Política de Privacidade

Última atualização: 20 de outubro de 2026

O que coletamos

• Informações da conta: Endereço de e-mail e nome de exibição (para criar sua conta e personalizar sua experiência).
• Entradas do diário: O texto que você escreve, incluindo metadados (datas, tags, tipo de entrada). Armazenado em nosso banco de dados PostgreSQL.
• Relacionamentos: Nomes que você menciona nas entradas usando @menções. São apenas nomes — não coletamos informações de contato de outras pessoas.
• Emoções e temas: Extraídos de suas entradas pela nossa IA. Inclui emoções (primárias e secundárias), intensidade (1–10), direção emocional (positiva/negativa), temas de vida (ex: relacionamentos, carreira, saúde), gatilhos e um breve resumo. Armazenados como dados estruturados ao lado de cada entrada.
• Conversas do Explorar: Seus chats com o recurso Explorar IA, incluindo suas perguntas e as respostas da IA.
• Uma resposta que você marca como "Não está certo?": O motivo que você escolheu, qual modelo de IA escreveu a resposta, e quando. Não guarda cópia das suas palavras, da resposta nem das suas entradas, e serve só para contar onde o Explorar erra, por motivo e por modelo. É apagado junto com aquela conversa, e você pode desfazer logo abaixo da resposta.
• Memória do usuário: Enquanto você conversa com o Explore, o Pensio pode anotar algumas coisas que você conta — um nome, uma preferência, um padrão, um fio que você deixou em aberto — para que as conversas seguintes tenham contexto sobre você. Isso fica guardado na sua conta. Você pode ver, corrigir, deixar de lado ou excluir permanentemente qualquer uma delas na página Memória.
• Insights: Relatórios semanais e mensais gerados por IA sobre seus padrões emocionais, temas recorrentes e mudanças ao longo do tempo. São resumos derivados de suas entradas, armazenados na sua conta.
• Fotografias de páginas manuscritas: Se você fotografar páginas de um diário de papel, guardamos as fotografias e enviamos cada uma a um serviço de IA que lê a caligrafia e a transforma em texto — qualquer outra coisa visível no enquadramento vai junto. A fotografia permanece anexada à entrada em que se torna; nada é salvo no seu diário até você revisar a leitura e adicioná-la você mesmo.
• Pensio no relógio: Se você usa o Pensio num Apple Watch ou num relógio Wear OS, o relógio nos envia o que você faz nele — um sentimento, uma linha ou uma gravação — com o momento em que você fez, e cada um vira uma entrada no seu diário como qualquer outra; uma gravação é escrita pelo mesmo serviço de transcrição de uma feita no celular. Quando você conecta um relógio, guardamos o nome que ele dá a si mesmo, se é um Apple Watch ou um relógio Wear OS, e um identificador que o próprio relógio cria, para que as Configurações possam listá-lo em Apps conectados e você possa pará-lo ali; conectá-lo, pará-lo e desconectar nele registram, cada um, uma linha no seu registro de segurança. O relógio guarda o próprio acesso no relógio, criptografado, e esse acesso pode adicionar ao seu diário, mas não pode lê-lo: nunca enviamos ao relógio nada do que você escreveu. Ele recebe só os sentimentos que pode oferecer, quantas entradas de voz você ainda tem e o seu email, para mostrar de quem é o relógio. O que você faz sem conexão espera no relógio até ser enviado e é apagado do relógio assim que o recebemos; desconectar no relógio apaga o que ainda estiver esperando. O app do relógio não pede acesso aos seus batimentos, aos seus dados de saúde, à sua localização nem a nenhum outro sensor, e usa o microfone só enquanto você está gravando.
• Registros de acesso: Cada vez que você entra ou sai — incluindo uma tentativa de entrada que falha — e cada vez que você muda sua senha, liga ou desliga a verificação em duas etapas, baixa seu diário, conecta ou para um aplicativo, muda seu e-mail ou pede para excluir sua conta, escrevemos uma linha no registro de segurança da sua conta: o que aconteceu, quando, o endereço IP de onde veio a solicitação, e como o navegador ou aplicativo se identificou. O registro é seu antes de ser nosso: você pode ler ele inteiro em Configurações → Segurança, que é onde você iria para descobrir se um acesso foi você.
• Dispositivos em que você está conectado: Para cada dispositivo que mantém uma sessão no momento, guardamos o endereço IP de onde ele foi usado pela última vez, como o navegador ou aplicativo se identificou, e quando ele esteve ativo pela última vez, para que a lista em Configurações consiga mostrar o que está conectado e deixar você desconectar.
• Solicitações à nossa API: Além do site, o Pensio tem uma interface com a qual os aplicativos conversam — o plugin do Obsidian, os aplicativos de celular, e qualquer assistente que você tenha conectado. Cada solicitação feita por ela escreve uma linha em um registro: qual endereço dentro do Pensio foi pedido — que pode nomear a entrada sendo buscada —, que tipo de solicitação era, se deu certo, quanto tempo levou, o identificador que o aplicativo informou para o dispositivo em que ele roda, e que tipo de conexão fez o pedido — o plugin do Obsidian, um assistente ou um token de API que você criou. Não há endereço IP nele e nada do que você escreveu. Guardamos por 90 dias, para conseguirmos ver o serviço funcionando e perceber um aplicativo sendo usado de forma abusiva.
• Como você nos encontrou: Quando você cria uma conta, anotamos nove informações curtas sobre como você chegou, e não perguntamos nada a você para obtê-las. Primeiro, um código de país de duas letras — "PT", "BR", "MX" — deduzido pela Cloudflare, a rede que fica na frente do Pensio, a partir da conexão pela qual veio o seu cadastro: ele chega até nós já reduzido a essas duas letras, e nenhum endereço é guardado como parte deste registro. Leia isso de forma restrita, porque é uma frase sobre este registro e não sobre o Pensio como um todo: criar uma conta também conecta você, e entrar grava o endereço de onde veio a solicitação no registro de segurança da sua conta e na lista de dispositivos em que você está conectado — ambos descritos acima, e ambos guardados enquanto a sua conta existir. Segundo, como você chegou à nossa página de cadastro ou de login: por uma busca, por um assistente de IA, por uma publicação em rede social, por um link em outro site, por um link de campanha marcado, ou indo direto. Se você se cadastrar no nosso aplicativo para iPhone, iPad e Mac ou no nosso aplicativo de Android, é em vez disso o que a App Store ou o Google Play disse ao aplicativo sobre como ele foi instalado: por um dos nossos anúncios ou links marcados, ou não. Terceiro, se você chegou a essa página a partir de outra página do Pensio, qual das nossas era. Quarto, quinto, sexto e sétimo, se você chegou até nós por um link que nós mesmos marcamos, as quatro palavras curtas que escrevemos dentro daquele link: em qual plataforma ele estava, como "reddit" ou "google"; como ele foi pago, como "cpc"; a qual campanha de publicidade ele pertencia, como "learn_2026_09_reddit"; e qual versão do anúncio era, como "a_tool", porque muitas vezes rodamos duas redações ao mesmo tempo para ver qual delas as pessoas acham útil. Juntas elas dizem em qual anúncio você clicou. Se o nosso aplicativo para iPhone, iPad e Mac foi instalado por um dos nossos anúncios na App Store, essas mesmas quatro guardam "apple_ads", se você tocou no anúncio ou só o viu, e os números que a Apple dá à nossa própria campanha e ao grupo de anúncios em que ele estava; se o nosso aplicativo de Android foi instalado pelo Google Play por um link que marcamos, elas guardam as etiquetas desse link. São palavras sobre nós e não sobre você, não significam nada para ninguém fora do Pensio, e só são escritas quando o link em que você clicou, ou a loja, realmente as carregava. Oitavo, se você se cadastrou no nosso site, no nosso aplicativo para iPhone, iPad e Mac ou no nosso aplicativo de Android. Nono, se foi num celular, num celular dobrável, num tablet ou num computador. Deliberadamente não guardamos um quinto tipo de marcação que os links de publicidade às vezes carregam, aquele feito para guardar as palavras que alguém digitou em uma caixa de busca, porque esse é sobre você e não sobre nós; pelo mesmo motivo não guardamos a palavra-chave para a qual um anúncio foi exibido na App Store. Também não guardamos o identificador de clique que uma rede de publicidade adiciona aos links dela, porque esse pode ser cruzado de volta com um perfil que a rede mantém sobre você, e o código de curta duração que a Apple dá ao nosso aplicativo para iPhone, iPad e Mac para perguntar sobre a instalação vai só para a Apple, nunca para nós. É só isso. Não é o seu endereço, não é a sua cidade, não são as suas coordenadas, e nunca é o endereço de uma página no site de outra pessoa. Também é, de propósito, muito mais grosseiro que o ponto exato que uma câmera grava dentro de uma foto, que é justamente o que removemos de toda foto enquanto guardamos isto: um país pode nos dizer que talvez valha a pena traduzir para um idioma, enquanto uma coordenada diz onde você estava parado. Escrevemos essas oito informações uma vez, no dia em que você se cadastra, e nunca as mudamos — elas descrevem como você chegou, não onde você está agora. Elas existem para duas decisões. Uma é para qual idioma traduzir o Pensio em seguida: o Pensio está em inglês, português do Brasil e espanhol, e lemos essas informações apenas como totais em uma tela interna, para ver de onde vem a demanda pelo próximo. A outra é se um anúncio que pagamos trouxe alguém, que é o motivo pelo qual a quarta informação foi adicionada em setembro de 2026, quando começamos a fazer pequenos testes pagos, as três seguintes uma semana depois, e a resposta das lojas de aplicativos e a oitava informação no mesmo mês: sem o nome do link, toda campanha parece igual a todas as outras para nós, sem o resto da marcação não saberíamos qual redação de um anúncio alguém realmente leu, e sem a resposta das lojas de aplicativos todo cadastro nos nossos aplicativos parecia ter vindo direto até nós. Nenhuma parte do Pensio consulta as suas individualmente, nada disso é usado para te segmentar nem para decidir qualquer coisa sobre você, e nada disso te segue para outro site. As nove estão na exportação dos seus dados, e são excluídas junto com a sua conta.

