Política de Privacidade
Em poucas palavras
O Contto conta histórias de dormir para crianças. A conta é sempre de um adulto. A criança acompanha as histórias, sem criar uma conta.
- Guardamos o necessário para escrever e narrar as histórias: a conta do adulto, o perfil da criança que o adulto preenche e as histórias.
- As histórias são escritas com a inteligência artificial da OpenAI, nos Estados Unidos. No primeiro uso, uma caixa de aceite reúne a declaração do responsável, a ciência dos documentos e as autorizações para criar e narrar a história e enviar os dados aos Estados Unidos. A transferência internacional é uma finalidade identificada no texto; cada declaração é registrada separadamente no recibo. Sem confirmar esse aceite, o envio não acontece. Enviamos só o que a história precisa, como nome e idade. Não enviamos e-mail, foto nem voz à OpenAI.
- Antes de criar a conta, você pode gravar a sua própria voz para narrar a primeira história. Isso só acontece com a sua autorização, em duas caixas próprias. Se você não criar a conta, a voz deixa de ficar disponível no Contto em até 24 horas. Você também pode retirá-la antes, no aparelho, em Apagar minha voz.
- A voz de um familiar só é gravada depois que essa pessoa lê os documentos da gravação e autoriza. A voz é preparada e as histórias são narradas pela Cartesia, uma empresa dos Estados Unidos. A autorização da voz é limitada a narrar as histórias da família. A voz de um familiar não entra no cartão compartilhado da história.
- Quem gravou a voz pode retirá-la sem conta e sem senha.
- Mandamos novidades do Contto ao e-mail de acesso do adulto desde o cadastro. Todo e-mail de novidades tem um link para sair, e você também pode desligá-lo em Perfil > Preferências de contato. Avisos no aparelho só chegam se você autorizar. Nenhuma mensagem sai por causa do que a criança ouve.
- Não vendemos dados e não exibimos anúncios.
- Você vê um resumo do que guardamos e exclui a conta dentro do aplicativo, em Perfil > Conta e privacidade.
- Dúvidas gerais: contact@contto.sh. Privacidade e assuntos jurídicos: legal@contto.sh.
Quem responde pelos seus dados
O Contto é um aplicativo de histórias de dormir para crianças. As histórias são escritas por inteligência artificial e podem ser narradas com a voz de alguém da família.
Quem decide como os dados são usados, o controlador, é SLB Consultoria em Tecnologia da Informação Ltda., CNPJ 66.663.714/0001-98, com sede em Rua Pais Leme, 215, conjunto 1713, Pinheiros, São Paulo, SP, CEP 05424-150.
Esta política vale para o aplicativo Contto, para o site www.contto.sh e para a página de gravação de voz que abre por convite. Os contatos estão em Como falar com a gente.
De quem são os dados
Tratamos dados de quatro grupos de pessoas:
- Adulto da conta: quem cria a conta, cadastra as crianças e usa a área adulta.
- Criança: quem ouve as histórias. A criança não cria conta, não tem senha e não aceita termos. Os dados dela são informados pelo adulto.
- Pessoa que empresta a voz: um familiar ou o próprio adulto da conta, que grava a voz por um link de convite, sem precisar ter o aplicativo, ou o adulto que grava a própria voz no aplicativo, no primeiro uso, antes de criar a conta.
- Visitante do site: quem acessa www.contto.sh ou deixa o e-mail na lista de espera, quando ela estiver aberta.
Que dados coletamos
Abaixo está o que coletamos de cada grupo, de onde vem e para que serve.
Dados do adulto da conta
- Para entrar: e-mail e senha, ou a conta Google ou Apple que você escolher. Veja Entrar com Google ou Apple.
- Aceite dos termos: a versão dos termos e o horário do aceite, quando você cria a conta com e-mail e senha.
- Aparelho, sessão e avisos: um identificador interno do aparelho, o início e o último uso de cada sessão e a validade dela. Se você permitir avisos, guardamos também o endereço técnico do aparelho para entregá-los (o token de avisos da Expo, que a Expo usa para chegar ao serviço de avisos da Apple ou do Google). Ele é apagado quando você retira a permissão de avisos, quando você sai da conta naquele aparelho, quando a sessão é revogada ou quando a conta é excluída. O código de acesso da sessão não é guardado no nosso banco de dados.
- Escolhas da conta: se você recebe os e-mails de novidades e se autorizou avisos no aparelho. O e-mail de novidades começa ligado. Os avisos no aparelho começam desligados.
- Compras: os dados da compra que a loja do aparelho nos envia. Veja Compras na loja do aparelho.
No primeiro uso, o aplicativo pergunta como você se chama. Esse nome é enviado à OpenAI só para a conversa de boas-vindas chamar você pelo nome. Ele não é guardado no nosso servidor.
E-mails de novidades e avisos no aparelho
- E-mail de novidades: mandamos novidades e campanhas do Contto ao e-mail de acesso do adulto da conta. O envio começa ligado quando a conta é criada e se apoia no nosso legítimo interesse, explicado em Para que usamos e com qual base legal. Em conta criada antes desta versão, o e-mail de novidades só chega se você o ligou em Preferências de contato.
- Como sair: todo e-mail de novidades traz um link para sair, e o seu programa de e-mail pode oferecer um botão de descadastro com um clique. Você também pode desligar o e-mail de novidades em Perfil > Preferências de contato, quando quiser. Se você já tinha recusado esse e-mail, continua sem recebê-lo.
- O que o e-mail leva: só o seu e-mail de acesso e o texto da mensagem. Os e-mails e os avisos de novidades nunca citam o nome das crianças e não usam dados delas.
