Política de Privacidade

Versão de 15 de setembro de 2026, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018).

1. Quem é o controlador

• MYCOMPANY LTDA — CNPJ 58.256.487/0001-58
• R. José Baroni, 528 — Parque Clayton Malaman — Pirassununga/SP — CEP 13.635-211
• Canal do titular, lido por quem decide: contato@usezelo.app

Somos uma empresa de pequeno porte e não indicamos um encarregado (DPO); a regulamentação da ANPD dispensa agentes desse porte da indicação formal, desde que exista um canal de atendimento ao titular. É este aqui, e ele chega direto a quem toma as decisões sobre os seus dados — não a uma fila de atendimento.

2. O que o Zelo não faz

Começamos por aqui porque é o mais raro:

• Nenhum rastreador de publicidade. Não há pixel do Facebook, tag de anunciante, nem lista de remarketing. Usamos duas ferramentas de medição de produto — PostHog e Google Analytics — e elas estão descritas com todas as letras na seção 3.10. As duas param quando você desliga a medição, e no Google desligamos os sinais de publicidade e de personalização de anúncio.
• Nenhum cookie nosso. Sozinhos não setamos cookie nenhum: a sessão de login fica no armazenamento local do navegador. Com a medição ligada, o Google Analytics grava um cookie próprio (o PostHog, do jeito que configuramos, usa armazenamento local em vez de cookie). Com a medição desligada, ou com Do Not Track, nenhum dos dois é sequer baixado para o seu aparelho.
• Nenhuma venda ou compartilhamento com anunciantes. Seus dados não são produto, e não temos anunciante para vendê-los.
• Nenhum marketing direto. Não temos mala direta, não montamos lista e não mandamos promoção. A única mensagem que você recebe da gente é sobre a sua própria conta.
• Nenhum dado de cartão. O pagamento acontece no ambiente do Stripe; o número do seu cartão nunca chega aos nossos servidores.
• Nenhuma localização. O app não pede e não usa GPS.
• Nenhum nome ou CPF. Não pedimos.

Uma observação sobre o nosso registro, porque é melhor você ouvir de nós. Se consultar o CNPJ da MYCOMPANY LTDA, vai encontrar um CNAE de marketing direto, herdado de quando a empresa foi aberta. Ele não descreve o Zelo e não descreve nada que a gente faça com os seus dados — veja a lista acima. O registro está sendo atualizado para a atividade de software. Preferimos apontar a discrepância a deixar você encontrá-la.

3. Quais dados tratamos, e por quê

3.1 Para você entrar (execução de contrato)

Seu endereço de e-mail. É a única coisa que pedimos no cadastro, e serve para enviar o link de acesso, avisar sobre a sua assinatura e responder quando você escreve. Não há senha.

3.2 Para o app fazer o que promete (execução de contrato)

O que você registra sobre o veículo: apelido, tipo, marca, modelo, ano, motor, câmbio, hodômetro, plano de manutenção, histórico de serviços, abastecimentos, despesas e observações. No modo profissional — opcional, para quem tira o sustento do veículo — também os ganhos que você lançar.

Se você anexar a foto ou o PDF de uma nota fiscal a um serviço, o arquivo fica num repositório privado, acessível só pela sua conta.

Se você convidar alguém para a sua garagem (Ajustes, na assinatura ou no teste), essa pessoa passa a ver e registrar tudo o que está na sua conta, os anexos inclusive, entrando com a conta dela. É você quem decide isso, ao convidar, e quem desfaz, ao remover o acesso. Guardamos o e-mail de quem você convidou enquanto o convite existir. Excluir a conta de qualquer um dos dois apaga o convite.

Esses dados nascem no seu aparelho e continuam lá. A cópia na nuvem existe para sincronizar entre aparelhos e para você não perder tudo ao trocar de celular.

