Política de Privacidade
Dados recolhidos
Email e credenciais (contrato); telefone, localização, avatar (consentimento); logs, IP e identificador de dispositivo (segurança e prevenção de fraude); posts e mensagens (KindLine); saldos internos (Wallet).
Direitos do titular (LGPD/GDPR)
Acesso (/identity/me), correcção (definições), eliminação (desactivar conta + purge após 30 dias), portabilidade (exportar JSON em Definições), revogação de consentimentos opcionais.
Retenção
Quanto tempo guardamos cada tipo de dado. Esta tabela é gerada a partir do inventário do sistema e verificada contra o código.
| Dado | Por quanto tempo |
|---|---|
| Conta e perfil | Enquanto a conta estiver activa. |
| Conta desactivada pelo titular | 30 dias Eliminada 30 dias depois da desactivação. |
| Registo não confirmado | 1 dia Eliminado 24 horas depois, se o código não for confirmado. |
| Registo das acções da equipa (dados de cidadãos, contas, privilégios, configuração, editorial e marketing) | 5 anos 5 anos (prova de quem acedeu a que dados). |
| Registo de auditoria das acções do cidadão | 90 dias 90 dias. |
| Resumos encadeados da auditoria (contagens e hashes, sem dados pessoais) | Sem prazo, em cópia externa com bloqueio de retenção (integridade da auditoria). |
| Sessões (IP, tipo de aparelho, localização aproximada, identificador de dispositivo) | 180 dias 180 dias. |
| Erros técnicos do browser (sem dados pessoais) | 30 dias 30 dias sem se repetirem. |
| Métricas de disponibilidade (SLO, sem dados pessoais) | 35 dias 35 dias. |
| Ficheiros enviados e nunca publicados | 7 dias 7 dias. |
| Conteúdo retirado pela moderação | 90 dias Entre 90 dias e 10 anos, conforme a regra configurada pela equipa (obrigação legal ou investigação). |
| Dados fiscais | Pelo prazo da obrigação legal. |
Quem trata dados por nossa conta (subcontratantes)
Empresas que tratam dados em nome da RepublicKey, só para o fim indicado:
| Empresa | Dados | Para quê |
|---|---|---|
| Railway | Todos os dados da plataforma (alojamento e base de dados) | Alojamento. |
| Cloudflare (R2, Stream, Turnstile) | Ficheiros e vídeos publicados; cópia dos resumos de auditoria; verificação anti-robô | Armazenamento, vídeo e segurança. |
| Email e identificador da conta Google, quando escolhe entrar com o Google | Entrar com o Google. | |
| Mercado Pago, Stripe, PayPal | Dados do pagamento e do vendedor ligado | Pagamentos no Market. |
| Mapbox | Pedidos do mapa (localização vista no mapa, dados técnicos do browser) e contagem de carregamentos do mapa | Mapas. |
| Resend | Email e conteúdo das mensagens enviadas | Envio de emails (códigos, avisos). |
DPO / contacto
Encarregado de protecção de dados: [email protected] (provisório). Notificação de incidentes à ANPD/CNPD em até 72h quando aplicável.
Fonte: KINDSPHERES_LEGAL_AND_SUPPORT.md (provisório). Advogado especializado deve rever antes do lançamento público.