- Quem recebe: o público de uma campanha é escolhido só por dados da conta do adulto, como o plano. Nunca pelo que a criança ouve, nem por quando ou quanto ela ouve. Não mandamos mensagem porque a família passou dias sem ouvir. O horário em que as leituras costumam começar só serve para a mensagem não chegar na hora de dormir.
- Avisos no aparelho: avisam que a história ficou pronta e podem trazer novidades do Contto. Só chegam se você autorizar, no aparelho e em Preferências de contato. Você pode retirar a autorização quando quiser.
- E-mails sobre o acesso à conta, o plano e a segurança não dependem dessas escolhas.
Entrar com Google ou Apple
Google. Pedimos ao Google só as permissões básicas de identificação: openid, email e profile. Com elas, o Google nos envia seu e-mail, seu nome, o endereço da sua foto de perfil e um identificador da sua conta Google.
Usamos esses dados só para criar sua conta e deixar você entrar. O serviço de autenticação guarda o que vem do Google junto do seu registro de acesso. O Contto não mostra nem usa seu nome ou sua foto do Google em nenhuma tela.
Apple. Pedimos à Apple e-mail e nome. O aplicativo envia ao servidor só o token de identidade da Apple, que traz o e-mail e um identificador. O nome que a Apple entrega ao aplicativo não é enviado ao servidor nem guardado.
Os dados vindos do Google ou da Apple não são vendidos, não são usados para publicidade e não são repassados a ninguém além do serviço de autenticação descrito em Com quem compartilhamos.
Para apagar esses dados, exclua sua conta: a exclusão apaga o registro de acesso. Você também pode remover o acesso do Contto nas configurações da sua Conta Google ou do seu ID Apple.
Dados da criança
Sobre a criança, tratamos o que o adulto informa na área adulta do aplicativo e o que nasce do uso:
Ao tentar enviar a primeira resposta na conversa sem conta, o aplicativo abre Antes de começar. Uma caixa, desmarcada, reúne a declaração de responsável ou adulto autorizado, a ciência dos Termos e desta Política, o tratamento para criar e narrar a primeira história e a transferência aos Estados Unidos. O texto identifica esse destino internacional; o recibo guarda cada declaração em campo próprio. O botão Aceitar e continuar exige a caixa marcada. A confirmação expressa no rodapé dos documentos também solicita o registro sem outro clique. Nos dois caminhos, a resposta só segue após a confirmação do servidor. Agora não fecha o aceite e mantém a conversa sem enviar a resposta pendente. Abrir os documentos não marca a caixa. O Contto não faz confirmação documental independente dessa declaração. A história é criada sem conta; para ouvi-la e guardá-la na Estante, é necessário entrar ou criar uma conta gratuita. Se o aceite da primeira história estiver válido para aquela criança, o cadastro o reaproveita sem repetir a marcação; isso não autoriza automaticamente crianças futuras. Quando não há aceite válido para o uso solicitado, o aplicativo pede a confirmação correspondente. Lembrar a história anterior não integra esses aceites.
- Básicos: nome e idade.
- Opcionais: data de aniversário, até 3 interesses, até 8 valores da família, o personagem da casa, a forma de tratamento (ele ou ela), o jeito certo de falar o nome, o fuso horário, o horário e a duração habituais da leitura, e uma foto ou um avatar ilustrado.
- Gerados pelo uso: as histórias, o ponto de leitura, as favoritas, quantas vezes cada história foi ouvida, o horário em que as leituras costumam começar (calculado depois de três noites com leitura concluída) e o limite diário de uso, se você definir um.
Usamos esses dados para escrever e narrar histórias para aquela criança e para escolher e preparar a história da noite.
Lembrar a história anterior é opcional. Com seu consentimento próprio, separado dos demais aceites, podemos usar o que você contou numa história para perguntar, na próxima, como ficou. Essa escolha cobre as crianças atuais e as que você adicionar depois. Só usamos como lembrança histórias criadas nos últimos 30 dias. Você pode recusar ou retirar esse consentimento em Lembrar a história anterior, na área adulta, sem retirar os outros aceites nem perder as histórias já criadas. A janela de 30 dias limita o reuso do relato; as histórias seguem os prazos de guarda desta política.
Foto da criança
A foto é opcional. Você pode escolher uma foto da galeria, tirar uma na hora ou usar um avatar ilustrado. Sem nenhum dos dois, aparece a letra do nome.
- Antes de guardar, o servidor remove os metadados da imagem, como local e data.
- A foto fica numa área privada de armazenamento. O aplicativo recebe só um link temporário, que vale por 1 hora.
- A foto nunca é enviada à inteligência artificial e não é usada para criar personagens.
- Quando você troca ou tira a foto, a anterior é descartada. Ao apagar o perfil da criança ou excluir a conta, as fotos são apagadas.
Pronúncia do nome
Para a narração falar o nome certo, você pode gravar o nome da criança dito em voz alta.
- A gravação é enviada à Cartesia, nos Estados Unidos, que a transforma em texto. Logo depois, apagamos a gravação.
- Você ouve uma prévia na Voz do Contto, gerada pela Cartesia a partir do texto do nome, e confirma. A prévia é apagada em até cerca de 10 minutos.
- Fica guardado só o texto da pronúncia, no perfil da criança.
- Essa gravação não é usada para criar voz.
Antes de criar a conta, o aplicativo pode tocar o nome digitado na Voz do Contto. O nome é enviado à Cartesia para virar áudio, e esse áudio fica guardado no Contto por até 10 minutos.
Conversas e histórias
Para criar uma história, o Contto conversa por escrito com o adulto sobre o que a criança andou vivendo e sobre o que deve entrar na história.
