Política de privacidade

1. Quem somos

O TourLore é um guia turístico e planejador de viagens com inteligência artificial para iOS e Android, junto com o site tourlore.co. O TourLore é operado por Luis Otávio Martins, microempreendedor individual (MEI), inscrito no CNPJ sob o nº 40.822.339/0001-98, sediado em Sorocaba, São Paulo, Brasil (“TourLore”, “nós”).

Somos o controlador dos dados pessoais descritos nesta política. Para qualquer dúvida ou solicitação sobre privacidade, fale conosco em founder@tourlore.co.

2. O que esta política abrange

Esta política explica quais dados pessoais coletamos quando você usa o app TourLore e o site do TourLore, por que os coletamos, com quem os compartilhamos e quais escolhas e direitos você tem. Ela não abrange sites ou serviços de terceiros para os quais direcionamos você, como o app de mapas que abre quando você toca em “Ir até lá”.

3. Dados que coletamos

Coletamos apenas o necessário para planejar e narrar seus passeios:

• Dados da conta. Quando você entra com o Google, recebemos seu nome, endereço de e-mail, URL da foto de perfil e identificador da conta Google, além dos tokens de acesso emitidos pelo Google para manter você conectado. Veja a seção 4.
• Dados de sessão e técnicos. Para manter sua sessão segura, armazenamos o endereço IP e o user agent do dispositivo associados a cada sessão. Nossos servidores e o monitoramento de erros também tratam dados técnicos básicos, como versão do app, sistema operacional e detalhes de erros. No Android, quando você conversa com o guia, monta um passeio ou viagem ou envia uma mensagem de voz, o app pede à API Play Integrity do Google que confirme que o pedido vem do app TourLore original em um dispositivo genuíno. Nossos servidores recebem o veredito do Google (por exemplo, se o app veio do Google Play e se o dispositivo passa nas verificações de integridade do Google), não os identificadores do seu dispositivo, e o usam apenas para proteger o TourLore contra abusos.
• Prevenção de abuso e fraude. O app envia um identificador do dispositivo com as solicitações aos nossos servidores: o Android ID no Android ou o identificador do fornecedor (identifier-for-vendor) que a Apple atribui aos nossos apps no iOS. Quando você conversa com o guia, monta um passeio ou uma viagem ou envia uma mensagem de voz, nossos servidores o armazenam apenas como um hash com chave (um HMAC gerado com um segredo que só nossos servidores conhecem), nunca o identificador em si, junto com quando aquele dispositivo foi visto pela primeira e pela última vez na sua conta; usamos isso para detectar uma conta usada em muitos dispositivos ao mesmo tempo. Cada vez que você entra na conta, nossos servidores também consultam o país do seu endereço IP em uma base de dados armazenada nos nossos próprios servidores (DB-IP; veja a seção 7), então nenhuma consulta sai dos nossos servidores. Guardamos apenas o país e o horário da sua entrada mais recente, no registro de situação da sua conta; essa verificação não armazena o endereço IP (o endereço IP guardado com a sua sessão está descrito acima). Se essas verificações, ou um número incomum de passeios montados em um dia, indicarem atividade incomum, registramos um alerta (contagens, códigos de país e distâncias, nunca um endereço IP ou um identificador do dispositivo em si). Conforme o número de alertas da sua conta nos últimos 30 dias, o app pode mostrar um aviso, reduzir seus limites de uso por hora ou pedir que você entre na conta novamente. Essas verificações nunca bloqueiam nem encerram uma conta, e uma pessoa pode revisar um alerta e removê-lo.
• Preferências e perfil de gosto. Os interesses que você escolhe, o idioma do app, a voz de narração que você escolhe e um breve perfil de gosto que nossa IA deduz de como você usa o TourLore (por exemplo, que tipo de lugar você costuma gostar). Ele aprende com seus planos e passeios anteriores: lugares sugeridos pelo guia que você deixou fora de um plano, paradas que você remove ou troca durante um passeio, paradas que você marca como visitadas e paradas que você avalia com “Amei” ou “Não é a minha”. Você pode vê-lo e ajustá-lo — silenciar, fixar ou redefinir interesses — na tela de Preferências.