O que não coletamos

• Não vendemos seus dados. Nunca.
• Não exibimos anúncios.
• Não compartilhamos o conteúdo do seu diário com terceiros (exceto o provedor de LLM — veja abaixo).
• Não rastreamos você pela internet.
• Não criamos perfis publicitários nem vendemos dados comportamentais.

Podemos divulgar seus dados se exigido por lei (por exemplo, uma ordem judicial válida), mas só faremos isso quando legalmente obrigados e notificaremos você se permitido.

Como usamos IA

O Pensio usa grandes modelos de linguagem (LLMs) só se você ligar a IA do Pensio. Ele pergunta antes, numa página que lista o que é enviado e para quem, e você pode desligá-la em Configurações a qualquer momento. Quando ela está ligada, é usada para:

1. Extração de emoções: O texto da sua entrada é enviado a um LLM para identificar emoções. As emoções extraídas são armazenadas; o LLM não retém seu texto.
2. Reflexões semanais e mensais: os resumos curtos que o Pensio faz das suas entradas, com seus sentimentos e temas, são enviados a um LLM para escrever sua reflexão — não o texto completo das suas entradas. No Pro, uma sugestão de escrita pode ser criada a partir dessa reflexão.
3. Chat do Explorar: quando você faz uma pergunta no Explorar, só as entradas relevantes para a pergunta são enviadas como contexto ao LLM — não o diário inteiro —, junto com o que o Explorar lembra sobre você e, quando você menciona uma pessoa, as primeiras linhas das suas anotações privadas sobre ela. Enviamos o mínimo necessário para gerar uma resposta útil.
4. Memória do usuário: O Pensio guarda fatos das suas conversas no Explore (como nomes e preferências) para que as sessões futuras tenham contexto. Isso fica armazenado na sua conta, no nosso servidor, não nos servidores do provedor de IA. Você controla tudo — veja, corrija, deixe de lado ou exclua qualquer memória na página Memória.

