Declaração de Privacidade

1. Responsável

O responsável pela processamento de dados pessoais no contexto do site público e das aplicações cliprio é:

Florian Leeser Softwareentwicklung
Sócio: Florian Leeser
Eintrachtstraße 50
42655 Solingen
Alemanha

E-mail: privacy@coderave.dev
Suporte Geral: support@coderave.dev

Não foi nomeado um encarregado de proteção de dados, pois não há uma obrigação legal para tal.

2. Objeto desta Declaração

Esta declaração descreve o processamento durante a utilização de:

• o site público em https://cliprio.app, hospedado pelo Vercel;
• a aplicação web em https://web.cliprio.app, hospedada pelo Firebase Hosting;
• as aplicações cliprio para Android, iOS, macOS, Windows e Web;
• as funções relacionadas com contas, transferências, notificações, suporte e exclusão.

A aplicação cliprio não utiliza trackers publicitários, análise de uso, perfis publicitários ou cookies de rastreamento. O conteúdo não é utilizado para publicidade nem para o treinamento de modelos de inteligência artificial. Não ocorre nenhuma decisão automatizada com efeitos jurídicos ou semelhantes nem nenhum perfilagem.

3. Acesso aos Sites

Ao acessar o site público ou a aplicação web, os provedores de hospedagem processam dados técnicos necessários para a conexão. Isso pode incluir IP address, data e hora, caminho acessado, referrer, informações do navegador e sistema operacional, quantidade de dados transferidos e dados de segurança e erro.

O processamento serve para fornecimento, estabilidade, análise de erros e defesa contra abuso. A base legal é o Artigo 6, parágrafo 1, alínea f da RGPD. Nosso interesse legítimo é a operação segura, confiável e econômica dos nossos serviços online. Os registros técnicos são apagados conforme as práticas de eliminação do provedor, a menos que sejam necessários por um período mais longo para esclarecer uma situação de segurança ou cumprir obrigações legais.

4. Conta e Login

Para criação e login de conta, a aplicação cliprio processa:

• endereço de e-mail, verificação criptografada do password e status de confirmação;
• identificação do usuário no servidor, incluindo datas de criação e alteração;
• nome exibido;
• dados de autenticação, confirmação, recuperação e sessão;
• versões aceitas dos termos de uso e da declaração de privacidade com data de confirmação no servidor.

A senha não é visível para nós em texto simples. Confirmações de e-mail, códigos únicos e avisos de segurança da conta são gerados pelo Supabase Auth e entregues pela Plus Five Five, Inc. (Resend). Assim, a Resend processa o endereço do destinatário, o assunto, o corpo renderizado da mensagem, que pode conter um código único ou uma URL de ação, e os metadados de entrega.

O processamento é necessário para criar a conta, autenticar o usuário, executar o contrato de uso, prevenir abuso e provar consentimentos ou conhecimento. As bases legais são os Artigos 6, parágrafo 1, alíneas b e f da RGPD. Dados obrigatórios são necessários para a criação da conta; sem eles, não podemos fornecer uma conta.

A aplicação mantém a sessão autenticada localmente no dispositivo para que você possa permanecer conectado. Ao deslogar-se, dados de sessão locais relacionados são removidos, a menos que sejam mantidos pelo sistema operacional ou navegador conforme suas próprias regras.

5. Gerenciamento de Dispositivos e Dados Locais da Aplicação

Para cada dispositivo registrado, a aplicação cliprio processa uma identificação aleatória de instalação, uma identificação do dispositivo no servidor, o nome de dispositivo fornecido pelo usuário, a plataforma, datas de registro e última utilização, o código privado de 8 dígitos e a duração padrão de armazenamento. Também podem ser processadas conexões conhecidas de dispositivos e sessões de códigos de recepção temporariamente limitados.

Um código de recepção de seis dígitos é válido por no máximo uma hora. Tentativas falhas são limitadas sem armazenar o código inserido; os dados técnicos relacionados são limpos após o término do período de proteção.

