Política de Privacidade

Resumo em 30 segundos

• Coletamos o mínimo necessário para entregar o serviço. Sem publicidade, sem venda de dados e sem rastreamento entre aplicativos — registramos eventos de uso do próprio app, no nosso banco, para saber onde a configuração trava (item 2.11)
• As varreduras do Monitor (lista de apps, fotos, contatos) acontecem no seu aparelho — o conteúdo não é enviado pro servidor
• Sua localização contínua só é enviada durante um incidente real, para o seu Contato Seguro te ajudar. Fora de incidente, o app envia periodicamente uma posição junto do "sinal de vida" — é o que faz o Radar e o aviso de silêncio prolongado funcionarem. Ela vem do próprio aparelho em modo de precisão reduzida e é enviada como veio, sem arredondar; apagada em 30 dias. Se você ativar o Vigia, sua posição também é compartilhada com os contatos que você escolher, só enquanto a sessão durar
• As fotos de evidência (recurso opcional que você ativa) ficam na galeria e passam pelo nosso servidor por até 30 dias, só pra te enviar um link por e-mail
• Você pode apagar a conta pelo app a qualquer momento — a exclusão é imediata — e pedir uma cópia dos seus dados por e-mail. O pouco que a lei nos obriga a guardar depois está no item 6

1. Controlador dos dados

Twelveworks Desenvolvimento de Softwares Ltda., CNPJ 67.234.857/0001-47, com sede na Rua Pais Leme, 215, Conj. 1713, Pinheiros, São Paulo/SP, CEP 05424-150, responsável pelo tratamento dos seus dados pessoais. Encarregado(a) pela Proteção de Dados (DPO): contato@shieldapp.com.br.

2. Quais dados coletamos

2.1 Dados de cadastro

• E-mail (obrigatório, identifica sua conta)
• Telefone com DDD (obrigatório, usado pra recuperação e pareamento de contatos seguros — armazenado criptografado no servidor)
• CPF (opcional — usado pra montagem do kit de Boletim de Ocorrência e controle antifraude do período de avaliação; armazenado criptografado no servidor)

2.2 Configuração do app

• PINs (armazenados apenas como hash criptográfico — nunca temos acesso ao PIN em si)
• Preferências de proteção (botão de pânico, ícone disfarçado)
• Identificador de notificações do aparelho (push token). Serve para mostrar notificações e para enviar sinais silenciosos, que nada mostram na tela — como o acionamento remoto pelo seu Contato Seguro, o encerramento da defesa e o pedido de sinal de vida quando o aparelho para de responder. Ele é registrado mesmo que você negue as notificações nos ajustes do sistema: essa permissão controla só o que aparece na tela, e o acionamento remoto faz parte do serviço. Nesse caso avisamos o nosso servidor, e os alertas de emergência e convites destinados a você seguem também por WhatsApp e e-mail. A entrega dos sinais silenciosos depende da Apple e do Google e pode atrasar ou falhar (por exemplo, com o app encerrado à força ou sem internet). Você escolhe em Defesa › Contatos Seguros quem pode acionar a defesa à distância
• O SHIELD não faz leitura biométrica. Face ID e código de bloqueio são da Apple e do seu aparelho — o app apenas verifica se existe alguma trava configurada, sem acessar seus dados biométricos.
• Locais de Confiança que você define (nome, latitude, longitude e raio)
• Lista dos seus contatos seguros (nome e telefone)

2.3 Tratado localmente, fora do servidor

As varreduras do Monitor (lista de apps instalados, metadados de fotos, contatos da agenda, texto de imagens da galeria — fotos e capturas de tela) acontecem 100% no seu aparelho. Nada disso é enviado pra nossos servidores. O que persiste no nosso banco são apenas contagens por tipo de achado (ex.: “3 possíveis senhas”), sem o texto, a imagem ou o caminho do arquivo. O Monitor sinaliza e orienta — ele não apaga dados seus nem de terceiros.

