Política de privacidade

Sem conta. Sem nuvem. Seus dados ficam no seu aparelho.

Última atualização: 29 de setembro de 2026 · Aplica-se ao app Pingente (Android, pacote app.pingente) e ao site pingente.app.

1. Quem somos

O Pingente é um aplicativo que envia imagens ("faces") para tags e-ink (etiquetas com tela de tinta eletrônica) por Bluetooth. Responsável pelo app: Camilo Carromeu (Pingente), Campo Grande, MS, Brasil. Contato: [email protected].

2. O que o app não faz

• Não pede cadastro, e-mail ou senha para funcionar.
• Não sobe o conteúdo das suas faces, notas, fotos, eventos da agenda ou localização para nenhum servidor nosso. A única exceção é quando você presenteia uma tag mantendo a face atual: aí vai a imagem pronta dessa face (veja "Presentear" na seção 5).
• Baixa do nosso servidor apenas conteúdo público: os rankings da face Trends, a lista e as imagens das obras da face Galeria (acervos de domínio público do Metropolitan Museum of Art e do Art Institute of Chicago) e, na face Manchete, um link curto para a notícia. O mesmo vale para as faces Alerta, Futebol, Terra hoje, Lançamentos, Feriados, Neste dia, Alcorão, Santo do dia, Previsões, Xadrez e as taxas do Brasil na Cotação: o nosso servidor consulta a fonte pública de cada uma (INMET e Cemaden, football-data.org, NASA e USGS, The Space Devs, Nager.Date e Brasil API, Wikipédia, Al Quran Cloud, Church Calendar, Polymarket, Chess.com, Banco Central) e guarda a resposta em cache. Quando o nosso servidor não consegue a resposta da The Space Devs (limite por endereço da fonte), a face Lançamentos lê a fonte diretamente do seu aparelho, como a Manchete faz com o Google News (a fonte vê o seu endereço IP). Nesses pedidos não vai nenhum dado seu além do país ou idioma escolhido, da data e, quando a face pede, de um assunto, time ou número que você escolheu — nunca a sua localização. A face Manchete lê o feed público do Google News diretamente do seu aparelho (o Google vê o seu endereço IP, como ao abrir o site dele). A face Marés baixa do nosso servidor a lista de estações, escolhe a mais próxima no aparelho e pede a previsão diretamente ao NOAA (EUA) ou ao Serviço Hidrográfico do Canadá, enviando só o número da estação; para as estações do resto do mundo (base pública TICON), quem calcula a previsão é o nosso servidor, que também recebe só o número da estação. Cartões (face Cartão): quem envia um cartão pelo site manda foto, mensagem e nome, que ficam no nosso servidor por até 90 dias e são mostrados na tag e no link do cartão; o pagamento é processado pela Paddle (e-mail só no recibo). O dono da tag pode trocar o endereço a qualquer momento; para apagar um cartão antes dos 90 dias, escreva para [email protected].
• Não usa rastreadores de publicidade nem vende dados.

3. O que fica só no seu celular

Tudo o que você cria no app é armazenado localmente e sai do aparelho apenas em direção à tag, pelo Bluetooth (ou como imagem pronta, se você presentear a tag com a face atual — o que nunca vale para QR PIX, Contato e QR de Wi-Fi): notas, escrita à mão, fotos e carrossel, QR de Wi-Fi e PIX, mensagem de contato, histórico de faces e a lista de tags conhecidas. O backup do sistema Android (Google One ou transferência entre aparelhos) pode copiar esses dados conforme as suas configurações do Android, não as nossas.