Como isso se compara ao uso direto de chatbots de IA: Quando você usa ChatGPT, Claude ou Gemini pelos seus próprios aplicativos, suas conversas podem ser usadas para melhorar seus modelos a menos que você opte por sair. Com o Pensio, o conteúdo do seu diário nunca é usado para treinamento de IA, criação de perfis ou marketing — por nós ou pelos provedores de IA. Seu texto é processado em memória e descartado imediatamente. Os únicos dados que persistem são os que o Pensio armazena na sua conta, que pertencem a você e podem ser excluídos a qualquer momento.

Conectando assistentes de IA externos (MCP)

Se você tem o Pensio Pro, pode opcionalmente conectar um assistente de IA externo — como Claude, ChatGPT, Cursor ou Visual Studio Code — ao Pensio através do Model Context Protocol (MCP). Isso fica desativado por padrão e só acontece se você criar uma conexão em Configurações → Apps conectados.

• Somente leitura: Um assistente conectado pode ler e pesquisar seu diário. Ele não pode criar, editar ou excluir entradas — isso é garantido em nossos servidores, não apenas pelo assistente.
• Para onde vão suas palavras: Quando você pergunta a um assistente conectado sobre seu diário, as entradas relevantes são enviadas ao próprio modelo de IA dessa ferramenta para formar a resposta. Esse modelo opera sob os termos e a política de privacidade do fornecedor do assistente — não sob a configuração de retenção zero do OpenRouter do Pensio. Não podemos controlar como uma ferramenta de IA de terceiros que você escolher trata esse conteúdo, então revise os termos de privacidade do seu assistente antes de conectar.
• A hospedagem própria ainda não está disponível: Rodar o Pensio na sua própria máquina está no nosso roadmap. Hoje, todo assistente conectado lê o seu diário a partir dos servidores do Pensio.
• Você mantém o controle: Cada conexão é uma que você aprovou numa tela do Pensio, com um limite de leitura que você escolheu. Você pode reduzi-la ou pará-la a qualquer momento em Configurações → Apps conectados, e a próxima requisição do assistente é recusada. Se uma conexão ler uma quantidade incomum em uma hora, enviamos a você um e-mail com um link que a para.

Perguntas em Aberto, e o que ele lê

O Explore responde quando você pergunta algo. As Perguntas Abertas funcionam ao contrário: elas olham as suas entradas em busca de algo que valha a pena apontar, sem serem solicitadas. Isso acontece quando você abre a página — a análise roda enquanto a página carrega — e uma vez por dia no nosso próprio servidor, para podermos deixar um aviso no app quando a página tiver algo que você ainda não viu. Está em teste com um número pequeno de contas, e esta seção descreve exatamente o que isso envolve.

• A verificação diária não lê mais do que a página. Ela faz a mesma aritmética, sobre os mesmos dados derivados, e não chama nenhum modelo de IA. Não escreve nada sobre o que encontrou: o aviso no app diz apenas que há algo na página, nunca o que é, e nada disso é enviado por e-mail para você.
• Ele lê dados derivados, e os nomes que você deu às coisas. Ele usa o que o aplicativo já extraiu das suas entradas — a emoção, os temas, as datas e quem você mencionou — além do título que você deu a uma entrada, para que um cartão consiga dizer de qual delas se trata. O corpo do que você escreveu não é lido.
• Nenhum modelo de IA é chamado. A análise é aritmética simples no nosso próprio servidor. Nada sobre o seu diário é enviado para lugar nenhum por causa dela.
• O que guardamos é propositalmente pouco. Cada vez que a página decide algo, e cada vez que você aperta um dos botões dela, guardamos um registro curto disso: qual dos nossos próprios modelos de frase foi usado, algumas contagens, e se você silenciou o assunto, marcou um tópico como resolvido ou seguiu um link. Quando um registro é sobre uma pessoa ou uma entrada, ele guarda um substituto embaralhado de mão única — não dá para revertê-lo ao nome nem à entrada, e a mesma entrada é embaralhada de um jeito diferente em cada conta. O que continua legível são números e os nossos próprios rótulos. Esse registro também é o que impede a página de te oferecer a mesma coisa duas vezes.
• Isto somos nós construindo o recurso. Nós olhamos esses registros para descobrir se o Pensio percebe algo que valha a pena dizer. Isso é pesquisa interna, e preferimos dizer isso aqui do que descrever de outro jeito.
• Desligado significa que ele não olha. Você pode desligar em Configurações → O que ele lê. Quando está desligado, as suas entradas não são analisadas de forma alguma — nada sobre o seu diário é examinado ou registrado, em vez de examinado e mantido em silêncio. A verificação diária faz parte disso: uma conta com isto desligado é pulada antes de qualquer leitura.

O que a IA não faz

• Os provedores de IA não se lembram de você — não há perfil persistente seu em nenhum servidor de provedor de IA. O recurso de Memória do Usuário do Pensio armazena fatos que você compartilha em conversas, mas esses dados vivem na sua conta sob seu controle, não na infraestrutura do provedor de IA. Você pode excluí-los a qualquer momento.
• Seus dados nunca são misturados com dados de outros usuários quando processados pela IA. Cada solicitação contém apenas seu conteúdo, isolada de todos os outros usuários.
• Nunca enviamos as palavras que você escreveu para uma ferramenta de análise, e ninguém aqui lê as suas entradas para fazer pesquisa.
• Os provedores de IA não criam perfis comportamentais com base em suas entradas.
• Os modelos de IA não são personalizados ou adaptados com base nos seus dados. Cada solicitação de usuário é processada pelo mesmo modelo de uso geral.

Provedores de IA e tratamento de dados

Todas as solicitações de IA são roteadas pelo OpenRouter, um gateway de API. O OpenRouter encaminha sua solicitação para o modelo de IA e retorna a resposta. Configuramos o OpenRouter com a flag de retenção zero de dados via sua API — seu texto é processado em memória e não é armazenado, registrado ou usado para treinamento pelo OpenRouter ou pelos provedores de modelo downstream. Isso significa que seus dados existem apenas durante a solicitação e não são gravados em disco pelos provedores de IA. As solicitações não são registradas, armazenadas em cache ou guardadas em nenhuma camada.

