Política de Privacidade

O Cerne é um aplicativo de autoconhecimento. Você conversa com ele sobre o que está pesando na sua vida, e ele ajuda a enxergar o que se repete. Isso quer dizer que o Cerne lida com o material mais íntimo que existe: o que você escreve sobre você. Esta página explica, sem rodeio, o que sai do seu aparelho, para onde vai, por quanto tempo fica, e como você manda nisso.

Quem responde por este tratamento de dados (o "controlador", nos termos da Lei Geral de Proteção de Dados, Lei 13.709/2018) é RAPHAEL BORGES DE ANDRADE DAYAN CONSULTORIA EM TECNOLOGIA DA INFORMACAO LTDA, CNPJ 64.325.876/0001-90, com sede em Rua Pais Leme, 215, Conj. 1713, São Paulo, SP, 05424-150, Brasil. Fale com a gente em hello@cerneapp.com.

1. O princípio: o seu material vive no seu aparelho

Tudo o que você escreve no Cerne (conversas, fragmentos, camadas, revelações, cartas, diário, relatos de prática) é guardado primeiro no seu aparelho. É de lá que o app lê. O que descrevemos abaixo são as situações em que uma parte desse material sai do aparelho, e por quê.

2. O que coletamos, e para quê

2.1 A sua conta

Quando você cria uma conta (com Apple ou Google), guardamos:

• nome e e-mail (se você entrou com "Ocultar meu e-mail" da Apple, guardamos o endereço de retransmissão, não o seu);
• o provedor de login e o identificador que ele nos dá;
• a sua declaração de que tem 18 anos ou mais (guardamos só a data em que você declarou, nunca a data de nascimento);
• sexo, se você informar no Perfil (opcional; serve para o app concordar as frases com você);
• foto de perfil, se você escolher uma;
• idioma, fuso horário, região configurada no aparelho, horário do lembrete, e quando você entrou pela última vez;
• dados do aparelho: modelo, versão do sistema, versão do app.

Finalidade: manter a sua conta, fazer o app funcionar no seu idioma e no seu horário, e permitir que o seu material volte quando você trocar de aparelho.
Base legal: execução do contrato (art. 7º, V, da LGPD).

2.2 O seu material, na cópia protegida

Para você não perder nada ao trocar ou perder o aparelho, o Cerne mantém uma cópia sincronizada do seu material nos nossos servidores: conversas, fragmentos, camadas, revelações (texto, imagem e voz), cartas, diário, relatos de prática, memórias e os destaques do mês. Essa cópia é ligada só à sua conta: uma regra no banco de dados impede que qualquer conta enxergue a linha de outra. Quem opera o serviço tem acesso técnico a esses dados e só os acessa para manter o serviço funcionando ou por obrigação legal.

Esse material inclui o humor que você marca ao fazer uma prática (um número de 1 a 5, um por dia) e o clima que o app anota ao fim de cada conversa. O que você conta sobre a sua vida emocional é, pela lei, dado pessoal sensível (art. 5º, II, e art. 11 da LGPD), e é por isso que ele só vai para a inteligência artificial depois da sua permissão explícita (seção 2.3), nunca vira anúncio nem é vendido, e pode ser apagado por você a qualquer momento, anotação por anotação ou a conta inteira.

Finalidade: restauração do seu material entre aparelhos.
Base legal: execução do contrato (art. 7º, V) e, para a parte sensível, o seu consentimento (art. 11, I), dado na tela de permissão antes da primeira conversa.

2.3 O que vai para a inteligência artificial

O Cerne escreve com um modelo de linguagem operado por terceiros. Antes da primeira conversa, o app pede a sua permissão explícita para isso, numa tela própria, e você pode dizer não. Sem essa permissão o chat fica trancado; o resto do app continua funcionando. Você pode retirar a permissão a qualquer momento em Ajustes · Seus dados.

O que sai do aparelho quando você conversa: o texto que você escreve no chat, junto com o contexto que o app monta para o modelo responder (a sua pergunta, o seu primeiro nome, as camadas já fechadas, os fragmentos da conversa, o retrato que o app tem de você e os relatos das suas práticas). O diário vai em duas peças fora do chat, ambas só com a sua permissão: a frase do mês do Diário e os destaques da aba Você, que leem as anotações daquele mês. O seu e-mail não vai.

O caminho:

1. O texto sai do aparelho para o servidor do Cerne (hospedado na Vercel, Estados Unidos), que guarda as chaves de acesso e não grava o texto: ele só encaminha.
2. O servidor do Cerne encaminha ao OpenRouter (Estados Unidos), um roteador de modelos, que também não guarda o texto: o registro de prompts está desligado na nossa conta.
3. O OpenRouter entrega ao modelo. Hoje é a OpenAI (o mesmo modelo do ChatGPT), com a Tencent como reserva quando ela falha. A voz da revelação é gerada pela OpenAI, e a imagem pela Meta.