2.4 Localização

• Locais de Confiança (aproximada, local): usada em segundo plano pra confirmar entrada e saída dos lugares que você cadastrou. Tratada no próprio aparelho
• Durante incidente (precisa, contínua): enviada pro servidor em intervalos curtos enquanto o incidente estiver ativo, exclusivamente pra que seu Contato Seguro consiga te ajudar. Termina quando o incidente é encerrado
• Sinal de vida e Radar (periódica): fora de incidente, o app envia junto do "sinal de vida" a posição que o aparelho tem no momento. Quando não há uma posição recente guardada, ele pede uma ao sistema em modo de precisão reduzida (na casa de dezenas a centenas de metros) — e envia as coordenadas como o aparelho devolveu, sem arredondar. Serve pra avisar você quando está perto de uma área com histórico recente de roubo e pra detectar se o aparelho ficou em silêncio por tempo demais (alertando seu contato). Apagada automaticamente após 30 dias
• Vigia (voluntária, por sessão): se você iniciar uma sessão do Vigia, sua posição é enviada em intervalos curtos aos contatos que você escolheu, sem precisar de incidente. Termina quando a sessão expira ou você encerra
• Sua localização nunca é vendida nem usada pra publicidade — ela só chega às pessoas que você cadastrou como Contato Seguro

2.5 Palavra Segura — leitura de SMS e de notificações de mensagem (Android, recurso opcional, com seu consentimento explícito)

Você pode definir uma palavra secreta que fica guardada apenas no seu aparelho — ela nunca é enviada aos nossos servidores. Se você ligar este recurso, o SHIELD passa a procurar essa palavra em dois lugares, e só para isso:

• Nos SMS recebidos. O SHIELD pede a permissão de receber SMS (RECEIVE_SMS). Ele não pede permissão para ler o seu histórico de mensagens nem para enviar mensagens. O número de quem enviou não é lido
• Nas notificações dos aplicativos Mensagens (Google) e Samsung Messages, se você conceder o acesso a notificações. Isso existe porque mensagem entregue por RCS — o formato padrão entre celulares atuais — não chega como SMS, e sem isso a palavra não funcionaria no canal de mensagem mais usado hoje. O Android entrega ao SHIELD todas as notificações do aparelho; o SHIELD descarta, sem abrir, tudo o que não vier desses dois aplicativos

O que acontece com o texto: a comparação é feita no próprio aparelho, em memória, e o resultado é apenas “sim” ou “não”. O conteúdo da mensagem, o remetente e o nome do aplicativo não são guardados, não são registrados em log e não são enviados a ninguém — nem a nós. Nosso servidor só fica sabendo que uma proteção foi acionada, e não consegue saber por qual dos dois caminhos.

Os dois consentimentos são separados e você pode revogar qualquer um a qualquer momento: dentro do SHIELD, em Defesa › Palavra Segura, ou nas configurações do Android (Apps › SHIELD › Permissões › SMS, e Acesso a notificações › “Monitor de mensagens”). Sem o acesso a notificações, nada quebra: a palavra continua funcionando por SMS.

2.6 iOS — Family Controls (Screen Time API), com sua autorização explícita

No iPhone, o SHIELD pode usar as APIs Family Controls da Apple (Screen Time) para esconder da tela os apps que você escolher proteger (por exemplo, banco, mensageiros) quando você está fora dos seus locais de confiança. Como funciona:

• Você seleciona explicitamente quais dos seus próprios apps quer proteger, usando o seletor oficial da Apple (FamilyActivityPicker)
• A seleção é armazenada localmente em um token opaco gerenciado pelo iOS. O SHIELD não tem acesso ao nome ou identidade dos apps selecionados
• Nada sobre o uso desses apps sai do aparelho — não enviamos lista de apps, frequência, horários ou conteúdo pro servidor
• O SHIELD é operado exclusivamente pelo dono do aparelho. Não é controle parental: não monitoramos uso de familiares, filhos, parceiros ou terceiros
• Você pode revogar a autorização Family Controls a qualquer momento em Ajustes do iOS → Tempo de Uso

2.7 Android — Acesso de uso, sobreposição de tela e administração do dispositivo (com sua autorização explícita)

No Android, o Modo Sigilo usa as permissões Acesso de uso e Exibir sobre outros apps para trancar com PIN os apps que você escolher proteger quando você está fora dos seus locais de confiança. Como funciona:

• Você seleciona explicitamente quais dos seus próprios apps quer proteger e quais lugares são de confiança
• O Acesso de uso é lido apenas pra identificar qual app está em primeiro plano (o nome do pacote) — nunca o conteúdo das telas, textos, mensagens ou senhas
• Quando um app protegido abre fora de um local de confiança, o SHIELD exibe um pedido de PIN por cima dele antes de liberar o acesso. Diferente do iPhone, o ícone do app continua visível no aparelho
• A permissão de Administração do dispositivo é usada apenas pra bloquear a tela durante um incidente. O SHIELD não apaga (wipe) o seu aparelho remotamente
• Nada sobre o uso desses apps sai do aparelho — não enviamos lista de apps, frequência, horários ou conteúdo pro servidor
• Você pode revogar as permissões a qualquer momento em Configurações do Android → Apps → Acesso especial de apps

2.8 Evidências durante incidente (recurso opcional)

A captura de fotos de evidência é um recurso opcional, que você ativa explicitamente na tela de Captura de Evidência do app, registrando ali o seu consentimento. Enquanto não ativado, o SHIELD não captura nenhuma foto. Quando ativado:

• Fotos da câmera são capturadas apenas durante um incidente ativo, para você preservar prova do crime (ex.: para o Boletim de Ocorrência). O indicador de câmera do sistema acende durante a captura — não é removível
• Histórico do incidente (horários, passos executados, alertas enviados) é registrado

As fotos podem conter o rosto de terceiros (como o autor do crime), o que é dado pessoal sensível. Por isso esta parte é detalhada e honesta:

• As fotos ficam na galeria do seu aparelho, sempre que possível
• Para te enviar uma cópia que sobrevive caso o aparelho seja levado, geramos um link de acesso temporário (válido por 7 dias) e mandamos por e-mail — se o aparelho tiver rede no momento. Pra isso funcionar, a foto passa pelo nosso servidor e fica armazenada por até 30 dias, depois é apagada automaticamente
• Exceção: quando o incidente é acionado remotamente pelo seu Contato Seguro (e não por você), a foto fica apenas no seu aparelho até você abrir o SHIELD e decidir guardar (aí sobe) ou descartar
• No servidor, as fotos trafegam por canal seguro, ficam cifradas em repouso e com acesso interno restrito e auditado. Atuamos como Controlador desse dado, com uso exclusivo de preservação de prova pela vítima

Não prometemos criptografia “ponta a ponta” nem que “nem nós conseguimos ver” — enquanto a foto está no servidor, tecnicamente conseguimos acessá-la pra operar o serviço, e podemos ser obrigados a fornecê-la mediante ordem judicial válida. O uso que você faz dessas imagens fora do fim de prova (por exemplo, publicar em redes sociais) é de sua responsabilidade e pode violar direitos do retratado.

2.9 Lista de espera / formulários (este site)

Se você deixar seu e-mail num formulário deste site, guardamos apenas o e-mail, a página de origem e a data — com a finalidade única de responder ou te avisar. Base legal: seu consentimento, dado no momento do envio. Você pode pedir a remoção a qualquer momento em contato@shieldapp.com.br. Não compartilhamos esse e-mail com terceiros para marketing.

2.10 Logs e diagnóstico

• Registros de acesso (Marco Civil da Internet, art. 15): o endereço IP de onde o app da sua conta se conecta ao nosso servidor — com o app aberto e quando a proteção roda em segundo plano — e a data e hora dessas conexões, pelo relógio do servidor. Guardamos o início e o fim de cada período de uso a partir de um mesmo IP. O IP é o que a nossa infraestrutura de rede enxerga, não um dado que o aparelho informa. Não registramos o que você fez no app, nem de qual aparelho — só de onde e quando. Ficam sob sigilo, com acesso restrito e registrado, e só são entregues a terceiros com ordem judicial. Prazo: item 6
• Diagnóstico de rede do app (tempos de resposta e falhas de conexão): fica só no seu aparelho, visível em Ajustes, e não é enviado para nós

2.11 Eventos de uso do app

Registramos ações, nunca conteúdo. Hoje isso significa: qual tela foi aberta (o nome da rota, não o que há nela); qual aviso, dica ou passo de segurança foi exibido, dispensado ou restaurado; a abertura da tela de planos; o início e a conclusão da criação de um Local de Confiança; o envio de um convite de contato; o início de uma varredura do Monitor; o compartilhamento de um convite ou de um alerta do Radar, e o toque no aviso do Radar; e as conquistas desbloqueadas no período de avaliação. Junto vão números de contexto do seu uso — quantos Locais de Confiança e contatos você tem, quantos apps em Sigilo, o raio escolhido, o tempo desde o cadastro.