Os modelos de IA que usamos atualmente:

• Claude, da Anthropic, executado para nós pela Amazon Web Services (Amazon Bedrock) e pelo Google Cloud (Vertex AI) — usado no chat do Explorar e nas perguntas de continuação e títulos de conversa sugeridos, na extração de emoções, nas suas reflexões semanais e mensais e nas sugestões de escrita, na leitura de páginas escritas à mão e nas ferramentas gratuitas do nosso site. Os pedidos nunca vão para os servidores da própria Anthropic, e nenhum modelo do Google é usado.
• Scribe, o modelo de reconhecimento de fala da ElevenLabs — escreve as suas entradas de voz.
• Parakeet, o modelo de reconhecimento de fala da NVIDIA, operado para nós pela Together AI — escreve as suas entradas de voz quando o Scribe não está respondendo.
• Whisper, o modelo de reconhecimento de fala da OpenAI, executado para nós pela DeepInfra, Groq ou Together AI — ouve uma entrada de voz uma segunda vez, apenas para conferir se as palavras escritas são palavras que ele também ouviu. Quando os dois não concordam, nada é escrito e a gravação fica guardada para você. As palavras dele nunca são guardadas.

A Amazon Web Services e o Google Cloud (executando o Claude), a ElevenLabs e a Together AI, quando acessadas pela API de retenção zero da OpenRouter, não armazenam nem treinam com os dados enviados nesses pedidos. Nossa conta na OpenRouter também está configurada, em todo pedido, para recusar qualquer provedor que guardaria dados ou treinaria com eles. Se mudarmos de provedor de IA no futuro, atualizaremos esta página, perguntaremos de novo antes que uma nova empresa receba suas palavras e manteremos a mesma configuração de retenção zero.

Cada uma dessas empresas recebe seus dados só pela OpenRouter, sob os termos da OpenRouter, e só para o pedido que está respondendo: nenhuma pode guardá-los, usá-los para outra coisa ou treinar um modelo com eles. Escolhemos essa configuração para que suas palavras estejam protegidas lá pelo menos tão bem quanto aqui.

A DeepInfra e a Groq, acessadas da mesma forma, também não armazenam as gravações enviadas a elas nem as usam para treinamento.

Gravações de voz

Se você falar uma entrada em vez de digitá-la, a gravação é enviada ao mesmo serviço de transcrição sem retenção de dados para virar texto, e é descartada lá assim que as palavras voltam. As palavras escritas ficam no seu diário como qualquer outra entrada.

Uma gravação capta quem estiver audível, não só você. Se houver outra pessoa na sala, a voz dela fica na gravação e é enviada para transcrição junto com a sua, então leve em conta quem está por perto antes de gravar.

Nada é deduzido a partir do som da sua voz. A gravação primeiro vira texto, e a partir daí só o texto é lido, do mesmo jeito que uma entrada que você digitou. Seu tom, seu ritmo e como você soava não são medidos, não são guardados como sinal e não são usados para decidir nada.

Você escolhe: excluí-la assim que virar texto, guardá-la por um tempo ou guardá-la por tempo indeterminado. O que você disse continua no seu diário de qualquer forma, em qualquer plano e enquanto sua conta existir: a escolha é só sobre o áudio.

Sua escolha vale para as gravações que você fizer de agora em diante. As gravações que você já fez mantêm as condições sob as quais foram feitas. Você pode mudar isto, ou excluir todas as gravações que ainda tem, em Configurações, em Dados.

A localização é removida de todas as fotos.

Análises

Usamos duas ferramentas de análise, separadas por finalidade:

• Google Analytics 4 — apenas nas nossas páginas públicas de marketing (landing page, blog). Rastreia visualizações de página e fontes de tráfego. Endereços IP são anonimizados. Não é usado em páginas autenticadas. É carregado apenas após o consentimento de cookies. Uma exceção que preferimos nomear a deixar subentendida: quando você cria uma conta a partir de uma dessas páginas, o nosso servidor informa ao Google que houve um cadastro, para que possamos saber quais páginas trazem pessoas ao Pensio. Isso não leva nome, e-mail nem número de conta — apenas o identificador anônimo que o cookie de análise já colocou no seu navegador e se você se cadastrou com senha ou com Google ou Apple. Como precisa desse identificador, nada é enviado se você recusou esse cookie.
• PostHog — no aplicativo (páginas autenticadas), com a única exceção descrita no próximo item. Registra quais páginas você abre e quais recursos você usa, associados ao ID da sua conta (um UUID, não seu nome ou e-mail). Também registramos quando um e-mail que enviamos a você é aberto ou quando um link dele recebe um clique, e para qual das nossas próprias páginas esse link levou — pelo nome interno dela, nunca pelo endereço em si, de modo que os links de acesso de uso único que alguns dos nossos e-mails carregam não fazem parte disso. Junto desses eventos ele guarda um perfil curto da conta, atualizado cada vez que você entra: seu plano, quantas entradas você escreveu, se você conectou o plugin do Obsidian, se você tem uma assinatura paga, e se a conta está no nosso site em funcionamento ou em um dos nossos ambientes de teste. Os endereços das páginas são encurtados antes de serem enviados: a query string e tudo o que vem depois de um "#" são descartados, e qualquer identificador que esteja no próprio endereço — o ID de uma entrada, ou o link de uso único de um e-mail que enviamos — é substituído por um marcador. Nenhuma localização é deduzida do seu endereço IP, e nenhuma é guardada sobre você; os servidores do PostHog veem a conexão que o seu navegador faz com eles, como veriam com qualquer script de análise em qualquer lugar. Seu navegador também informa o fuso horário, o idioma, o tamanho da janela, o navegador e o sistema operacional, como faz por padrão. Nada do que você escreveu é enviado. A captura automática e a gravação de sessão estão desativadas — rastreamos apenas eventos específicos que definimos. Hospedado na UE.
• PostHog, apenas na nossa página de preços — quando alguém que não está conectado abre nossa página de preços, nosso servidor anota que houve uma visita e de onde ela veio: o tipo de origem (um buscador, uma rede social, um assistente de IA, uma das nossas próprias páginas), o domínio do site se você chegou de outro site, qual das nossas páginas enviou você se chegou de uma delas, e quaisquer etiquetas de campanha no link em que você clicou. Nenhum script roda no seu navegador para isso, nada é armazenado no seu dispositivo, nenhum cookie é criado ou lido, e seu endereço IP não é enviado. Nada nessa anotação identifica você, e nada a conecta a uma conta que você venha a criar — o que também significa que não conseguimos encontrá-la depois para apagá-la, porque não há nada nela para procurar. Contamos visitas dessa forma, não visitantes: se você abrir a página duas vezes, são duas anotações sem ligação entre si.