O que os provedores de modelo fazem com o texto:

• Não treinam modelo nenhum com ele. O Cerne exige do roteador que a rota nunca passe por provedor que use o texto para treino ou o colete.
• A OpenAI retém o texto por até 30 dias, só para checagem de abuso, e depois apaga.

Além do texto, o servidor do Cerne registra, por chamada, números: quantos tokens entraram e saíram, quanto custou, quanto demorou, qual modelo respondeu, e se deu erro. Nunca o conteúdo.

Finalidade: o serviço em si (o Cerne não existe sem o modelo).
Base legal: o seu consentimento (art. 7º, I), dado na tela de permissão e registrado na sua conta com data e versão do texto que você aceitou.

2.4 Segurança sua

Se o que você escreve indicar risco à sua vida, o app encerra a conversa com uma mensagem fixa e o telefone da linha de apoio do seu país (no Brasil, o CVV, 188; a lista está em Se você não está bem). Para escolher o país, o app usa a sigla do país do seu endereço IP na última chamada ao servidor, a região configurada no aparelho ou a loja da sua conta; a sigla fica só no aparelho. Nesse caso o nosso servidor registra só uma marca: que houve um alerta, quando, e em qual conta. Nunca o texto. O Cerne não é terapia, não é serviço de emergência e não substitui um profissional.

Base legal: proteção da vida (art. 7º, VII).

2.5 Quando você sinaliza uma resposta

Toda resposta do Cerne pode ser sinalizada por você, com um motivo. O motivo vai para a nossa fila de revisão. O trecho da resposta só vai se você marcar "anexar o que ele disse", e o recado só vai se você o escrever. Lemos tudo o que chega ali para corrigir o modelo. O trecho e o recado ficam por 30 dias a partir da sinalização e depois são apagados; o motivo fica como contagem, sem texto. Se você apaga a conta, o trecho e o recado das suas sinalizações são apagados na hora.

Base legal: legítimo interesse em manter o serviço seguro (art. 7º, IX), e o seu consentimento para o trecho e o recado.

2.6 Medição e estabilidade

Para saber onde as pessoas travam e se o app está quebrando, usamos duas ferramentas:

• PostHog (Estados Unidos), para eventos de uso: qual tela abriu, qual passo do fluxo aconteceu, quantas camadas fecharam. Nenhum evento carrega texto seu. Só nomes de evento, contagens e categorias. A gravação de sessão e a captura automática de tela estão desligadas em código, e ficam.
• Sentry (Estados Unidos), para erros e travamentos: o tipo do erro, o modelo do aparelho, a versão do app. Sem screenshot, sem hierarquia de tela, sem dado pessoal.

Os dois recebem o identificador da sua conta, para que um erro ou um funil possa ser ligado a uma pessoa e não a um fantasma. Não fazemos rastreamento entre apps ou sites de terceiros, não usamos publicidade, e não vendemos dados a ninguém. Você pode desligar as duas ferramentas em Ajustes · Seus dados · Estatísticas de uso: o app continua igual.

Base legal: legítimo interesse (art. 7º, IX).

2.7 Assinatura

A assinatura é processada pela loja (Apple ou Google) e pelo RevenueCat (Estados Unidos), que nos diz se a sua assinatura está ativa. Não vemos o seu cartão. O RevenueCat recebe o identificador da sua conta e o histórico da assinatura. A cada mudança na assinatura (compra, renovação, cancelamento, reembolso), o RevenueCat avisa o nosso servidor, e guardamos esse histórico de pagamentos: produto, valor, moeda, país da loja e datas, nunca dado de cartão. Ele serve para a nossa contabilidade e para liberar ou encerrar o acesso na hora certa. Se você apagar a conta, esse histórico perde o vínculo com ela e fica só como registro contábil.

Base legal: execução do contrato (art. 7º, V) e, para o registro contábil, cumprimento de obrigação legal (art. 7º, II).

2.8 O que nunca coletamos

• O áudio do ditado: a transcrição roda no próprio aparelho e o áudio não é gravado.
• Contatos, localização, fotos além da que você escolhe para o perfil.
• Publicidade, perfil de anúncio, dados de outros apps.

2.9 Este site

O site cerneapp.com mede visitas com o Google Analytics 4, e só depois que você permite no aviso de cookies: sem a sua escolha, o padrão é negado e nenhum cookie de medição é criado; o endereço IP é anonimizado; e nada é cruzado com a sua conta no app. Para mudar a escolha, use o link "Cookies" no rodapé. O site é hospedado na Hostinger, em São Paulo, cujos servidores registram o endereço IP e o horário de cada acesso nos logs, pelo prazo padrão da hospedagem. Sem publicidade, sem pixel de rede social.

