Política de Privacidade do app

Resumo

Suas fotos e vídeos ficam criptografados e armazenados na União Europeia, e são descriptografados no seu próprio aparelho quando você os vê no app. A única exceção: quando você baixa uma cópia, nossos servidores na UE descriptografam cada arquivo durante o envio (seção 12).
Só quem está num círculo seu vê o que você compartilha com aquele círculo. Não existe feed público.
Os dados de localização são removidos de toda foto e vídeo antes de qualquer pessoa ver.
Nunca vendemos seus dados, nunca usamos para anúncios e nunca usamos para treinar modelos de IA.
Ao excluir sua conta, suas memórias são apagadas em definitivo depois de 30 dias de carência.
Se você tem conta própria, pedimos um e-mail só para avisos da conta. Depois de cadastrado, ele pode ser trocado, mas não removido. Ele nunca serve para entrar no app e nunca recebe marketing sem o seu consentimento à parte. Convidados nunca precisam informar e-mail.
Se você tem conta própria, pode baixar cópias em qualidade total das fotos e vídeos das suas memórias. O link vai só para o seu e-mail verificado, para abrir é preciso um código enviado ao seu celular, e nossos servidores na UE descriptografam os arquivos só durante o envio (seção 12).
Quem tem conta própria também recebe algumas dicas opcionais por e-mail e, de vez em quando, um lembrete para postar. Dá para desligar os dois, e nunca rastreamos se você abriu um e-mail, nem quem abriu ou viu uma memória.

1. Quem somos

O pouchie é operado pela JR Moreno Ltda ME ("pouchie", "nós"), em São Paulo, Brasil. Somos a controladora dos dados tratados no app, nos termos da LGPD (Lei 13.709/2018) e, quando aplicável, do GDPR. Nosso encarregado (DPO) é Gustavo Henrique Moreno, pelo e-mail [email protected].

2. A quem se aplica

A quem usa o app pouchie. Não cobre o site pouchie.app, que não guarda dados de produto e tem política própria. O uso do app também é regido pelos nossos termos.

3. Quais dados tratamos

Cadastro: seu número de telefone, o nome que você informa e o idioma do seu aparelho.
E-mail (só para quem tem conta própria): se você tem conta própria (em período de teste ou com assinatura), o e-mail é obrigatório, e confirmamos que ele é seu enviando um código para esse endereço. Convidados, as pessoas adicionadas a um círculo pelo telefone, nunca precisam informar e-mail. Se um convidado passar a ter assinatura própria, aí pedimos. Com um e-mail já cadastrado na conta, você pode trocar o endereço no app, mas não pode removê-lo.
Autenticação e segurança: os códigos de acesso (guardados com hash, HMAC-SHA256), o vínculo com o seu dispositivo, endereço IP e um identificador do aparelho (proteção contra abuso e diagnóstico), além de registros de acesso do tipo append-only.
O que você cria: as fotos e vídeos que você envia, legendas, comentários, reações e a forma como você organiza tudo em memórias, momentos e círculos.
Operação técnica: carimbos de tempo, dados de erro e falha (via Sentry) e métricas de uso estritamente operacionais.

Não coletamos sua localização. Fotos e vídeos costumam carregar coordenadas de GPS nos metadados; nós removemos esses metadados no processamento, antes que qualquer outra pessoa consiga ver o arquivo.

4. Para que usamos e com qual base legal

Criar e manter sua conta e prestar o serviço: execução de contrato.
Entregar suas fotos e vídeos às pessoas dos círculos que você escolheu: execução de contrato.
Mandar e-mails sobre a sua conta para quem tem conta própria (fim do período de teste, mudanças no seu acesso, exclusão de dados) e enviar o link da exportação de dados que você pedir: execução de contrato (LGPD, art. 7º, V; GDPR, art. 6(1)(b)).
Mandar por e-mail os avisos legais e de segurança que somos obrigados a enviar: cumprimento de obrigação legal (LGPD, art. 7º, II; GDPR, art. 6(1)(c)).
Mandar a quem tem conta própria algumas dicas opcionais por e-mail durante o período de teste, e lembretes ocasionais no app, para ajudar você a começar a usar o serviço que contratou: legítimo interesse (LGPD, art. 7º, IX; GDPR, art. 6(1)(f)). Você pode desligar qualquer um deles quando quiser (seção 5).
Contar, só em totais, quais das nossas mensagens levaram a uma assinatura: legítimo interesse (seção 5).
Enviar o código de acesso e proteger contra abuso e fraude: legítimo interesse (segurança).
Diagnosticar e corrigir falhas, via Sentry: legítimo interesse.
Cumprir obrigações legais, como a guarda de registros: obrigação legal.