- Antes de criar a conta: a primeira história fica temporariamente em uma fila privada no nosso servidor por até 1 dia. Depois desse prazo, apagamos a história e a capa, em até 1 hora. Para responder e escrever, o aplicativo envia à OpenAI as suas respostas e o nome e a idade das crianças, depois do aceite específico do responsável. Para limitar o número de pedidos, usamos um identificador aleatório criado pelo aplicativo, sem ligação com seu nome ou e-mail. Se você autorizar, a primeira história pode ser narrada com a sua própria voz, como explica Sua voz no primeiro uso. Sem essa autorização, ela é narrada pela Voz do Contto.
- Com a conta: a conversa fica no servidor enquanto a história é criada. Ela é apagada automaticamente quando a criação termina ou, se não for concluída, cerca de 24 horas depois de começar.
- Histórias: o texto, a capa e os personagens criados ficam na conta até você apagar o perfil da criança ou excluir a conta.
A história não precisa de dados de saúde, religião ou detalhes íntimos da família. Evite escrevê-los. Tudo o que você escreve passa pela conferência de segurança descrita em Histórias escritas por inteligência artificial.
Voz de quem conta a história
A voz é um dado biométrico. Pela LGPD, é um dado pessoal sensível e só pode ser tratada com consentimento específico e destacado de quem grava (art. 11, I).
- O adulto da conta cria um convite e envia o link a quem vai gravar. O link vale por 7 dias. Guardamos só um código derivado do link, e não o link em si.
- O adulto pode dar um nome à voz, como “Vovó Lúcia”. Esse nome não aparece para quem abre o link.
- Antes de gravar, a pessoa pode abrir e ler os termos da gravação, o aviso de privacidade e a autorização de uso da voz. A página pede o nome. Conforme a versão dos documentos apresentada no convite, há duas caixas inicialmente desmarcadas — uma para os Termos e o Aviso e outra para o uso da voz — ou uma caixa única, também inicialmente desmarcada. Em ambos os casos, o uso da voz e o envio à Cartesia e ao serviço do Contto no Railway, nos Estados Unidos, são informados de forma distinta. O botão Autorizar e continuar exige as caixas apresentadas e registra os três escopos específicos: Termos e Aviso, uso da voz e transferência. Marcar sem continuar ou abrir os documentos não registra aceite nem inicia gravação. Permitir o microfone no navegador não substitui esses aceites.
- A voz de quem grava não entra no cartão da história que a família compartilha por link. O cartão usa só a Voz do Contto; quando a página foi narrada pela voz do familiar, o cartão sai sem voz.
- Guardamos a gravação em área privada, com medidas técnicas dela, como duração e volume, e o registro do aceite dos termos da gravação e da autorização de uso da voz, com a versão de cada documento e o horário.
- Enviamos à Cartesia, nos Estados Unidos, até 60 segundos da gravação uma vez, para criar a voz, e depois só o texto de cada página. A autorização limita esse uso à criação da voz, à amostra curta e à narração das histórias da família. O Contto não autoriza o uso da voz ou do texto para treinar modelos. Esta Política não afirma que a configuração de exclusão de treino na conta da Cartesia esteja confirmada.
- Quando a voz fica pronta, ela passa a poder narrar sem uma nova confirmação do adulto da conta. O adulto pode ouvir a amostra no aplicativo e excluir a voz a qualquer momento. Se uma voz não chegar a ser liberada em 14 dias e não tiver narrado nenhuma história, apagamos a gravação, a voz e o registro do consentimento.
- As narrações ficam em área privada e só a conta que convidou tem acesso a elas.
Quem gravou pode retirar a voz a qualquer momento. Veja Se você emprestou sua voz.
Sua voz no primeiro uso
Antes de criar a conta, você pode gravar a sua própria voz para que ela narre a primeira história. A voz é um dado pessoal sensível (LGPD, art. 11, I), e por isso só gravamos com a sua autorização.
- Antes de gravar, o aplicativo mostra o que acontece com a voz e pede duas autorizações, em caixas separadas que começam desmarcadas: uma para recriar a sua voz por inteligência artificial e narrar as histórias, e outra para enviar a gravação e a voz à Cartesia e pelo serviço do Contto no Railway, nos Estados Unidos. Na primeira, você declara também que a voz é sua e que tem 18 anos ou mais.
- Só um adulto pode gravar, e só a própria voz. A gravação é feita na hora, pelo microfone, lendo um trecho que aparece na tela. O aplicativo não aceita arquivo de áudio.
- Enviamos à Cartesia até 60 segundos da gravação, uma vez, para criar a voz, e depois só o texto de cada página. A gravação passa também pelo serviço do Contto no Railway, nos Estados Unidos. A autorização limita esse uso à criação da voz e à narração da primeira história.
- A voz narra só as histórias criadas naquele aparelho e, se a conta for criada, as histórias dela. Ela não é pública, não vai para o cartão de compartilhamento e não é usada para publicidade.
- Se você não criar a conta, apagamos em até 24 horas, contadas da gravação, a gravação, a voz, a amostra e as narrações feitas com ela, e pedimos à Cartesia que apague a voz, repetindo o pedido até ela confirmar.
- Se você criar a conta, a voz passa para ela, pela mesma autorização, e segue as regras de Voz de quem conta a história: fica até ser excluída em Família, até a conta ser excluída ou até quem gravou pedir a retirada.
- Guardamos um registro da autorização, sem áudio: a versão do texto, o que foi marcado, a data e um código do aparelho. O prazo está em Por quanto tempo guardamos.
Se você não autorizar, nada é gravado. A história é narrada pela Voz do Contto, e você pode criar a conta normalmente. Você pode gravar a sua voz depois, na área Família.
