Política de Privacidade

O Cerne é um aplicativo de autoconhecimento. Você conversa com ele sobre o que está pesando na sua vida, e ele ajuda a enxergar o que se repete. Isso quer dizer que o Cerne lida com o material mais íntimo que existe: o que você escreve sobre você. Esta página explica, sem rodeio, o que sai do seu aparelho, para onde vai, por quanto tempo fica, e como você manda nisso.

Quem responde por este tratamento de dados (o "controlador", nos termos da Lei Geral de Proteção de Dados, Lei 13.709/2018) é [RAZÃO SOCIAL], CNPJ [CNPJ], com sede em [ENDEREÇO]. Fale com a gente em hello@cerneapp.com.

1. O princípio: o seu material vive no seu aparelho

Tudo o que você escreve no Cerne (conversas, fragmentos, camadas, revelações, cartas, diário, relatos de prática) é guardado primeiro no seu aparelho. É de lá que o app lê. O que descrevemos abaixo são as situações em que uma parte desse material sai do aparelho, e por quê.

2. O que coletamos, e para quê

2.1 A sua conta

Quando você cria uma conta (com Apple, Google ou e-mail), guardamos:

• nome e e-mail (se você entrou com "Ocultar meu e-mail" da Apple, guardamos o endereço de retransmissão, não o seu);
• o provedor de login e o identificador que ele nos dá;
• sexo e ano de nascimento, se você informar (os dois são opcionais; o sexo serve para o app concordar as frases com você);
• foto de perfil, se você escolher uma;
• idioma, fuso horário, região configurada no aparelho, horário do lembrete, e quando você entrou pela última vez;
• dados do aparelho: modelo, versão do sistema, versão do app.

Finalidade: manter a sua conta, fazer o app funcionar no seu idioma e no seu horário, e permitir que o seu material volte quando você trocar de aparelho.
Base legal: execução do contrato (art. 7º, V, da LGPD).

2.2 O seu material, na cópia protegida

Para você não perder nada ao trocar ou perder o aparelho, o Cerne mantém uma cópia sincronizada do seu material nos nossos servidores: conversas, fragmentos, camadas, revelações (texto, imagem e voz), cartas, diário, relatos de prática, memórias e os destaques do mês. Essa cópia é ligada só à sua conta: uma regra no banco de dados impede que qualquer conta enxergue a linha de outra. Quem opera o serviço tem acesso técnico a esses dados e só os acessa para manter o serviço funcionando ou por obrigação legal.

Finalidade: restauração do seu material entre aparelhos.
Base legal: execução do contrato (art. 7º, V).

2.3 O que vai para a inteligência artificial

O Cerne escreve com um modelo de linguagem operado por terceiros. Antes da primeira conversa, o app pede a sua permissão explícita para isso, numa tela própria, e você pode dizer não. Sem essa permissão o chat fica trancado; o resto do app continua funcionando. Você pode retirar a permissão a qualquer momento em Ajustes · Seus dados.

O que sai do aparelho quando você conversa: o texto que você escreve no chat, junto com o contexto que o app monta para o modelo responder (a sua pergunta, as camadas já fechadas, os fragmentos da conversa, o retrato que o app tem de você e os relatos das suas práticas). O seu nome, o seu e-mail e o seu diário não vão.

O caminho:

1. O texto sai do aparelho para o servidor do Cerne (hospedado na Vercel, Estados Unidos), que guarda as chaves de acesso e não grava o texto: ele só encaminha.
2. O servidor do Cerne encaminha ao OpenRouter (Estados Unidos), um roteador de modelos, que também não guarda o texto: o registro de prompts está desligado na nossa conta.
3. O OpenRouter entrega ao modelo. Hoje é a OpenAI (o mesmo modelo do ChatGPT), com a Tencent como reserva quando ela falha. A voz da revelação é gerada pela OpenAI, e a imagem pela Meta.

O que os provedores de modelo fazem com o texto:

• Não treinam modelo nenhum com ele. O Cerne exige do roteador que a rota nunca passe por provedor que use o texto para treino ou o colete.
• A OpenAI retém o texto por até 30 dias, só para checagem de abuso, e depois apaga.

Além do texto, o servidor do Cerne registra, por chamada, números: quantos tokens entraram e saíram, quanto custou, quanto demorou, qual modelo respondeu, e se deu erro. Nunca o conteúdo.

Finalidade: o serviço em si (o Cerne não existe sem o modelo).
Base legal: o seu consentimento (art. 7º, I), dado na tela de permissão e registrado na sua conta com data e versão do texto que você aceitou.

2.4 Segurança sua

Se o que você escreve indicar risco à sua vida, o app encerra a conversa com uma mensagem fixa e o telefone do CVV (188). Nesse caso o nosso servidor registra só uma marca: que houve um alerta, quando, e em qual conta. Nunca o texto. O Cerne não é terapia, não é serviço de emergência e não substitui um profissional.

Base legal: proteção da vida (art. 7º, VII).

