Política de Privacidade

Versão 2026-08-22.v23 · vigente desde 22 de agosto de 2026.
Esta versão é registrada junto ao seu consentimento. Se o texto mudar, a versão muda junto e pedimos um novo consentimento.

Em resumo, o que esta versão diz: pedimos apenas o primeiro nome; o e-mail passou a ser obrigatório, e serve para avisar você quando alguém entra pela sua rede — você pode desligar esse aviso; o CEP preenche cidade, bairro e estado e não é guardado; você entra com Google, com Apple ou com link por e-mail — e, desde esta versão, também com um código enviado por SMS ao seu celular; em nenhum dos quatro usamos senha. ★ Novidade desta versão: a plataforma passou a enviar um único tipo de SMS — o código de seis dígitos que você mesmo pede para entrar. Nunca link, nunca aviso, nunca conteúdo de campanha (itens 4 e 8). Quem entra por esse caminho passa a ter o número verificado; quem entra por Google, Apple ou e-mail continua apenas declarando o número, e a plataforma não confere se ele é mesmo dela. Para entregar o aviso, seu e-mail e primeiro nome passam por servidor fora do Brasil — nunca a candidatura que você apoia (item 8). Medimos audiência com o Google Analytics, sem enviar quem você é nem quem você apoia, e você pode desligar isso (item 13). Seu telefone só chega a outra pessoa nas duas hipóteses do item 7 — a campanha que você apoia, e quem está acima de você na rede. ★ Da versão anterior, e continua valendo: a segunda dessas hipóteses deixou de ser opcional — autorizar que a sua rede fale com você passou a ser condição para criar a conta. Por isso ela não é mais uma caixa separada: está descrita no item 5 dos Termos de Uso, que você aceita ao se cadastrar. Você pode desfazer quando quiser em Privacidade e meus dados, sem custo e sem perder conta, rede ou marcos; e quem se cadastrou antes desta versão não foi convertido — a escolha que fez continua valendo. Junto com isso, a lista da sua rede que essas pessoas veem passou a ser completa e buscável até dez níveis, em vez de uma amostra desenhada: o que ela mostra de você é o mesmo de antes — primeiro nome, cidade, nível e contagem, nunca telefone (itens 6 e 7.2). Também nesta versão: o comunicado que a plataforma manda para o seu aparelho passou a poder ser dirigido a uma parte da base — por estado, por cidade, por quando você se cadastrou, pelo tamanho da sua rede e pela candidatura que você declarou apoiar (item 6.2). Esse último usa dado sensível e por isso está descrito em detalhe: ele decide quem recebe, nunca o que se escreve — o texto continua proibido de citar candidatura, número, sigla ou pedido de apoio. Nenhuma campanha escolhe o recorte nem tem acesso a este canal, cada envio fica registrado, e desligar o aviso em Privacidade e meus dados tira você de todos os recortes. Também novo: o item 6.1 descreve o que quem opera a plataforma enxerga na lista de cadastros — primeiro nome, cidade, estado, link de convite e contagens, e nunca telefone, e-mail ou candidatura.

1. O ponto de partida

Sua opinião política é dado pessoal sensível pela LGPD (art. 5º, II). Isso muda tudo no desenho desta plataforma: não existe "legítimo interesse" que autorize tratá-la. A única base legal possível é o seu consentimento específico e destacado (art. 11, I). É por isso que o cadastro pede autorizações separadas em vez de uma caixa só — duas obrigatórias, para existir base legal; uma opcional, que você pode recusar sem perder nada do produto; e uma terceira obrigatória, o contato dentro da rede, que desde 17/08/2026 é condição do cadastro e está descrita no item 7.2.

2. Quem trata seus dados

Controlador: Christopher Williams Mayer Apoio Administrativo LTDA — ME, CNPJ 24.392.675/0001-91, com sede em Porto Alegre/RS.
Encarregado pelo tratamento de dados pessoais (DPO): encarregado@apoio.digital.

