o endereço IP de onde veio a solicitação, e como o navegador ou aplicativo se identificou. O registro é seu antes de ser nosso: você pode ler ele inteiro em Configurações → Segurança, que é onde você iria para descobrir se um acesso foi você.
• Dispositivos em que você está conectado: Para cada dispositivo que mantém uma sessão no momento, guardamos o endereço IP de onde ele foi usado pela última vez, como o navegador ou aplicativo se identificou, e quando ele esteve ativo pela última vez, para que a lista em Configurações consiga mostrar o que está conectado e deixar você desconectar.
• Solicitações à nossa API: Além do site, o Pensio tem uma interface com a qual os aplicativos conversam — o plugin do Obsidian, os aplicativos de celular, e qualquer assistente que você tenha conectado. Cada solicitação feita por ela escreve uma linha em um registro: qual endereço dentro do Pensio foi pedido — que pode nomear a entrada sendo buscada —, que tipo de solicitação era, se deu certo, quanto tempo levou, e o identificador que o aplicativo informou para o dispositivo em que ele roda. Não há endereço IP nele e nada do que você escreveu. Guardamos por 90 dias, para conseguirmos ver o serviço funcionando e perceber um aplicativo sendo usado de forma abusiva.
• Como você nos encontrou: Quando você cria uma conta, anotamos quatro informações curtas sobre como você chegou, e não perguntamos nada a você para obtê-las. Primeiro, um código de país de duas letras — "PT", "BR", "MX" — deduzido pela Cloudflare, a rede que fica na frente do Pensio, a partir da conexão pela qual veio o seu cadastro: ele chega até nós já reduzido a essas duas letras, e nenhum endereço é guardado como parte deste registro. Leia isso de forma restrita, porque é uma frase sobre este registro e não sobre o Pensio como um todo: criar uma conta também conecta você, e entrar grava o endereço de onde veio a solicitação no registro de segurança da sua conta e na lista de dispositivos em que você está conectado — ambos descritos acima, e ambos guardados enquanto a sua conta existir. Segundo, como você chegou à página de cadastro: por uma busca, por um assistente de IA, por uma publicação em rede social, por um link em outro site, por um link de campanha marcado, ou indo direto. Terceiro, se você chegou à página de cadastro a partir de outra página do Pensio, qual das nossas era. Quarto, se você chegou até nós por um link que nós mesmos marcamos, qual dos nossos links era: uma palavra curta como "google_ads" ou "reddit_ads" que nós escrevemos dentro do nosso próprio anúncio. Ela diz em qual anúncio você clicou, é uma palavra sobre nós e não sobre você, e não significa nada para ninguém fora do Pensio. Não guardamos o identificador de clique que uma rede de publicidade adiciona aos links dela, porque esse pode ser cruzado de volta com um perfil que a rede mantém sobre você. É só isso. Não é o seu endereço, não é a sua cidade, não são as suas coordenadas, e nunca é o endereço de uma página no site de outra pessoa. Também é, de propósito, muito mais grosseiro que o ponto exato que uma câmera grava dentro de uma foto, que é justamente o que removemos de toda foto enquanto guardamos isto: um país pode nos dizer que talvez valha a pena traduzir para um idioma, enquanto uma coordenada diz onde você estava parado. Escrevemos essas quatro informações uma vez, no dia em que você se cadastra, e nunca as mudamos — elas descrevem como você chegou, não onde você está agora. Elas existem para duas decisões. Uma é para qual idioma traduzir o Pensio em seguida: o Pensio está em inglês, português do Brasil e espanhol, e lemos essas informações apenas como totais em uma tela interna, para ver de onde vem a demanda pelo próximo. A outra é se um anúncio que pagamos trouxe alguém, que é o motivo pelo qual a quarta informação foi adicionada em setembro de 2026, quando começamos a fazer pequenos testes pagos: sem o nome do link, toda campanha parece igual a todas as outras para nós. Nenhuma parte do Pensio consulta as suas individualmente, nada disso é usado para te segmentar nem para decidir qualquer coisa sobre você, e nada disso te segue para outro site. As quatro estão na exportação dos seus dados, e são excluídas junto com a sua conta.