Para apagar a sua voz antes de criar a conta, veja Se você emprestou sua voz.
Compras na loja do aparelho
No iPhone e no iPad, as assinaturas são pagas pela App Store, e a Apple faz a cobrança. No Android, quando uma compra for oferecida pelo Google Play, o Google Play fará a cobrança. O Contto não recebe número de cartão nem outros dados de pagamento.
A loja que cobrou a compra nos envia dados da transação: identificadores da compra, produto, datas de compra e de vencimento, situação e ambiente. Usamos esses dados para liberar o plano e registrar a compra.
Site e lista de espera
O site www.contto.sh é hospedado pela Vercel, que recebe os dados técnicos de cada acesso, como o endereço IP, para entregar as páginas. O site não usa ferramentas de análise nem de publicidade.
Quando a lista de espera estiver aberta, guardamos o e-mail que você informar e a origem do cadastro. Usamos o e-mail só para avisar quando o Contto abrir.
Para evitar abuso, cada origem de rede pode fazer até 5 cadastros a cada 10 minutos. Para contar, guardamos um código derivado do endereço IP, e não o IP. Esses códigos são apagados nos cadastros seguintes, depois dos 10 minutos.
Falhas e registros técnicos
- Relatórios de falha do aplicativo: versão do aplicativo, horário e o rastro técnico do erro. Antes de enviar, o aplicativo remove e-mails, tokens e identificadores, e o servidor remove de novo. O relatório vai para o registro técnico do nosso servidor. Não usamos ferramentas de terceiros para isso.
- Rastro das chamadas de inteligência artificial: tipo de operação, modelo, resultado, tempo, quantidade de texto processado e custo. Não guarda texto, nome, conta nem criança: a conta aparece só como um código de mão única.
- Eventos do percurso da primeira história: etapas da criação e leitura da primeira história e da continuidade no aplicativo, horários e resultados, para avaliar o funcionamento e comparar os resultados entre anos. Os registros usam códigos derivados do aparelho e do convidado ou da conta. Não guardam nome da criança, áudio, texto da história nem conteúdo da conversa.
- Acesso da equipe: cada consulta da equipe aos dados de uma família fica registrada. Veja Quem da nossa equipe vê seus dados.
No seu aparelho
- A sessão da conta fica no armazenamento seguro do sistema do aparelho: Keychain no iPhone e iPad e Keystore no Android.
- Histórias baixadas, áudios e imagens para ouvir sem internet ficam no aparelho. Você pode apagá-los em Perfil, com “Limpar histórias baixadas”.
- Ao excluir a conta, o aplicativo apaga do aparelho a sessão e tudo o que guardou da conta.
Histórias escritas por inteligência artificial
As histórias são escritas com o serviço de inteligência artificial da OpenAI, uma empresa dos Estados Unidos. O envio é feito pelo servidor do Contto, nunca direto do aplicativo.
| Etapa | O que enviamos | O que fica de fora |
|---|---|---|
| Conversa de boas-vindas e primeira história, antes ou depois de criar a conta | Suas respostas, seu nome, se você informou, e o nome, a idade e a forma de tratamento das crianças | E-mail, telefone, CPF, CNPJ, CEP, endereço e número de cartão escritos nas respostas são trocados por um aviso antes do envio. O identificador do aparelho não vai. |
| Conversa para criar uma história | O nome da criança e o que foi dito na conversa. Só com o aceite opcional de lembrar a história anterior: o título, o tempo decorrido e o primeiro assunto da última história elegível criada nos últimos 30 dias | Os mesmos dados de contato e documentos, trocados por um aviso. Nenhum identificador da conta. |
| Conferência de segurança do que o adulto escreve | O texto escrito, com o nome da criança trocado por “a criança” | Nome da criança, dados de contato e documentos |
| Escrita da história | Um pedido em texto corrido com o nome da criança, a idade, a forma de tratamento, se hoje é aniversário, os interesses, o personagem da casa, os valores da família, o título da história anterior da coleção e o resumo do que o adulto contou | E-mail, data de nascimento, foto, voz e identificadores da conta, do aparelho e da sessão |
| História da noite, preparada automaticamente, quando há uma história nova a escrever | Um pedido em texto corrido com o nome da criança, a idade, a forma de tratamento, o jeito certo de falar o nome e o personagem da casa. Pode levar também se hoje é aniversário, o título do capítulo anterior, até 3 interesses e até 8 valores da família | E-mail, data de nascimento, foto, voz e identificadores da conta, do aparelho e da sessão |
| Desenho da capa | A descrição da cena da capa, com um personagem inventado, o resumo e um trecho da história, com o nome da criança trocado por “a criança”, a faixa de idade (3 a 4, 5 a 6 ou 7 a 8 anos) e os interesses da criança, para a capa combinar com a história e com a idade de quem lê | Nome da criança, idade exata, data de nascimento, nomes da família, dados de contato, links, foto, avatar, voz e identificadores da conta |
| Leitura de segurança da história pronta | O texto da história e a idade da criança | Identificadores da conta |
História da noite. Todos os dias, sem que você precise pedir, o servidor do Contto escolhe uma criança da conta e prepara a história daquela noite. A preparação começa cerca de 3 horas antes do horário da leitura: o horário aprendido depois de três noites com leitura concluída ou, antes disso, o horário habitual que você informou. Sem nenhum dos dois, começa às 16h, no fuso da criança.
