Política de Privacidade

1. Quem é o responsável pelos dados

• Controlador: vsync (projeto mantido por pessoa física, sem CNPJ)
• Atendimento: serviço exclusivamente online, pelo e-mail de suporte
• Encarregado de dados (DPO): equipe do vsync
• Contato de privacidade: [email protected]

2. Quais dados tratamos

Tratamos apenas o necessário para o serviço funcionar. Os dados vêm de três fontes: o que você nos informa, o que é gerado pelo uso e o que recebemos de serviços que você conecta.

• Conta e perfil: nome de usuário, nome de exibição, e-mail (quando informado ou fornecido por Google/Discord), senha (guardada apenas como hash irreversível, nunca em texto), avatar, banner, biografia, usuário do X e do Instagram (se você preencher), música do perfil, temas e personalizações.
• Idade: o cadastro pede a data de nascimento apenas para verificar que você tem 13 anos ou mais; essa data não é guardada no nosso servidor.
• Mensagens e anexos: mensagens em servidores, mensagens diretas e grupos; arquivos, imagens e vídeos que você envia; reações, figurinhas, emojis personalizados e GIFs que você escolhe.
• Relações e comunidades: amigos, pedidos de amizade, solicitações de mensagem, bloqueios, servidores de que você participa, cargos, convites e ações de moderação.
• Presença e atividade: se você está online, status personalizado e, no aplicativo para computador, o jogo que está rodando e o histórico recente de jogos (veja a seção Presença e atividade).
• Dispositivo e sessão: endereço IP, tipo de aplicativo (site, computador ou Android), identificadores de sessão e registros de acesso, usados para segurança e para limitar abusos.
• Notificações: preferências de notificação e, no Android, o consentimento para exibi-las.
• Denúncias e moderação: denúncias que você faz ou recebe (motivo, descrição e identificação das partes), banimentos, silenciamentos, registros de auditoria de servidores e ações da equipe.
• Compras: itens, selos, presentes e assinatura Prisma associados à conta; identificador e situação do pagamento enviados pelo Mercado Pago. Não recebemos número de cartão nem dados bancários.
• Conexões opcionais: se você conectar Spotify, Steam ou outros serviços ao perfil, guardamos o identificador e as informações públicas necessárias para exibi-los.
• Contato: o que você escrever ao falar conosco.

Não pedimos nem tratamos intencionalmente dados pessoais sensíveis (como saúde, religião ou biometria). O que você escrever em mensagens é de sua responsabilidade e fica visível apenas para quem tem acesso à conversa.

3. Para que usamos os dados e em que base legal

• Prestar o serviço (criar a conta, entregar mensagens, conectar chamadas, mostrar perfis, processar compras): execução de contrato (LGPD, art. 7º, V).
• Segurança e prevenção a fraudes e abusos (limites de uso, bloqueio de IPs, anti-robô, investigação de denúncias): legítimo interesse e proteção da vida e da incolumidade física de terceiros (art. 7º, IX e VII), e cumprimento de obrigação legal (art. 7º, II).
• Moderação e segurança infantil: legítimo interesse, cumprimento de obrigação legal e regular exercício de direitos (art. 7º, II, VI e IX).
• Pagamentos e obrigações fiscais: execução de contrato e obrigação legal.
• Melhorar o serviço com estatísticas de uso agregadas e correção de erros: legítimo interesse.
• E-mails de novidades e ofertas: consentimento, que você pode retirar a qualquer momento. E-mails de segurança e de conta (verificação, redefinição de senha) não dependem desse consentimento.
• Cumprir ordens judiciais e requisições de autoridades: obrigação legal.

Não vendemos seus dados pessoais e não os usamos para perfilar você para publicidade de terceiros.

4. Mensagens e anexos

Mensagens de servidores e mensagens diretas ficam armazenadas para que você possa ler o histórico em qualquer aparelho. Elas são visíveis para quem participa do canal ou da conversa, e podem ser vistas por moderadores do servidor e, em caso de denúncia ou investigação de abuso, pela equipe do vsync.

Arquivos enviados ficam em um armazenamento privado na Cloudflare (R2). O bucket não é público: o acesso é feito por links assinados temporários, gerados só para quem tem permissão de ver a conversa. Os links de envio duram até 15 minutos e os de download, 5 minutos.

Envios iniciados e não concluídos são descartados após cerca de 1 hora, e arquivos enviados que nunca foram anexados a uma mensagem são removidos após cerca de 24 horas. Ao apagar uma mensagem, canal ou servidor, os anexos correspondentes são removidos do armazenamento.

As mensagens diretas e de grupo não têm criptografia de ponta a ponta: são protegidas em trânsito (HTTPS) e controladas por permissões de acesso.

5. Chamadas de voz, vídeo e compartilhamento de tela

O áudio, o vídeo e a tela que você transmite seguem diretamente de pessoa para pessoa por WebRTC, de forma criptografada. O vsync não grava nem armazena esse conteúdo.