Excluir sua conta remove tudo o que está acima do nosso próprio banco de dados, e também pedimos ao PostHog que apague o que ele guarda: o perfil, as propriedades registradas nele e cada evento de uso armazenado com o ID da sua conta. Esse pedido é enviado no momento em que sua conta é destruída — não quando você a solicita, então, se você mudar de ideia dentro das 72 horas, nada foi apagado em lugar nenhum. O PostHog remove o perfil logo em seguida e limpa os registros de eventos em um lote posterior, de modo que, por um curto período depois disso, esses eventos ficam na fila para exclusão em vez de já terem sido apagados.

Também registramos como as pessoas chegam às páginas de cadastro e de login, para sabermos se elas nos encontram por busca, por um link ou por recomendação. Quando você abre uma delas, anotamos o site de onde você veio (apenas o domínio, como "google.com", nunca o endereço completo e nunca o que você pesquisou) e as etiquetas de campanha do link. Se você chegar por um link que nós mesmos marcamos, normalmente um anúncio, fazemos essa anotação na página para a qual o link te levou, porque quando você chega à página de cadastro as etiquetas já não estão mais lá e só veríamos que você veio do Pensio. Se você veio de outra página do Pensio, anotamos qual. Nossos aplicativos para iPhone, iPad, Mac e Android não têm um site de onde vir, então na primeira vez que você abre um deles, ele pergunta à loja de onde foi instalado, a App Store ou o Google Play, se um dos nossos anúncios ou links marcados trouxe a instalação, guarda essa resposta curta no seu telefone e a entrega para nós em um cookie (veja Cookies, abaixo). Se você não criar uma conta, essa anotação fica no nosso próprio servidor durante a sua visita e depois é descartada, e a resposta do aplicativo, embora viaje com as solicitações que o aplicativo nos envia, só é lida quando uma conta é criada, então sem uma conta ela nunca é guardada. Se você criar, ela é copiada para a sua conta — junto com o país descrito em "O que coletamos", acima — e guardada enquanto a conta existir: ela faz parte dos dados da conta na sua exportação, e é excluída quando você exclui a sua conta. Ela também é anexada ao evento de cadastro que enviamos ao PostHog, a ferramenta de análise descrita acima: o canal, o site de onde você veio, as etiquetas de campanha, qual das nossas próprias páginas foi se foi uma delas, e nos nossos aplicativos qual loja. Nada do que você escreveu está nele, e ele fica associado ao ID da sua conta como todos os outros eventos de lá — o que faz dele um dos eventos que ficam com o PostHog depois que a sua conta acaba. Não usamos identificadores de publicidade, não seguimos você por outros sites e nunca construímos um perfil sobre você.

Relatórios de falhas e erros

Para manter o Pensio estável, coletamos diagnósticos técnicos quando algo dá errado — nunca o conteúdo do seu diário:

• Sentry — relatórios de erro do lado do servidor para o aplicativo web. Nenhum dado pessoal é anexado (o envio de PII está desativado). Processado na UE.
• Firebase Crashlytics — diagnósticos de falhas do aplicativo Android (rastreamento de pilha, modelo do dispositivo, versão do sistema operacional e do aplicativo). Nenhum conteúdo do diário e nenhum e-mail ou nome são enviados, e a coleta de ID de publicidade está desativada. O aplicativo iOS atualmente não inclui relatórios de falhas.

Cookies

O aplicativo Pensio usa apenas cookies essenciais:

• Cookie de sessão — mantém você conectado. Termina quando você fecha o navegador ou depois de 4 horas, ou depois de 14 dias se você marcou Lembrar de mim.
• Token CSRF — previne falsificação de solicitação entre sites (uma medida de segurança).
• Cookie de sessão em uma página de campanha — se você chegar a uma das nossas páginas por um link que nós mesmos marcamos, normalmente um anúncio, definimos esse mesmo cookie de sessão ali, para que ainda possamos lembrar como você chegou caso você venha a se cadastrar. Ele guarda uma chave aleatória e nada mais: a anotação em si fica no nosso servidor, e é descartada junto com a sessão se você não criar uma conta. Abrir a nossa página de cadastro ou de login define o mesmo cookie, pelo mesmo motivo. Nenhuma outra página nossa o define, então ler o Pensio sem uma conta não define nenhum.
• Cookie de instalação do aplicativo, só nos nossos aplicativos para iPhone, iPad, Mac e Android — na primeira vez que você abre um dos nossos aplicativos, ele pergunta à App Store ou ao Google Play como foi instalado, e a partir daí define um cookie dentro do aplicativo que guarda a resposta, para que possamos lê-la se você se cadastrar. Ele guarda o nome da loja e, só se um dos nossos anúncios ou links marcados trouxe a instalação, as etiquetas de campanha descritas em "O que coletamos". Ele nunca guarda o código que a Apple dá ao aplicativo para perguntar, a palavra-chave para a qual um anúncio foi exibido, nem o identificador de clique que uma rede de publicidade adiciona aos links dela. Só o lemos na solicitação que cria a sua conta, e o site nunca o define.

Páginas de marketing podem definir um cookie do Google Analytics se você aceitar cookies de análise através do banner de consentimento. Nenhum cookie de rastreamento é usado dentro do aplicativo. Cookies essenciais não exigem consentimento sob as regras de ePrivacy da UE. Queremos nomear duas exceções em vez de arquivá-las em silêncio sob essa frase: o cookie de campanha e o cookie de instalação do aplicativo, acima, são definidos para o nosso benefício, não para o seu. Os dois são próprios, nenhum carrega um identificador que te siga para lugar nenhum, e eles existem apenas para que um cadastro possa ser ligado ao link ou à loja que o trouxe, mas são medição, então preferimos te dizer que eles estão ali a deixá-los se esconder atrás da palavra essencial.