Quando há uma história nova a escrever, como a primeira da criança ou o próximo capítulo de uma coleção, e a conta ainda tem cota de histórias, o servidor envia à OpenAI, nos Estados Unidos, o pedido descrito na tabela. A história pronta passa pelas mesmas etapas de conferência e de capa. Quando não há história nova a escrever, o Contto reaproveita uma história que já existe e não chama a inteligência artificial. Guardamos o registro de qual história foi preparada para cada noite até você apagar o perfil da criança ou excluir a conta.
A voz, a foto e as gravações de áudio nunca são enviadas à OpenAI.
A conversa para criar uma história é conduzida por inteligência artificial. O que você escrever passa pela conferência de segurança antes de ser usado para escrever a história; essas etapas usam a OpenAI.
Para que usamos e com qual base legal
A LGPD só permite tratar dados pessoais com uma base legal. A tabela mostra a base de cada uso.
| Uso | Para quê | Base legal (LGPD) |
|---|---|---|
| Conta do adulto, entrada e sessões | Criar a conta, deixar você entrar e proteger o acesso | Execução de contrato (art. 7º, V) |
| Perfil da criança, foto ou avatar, pronúncia do nome, conversas e histórias | Escrever, guardar e narrar histórias para a criança | Consentimento específico e em destaque de um dos pais ou do responsável legal (arts. 7º, I, e 14, §1º), sempre no melhor interesse da criança. Sem o aceite, não há envio à IA. |
| História da noite, preparada automaticamente | Deixar pronta a história da noite de uma criança da conta | Consentimento específico e em destaque de um dos pais ou do responsável legal (arts. 7º, I, e 14, §1º), sempre no melhor interesse da criança. Sem o aceite, não há envio à IA. |
| Voz de quem grava: gravação, voz preparada, amostra e narrações | Recriar a voz e narrar histórias só para a família que convidou | Consentimento específico e destacado de quem grava (art. 11, I) e consentimento específico e em destaque para o envio aos Estados Unidos, informado em texto próprio no bloco da voz (art. 33, VIII) |
| Voz de quem grava a própria voz no primeiro uso, antes da conta: gravação, voz preparada e narrações | Recriar a voz e narrar as histórias criadas no aparelho e, se a conta for criada, as histórias dela | Consentimento específico e destacado de quem grava (art. 11, I) e consentimento específico e em destaque, em caixa separada, para o envio aos Estados Unidos (art. 33, VIII) |
| Registro dos aceites de voz, inclusive o do primeiro uso | Provar que a voz foi autorizada | Exercício regular de direitos (art. 7º, VI) |
| Registro do consentimento do responsável pelos dados da criança | Provar o aceite, a retirada e o bloqueio dos novos envios | Consentimento (art. 7º, I) e exercício regular de direitos (art. 7º, VI) |
| Compras e registro da compra | Liberar o plano e cumprir obrigações fiscais | Execução de contrato (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II) |
| E-mails de novidades e campanhas ao e-mail de acesso do adulto | Contar as novidades do Contto a quem tem conta, até a pessoa pedir para sair | Legítimo interesse (art. 7º, IX, e art. 10). Você pode sair a qualquer momento pelo link do e-mail ou em Preferências de contato |
| Avisos no aparelho | Avisar no aparelho, só quem autorizou, que a história ficou pronta e as novidades do Contto | Consentimento (art. 7º, I) |
| Lista de espera | Avisar quando o Contto abrir | Consentimento (art. 7º, I) |
| Relatórios de falha, rastro técnico, limite de tentativas e registro de acesso da equipe | Manter o serviço funcionando e seguro | Legítimo interesse (art. 7º, IX) |
Com quem compartilhamos
Não vendemos dados. Não há anúncios nem ferramentas de publicidade ou de análise de terceiros no aplicativo ou no site.
| Empresa | O que faz | Quais dados |
|---|---|---|
| Supabase | Banco de dados, armazenamento de arquivos, autenticação e servidor do Contto | Os dados da conta, das crianças, das histórias e da voz descritos nesta política |
| OpenAI (Estados Unidos) | Escreve e confere histórias e desenha a capa | O que está descrito em Histórias escritas por inteligência artificial |
| Cartesia (Estados Unidos) | Prepara a voz da família, narra as histórias na voz da família e na Voz do Contto e transforma em texto a gravação do nome da criança | Até 60 segundos da gravação de quem autorizou, a voz preparada, o texto de cada página, que pode ter o nome da criança, e a gravação do nome dito pelo adulto |
| Railway (Estados Unidos) | Roda o serviço do Contto que leva a voz, o texto das páginas e a gravação do nome à Cartesia e traz o áudio de volta. Também manda à Expo o aviso de que a primeira história ficou pronta | Até 60 segundos da gravação de quem autorizou, o texto de cada página e o nome para a prévia, que podem ter o nome da criança, a gravação do nome dito pelo adulto e o código do aparelho para o aviso da primeira história |
| Expo, Apple APNs e Google FCM | Entregam avisos no aparelho pelo serviço de avisos do sistema, quando você permite avisos | O endereço técnico do aparelho e o texto do aviso. O aviso não leva dado da criança |
| Resend (Estados Unidos) | Envia os e-mails de novidades do Contto, que você pode desligar em Preferências de contato | Seu e-mail de acesso e o texto da mensagem. Os e-mails de novidades não levam dado da criança |
| Apple | Entrar com Apple, compras na App Store e entrega dos avisos no aparelho | Token de identidade da Apple, dados das transações e os avisos que você permitiu |
| Entrar com Google e compras oferecidas pelo Google Play no Android | Token de identidade do Google e os dados da transação aplicáveis | |
| Vercel | Hospeda o site www.contto.sh | Dados técnicos de acesso ao site, como o endereço IP. |
Dados também saem do Contto quando você decide compartilhar: o link do convite de voz, que você envia a quem vai gravar, e o link do cartão de uma história. O cartão mostra título, capa, texto da última página e uma frase com o primeiro nome da criança. O trecho de áudio também pode conter o nome dela. O áudio do cartão é da Voz do Contto, nunca da voz de um familiar. O link não tem prazo fixo: continua ativo enquanto o cartão existir. Quem tem o link pode abrir, ouvir, reencaminhar e gravar o áudio; o Contto não controla essas cópias.