Seu e-mail nunca é usado para entrar no app nem para recuperar a conta (isso é sempre pelo seu número de telefone). Fora as dicas opcionais da seção 5, que falam só de como começar a usar o pouchie e param com um clique, nunca mandamos e-mail de marketing sem o seu consentimento específico, dado à parte. Os recibos de pagamento vêm da App Store ou do Google Play, não de nós.

5. E-mails e lembretes que enviamos para você

Se você tem conta própria (em período de teste ou com assinatura), o pouchie pode falar com você das formas abaixo, além das notificações que você escolheu para as suas memórias. Convidados, as pessoas adicionadas a um círculo, não recebem nada disso, com uma exceção: se a sua conta virou conta de convidado enquanto memórias suas ainda estavam a caminho da exclusão (seção 9), você continua recebendo os avisos da conta sobre essas memórias.

Avisos da conta (sempre enviados)

E-mails sobre o seu plano e os seus dados: alguns dias antes do fim do período de teste, quando a conta passa a ser só de leitura, antes de a família deixar de ver as memórias e antes de qualquer coisa ser apagada. São mensagens do serviço, então continuam chegando mesmo se você parar de receber as dicas. Alguns deles (o último dia do teste, o fim do acesso da família e o aviso final antes da exclusão) também chegam como notificação no app. Esses chegam sempre que as suas notificações estão ligadas, mesmo com os lembretes desligados; se a notificação do último dia do teste não conseguir chegar até você, mandamos esse aviso por e-mail.

Dicas por e-mail (opcionais)

No máximo três e-mails durante o período de teste: as boas-vindas quando você confirma o seu e-mail, uma sugestão de próximo passo lá pelo terceiro dia, se você ainda não postou nem adicionou a família, e um recado lá pelo sétimo dia contando como vão as coisas (quantos momentos você compartilhou, quantas pessoas adicionou e quantas reações e comentários elas deixaram; visualizações, nunca). Todos têm, no rodapé, um link para parar de receber as dicas, que funciona com um clique. Parar as dicas não interrompe os avisos da conta.

Lembretes para postar (opcionais)

Notificações de vez em quando, para animar você a compartilhar: quando uma memória nova ainda não tem momentos, quando você já postou mas ainda não adicionou a família, quando a família reagiu ou comentou e você não compartilhou nada desde então, e o "neste dia", quando uma memória tem momentos da mesma data em anos anteriores. Eles seguem a frequência de notificações e o horário de silêncio que você escolheu. Chegam no máximo duas vezes por semana, nunca nos dois dias seguintes a uma postagem sua e nunca enquanto a conta estiver só de leitura. Depois de dois lembretes sem resposta, aquela memória fica em silêncio até você postar nela de novo.

Um único botão desliga todos: Ajustes → Notificações → Lembretes para postar. Se a sua versão do app ainda não mostra esse botão, atualize o app; até lá, desligar as notificações também desliga os lembretes.

Links nos nossos e-mails e notificações

Os links das nossas mensagens abrem o app pouchie na tela certa (no caso de uma memória, o link leva o identificador interno dela, que não significa nada fora do app). Cada link leva também uma única etiqueta com o nome da mensagem de onde veio, por exemplo source=email_trial_ending. A etiqueta nunca diz nada sobre você: nem nome, nem telefone, nem e-mail, nem número de conta. Se você assinar depois de tocar num desses links, anotamos de qual mensagem ele veio junto com a assinatura, e só olhamos para isso em totais (quantas assinaturas cada mensagem trouxe). A etiqueta é nossa: nenhuma outra empresa recebe. Se o app não estiver instalado, o link abre uma página simples no pouchie.app que não mostra nada da sua conta e não lê a etiqueta.