3.3 Para o assistente responder (execução de contrato)

Quando você conversa com o assistente, enviamos ao provedor de IA o contexto do veículo (dados acima), as últimas mensagens da conversa e, se você anexou uma, a foto do cupom.

O seu e-mail e o seu identificador de conta não são enviados ao provedor de IA. Para ele, é uma conversa sobre um veículo, sem quem é você atrás dela. O identificador da conta fica apenas conosco, para contar quantas mensagens você usou no dia.

Um aviso honesto sobre a foto: nós não mandamos quem você é, mas o cupom pode. Nota fiscal costuma trazer CPF, nome, placa e o endereço da oficina, e a imagem vai inteira. Se isso te incomodar, cubra o CPF antes de fotografar ou registre o serviço na mão, sem anexo — o app funciona igual.

3.4 Para cobrar (execução de contrato e obrigação legal)

Guardamos o identificador do seu cliente e da sua assinatura no Stripe, o plano, o período de cobrança e a data de fim do período. Não guardamos dados de cartão. Registros fiscais são mantidos pelo prazo que a lei exige.

3.5 Para o catálogo melhorar (legítimo interesse)

Quando você corrige um intervalo do plano (“na verdade o óleo desse carro é a cada 5.000 km”), esse sinal é enviado para melhorar o catálogo de todos. Ele carrega o item corrigido, o valor, a assinatura técnica do veículo (classe, motor, câmbio) e o identificador da sua conta — usado só para dar peso maior a quem está identificado. Não vai o e-mail, nem o apelido, nem o histórico.

Se você não está logado, o sinal usa um identificador aleatório do aparelho, sem qualquer ligação com você.

Nosso interesse concreto aqui é um só, e é verificável: um catálogo errado gera manutenção errada. Cada correção que um usuário faz é a forma mais barata e mais confiável de arrumar um intervalo que a IA errou — mais confiável, inclusive, que gerar de novo com IA. Você pode se opor a esse tratamento escrevendo para contato@usezelo.app: paramos de enviar os seus sinais, e o app continua idêntico para você.

3.6 Para aplicar o teto do seu plano (execução de contrato)

Um contador diário de mensagens por conta. É ele que faz o “20 por dia” do Gold ser 20 por dia. Não guarda o que você perguntou — só quantas vezes e em que data. Sem ele não há como entregar o plano que você tem — grátis ou pago —, e é por isso que a base aqui é execução de contrato, e não interesse nosso.

3.7 Para o produto se manter de pé (legítimo interesse)

Consumo de tokens e custo por chamada de IA, e registros técnicos de erro. Servem para sabermos quanto o produto custa e para consertarmos o que quebra. Não afetam o seu uso; se ainda assim você quiser se opor a esse tratamento específico, escreva e a gente atende.

3.8 Registros de acesso (obrigação legal)

Toda vez que você abre uma página nossa, a infraestrutura que hospeda o Zelo registra o endereço IP, a data e a hora da requisição. Não somos nós que guardamos: esses registros ficam com o nosso provedor de hospedagem, pelo prazo de retenção dele, e nós não os consultamos nem os usamos para nada — e nenhum desses dados alimenta perfil ou publicidade. Esses registros são do servidor e não têm relação com a medição da seção 3.10: eles existem mesmo para quem desligou a medição, porque nascem da hospedagem e não de escolha nossa, e a medição não recebe o seu IP.

O art. 15 do Marco Civil da Internet determina que quem opera aplicação de internet profissionalmente guarde registros de acesso por 6 meses, sob sigilo. Estamos adequando a nossa retenção a esse prazo — e, quando o fizermos, esta seção dirá isso sem rodeio. Em qualquer cenário, esses registros só saem daqui por ordem judicial.

3.9 Quando você escreve para nós (atendimento ao titular)

O texto do feedback enviado pelo app chega a um canal interno da nossa equipe (o Slack, nos Estados Unidos), junto com o veículo ativo, para o relato fazer sentido. Se você escrever dados pessoais no texto livre, eles vão junto — então evite.

