Política de Privacidade
Aplicativo: Conto pra Criança para Android (com.contopracrianca). Versão: 1.0 — minuta de 29/10/2026. Vigência: a definir após aprovação e publicação. URL planejada: https://contopracrianca.com/privacidade.html (ainda inativa).
Resumo
- A conta e as compras são destinadas ao adulto responsável. Crianças podem acompanhar a leitura, mas o app não cria conta ou perfil infantil nem pede nome, idade exata, foto ou localização da criança.
- Ao entrar com Google, o serviço recebe o identificador Google, o e-mail e, se disponível, o nome. Favoritos, posição de leitura, avaliações e estado de assinatura podem ficar associados à conta do adulto.
- Para validar uma compra, o serviço recebe um token e informações da assinatura da Google Play. Dados completos de cartão são tratados pela loja.
- Métricas são agregadas por história, dia, tipo de evento, tela e posição. O app atual não integra SDK de anúncios ou analytics de terceiros.
- Google é usado para autenticação e compras, e Gmail recebe mensagens de suporte/privacidade. Railway está planejada para API, PostgreSQL, arquivos e backups; a região proposta é US East (Virgínia), ainda não confirmada em produção.
- O adulto pode exercer seus direitos pelo canal de privacidade e excluir a conta na Área do Responsável. Excluir a conta não cancela uma assinatura da Google Play.
1. Escopo e público
O Conto pra Criança oferece histórias para leitura compartilhada, com conteúdo editorial pensado inicialmente para crianças de 3 a 6 anos. Pais e responsáveis conduzem o app, a conta, as escolhas de privacidade e qualquer compra. Crianças podem acompanhar a leitura, mas não precisam operar o app ou criar uma conta.
Público pretendido no Google Play: somente adultos, com seleção planejada de 18 anos ou mais para pais e responsáveis. Essa declaração deve corresponder ao uso e à apresentação reais do app; por si só, não resolve a avaliação de acesso provável por crianças e adolescentes prevista no ECA Digital.
Esta política cobre o app Android, suas APIs e os recursos associados à conta e à leitura. O site institucional estático não oferece login, leitura, pagamentos, formulários de perfil, cookies próprios ou analytics de terceiros. O provedor de hospedagem do site e seus registros técnicos ainda precisam ser confirmados.
2. Controlador e contato
Controlador: Juan Carlo Fernandes Ribas Ribeiro de Morais, pessoa física responsável pela operação do app.
Canal de privacidade confirmado pelo responsável pelo app: contopracrianca@gmail.com.
Encarregado: dispensa em avaliação preliminar. A ANPD inclui pessoas naturais no conceito de agente de tratamento de pequeno porte e permite a dispensa de encarregado a quem efetivamente se enquadrar; é necessário confirmar receita/limites, inexistência de grupo econômico acima do limite e ausência de tratamento de alto risco. O canal de titulares permanece ativo independentemente da dispensa.
A LGPD permite que o controlador seja pessoa natural ou jurídica e exige identificação e contato. O controlador foi identificado como pessoa física; não há CNPJ informado para o projeto e nenhum foi inventado. A análise preliminar indica que a dispensa pode ser aplicável se forem confirmados os critérios da ANPD sobre risco, receita e grupo econômico. Não declarar a dispensa na política pública antes dessas confirmações.