Para estabelecer a conexão usamos servidores de descoberta (STUN) e, quando a conexão direta não é possível, servidores de retransmissão (TURN), que podem ser operados pela Cloudflare ou por nós. Eles retransmitem pacotes criptografados e veem o seu endereço IP e o dos participantes, mas não o conteúdo. A API entrega a configuração desses servidores (ICE) com credenciais temporárias.

Participantes de uma chamada podem ver o seu endereço IP pela própria natureza da conexão direta. Se isso for um problema, evite chamadas com pessoas desconhecidas.

Quem participa de uma chamada pode, por conta própria, gravar o que vê. Isso não é feito nem autorizado pelo vsync.

6. Presença e atividade

Mostramos aos seus amigos e aos servidores em que você está se você está online, ausente ou ocupado, além do status personalizado que você definir.

No aplicativo para computador, o vsync pode reconhecer o jogo que está aberto. Essa informação só é mostrada a outras pessoas se você ativar esse recurso nas configurações. O histórico recente de jogos (usado, por exemplo, para sugerir atividades no perfil) é mantido por até 30 dias.

7. Login com Google e Discord

Se você entrar com Google ou Discord, recebemos do provedor: o identificador da sua conta nele, o nome e a foto de perfil e o endereço de e-mail (quando ele o confirma). No Discord, a autorização também permite adicioná-lo ao servidor oficial do vsync, quando você aceita. Não recebemos a sua senha do Google ou do Discord.

Você pode desvincular o provedor e definir uma senha própria. Os provedores têm suas próprias políticas de privacidade.

8. Pagamentos

Compras (Prisma, loja, presentes) são processadas pelo Mercado Pago, por Pix ou outros meios que ele oferecer. O vsync envia ao Mercado Pago o e-mail da conta e o identificador do pedido e recebe de volta a confirmação e o status do pagamento. O vsync não recebe nem armazena número de cartão, CVV, chave Pix de pagador ou dados bancários. O tratamento dos dados de pagamento pelo Mercado Pago segue a política dele.

Guardamos o registro das compras para entregar os itens, atender reclamações e cumprir obrigações fiscais e de prevenção a fraudes.

9. Cookies, armazenamento local e estatísticas

• Armazenamento local do navegador/aplicativo: guardamos sua sessão de login (token), preferências de aparência, volume, dispositivos de áudio e vídeo, atalhos e rascunhos. É necessário para o funcionamento e não é usado para publicidade.
• Verificação anti-robô: em formulários como cadastro, login, recuperação de senha e reenvio da confirmação de e-mail usamos o Google reCAPTCHA (invisível), e em salas podemos usar o Cloudflare Turnstile; ambos analisam o navegador para distinguir pessoas de robôs e podem usar cookies próprios. Ao reCAPTCHA se aplicam a Política de Privacidade e os Termos de Serviço do Google.
• Estatísticas de uso: podemos usar o Umami, uma ferramenta de métricas focada em privacidade, para entender, de forma agregada, como o serviço é usado.
• GIFs: ao buscar GIFs, o termo de busca é enviado ao Giphy ou à Wikimedia Commons por meio do servidor do vsync; o seu endereço IP não é repassado por nós, mas ao exibir o GIF o seu navegador pode carregá-lo do provedor.

Você pode limpar o armazenamento local nas configurações do navegador; isso encerra a sessão e apaga as preferências locais.

10. Aplicativo Android: permissões

O aplicativo pede apenas as permissões abaixo, e você pode negá-las ou revogá-las nas configurações do Android (os recursos relacionados deixam de funcionar):

• Microfone: para falar em chamadas de voz e vídeo. O áudio não é gravado pelo vsync.
• Câmera: para a câmera em chamadas de vídeo e para tirar foto de perfil ou anexo, se você escolher.
• Notificações: para avisar de mensagens, menções e chamadas.
• Fotos, vídeos e arquivos: não pedimos acesso geral à galeria. Você escolhe os arquivos pelo seletor de fotos e de arquivos do próprio Android, e o app só recebe os itens que você selecionar.
• Compartilhamento de tela: só funciona quando você inicia a transmissão, e o Android mostra um aviso na tela enquanto ela acontece.
• Serviço em primeiro plano (microfone, câmera e captura de tela): mantém a chamada ativa com o aplicativo em segundo plano; aparece uma notificação enquanto estiver em uso.
• Internet, estado da rede, Bluetooth e configurações de áudio: para conectar, detectar a rede e usar fones Bluetooth.

O aplicativo não usa localização precisa, contatos, SMS, nem identificador de publicidade.

