Minuta: este texto ainda está em revisão jurídica e pode mudar.
Política de privacidade da Ciranda
Última atualização: 19/10/2026 (minuta)
Esta Política explica quais dados pessoais a Ciranda trata, por quê, com quem compartilha, por quanto tempo guarda e como você exerce seus direitos. Vale para o app (iOS e Android), para a versão web do app (no navegador, com login) e para a página web das viagens aberta por link.
1. Quem é o controlador
Vértice Tecnologia Global LTDA, CNPJ 67.764.810/0001-95, Rio do Sul/SC, é a controladora dos seus dados pessoais na Ciranda.
Canal para assuntos de privacidade: support@awayproof.com (provisório até o domínio da Ciranda existir). Ver item 11 sobre o encarregado.
2. Quais dados tratamos
| Categoria | O que é | De quem |
|---|---|---|
| Conta | E-mail; nome que você escolhe; idioma, tema e moeda padrão; identificador interno da conta; se você entra com a Apple ou o Google, o identificador que eles fornecem (e, no caso da Apple, um token que guardamos criptografado só para revogar o acesso quando você excluir a conta). Com a Apple, você pode usar um e-mail de retransmissão em vez do seu | Pessoas com conta |
| Conteúdo da viagem | Nome e datas da viagem; cidades, hospedagem (nome e valor), trechos e meio de transporte escolhido; ideias de lugares; votos; comentários; o nome que você usa em cada viagem; seu papel; registro de atividade ("Su mudou as datas de Paris") | Contas e convidados |
| Registros de dinheiro | Gastos (valor, moeda, descrição, quem pagou, como foi dividido), acertos marcados como pagos, saldos calculados | Contas. Convidados não registram gastos, mas podem estar incluídos numa divisão (nome e parte) |
| Fotos | A foto de capa da viagem enviada por quem organiza, sem dados de localização (EXIF removido no aparelho) | Contas (organizador ou editor) |
| Convidados pela web | Nome informado, votos, comentários e ideias sugeridas; um identificador aleatório guardado no navegador por até 90 dias | Convidados sem conta |
| Convites por e-mail | O e-mail da pessoa convidada, informado por quem convida, até ela aceitar ou recusar | Pessoas convidadas (podem ainda não ter conta) |
| Denúncias e bloqueios | Quem denunciou, o que foi denunciado (com uma cópia do conteúdo), motivo, texto opcional e decisão; quem você bloqueou | Contas e convidados |
| Eventos de uso (estatística) | Ações no app, como "viagem criada" ou "gasto registrado", com data, plataforma, versão do app, idioma e identificadores internos da viagem, do participante e da conta. Não incluem nomes, e-mails, textos, comentários nem nomes de lugares | Contas e convidados |
| Sessão na web | Um cookie de sessão com o token de renovação do login, que o código da página não consegue ler (HttpOnly) | Contas que entram pelo navegador |
| Registros técnicos (logs) | Endereço IP, data e hora de acesso, e registros de erro sem conteúdo | Todos |
| Texto do "Importar roteiro" | O texto que você cola para importar uma viagem. Não é guardado pelos nossos servidores (item 4.2) | Contas |
Não tratamos dados sensíveis de propósito (saúde, religião, biometria etc.). Não fazemos reconhecimento facial nas fotos. Não acessamos sua localização, contatos, câmera ou galeria inteira: a foto de capa é escolhida no seletor limitado do sistema. Não processamos pagamentos nem guardamos dados de cartão ou banco. Não mostramos anúncios e não vendemos dados.
3. Para que usamos e com qual base legal (LGPD, art. 7º)
| Finalidade | Dados | Base legal |
|---|---|---|
| Criar e manter sua conta, fazer login, enviar o código de acesso | Conta | Execução de contrato (art. 7º, V) |
| Oferecer o serviço: montar e mostrar a viagem ao grupo e a quem tem o link, calcular divisões e saldos | Conteúdo da viagem, registros de dinheiro, fotos | Execução de contrato (art. 7º, V) |
| Permitir que convidados votem e comentem pela web | Convidados pela web | Execução de contrato (art. 7º, V) |
| Enviar o convite por e-mail e vinculá-lo quando a pessoa aceitar | E-mail da pessoa convidada | Legítimo interesse de quem convida e nosso (art. 7º, IX) |
| Manter o primeiro nome em gastos de quem excluiu a conta, para o grupo saber quem paga a quem | Nome em registros de dinheiro | Legítimo interesse dos demais participantes (art. 7º, IX) |
| Importar um roteiro colado | Texto do "Importar roteiro" | Execução de contrato, a seu pedido (art. 7º, V). Transferência internacional: item 5 |
| Moderação: analisar denúncias, remover conteúdo, suspender contas, aplicar bloqueios e filtro de palavras | Denúncias e bloqueios, conteúdo denunciado | Legítimo interesse (art. 7º, IX) e exercício regular de direitos (art. 7º, VI) |
| Segurança e prevenção de abuso: limites de uso, detecção de ataques | IP, identificadores, logs | Legítimo interesse (art. 7º, IX) |
| Guardar registros de acesso pelo prazo legal | Endereço IP, data e hora, a identificação da sua conta (ou de convidado) e qual parte do serviço foi usada, com o resultado | Cumprimento de obrigação legal (art. 7º, II; Marco Civil da Internet, art. 15) |
| Estatísticas de uso para melhorar o produto | Eventos de uso | Legítimo interesse (art. 7º, IX) |
| Responder pedidos, denúncias e mensagens de suporte | E-mail e o que você nos escreve | Execução de contrato e exercício regular de direitos (art. 7º, V e VI) |
| E-mails transacionais: código de acesso, confirmação de exclusão, resultado de denúncia | Execução de contrato (art. 7º, V). Não enviamos e-mail de marketing |
Não usamos consentimento como base de nenhum tratamento hoje.