O que nunca rastreamos

Nunca rastreamos se você abriu um e-mail: nossos e-mails não têm pixel de rastreamento nem imagens externas, e o rastreamento de aberturas e de cliques fica desligado na Postmark, a empresa que faz o envio. Tocar num link, por si só, não registra nada. O único rastro que um link pode deixar é a anotação descrita acima, e só se você assinar depois. E o pouchie nunca rastreia quem abriu ou viu uma memória ou um momento. A única atividade que as nossas mensagens mencionam são reações e comentários, que a sua família escolheu deixar.

6. Como protegemos

A mídia fica criptografada em repouso, armazenada e processada na União Europeia.
Cada arquivo tem sua própria chave, custodiada no AWS KMS (região da UE), e é descriptografado no seu aparelho; a rede de entrega só vê texto cifrado. A exceção é a exportação de dados que você pede: nesse caso, nossos servidores na UE descriptografam os arquivos enquanto enviam para você (seção 12).
Os metadados EXIF e de GPS são removidos das fotos e vídeos antes de qualquer visualização.
A captura de tela é bloqueada nas telas de mídia (veja a ressalva abaixo).
Códigos e tokens são guardados com hash; os registros de acesso são append-only.

Uma ressalva honesta: isto é proteção forte e residência de dados na UE, não criptografia de conhecimento zero. A pouchie, através do seu serviço de chaves, continua tecnicamente capaz de descriptografar sua mídia. Preferimos dizer isso a prometer demais. E nenhuma medida técnica é infalível: quem você já deixou ver um momento sempre pode fotografar a própria tela com outro aparelho. Escolha com cuidado quem entra nos seus círculos.

7. Com quem compartilhamos

Com as pessoas dos seus círculos. É exatamente o propósito do app. Você controla quais círculos veem cada memória; ninguém fora deles vê.
Com fornecedores que operam nossa infraestrutura sob nossas instruções: Twilio (envio do código de acesso), Postmark (envio dos e-mails da conta para quem tem conta própria, com as dicas opcionais num canal de envio separado), Cloudflare (armazenamento e entrega), Heroku (hospedagem da aplicação), AWS (gestão de chaves) e Sentry (relatórios de falha). Todos sob contrato de tratamento de dados.

Nunca vendemos seus dados, nunca os usamos para anúncios e nunca os usamos para treinar modelos de IA, nem nossos, nem de terceiros.

8. Transferência internacional

Seus dados são armazenados e processados na União Europeia. Alguns fornecedores têm sede fora da UE; quando há transferência, ela se apoia em cláusulas contratuais padrão (SCCs) e salvaguardas equivalentes. O principal exemplo é o e-mail da conta: seu endereço e as mensagens que enviamos são processados pela Postmark, nos Estados Unidos, com base nessas cláusulas. Suas fotos e vídeos nunca passam pelo nosso provedor de e-mail.

9. Por quanto tempo guardamos

Enquanto sua conta estiver ativa.
Seu e-mail fica guardado até você excluir a conta e é apagado na hora da exclusão, sem esperar os 30 dias de carência. Você pode trocar o endereço no app quando quiser, mas, depois de cadastrado, ele não pode ser removido, só substituído por outro.
Ao excluir sua conta, as memórias que você mantém ficam excluídas de forma reversível por 30 dias (uma carência em que dá para restaurar) e depois são eliminadas em definitivo.
Se o seu período de teste ou a sua assinatura acabar enquanto você estiver no círculo de outra família, sua conta passa a ser uma conta de convidado, e você continua vendo o que essa família compartilha com você. Nunca excluímos a sua conta por causa disso. As memórias da sua própria conta seguem o mesmo caminho de quando qualquer plano acaba: primeiro ficam só de leitura, depois só você consegue vê-las e, por fim, são apagadas. Seu nome, seu telefone e seu e-mail continuam na conta até você excluí-la.
A exportação de dados nunca fica guardada como arquivo: ela é montada enquanto você baixa (seção 12).
Registros de segurança e dados exigidos por lei ficam pelo prazo legal aplicável.