Segurança

• Criptografia em trânsito: Todas as conexões usam TLS (HTTPS). Aplicamos HSTS.
• Criptografia em repouso: O disco do nosso servidor usa criptografia LUKS de disco completo.
• Senhas: Hash usando Argon2id, um algoritmo de uso intensivo de memória resistente a ataques de força bruta. Nunca armazenamos senhas em texto simples.
• Autenticação de dois fatores: Disponível via TOTP (aplicativo autenticador). Recomendado para todas as contas.
• Chaves de acesso: Se você adiciona uma chave de acesso, guardamos a chave pública e o identificador dela, o nome do aparelho em que foi criada (tirado de como o seu navegador ou app se descreve), se o seu aparelho faz backup dela, os tipos de conexão que ela pode usar, e quando foi adicionada e usada pela última vez. A chave privada nunca sai do seu aparelho ou do seu gerenciador de senhas, e o seu rosto ou a sua digital são conferidos pelo seu aparelho e nunca chegam até nós. Adicionar ou remover uma, e uma tentativa recusada de entrar com uma, escrevem cada uma uma linha no seu registro de segurança. Remover uma chave de acesso apaga o que guardamos dela, assim como desconectar os seus outros aparelhos, mudar ou redefinir a sua senha e excluir a sua conta.
• Backups: Backups diários automatizados do banco de dados, criptografados, retidos por 30 dias.

Como qualquer serviço online, o Pensio não está imune a riscos de segurança. Minimizamos o risco limitando a exposição de dados, criptografando todos os dados armazenados no nível do disco e garantindo que os provedores de IA não retenham seu conteúdo. Revisamos regularmente nossas práticas de segurança e as atualizamos conforme necessário.

Comunicações por e-mail

Enviamos os seguintes tipos de e-mail:

• Transacionais: Redefinições de senha, verificação de e-mail, alertas de segurança da conta. São necessários para o serviço funcionar — você não pode optar por sair.
• E-mails de produto: Insights semanais, marcos de sequência, lembretes de inatividade. Você pode desativar qualquer um destes individualmente em Configurações → Notificações.
• Newsletter: Novidades do produto e dicas de escrita. Exige inscrição separada (dupla confirmação). Cancele com um clique a partir de qualquer e-mail da newsletter.

Todo e-mail de produto termina com um link para as suas configurações de notificação, onde cada tipo é desligado separadamente. O Pensio envia no máximo três e-mails de produto por semana, e na maioria das semanas nenhum. Usamos o Brevo para enviar e-mails (veja Subprocessadores abaixo).

Seus direitos

Você é dono dos seus dados. Sob o GDPR e independentemente de onde você mora, você pode:

• Acesso: Todos os seus dados ficam visíveis no aplicativo, e o download abaixo é a cópia legível por máquina deles. Se preferir pedir a nós, escreva e nós enviamos.
• Exportar (portabilidade): Baixe tudo em Configurações → Exportar, em um único ZIP: cada entrada e rascunho como um arquivo Markdown, as pessoas que você nomeou, seus insights semanais e mensais, suas fotos e gravações de voz, e um arquivo com os dados da sua conta — seu nome, seu e-mail, a data em que você se cadastrou, seu idioma, suas preferências de exibição, seu plano e as escolhas que você fez sobre os seus próprios dados. Ele não contém nada sobre a conta Pensio de mais ninguém — as pessoas que você nomeou estão nele como as anotações que você escreveu sobre elas, nunca como registros delas.
• Retificação: Edite suas entradas e informações de perfil a qualquer momento.
• Exclusão: Exclua sua conta em Configurações. A conta é excluída depois de 72 horas, não no momento em que você pede, e até lá você pode cancelar a exclusão. Depois disso, a exclusão é permanente e irreversível: ela remove todos os seus dados — entradas, relacionamentos, insights, conversas do Explorar, os dados da sua conta, e o seu histórico de acesso e de segurança com os endereços IP que há nele — e é concluída em 30 dias. Como priorizamos a privacidade, não podemos recuperar dados excluídos — não há backup oculto nem armazenamento sombra de onde pudéssemos restaurar você. O que fica para trás é contabilidade, e nada disso é algo que você escreveu. Guardamos quanto custou manter o Pensio funcionando para você: uma data, um preço, qual recurso pediu e qual modelo respondeu, e uma referência à entrada ou conversa a que aquilo se referia, que a essa altura aponta para algo que não existe mais. Sua conta sai desse registro, e o registro fica, porque dinheiro que foi realmente gasto não pode deixar de ter sido, e um serviço que não consegue dizer o que pagou não pode ser tocado com honestidade. Guardamos o registro de solicitações descrito perto do começo desta página: sua conta é desligada dele e o identificador do dispositivo é apagado no momento em que a conta acaba, então o que sobra é uma lista de horários, endereços, códigos de resposta e o tipo de conexão que fez cada pedido, e ela se apaga sozinha em até 90 dias. E os eventos de uso guardados pelo nosso provedor de análise também continuam depois da conta, o que a seção Análises acima descreve em vez de deixar você deduzir.
• Restringir o processamento: parte do que o Pensio faz com as suas entradas pode ser desligada em Configurações: a IA do Pensio como um todo (desligada, nada é enviado a uma IA), as Perguntas em aberto, onde esse recurso estiver disponível para você, e tudo o que o Explorar lembrou, que você pode deixar de lado ou apagar na página Memória. Apagar uma entrada apaga o que foi lido dela, porque as emoções e os temas ficam guardados na própria entrada. Se quiser restringir o processamento além do que esses controles alcançam, escreva para [email protected] e combinamos com você.
• Oposição: Você pode se opor a qualquer processamento entrando em contato conosco em [email protected].
• Controle da memória: Veja, corrija, deixe de lado ou exclua permanentemente qualquer fato que a IA lembrou sobre você na página Memória. Uma memória deixada de lado fica fora das conversas com a IA, mas é mantida na sua conta até você excluí-la.