4. Permissões e por que pedimos

5. O que pode sair do aparelho, e para quem

• Previsão do tempo (face Clima): coordenadas aproximadas enviadas a um serviço público de meteorologia para obter a previsão. Sem identificação sua.
• Qualidade do ar e índice UV (face Ar e UV): coordenadas aproximadas (latitude e longitude com 3 casas decimais, cerca de 100 m) enviadas à Open-Meteo, serviço público de dados meteorológicos, só enquanto a face Ar e UV está em uso. Sem identificador, sem conta e sem qualquer outro dado seu; a chamada sai direto do seu celular, sem passar pelo nosso servidor.
• Cotação (face Cotação): consulta a um serviço público de cotações de criptomoedas e moedas, sem dados pessoais; as taxas do Brasil (Selic, CDI, IPCA) vêm do Banco Central via Brasil API, pelo nosso servidor.
• Adoção, ativação e compras: ao adotar uma tag, o app avisa o nosso servidor enviando o identificador da tag, o modelo dela (por exemplo, 2,1 polegadas em preto, branco e vermelho), o nome que você deu a ela e a impressão (hash) de uma chave de posse aleatória gerada no seu aparelho — é o que impede outro celular de assumir a posse da sua tag, e o modelo nos diz que hardware precisamos manter funcionando. Para ativar, o app envia também o recibo da compra feita na loja (Google Play ou App Store) ou o código de ativação usado. Isso serve apenas para registrar a ativação permanente, evitar cobranças duplicadas e impedir que outro celular assuma a posse da sua tag. Pagamentos são processados pela loja; não vemos dados de cartão. Nesses pedidos vai também um identificador aleatório desta instalação do app (gerado no primeiro uso, sem relação com o aparelho nem com você), que serve só para não repetir uma operação quando o app reenvia um pedido; o servidor o guarda por sete dias, junto com o pedido.
• Presentear: ao presentear uma tag, o app manda ao nosso servidor o identificador e o modelo dela, o nome que você deu a ela e, se você marcar "Manter a face atual", a imagem pronta da face que está na tela. Vai só a imagem, nunca a configuração: textos e fotos originais continuam no seu celular. As faces QR PIX, Contato e QR de Wi-Fi não vão no presente, nem como imagem, porque a imagem delas já carrega a chave PIX, o telefone ou a senha da rede: se uma delas estiver na tela, a tag chega a quem ganhar com a face de boas-vindas. Quem ganhar recebe a tag com esse nome e vê a mesma imagem (ou a de boas-vindas), mas não edita nem atualiza. O presente fica guardado até ser aceito, por no máximo 180 dias, e é apagado 7 dias depois do aceite. Só quem tem o link ou o QR do presente consegue baixá-lo.
• Relatórios de erro: se o app falhar, um relatório técnico pode ser enviado ao serviço Sentry para corrigirmos o problema, com o modelo do aparelho, as versões do Android e do app, o rastro do erro, o modelo da tag e o nome da face em que a falha aconteceu (por exemplo, "Nota"). Não inclui o conteúdo das faces — o texto, as fotos ou o que a face mostra —, nem localização. O relatório só existe quando algo falha: não há contagem de sessões nem registro de uso.
• Visitas a este site (não vale para o app): as páginas de pingente.app carregam o Cloudflare Web Analytics, que conta visitas e tempo de carregamento sem cookies e sem identificador — não é possível reconhecer o mesmo visitante em duas visitas nem montar perfil. Não usamos Google Analytics nem rede de anúncios.

6. Compras no site

Os pacotes de códigos de ativação vendidos em pingente.app são processados pela Paddle.com Market Ltd, que atua como Merchant of Record: é a Paddle quem recebe os seus dados de pagamento, emite a fatura e recolhe os impostos, conforme a política de privacidade da Paddle. O Pingente não vê dados de cartão. Do checkout, o nosso servidor guarda apenas o identificador da transação e os códigos gerados, para entregar os códigos e prestar suporte ou reembolso. O e-mail informado na compra fica com a Paddle: o nosso servidor o consulta na Paddle só para enviar os códigos (pelo serviço de e-mail Resend) e não o guarda. Base legal: execução de contrato (LGPD art. 7º, V; GDPR art. 6(1)(b)). Retenção: 5 anos após a compra, por obrigação fiscal.