Podemos ter de entregar dados a autoridades quando a lei ou uma ordem judicial exigir.
Quem da nossa equipe vê seus dados
Pessoas autorizadas da equipe do Contto podem consultar, para atendimento, o e-mail de acesso, o nome e a idade informada de cada criança e um resumo do uso da conta. Esse resumo não traz títulos, páginas nem o histórico de escuta de cada criança.
Cada pessoa da equipe tem uma função definida, e cada consulta fica registrada num histórico que não pode ser alterado.
Dados fora do Brasil
Alguns fornecedores tratam dados fora do Brasil. Cada transferência precisa de uma base legal para o tratamento e de um mecanismo válido do art. 33 da LGPD. O consentimento para tratamento não autoriza finalidade diferente, e não há um mecanismo único que valha para todos.
A ANPD não reconhece proteção de dados equivalente à brasileira nos Estados Unidos. Por isso, os envios de dados da criança e da voz de quem grava dependem das autorizações específicas descritas abaixo.
OpenAI — Estados Unidos. Para dados do adulto necessários ao serviço, a base é a execução do contrato (art. 7º, V) e a transferência é necessária para essa execução (art. 33, IX). Para dados da criança, inclusive a descrição da capa, o trecho da história, a faixa de idade e os interesses enviados para desenhá-la, o envio só ocorre depois do consentimento específico e destacado do responsável para o tratamento (arts. 7º, I, e 14, §1º) e para a transferência aos Estados Unidos, apresentada separadamente das demais finalidades (art. 33, VIII).
Supabase. O Supabase guarda o banco, os arquivos, a autenticação e funções do Contto. Esta Política não informa a região do ambiente de produção nem das cópias de segurança.
Railway — Estados Unidos. O Railway leva voz, texto das páginas e gravação do nome até a Cartesia. Para dados da criança, esse envio depende do consentimento específico e destacado do responsável, no melhor interesse dela (arts. 7º, I, 14, §1º, e 33, VIII). Para a voz de quem grava, vale o consentimento específico e destacado para dado sensível e para a transferência (arts. 11, I, e 33, VIII). Para dados do adulto estritamente necessários à narração, a base é a execução do contrato e a transferência necessária a essa execução (arts. 7º, V e 33, IX).
Cartesia — Estados Unidos. A Cartesia trata a voz da família, o texto das páginas narradas e a gravação do nome da criança. A voz de quem grava, pelo convite ou no primeiro uso, depende do consentimento específico e destacado para o dado sensível e para a transferência (arts. 11, I, e 33, VIII). No primeiro uso, o envio aos Estados Unidos fica em caixa própria, separada da autorização de recriar a voz. No convite da conta, as informações de uso da voz e transferência ficam distintas e visíveis antes da confirmação apresentada para a versão dos documentos, seguida de Autorizar e continuar, com registros específicos de cada escopo. O texto das páginas e a gravação do nome que possam identificar a criança dependem também do consentimento específico e destacado do responsável (arts. 7º, I, 14, §1º, e 33, VIII). A voz não é enviada à OpenAI.
Os avisos de serviço usam Expo, o serviço de avisos da Apple (APNs) ou o do Google (Firebase Cloud Messaging, FCM), com os dados do adulto necessários para entregar o aviso (art. 7º, V, e art. 33, IX). Os avisos de novidades usam os mesmos serviços e só saem para quem autorizou os avisos no aparelho (art. 7º, I). O endereço técnico do convidado é apagado depois do aviso da primeira história. Na conta, ele é apagado quando você retira a permissão de avisos ou a sessão é revogada. Os e-mails de novidades saem pelo Resend, que guarda nos Estados Unidos o e-mail de acesso do adulto e o texto das mensagens enviadas. O envio se apoia no legítimo interesse (art. 7º, IX), e não no consentimento. Apple e Google atuam como controladores próprios para login e compras: a base é o contrato com o adulto e, para a compra, a obrigação legal aplicável (arts. 7º, V e II, e 33, IX). A Vercel pode receber IP ao hospedar o site.