Retenção de dados

• Enquanto sua conta estiver ativa: Seus dados são armazenados enquanto você tiver uma conta. Não excluímos entradas a menos que você o faça.
• Uma conversa do Explore que você exclui: Cada pergunta e cada resposta dela são excluídas, junto com o título e tudo o que o Pensio aprendeu com ela. Guardamos um registro curto sem nenhuma palavra sua — quando a conversa começou, quando foi usada pela última vez e excluída, quantas perguntas teve e quanto custou — porque uma conversa excluída continua contando no seu limite mensal. Esse registro é excluído junto com a sua conta. As cópias nos nossos backups automáticos expiram em até 30 dias.
• Após a exclusão da conta: Todos os seus dados (entradas, emoções, relacionamentos, insights, conversas do Explorar) são permanentemente excluídos do nosso banco de dados em 30 dias. Os backups automatizados que contêm seus dados expiram em 30 dias após isso.
• Provedores de IA: Não retêm seus dados de forma alguma — o processamento é apenas em memória.
• Registros de acesso e a lista de dispositivos: Guardados enquanto a sua conta existir. Não os apagamos por tempo: um registro de segurança que esquece não responde à pergunta para a qual ele existe. A lista de dispositivos é arrumada, não expirada — um dispositivo cuja sessão já terminou sai da lista na próxima vez que você abrir essa página ou desconectar dispositivos, e não no momento em que a sessão termina, então uma linha pode durar mais que a sessão que ela descreve. Excluir sua conta apaga os dois, endereços IP e tudo. Uma linha sobrevive: um registro de que uma conta foi excluída e quantas entradas ela tinha, sem nada junto que diga de quem era.
• Fotos e gravações que você exclui: São removidas da sua conta imediatamente e mantidas em um armazenamento isolado por até 30 dias antes de serem apagadas em definitivo. Isso existe para que uma falha do nosso lado não destrua suas mídias sem possibilidade de recuperação — nesse período elas não ficam acessíveis a você nem a mais ninguém. Excluir sua conta, ou excluir uma gravação pelas configurações de voz, apaga os arquivos na hora, sem a janela de 30 dias.

Subprocessadores

Estes são os serviços de terceiros que podem processar seus dados como parte do fornecimento do Pensio:

Lista de subprocessadores terceirizados

Serviço	Finalidade	Acesso aos dados
OpenRouter	Gateway de API de IA	Texto das entradas, gravações de voz a caminho da transcrição e fotografias de páginas manuscritas a caminho da leitura (tudo apenas em memória, retenção zero)
Amazon Web Services and Google Cloud (Anthropic's Claude)	Executam o modelo Claude, da Anthropic, para nós	Texto das entradas e fotografias de páginas manuscritas enviadas para leitura (ambos apenas em memória, via API de retenção zero da OpenRouter; as fotografias não são guardadas pelo provedor)
ElevenLabs (Scribe)	Fornecedor de modelo de IA	Gravações de voz enviadas para transcrição (apenas em memória, pela API de retenção zero do OpenRouter; as gravações não são mantidas pelo provedor)
Together AI (NVIDIA Parakeet)	Fornecedor de modelo de IA	Gravações de voz enviadas para transcrição enquanto a ElevenLabs não está respondendo (apenas em memória, pela API de retenção zero do OpenRouter; as gravações não são mantidas pelo provedor)
DeepInfra, Groq and Together AI (OpenAI Whisper)	Fornecedor de modelo de IA	Gravações de voz enviadas para uma segunda escuta que confere as palavras (apenas em memória, pela API de retenção zero do OpenRouter; as gravações não são mantidas pelo provedor)
Hostinger	Hospedagem de servidor	Todos os dados (armazenados em disco criptografado)
Backblaze	Backups externos do banco de dados	Uma cópia diária de todo o nosso banco de dados, que contém a sua conta e tudo o que você escreveu no Pensio. Cada cópia é criptografada no nosso próprio servidor antes de ser enviada, com uma chave que a Backblaze nunca recebe, então a Backblaze a armazena sem conseguir lê-la. Cada cópia é guardada por 30 dias e depois excluída.
Cloudflare	CDN, proteção contra DDoS e armazenamento de mídia (R2)	Fotos, gravações de voz e fotografias de páginas manuscritas que você adiciona, armazenadas em repouso no Cloudflare R2 (jurisdição da UE, criptografia AES-256). O restante do tráfego apenas passa e não é armazenado. Ela também deduz de qual país vem uma conexão e nos entrega isso como um código de duas letras, que registramos uma única vez quando uma conta é criada. Escolhemos esse caminho em vez de acrescentar mais uma empresa a esta lista justamente porque a Cloudflare já fica na frente de toda solicitação.
PostHog	Análise de produto	Eventos de uso associados ao ID da sua conta — quais páginas você abre e quais recursos você usa, com as query strings e os identificadores retirados dos endereços — mais um perfil curto da conta: seu plano, quantas entradas você tem, se o plugin está conectado, se há uma assinatura paga. Sem conteúdo do diário, sem nome nem e-mail, sem localização. À parte disso, quando alguém que não está conectado abre nossa página de preços, o serviço recebe uma anotação de que houve uma visita e de que tipo de origem ela veio. Essa anotação não está associada a nada nem pertence a ninguém, portanto não pode ser rastreada até uma pessoa nem apagada mediante solicitação.
Brevo	Entrega de e-mail	Seu endereço de e-mail, seu nome, o idioma em que você usa o Pensio, a data em que você se cadastrou e o seu plano, enviados quando você cria sua conta; e, atualizados conforme você escreve, quantas entradas você já escreveu, a data da mais recente e sua sequência atual. Se você mudar seu endereço de e-mail, também o mudamos na Brevo. Quando sua conta Pensio é excluída, excluímos esse registro na Brevo.
Stripe	Pagamentos de assinaturas feitas no site	Se você iniciar uma assinatura pelo site: seu endereço de e-mail, seu nome (ou seu nome de usuário, se você não tiver informado um nome), o ID da sua conta Pensio e o idioma em que você usa o Pensio, enviados quando você começa o pagamento, quer você o conclua ou não, junto com o plano que você escolher. Se você mudar de idioma depois, avisamos o Stripe, para que os recibos e os e-mails de pagamento dele cheguem a você nesse idioma. Se alguém convidou você para o Pensio, o ID da conta dessa pessoa também é enviado, para que o crédito de indicação dela possa ser aplicado. Você digita os dados do seu cartão na própria página de pagamento do Stripe; eles nunca chegam ao Pensio. Quando sua conta Pensio é excluída, cancelamos a assinatura e excluímos esse registro no Stripe. As faturas e os pagamentos já feitos continuam no Stripe, porque a legislação fiscal exige que sejam guardados.
RevenueCat	Assinaturas feitas nos apps para iPhone, iPad, Mac e Android	O ID da sua conta Pensio — um identificador aleatório, não o seu nome nem o seu endereço de e-mail — a partir da primeira vez que você abre a página de assinatura no app para iOS ou Android, quer você compre algo ou não. Se você assinar pelo app, ela também guarda o registro dessa assinatura feito pela App Store ou pelo Google Play, como qual é o plano e quando ele começou, foi renovado ou terminou. Você paga diretamente à Apple ou ao Google; seus dados de pagamento nunca chegam ao Pensio. Quando sua conta Pensio é excluída, também excluímos esse registro na RevenueCat. Isso não cancela uma assinatura feita no aplicativo: quem cobra por ela é a Apple ou o Google, e só você pode cancelá-la com eles.
Sentry	Rastreamento de erros	Relatórios técnicos de erro (podem incluir metadados de solicitação anonimizados, nunca conteúdo do diário). O envio de PII está desativado.
Google (Firebase Crashlytics)	Relatórios de falhas (aplicativo Android)	Diagnósticos de falhas do aplicativo Android — rastreamento de pilha, modelo do dispositivo, versão do sistema operacional e do aplicativo. Sem conteúdo do diário, sem e-mail ou nome. A coleta de ID de publicidade está desativada.
Google Analytics 4	Análise de marketing	Visualizações de página anonimizadas apenas em páginas de marketing (não dentro do aplicativo) e uma confirmação de cadastro enviada pelo nosso servidor, levando apenas o identificador anônimo de análise que já está no seu navegador e se você se cadastrou com senha ou com Google ou Apple. Carregado apenas após o consentimento de cookies; se você recusou, nada é enviado.