• Conversas, passeios e viagens. As mensagens que você troca com o guia durante o planejamento (guardamos as 50 mensagens mais recentes de cada conversa), a cidade que você está planejando e os passeios e viagens de vários dias que geramos para você.
• Compras e uso. Quando você compra um plano, passe de viagem ou pacote adicional no app, nós e nosso provedor de cobrança RevenueCat (seção 7) recebemos o registro da compra da App Store ou do Google Play: o que você comprou, a loja, o ID da transação na loja, as datas de teste, renovação e expiração, e o preço, a moeda e o país informados pela loja. Também acompanhamos quanto da franquia de uso do seu plano você já usou (passeios, conversas, perguntas com foto e entrada por voz são medidos pelo custo estimado) e mantemos contadores de curto prazo que protegem o TourLore contra abusos. O pagamento em si é processado pela Apple ou pelo Google — nunca vemos seu cartão nem outros dados de pagamento.
• Localização. Se você permitir o acesso, o app usa a localização do dispositivo enquanto está aberto (nunca em segundo plano) para mostrar você no mapa e detectar a cidade em que você está. Quando você planeja um passeio a partir da sua localização atual, essas coordenadas são enviadas aos nossos servidores, salvas com aquela conversa e usadas para encontrar lugares próximos. Se você digitar uma cidade, não armazenamos suas coordenadas.
• Fotos que você escolhe enviar. Se você permitir o acesso à câmera ou à galeria, pode mostrar ao guia uma foto do que está vendo. A foto é reduzida no seu dispositivo e enviada ao nosso provedor de IA para responder à sua pergunta. Não salvamos fotos no nosso banco de dados; veja na seção 9 por quanto tempo cópias de monitoramento podem ser mantidas.
• Entrada por voz. Se você permitir o acesso ao microfone, pode tocar no microfone para falar com o guia em vez de digitar. O app grava um trecho curto (até 60 segundos) somente enquanto você está gravando, envia-o aos nossos servidores e o apaga do seu dispositivo. Enviamos o trecho ao nosso provedor de IA apenas para transformá-lo em texto, que aparece na caixa de mensagem para você editar e enviar. Não armazenamos o áudio, e ele não é mantido nos nossos registros de monitoramento da IA ou de erros.
• Estatísticas de uso do app. Enquanto a opção “Compartilhar dados de uso” estiver ativada (seção 5), o app envia eventos de análise de produto ao PostHog (seção 7): quais telas você abre e eventos como entrar na conta, concluir a configuração inicial, enviar uma mensagem no chat, ver a tela de planos, uma compra ser concluída ou falhar, montar um passeio, tocar a narração e baixar um passeio para uso offline. Os eventos trazem identificadores e contagens (por exemplo, o ID de um passeio, o número de paradas ou se a mensagem foi a primeira de uma conversa) — nunca o texto das suas mensagens, seu nome ou seu e-mail. Eles também incluem dados básicos do dispositivo e do app (sistema operacional e versão, versão do app, tipo de dispositivo), e o PostHog usa seu endereço IP para estimar sua localização aproximada (país e cidade). Antes de você entrar na conta, os eventos ficam vinculados a um identificador aleatório armazenado no seu dispositivo; quando você entra, passam a ser vinculados ao seu ID interno de usuário do TourLore, junto com os eventos anteriores daquele dispositivo. Eventos de assinatura do nosso provedor de cobrança (como o início de um teste ou uma renovação) podem ser vinculados ao mesmo ID. Ao sair da conta, um novo identificador aleatório é criado.
• Lista de espera do site. Se você entrar na lista de espera no nosso site, armazenamos seu endereço de e-mail, o idioma da página em que você se inscreveu (para escrevermos a você nesse idioma) e qual formulário de inscrição você usou. Para impedir inscrições automáticas repetidas, seu endereço IP é contabilizado por um minuto e não é armazenado com o seu e-mail. Podemos pedir que você confirme seu endereço: nesse caso, enviamos um e-mail com um link de confirmação e não enviamos novidades do lançamento até você clicar nele. Enviamos no máximo um e-mail desse tipo por endereço a cada semana, registramos quando o enviamos e quando você confirmou, e um endereço nunca confirmado continua guardado, marcado como não inscrito, até você pedir a exclusão.
• Estatísticas do site. Nosso site usa análises sem cookies e que respeitam a privacidade (veja a seção 14).