3. Dados, finalidades e bases legais em avaliação
| Dados | Finalidade e tratamento | Base proposta |
|---|---|---|
| Conta adulta: identificador da conta Google, e-mail, nome quando fornecido, identificador interno e datas da conta. | O adulto fornece esses dados ao entrar com Google. Usamos para autenticar, manter a conta, proteger o acesso e atender pedidos. O token de identidade Google é validado pelo servidor e não fica guardado como credencial da conta. | Execução do serviço solicitado (art. 7º, V, LGPD). |
| Leitura associada à conta: favoritos, história/edição/página da posição de leitura e avaliação de 1 a 5 estrelas. Comentário opcional de até 1.000 caracteres aparece para notas de 1 a 3. | Sincronizar favoritos e progresso e receber opinião voluntária do adulto. A avaliação pode ser alterada ou retirada. O comentário deve falar da história; não inclua nomes nem informações de crianças. | Execução de contrato ou funcionalidade solicitada (art. 7º, V, LGPD). |
| Assinatura Google Play: ID da conta, token de compra (cifrado e também em hash), produto, estado, período de acesso, renovação, confirmação e data da última verificação. | O app envia ao backend o token recebido da loja, que consulta a Google Play para validar, restaurar e manter o acesso. O app não recebe nem armazena os dados completos do cartão. | Execução do contrato da assinatura (art. 7º, V, LGPD); eventual retenção legal adicional precisa ser avaliada por tipo documental. |
| Métricas: ID aleatório do evento, história, tipo, tela, posição e dia. Os eventos incluem exposição de capa, abertura, início, conclusão ou reinício de leitura e inclusão/remoção de favorito. | Formar contagens agregadas para avaliar o catálogo e orientar curadoria humana. A tabela não guarda conta, e-mail, dispositivo ou sessão. Recibos de deduplicação duram 24 horas. O UUID da conta é usado temporariamente em memória para limitar abuso; o cache atual expira após 2 minutos sem atividade. | Execução do serviço (art. 7º, V, LGPD), sujeita a validação da finalidade e minimização. |
| Endereço IP recebido em chamadas de autenticação e exclusão. | O limitador de tentativas usa o IP temporariamente em cache de memória, que expira após 2 minutos sem atividade. Não criamos identificador persistente de dispositivo. Registros do provedor de infraestrutura precisam ser auditados. | Base e prazo de registros técnicos precisam de validação antes da publicação. |
| Desafios e exclusão: hash de nonce temporário e, para exclusão, protocolo aleatório, UUID antigo da conta, estado, datas, tentativas e código técnico de erro. | Impedir repetição de provas e acompanhar uma exclusão sem manter nome, e-mail ou identificador Google no comprovante mínimo. Nonces expiram após 5 minutos; comprovantes concluídos têm expurgo configurado de até 45 dias. | Execução da solicitação e segurança do serviço; base e duração do comprovante exigem revisão jurídica. |
| Uso visitante: posição de até três histórias. | Fica na memória do processo Android para continuar a leitura durante o uso. Não é enviada ao servidor nem associada a uma conta; pode desaparecer ao encerrar o app. | Não há conta ou sincronização nesta função. |
| Mensagem enviada pelo adulto ao suporte: endereço de e-mail e conteúdo enviado. | Usados para responder à solicitação. Gmail recebe e armazena a mensagem. Evite enviar senhas, códigos, dados completos de cartão ou informações pessoais de crianças. | Depende do pedido; confirmar a base aplicável ao atendimento. |
As bases acima são propostas técnicas, não parecer jurídico. O controlador deve confirmá-las antes da publicação. O serviço não solicita dados sensíveis, contatos, localização, gravações de voz, câmera ou microfone nem usa ID de publicidade para rastreamento. A autenticação local do aparelho (biometria, PIN, padrão ou senha) é validada pelo Android; o app recebe somente o resultado, não os dados biométricos ou o segredo do aparelho.
4. Como coletamos e tratamos
Os dados são fornecidos pelo adulto ao entrar com Google, usar recursos da conta, avaliar uma história, contratar/restaurar uma assinatura ou enviar mensagem ao suporte. O Google fornece dados de autenticação; a Google Play fornece os dados necessários à validação da compra.
O access token da API fica em memória. O refresh token fica no armazenamento seguro do Android até o logout ou a expiração; sair remove-o deste aparelho. Sessões e tokens da API não são persistidos no servidor. Uma autorização temporária para concluir uma história Premium aberta fica em memória e expira em até duas horas.
Dados de conta, leitura, avaliação e assinatura são armazenados pelo backend e banco do serviço. Railway está planejada para hospedar a API, o PostgreSQL, arquivos e backups, mas a implantação, a região US East (Virgínia), os backups, os logs, os controles ativos e os subprocessadores ainda precisam ser confirmados em produção e nos contratos. O token de compra é cifrado com AES-GCM no backend. A transmissão de produção deve usar HTTPS; domínio, certificado e implantação final precisam de verificação.