O recebimento rápido permite que uma pessoa sem conta abra https://web.cliprio.app/quick. O navegador mantém somente um token aleatório no armazenamento de sessão daquela aba; o código exibido e os demais metadados de recebimento permanecem na memória. O backend armazena somente um hash do token, chaves HMAC pseudônimas para limitação, o estado da sessão e, após a entrega, referências independentes ao conteúdo. O acesso termina 24 horas após a entrega; uma limpeza repetível executada de hora em hora remove depois as referências expiradas. O Cloudflare Turnstile processa dados necessários de conexão e integridade do navegador para impedir abuso automatizado. IPs brutos, tokens e códigos informados não são armazenados nos registros de aplicação ou limitação do cliprio. Downloads explícitos usam uma autorização privada de Storage de cinco minutos e uma área OPFS separada; artefatos verificados são removidos após exportação, cancelamento, falha, compartilhamento ou saída da página.

No dispositivo, a aplicação armazena configurações necessárias como idioma, design, identificação de instalação e status da solicitação de notificações. Aplicativos nativos podem ainda manter projetos de texto e arquivos não enviados localmente por no máximo 24 horas; a implementação Web mantém projetos somente na memória da sessão.

Quando você abre, copia ou baixa expressamente um arquivo, a aplicação transmite o arquivo autenticado para um armazenamento temporário privado da aplicação e verifica o tamanho e a soma de verificação antes de disponibilizá-lo para essa ação. Os aplicativos nativos usam seu diretório temporário; a aplicação Web usa o sistema de arquivos privado da origem (OPFS) do navegador. Esses artefatos ficam isolados para a sessão autenticada e são removidos após exportação, cancelamento, falha, expiração, fechamento da página, logout ou exclusão de conta bem-sucedidos, na inicialização da aplicação ou ao trocar de conta. Em uma ação nativa de abrir ou copiar, a aplicação agenda a limpeza de melhor esforço do artefato privado 24 horas depois de entregá-lo ao consumidor selecionado do sistema operacional; um logout bem-sucedido, a exclusão da conta, uma troca de conta, uma limpeza posterior de artefatos expirados ou a próxima inicialização do aplicativo o remove antes. Se o sistema operacional suspender ou encerrar a aplicação antes da limpeza agendada, o artefato privado da aplicação poderá permanecer por mais de 24 horas até que um desses limites de limpeza seja executado.

O processamento serve para fornecer as funções de gerenciamento de dispositivos, segurança e transferência. As bases legais são os Artigos 6, parágrafo 1, alíneas b e f da RGPD.

6. Conteúdo e Transferências

Dependendo do seu uso, a aplicação cliprio processa:

• textos, imagens e arquivos transferidos;
• nome de arquivo, tipo de arquivo, MIME-type, tamanho e opcionalmente título;
• identificações de conteúdo, remetente, destinatário e dispositivo;
• datas de criação, alteração, expiração e exclusão;
• duração selecionada de armazenamento, número de compartilhamentos e status técnico.

Arquivos estão em um bucket de armazenamento privado do Supabase. Acesso é concedido apenas para solicitações autenticadas e autorizadas. Notificações push não contêm conteúdo ou nomes de arquivo, links públicos, nomes de dispositivo ou anúncios.

O processamento ocorre exclusivamente para executar suas instruções de armazenamento, exibição, redirecionamento e exclusão. A base legal é o Artigo 6, parágrafo 1, alínea b da RGPD. Se conteúdo contém dados pessoais de outras pessoas, você é responsável por transmiti-los de forma lícita.

Ao transferir para outra conta, uma cópia independente é criada sob controle do destinatário. Essa cópia tem sua própria duração e não é recuperada pela exclusão da conta remetente. A identificação do remetente é removida ou neutralizada na exclusão da conta, se possível.