Cada evento fica ligado à sua conta — não é anônimo. E nenhum deles carrega seu nome, telefone, e-mail, localização ou o conteúdo de nada que você escreveu, fotografou ou guardou. A lista de eventos possíveis é fechada no servidor: o app não consegue enviar nada fora dela, e cada registro tem tamanho limitado.

Isso não passa por ferramenta de terceiro. Os eventos ficam no nosso próprio banco de dados, na mesma infraestrutura que já hospeda a sua conta (Supabase) — sem Google Analytics, Firebase, Sentry, Mixpanel ou equivalente, sem identificador de publicidade e sem rastreamento entre aplicativos. Para que serve, com qual base legal e como se opor: item 3.4. Por quanto tempo: item 6.

2.12 Motivo de saída (quando você escolhe contar)

Quando você sai da sua conta em um aparelho, enviamos um e-mail avisando — é a única forma de você saber que a proteção daquele aparelho foi desligada, caso não tenha sido você. Esse e-mail traz quatro botões perguntando por que você saiu ("algo não funcionou", "não estava usando", "achei difícil de configurar", "outro motivo"). Responder é opcional: só registramos se você tocar em um deles e confirmar na página seguinte. Guardamos a opção escolhida ligada à sua conta — nada além disso, e nenhum texto livre. Se preferir escrever, você pode responder o e-mail, e aí vale o item 2.9.

2.13 Relatório de erro do app

Quando o app encontra um erro que trava uma tela ou faz o aplicativo fechar, ele registra o que aconteceu: a hora, o tipo do erro, a mensagem técnica e o rastro de código que levou até ali. Esse registro sempre existiu e você o vê no seu aparelho, em Ajustes → Diagnóstico. Desde setembro de 2026 ele também é enviado para o nosso servidor.

Junto vão a versão do app e qual atualização estava rodando — é o que permite ligar uma falha à publicação que a causou. Não vão a sua localização, suas fotos, o que você escreveu ou o conteúdo das suas telas.

Antes de enviar, o app remove do texto o que possa identificar alguém: e-mails, telefones, CPFs, números longos e códigos de acesso. Ainda assim, mensagem de erro é texto livre, então tratamos o resultado como se pudesse conter algo seu — no servidor o acesso é restrito à operação interna, nenhuma conta de usuário consegue ler esses registros, e tudo é apagado em 90 dias.

Isso não passa por ferramenta de terceiro — sem Sentry, sem Crashlytics, sem equivalente. Para que serve, com qual base legal e como se opor: item 3.4. Por quanto tempo: item 6.

3. Por que tratamos cada dado (base legal LGPD)

3.1 Execução do contrato (Art. 7º, V da LGPD)

E-mail, telefone, CPF, configuração do app, Locais de Confiança, contatos seguros, PINs e localização aproximada são processados para entregar o serviço que você contratou ao instalar o SHIELD.

3.2 Proteção da vida e da incolumidade física (Art. 7º, VII e Art. 11, II, “f”)

Localização precisa durante incidente ativo, fotos de evidência e histórico do incidente — tudo isso é tratado pra ajudar a proteger você em situação de risco real ou suspeito. As fotos de evidência têm também o seu consentimento explícito (Art. 11, I), dado na tela de Captura de Evidência.

Quanto à imagem de terceiros que possa aparecer nas fotos de evidência (ex.: autor do crime), o tratamento se apoia no exercício regular de direito em processo(Art. 11, II, “d”) e na proteção da incolumidade física e patrimonial da vítima (Art. 11, II, “f”) — sempre com finalidade restrita à preservação de prova.

A Palavra Segura do item 2.5 — a busca por uma palavra que você definiu, nos SMS recebidos e nas notificações dos dois aplicativos de mensagem listados lá — se apoia no seu consentimento (Art. 7º, I), dado separadamente para cada um dos dois acessos, somado ao legítimo interessede proteger você em situação de risco (Art. 7º, IX). O tratamento é o mínimo possível: a comparação ocorre no aparelho, o resultado é apenas “sim” ou “não”, e nada do conteúdo é retido.