Não pedimos acesso aos seus contatos nem à sua localização em segundo plano, não usamos o microfone exceto enquanto você grava uma mensagem de voz e não coletamos histórico de localização precisa.

4. Dados de usuário do Google

O TourLore oferece o login com o Google. Solicitamos apenas os escopos básicos “openid”, “email” e “profile”. Por meio deles acessamos seu nome, endereço de e-mail, foto de perfil e identificador da conta Google. Não acessamos dados do Gmail, Drive, Agenda, Contatos ou de qualquer outro serviço do Google.

Usamos essas informações apenas para criar e identificar sua conta TourLore, fazer seu login, exibir seu nome e foto no app e entrar em contato com você sobre sua conta. Os tokens de login do Google são armazenados em nossos servidores exclusivamente para manter sua sessão.

Não vendemos dados de usuário do Google, não os usamos para publicidade, não os compartilhamos com terceiros além dos prestadores de serviço da seção 7 que nos ajudam a operar o TourLore e não os usamos para desenvolver, melhorar ou treinar modelos generalizados de IA ou aprendizado de máquina.

O uso e a transferência, pelo TourLore, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Uso Limitado.

5. Como usamos seus dados e bases legais

• Para prestar o serviço — criar sua conta, planejar e narrar passeios, responder às suas perguntas, manter passeios disponíveis offline e lembrar suas preferências (execução do contrato com você).
• Para vender e gerenciar planos pagos — verificar suas compras, liberar seu plano, medir a franquia de uso e restaurar compras nos seus outros dispositivos (execução do contrato); e para prevenir fraudes e abusos de testes gratuitos e limites de uso (legítimo interesse).
• Para personalizar seus passeios ao longo do tempo com seu perfil de gosto (execução do contrato; você pode redefini-lo ou ajustá-lo a qualquer momento).
• Para usar sua localização, câmera, fotos ou microfone — somente depois que você concede a permissão correspondente no dispositivo, que pode ser revogada a qualquer momento nas configurações (consentimento).
• Para manter o TourLore seguro e confiável, prevenir abusos, corrigir erros e monitorar a qualidade das respostas da IA (legítimo interesse).
• Para prevenir abuso e fraude com o identificador do dispositivo em hash, o país da sua entrada mais recente e os alertas e a situação da conta calculados a partir deles (seção 3) — por exemplo, uma conta compartilhada em muitos dispositivos ou uma entrada a partir de um país distante demais do da entrada anterior para que você tivesse viajado até lá no tempo entre elas (legítimo interesse).
• Para entender como o app é usado e melhorá-lo — estatísticas de produto medidas com identificadores e contagens, não com o conteúdo das suas mensagens. Você controla isso pela opção “Compartilhar dados de uso”, na aba Conta do app. Na União Europeia, no EEE, no Reino Unido e na Suíça ela começa desativada, e o app não envia estatísticas até você ativá-la (na última etapa da configuração inicial ou em Conta); decidimos isso pelas configurações de idioma e região do seu dispositivo, não por onde você está, e ela também começa desativada quando o dispositivo não define uma região. Nos demais lugares ela começa ativada. Em qualquer caso, você pode desativá-la ou ativá-la quando quiser, e desativá-la faz o app parar de enviar estatísticas daquele dispositivo. Base legal: seu consentimento onde a opção começa desativada; legítimo interesse nos demais lugares, onde você pode se opor desativando-a. Desativá-la não apaga os eventos já enviados; para apagá-los, escreva para nós (seção 10) ou exclua sua conta (seção 11).
• Para enviar novidades do lançamento se você entrou na lista de espera (consentimento; você pode cancelar a inscrição a qualquer momento).
• Para cumprir obrigações legais e para o exercício regular de direitos em processos judiciais, administrativos ou arbitrais.

Essas bases legais são as da Lei Geral de Proteção de Dados (LGPD) e, quando aplicável, do GDPR da União Europeia e do Reino Unido.