Automação por API

Ao ativar a automação por API, o cliprio processa o nome da chave, a conta ou organização titular, o identificador do criador, as ações e destinos permitidos, uma restrição opcional de tamanho, expiração, revogação, rotação e datas mínimas de uso. Apenas um hash seguro da parte secreta do token é armazenado; a chave completa é exibida uma vez. Chaves de organização atuam para a organização independentemente da participação do criador. As transferências por API usam o mesmo armazenamento privado e cópias independentes do destinatário que o aplicativo. As solicitações de controle passam pela Vercel para o Supabase; os arquivos vão diretamente ao Supabase Storage privado com autorização breve vinculada ao upload. O tratamento fornece a automação solicitada e previne abusos conforme o artigo 6(1)(b) e (f) do RGPD. Os metadados permanecem disponíveis para gerenciar e revogar chaves após o fim do acesso pago e são removidos com a conta ou organização titular.

7. Notificações

Se você ativar notificações push, a aplicação cliprio processa sua configuração, plataforma e idioma, uma identificação específica de dispositivo Firebase Cloud Messaging, informações técnicas de entrega e status de notificação, leitura e erro. A mensagem de entrega contém uma identificação aleatória única, um aviso localizado geralmente e, eventualmente, o número de notificações não lidas, mas não inclui conteúdo transferido.

A base legal é seu consentimento conforme Artigo 6, parágrafo 1, alínea a da RGPD. Você pode revogar isso a qualquer momento nas configurações do cliprio ou no sistema operacional com efeito futuro. A legitimidade da processamento anterior permanece inalterada. Identificações de entrega não utilizadas são limpas após 90 dias sem atualização.

8. Cobrança e Administração de Assinaturas

Para vender, atribuir, aplicar e reconciliar o acesso Free, Personal e Team, o cliprio processa a conta ou organização como sujeito de cobrança, o plano e produto lógico, o pacote Team selecionado e a capacidade de assentos comprada, o período de cobrança, uma mudança de pacote atual ou agendada, identificadores de direito e cliente do provedor, identificadores de assinatura e compra, status e datas de eventos, estados de renovação, expiração e cancelamento, reembolso ou estorno, falha de pagamento e período de carência, associações Team aceitas necessárias para verificações de capacidade e uso de entregas bem-sucedidas atribuído a um mês UTC. Esses dados ficam separados do conteúdo transferido.

As compras do Personal e Team na Web e no Windows usam diretamente o Stripe Managed Payments no navegador do sistema. Após um pagamento do Personal na Web ou no Windows, o RevenueCat espelha informações de assinatura e direitos. O RevenueCat também fornece ofertas nativas e atribui compras nativas. A Apple ou o Google processa compras nativas do Personal e Team e fornece o preço localizado da loja. Esses provedores podem processar dados de contato, país, impostos, transação, instrumento de pagamento, prevenção de fraude, dispositivo e compra conforme seus próprios avisos. O cliprio não recebe nem armazena dados completos de cartão ou conta bancária.

O processamento é necessário para executar a assinatura paga, atribuir franquias do plano, administrar assentos da organização, impedir atribuições duplicadas ou não autorizadas, recuperar pagamentos com falha, reconciliar eventos dos provedores, cumprir obrigações fiscais e contábeis e constituir ou defender reivindicações legais. As bases legais são o Artigo 6, parágrafo 1, alíneas b, c e f da RGPD. Nossos interesses legítimos são cobrança segura, prevenção de fraude, estado confiável de direitos e reconciliação auditável dos provedores.

Uma compra nativa em loja é atribuída à conta cliprio ou à organização selecionada na compra ou restauração e não é transferida automaticamente para outro sujeito de cobrança. O status de convite e aceitação do Team é processado para verificar se os membros ativos cabem no pacote comprado. Um convite nunca aciona uma compra automaticamente; aumentos de pacote exigem ação explícita do proprietário e reduções permitidas entram em vigor na renovação.

9. Exclusão Pública

Na página pública de exclusão, o endereço de e-mail normalizado é enviado para o Supabase Auth. Se uma conta existir, um código único será enviado pela Resend. Após confirmação bem-sucedida, a página cria uma sessão temporária apenas no cache e chama o serviço de exclusão automática.

O site desativa armazenamento de sessões e renovação automática de tokens. Não registra endereços de e-mail, códigos únicos, tokens de acesso ou detalhes da sessão de exclusão. Após interrupção, sucesso ou recarregamento, os dados temporários são descartados. Os provedores técnicos e backend podem ainda processar as informações necessárias para a solicitação de rede.