4. Com quem compartilhamos
Não vendemos nem alugamos dados pessoais. Compartilhamos apenas com:
4.1 Pessoas da viagem e quem tem o link
O que você coloca numa viagem é visto pelas pessoas da viagem. Quem tem o link de votar vê o roteiro, as ideias, os votos, os comentários e a foto de capa, mas não vê gastos nem e-mails. Seu e-mail só aparece para quem cuida da viagem, em convites. Prévias de link (WhatsApp e outros) mostram o nome, as datas e o número de cidades da viagem, nunca a foto de capa.
4.2 Operadores (tratam dados em nosso nome)
| Operador | Para quê | Onde |
|---|---|---|
| Amazon Web Services (AWS) | Hospedagem do banco de dados, login (Amazon Cognito), envio de e-mails (Amazon SES), arquivos das fotos, servidores e logs | São Paulo, Brasil (região sa-east-1). A página web e as fotos passam pela rede de entrega CloudFront, que pode guardar cópias temporárias (até 1 hora) em servidores próximos de quem acessa, inclusive fora do Brasil |
| Anthropic, PBC (API da Anthropic) | Ler o texto do "Importar roteiro" com um modelo de IA (Claude Haiku) e devolver um rascunho de viagem. É o serviço usado normalmente | Estados Unidos (item 5). A Anthropic não usa o texto para treinar modelos e o apaga em até 30 dias, salvo as exceções do item 6 |
| Amazon Bedrock (AWS) | Reserva: só quando a API da Anthropic falha. Lê o texto com um modelo de IA (Claude, da Anthropic, ou Qwen) | Servidores da AWS dentro ou fora do Brasil (item 5). A AWS não guarda o texto, não o usa para treinar modelos e não o compartilha com o fabricante do modelo |
| Expo (EAS Update) | Entregar atualizações do app. O app consulta os servidores da Expo e envia dados técnicos (plataforma, versão do app) e o IP do aparelho; nenhum dado de conta ou viagem | Estados Unidos |
Sobre o "Importar roteiro": o texto que você cola vai do nosso servidor em São Paulo para a Anthropic (ou, se ela falhar, para o Amazon Bedrock) e volta como um rascunho. Enviamos só o texto colado: nenhum nome, e-mail ou identificador da sua conta, a não ser o que o próprio texto contiver. Não guardamos o texto nos nossos servidores nem nos registros. A Anthropic guarda o texto e o resultado por até 30 dias e depois os apaga (item 6); a AWS não guarda. O texto fica só no seu aparelho, para tentar de novo, até você apagá-lo ou por 24 horas. Os registros guardam apenas números (tamanho do texto, tempo, custo) e um código da conta que não identifica você diretamente.