3. O que coletamos

Dois dados são usados e descartados na hora, sem nunca serem gravados:

• A data de nascimento completa — serve para conferir a idade mínima no instante do cadastro. Guardamos somente o ano.
• O CEP — serve para descobrir sua cidade, seu bairro e seu estado sem que você precise digitá-los. Guardamos o resultado, não o CEP: um CEP identifica quase o endereço exato, e a plataforma não tem uso para essa precisão. A consulta é feita pelo seu navegador em serviço público de busca de endereços, que recebe o CEP e nada mais — nem seu nome, nem seu telefone, nem qualquer identificador seu.

4. Entrar com Google, Apple, e-mail ou celular

Você escolhe como entrar: conta Google, conta Apple, link enviado ao seu e-mail ou código enviado por SMS ao seu celular. Em nenhum dos quatro usamos senha. O celular é pedido uma vez, dentro do cadastro, e serve para duas coisas: garantir uma conta por número — se ele já estiver cadastrado, o novo cadastro não conclui — e ser o contato que você pode, opcionalmente, autorizar a compartilhar com a campanha que apoia (item 7).

Sobre o SMS, com todas as letras. Até 22 de agosto de 2026 a plataforma não enviava mensagem nenhuma ao seu celular, e esta Política dizia isso. Passou a enviar um único tipo: o código de seis dígitos que você pede ao escolher entrar pelo celular. Ele sai porque você tocou em "Enviar código", nunca por iniciativa nossa, e chega em segundos. Não mandamos link por SMS, não mandamos aviso, não mandamos conteúdo de campanha e não repassamos seu número a ninguém para envio. Se você entrar por Google, Apple ou e-mail, nenhum SMS é enviado.

O número é verificado só para quem entra por ele. Quem usa o código prova que o celular é seu — a mensagem chega naquele aparelho. Quem entra por Google, Apple ou e-mail continua apenas declarando o número, e a plataforma não confere se ele é mesmo dela. Dizemos isso com todas as letras porque a classificação depende disso: ela mostra apoiadores que se cadastraram — com números provados e números declarados misturados —, e não identidades verificadas.

O que recebemos do Google

Apenas nome e endereço de e-mail, e só para preencher o cadastro — você pode alterar os dois antes de concluir. Nada além disso.

• Não recebemos sua lista de contatos, sua agenda, suas fotos, seu histórico de navegação ou qualquer outro dado da sua conta Google.
• Não publicamos nada em seu nome, em lugar nenhum, em nenhuma circunstância.

O que o Google fica sabendo

Que você entrou em um serviço chamado apoio.digital, e a data em que isso aconteceu. O Google não recebe de nós quais candidaturas você apoia, quem convidou você, quem você convidou, nem qualquer dado da sua rede. O tratamento que ele dá a esse registro é regido pela política de privacidade dele, não por esta.

Se preferir não associar sua conta Google a esta plataforma, entre pelo link por e-mail — o resultado dentro do produto é exatamente o mesmo, e o Google deixa de saber que você entrou aqui. O que continua existindo, nos dois casos, é o servidor que entrega a mensagem até a sua caixa: nenhum e-mail chega a lugar nenhum sem passar por um. Quem são eles está no item 8.

O que recebemos da Apple

O mesmo que do Google, e menos ainda se você quiser: nome e endereço de e-mail, só para preencher o cadastro, alteráveis antes de concluir.

• Você pode esconder seu e-mail. Na tela da Apple existe a opção "Ocultar meu e-mail": em vez do seu endereço, recebemos um endereço de encaminhamento criado pela Apple, que repassa as mensagens para você. Nós nunca vemos o endereço real, e você pode desligar esse encaminhamento a qualquer momento na sua conta Apple — quando fizer isso, os avisos que dependem de e-mail deixam de chegar.
• A Apple só envia seu nome uma vez, na primeira autorização. Se você entrar de novo, ela não reenvia — o nome que vale passa a ser o que está no seu cadastro, que você corrige quando quiser em "Privacidade e meus dados".
• Não recebemos sua agenda, suas fotos, sua localização, seu iCloud nem qualquer outro dado da sua conta Apple. Não publicamos nada em seu nome.