A base legal é o Artigo 6, parágrafo 1, alínea b da RGPD, bem como a cumprimento das obrigações de exclusão conforme Artigo 6, parágrafo 1, alínea c em conjunto com o Artigo 17 da RGPD.

10. Suporte, Proteção de Dados e Denúncias de Conteúdo Ilícito

Se você nos contatar por e-mail, processamos endereço remetente, nome, conteúdo da mensagem, anexos, datas e informações técnicas ou de conta necessárias para a resolução. Nunca envie senhas ou códigos de confirmação; ao denunciar conteúdo ilícito, não anexe o conteúdo desnecessariamente.

O processamento ocorre para resolver consultas contratuais ou pré-contratuais conforme Artigo 6, parágrafo 1, alínea b da RGPD, cumprir obrigações legais conforme Artigo 6, parágrafo 1, alínea c da RGPD e, além disso, em razão do nosso interesse legítimo na comunicação eficaz, prevenção de abuso e defesa jurídica conforme Artigo 6, parágrafo 1, alínea f da RGPD.

A correspondência será geralmente descartada três anos após o encerramento do processo. Obras legislativas de armazenamento ou a ação, exercício ou defesa de direitos podem exigir um armazenamento mais longo.

11. Destinatários e Processadores Autorizados

Para fornecer cliprio, usamos principalmente os seguintes provedores:

• Supabase, Inc. para autenticação, banco de dados, armazenamento privado e funções Edge. O projeto principal está instalado na região Frankfurt (eu-central-1).
• Vercel Inc. — o site público, documentação estática da API e encaminhamento de solicitações de controle API; uploads de arquivos vão diretamente ao Supabase.
• Cloudflare, Inc. para proteção Turnstile contra bots e abuso na criação de sessões públicas de recebimento rápido. Mais informações sobre o tratamento de dados pessoais pela Cloudflare estão disponíveis no Turnstile Privacy Addendum.
• Google Ireland Limited ou empresas associadas da Google para Firebase Hosting, Firebase Cloud Messaging e compras nativas do Personal e Team pelo Google Play.
• Stripe e entidades relacionadas para Stripe Managed Payments, checkout Web e do Windows, processamento de pagamentos, tratamento fiscal, prevenção de fraude, reembolsos, estornos e eventos de cobrança.
• RevenueCat, Inc. para ofertas nativas e atribuição de compras nativas e para o espelhamento pós-pagamento das informações de assinatura e direitos do Personal na Web e no Windows.
• Apple Distribution International Limited ou empresas associadas da Apple para compras nativas do Personal e Team e entrega do Apple Push Notification Service em dispositivos Apple.
• Plus Five Five, Inc. (Resend) para a entrega de e-mails de conta, confirmação, recuperação, avisos de segurança e códigos de exclusão.
• IONOS SE para as caixas de correio de suporte, privacidade e comunicação geral do coderave.

Além disso, dados podem ser transferidos a autoridades, tribunais ou outras entidades se estivermos legalmente obrigados a fazê-lo ou se for necessário para a persecução jurídica ou defesa jurídica. Com processadores autorizados, aplicamos os acordos de proteção de dados necessários.

12. Transferências Internacionais

Alguns provedores e seus subcontratantes têm sede ou infraestrutura técnica fora do Espaço Econômico Europeu, especialmente nos Estados Unidos. Mesmo em um projeto Supabase instalado em Frankfurt, suporte, operações de segurança, funções Edge ou subcontratantes podem ter uma presença internacional. O Firebase Cloud Messaging, o Stripe e o RevenueCat podem operar em infraestrutura internacional. A Resend armazena dados da conta, incluindo metadados de e-mail, logs e registros de API, nos Estados Unidos, independentemente da região de envio escolhida.