O que não coletamos

• Não vendemos seus dados. Nunca.
• Não exibimos anúncios.
• Não compartilhamos o conteúdo do seu diário com terceiros (exceto o provedor de LLM — veja abaixo).
• Não rastreamos você pela internet.
• Não criamos perfis publicitários nem vendemos dados comportamentais.

Podemos divulgar seus dados se exigido por lei (por exemplo, uma ordem judicial válida), mas só faremos isso quando legalmente obrigados e notificaremos você se permitido.

Como usamos IA

O Pensio usa modelos de linguagem (LLMs) para dois recursos:

1. Extração de emoções: O texto da sua entrada é enviado a um LLM para identificar emoções. As emoções extraídas são armazenadas; o LLM não retém seu texto.
2. Chat do Explorar: Quando você faz uma pergunta no Explorar, entradas relevantes do diário são enviadas como contexto ao LLM para gerar uma resposta. O provedor de LLM não armazena nem treina com seus dados.
3. Memória do usuário: O Pensio guarda fatos das suas conversas no Explore (como nomes e preferências) para que as sessões futuras tenham contexto. Isso fica armazenado na sua conta, no nosso servidor, não nos servidores do provedor de IA. Você controla tudo — veja, corrija, deixe de lado ou exclua qualquer memória na página Memória.

Como isso se compara ao uso direto de chatbots de IA: Quando você usa ChatGPT, Claude ou Gemini pelos seus próprios aplicativos, suas conversas podem ser usadas para melhorar seus modelos a menos que você opte por sair. Com o Pensio, o conteúdo do seu diário nunca é usado para treinamento de IA, criação de perfis ou marketing — por nós ou pelos provedores de IA. Seu texto é processado em memória e descartado imediatamente. Os únicos dados que persistem são os que o Pensio armazena na sua conta, que pertencem a você e podem ser excluídos a qualquer momento.

Conectando assistentes de IA externos (MCP)

Se você tem o Pensio Pro, pode opcionalmente conectar um assistente de IA externo — como Claude, ChatGPT, Claude Desktop ou Cursor — ao Pensio através do Model Context Protocol (MCP). Isso fica desativado por padrão e só acontece se você criar uma conexão em Configurações → Apps conectados.

• Somente leitura: Um assistente conectado pode ler e pesquisar seu diário. Ele não pode criar, editar ou excluir entradas — isso é garantido em nossos servidores, não apenas pelo assistente.
• Para onde vão suas palavras: Quando você pergunta a um assistente conectado sobre seu diário, as entradas relevantes são enviadas ao próprio modelo de IA dessa ferramenta para formar a resposta. Esse modelo opera sob os termos e a política de privacidade do fornecedor do assistente — não sob a configuração de retenção zero do OpenRouter do Pensio. Não podemos controlar como uma ferramenta de IA de terceiros que você escolher trata esse conteúdo, então revise os termos de privacidade do seu assistente antes de conectar.
• Uma opção totalmente privada: Se você hospeda o Pensio por conta própria e conecta um modelo de IA local (como o Ollama), suas entradas nunca saem da sua própria máquina — zero envio a terceiros.
• Você mantém o controle: Cada conexão é um token revogável e específico para um dispositivo. Revogue-o a qualquer momento em Configurações → Apps conectados e o assistente perde o acesso imediatamente.

Perguntas em Aberto, e o que ele lê

O Explore responde quando você pergunta algo. As Perguntas Abertas funcionam ao contrário: elas olham as suas entradas em busca de algo que valha a pena apontar, sem serem solicitadas. Isso acontece quando você abre a página — a análise roda enquanto a página carrega — e uma vez por dia no nosso próprio servidor, para podermos deixar um aviso no app quando a página tiver algo que você ainda não viu. Está em teste com um número pequeno de contas, e esta seção descreve exatamente o que isso envolve.