Por quanto tempo guardamos
| Dado | Por quanto tempo |
|---|---|
| Conta, perfis das crianças, fotos e histórias | Enquanto a conta existir. Apagamos quando você apaga o perfil da criança ou exclui a conta. |
| Conversa para criar uma história | Até a criação terminar ou, se ela não for concluída, cerca de 24 horas depois de começar. |
| Primeira história antes de criar a conta | Fica em fila privada por até 1 dia, com a capa. Depois desse prazo, apagamos a história e a capa, em até 1 hora. |
| Áudios da primeira história antes de criar a conta | Ficam na fila temporária de narração por até 24 horas, na Voz do Contto ou na sua voz. Depois desse prazo, apagamos o áudio. |
| Gravação, voz preparada, amostra e narrações de quem grava a própria voz no primeiro uso e não cria a conta | Até 24 horas depois da gravação, ou antes, se você tocar em Apagar minha voz. |
| Voz do primeiro uso guardada na Cartesia, quando não há conta | O Contto interrompe o uso em até 24 horas depois da gravação, ou antes, se você apagar. Nesse momento, pedimos à Cartesia que exclua a voz e repetimos o pedido até confirmação. O prazo de exclusão no fornecedor depende da confirmação; não prometemos que ocorra em 24 horas. |
| Registro da história preparada para cada noite | Até você apagar o perfil da criança ou excluir a conta. |
| Gravação da pronúncia do nome | Apagada assim que vira texto. A prévia é apagada em até cerca de 10 minutos. |
| Áudio do nome tocado antes de criar a conta | Até 10 minutos. |
| Convite de voz | O link vale por 7 dias. O registro do convite fica, no máximo, até a conta ser excluída. |
| Voz que não chegou a ser liberada | Apagada 14 dias depois de criada, se não tiver narrado nenhuma história, junto com a gravação e o registro do consentimento. |
| Gravação, voz preparada, amostra e narrações de uma voz confirmada | Até a voz ser retirada por quem gravou, ser excluída pelo adulto ou a conta ser excluída. |
| Voz guardada na Cartesia | O uso no Contto termina quando a voz é retirada, excluída pelo adulto, apagada por não ter sido liberada em 14 dias ou a conta é excluída. Nesse momento, pedimos à Cartesia que a apague e repetimos o pedido até confirmação. A eliminação no fornecedor depende dessa confirmação. |
| Texto das páginas, áudio narrado e gravação do nome enviados à Cartesia | O acordo público de tratamento de dados da Cartesia (DPA) prevê que, após o fim do contrato, podemos pedir a devolução dos dados em até 90 dias. Depois da devolução, prevê a exclusão das cópias restantes em até 180 dias, salvo guarda legal. Esses prazos não fixam uma data única de eliminação nem o prazo de exclusão individual da voz, e o acordo público não comprova o instrumento aplicado à conta. A retenção zero exige habilitação própria para síntese de fala e transcrição e não cobre clonagem ou criação da voz. Esta Política não afirma que ela esteja ativa. |
| Registro dos aceites de voz, sem áudio | Enquanto a conta existir e, depois da retirada da voz ou da exclusão da conta, o que vier por último, por 5 anos, o prazo para reclamar de dano na relação de consumo (Código de Defesa do Consumidor, art. 27). No primeiro uso sem conta, o registro de uma voz que narrou fica 5 anos depois da exclusão da voz, ligado só a um código do aparelho; se a voz não chegou a narrar, ele é apagado junto com ela. |
| Registro do consentimento do responsável pelos dados da criança, sem conteúdo | Sem conta: 5 anos após o fim da validade da primeira história grátis. Com conta: 5 anos após a revogação do consentimento ou a exclusão da conta, o que ocorrer por último; conservamos somente o recibo mínimo de prova, sem conteúdo da conversa, voz, áudio, transcrição, história ou perfil da criança. |
| Registros de acesso à aplicação e logs de observabilidade | Registros de acesso à aplicação: 6 meses, sob sigilo e em ambiente controlado, conforme o art. 15 do Marco Civil. Logs técnicos de observabilidade: 30 dias contados da geração, pseudonimizados e sem conteúdo de conversa, história, áudio ou voz. |
| Registro de compra | Depois da exclusão da conta, por 5 anos. |
| Texto e descrição da capa enviados à OpenAI | A OpenAI informa retenção de até 30 dias para prevenir abuso. O parâmetro `store: false` da API não equivale à retenção zero. Esta Política não declara retenção zero ativa. |
| Rastro das chamadas de inteligência artificial | 6 meses. |
| Eventos do percurso da primeira história | Até 13 meses após cada evento, para comparar os resultados entre anos. Os eventos ligados à conta são apagados quando ela é excluída. |
| E-mail da lista de espera | Até você pedir para sair ou até a lista ser encerrada. |
| Endereço técnico do aparelho para avisos | Na conta, até você retirar a permissão de avisos, a sessão ser revogada ou a conta ser excluída. Antes de criar a conta, até o aviso da primeira história. |
| Preferências de contato, inclusive a recusa do e-mail de novidades | Enquanto a conta existir. Apagamos quando você exclui a conta. |
| Dados no aparelho | Até você limpar os downloads ou excluir a conta. |
| Cópias de segurança | Dados apagados podem continuar em cópias de segurança por até 30 dias. |
Como excluir a conta
No aplicativo, vá em Perfil, depois em Conta e privacidade, e toque em Quero excluir minha conta. São duas confirmações.
Quando você confirma, apagamos na hora:
- a conta e o registro de acesso, inclusive os dados vindos do Google ou da Apple;
- os perfis das crianças, as fotos, as histórias, o ponto de leitura e as conversas;
- as vozes, as gravações, as amostras, as narrações e os convites, e pedimos à Cartesia que apague as vozes guardadas lá;
- as sessões, os aparelhos e as preferências;
- o que o aplicativo guardou no aparelho.
O que fica, e por quê. Guardamos três registros mínimos, ligados a um código derivado da conta, e não à conta em si:
- o registro de cada aceite de voz: identificação do aceite, tipo, versão do documento, data e um código de integridade. Ele não tem áudio. Serve para provar que a voz foi autorizada e fica guardado por 5 anos;
- o registro do consentimento do responsável pelo tratamento dos dados da criança: versão do documento, registros dos aceites e códigos pseudonimizados da conta e do perfil depois da exclusão. Serve para demonstrar o consentimento;
- o registro de cada compra: identificador da transação, loja, ambiente, situação e data. Serve para obrigações fiscais e fica guardado por 5 anos.
Excluir a conta não cancela a assinatura na loja do seu aparelho. Cancele na App Store no iPhone ou iPad e no Google Play no Android quando a assinatura tiver sido feita por essa loja.
Se algo falhar durante a exclusão, o aplicativo avisa e você pode tentar de novo.