O que a Apple fica sabendo

Que você entrou em um serviço chamado apoio.digital, e a data em que isso aconteceu. A Apple não recebe de nós quais candidaturas você apoia, quem convidou você, quem você convidou, nem qualquer dado da sua rede. O tratamento que ela dá a esse registro é regido pela política de privacidade dela, não por esta.

Entrar com e-mail

Não usamos senha. Você informa seu e-mail, recebe um link de acesso e toca nele — o mesmo link serve para entrar e para se cadastrar. Nesse caso ele é, além do resto, a sua credencial de entrada.

O link vale por tempo limitado e para um acesso só. Não criamos, não pedimos e não guardamos senha nenhuma — inclusive porque senha é o dado que mais vaza, e a que você usaria aqui provavelmente seria a mesma de outro serviço.

5. O que não fazemos

• Não vendemos sua base, nem a de ninguém. A venda de cadastro de endereços eletrônicos e de banco de dados pessoais é proibida a pessoa física e jurídica pelo art. 57-E, §1º, da Lei nº 9.504/1997.
• Não cedemos seus dados a campanhas por conta própria. Nada sai daqui para um comitê sem que você tenha marcado, especificamente, a autorização "compartilhar meu contato com a campanha" — a única do cadastro que é opcional, descrita no item 7.1.
• Não enviamos mensagens por você. Seus convites saem do seu aparelho, da sua conta, um a um — a plataforma nunca dispara nada para os seus contatos, e não tem como fazê-lo. O único e-mail que sai daqui vai para você, sobre a sua própria conta: o link de entrada e o aviso de que alguém entrou pela sua rede, que você desliga quando quiser.
• Não exibimos seu telefone em tela nenhuma. Ele só sai daqui nas duas hipóteses do item 7: o compartilhamento com a campanha, que é opcional, e o contato dentro da sua rede, que é exigido no cadastro e que você desfaz quando quiser. Em nenhuma das duas ele aparece em lista — é sempre uma pessoa por vez.
• Não usamos seus dados para publicidade nem os cruzamos com bases de terceiros.

6. O que outras pessoas enxergam de você

Apenas seu primeiro nome, sua UF e o tamanho da sua rede. Nunca seu e-mail, nunca seu endereço ou bairro, e nunca as candidaturas que você apoia. Seu telefone não aparece em lista, tela ou exportação — as únicas formas de ele chegar a outra pessoa são as do item 7, sempre uma pessoa por vez e sempre com registro.

Quem está acima de você na rede vê você numa lista — primeiro nome, cidade, o nível em que você entrou e quantas pessoas você trouxe. Até 17 de agosto de 2026 essa lista era uma amostra desenhada; desde então ela é completa e buscável, até dez níveis acima de você. O conteúdo exibido é o mesmo de antes, e continua sem telefone, sem e-mail e sem a candidatura que você apoia.

Uma parte disso é pública, e não só para quem tem conta. A página inicial de apoio.digital mostra a classificação de quem mais mobilizou, com exatamente os mesmos três dados: primeiro nome, estado e tamanho da rede. Ela é visível a qualquer visitante e pode ser lida por buscadores. O que não aparece nessa lista: seu telefone, seu e-mail, seu endereço, sua cidade, seu bairro e as candidaturas que você apoia.

A mesma página tem um mapa, e ele desce até o bairro. O mapa mostra quantidades por lugar — quantos apoiadores em cada estado, em cada cidade e em cada bairro. São números agregados: o mapa nunca diz quem é ninguém, nunca liga um nome a um lugar e nunca mostra candidatura.

Precisamos ser francos sobre o limite disso. Em um lugar com muita gente, um número não aponta para pessoa alguma. Em um bairro onde há um apoiador, quem cruzar o mapa com a lista de nomes do estado pode reduzir bastante as possibilidades. É por isso que existe a saída do parágrafo seguinte, e é por isso que ela desliga as duas coisas de uma vez.

Só entra nessa lista quem já trouxe pelo menos uma pessoa para a rede — e você pode sair dela quando quiser, em Privacidade e meus dados, sem perder nada: sua rede, seus marcos e sua posição dentro do aplicativo continuam iguais. Sair vale a partir do cálculo seguinte, que acontece a cada 15 minutos.