É o único campo de texto livre do produto e, justamente por isso, ele não fica órfão no banco: se você apagar a conta, o texto do feedback é apagado junto. A única exceção é um pedido de arrependimento, que fica com os registros de pagamento porque é o seu comprovante — a seção 7 explica.

3.10 Para saber onde o app trava (medição de uso)

Medimos como o Zelo é usado desde a primeira abertura, para descobrir onde o app trava e consertar. A base legal é o nosso interesse legítimo em fazer o produto funcionar (art. 7º, IX da LGPD), e o contrapeso que a sustenta é este: a finalidade é só fazer o app funcionar, o dado não é vendido nem cruzado com publicidade, e você desliga quando quiser, com um toque, logo abaixo. Até 15 de setembro de 2026 havia um contrapeso a mais, o mais forte deles: a medição não identificava você. Esse acabou, e a seção 5 diz por extenso o que isso significa.

O que é medido: as páginas que você abre, os passos do cadastro que você completa ou abandona, quando o plano fica pronto, quando você faz o primeiro lançamento, quando abre a tela de planos ou começa uma assinatura, quantas mensagens você trocou com o assistente e, se você usa a conta compartilhada, que um convite foi enviado, que ele foi aceito ou dispensado, e que você trocou de garagem (com a informação de ser a sua ou a de quem convidou — nunca o e-mail ou o identificador de quem está do outro lado). Junto vão os dados técnicos comuns: navegador, sistema, tamanho de tela e idioma, e também um conjunto de interações que o Google mede sozinho quando ligado: quanto de uma página você rolou, cliques em links que levam para fora do site, arquivos baixados, vídeos assistidos, buscas feitas dentro do site e interação com formulários (que um campo foi preenchido — nunca o que você digitou nele). Hoje o Zelo não tem vídeo nem busca interna, mas listamos assim mesmo: é o que a ferramenta passa a coletar por padrão, e você merece saber disso pelo que ela faz, não pelo que a gente usa.

Quando você assina, o nosso servidor avisa que a assinatura foi confirmada. Esse aviso sai daqui e não do seu navegador, por um motivo simples: quem confirma o pagamento é o Stripe, e ele avisa o nosso servidor — a sua aba pode já ter sido fechada. Vai o plano, o ciclo e o valor, junto do mesmo identificador anônimo de aparelho e de um identificador da visita — um número que o Google já tinha gravado no seu navegador, e que serve para ligar a assinatura à visita em que ela começou. Não vai o seu e-mail, o seu identificador de conta nem o seu identificador de cliente no Stripe. E, como todo o resto desta seção, não acontece se você desligou a medição: desligada, esse identificador nem chega ao servidor, e nenhum aviso é enviado.

Um detalhe que preferimos dizer a esconder: o que decide é a medição estar ligada no momento em que você inicia a assinatura. O identificador viaja junto do pedido de pagamento e fica guardado com o Stripe, junto do registro daquela compra — não é temporário: some quando a compra some do histórico deles, pelo prazo de guarda deles. Se você desligar a medição depois disso e o pagamento for confirmado em seguida — o caso de boleto ou Pix, que podem levar dias —, esse único aviso ainda sai, porque ele já estava a caminho. Nada além dele é enviado, e do momento do desligamento em diante não medimos mais nada.

A medição é ligada à sua conta, e isso mudou em 15 de setembro de 2026. Enquanto você não entra, o PostHog te conhece por um número aleatório do aparelho. Quando você entra, passamos a ele o identificador da sua conta e estas informações sobre você:

• O seu e-mail, o mesmo do login.
• A data em que você se cadastrou e o seu plano (grátis, teste ou o plano que você assina).
• Quantos veículos você tem cadastrados, e se você está usando a sua garagem ou a de quem te convidou. O e-mail da outra pessoa não vai junto.