7. Conta de recuperação (opcional)

O app funciona sem conta. Se quiser, você pode criar uma conta de recuperação em "Recuperar minhas tags": informa um e-mail, recebe um código de 6 dígitos e pronto — sem senha e sem cadastro. A conta guarda só o seu e-mail, a data de criação e a lista dos identificadores das tags ligadas a ela. Ela serve para duas coisas: recuperar as suas tags num celular novo (ou depois de reinstalar o app) e, se você ligar o interruptor "Permitir que me encontrem pelo e-mail de recuperação" na face Cartão, receber cartões postais de quem digitar o seu e-mail no site — sem isso, o site responde como se o e-mail não existisse. O código chega por e-mail enviado pelo serviço Resend (veja a seção 10); guardamos apenas uma impressão (hash) do código, válida por 10 minutos. A chave de posse de cada tag continua só no seu celular: ao recuperar, o servidor emite uma chave nova e invalida a anterior. Cada sessão do app fica guardada como uma impressão (hash) do token, com a data do último uso e o nome do aparelho; você a encerra em "Sair deste celular", e sessões sem uso expiram. Para apagar a conta, use "Recuperar minhas tags" → "Excluir conta de recuperação" no app, ou siga a página de exclusão: o e-mail, as sessões e os vínculos com as tags são apagados na hora; a posse e a ativação das tags ficam, porque são do celular e da tag, não da conta. Base legal: execução de contrato (LGPD art. 7º, V; GDPR art. 6(1)(b)). Retenção: enquanto a conta existir.

8. Retenção

Os registros de ativação ficam no nosso servidor enquanto a tag existir, porque são eles que garantem a ativação permanente. Relatórios de erro são apagados automaticamente após 90 dias. Cartões ficam até 90 dias. Presentes ficam até serem aceitos, por no máximo 180 dias, e são apagados 7 dias depois do aceite. A conta de recuperação (e-mail, sessões e vínculos com as tags) fica enquanto existir e é apagada na hora quando você a exclui. Os dados locais são apagados quando você desinstala o app ou limpa os dados.

9. Bases legais (LGPD e GDPR)

• Execução do serviço (LGPD art. 7º, V; GDPR art. 6(1)(b)): registro de ativação, verificação de compras, entrega de cartões e presentes e a conta de recuperação, quando você a cria.
• Legítimo interesse (LGPD art. 7º, IX; GDPR art. 6(1)(f)): relatórios de erro, apenas para manter o app funcionando.
• Consentimento (LGPD art. 7º, I; GDPR art. 6(1)(a)): permissões opcionais de localização, agenda e fotos, concedidas pelo Android e revogáveis a qualquer momento nas configurações do aparelho.

10. Transferências internacionais

O servidor de ativação e a medição de audiência deste site rodam na rede global da Cloudflare, os relatórios de erro são processados pelo Sentry (Estados Unidos) e os e-mails com os códigos de ativação comprados no site e com o código da conta de recuperação são enviados pelo Resend (empresa nos Estados Unidos; o servidor da nossa conta fica em São Paulo), todos sob acordos de tratamento de dados com cláusulas contratuais padrão. Não designamos representante na União Europeia ou no Reino Unido com base na exceção do art. 27(2) do GDPR (tratamento ocasional, sem dados sensíveis e de baixo risco).

11. Seus direitos

Você pode pedir confirmação, acesso, correção, anonimização ou eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento, além de se opor a um tratamento, escrevendo para [email protected]. Respondemos em até 15 dias. Como não exigimos conta, precisaremos do identificador da tag para localizar o registro. Você também pode reclamar à ANPD (Brasil) ou à autoridade de proteção de dados do seu país na UE/EEE ou no Reino Unido.

12. Crianças

O app não é dirigido a menores de 13 anos e não coleta conscientemente dados de crianças.

13. Mudanças

Se esta política mudar, a nova versão será publicada nesta página com a data de atualização.