• A verificação diária não lê mais do que a página. Ela faz a mesma aritmética, sobre os mesmos dados derivados, e não chama nenhum modelo de IA. Não escreve nada sobre o que encontrou: o aviso no app diz apenas que há algo na página, nunca o que é, e nada disso é enviado por e-mail para você.
• Ele lê dados derivados, e os nomes que você deu às coisas. Ele usa o que o aplicativo já extraiu das suas entradas — a emoção, os temas, as datas e quem você mencionou — além do título que você deu a uma entrada, para que um cartão consiga dizer de qual delas se trata. O corpo do que você escreveu não é lido.
• Nenhum modelo de IA é chamado. A análise é aritmética simples no nosso próprio servidor. Nada sobre o seu diário é enviado para lugar nenhum por causa dela.
• O que guardamos é propositalmente pouco. Cada vez que a página decide algo, e cada vez que você aperta um dos botões dela, guardamos um registro curto disso: qual dos nossos próprios modelos de frase foi usado, algumas contagens, e se você silenciou o assunto, marcou um tópico como resolvido ou seguiu um link. Quando um registro é sobre uma pessoa ou uma entrada, ele guarda um substituto embaralhado de mão única — não dá para revertê-lo ao nome nem à entrada, e a mesma entrada é embaralhada de um jeito diferente em cada conta. O que continua legível são números e os nossos próprios rótulos. Esse registro também é o que impede a página de te oferecer a mesma coisa duas vezes.
• Isto somos nós construindo o recurso. Nós olhamos esses registros para descobrir se o Pensio percebe algo que valha a pena dizer. Isso é pesquisa interna, e preferimos dizer isso aqui do que descrever de outro jeito.
• Desligado significa que ele não olha. Você pode desligar em Configurações → O que ele lê. Quando está desligado, as suas entradas não são analisadas de forma alguma — nada sobre o seu diário é examinado ou registrado, em vez de examinado e mantido em silêncio. A verificação diária faz parte disso: uma conta com isto desligado é pulada antes de qualquer leitura.

O que a IA não faz

• Os provedores de IA não se lembram de você — não há perfil persistente seu em nenhum servidor de provedor de IA. O recurso de Memória do Usuário do Pensio armazena fatos que você compartilha em conversas, mas esses dados vivem na sua conta sob seu controle, não na infraestrutura do provedor de IA. Você pode excluí-los a qualquer momento.
• Seus dados nunca são misturados com dados de outros usuários quando processados pela IA. Cada solicitação contém apenas seu conteúdo, isolada de todos os outros usuários.
• Nunca enviamos as palavras que você escreveu para uma ferramenta de análise, e ninguém aqui lê as suas entradas para fazer pesquisa.
• Os provedores de IA não criam perfis comportamentais com base em suas entradas.
• Os modelos de IA não são personalizados ou adaptados com base nos seus dados. Cada solicitação de usuário é processada pelo mesmo modelo de uso geral.

Provedores de IA e tratamento de dados

Todas as solicitações de IA são roteadas pelo OpenRouter, um gateway de API. O OpenRouter encaminha sua solicitação para o modelo de IA e retorna a resposta. Configuramos o OpenRouter com a flag de retenção zero de dados via sua API — seu texto é processado em memória e não é armazenado, registrado ou usado para treinamento pelo OpenRouter ou pelos provedores de modelo downstream. Isso significa que seus dados existem apenas durante a solicitação e não são gravados em disco pelos provedores de IA. As solicitações não são registradas, armazenadas em cache ou guardadas em nenhuma camada.

Os modelos de IA que usamos atualmente:

• Claude da Anthropic — modelo primário para o chat Explorar e extração de emoções.
• Gemini do Google — usado como modelo alternativo para alguns recursos.

Tanto a Anthropic quanto o Google, quando acessados via API de retenção zero do OpenRouter, não armazenam nem treinam com os dados enviados por essas solicitações. Se mudarmos de provedor de IA no futuro, atualizaremos esta página e manteremos a mesma configuração de retenção zero.