Quem sai da lista também deixa de ser contado no mapa por cidade e por bairro. As duas coisas andam juntas de propósito: separá-las deixaria de pé justamente o cruzamento descrito acima. Você continua somando no total do seu estado, que é um número grande demais para apontar para alguém.

Como não pedimos sobrenome, não existe sobrenome a vazar: mesmo quem tiver acesso à lista de apoiadores não consegue identificar você a partir dela.

6.1. Quem opera a plataforma

Quem opera o apoio.digital enxerga uma lista de quem entrou, com primeiro nome, cidade, estado, o link de convite de cada pessoa e quantas pessoas ela trouxe. Serve para acompanhar o crescimento e achar problema — um link que parou de funcionar, um cadastro que ficou marcado para revisão.

Não aparecem nessa lista o seu telefone, o seu e-mail, o seu endereço, o seu bairro nem as candidaturas que você apoia. Não é configuração: esses campos não saem do servidor para essa tela, e há uma verificação automática que recusa a publicação do sistema se alguém tentar acrescentá-los.

Esse acesso depende de uma marca gravada no servidor. Nenhuma conta consegue se dar essa marca sozinha, e ela não se estende a campanha, comitê ou terceiro nenhum. Cada consulta fica registrada — quem consultou, com que filtro e quando —, e é esse registro que nos permite responder, se você perguntar, quem teve acesso aos seus dados (art. 18, VII).

6.2. Quando um comunicado é dirigido a um recorte

O aviso no aparelho descrito no item 8 dos Termos de Uso pode ser dirigido a uma parte da base em vez de ir para todo mundo. Os recortes possíveis são: estado, cidade, o período em que você se cadastrou (a partir de uma data, até uma data, ou entre as duas), quantas pessoas você convidou diretamente, o tamanho total da sua rede, como você entrou (Google, Apple, link por e-mail ou código por SMS), que tipo de aparelho você usou no cadastro, se você se cadastrou pelo aplicativo das lojas ou pelo navegador e a candidatura que você declarou apoiar.

Os três do meio — como você entrou, o tipo de aparelho e se foi pelo aplicativo ou pelo navegador — não são dados novos que passamos a pedir. O primeiro é o provedor que você escolheu na tela de entrada, que já constava do seu cadastro desde sempre. Os outros dois são categorias amplas (Android, iPhone, Windows, Mac, Linux ou outro; aplicativo ou navegador) deduzidas da identificação que todo navegador envia junto com qualquer visita, e que nós já guardávamos por segurança — para detectar cadastros automatizados e para comprovar quando e como você aceitou estes textos. Passamos a usá-las também para escolher o público de um comunicado, e é por isso que estão descritas aqui: o uso é novo, o dado não. Guardamos apenas a categoria junto ao seu cadastro, nunca a identificação completa do seu navegador.

Duas ressalvas honestas sobre esses dois últimos: eles se referem ao aparelho e ao caminho que você usou no cadastro, e não ao que você usa hoje — quem se cadastrou pelo site e depois instalou o aplicativo continua contando como navegador. E quem se cadastrou antes de 17 de agosto de 2026 sem registro legível fica de fora desses recortes, nunca dentro.

O recorte por candidatura tem limites a mais, e eles existem para que a combinação de filtros não aponte para alguém em particular: ele não se combina com faixa de rede, com faixa de convites diretos nem com período menor que um dia, e um envio só sai se alcançar pelo menos cinco pessoas. Sem isso, somar recortes estreitos revelaria a opinião política de uma pessoa identificável, mesmo sem nenhuma tela mostrar o nome dela.

Esse último merece ser dito com clareza, porque usa dado pessoal sensível — sua opinião política (art. 11 da LGPD). Ele decide quem recebe, nunca o que se escreve: o texto do comunicado continua proibido de mencionar candidatura, número, sigla, partido ou pedido de apoio, e essa recusa é feita pelo servidor antes de qualquer envio. Nenhuma campanha, comitê ou terceiro escolhe o recorte, escreve o texto ou tem acesso a este canal.