2.5 Quando você sinaliza uma resposta

Toda resposta do Cerne pode ser sinalizada por você, com um motivo. O motivo vai para a nossa fila de revisão. O trecho da resposta só vai se você marcar "anexar o que ele disse", e o recado só vai se você o escrever. Lemos tudo o que chega ali para corrigir o modelo.

Base legal: legítimo interesse em manter o serviço seguro (art. 7º, IX), e o seu consentimento para o trecho e o recado.

2.6 Medição e estabilidade

Para saber onde as pessoas travam e se o app está quebrando, usamos duas ferramentas:

• PostHog (Estados Unidos), para eventos de uso: qual tela abriu, qual passo do fluxo aconteceu, quantas camadas fecharam. Nenhum evento carrega texto seu. Só nomes de evento, contagens e categorias. A gravação de sessão e a captura automática de tela estão desligadas em código, e ficam.
• Sentry (Estados Unidos), para erros e travamentos: o tipo do erro, o modelo do aparelho, a versão do app. Sem screenshot, sem hierarquia de tela, sem dado pessoal.

Os dois recebem o identificador da sua conta, para que um erro ou um funil possa ser ligado a uma pessoa e não a um fantasma. Não fazemos rastreamento entre apps ou sites de terceiros, não usamos publicidade, e não vendemos dados a ninguém.

Base legal: legítimo interesse (art. 7º, IX).

2.7 Assinatura

A assinatura é processada pela loja (Apple ou Google) e pelo RevenueCat (Estados Unidos), que nos diz se a sua assinatura está ativa. Não vemos o seu cartão. O RevenueCat recebe o identificador da sua conta e o histórico da assinatura.

Base legal: execução do contrato (art. 7º, V).

2.8 O que nunca coletamos

• O áudio do ditado: a transcrição roda no próprio aparelho e o áudio não é gravado.
• Contatos, localização, fotos além da que você escolhe para o perfil.
• Publicidade, perfil de anúncio, dados de outros apps.

2.9 Este site

O site cerneapp.com não usa cookies de rastreamento nem publicidade. Se um dia medirmos visitas, será com a sua permissão explícita, num aviso próprio, e sem cruzar nada com a sua conta no app.

3. Com quem compartilhamos

Só com os operadores acima, cada um para a sua função, e nada além dela:

Isso é transferência internacional de dados (art. 33 da LGPD). Ela acontece porque esses serviços operam fora do Brasil, sob cláusulas contratuais de proteção de dados. Fora esses operadores, só compartilhamos dados por ordem legal ou judicial.

4. Por quanto tempo guardamos

• A sua conta e a cópia do seu material: enquanto a conta existir.
• Depois que você apaga a conta: 30 dias de carência, em que entrar de novo cancela a exclusão. Passados os 30 dias, apagamos de verdade: conta, material, imagens, vozes e foto. Os registros numéricos de uso do modelo e de erro perdem a ligação com a sua conta (ficam anônimos); as marcas de alerta de segurança são apagadas.
• Nos provedores de modelo: conforme a seção 2.3 (até 30 dias na OpenAI).
• Eventos de uso e erros: conforme a retenção do PostHog e do Sentry, sem texto.

5. Os seus direitos, e onde exercer cada um

A LGPD garante a você acesso, correção, portabilidade, exclusão, informação sobre compartilhamento, e revogação do consentimento. No Cerne, cada um tem uma porta dentro do app:

• Ver e levar tudo: Ajustes · Seus dados · Exportar tudo. Sai um pacote com o livro em PDF, as conversas em texto, as imagens e as vozes.
• Apagar tudo, incluindo a cópia: Ajustes · Seus dados · Apagar tudo, e Ajustes · Conta · Apagar conta. O passo a passo está em Apagar a sua conta.
• Retirar a permissão de envio para a IA: Ajustes · Seus dados · Envio para a IA.
• Corrigir nome, foto e dados do perfil: Ajustes · Perfil.
• Qualquer outro pedido, ou uma dúvida: hello@cerneapp.com. Respondemos em até 15 dias.

Se você entender que os seus direitos não foram atendidos, pode recorrer à Autoridade Nacional de Proteção de Dados (ANPD).

6. Idade mínima

O Cerne é para maiores de 18 anos. Não coletamos dados de crianças e adolescentes de propósito; se soubermos que uma conta é de menor de 18, apagamos.

7. Segurança

Toda comunicação é cifrada em trânsito. A cópia do seu material fica num banco com regra de acesso por conta, num bucket privado para imagens e vozes. As chaves de acesso aos provedores nunca ficam no app: vivem no servidor. Nenhum sistema é infalível; se houver um incidente que afete os seus dados, avisamos você e a ANPD conforme a lei.

8. Mudanças nesta política

Quando esta página mudar de forma relevante, a data no topo muda, e o app avisa antes da próxima conversa quando a mudança afetar o envio para a IA: nesse caso, pedimos a sua permissão de novo, sobre o texto novo.

9. Contato

[RAZÃO SOCIAL] · CNPJ [CNPJ] · [ENDEREÇO]
Encarregado de dados (DPO): [NOME], hello@cerneapp.com.