O que isso permite, para ser franco sobre o custo: dentro do PostHog dá para procurar você pelo e-mail e assistir às suas gravações de tela. Antes não dava, porque não havia como ligar uma coisa à outra.

E o que a identificação faz para trás: o que você fez antes de entrar, naquele aparelho, passa a ser atribuído à sua conta. É o motivo de ela existir. Sem isso, a mesma pessoa no celular e no computador contava como duas.

Você sair da conta encerra isso naquele aparelho. Quem entrar depois no mesmo celular começa do zero, sem herdar nada seu. E desligar a medição desfaz a identificação: não é só fechar a torneira, o PostHog volta a te tratar como um número do aparelho.

O que NÃO é medido, e isso continua sendo o ponto:

• O Google continua sem saber quem você é. Para o Google Analytics você segue sendo um número aleatório gerado no seu aparelho, que some quando você limpa o navegador. O seu e-mail e o identificador da sua conta não são enviados a ele, e não é escolha nossa: a política do Google proíbe receber esse tipo de dado. Quem recebe é o PostHog, e está dito na íntegra logo acima.
• Nada do seu veículo nos eventos. Marca, modelo, hodômetro, histórico, gastos e abastecimentos não são enviados como dado medido. A gravação de tela é outro mecanismo e segue outra regra — lá esses números aparecem, porque estão na própria tela; veja logo abaixo.
• Nada do que você escreve para a IA. Medimos que uma mensagem foi enviada e se ela tinha foto — nunca o texto, nunca a imagem.
• O seu IP não vira dado guardado. Aqui a gente precisa ser preciso, porque é fácil prometer demais: qualquer requisição na internet entrega o seu IP ao servidor do outro lado — é assim que a resposta encontra o caminho de volta, e ninguém consegue evitar isso. O que dá para controlar é se ele fica armazenado. No PostHog, está ligada a opção do projeto que descarta o IP na entrada — ele não chega a virar linha no banco. No Google, o IP é usado para deduzir país e região e não é guardado por nós em lugar nenhum. E em qualquer caso vale o uso: não usamos IP para nada — ele não entra em relatório, não vira segmento, não é cruzado com a sua conta e não pedimos geolocalização a ninguém.
• Não mandamos o endereço da página quando ele carrega o seu link de acesso. O link mágico do e-mail chega com a sua sessão dentro do endereço; o código limpa esse pedaço antes de qualquer envio, e joga fora tudo que não esteja numa lista curta do que é útil medir.

Gravamos a sua navegação na tela, e a gravação mostra o que estava escrito. O PostHog reproduz depois como a tela se comportou: o que apareceu, onde você tocou, onde rolou, onde voltou atrás — e, sim, o texto que estava na tela e o que você digitou. É assim de propósito. A gravação existe para achar o ponto exato em que o app atrapalha, e com o texto escondido ela não responde a isso: não dá para saber em qual item você travou, qual rótulo levou ao caminho errado, ou o que você digitou antes de desistir e recomeçar.

Diga-se com todas as letras o que isso significa. Numa gravação sua podem aparecer, legíveis:

• o apelido e os dados do seu veículo, o hodômetro, os valores que você lançou, as observações que escreveu e o histórico de serviços;
• as suas mensagens para o assistente e o seu e-mail na tela de conta;
• as fotos que você envia — inclusive a foto da nota fiscal ou do cupom, no chat e no Importar nota. Nota fiscal brasileira costuma trazer CPF, nome, endereço e placa de uma vez, e tudo isso aparece na gravação. Ela está ali porque é a única forma de descobrirmos por que a leitura de uma nota falhou (foto escura, torta, cortada), mas o que isso custa a você é exatamente o que está escrito nesta frase.

É conteúdo seu, e fica guardado no PostHog enquanto a gravação existir. A única coisa que nunca é gravada é campo de senha, mascarado sempre — hoje o Zelo entra por link no e-mail e nem tem senha, e a regra fica de pé de qualquer forma.