3.3 Cumprimento de obrigação legal (Art. 7º, II)

Registros de acesso à aplicação (item 2.10), que o art. 15 do Marco Civil da Internet obriga a guardar por 6 meses — inclusive depois que você apaga a conta (LGPD, art. 16, I). Não guardamos dados de pagamento seus: a assinatura é vendida e cobrada pela App Store ou pelo Google Play, que ficam com esses dados e emitem o comprovante.

3.4 Legítimo interesse (Art. 7º, IX)

Nome e telefone do Contato Seguro (proteção em emergência) e CPF para prevenção a fraude no período de avaliação — sempre com ponderação dos direitos dos titulares.

Eventos de uso do app (item 2.11). Usamos para descobrir onde as pessoas travam ao configurar a proteção, medir quantas concluem cada etapa e corrigir o que não funciona. Um aplicativo de segurança que não enxerga onde a configuração falha protege menos — é por isso que medimos, e só por isso. Esses dados não servem a publicidade, não são vendidos e não são entregues a terceiros.

Motivo de saída (item 2.12). Serve para entender por que alguém desiste da proteção e corrigir a causa. Nunca é usado para publicidade nem para tentar te convencer a voltar por outros canais.

Relatório de erro do app (item 2.13). Serve para descobrirmos que o app quebrou para alguém antes de essa pessoa precisar nos avisar — e, quando a causa é uma atualização ruim, para revertê-la rápido. Um aplicativo de segurança que falha em silêncio protege menos do que promete. Esses dados não servem a publicidade, não são vendidos e não são entregues a terceiros.

Você pode se opor. A oposição vale para os três registros acima — eventos de uso, motivo de saída e relatório de erro. Escreva para contato@shieldapp.com.br pedindo para parar esse registro na sua conta e apagar o que já foi registrado. Respondemos em até 15 dias, e o app continua funcionando igual. Apagar a conta apaga tudo isso junto, automaticamente. Parar esse registro não desliga o sinal de vida do aparelho, o histórico de incidentes nem os registros de segurança: esses não são medição de uso — são a proteção em si.

Avisos de compra da Apple e do Google. Guardamos os avisos que as lojas nos mandam sobre compras, renovações, reembolsos e cancelamentos, para manter sua assinatura correta e resolver eventual contestação de cobrança (legítimo interesse e exercício regular de direitos — art. 7º, IX e VI). Eles trazem o número da transação da loja e o tipo do aviso — nunca dados do seu cartão. Prazo: item 6.

4. Com quem compartilhamos

Não vendemos nem cedemos seus dados. Compartilhamos o mínimo necessário com os prestadores de serviço (operadores) necessários pra operar o produto:

• Supabase Inc. (empresa dos EUA; servidores em São Paulo, Brasil): infraestrutura de banco de dados, autenticação, funções server-side e armazenamento (inclusive das fotos de evidência, por até 30 dias). Seus dados ficam armazenados no Brasil
• Z-API (provedor de WhatsApp): envio das mensagens de convite e alerta aos seus contatos seguros. Recebe o nome e telefone do contato e o seu nome no alerta — não a sua localização nem dados sensíveis
• Resend (EUA) e Gmail / Google (EUA): envio de e-mails de alerta, de recuperação (código OTP) e do link de acesso às fotos de evidência; e a caixa de entrada onde chegam as mensagens que você manda pelo “Falar com a gente” (com seu nome, e-mail, plano e o texto). Recebem o seu endereço de e-mail e o conteúdo da mensagem
• Stripe (EUA): não é usada para cobrar — hoje a assinatura é sempre pela App Store ou pelo Google Play. Se existir um cadastro antigo seu lá, de um canal de pagamento pelo site que não está mais em uso, ele é cancelado e apagado quando você exclui a conta
• Apple (App Store) e Google (Google Play): processamento da assinatura e da cobrança quando você assina um plano pago pelo app. O pagamento é tratado pela loja; o SHIELD não recebe os dados do seu cartão
• Expo (650 Industries, EUA): encaminha as notificações e os sinais silenciosos à Apple e ao Google e distribui atualizações do app. Recebe o identificador de notificações e o conteúdo da notificação (por exemplo, o primeiro nome no alerta) ou do comando (tipo e identificador do incidente — sem localização)
• APNs (Apple) / FCM (Google): entrega de notificações e sinais silenciosos ao aparelho (identificador de notificações + conteúdo da notificação)
• Vercel Inc. (EUA): hospedagem deste site
• CARTO / OpenStreetMap: exibição dos mapas. Recebem a requisição da área aproximada exibida na tela — não recebem seu nome, e-mail ou identificadores da conta
• Nominatim / OpenStreetMap Foundation (Reino Unido): quando um incidente gera um e-mail com o link da delegacia eletrônica, nosso servidor envia as coordenadas do incidente para descobrir em qual estado ele aconteceu. Não vai nome, e-mail nem identificação da conta
• ViaCEP (Brasil): quando você digita um CEP ao criar um Local de Confiança, o app consulta o endereço desse CEP. Recebe o CEP e o endereço IP do seu aparelho
• Serviço de mapas do sistema — Apple (iPhone) ou Google (Android): transforma o endereço ou CEP que você digita em coordenadas, e coordenadas em endereço ou estado (por exemplo, para o Radar saber em que estado você está e para mostrar o endereço de um ponto no mapa). Recebe o endereço digitado ou as coordenadas, conforme as regras da Apple e do Google para esse serviço