Gravações de voz

Se você falar uma entrada em vez de digitá-la, a gravação é enviada ao mesmo serviço de transcrição sem retenção de dados para virar texto, e é descartada lá assim que as palavras voltam. As palavras escritas ficam no seu diário como qualquer outra entrada.

Uma gravação capta quem estiver audível, não só você. Se houver outra pessoa na sala, a voz dela fica na gravação e é enviada para transcrição junto com a sua, então leve em conta quem está por perto antes de gravar.

Nada é deduzido a partir do som da sua voz. A gravação primeiro vira texto, e a partir daí só o texto é lido, do mesmo jeito que uma entrada que você digitou. Seu tom, seu ritmo e como você soava não são medidos, não são guardados como sinal e não são usados para decidir nada.

Você escolhe: excluí-la assim que virar texto, guardá-la por um tempo ou guardá-la por tempo indeterminado. O que você disse continua no seu diário de qualquer forma, em qualquer plano e enquanto sua conta existir: a escolha é só sobre o áudio.

Sua escolha vale para as gravações que você fizer de agora em diante. As gravações que você já fez mantêm as condições sob as quais foram feitas. Você pode mudar isto, ou excluir todas as gravações que ainda tem, em Configurações, em Dados.

A localização é removida de todas as fotos.

Análises

Usamos duas ferramentas de análise, separadas por finalidade:

• Google Analytics 4 — apenas nas nossas páginas públicas de marketing (landing page, blog). Rastreia visualizações de página e fontes de tráfego. Endereços IP são anonimizados. Não é usado em páginas autenticadas.
• PostHog — no aplicativo (páginas autenticadas). Registra quais páginas você abre e quais recursos você usa, associados ao ID da sua conta (um UUID, não seu nome ou e-mail). Também registramos quando um e-mail que enviamos a você é aberto ou quando um link dele recebe um clique, e para qual das nossas próprias páginas esse link levou — pelo nome interno dela, nunca pelo endereço em si, de modo que os links de acesso de uso único que alguns dos nossos e-mails carregam não fazem parte disso. Junto desses eventos ele guarda um perfil curto da conta, atualizado cada vez que você entra: seu plano, quantas entradas você escreveu, se você conectou o plugin do Obsidian, se você tem uma assinatura paga, e se a conta está no nosso site em funcionamento ou em um dos nossos ambientes de teste. Os endereços das páginas são encurtados antes de serem enviados: a query string e tudo o que vem depois de um "#" são descartados, e qualquer identificador que esteja no próprio endereço — o ID de uma entrada, ou o link de uso único de um e-mail que enviamos — é substituído por um marcador. Nenhuma localização é deduzida do seu endereço IP, e nenhuma é guardada sobre você; os servidores do PostHog veem a conexão que o seu navegador faz com eles, como veriam com qualquer script de análise em qualquer lugar. Seu navegador também informa o fuso horário, o idioma, o tamanho da janela, o navegador e o sistema operacional, como faz por padrão. Nada do que você escreveu é enviado. A captura automática e a gravação de sessão estão desativadas — rastreamos apenas eventos específicos que definimos. Hospedado na UE.

Excluir sua conta remove tudo o que está acima do nosso próprio banco de dados, e também pedimos ao PostHog que apague o que ele guarda: o perfil, as propriedades registradas nele e cada evento de uso armazenado com o ID da sua conta. Esse pedido é enviado no momento em que sua conta é destruída — não quando você a solicita, então, se você mudar de ideia dentro das 72 horas, nada foi apagado em lugar nenhum. O PostHog remove o perfil logo em seguida e limpa os registros de eventos em um lote posterior, de modo que, por um curto período depois disso, esses eventos ficam na fila para exclusão em vez de já terem sido apagados.