Localização dos dados

Seus dados são armazenados em um servidor dedicado na Europa (UE), fornecido pela Hostinger. Fotos, gravações de voz e fotografias de páginas manuscritas que você adiciona são armazenadas no Cloudflare R2 sob a jurisdição da UE. A Cloudflare também cuida de CDN e proteção contra DDoS para o restante do tráfego, que passa pela rede deles sem ser armazenado. Os dados de análise do PostHog são processados na UE. A Brevo é um provedor de e-mail com sede na UE. Os relatórios de erro (Sentry) são processados na UE. Os diagnósticos de falhas do app Android são processados pelo Google (Firebase Crashlytics), que pode armazená-los fora da UE sob Cláusulas Contratuais Padrão. O Stripe, que processa os pagamentos no site, e a RevenueCat, que processa as assinaturas feitas nos apps, podem processar os dados de cobrança descritos acima fora da UE. Os backups externos do banco de dados guardados pela Backblaze são criptografados no nosso servidor antes de saírem dele, e a Backblaze não tem nenhuma chave capaz de lê-los. Nenhum dado pessoal é transferido para fora da UE/EEE, exceto por meio de provedores com salvaguardas adequadas (Cláusulas Contratuais Padrão ou decisões de adequação da UE). Quando a IA do Pensio está ligada, os pedidos passam pela OpenRouter, uma empresa dos EUA, até as empresas de IA citadas acima, e podem ser processados nos Estados Unidos — só em memória, sem ser guardados.

Privacidade de crianças

O Pensio não é destinado a menores de 16 anos. Não coletamos intencionalmente dados pessoais de crianças. Se soubermos que um usuário menor de 16 anos criou uma conta, excluiremos sua conta e todos os dados associados prontamente. Se você acredita que uma criança menor de 16 anos está usando o Pensio, entre em contato conosco em [email protected].

Notificação de violação de dados

No improvável evento de uma violação de dados que afete seus dados pessoais, notificaremos você por e-mail em até 72 horas após tomarmos conhecimento, conforme exigido pelo GDPR. Também notificaremos a autoridade supervisora relevante. A notificação descreverá a natureza da violação, os dados afetados e as medidas que estamos tomando para resolvê-la.

Base legal para o processamento

Sob o GDPR, processamos seus dados com base em:

• Contrato: guardar as suas entradas do diário e prestar o serviço que você contratou.
• Consentimento: enviar suas entradas, perguntas, gravações e fotos de páginas aos provedores de IA acima, o que só acontece depois que você liga a IA do Pensio — consentimento explícito, para tudo no seu diário que diga respeito à sua saúde. As contas que já existiam antes de o Pensio começar a perguntar mantiveram seus sentimentos e reflexões em segundo plano por 30 dias enquanto decidiam; o Explorar, a voz e as páginas sempre esperaram por uma resposta.
• Interesse legítimo: Monitoramento de erros, segurança do serviço e análises de produto — incluindo as oito informações sobre como você chegou, descritas em "O que coletamos". Elas ficam guardadas na sua conta, e não de forma anônima, então dizemos isso aqui em vez de arquivá-las sob uma palavra que não serviria: nós as lemos apenas como totais, para decidir para qual idioma traduzir o Pensio em seguida e se um anúncio que pagamos trouxe alguém. Você pode se opor a qualquer coisa que façamos com essa base a qualquer momento — veja Seus direitos, acima.
• Consentimento: E-mails de marketing, newsletter e cookies de análise nas páginas de marketing.

Você pode retirar o consentimento a qualquer momento sem afetar a legalidade do processamento antes da retirada.

Alterações nesta política

Se fizermos alterações significativas, notificaremos você por e-mail ou notificação no aplicativo antes que as alterações entrem em vigor. Pequenas atualizações de texto não acionarão um aviso. Versões anteriores desta política estão disponíveis mediante solicitação.

Contato e reclamações

Dúvidas sobre sua privacidade? Envie um e-mail para [email protected].

Se você acredita que estamos processando seus dados de forma ilegal, você tem o direito de apresentar uma reclamação a uma autoridade supervisora de proteção de dados no seu país de residência.