Cada envio fica registrado com o texto e o recorte usado, inclusive a candidatura, quando houver. E o desligamento continua sendo o mesmo e continua valendo para tudo: sem o aviso ligado em Privacidade e meus dados, nenhum recorte alcança você.

7. As duas vezes em que seu telefone pode sair daqui

São duas e são separadas. Fora destas duas hipóteses, seu telefone não sai da plataforma para pessoa nenhuma.

Elas não são mais iguais entre si, e a diferença mudou em 17 de agosto de 2026. O compartilhamento com a campanha (7.1) continua inteiramente opcional: é uma caixa que nunca vem marcada, e aceitar ou recusar não muda nada no seu cadastro. O contato dentro da rede (7.2) passou a ser exigido para criar a conta: ele não é mais uma caixa separada — está descrito no item 5 dos Termos de Uso, que você aceita ao se cadastrar. Versões anteriores deste texto diziam que as duas eram opcionais e que "o cadastro funciona igual nos quatro casos"; isso deixou de valer para a 7.2, e está escrito aqui em vez de corrigido em silêncio.

Se você se cadastrou antes dessa data, a sua escolha continua valendo como você a fez. Não convertemos ninguém: quem recusou o contato dentro da rede continua recusado, e nada no seu cadastro foi alterado por causa desta mudança.

7.1. Compartilhar meu contato com a campanha

Se você marcar, seu nome e telefone ficam disponíveis para a campanha da candidatura que você apoia, para que o comitê possa entrar em contato.

Esse compartilhamento é gratuito e parte de você — pessoa natural — para a campanha, o que é o que a legislação eleitoral admite. A plataforma não intermedeia venda nem recebe por isso.

Você pode desfazer a qualquer momento, em Privacidade e meus dados, sem custo e sem justificativa (art. 8º, §5º). A revogação remove você da lista do comitê imediatamente. Contatos que a campanha já tenha feito, ou dados que ela já tenha copiado para os sistemas dela, passam a ser responsabilidade dela — nesse ponto, o controlador é o comitê.

7.2. Deixar que a minha rede fale comigo — exigido no cadastro

A plataforma organiza uma rede de convites: você entrou por alguém, e essa pessoa entrou por outra. Esta autorização permite que quem está acima de você nessa cadeia — até dez níveis — abra uma conversa de WhatsApp com você pelo aplicativo.

Isso inclui gente que você não convidou e talvez não conheça — quem convidou quem te convidou, e assim por diante. Está escrito aqui porque é exatamente a parte que surpreenderia depois.

Ela é condição para criar a conta, e por isso não é uma caixa separada no cadastro: ela está descrita no item 5 dos Termos de Uso, que você aceita ao se cadastrar. Não a apresentamos como caixa porque ela não é escolha — e uma caixa sobre algo que o sistema exige encena um gesto que não decide nada.

Exigida para entrar não é o mesmo que permanente, e esta parte é um direito seu que não depende de nós: você pode desfazer a qualquer momento, em Privacidade e meus dados, sem custo e sem justificativa (art. 8º, §5º). Desfazer não encerra sua conta e não custa rede, marcos nem posição na classificação — o efeito é só este: seu telefone para de ser revelado, na hora, e quem quiser te procurar volta a depender da agenda do próprio celular.

Como funciona, na prática:

• Seu telefone não fica na lista que essas pessoas veem. A lista da rede mostra primeiro nome, cidade, o nível e quantas pessoas cada um trouxe.
• Desde 17 de agosto de 2026 essa lista é completa: quem está acima de você consegue percorrer e buscar todas as pessoas da própria rede, até o décimo nível, em vez de só as que apareciam no desenho. O que a lista mostra de você continua sendo o mesmo de antes — o que mudou é que ela não é mais uma amostra.
• Ele é revelado uma vez por toque, para uma pessoa por vez, no momento em que alguém toca em "falar no WhatsApp" no seu ponto. Não existe tela, exportação ou lista que devolva vários telefones de uma vez.
• O sistema confere antes que quem pediu está mesmo acima de você na rede. Quem não está, não recebe nada.
• Cada revelação fica registrada — quem pediu, de quem era o telefone e quando. É esse registro que nos permite responder, se você perguntar, quem teve acesso ao seu número (art. 18, VII).
• Há um limite por hora para cada conta, para que a função sirva para conversar e não para copiar contatos.