Se ler isso te incomoda, a saída é a mesma de tudo nesta seção, e ela funciona: desligar a medição, logo abaixo, encerra a gravação junto. Se prefere não enviar a foto de uma nota específica, dá para digitar os dados dela à mão em vez de fotografar.

Como desligar, e como voltar atrás. Aqui mesmo, e vale na hora, para o site e para o app neste navegador:

Desligar a medição neste navegador

Também nos Ajustes do app, no link para esta página. Se o seu navegador manda o sinal Do Not Track, a medição já nasce desligada, sem você precisar fazer nada.

A decisão vale para o aparelho e o navegador em que você a tomou. Ela fica guardada aí, e não viaja para a sua conta. Em outro aparelho a medição começa ligada de novo, e o botão está no mesmo lugar.

Nenhum dado sensível

O Zelo não trata nenhuma das categorias que a LGPD chama de sensíveis (art. 5º, II): nada de saúde, biometria, convicção, filiação ou origem. Não pedimos, não inferimos e não temos onde guardar.

4. Com quem compartilhamos

Só com quem é necessário para o serviço funcionar, mais os dois de medição, que param quando você desliga. A maioria é operador: trata seus dados por conta e ordem nossa, dentro do que contratamos, e não pode usar para mais nada — Supabase, Vercel, OpenAI, Hostinger, Slack e PostHog estão nessa condição.

E há um suboperador que só aparece se você for olhar o cabeçalho do e-mail, então vamos dizer: a saída dos nossos e-mails não é do Hostinger direto — ele entrega pelo relay do MailChannels, empresa distinta, fora do Brasil. Todo e-mail de acesso passa por lá, com o seu endereço, o corpo da mensagem e o link de acesso, que é a credencial de entrada na sua conta. Nós não contratamos o MailChannels: quem responde por ele perante nós é o Hostinger, sob o acordo que temos com o Hostinger. Estamos listando porque uma lista de operadores que se apresenta como completa e omite quem carrega o seu link de acesso não serve para nada.

O Google é o que merece mais cuidado desta lista, e não vamos suavizar: no Google Analytics ele age como operador para a medição que pedimos, mas é um negócio de publicidade, e a política dele permite usos próprios que nós não controlamos. O que dá para fazer nós fizemos — desligamos os sinais do Google (Google signals) e a personalização de anúncio, de modo que o que sai daqui não alimenta lista de remarketing. Sobre IP, veja a seção 3.10: não prometemos que ele deixa de chegar ao Google, porque não temos como garantir isso; prometemos que não o usamos e que ele não é guardado por nós. Se isso ainda assim te incomoda, desligar a medição resolve inteiramente: desligada, o script do Google não é baixado.

O Stripe é a exceção, e é justo dizer: além de processar o pagamento por ordem nossa, ele é controlador dos próprios dados de pagamento para cumprir obrigações que a lei impõe a ele — prevenção a fraude e guarda regulatória de transação. Nesse pedaço quem responde é o Stripe, sob a política de privacidade dele; em todo o resto quem responde somos nós, e respondemos junto com o operador quando ele causar dano (art. 42 da LGPD).

Sobre a consulta à FIPE, uma diferença que importa: ela sai direto do seu aparelho, e não dos nossos servidores. Acontece quando você cadastra ou edita o veículo (as listas do cadastro vêm antes da nossa cópia da tabela, e o aparelho só vai ao serviço quando ela não responde), e depois no máximo uma vez por dia na abertura do app, para saber se a tabela virou — ela é publicada uma vez por mês, e é assim que o valor de mercado se mantém atualizado sem você precisar buscar nada. O serviço consultado é uma API pública e não-oficial que republica a tabela FIPE; não temos contrato com ele e não mandamos nada seu para lá. Se você não quiser a consulta do valor, toque em “não usar” ao lado dele, em Ajustes. Isso desliga o valor automático e a consulta diária.