Quando a lei exigir, compartilhamos com autoridades competentes — registros de acesso, só com ordem judicial (Marco Civil, art. 15, §3º); dados cadastrais, só a autoridade com competência legal para pedi-los (Marco Civil, art. 10, §3º). Sempre o estritamente necessário.

Cópias que ficam com terceiros. O que já foi entregue a outras pessoas ou empresas não conseguimos apagar de lá — nem quando você apaga a conta:

• E-mails que enviamos continuam na caixa de quem recebeu (a sua e a dos seus Contatos Seguros) e nos registros de envio da Resend e do Google, pelo prazo da política de cada um. Os links de fotos param de funcionar quando as fotos são apagadas
• Mensagens de WhatsApp já entregues continuam no celular de quem recebeu
• Apple e Google guardam o histórico da sua compra conforme a política de cada loja
• Os demais fornecedores desta lista recebem só o necessário no momento do uso e guardam conforme a política de cada um

5. Como protegemos seus dados

• CPF e telefone do titular armazenados criptografados no servidor (chave protegida e separada da aplicação)
• PINs nunca são armazenados em texto puro — apenas hash criptográfico (bcrypt)
• Fotos de evidência cifradas em repouso no servidor, com retenção de 30 dias e acesso interno restrito e auditado
• HTTPS em todas as comunicações cliente-servidor
• Capturas de tela: nenhum dos dois sistemas permite que o SHIELD impeça capturas de tela ou gravações feitas por quem está com o aparelho na mão. No iOS o SHIELD detecta e registra capturas durante um incidente
• Isolamento por usuário no banco de dados (Row Level Security) — cada conta acessa apenas os próprios dados
• Acesso interno aos dados restrito a funções operacionais necessárias e auditado
• Nenhum SDK de terceiro de analytics, rastreamento ou publicidade. Os eventos de uso do item 2.11 ficam no nosso próprio banco, sem permissão de leitura para contas de usuário — o acesso é restrito à operação interna

