Política de Privacidade

Versão 1.0 — edição Android, atualizada em 21 de setembro de 2026.

Esta política explica como o LustDuo trata dados para oferecer um espaço privado a um casal adulto. Para exercer direitos de privacidade ou falar com o responsável pelo tratamento, escreva para nicolasoliveira@kirvano.com.

Dados tratados e finalidade

• Conta: e-mail, credenciais administradas pelo Supabase Auth, identificador interno, confirmação de idade, versão dos termos aceita e datas de consentimento. Usamos esses dados para criar, proteger e recuperar a conta.
• Casal: convites, vínculo entre as duas contas e configurações compartilhadas. Usamos esses dados para pareamento e sincronização.
• Conteúdo íntimo: votos, matches, avaliações e fantasias personalizadas. Usamos esses dados somente para executar as funções escolhidas pelo casal.
• Jogos e salas temporárias: ações seladas, códigos, presença e respostas necessárias para calcular um resultado agregado. A resposta isolada fica em tabelas privadas e é removida com a sessão.
• Rotina: durante a jornada, cada conta mantém a própria grade de até 30 noites (feita, passada ou atual). Esse histórico pessoal não é mostrado ao par e é apagado ao recomeçar, encerrar, desfazer o casal ou invalidar o consentimento aplicável.
• Acessos comerciais: produto, oferta, provedor, situação do acesso e identificadores técnicos da transação externa. O webhook normaliza o e-mail informado à Kirvano e o ledger guarda apenas seu HMAC com um segredo do servidor, não o e-mail puro. Para vincular uma compra feita antes do cadastro, a conta precisa confirmar o mesmo e-mail. Se o endereço já tiver sido confirmado por outra conta, o acesso permanece pendente para conferência de suporte; não há transferência automática.
• Aparelho e avisos: plataforma, identificador de instalação, preferência de avisos e token de push, quando autorizado. Usamos esses dados para entregar avisos neutros e manter as escolhas de discrição.
• Segurança e operação: registros técnicos mínimos de autenticação, chamadas e erros mantidos pelos provedores. Usamos esses dados para prevenção de abuso, diagnóstico e segurança.

Não pedimos nome real, foto, contatos ou localização precisa. Cartão, PIX e credenciais de pagamento são tratados fora do site e dos aplicativos do LustDuo pelo provedor externo da compra. O LustDuo não recebe o número do cartão e não oferece compra, preço ou link de pagamento em suas superfícies. Esta versão não usa anúncios, IDFA nem SDK de analytics comportamental.

O que o par vê

Votos do catálogo são individuais. O par não recebe a sua decisão isolada; somente uma escolha compatível gera um match visível aos dois.

Uma fantasia personalizada é uma exceção explícita: ao enviá-la, o texto vai para o deck do par e demonstra interesse de quem a criou. A tela de envio deve confirmar essa divulgação antes da criação.

Cada jogo informa antes da rodada o que será revelado e só abre o resultado depois do quórum. Na Interseção e nos módulos de resultado agregado, não divulgamos qual pessoa respondeu, qual resposta individual impediu uma combinação nem indicadores de “quase”. Em Quem do casal, depois que os dois respondem, as duas escolhas da rodada podem aparecer lado a lado, sem rótulo de autoria; como cada pessoa conhece a própria escolha, pode inferir a resposta do par. Essa divulgação faz parte da regra explícita desse módulo.

No Mapa do Corpo, cada pessoa vê somente as marcações positivas feitas pelo parceiro no próprio mapa; ausência de marca não vira uma resposta negativa. O feedback posterior continua privado e só uma confirmação positiva de ambos aumenta o peso futuro. Na jornada Liberal, o acordo fechado é agregado; o sinal de saída escolhido para um encontro fica apenas no cofre local e não é enviado ao servidor.

Moderação de conteúdo

Antes de salvar uma fantasia personalizada, o conteúdo completo é processado pelo backend e pode ser enviado aos endpoints de moderação e classificação de privacidade da OpenAI. A decisão é usada para aceitar, rejeitar ou encaminhar o material à análise humana.

Segundo os controles de dados publicados para a API da OpenAI, dados da API não são usados para treinar modelos por padrão. O LustDuo envia store: false ao endpoint /v1/responses; ainda assim, no regime padrão do provedor, logs de monitoramento de abuso podem conter o conteúdo por até 30 dias. O endpoint /v1/moderations não mantém estado da aplicação nem retenção padrão de monitoramento de abuso. Controles contratuais específicos podem alterar esses prazos. As regras vigentes estão em https://platform.openai.com/docs/models/default-usage-policies-by-endpoint.