4.3 Outros fornecedores (controladores independentes)
| Fornecedor | O que recebe | Observação |
|---|---|---|
| Google Places e Geocoding (busca de lugares, quando ativada) | Pelo nosso servidor, quando essa busca estiver ativada: o texto que você digita ou cola na busca de lugares e o identificador do lugar escolhido. Nunca seu nome, e-mail, IP ou identificador. A busca de cidades usa uma base própria (GeoNames) nos nossos servidores da AWS, sem terceiros | Sujeito à Política de Privacidade do Google. Não digite dados pessoais na busca |
| Google Maps (mapas no app e na web) | Os mapas são carregados diretamente do Google: no app pelo SDK do Google Maps, na web pela Google Maps JavaScript API. O Google recebe dados técnicos do aparelho ou navegador (IP, modelo, sistema ou navegador, versão, um identificador do SDK, dados de falhas e, conforme a configuração, interações com o mapa) e a área do mapa que você vê | Sujeito à Política de Privacidade do Google |
| Geocodificador do sistema do aparelho (Apple no iOS; no Android, o serviço de geocodificação do sistema, normalmente o Google Play Services) | Ao marcar um ponto no mapa no app, o aparelho envia as coordenadas desse ponto ao serviço do sistema para sugerir um endereço. Não passa pelos nossos servidores. Não acessamos a sua localização e não pedimos essa permissão | Sujeito às políticas da Apple e do Google |
| Apple e Google (login) | Se você entrar com eles, eles confirmam sua identidade e nos enviam nome, e-mail e um identificador | Sujeito às políticas da Apple e do Google |
Cotações de moeda (Frankfurter, Banco Central Europeu; ExchangeRate-API, open.er-api.com) | Apenas códigos de moeda (por exemplo, EUR, BRL), uma vez por dia, pelo nosso servidor. Nenhum dado pessoal | "Rates By Exchange Rate API" |
| Transitous | Coordenadas de origem e destino de trechos, pelo nosso servidor, para estimar tempo de transporte público. Nenhum identificador seu |
4.4 Autoridades
Quando houver ordem judicial ou requisição de autoridade competente, nos termos da lei.
4.5 Mudança societária
Se a empresa for vendida ou reorganizada, os dados podem ser transferidos ao sucessor, que fica obrigado a esta Política.
5. Transferência internacional de dados
Guardamos seus dados no Brasil (São Paulo). Há três situações em que dados podem ser tratados fora do Brasil:
- "Importar roteiro". "Quando você usa 'Importar roteiro', só o texto colado é enviado à Anthropic, PBC, empresa dos Estados Unidos que oferece o modelo de IA Claude, para ser transformado num rascunho de viagem. O texto é processado em servidores da Anthropic nos Estados Unidos, não é usado para treinar modelos e é apagado pela Anthropic em até 30 dias (ou guardado por mais tempo só se for marcado por violar as regras de uso dela ou se a lei exigir). Se a Anthropic estiver fora do ar, o texto vai ao Amazon Bedrock, serviço de IA da Amazon Web Services, e pode ser processado por alguns segundos em servidores da AWS fora do Brasil, sem ser armazenado. Só o rascunho volta ao app, e nada é salvo sem a sua revisão."
- Atualizações do app (Expo, EUA), mapas do Google (SDK no app e Maps JavaScript API na web), busca de lugares do Google (quando ativada) e o geocodificador do sistema do aparelho: dados técnicos e IP (mapas e geocodificador), ou texto de busca sem identificação (busca). Nenhum dado de conta ou viagem.
- Cache da rede de entrega (CloudFront): cópias temporárias da página web e das fotos de capa, por até 1 hora, em servidores próximos de quem acessa a viagem.
6. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Conta (e-mail, nome, preferências, login) | Enquanto a conta existir. Apagada na hora em que você exclui a conta; o token da Apple é revogado |
| Comentários e votos | Até você apagá-los, sair da viagem ou excluir a conta. Comentários removidos por moderação somem na hora e são apagados de vez em 30 dias, salvo preservação legal |
| Cidades, ideias, trechos | Enquanto a viagem existir. Itens apagados podem ser restaurados por 7 dias e depois são apagados de vez. Se você excluir a conta, ficam na viagem sem o seu nome |
| Registros de dinheiro | Enquanto a viagem existir, porque os saldos dos outros dependem deles. Se você excluir a conta, os valores ficam e o seu nome é tratado conforme a decisão C-16 |
| Foto de capa | Até ser trocada ou removida, a viagem ser apagada ou a pessoa que enviou excluir a conta. Apagada na hora; cópias em cache somem em até 24 horas |
| Viagem apagada | Apagada na hora, com tudo o que contém. Fica apenas um aviso de "viagem apagada" com o primeiro nome de quem apagou, por 90 dias (apagado antes se essa pessoa excluir a conta) |
| Convidados pela web | Até o convidado apagar seus dados, a viagem ser apagada ou quem cuida dela o remover. O identificador no navegador expira em 90 dias |
| E-mail de convite | Até a pessoa aceitar ou recusar o convite, ou a viagem ser apagada |
| Registro de atividade da viagem | 90 dias |
| Denúncias | 6 meses após a decisão; depois apagamos quem denunciou, o texto e a cópia do conteúdo, e ficam só contagens. Mais tempo se houver ordem ou requisição legal de preservação |
| Bloqueios | Até serem desfeitos ou uma das contas ser excluída |
| Eventos de uso | 13 meses. Ao excluir a conta, o identificador da conta é removido dos eventos |
| Registros de acesso (IP, data, hora, identificação da conta, parte do serviço usada) | 6 meses (Marco Civil, art. 15), depois são apagados. Só nossos administradores têm acesso |
| Logs técnicos de erro | 14 dias |
| Texto do "Importar roteiro" | Não guardado pelos nossos servidores. No seu aparelho, até 24 horas. Na Anthropic: apagado em até 30 dias; se os sistemas de segurança dela marcarem o texto como violação das regras de uso, até 2 anos; mais tempo se a lei exigir. Na AWS (reserva): não guardado |
| Cópias de segurança (backup) | Dados apagados somem dos backups em até 7 dias |
| Pedido de exclusão | Guardamos que houve um pedido e quando foi atendido, sem e-mail ou identificador |
7. Seus direitos e como exercê-los
Pela LGPD (art. 18), você pode pedir: confirmação de que tratamos seus dados; acesso a eles; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos; portabilidade; informação sobre com quem compartilhamos; e revisão de decisões tomadas só por meios automatizados (a Ciranda não toma decisões desse tipo sobre você). Você também pode se opor a um tratamento baseado em legítimo interesse.