Também registramos como as pessoas chegam à página de cadastro, para sabermos se elas nos encontram por busca, por um link ou por recomendação. Quando você abre essa página, anotamos o site de onde você veio (apenas o domínio, como "google.com", nunca o endereço completo e nunca o que você pesquisou) e as etiquetas de campanha do link. Se você veio de outra página do Pensio, anotamos qual. Se você não criar uma conta, essa anotação fica no nosso próprio servidor durante a sua visita e depois é descartada. Se você criar, ela é copiada para a sua conta — junto com o país descrito em "O que coletamos", acima — e guardada enquanto a conta existir: ela faz parte dos dados da conta na sua exportação, e é excluída quando você exclui a sua conta. Ela também é anexada ao evento de cadastro que enviamos ao PostHog, a ferramenta de análise descrita acima: o canal, o site de onde você veio, as etiquetas de campanha, e, se foi uma das nossas próprias páginas, qual delas. Nada do que você escreveu está nele, e ele fica associado ao ID da sua conta como todos os outros eventos de lá — o que faz dele um dos eventos que ficam com o PostHog depois que a sua conta acaba. Não usamos identificadores de publicidade, não seguimos você por outros sites e nunca construímos um perfil sobre você. Se você chegar por um link que nós mesmos marcamos, normalmente um anúncio, fazemos essa anotação na página para a qual o link te levou, porque quando você chega à página de cadastro as etiquetas já não estão mais lá e só veríamos que você veio do Pensio.

Relatórios de falhas e erros

Para manter o Pensio estável, coletamos diagnósticos técnicos quando algo dá errado — nunca o conteúdo do seu diário:

• Sentry — relatórios de erro do lado do servidor para o aplicativo web. Nenhum dado pessoal é anexado (o envio de PII está desativado). Processado na UE.
• Firebase Crashlytics — diagnósticos de falhas do aplicativo Android (rastreamento de pilha, modelo do dispositivo, versão do sistema operacional e do aplicativo). Nenhum conteúdo do diário e nenhum e-mail ou nome são enviados, e a coleta de ID de publicidade está desativada. O aplicativo iOS atualmente não inclui relatórios de falhas.

Cookies

O aplicativo Pensio usa apenas cookies essenciais:

• Cookie de sessão — mantém você conectado. Termina quando você fecha o navegador ou depois de quatro horas, ou depois de 14 dias se você marcou Lembrar de mim.
• Token CSRF — previne falsificação de solicitação entre sites (uma medida de segurança).
• Cookie de sessão em uma página de campanha — se você chegar a uma das nossas páginas por um link que nós mesmos marcamos, normalmente um anúncio, definimos esse mesmo cookie de sessão ali, para que ainda possamos lembrar como você chegou caso você venha a se cadastrar. Ele guarda uma chave aleatória e nada mais: a anotação em si fica no nosso servidor, e é descartada junto com a sessão se você não criar uma conta. Chegar a qualquer outra página nossa não define esse cookie, e ler o Pensio sem se cadastrar também não define nenhum.

Páginas de marketing podem definir um cookie do Google Analytics se você aceitar cookies de análise através do banner de consentimento. Nenhum cookie de rastreamento é usado dentro do aplicativo. Cookies essenciais não exigem consentimento sob as regras de ePrivacy da UE. Queremos nomear uma exceção em vez de arquivá-la em silêncio sob essa frase: o cookie de campanha acima é definido para o nosso benefício, não para o seu. Ele é próprio, não carrega nenhum identificador que te siga para lugar nenhum, e existe apenas para que um cadastro possa ser ligado ao link que o trouxe, mas é medição, então preferimos te dizer que ele está ali a deixá-lo se esconder atrás da palavra essencial.

Segurança

• Criptografia em trânsito: Todas as conexões usam TLS (HTTPS). Aplicamos HSTS.
• Criptografia em repouso: O disco do nosso servidor usa criptografia LUKS de disco completo.
• Senhas: Hash usando Argon2id, um algoritmo de uso intensivo de memória resistente a ataques de força bruta. Nunca armazenamos senhas em texto simples.
• Autenticação de dois fatores: Disponível via TOTP (aplicativo autenticador). Recomendado para todas as contas.
• Backups: Backups diários automatizados do banco de dados, criptografados, retidos por 7 dias.