Também é possível apagar só o perfil de uma criança, na ficha dela, em Perfil. Isso apaga os dados, a foto e as histórias daquela criança.
Se preferir, peça a exclusão em legal@contto.sh.
Seus direitos
A LGPD garante a você, a qualquer momento (art. 18):
- confirmar se tratamos seus dados;
- acessar seus dados;
- corrigir dados incompletos, errados ou desatualizados;
- pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
- pedir a portabilidade dos seus dados a outro fornecedor;
- pedir a eliminação dos dados tratados com seu consentimento, salvo quando a lei manda guardar;
- saber com quem compartilhamos seus dados;
- saber que pode não dar consentimento e o que acontece se não der;
- revogar o consentimento.
Você também pode reclamar à Agência Nacional de Proteção de Dados (ANPD). Os direitos da criança são exercidos pelo adulto responsável por ela.
No aplicativo, você mesmo pode:
- antes de criar a conta, ver o que guardamos do primeiro uso, em O que guardamos, e apagar a sua voz, em Apagar minha voz;
- ver um resumo do que guardamos da família e de cada criança, em Perfil > Conta e privacidade;
- corrigir os dados da criança na ficha dela;
- desligar o e-mail de novidades e autorizar ou retirar os avisos no aparelho, em Perfil > Preferências de contato;
- excluir uma voz, na área Família, com “Excluir voz permanentemente”;
- apagar o perfil de uma criança ou excluir a conta.
Para os demais pedidos, escreva para legal@contto.sh. Podemos pedir informações para confirmar que o pedido é seu.
Se você pedir confirmação de tratamento ou acesso aos dados, pode receber uma resposta simplificada imediatamente ou uma declaração clara e completa em até 15 dias, como prevê a LGPD (art. 19).
Se você emprestou sua voz
Você pode retirar sua voz quando quiser, sem conta, sem senha e sem dar motivo.
- Depois que a gravação é aprovada, o endereço da página aberta no seu navegador passa a ser o seu caminho de retirada. Guarde esse endereço. Nele, toque em Retirar minha voz.
- Se perdeu o endereço, escreva para legal@contto.sh com o nome exatamente como escreveu na página da gravação e o e-mail de quem convidou você. Retiramos a voz assim que confirmamos o pedido e respondemos em até 15 dias.
Quando você retira a voz:
- ela deixa de ser usada em novas narrações;
- apagamos a gravação, a voz preparada, a amostra e as narrações feitas com ela, e as histórias continuam, na Voz do Contto;
- pedimos à Cartesia que apague a voz guardada para narrar as suas histórias, e repetimos o pedido até ela confirmar;
- guardamos só o registro dos aceites, sem áudio, pelo prazo indicado em Por quanto tempo guardamos.
O adulto da conta também pode excluir a voz a qualquer momento.
Se você autorizou a voz no cartão da história antes de 15 de outubro de 2026: escreva para legal@contto.sh e peça a retirada só dessa autorização. A voz continua narrando as histórias da família e deixa de entrar no cartão. Os cartões já feitos com ela saem do ar, e os cartões novos usam a Voz do Contto.
Se você gravou a sua voz no primeiro uso, antes de criar a conta: toque em Apagar minha voz, na tela da história ou no menu do primeiro uso. Não precisa de conta, senha nem motivo. A voz para de narrar na hora, apagamos a gravação, a voz e as narrações, pedimos à Cartesia que apague a voz, e a história continua, na Voz do Contto. Se você não fizer nada e não criar a conta, isso acontece sozinho em até 24 horas. Se a conta já foi criada, exclua a voz em Família ou escreva para legal@contto.sh.
Crianças
- A conta é sempre de um adulto. A criança não cria conta, não tem senha e não aceita termos.
- Os dados da criança são informados pelo adulto e tratados no melhor interesse dela (LGPD, art. 14).
- O Contto não exibe anúncios.
- A foto da criança não é enviada à OpenAI nem à Cartesia. A gravação do nome dela, dita pelo adulto, vai só à Cartesia, para virar texto, e não é enviada à OpenAI. A voz de criança nunca é gravada para narrar.
- Por ser um serviço para crianças, o Contto também está sujeito à Lei 15.211/2025, o Estatuto Digital da Criança e do Adolescente.
Como protegemos os dados
- Todas as tabelas do Contto no banco de dados têm regras de acesso ativas. Cada família só alcança os próprios dados, e dados internos só são lidos pelo servidor.
- Gravações, fotos, narrações e recibos ficam em áreas privadas de armazenamento e são abertos por links temporários.
- As versões publicadas do aplicativo só se comunicam com o servidor por conexão criptografada (HTTPS).
- A sessão fica no armazenamento seguro do sistema do aparelho: Keychain no iPhone e iPad e Keystore no Android.
- Os links de convite e de retirada de voz são guardados só como código derivado.
- Relatórios de falha saem do aparelho sem e-mails, tokens e identificadores internos.
- A equipe acessa dados de acordo com sua função, e cada acesso fica registrado.
Como falar com a gente
- Controlador: SLB Consultoria em Tecnologia da Informação Ltda., CNPJ 66.663.714/0001-98, Rua Pais Leme, 215, conjunto 1713, Pinheiros, São Paulo, SP, CEP 05424-150.
- Canal de privacidade e proteção de dados: legal@contto.sh.
- Atendimento geral: contact@contto.sh.
- Termos, privacidade e assuntos jurídicos: legal@contto.sh.
Mudanças nesta política
Quando esta política mudar, publicaremos a nova versão nesta página, com o número da versão e a data de atualização no topo.
Vigência
Vigência: a partir da publicação desta versão.