Como pedir:
- Excluir sua conta: no app, em Perfil → Excluir conta. É imediato. Sem o app: https://dmxtfdqks3mg6.cloudfront.net/excluir-conta, ou escreva para o contato do item 1 a partir do e-mail da conta; confirmamos que o e-mail é seu e excluímos em até 15 dias.
- Convidado pela web: "Apagar meus dados desta viagem", na tela do seu nome.
- Corrigir: seu nome e suas preferências podem ser alterados no app.
- Demais pedidos (acesso, cópia dos dados, portabilidade, oposição): escreva para o contato do item 1. Respondemos em até 15 dias.
- Pessoa que aparece numa foto, ou que não usa o app: pode pedir a remoção pelo mesmo contato.
Podemos pedir uma confirmação de identidade antes de atender. Os pedidos são gratuitos. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
O que fica depois de excluir a conta: registros de dinheiro de que outras pessoas precisam para fechar as contas (item 6), denúncias sobre você (6 meses), registros de acesso (6 meses, por lei) e backups (até 7 dias). PDFs que você compartilhou fora do app não podem ser apagados por nós.
8. Crianças e adolescentes
A Ciranda é para pessoas com 18 anos ou mais. Não coletamos dados de menores de propósito. Se soubermos que uma conta ou convidado é menor de idade, apagamos os dados. Se você souber de um caso, avise pelo contato do item 1.
9. Segurança
- Dados criptografados em trânsito (HTTPS) e em repouso nos serviços da AWS.
- Login sem senha (código por e-mail, Apple ou Google). No app, tokens guardados na área segura do aparelho. Na web, o token de renovação fica num cookie
HttpOnly, fora do alcance do código da página, e o token de acesso só na memória da aba. - Cada pedido ao servidor confere se você faz parte da viagem e qual é o seu papel. Convidados não recebem gastos nem e-mails.
- Fotos privadas, entregues por links temporários (1 hora). Gerar novo link da viagem corta o acesso antigo em até 1 hora.
- Limites de uso contra abuso. Chaves de serviços terceiros ficam no servidor, nunca no app.
- Acesso administrativo restrito aos fundadores.
Nenhum sistema é totalmente seguro. Se houver um incidente de segurança que possa causar risco ou dano relevante, avisaremos você e a ANPD, conforme a lei.
10. Cookies e armazenamento local
Não usamos cookies de publicidade, de rastreamento nem de estatística. As estatísticas de uso (item 2) são registradas pelo nosso servidor, sem cookies.
| O que | Onde | Para quê | Duração |
|---|---|---|---|
Cookie de sessão (HttpOnly, Secure, SameSite), com o token de renovação do login | Navegador, só no domínio da Ciranda | Manter você conectado(a) na versão web. Estritamente necessário: sem ele o login não funciona | Até 30 dias sem uso; termina ao sair; se você marcar "Este computador é compartilhado", termina ao fechar o navegador |
Identificador do convidado (localStorage) | Navegador | Lembrar quem votou ou comentou sem conta | Até 90 dias |
| Tokens de login e cópia da viagem | Área segura e armazenamento do app | Login e uso sem internet no app | Até sair ou excluir a conta |
A versão web não guarda dados da viagem no navegador depois que você sai. O mapa do Google, carregado na página, pode usar o armazenamento do navegador conforme a política do Google.
Por serem estritamente necessários, não pedimos consentimento para esses itens.
11. Encarregado (DPO) e contato
Contato para privacidade e para a ANPD: support@awayproof.com (provisório).
12. Mudanças nesta Política
Podemos atualizar esta Política. Se a mudança for relevante (por exemplo, um novo fornecedor que recebe dados pessoais, ou uma nova finalidade), avisamos no app ou por e-mail antes de ela valer, e a data no topo muda.