Como qualquer serviço online, o Pensio não está imune a riscos de segurança. Minimizamos o risco limitando a exposição de dados, criptografando todos os dados armazenados no nível do disco e garantindo que os provedores de IA não retenham seu conteúdo. Revisamos regularmente nossas práticas de segurança e as atualizamos conforme necessário.

Comunicações por e-mail

Enviamos os seguintes tipos de e-mail:

• Transacionais: Redefinições de senha, verificação de e-mail, alertas de segurança da conta. São necessários para o serviço funcionar — você não pode optar por sair.
• E-mails de produto: Insights semanais, marcos de sequência, lembretes de inatividade. Você pode desativar qualquer um destes individualmente em Configurações → Notificações.
• Newsletter: Novidades do produto e dicas de escrita. Exige inscrição separada (dupla confirmação). Cancele com um clique a partir de qualquer e-mail da newsletter.

Todo e-mail de produto termina com um link para as suas configurações de notificação, onde cada tipo é desligado separadamente. O Pensio envia no máximo três e-mails de produto por semana, e na maioria das semanas nenhum. Usamos o Brevo para enviar e-mails (veja Subprocessadores abaixo).

Seus direitos

Você é dono dos seus dados. Sob o GDPR e independentemente de onde você mora, você pode:

• Acesso: Todos os seus dados ficam visíveis no aplicativo, e o download abaixo é a cópia legível por máquina deles. Se preferir pedir a nós, escreva e nós enviamos.
• Exportar (portabilidade): Baixe tudo em Configurações → Exportar, em um único ZIP: cada entrada e rascunho como um arquivo Markdown, as pessoas que você nomeou, seus insights semanais e mensais, suas fotos e gravações de voz, e um arquivo com os dados da sua conta — seu nome, seu e-mail, a data em que você se cadastrou, seu idioma, suas preferências de exibição, seu plano e as escolhas que você fez sobre os seus próprios dados. Ele não contém nada sobre a conta Pensio de mais ninguém — as pessoas que você nomeou estão nele como as anotações que você escreveu sobre elas, nunca como registros delas.
• Retificação: Edite suas entradas e informações de perfil a qualquer momento.
• Exclusão: Exclua sua conta em Configurações. Isso remove permanentemente todos os seus dados — entradas, relacionamentos, insights, conversas do Explorar, os dados da sua conta, e o seu histórico de acesso e de segurança com os endereços IP que há nele. A exclusão é concluída em 30 dias e é irreversível. Como priorizamos a privacidade, não podemos recuperar dados excluídos — não há backup oculto nem armazenamento sombra de onde pudéssemos restaurar você. O que fica para trás é contabilidade, e nada disso é algo que você escreveu. Guardamos quanto custou manter o Pensio funcionando para você: uma data, um preço, qual recurso pediu e qual modelo respondeu, e uma referência à entrada ou conversa a que aquilo se referia, que a essa altura aponta para algo que não existe mais. Sua conta sai desse registro, e o registro fica, porque dinheiro que foi realmente gasto não pode deixar de ter sido, e um serviço que não consegue dizer o que pagou não pode ser tocado com honestidade. Guardamos o registro de solicitações descrito perto do começo desta página: sua conta é desligada dele e o identificador do dispositivo é apagado no momento em que a conta acaba, então o que sobra é uma lista de horários, endereços e códigos de resposta, e ela se apaga sozinha em até 90 dias. E os eventos de uso guardados pelo nosso provedor de análise também continuam depois da conta, o que a seção Análises acima descreve em vez de deixar você deduzir.
• Restringir o processamento: Parte do que o Pensio faz com as suas entradas pode ser desligada em Configurações: Perguntas em aberto, onde esse recurso estiver disponível para você, e qualquer coisa que o Explorar tenha lembrado, que você pode deixar de lado ou excluir na página Memória. A extração de emoções não é uma delas — ler emoções e temas de uma entrada é como o aplicativo mostra a você os seus próprios padrões, então ela roda em tudo o que você publica aqui. Excluir uma entrada exclui o que foi lido dela, porque as emoções e os temas ficam guardados na própria entrada. Se você quiser o processamento restringido além do que esses controles alcançam, escreva para nós em [email protected] e nós resolvemos isso com você.
• Oposição: Você pode se opor a qualquer processamento entrando em contato conosco em [email protected].
• Controle da memória: Veja, corrija, deixe de lado ou exclua permanentemente qualquer fato que a IA lembrou sobre você na página Memória. Uma memória deixada de lado fica fora das conversas com a IA, mas é mantida na sua conta até você excluí-la.