Provedores

• Supabase: autenticação, banco PostgreSQL, Realtime e Edge Functions, hospedados atualmente na região sa-east-1.
• OpenAI: moderação de texto de fantasias personalizadas.
• Google Firebase Cloud Messaging: entrega de avisos neutros no Android, quando você ativa notificações. O serviço recebe o token do aparelho e identificadores técnicos de conta, instalação e entrega para impedir avisos em outra conta. Não recebe desejos, respostas ou detalhes dos jogos.
• Kirvano: processamento da transação externa e envio server-to-server de eventos de compra, renovação, cancelamento, expiração, reembolso e chargeback.
• Google Play: distribuição do app Android e operação da loja; esta versão não processa compras pela loja.
• Provedor de e-mail transacional: confirmação, recuperação e avisos de segurança da conta.

Esses provedores recebem somente os dados necessários para a função correspondente e operam de acordo com seus próprios termos e medidas de segurança.

PIN e armazenamento local

O PIN bruto e o sinal de saída não são enviados ao servidor. No app Android, o verificador derivado do PIN, as credenciais da sessão, o acordo Liberal guardado, o sinal de saída e as filas de comandos são cifrados com AES-GCM, usando uma chave protegida pelo Android Keystore. Esses arquivos são excluídos dos backups do sistema. Preferências de idioma ficam no armazenamento local do app. Isso permite recuperar escolhas e tentativas após reinícios, sem prometer funcionamento totalmente offline.

A biometria é opcional. A autenticação é feita pelo Android; o LustDuo recebe apenas sucesso ou falha e não recebe imagens do rosto, impressões digitais ou modelos biométricos. As orientações em áudio são arquivos locais de voz sintética. O app não grava microfone nem envia áudio do casal.

Estas regras de armazenamento descrevem o app nativo Android. As versões web e iOS possuem mecanismos próprios, descritos nas políticas disponíveis nessas versões.

Retenção e exclusão

Dados da conta permanecem enquanto ela estiver ativa. Desfazer o casal remove o vínculo e os dados compartilhados definidos na confirmação da operação. Apagar a conta remove os dados ativos e inicia a exclusão da identidade de autenticação. O HMAC irreversível usado como trava de colisão comercial pode permanecer junto aos registros mínimos da compra para impedir que o mesmo endereço seja reaproveitado automaticamente por outra conta.

Sessões comuns são encerradas e purgadas em prazo curto; o quiz da Interseção expira em até 24 horas. Contadores técnicos mínimos podem permanecer sem cartas, respostas ou placar. A exceção visível é a grade pessoal da Rotina descrita acima, limitada à jornada ativa e nunca compartilhada com o par. Registros mínimos de compra e prevenção a fraude podem ser retidos pelo prazo aplicável.

O projeto usa atualmente o plano Supabase Pro, com backups diários acessíveis por até sete dias. Por isso, registros já apagados do banco ativo podem permanecer em backups protegidos até o ciclo correspondente expirar. Logs técnicos seguem os prazos dos respectivos provedores.

Comunicações e discrição

Push e e-mail usam texto neutro e não incluem fantasia, match ou decisão individual. Desativar avisos impede novos envios para aquela instalação após a sincronização da preferência.

A ocultação ao sair do app e ao detectar gravação reduz exposição, mas não impede capturas de tela nem oferece proteção absoluta. O ícone e o nome permanecem LustDuo. O sistema operacional, gravações externas ou uma foto da tela podem revelar o conteúdo ou o nome do aplicativo.

Segurança e limites

Usamos RLS no banco, funções com escopo do usuário, armazenamento seguro no aparelho e confirmações adicionais para operações sensíveis. A cifragem local não significa criptografia de ponta a ponta: o backend processa conteúdo necessário ao funcionamento e à moderação. Nenhum sistema elimina totalmente o risco; mantenha o aparelho e a conta protegidos e não compartilhe convites, senhas ou códigos.

Seus direitos

Você pode pedir confirmação do tratamento, acesso, correção, informação sobre compartilhamento e exclusão, conforme a legislação aplicável. Algumas informações podem ser mantidas pelo prazo necessário para segurança, cumprimento legal ou expiração de backups. Solicitações: nicolasoliveira@kirvano.com.

Alterações

Mudanças materiais nesta política exigem uma nova versão e novo aviso ou consentimento quando aplicável.