6. Como a IA é usada

Os passeios, a narração e as respostas do chat são gerados pelos modelos Gemini do Google no Google Cloud Vertex AI. Para isso, enviamos à IA o conteúdo relevante para o seu pedido: suas mensagens, qualquer foto ou gravação de voz que você escolha enviar, sua cidade e (se compartilhadas) suas coordenadas, seu idioma, seus interesses e perfil de gosto e seu roteiro atual. As gravações de voz são usadas apenas para transcrever o que você disse e não são armazenadas. Os roteiros da narração são escritos de acordo com seus interesses e perfil de gosto e depois convertidos em áudio pelo Google Cloud Text-to-Speech, que recebe apenas o texto do roteiro e a voz que você escolheu.

Pelos termos do Google Cloud, o Google trata esses dados em nosso nome e não os usa para treinar seus modelos. Nós não usamos seus dados pessoais para treinar modelos de IA.

A IA pode errar. Nós a usamos para sugerir e descrever lugares — ela não toma decisões sobre você que produzam efeitos jurídicos ou de impacto semelhante.

7. Com quem compartilhamos dados

Não vendemos nem alugamos seus dados pessoais. Compartilhamos apenas com prestadores de serviço que os tratam em nosso nome, sob contratos que limitam o uso:

• Google Cloud (Cloud Run, Vertex AI Gemini, Text-to-Speech, Places API, Secret Manager) — hospedagem da nossa API, geração de conteúdo, busca de lugares perto de você. Nossa API roda em Frankfurt, Alemanha; as solicitações de IA podem ser processadas em outras regiões do Google.
• Neon — nosso banco de dados (AWS Frankfurt, Alemanha).
• Inngest — processamento de tarefas em segundo plano; recebe identificadores internos de conta e de passeio e, na geração de passeios, os detalhes do pedido (cidade, coordenadas se compartilhadas, interesses, duração, idioma) (Estados Unidos).
• Cloudflare R2 — armazenamento e entrega do áudio de narração (rede global). Os arquivos de áudio contêm narrações sobre lugares, não dados pessoais.
• RevenueCat — gestão de compras no app e assinaturas; recebe seu ID interno de usuário do TourLore, seus registros de compra da App Store / Google Play e dados básicos do dispositivo e do app (como plataforma e versão do app) (Estados Unidos).
• Langfuse — monitoramento de qualidade da IA; recebe prompts e respostas, que podem incluir suas mensagens, fotos e o texto transcrito das suas gravações de voz (nunca o áudio em si), vinculados a um ID interno de usuário (UE).
• Sentry — relatórios de falhas e erros; pode receber a solicitação que causou um erro, como uma mensagem do chat ou coordenadas (UE, Alemanha).
• Tavily — busca na web usada para pesquisar lugares; recebe consultas escritas pela nossa IA, que podem refletir o que você perguntou.
• Wikipedia / Wikidata — consultas de artigos sobre lugares; recebem apenas nomes de lugares.
• OpenStreetMap Overpass API (FOSSGIS e.V., Alemanha) — busca de lugares perto de você; recebe as coordenadas da área em que você está planejando, enviadas pelos nossos servidores (nunca o seu endereço IP).
• OpenFreeMap — blocos do mapa; como qualquer site que você carrega, vê o endereço IP do seu dispositivo e a área do mapa exibida.
• Resend — armazena as inscrições na lista de espera: endereço de e-mail, idioma da inscrição e qual formulário foi usado e, quando pedimos que você confirme seu endereço, envia esse e-mail de confirmação e registra quando ele foi enviado e quando você confirmou.
• Upstash (quando ativado) — conta tentativas de inscrição na lista de espera por endereço IP durante um minuto e guarda um hash com chave do e-mail da lista de espera por até 7 dias, para não enviarmos mais de um e-mail de confirmação por endereço por semana. Nunca vê o endereço em si.
• PostHog — estatísticas de produto do app (eventos vinculados a um identificador do dispositivo ou ao seu ID interno de usuário; veja a seção 3) e estatísticas do site sem cookies (UE).
• Netlify — hospedagem deste site.
• API Play Integrity do Google — no Android, verifica se os pedidos vêm do app TourLore original em um dispositivo genuíno; o Google recebe a verificação do seu dispositivo e devolve o veredito aos nossos servidores.