5. Com quem compartilhamos
| Destinatário | Finalidade e dados | Responsabilidade / pendências |
|---|---|---|
| Google Identity / Google | Login e validação da identidade; o serviço recebe identificador Google, e-mail e nome quando disponível. Gmail recebe mensagens enviadas pelo titular ao canal de suporte/privacidade. | O Google opera identidade e e-mail segundo seus próprios termos. O app não pede acesso ao Gmail nem a outros dados da conta; o Gmail é usado apenas como caixa de contato do controlador. Política de Privacidade do Google. |
| Google Play e APIs de desenvolvedor Google | Compra, produto e estado da assinatura para pagamento na loja e validação/restauração do direito no app. Notificações técnicas podem usar Google Pub/Sub. | A Google Play processa dados de cobrança; o app recebe os dados necessários à validação e não processa o número completo do cartão. |
| Railway Corporation (planejada) | API, PostgreSQL, armazenamento de capas/ilustrações e backups, se esses serviços forem implantados e usados. | A minuta propõe US East (Virgínia, EUA). Confirmar serviços contratados, região, logs, backups, subprocessadores e salvaguardas; não descrever planos como ativos. |
| Hospedagem do site, CDN/entrega de imagens e observabilidade | Registros técnicos e entrega de páginas ou conteúdo, se houver fornecedores separados da Railway. | [PENDENTE: verificar ambiente real, fornecedores, finalidades, país/região e prazos.] |
| Provedor de e-mail | Não há envio promocional ativo na configuração atual (EMAIL_ENABLED=false). | Se ativado, ofertas dependerão de escolha explícita do adulto. O provedor precisa ser identificado e a política atualizada antes de habilitar os envios. |
| Autoridades públicas | Dados estritamente necessários para cumprir obrigação ou ordem válida. | Compartilhamento restrito à finalidade legal aplicável. |
Não vendemos dados pessoais, não veiculamos anúncios comportamentais e o app atual não integra SDK de anúncios ou analytics de terceiros. Prestadores contratados devem tratar dados conforme instruções do controlador e medidas acordadas. A identidade dos operadores e os contratos precisam ser confirmados.
6. Transferências internacionais
Serviços Google podem processar dados em outros países conforme a infraestrutura e os termos aplicáveis. Railway é o fornecedor planejado para backend, PostgreSQL, arquivos e backups, com região proposta US East (Virgínia, EUA), ainda não confirmada. A localização efetiva, subprocessadores e mecanismo jurídico de transferência precisam ser verificados na configuração e nos documentos contratuais antes da publicação. Este item bloqueia a aprovação para publicação.
7. Conservação e exclusão
| Dados | Prazo e descarte |
|---|---|
| Conta, identidade Google, favoritos, progresso, preferências e avaliações | Enquanto a conta estiver ativa ou até a retirada de dado opcional. Pedido válido bloqueia acesso imediatamente; a limpeza operacional tem prazo-alvo configurado de até 7 dias. |
| Token e estado da assinatura | Enquanto necessários para verificar o acesso da conta. A exclusão remove o vínculo e os dados locais da compra. A Google Play pode manter registros próprios conforme suas regras. |
| Contadores agregados de métricas | O código atual não define expurgo. A minuta anexada propõe revisão ou descarte em até 24 meses, mas esse prazo ainda precisa ser aprovado e implementado antes de ser prometido. |
| Recibo aleatório de métrica | Até 24 horas para deduplicação; depois, expurgo automático. |
| Chaves temporárias e logs técnicos | Chaves por IP/conta: até 2 minutos sem atividade conforme o cache atual. A retenção dos logs depende da configuração real; a minuta cita 7 dias como exemplo de plano Railway, não como prazo confirmado. |
| Nonce de login | 5 minutos; guardado como hash e consumido uma única vez. |
| Comprovante mínimo de exclusão | Até 45 dias após o pedido para cobrir a recuperação de cópias; sem nome, e-mail ou identificador Google. Pedidos pendentes são mantidos somente até conclusão e exigem acompanhamento. |
| Backup e journal de exclusão | O projeto prevê backup de até 30 dias e comprovante de até 45 dias, mas infraestrutura e TTL real não foram confirmados. Não prometer estes prazos antes da verificação operacional. |
| Mensagens de suporte recebidas no Gmail | A minuta propõe até 12 meses após o atendimento. Não há exclusão automática confirmada; aprovar prazo e configurar o tratamento antes de declará-lo como prática vigente. |
| Credencial de renovação no aparelho | Até logout, remoção dos dados do app ou expiração do token (30 dias). Sair remove a credencial do armazenamento seguro. |
A exclusão pode ser iniciada em Área do Responsável → Conta → Excluir conta. Ela encerra o acesso e remove os dados associados conforme o fluxo acima, mas não cancela uma assinatura nem solicita reembolso à Google Play. O adulto deve administrar ou cancelar a assinatura diretamente na loja.