Também compartilhamos quando a lei obriga, e cada coisa tem uma porta diferente. Os seus dados do app, o histórico e o conteúdo do que você registrou só saem daqui por ordem judicial — pelo art. 10, §1º, do Marco Civil da Internet, requisição administrativa não basta, e nós exigimos a ordem. Dado cadastral (na prática, o e-mail da conta) pode ser fornecido a autoridade administrativa que tenha competência legal para pedir, na forma do art. 10, §3º. Em qualquer dos casos, se não formos legalmente impedidos de contar, avisamos você.

5. Transferência internacional

Parte da infraestrutura fica fora do Brasil, principalmente nos Estados Unidos. Dizemos isso com todas as letras porque muita política de privacidade brasileira esconde esse ponto — e ele é justamente o que um titular atento quer saber.

O fundamento, fornecedor a fornecedor:

• OpenAI e Stripe — a transferência é necessária para executar o contrato com você (LGPD art. 33, VI): a chamada à IA só acontece quando você manda a mensagem, e a cobrança só acontece quando você assina.
• Supabase, Vercel e Hostinger — infraestrutura. A transferência também é necessária para executar o contrato (art. 33, VI): sem banco, hospedagem e envio de e-mail não existe conta, não existe sincronização e não existe link de acesso. Além disso, mantemos com cada um acordo de tratamento de dados, com obrigações de segurança, confidencialidade e uso restrito à nossa instrução. O relay do MailChannels, por onde o Hostinger entrega, está no mesmo trajeto e sob o mesmo fundamento (art. 33, VI): sem ele o e-mail não sai, e portanto não existe link de acesso. Ele é suboperador do Hostinger, e é o acordo com o Hostinger que o alcança — não temos contrato direto com o MailChannels.
• Slack — recebe apenas o texto do feedback que você escolher enviar, e só quando você o envia (art. 33, VI), sob o mesmo tipo de acordo.
• PostHog e Google — aqui o fundamento é o nosso interesse legítimo em fazer o produto funcionar (art. 7º, IX): a medição de uso é ligada por padrão e pode ser desligada com um toque na seção 3.10. Desligou, para na hora, nas três camadas (a nossa, o PostHog e o Google).
• E aqui somos obrigados a apontar uma coisa contra nós. Até 15 de setembro de 2026, o que sustentava esse interesse legítimo era a medição não identificar você: um dado que não aponta para ninguém pesa pouco contra a sua privacidade. A partir desta versão ela identifica, e esse contrapeso ficou mais fraco. O que segura o fundamento agora é o resto: a finalidade é só fazer o app funcionar, o dado não é vendido nem cruzado com publicidade, e o desligamento é imediato e vale para tudo. Se você achar que não basta, desligar é o caminho, e ele é um toque. Você também pode se opor ao tratamento pelo art. 18, §2º, falando com a gente pelos canais da seção 8.

Você pode pedir cópia dessas garantias. Escreva para contato@usezelo.app e mandamos o que temos assinado com cada fornecedor, no que não estiver sob sigilo comercial.

Estar fora do Brasil não tira você da lei brasileira: pelo art. 3º da LGPD e pelo art. 11 do Marco Civil da Internet, a lei brasileira se aplica ao tratamento dos seus dados porque a coleta acontece aqui — independentemente de onde o servidor esteja.

Estamos incorporando aos contratos com cada fornecedor as cláusulas-padrão contratuais da ANPD, como camada adicional de garantia. Não as citamos aqui antes de estarem assinadas: preferimos descrever a proteção que temos a nomear uma que ainda não temos.