Transferências ocorrem, se necessário, com base em decisões adequadas, especialmente o Marco de Privacidade EU-US para receptores certificados, ou garantias apropriadas como as Cláusulas Contratuais Padrão da Comissão Europeia e medidas adicionais de proteção. Informações sobre as garantias utilizadas podem ser solicitadas em privacy@coderave.dev.

13. Duração de Armazenamento e Exclusão

Os seguintes critérios se aplicam:

• dados de conta, perfil, dispositivo e contrato são processados geralmente até a exclusão da conta.
• conteúdo é removido conforme a duração escolhida após 24 horas, 3 dias, 7 dias ou 30 dias ou, para conteúdo permanente, após sua exclusão ou exclusão da conta.
• cópias independentes permanecem de acordo com as configurações e decisões do destinatário.
• dados de sujeito de cobrança, assinatura, atribuição de compra, uso, pacote Team e capacidade são mantidos enquanto necessários para executar a assinatura e depois pelos períodos legais fiscais, contábeis, de prevenção de fraude, disputas, reembolsos, estornos e reivindicações. Em seguida, são excluídos ou anonimizados quando legal e tecnicamente possível.
• a caixa de entrada técnica de eventos do provedor mantém identificadores opacos de eventos, resumos e resultados de processamento por no máximo 30 dias para deduplicação segura de webhooks e proteção contra repetição. Essa caixa de curta duração é separada dos registros normalizados de cobrança e contabilidade mantidos conforme a regra anterior.
• dados de notificações são removidos quando os conteúdos associados não mais existirem. Tentativas de entrega têm um prazo máximo de 24 horas.
• sessões de códigos de recepção são válidas por no máximo uma hora. Limites de segurança são limpos após o término de suas janelas de proteção.
• identificações de entrega push não utilizadas são removidas após 90 dias.
• A Resend informa que retém dados de e-mail por 30 dias nos planos padrão. Você pode nos encaminhar solicitações relacionadas a dados de e-mails de Auth mantidos pelo provedor; coordenamos a exclusão com o operador, sujeita às obrigações legais de retenção aplicáveis.
• Os dados técnicos de repetição de operações de conteúdo concluídas são removidos após oito dias. As operações interrompidas de clientes antigos podem ser liberadas após 30 minutos. As reservas incompletas de transferência direta com o protocolo dois duram normalmente até 24 horas, podem ser renovadas enquanto o processamento continua e nunca permanecem válidas além do limite absoluto de 48 horas; ao expirar, a cota não utilizada é liberada e a limpeza dos objetos temporários é programada.

A exclusão de objetos de arquivo ocorre por um processo técnico de limpeza repetível. Em cópias de segurança rotativas dos provedores, dados excluídos podem permanecer até a sobrescritura programada. Não são restaurados para o uso normal e são tratados novamente conforme as regras de exclusão vigentes em caso de restauração.

14. Segurança

A aplicação cliprio usa, entre outros, transmissão criptografada, armazenamento privado, autorização contas-dispositivos, segurança de nível de linha, códigos limitados, restrições de entrada e mensagens push econômicas. Nenhum serviço baseado na internet pode garantir uma segurança absoluta.

15. Seus Direitos

De acordo com as disposições legais, você tem o direito a informações, correção, exclusão, limitação do processamento, portabilidade de dados e objeção. Consentimentos concedidos podem ser revogados a qualquer momento para o futuro. Em um processamento baseado em Artigo 6, parágrafo 1, alínea f da RGPD, você pode opor-se por razões que sejam relevantes para sua situação particular.

Dirija suas solicitações para privacy@coderave.dev. Para evitar adivinhações indevidas de informações, podemos exigir um identidade apropriada.

Você tem também o direito de reclamar junto à autoridade de supervisão de proteção de dados. A autoridade competente para nós é:

Autoridade Estadual de Proteção de Dados e Liberdade de Informação do Norte-Riograndense
Kavalleriestraße 2–4
40213 Düsseldorf
https://www.ldi.nrw.de

16. Alterações

Atualizaremos esta Declaração de Privacidade se cliprio, os serviços utilizados ou a legislação mudarem substancialmente. Informamos sobre alterações significativas apropriadas na aplicação, no site ou por e-mail.