11. Com quem compartilhamos dados

Compartilhamos dados apenas nos casos abaixo:

• Outras pessoas, conforme você usa o serviço: seu perfil, mensagens, presença e atividade ficam visíveis a quem você escolhe ou a quem tem acesso à conversa, ao servidor ou ao perfil público.
• Prestadores de serviço (operadores): hospedagem e banco de dados; Cloudflare (armazenamento R2 de anexos, retransmissão TURN e anti-robô Turnstile); Google (reCAPTCHA anti-robô nas telas de conta); provedor de envio de e-mail (SMTP) para mensagens de conta (confirmação de e-mail, recuperação de senha); Mercado Pago (pagamentos); Giphy e Wikimedia Commons (busca de GIFs); Umami (estatísticas), quando ativo. Eles só podem tratar os dados para nos prestar o serviço.
• Login externo: Google e Discord, quando você os usa para entrar.
• Autoridades: quando exigido por lei ou ordem judicial, para proteger crianças e adolescentes, ou para apurar crimes (inclusive denúncias a órgãos como a SaferNet Brasil e o NCMEC, em casos de exploração sexual infantil).
• Reorganização societária: se o serviço for transferido, os dados acompanham o serviço com as mesmas garantias desta política.

Não vendemos dados pessoais.

12. Transferência internacional

Alguns prestadores (como Cloudflare, Giphy, Google e Discord) operam fora do Brasil, e seus dados podem ser tratados em outros países. Nesses casos, adotamos prestadores que oferecem garantias compatíveis com a LGPD (art. 33), como cláusulas contratuais e políticas de proteção de dados, e compartilhamos só o necessário.

13. Por quanto tempo guardamos os dados

• Conta e perfil: enquanto a conta existir. Ao excluí-la, os dados são removidos ou anonimizados (veja Excluir conta e dados).
• Mensagens: enquanto a conversa, o canal ou o servidor existir, ou até serem apagadas. Mensagens de contas excluídas permanecem na conversa, mostrando "Usuário removido", sem vínculo com a pessoa.
• Anexos: até a mensagem, canal ou servidor ser apagado, ou a conta do autor ser excluída; envios incompletos e arquivos sem mensagem são limpos em horas (seção Mensagens e anexos).
• Histórico de jogos: até 30 dias.
• Registro de auditoria dos servidores: até 45 dias (ou 1.000 entradas por servidor).
• Endereços IP e registros de segurança: enquanto necessários para segurança e prevenção a abusos, e removidos quando a conta é excluída; limites de uso em memória duram apenas minutos ou horas.
• Denúncias e decisões de moderação: pelo tempo necessário para proteger a comunidade e exercer direitos. Conteúdo de exploração sexual infantil e seus registros são preservados pelo prazo exigido pela lei e entregues às autoridades.
• Compras e dados fiscais: pelos prazos legais (em regra, até 5 anos).
• Backups: podem conter dados já excluídos por um período limitado, até serem substituídos no ciclo normal.

Podemos guardar dados por mais tempo quando a lei exigir, para cumprir ordem judicial ou para defesa em processos.

14. Seus direitos

A LGPD (art. 18) garante a você, a qualquer momento e gratuitamente:

• confirmar que tratamos seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados (grande parte você edita direto no perfil);
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
• pedir a portabilidade dos seus dados;
• pedir a eliminação dos dados tratados com base no seu consentimento;
• saber com quem compartilhamos seus dados;
• ser informado sobre a possibilidade de não consentir e suas consequências, e revogar o consentimento;
• opor-se a tratamento feito com base em legítimo interesse;
• pedir revisão de decisões tomadas apenas por tratamento automatizado;
• reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Para exercer qualquer direito, escreva para [email protected] pelo e-mail ou pela conta cadastrada, para podermos confirmar que é você. Respondemos em até 15 dias. Para excluir sua conta, veja Excluir conta e dados (a exclusão é concluída em até 30 dias).

15. Como protegemos os dados

• tráfego protegido por HTTPS;
• senhas guardadas apenas como hash; sessões com token que pode ser invalidado;
• armazenamento privado de arquivos com links temporários assinados;
• controle de permissões em servidores, canais e conversas;
• limites de uso, bloqueio de abusos e verificação anti-robô;
• acesso restrito da equipe, com registro das ações administrativas.

Nenhum sistema é totalmente seguro. Se ocorrer um incidente que possa causar risco ou dano relevante, comunicaremos você e a ANPD, conforme a LGPD.

16. Crianças e adolescentes

O vsync não é direcionado a menores de 13 anos e não permite o cadastro deles. Se soubermos que uma conta pertence a alguém abaixo dessa idade, a excluiremos. Se você é responsável por uma criança e acredita que ela criou conta, escreva para [email protected].

Adolescentes de 13 a 17 anos devem usar o serviço com o conhecimento dos responsáveis, e o tratamento dos dados deles observa o melhor interesse do adolescente (LGPD, art. 14, e Estatuto da Criança e do Adolescente). Veja os Padrões de segurança infantil.

17. Mudanças nesta política

Podemos atualizar esta política. A versão atual fica sempre nesta página, com a data no topo. Se a mudança for relevante, avisaremos pelo serviço ou por e-mail antes de ela valer.

18. Contato

Dúvidas, pedidos ou reclamações sobre privacidade: [email protected]. Encarregado de dados: equipe do vsync.

Veja também os Termos de Serviço.