8. Crianças e adolescentes
O produto é pensado para o adulto contar histórias a uma criança, que pode acompanhar e interagir com a leitura. Não criamos conta ou perfil infantil e não pedimos nome, idade exata, fotografia, localização, voz ou outros dados da criança. As métricas dizem respeito a histórias e telas, não a perfil infantil.
Avaliações e mensagens devem ser escritas pelo adulto e não devem incluir nomes ou outros dados de crianças. Se informações pessoais de uma criança forem enviadas por engano, contate o canal de privacidade para avaliarmos a remoção. O público pretendido no Google Play é 18+ para responsáveis, mas essa escolha não determina sozinha a aplicação do ECA Digital: a ANPD orienta avaliar as características reais do serviço, a atratividade e probabilidade de uso por menores, facilidade de acesso e riscos relevantes. Antes da publicação, confirmar a configuração de público e a avaliação da Lei nº 15.211/2025, da LGPD e das políticas de público/famílias da Google Play.
9. Cookies, anúncios e dispositivo
O app nativo não usa cookies próprios, SDK de publicidade ou analytics de terceiros. Usa o armazenamento seguro do Android para a credencial de renovação e autenticação local do sistema para proteger a Área do Responsável. Não acessa localização, contatos, câmera ou microfone. O site estático não tem login ou analytics de terceiros; os registros técnicos do provedor de hospedagem precisam ser confirmados.
10. Segurança
As medidas implementadas incluem autenticação Google da conta adulta, tokens assinados com escopo e prazo, armazenamento seguro local da credencial de renovação, limitação temporária de tentativas e criptografia AES-GCM do token de compra no backend. A configuração de produção deve proteger transmissões com HTTPS e restringir acesso a banco, segredos e registros. A revisão operacional precisa confirmar essas medidas e fornecedores antes da publicação.
11. Direitos do titular
O adulto pode solicitar confirmação do tratamento e acesso aos dados, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação quando cabível, portabilidade, informação sobre compartilhamentos, informação sobre possibilidade e consequências de não consentir e revogação de consentimento, conforme o art. 18 da LGPD e as regras aplicáveis.
Para fazer um pedido, escreva para contopracrianca@gmail.com ou use a opção de exclusão na Área do Responsável. Podemos pedir informações proporcionais para verificar a identidade antes de revelar ou alterar dados da conta. Não envie senha, código de autenticação, dados completos de cartão ou dados de crianças.
12. Alterações e histórico
Esta política será atualizada quando houver mudança material em dados, finalidades, bases legais, compartilhamentos, transferências ou prazos. A versão vigente ficará em endereço público estável e será indicada no app. Mudanças materiais serão comunicadas por meios adequados ao relacionamento com o adulto titular.
Histórico: v1.0 — minuta de 29/10/2026, baseada no código e documentação atuais. Publicação depende de completar identificação e fornecedores, validar bases e retenções e obter revisão jurídica.