Para descobrir o país do endereço IP de uma entrada na conta, usamos uma base de dados de geolocalização que roda nos nossos próprios servidores, então nenhum dado é enviado ao seu fornecedor: IP Geolocation by DB-IP, licenciada sob CC BY 4.0.

Quando você compra algo no app, a Apple (App Store) ou o Google (Google Play) processa o pagamento como controlador independente, segundo a própria política de privacidade.

Também podemos divulgar dados quando exigido por lei ou ordem judicial, para proteger os direitos, a segurança ou o patrimônio de nossos usuários ou de terceiros, ou em caso de fusão, aquisição ou venda de ativos (situação em que avisaremos você).

8. Transferências internacionais

Nossa infraestrutura principal fica na União Europeia, mas o TourLore é operado a partir do Brasil e alguns prestadores (por exemplo, o Inngest, a RevenueCat e o Google ao processar solicitações de IA) podem tratar dados nos Estados Unidos ou em outros países. Quando transferimos dados pessoais internacionalmente, adotamos as salvaguardas permitidas pela LGPD e pelo GDPR, como cláusulas contratuais padrão e os acordos de tratamento de dados dos nossos prestadores.

9. Por quanto tempo guardamos os dados

• Dados da conta, preferências, conversas, passeios e viagens: enquanto sua conta existir. Quando você exclui a conta, eles são apagados do nosso banco de dados.
• Registros de plano, uso e compras: enquanto sua conta existir. Quando você exclui a conta, eles são apagados do nosso banco de dados e seu registro na RevenueCat é apagado logo em seguida. A Apple e o Google mantêm os próprios registros das suas compras, segundo as políticas deles.
• Fotos: não são armazenadas no nosso banco de dados. Cópias em registros de monitoramento da IA e de erros são mantidas por tempo limitado (até 90 dias) e depois apagadas.
• Registros de monitoramento e de erros: até 90 dias.
• Áudio de narração: mantido para servir seus passeios; não contém dados pessoais. Quando você exclui a conta, o áudio dos seus passeios também é apagado (cópias em cache na nossa rede de distribuição podem permanecer por algum tempo, até serem removidas).
• Gravações de voz: não são armazenadas. O trecho é apagado do seu dispositivo depois de enviado, e nossos servidores o descartam após a transcrição.
• Eventos de estatísticas do app: mantidos no PostHog enquanto precisarmos deles para entender como o app é usado, dentro dos limites de retenção do PostHog. Quando você exclui sua conta, seu perfil no PostHog e os eventos vinculados ao seu ID de usuário do TourLore são apagados logo em seguida. Eventos enviados antes de você entrar na conta pela primeira vez em um dispositivo são anônimos e não vinculados a você, por isso podem permanecer.
• Dados de prevenção de abuso (identificadores de dispositivo em hash, o país da sua entrada mais recente, alertas e a situação da sua conta): enquanto sua conta existir, e apagados do nosso banco de dados quando você exclui sua conta. Alertas com mais de 30 dias deixam de contar para a situação da sua conta, mas não são apagados antes disso.
• E-mail da lista de espera: até você cancelar a inscrição ou pedir a exclusão.
• Dados que precisamos manter por motivos legais: apenas pelo tempo exigido por lei.

Os passeios baixados para uso offline ficam no seu dispositivo até você removê-los ou desinstalar o app.

10. Seus direitos

Dependendo de onde você mora (incluindo pela LGPD, pelo GDPR, pelo UK GDPR e pela lei da Califórnia), você tem direito a:

• confirmar se tratamos seus dados e acessar uma cópia deles;
• corrigir dados incompletos, inexatos ou desatualizados;
• excluir seus dados ou sua conta;
• receber seus dados em formato portável;
• se opor a determinados tratamentos ou restringi-los, e revogar o consentimento a qualquer momento;
• obter informações sobre com quem compartilhamos seus dados;
• não sofrer discriminação por exercer seus direitos.

Para exercer qualquer um desses direitos, envie um e-mail para founder@tourlore.co a partir do endereço vinculado à sua conta. Responderemos em até 15 dias e, em qualquer caso, dentro do prazo exigido pela legislação aplicável. Você também pode apresentar reclamação a uma autoridade de proteção de dados — no Brasil, a ANPD (Autoridade Nacional de Proteção de Dados); na UE/Reino Unido, a autoridade do país onde você mora.