3. Com quem compartilhamos

Só com os operadores acima, cada um para a sua função, e nada além dela:

Isso é transferência internacional de dados (art. 33 da LGPD). Ela acontece porque esses serviços operam fora do Brasil (a exceção é a Hostinger, que hospeda o site em São Paulo), sob cláusulas contratuais de proteção de dados. Fora esses operadores, só compartilhamos dados por ordem legal ou judicial.

4. Por quanto tempo guardamos

• A sua conta e a cópia do seu material: enquanto a conta existir.
• Depois que você apaga a conta: 30 dias de carência, em que entrar de novo cancela a exclusão. Passados os 30 dias, apagamos de verdade: conta, material, imagens, vozes e foto. Os registros numéricos de uso do modelo e de erro perdem a ligação com a sua conta (ficam anônimos); as marcas de alerta de segurança são apagadas.
• Nos provedores de modelo: conforme a seção 2.3 (até 30 dias na OpenAI).
• Eventos de uso: até 1 ano no PostHog. Erros: até 90 dias no Sentry. Sem texto, nos dois.
• Visitas ao site: até 14 meses no Google Analytics, só se você permitiu.
• Cópias de segurança: cifradas, guardadas por até 30 dias; quando a conta é apagada, ela some das cópias em até 30 dias depois da purga.
• Sinalizações de resposta: trecho e recado por 30 dias; motivo, superfície e data ficam como contagem, sem texto e sem ligação com a sua conta.

5. Os seus direitos, e onde exercer cada um

A LGPD garante a você acesso, correção, portabilidade, exclusão, informação sobre compartilhamento, e revogação do consentimento. No Cerne, cada um tem uma porta dentro do app:

• Ver e levar tudo: Ajustes · Seus dados · Exportar tudo. Sai um pacote com o livro em PDF, as conversas em texto, as imagens e as vozes.
• Apagar tudo, incluindo a cópia: Ajustes · Conta · Excluir minha conta, com 30 dias de carência. O passo a passo está em Apagar a sua conta.
• Retirar a permissão de envio para a IA: Ajustes · Seus dados · Envio para a IA.
• Corrigir nome, foto e dados do perfil: Ajustes · Perfil.
• Qualquer outro pedido, ou uma dúvida: hello@cerneapp.com. Respondemos em até 15 dias.

Se você entender que os seus direitos não foram atendidos, pode recorrer à Autoridade Nacional de Proteção de Dados (ANPD).

6. Idade mínima

O Cerne é para maiores de 18 anos. Não coletamos dados de crianças e adolescentes de propósito; se soubermos que uma conta é de menor de 18, apagamos.

7. Segurança

Toda comunicação é cifrada em trânsito. A cópia do seu material fica num banco com regra de acesso por conta (cada conta só alcança as próprias linhas, verificado em teste), num bucket privado para imagens e vozes, com backup diário cifrado, guardado por até 30 dias. As chaves de acesso aos provedores nunca ficam no app: vivem no servidor, com teto de uso e limite de gasto. O texto das suas conversas não entra em nenhum registro de sistema: os logs guardam quem, quando e de onde, nunca o quê.

7.1 Se houver um incidente de segurança

Nenhum sistema é infalível. Se descobrirmos um incidente que possa afetar os seus dados (acesso indevido, vazamento, perda), fazemos, nesta ordem: contemos o problema em até 1 hora (desligando o que for preciso e trocando as chaves); apuramos em até 24 horas o que foi alcançado e de quem; e comunicamos a Autoridade Nacional de Proteção de Dados (ANPD) e você, no e-mail da sua conta, em até 3 dias úteis a partir da descoberta, como pede o art. 48 da LGPD. A mensagem diz o que aconteceu, quais dados foram afetados, o que fizemos, o que você pode fazer e como falar com o encarregado. Se o incidente exigir que você entre de novo no app, avisamos na própria mensagem.

8. Mudanças nesta política

Quando esta página mudar de forma relevante, a data no topo muda, e o app avisa antes da próxima conversa quando a mudança afetar o envio para a IA: nesse caso, pedimos a sua permissão de novo, sobre o texto novo.

9. Contato

RAPHAEL BORGES DE ANDRADE DAYAN CONSULTORIA EM TECNOLOGIA DA INFORMACAO LTDA · CNPJ 64.325.876/0001-90 · D-U-N-S 579119303 · Rua Pais Leme, 215, Conj. 1713, São Paulo, SP, 05424-150, Brasil · +55 41 9788-0145
Encarregado pelo tratamento de dados pessoais (DPO, art. 41 da LGPD): Raphael Dayan. Para qualquer pedido sobre os seus dados, dúvida ou reclamação, escreva para hello@cerneapp.com: respondemos em até 15 dias, o prazo da lei para o acesso simplificado.