Você pode desfazer a qualquer momento, na mesma tela de Privacidade e meus dados. Desmarcar vale imediatamente: da próxima vez que alguém tocar no seu ponto, o aplicativo dessa pessoa abre o WhatsApp sem o seu número, e ela só te encontra se já tiver seu contato na agenda do próprio celular. As conversas que já tinham sido abertas continuam existindo no aparelho dela — isso a plataforma não alcança, e seria desonesto prometer que alcança.

8. Onde seus dados ficam

Em servidores do Google Cloud na região southamerica-east1, em São Paulo, Brasil. É lá que fica o seu cadastro: nome, celular, e-mail, cidade, rede e candidaturas apoiadas.

Quatro coisas saem do Brasil, e as quatro estão listadas aqui. Nenhuma delas carrega quais candidaturas você apoia.

• O envio do código por SMS, se você escolher entrar pelo celular. Para mandar a mensagem, o seu número de telefone passa pelo serviço de autenticação da Google (Firebase Authentication), que opera fora do Brasil e atua como operador — trata o dado por nossa conta e sob nossas instruções —, e de lá segue para a operadora de telefonia que entrega o SMS. Vai o número e o código, e nada além: nem seu nome, nem seu e-mail, nem a candidatura que você apoia. Se você entrar por Google, Apple ou e-mail, essa transferência não acontece — ela existe só no instante em que você pede o código.
• O envio dos avisos por e-mail. Quando alguém entra pela sua rede, nós avisamos você. Para entregar essa mensagem, o seu endereço de e-mail e o seu primeiro nome passam pelos servidores do Titan (titan.email), serviço contratado por meio da Name.com que hospeda o e-mail do domínio apoio.digital e opera fora do Brasil. Ele atua como operador — trata esses dados por nossa conta e sob nossas instruções, não para uso próprio. O que vai na mensagem é o que você leria na tela: quantas pessoas entraram. Nunca candidatura, nunca telefone, nunca conteúdo de campanha. Se você desligar os avisos em Privacidade e meus dados, essa transferência deixa de acontecer.
• A entrega da notificação no seu celular, se você tiver ligado esse aviso. Para fazer a notificação chegar com o aplicativo fechado, o identificador do seu aparelho (o código descrito no item 3) e o texto do aviso passam pelo serviço de mensagens da Google (Firebase Cloud Messaging), que opera fora do Brasil e atua como operador — trata esses dados por nossa conta e sob nossas instruções. O texto é o mesmo que você leria na tela: quantas pessoas entraram — ou, de vez em quando, um comunicado nosso sobre a própria plataforma, nos limites descritos no item 8 dos Termos de Uso. Não vai seu nome, nem seu telefone, nem seu e-mail, e o texto nunca menciona candidatura. Uma ressalva que preferimos escrever a omitir: quando um comunicado é dirigido a quem apoia determinada candidatura (item 6.2), o que a Google recebe continua sendo apenas o identificador do aparelho e o texto — mas o conjunto de aparelhos daquele envio é, por construção, o de quem apoia aquela candidatura. Nenhum campo diz isso; a seleção, sim. Se você desligar o aviso no aparelho em Privacidade e meus dados, essa transferência deixa de acontecer — e o identificador é apagado.
• A medição de audiência descrita no item 13, que a Google processa também fora do Brasil. Ela não carrega nada do seu cadastro — nem nome, telefone, e-mail, cidade ou candidatura apoiada. Se você desligar a medição, essa transferência deixa de acontecer.

As três ocorrem ao amparo das cláusulas contratuais padrão dos respectivos fornecedores, na forma do art. 33, II, da LGPD.

9. Por quanto tempo

• Enquanto sua conta existir, ou até você revogar o consentimento que fundamenta o tratamento.
• Anonimização programada: 90 dias após 25 de outubro de 2026, os dados que identificam pessoas são eliminados e permanece apenas informação estatística agregada, que não é dado pessoal.
• O registro dos seus consentimentos é mantido separadamente, pelo prazo legal, porque é ele que comprova a regularidade do tratamento (art. 16, I).