Retenção de dados

• Enquanto sua conta estiver ativa: Seus dados são armazenados enquanto você tiver uma conta. Não excluímos entradas a menos que você o faça.
• Após a exclusão da conta: Todos os seus dados (entradas, emoções, relacionamentos, insights, conversas do Explorar) são permanentemente excluídos do nosso banco de dados em 30 dias. Os backups automatizados que contêm seus dados expiram em 7 dias após isso.
• Provedores de IA: Não retêm seus dados de forma alguma — o processamento é apenas em memória.
• Registros de acesso e a lista de dispositivos: Guardados enquanto a sua conta existir. Não os apagamos por tempo: um registro de segurança que esquece não responde à pergunta para a qual ele existe. A lista de dispositivos é arrumada, não expirada — um dispositivo cuja sessão já terminou sai da lista na próxima vez que você abrir essa página ou desconectar dispositivos, e não no momento em que a sessão termina, então uma linha pode durar mais que a sessão que ela descreve. Excluir sua conta apaga os dois, endereços IP e tudo. Uma linha sobrevive: um registro de que uma conta foi excluída e quantas entradas ela tinha, sem nada junto que diga de quem era.
• Fotos e gravações que você exclui: São removidas da sua conta imediatamente e mantidas em um armazenamento isolado por até 30 dias antes de serem apagadas em definitivo. Isso existe para que uma falha do nosso lado não destrua suas mídias sem possibilidade de recuperação — nesse período elas não ficam acessíveis a você nem a mais ninguém. Excluir sua conta, ou excluir uma gravação pelas configurações de voz, apaga os arquivos na hora, sem a janela de 30 dias.

Subprocessadores

Estes são os serviços de terceiros que podem processar seus dados como parte do fornecimento do Pensio:

Lista de subprocessadores terceirizados

Serviço	Finalidade	Acesso aos dados
OpenRouter	Gateway de API de IA	Texto das entradas, gravações de voz a caminho da transcrição e fotografias de páginas manuscritas a caminho da leitura (tudo apenas em memória, retenção zero)
Anthropic (Claude)	Fornecedor de modelo de IA	Texto da entrada (apenas em memória, via API de retenção zero do OpenRouter)
Google (Gemini)	Fornecedor de modelo de IA	Texto das entradas, gravações de voz enviadas para transcrição e fotografias de páginas manuscritas enviadas para leitura (tudo apenas em memória, via API de retenção zero da OpenRouter; nada é guardado pelo provedor)
Hostinger	Hospedagem de servidor	Todos os dados (armazenados em disco criptografado)
Cloudflare	CDN, proteção contra DDoS e armazenamento de mídia (R2)	Fotos, gravações de voz e fotografias de páginas manuscritas que você adiciona, armazenadas em repouso no Cloudflare R2 (jurisdição da UE, criptografia AES-256). O restante do tráfego apenas passa e não é armazenado. Ela também deduz de qual país vem uma conexão e nos entrega isso como um código de duas letras, que registramos uma única vez quando uma conta é criada. Escolhemos esse caminho em vez de acrescentar mais uma empresa a esta lista justamente porque a Cloudflare já fica na frente de toda solicitação.
PostHog	Análise de produto	Eventos de uso associados ao ID da sua conta — quais páginas você abre e quais recursos você usa, com as query strings e os identificadores retirados dos endereços — mais um perfil curto da conta: seu plano, quantas entradas você tem, se o plugin está conectado, se há uma assinatura paga. Sem conteúdo do diário, sem nome nem e-mail, sem localização.
Brevo	Entrega de e-mail	Endereço de e-mail, nome de exibição, preferência de idioma (para e-mails transacionais e de produto)
Sentry	Rastreamento de erros	Relatórios técnicos de erro (podem incluir metadados de solicitação anonimizados, nunca conteúdo do diário). O envio de PII está desativado.
Google (Firebase Crashlytics)	Relatórios de falhas (aplicativo Android)	Diagnósticos de falhas do aplicativo Android — rastreamento de pilha, modelo do dispositivo, versão do sistema operacional e do aplicativo. Sem conteúdo do diário, sem e-mail ou nome. A coleta de ID de publicidade está desativada.
Google Analytics 4	Análise de marketing	Visualizações de página anonimizadas apenas em páginas de marketing (não dentro do aplicativo). Carregado apenas após consentimento de cookies.