10. Crianças nas fotos

O pouchie foi feito para adultos compartilharem, de forma privada, imagens da própria família, e essas imagens muitas vezes mostram crianças. As crianças não criam conta e não usam o app: quem tem a conta é um adulto, e o compartilhamento acontece dentro de um círculo fechado que esse adulto escolheu.

A LGPD dá proteção especial aos dados de crianças e adolescentes, no melhor interesse da criança, e o ECA e o ECA Digital (Lei 15.211/2025, em vigor desde 17/03/2026) reforçam o direito da criança à privacidade. Ao compartilhar imagens de uma criança, você declara ter autoridade parental ou legitimidade equivalente para isso, e é responsável por esse compartilhamento.

11. Seus direitos

Pela LGPD (art. 18) e, quando aplicável, pelo GDPR, você pode: confirmar e acessar os dados que temos sobre você; corrigi-los; pedir a exclusão ou anonimização; obter uma cópia portável; revogar consentimento; e saber com quem compartilhamos.

Se você tem conta própria, pode baixar uma cópia das suas fotos e vídeos você mesmo, pelo app (seção 12).

Para exercer qualquer um deles, escreva para [email protected]. Respondemos nos prazos legais: até 15 dias para a confirmação de tratamento pela LGPD, e até 30 dias pelo GDPR. Você também pode excluir sua conta direto no app, quando quiser.

12. Baixar uma cópia das suas fotos e vídeos

Se você tem conta própria, pode pedir uma cópia das fotos e vídeos das memórias que são da sua conta. Só quem é dono dessas memórias pode fazer esse pedido; por isso, um convidado que só acompanha memórias de outras famílias não tem nada para exportar.

O que vem na cópia

Cópias em qualidade total das fotos e vídeos de todas as memórias da sua conta, inclusive os que outras pessoas postaram nelas.
Não entram: legendas, comentários, o que estiver na lixeira e as memórias de outras famílias, mesmo aquelas em que você foi adicionado.

Como funciona

No app, vá em Perfil › Privacidade › Baixar meus dados e confirme com o código que mandamos por SMS para o seu celular.
Na mesma hora, mandamos um aviso para o seu e-mail verificado contando que houve um pedido. Esse aviso traz um jeito de cancelar.
Quando a cópia fica pronta, o link vai só para o e-mail verificado da conta.
O link abre uma página do nosso serviço que pede mais um código, enviado por SMS para o celular da conta, antes de qualquer download começar.
O download é um único arquivo ZIP.

Limites

O link vale por 7 dias ou 3 downloads, o que acontecer primeiro. Retomar um download que parou no meio não conta de novo.
Dá para fazer no máximo 1 pedido por dia e 3 a cada 30 dias.
Se você trocar o e-mail verificado, a exportação só pode ir para o endereço novo depois de 24 horas, e avisamos o endereço antigo da troca.

Onde a cópia é montada

O ZIP é montado nos nossos servidores na União Europeia no momento do download e nunca fica salvo como arquivo. Para montar, nossos servidores descriptografam cada arquivo só enquanto ele está sendo enviado para você. É diferente de ver no app, em que a descriptografia acontece no seu próprio aparelho.

O e-mail só recebe o link

Seu e-mail nunca serve para entrar no app nem para recuperar a conta, e a exportação não muda isso: o e-mail só leva o link, e o download continua pedindo o código enviado para o seu celular.

Depois do download

Quando os arquivos chegam ao seu aparelho, eles ficam fora da proteção do pouchie: não têm bloqueio de captura de tela nem criptografia. Guarde tudo num lugar seguro.

Se você excluir a conta

Excluir a conta interrompe na hora qualquer exportação, e o link dela deixa de funcionar.

13. Alterações nesta política

Podemos atualizar esta política. Quando a mudança for relevante, avisamos no app e atualizamos a data de vigência abaixo.

14. Contato

Escreva para [email protected] com qualquer dúvida, pedido ou reclamação sobre privacidade.

Data de vigência: 17 de outubro de 2026.