10. Seus direitos

Pela LGPD (art. 18), você pode a qualquer momento:

• confirmar que tratamos seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários;
• pedir a portabilidade;
• revogar o consentimento;
• ser informado sobre com quem compartilhamos seus dados;
• opor-se a tratamento feito sem consentimento.

Acesso, correção, revogação e eliminação estão disponíveis na própria plataforma, em Privacidade e meus dados. Para os demais, fale com o Encarregado (item 2). Respondemos em até 15 dias.

As candidaturas que você apoia são o dado mais sensível que guardamos, e por isso têm caminho próprio: em Rever meu apoio, no seu painel, você troca ou desmarca candidatura por candidatura; em Privacidade e meus dados, você retira todas de uma vez. O que sai é apagado, não guardado como histórico. Sua rede e seus convites não mudam com isso — quem você convidou continua sendo quem você convidou, independentemente de quem você apoia.

11. Como a exclusão funciona de verdade

Ao excluir sua conta, são eliminados: seu primeiro nome, telefone, e-mail, cidade, bairro, UF, ano de nascimento, as candidaturas que você declarou apoiar, seu código de convite (o link para de funcionar na hora) e sua conta de autenticação.

Permanece um nó anônimo na estrutura da rede, sem nada que identifique você. A razão é concreta: as pessoas que você convidou têm a sua posição registrada na cadeia delas. Apagar o registro bruto quebraria a rede de todas elas e faria a contagem de terceiros deixar de fechar. O que sobra é informação sobre a rede, não sobre você.

Permanece também o registro dos seus consentimentos, que é o documento que comprova que o tratamento foi regular enquanto durou.

12. Segurança

O acesso exige conta autenticada pelo Google, pela Apple ou por link enviado ao seu e-mail. Nenhum usuário consegue ler o cadastro de outro: pelo navegador, a leitura de dados de terceiros é bloqueada na camada de banco, e não apenas na tela.

Há duas exceções, e as duas passam por programa no servidor — não pelo navegador — com o que sai escolhido campo a campo:

• A lista da sua rede, que quem está acima de você vê: primeiro nome, cidade, o nível e a contagem, e nada além disso (itens 6 e 7.2). O telefone não vai nessa lista em hipótese nenhuma — ele é pedido à parte, uma pessoa por vez, e cada pedido fica registrado.
• O acesso de quem opera a plataforma, descrito no item 6.1 — passa por uma marca gravada no servidor, mostra primeiro nome, cidade, estado, link de convite e contagens, nunca telefone, e-mail ou candidatura, e cada consulta fica registrada.

Contadores de rede e registros de consentimento não podem ser escritos pelo navegador. O endereço IP é guardado apenas como resultado de um cálculo irreversível.

13. Armazenamento no seu navegador e medição de audiência

Guardamos o código do convite que trouxe você até aqui (para creditar quem convidou), o token da sua sessão autenticada e a sua escolha sobre a medição descrita a seguir.

Se você chega por um link marcado com o canal — o da nossa bio, o de um anúncio —, guardamos também esse nome curto, por até 30 dias. Vale o primeiro link que trouxe você: uma visita seguinte por outro caminho não substitui o que já está lá. Ele é apagado assim que o seu cadastro é concluído, e não chega a ser gravado se a medição estiver desligada.

13.1 Google Analytics — medição de audiência

Usamos o Google Analytics para contar quantas pessoas passam por cada tela. Ele grava um identificador do navegador — é o que permite saber que uma mesma visita começou na página inicial e terminou no cadastro.

O que é enviado: a etapa do cadastro alcançada, a sua UF, o cargo da tela em que você estava, o canal escolhido para enviar um convite e se o convite citava alguma candidatura.

O que nunca é enviado ao Google Analytics: seu nome, telefone, e-mail, cidade, bairro, seu código de convite e — principalmente — quais candidaturas você apoia. Sua opinião política não vai para o Google. Isso não depende de cuidado de quem escreve o programa: o código carrega uma lista fechada do que pode subir e descarta o registro inteiro se algo fora dela aparecer.