Localização dos dados

Seus dados são armazenados em um servidor dedicado na Europa (UE), fornecido pela Hostinger. Fotos, gravações de voz e fotografias de páginas manuscritas que você adiciona são armazenadas no Cloudflare R2 sob a jurisdição da UE. A Cloudflare também cuida de CDN e proteção contra DDoS para o restante do tráfego, que passa pela rede deles sem ser armazenado. Os dados de análise do PostHog são processados na UE. A Brevo é um provedor de e-mail com sede na UE. Os relatórios de erro (Sentry) são processados na UE. Os diagnósticos de falhas do app Android são processados pelo Google (Firebase Crashlytics), que pode armazená-los fora da UE sob Cláusulas Contratuais Padrão. Nenhum dado pessoal é transferido para fora da UE/EEE, exceto por meio de provedores com salvaguardas adequadas (Cláusulas Contratuais Padrão ou decisões de adequação da UE).

Privacidade de crianças

O Pensio não é destinado a menores de 16 anos. Não coletamos intencionalmente dados pessoais de crianças. Se soubermos que um usuário menor de 16 anos criou uma conta, excluiremos sua conta e todos os dados associados prontamente. Se você acredita que uma criança menor de 16 anos está usando o Pensio, entre em contato conosco em [email protected].

Notificação de violação de dados

No improvável evento de uma violação de dados que afete seus dados pessoais, notificaremos você por e-mail em até 72 horas após tomarmos conhecimento, conforme exigido pelo GDPR. Também notificaremos a autoridade supervisora relevante. A notificação descreverá a natureza da violação, os dados afetados e as medidas que estamos tomando para resolvê-la.

Base legal para o processamento

Sob o GDPR, processamos seus dados com base em:

• Contrato: Processamento das entradas do seu diário, geração de insights e fornecimento do serviço para o qual você se inscreveu.
• Interesse legítimo: Monitoramento de erros, segurança do serviço e análises de produto — incluindo as três informações sobre como você chegou, descritas em "O que coletamos". Elas ficam guardadas na sua conta, e não de forma anônima, então dizemos isso aqui em vez de arquivá-las sob uma palavra que não serviria: nós as lemos apenas como totais, e apenas para decidir para qual idioma traduzir o Pensio em seguida. Você pode se opor a qualquer coisa que façamos com essa base a qualquer momento — veja Seus direitos, acima.
• Consentimento: E-mails de marketing, newsletter e cookies de análise nas páginas de marketing.

Você pode retirar o consentimento a qualquer momento sem afetar a legalidade do processamento antes da retirada.

Alterações nesta política

Se fizermos alterações significativas, notificaremos você por e-mail ou notificação no aplicativo antes que as alterações entrem em vigor. Pequenas atualizações de texto não acionarão um aviso. Versões anteriores desta política estão disponíveis mediante solicitação.

Contato e reclamações

Dúvidas sobre sua privacidade? Envie um e-mail para [email protected].

Se você acredita que estamos processando seus dados de forma ilegal, você tem o direito de apresentar uma reclamação a uma autoridade supervisora de proteção de dados no seu país de residência.