6. Decisões que o sistema toma sozinho

Parte do Zelo decide sem ninguém olhar. Você tem direito de saber quais são e de pedir revisão de qualquer uma delas (art. 20 da LGPD). São estas:

• A montagem do plano de manutenção. Um modelo de linguagem lê fontes públicas e a especificação que você informou e propõe os intervalos. Passa por regras nossas que removem itens impossíveis para a classe do veículo e preenchem obrigatórios esquecidos — mas a decisão inicial é automática. Você pode corrigir qualquer intervalo direto no app, e a sua correção prevalece sobre a nossa proposta na sua conta.
• A recusa de perguntas fora de escopo. Um classificador automático lê a sua última mensagem e decide se ela é sobre veículo, manutenção ou custos. Se decidir que não é, o assistente não responde. É um classificador, e classificador erra. Se ele recusar uma pergunta legítima, escreva com o texto dela: revisamos à mão e corrigimos o critério.
• O bloqueio por teto diário. Um contador soma as suas mensagens do dia e bloqueia quando chega ao teto do seu plano. É aritmética, não julgamento — mas se você achar que o número está errado, pedimos o extrato e conferimos.
• A suspensão de conta por uso indevido. Essa nunca é só automática: um sinal automático pode levantar o caso, mas nenhuma conta é suspensa ou encerrada sem revisão humana e sem aviso prévio, salvo risco iminente e concreto ao serviço ou a terceiros.

Em qualquer desses casos, escreva para contato@usezelo.app pedindo revisão. Explicamos em português o critério que levou àquela decisão, no limite do que não seja segredo do negócio, e refazemos a análise com uma pessoa olhando.

7. Por quanto tempo guardamos

• Dados da conta e do veículo — enquanto a conta existir. Você apaga quando quiser (seção 8).
• Conversas com o assistente — ficam no seu aparelho, não no nosso servidor: não guardamos nenhuma mensagem sua. Apagar a conversa no app apaga de vez do nosso lado. Do lado do provedor de IA, contratamos o compromisso de não usar esse conteúdo para treinar modelos; ele mantém as chamadas por um período curto apenas para detectar abuso, conforme a política dele.
• Texto de feedback — enquanto for útil para corrigir o catálogo, e no máximo 24 meses. Se você apagar a conta antes disso, o feedback vai junto. Uma exceção: o pedido de arrependimento que você tenha enviado pela tela de Planos fica guardado com os registros de pagamento, pelo prazo legal — é o comprovante de que você exerceu o direito e de que devolvemos o dinheiro, e ele protege você tanto quanto a nós.
• Registros de acesso (IP, data, hora) — ficam com o provedor de hospedagem, pelo prazo de retenção dele; estamos adequando ao prazo de 6 meses do art. 15 do Marco Civil.
• Anexos de nota fiscal — enquanto o serviço correspondente existir, ou até você apagá-lo.
• Contadores de uso — 12 meses, para acompanhar custo e abuso.
• Registros fiscais e de pagamento — pelo prazo legal, mesmo depois de você apagar a conta. É obrigação, não escolha.
• Sinais de catálogo — indefinidamente, porque viram estatística agregada; deixam de estar ligados a você quando a conta é apagada.
• Seu perfil de medição no PostHog — e aqui precisamos ser desconfortavelmente francos, porque a mudança de 15 de setembro de 2026 criou um caso que não existia. Desde essa data o PostHog guarda um perfil seu, com o seu e-mail, e as gravações de tela ficam ligadas a ele. Excluir a conta no app não apaga esse perfil: o botão apaga o que está no nosso banco, e o PostHog é outro sistema. Se você quiser que ele também seja apagado, peça pela seção 8 e nós apagamos. É um pedido por e-mail, não um botão, e dizer isso é melhor do que deixar você supor que o botão resolve tudo. Desligar a medição antes de excluir a conta evita que o perfil continue recebendo qualquer coisa.