11. Como excluir sua conta

Você pode excluir sua conta TourLore a qualquer momento pelo app: vá até a aba Conta → Excluir conta. Isso apaga imediatamente sua conta e os dados dela do nosso banco de dados — perfil, preferências, conversas, passeios, viagens, seus registros de plano, uso e compras e seus dados de prevenção de abuso — e encerra sua sessão em todos os dispositivos. O áudio de narração dos seus passeios, seu registro de compras na RevenueCat e seus dados de estatísticas do app no PostHog (seu perfil no PostHog e os eventos vinculados à sua conta) são apagados logo em seguida.

Se você não tem mais o app, siga as instruções em tourlore.co/delete-account: envie um e-mail para founder@tourlore.co a partir do endereço vinculado à sua conta e faremos a exclusão por você. Confirmaremos e concluiremos a exclusão em até 30 dias.

Cópias dos seus dados nos registros de monitoramento da IA (Langfuse) e de erros (Sentry) não são apagadas mediante pedido; elas expiram automaticamente em até 90 dias.

Eventos de estatísticas enviados antes de você entrar na conta pela primeira vez em um dispositivo são anônimos e não vinculados à sua conta, por isso podem permanecer no PostHog.

Excluir a conta não cancela uma assinatura feita pela App Store ou pelo Google Play. Cancele-a nas configurações da sua conta da App Store ou do Google Play, ou a cobrança poderá continuar.

Você também pode revogar o acesso do TourLore à sua conta Google a qualquer momento nas configurações da Conta Google (Segurança → Apps e serviços de terceiros). Apagar o app do dispositivo remove os passeios offline armazenados nele, mas não exclui sua conta.

12. Segurança

Protegemos seus dados com criptografia em trânsito (HTTPS), armazenamento seguro de credenciais no dispositivo (Keychain / Keystore), infraestrutura com controle de acesso e segredos guardados em um cofre gerenciado. Nenhum sistema é totalmente seguro; se um incidente afetar seus dados, avisaremos você e as autoridades conforme exigido por lei.

13. Crianças e adolescentes

O TourLore não é direcionado a crianças. Você precisa ter pelo menos 16 anos para usá-lo. Não coletamos intencionalmente dados pessoais de menores de 16 anos; se você acredita que um menor nos forneceu dados, fale conosco e nós os apagaremos.

14. Cookies, armazenamento no dispositivo e estatísticas

Nosso site não usa cookies de publicidade ou rastreamento. Medimos as visitas com o PostHog em modo sem cookies: nada é armazenado no seu dispositivo e cada carregamento de página conta como uma visita anônima.

O app não usa cookies nem identificadores de publicidade. Enquanto “Compartilhar dados de uso” estiver ativada (seção 5), o SDK do PostHog armazena no seu dispositivo um identificador aleatório (seu ID de usuário do TourLore depois que você entra na conta) e uma fila de eventos de estatísticas pendentes, e lê informações básicas do dispositivo, como o sistema operacional e a versão do app, para medir como o app é usado (seção 3). Enquanto ela está desativada, o app não inicia o SDK; desativá-la apaga esse identificador. O app guarda sua escolha no seu dispositivo. Apagar o app remove todos esses dados.

15. Sem venda de dados, sem anúncios

Não vendemos nem compartilhamos dados pessoais para publicidade comportamental, não exibimos anúncios e não rastreamos você em apps ou sites de outras empresas.

16. Alterações nesta política

Atualizaremos esta política conforme o TourLore evoluir — por exemplo, quando adicionarmos novos recursos ou opções de login. Mudaremos a data de “Última atualização” acima e, se a mudança for relevante, avisaremos você no app ou por e-mail antes de ela entrar em vigor.

17. Contato

Luis Otávio Martins (CNPJ 40.822.339/0001-98) — TourLore, Sorocaba, São Paulo, Brasil. E-mail: founder@tourlore.co. Este endereço também é o canal de contato do encarregado pelo tratamento de dados pessoais (DPO).