Os recursos de publicidade do Google Analytics ficam desligados (Google Signals e personalização de anúncios).

A base legal aqui é o legítimo interesse (art. 7º, IX), e não o consentimento — por isso a medição vem ligada e você pode desligá-la quando quiser, em Privacidade e meus dados. Desligar impede o carregamento, não apenas o envio: nada é baixado, nada é gravado no seu navegador.

13.2 Pixel de anúncio da OpenAI

Desde 08/08/2026 o site também carrega o pixel do gerenciador de anúncios da OpenAI. Ele existe para uma finalidade só: saber se quem viu um anúncio nosso chegou até aqui e concluiu o cadastro. Isso é publicidade, não medição de audiência — e a diferença muda o que a gente te deve contar, por isso ele tem seção própria.

O pixel grava um identificador no seu navegador e envia à OpenAI, a cada página aberta, o endereço da página, o endereço da página anterior e informações padrão da sua conexão. Ao final do cadastro ele envia também um aviso de “cadastro concluído”, sem nenhum dado seu junto.

O endereço das páginas de convite contém o código de quem convidou você, e esse código identifica uma pessoa. Por isso ele é retirado do endereço antes de o pixel ser carregado — não depois: o pixel lê a barra de endereço assim que sobe, e limpar em seguida chegaria tarde. O convite continua funcionando porque o código passa a ser guardado no seu próprio navegador, onde só a plataforma o lê.

O que o pixel não recebe: seu nome, telefone, e-mail, cidade, bairro, o código de convite e quais candidaturas você apoia. Sua opinião política não sai da plataforma por esta via.

A OpenAI trata esses dados como controladora própria, sob a política dela, e pode usá-los para mensurar e direcionar anúncios. O tratamento pode envolver transferência internacional (art. 33 da LGPD).

Como recusar: o interruptor de Privacidade e meus dados governa a medição da seção 13.1 e não desliga este pixel — dizer o contrário seria mentira. Hoje o caminho para bloqueá-lo é do seu lado: bloqueador de rastreadores, extensão de privacidade ou bloqueio de cookies de terceiros no navegador. Um controle nosso para isso é trabalho pendente.

13.3 Pixel de anúncio da Meta

Desde 17/08/2026 o site carrega também o pixel da Meta (Facebook e Instagram), com a mesma finalidade do anterior: saber se quem viu um anúncio nosso chegou até aqui e concluiu o cadastro. Também é publicidade, não medição de audiência.

Ele envia à Meta, a cada página aberta, o endereço da página, o endereço da página anterior e informações padrão da sua conexão, e grava um identificador no seu navegador. Ao final do cadastro envia um aviso de “cadastro concluído”, sem nenhum parâmetro junto.

O que o pixel não recebe: seu nome, telefone, e-mail, cidade, bairro, o código de convite e quais candidaturas você apoia. A “correspondência avançada”, recurso da Meta que enviaria seu e-mail e telefone embaralhados por um cálculo, está desligada — no código e no painel. Dado embaralhado assim continua sendo dado pessoal, e por isso ele não sai.

A Meta trata esses dados como controladora própria, sob a política dela, e pode usá-los para mensurar e direcionar anúncios. O tratamento envolve transferência internacional (art. 33 da LGPD).

Como recusar: ao contrário do pixel da seção 13.2, este obedece ao interruptor de Privacidade e meus dados. Desligar a medição ali desliga este pixel na mesma hora, e ele já sobe desligado se você tiver recusado antes. No aplicativo de iPhone há uma trava a mais: ele só carrega se você tiver autorizado o rastreio na caixa que o próprio iOS mostra.

14. Adolescentes

O cadastro é bloqueado para menores de 16 anos. Entre 16 e 18, o tratamento observa o melhor interesse do titular, na forma do art. 14 da LGPD.

15. Mudanças nesta política

Se este texto mudar, a versão indicada no topo muda junto e pediremos um novo consentimento. Não estendemos consentimento antigo a texto novo.

16. Reclamação

Você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.