8. Seus direitos, e como exercer sem pedir licença

Dois dos direitos mais trabalhosos você exerce sozinho, na hora, sem falar com ninguém:

• Portabilidade e acesso — app → Ajustes → Baixar meus dados. Sai um arquivo com tudo, em formato aberto.
• Eliminação — app → Ajustes → Excluir conta. Apaga a conta, os dados do veículo, o histórico, os lançamentos, o texto dos seus feedbacks e os anexos de nota fiscal. Cinco coisas sobrevivem, e a seção 7 diz exatamente quais e por quê: registros fiscais, um eventual pedido de arrependimento (que é o seu comprovante), telemetria de custo sem dono, as correções de catálogo e — desde 15 de setembro de 2026, e esta é a única que identifica você — o seu perfil de medição no PostHog, que sai mediante pedido.

Correção você faz editando no app. Para qualquer outro pedido, escreva para contato@usezelo.app.

A lista completa do art. 18 é esta, e nenhum item dela depende de você justificar por quê: confirmação de que tratamos seus dados; acesso a eles; correção de dado incompleto, inexato ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei; portabilidade; eliminação; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e o que acontece se você não consentir; e revogação do consentimento, onde ele for a base. Você também pode se opor a qualquer tratamento que fazemos com base em legítimo interesse — os dois casos estão marcados como tal na seção 3.

Os prazos, como a lei os define — e não como seria mais confortável para nós:

• Na hora: confirmação de que temos dados seus e acesso em formato simplificado (art. 19, I). Na prática você nem precisa pedir: Ajustes → Baixar meus dados faz isso sozinho, a qualquer hora.
• De imediato: correção, eliminação, anonimização, bloqueio, portabilidade e oposição (art. 18, §3º). Fazemos assim que o pedido chega e conferimos sua identidade. Se por algum motivo concreto não der para fazer na hora, respondemos dizendo por quê e quando (art. 18, §4º).
• Até 15 dias: a declaração completa de acesso, com origem, critério, finalidade e duração de cada tratamento (art. 19, II).

Quando corrigirmos, apagarmos, anonimizarmos ou bloquearmos algo, avisamos os fornecedores com quem tínhamos compartilhado para que façam o mesmo (art. 18, §6º).

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), a um PROCON, ou usar o consumidor.gov.br.

9. O que fica no seu aparelho

O Zelo é um app local-first: ele guarda seus dados no armazenamento local do navegador e funciona offline. Ficam aí o estado do app (veículos, plano, histórico, lançamentos), a sessão de login, a conversa com o assistente e a fila de sinais ainda não enviados.

Fica aí também o seu desligamento da medição, se você desligou, com a data. É ele que mantém a medição desligada a cada visita, e é por isso que a decisão vale por aparelho. Com a medição ligada, ficam o identificador aleatório usado na medição e as marcas de “isto já aconteceu uma vez” (o primeiro lançamento, o plano ficar pronto), que existem para o mesmo evento não ser contado duas vezes. Apagar tudo no app limpa essas marcas e o identificador, e preserva o desligamento.

Limpar os dados do site no navegador apaga isso tudo do aparelho. Se você tem conta, o que estava sincronizado volta no próximo login; o que era só local, não.

10. Segurança

Tráfego sempre por HTTPS. O acesso aos dados é controlado linha a linha no banco (row-level security): tecnicamente, uma conta não consegue ler a linha de outra — não é uma verificação no código do app, é uma regra no próprio banco. Anexos ficam em repositório privado, acessível apenas pelo dono.

Não existe senha para vazar. Em compensação, quem tem acesso ao seu e-mail tem acesso à sua conta — cuide dele com o mesmo zelo.

Nenhum sistema é perfeito. Se houver incidente de segurança com risco relevante, comunicaremos você e a ANPD, como manda a lei.

11. Crianças e adolescentes

O Zelo não se destina a menores de 18 anos e não coletamos dados de crianças conscientemente. Se souber que um menor criou conta, escreva para contato@usezelo.app e apagamos.

12. Mudanças nesta política

Se mudarmos algo relevante — nova finalidade, novo operador, mudança em retenção — atualizamos a data no topo e avisamos por e-mail antes de a mudança valer.