6. Por quanto tempo guardamos

• Dados de conta: enquanto sua conta estiver ativa
• Identificador de notificações do aparelho (push token): até você sair da conta ou excluí-la. Se a saída acontecer sem internet, ele continua vinculado à conta até o próximo acesso ou a exclusão
• Logs de localização durante incidente: 90 dias após o encerramento (incidentes que nunca foram encerrados são apagados 90 dias após a criação)
• Posições do "sinal de vida" (Radar / detecção de silêncio): 30 dias
• Eventos de uso do app (item 2.11): 180 dias, apagados automaticamente todos os dias
• Registros de incidente: 90 dias após o encerramento
• Fotos de evidência no nosso servidor: 30 dias após o incidente, apagadas automaticamente. As cópias na sua galeria ficam sob seu controle; o link enviado por e-mail expira em 7 dias — a foto continua no servidor por 30, então dá pra pedir um link novo pelo suporte dentro desse prazo
• Relatório de erro do app (item 2.13): 90 dias, apagados automaticamente todos os dias
• Motivo de saída (item 2.12): enquanto sua conta existir — apagado junto com ela
• Registros de acesso (item 2.10): 6 meses, apagados automaticamente — inclusive depois que você apaga a conta, porque a lei obriga (Marco Civil, art. 15; LGPD, art. 16, I). Só ficam mais tempo se uma autoridade pedir formalmente que sejam preservados para uma investigação (Marco Civil, art. 15, §2º), e só pelo prazo desse pedido
• Avisos de compra da Apple e do Google: 24 meses, apagados automaticamente. Quando você apaga a conta, deixam de ser ligados a ela e guardam só o número da transação da loja
• Mensagens ao suporte: 24 meses após o último contato, ou até você apagar a conta
• Cópias de segurança do nosso provedor (backups): até 7 dias, substituídas automaticamente. Não são consultadas para nada além de recuperar o serviço em caso de falha

Apagar a conta. Em Ajustes › Apagar minha conta, confirmando com o PIN de acesso, a exclusão é imediata: apagamos perfil e login, configurações e PINs, Locais de Confiança, grupos de apps, contatos seguros (inclusive os vínculos em que você é Contato Seguro de alguém), incidentes e rastros de localização, fotos de evidência, dados do Celular Seguro, do Vigia, do Radar e do Monitor, eventos de uso, relatórios de erro, motivo de saída, o registro da assinatura, e-mails agendados, mensagens ao suporte e o seu e-mail na lista de espera do site. Com uma defesa em andamento, a exclusão só é liberada depois que você a encerra com o PIN de acesso — para que ninguém com o seu celular apague a prova de um roubo.

O que continua guardado depois: os registros de acesso (6 meses); uma lista mínima de contas apagadas — o identificador interno da conta, as datas de criação e exclusão e uma versão do e-mail e do telefone cifrada com uma chave nossa, que não permite ler o e-mail ou o telefone, só conferir se o de uma ordem judicial é o mesmo —, também por 6 meses, usada apenas para localizar os registros de acesso e para apagar seus dados de novo se precisarmos restaurar uma cópia de segurança; e os avisos de compra das lojas, sem ligação com você. Detalhes e o pedido por e-mail: apagar minha conta.

7. Recuperação de acesso (sem depender do seu chip)

Se você esquecer o seu PIN, a recuperação é iniciada dentro do app e usa um código de verificação (OTP) de 6 dígitos enviado pro e-mail da sua conta e/ou a aprovação do seu Contato Seguro, com tempos de espera de segurança. Nenhum desses fluxos envia SMS pro seu número — isso dificulta que um criminoso com o seu chip recupere a sua conta. (Não confundir com a Palavra Segura do item 2.5: lá o SHIELD recebe uma mensagem que você combinou com alguém de confiança, e nunca envia nenhuma.)

8. Seus direitos LGPD

Você pode, a qualquer momento, exercer:

• Acesso aos seus dados
• Retificação de dados incompletos ou desatualizados
• Anonimização ou eliminação de dados desnecessários
• Portabilidade dos dados
• Eliminação dos dados (exceto os que precisamos manter por obrigação legal)
• Informação sobre compartilhamento
• Revogação de consentimento

Solicite por contato@shieldapp.com.br. Respondemos pedidos de direitos da LGPD em até 15 dias.

9. Cookies neste site

Usamos apenas cookies estritamente necessários pro funcionamento do site (sessão e preferências básicas). Não usamos cookies de análise nem de marketing.

10. Crianças e adolescentes

O SHIELD não se destina a menores de 18 anos e não é direcionado a crianças. Não coletamos intencionalmente dados de menores. Se identificarmos uma conta de menor de idade sem o consentimento específico dos responsáveis (Art. 14 da LGPD), poderemos suspendê-la e eliminar os dados.

11. Alterações nesta política

Mudanças relevantes serão comunicadas com 30 dias de antecedência por e-mail e/ou notificação no app. A versão vigente está sempre nesta página, com a data da última atualização no topo. Você também pode contatar a Autoridade Nacional de Proteção de Dados (ANPD) — www.gov.br/anpd.