POLÍTICA DE PRIVACIDADE

O Trace é uma ferramenta de busca facial reversa. O que você nos dá é a fotografia de um rosto, que, sob o GDPR e o KVKK, é uma categoria especial de dado pessoal. Esta página diz exatamente o que acontece com ela, em linguagem simples, sem nenhuma cláusula que signifique o oposto do que parece dizer.

Este texto é uma tradução. Em caso de divergência, prevalece a versão em inglês.

Quem somos

O Trace é operado pela Trace Labs ("nós"). Você pode nos contatar em social@traceaifacescan.app ou pelo formulário de suporte. A Trace Labs é a controladora dos dados para tudo o que é descrito a seguir.

O que coletamos

A fotografia que você envia. Recortada no seu navegador em um quadrado em torno do rosto antes de ser enviada, então o que sai do seu dispositivo é o rosto que você enquadrou, não a imagem inteira.
Os resultados da sua busca. As pontuações de correspondência, a plataforma e o identificador de cada correspondência, o link, e uma pequena miniatura de prévia de cada imagem correspondente.
Sua conta. Um ID de conta e um hash da sua chave de recuperação. Não temos a sua chave de recuperação em si — apenas um hash, que não pode ser transformado de volta na chave.
Seu saldo de créditos e o registro de compras e buscas por trás dele.
Uma forma com hash do seu endereço IP, usada para limitar a taxa de buscas gratuitas e de criação de contas. Não armazenamos endereços IP em texto puro.
Seu ID de usuário do Telegram, mas somente se você pagar com Telegram Stars — é assim que um pagamento é associado à sua conta e como o suporte pode te ajudar a entrar de novo depois.
Um registro de pagamento se você pagar com cartão: o valor, a bandeira do cartão e os últimos quatro dígitos, o identificador do pagamento e o endereço de e-mail que você digita na página de pagamento. Nunca vemos o número do seu cartão. A página é hospedada pela Pocketsflow, que é a comerciante de registro dessa venda — ela processa o pagamento e cuida dos impostos, sob sua própria política de privacidade, e os dados de cobrança necessários para isso nunca chegam até nós.
Um registro de pagamento se você pagar com criptomoeda: o valor, a moeda e o identificador de pagamento que nosso processador de criptomoedas nos fornece. Nunca vemos um endereço de carteira, e o processador hospeda a página de pagamento — nós não processamos a transferência.

Não pedimos seu nome, seu número de telefone ou uma senha, porque o Trace não tem formulário de cadastro. Não há nada para nos dar. A única exceção é um endereço de e-mail, e apenas se você escolher pagar com cartão: a página de pagamento pede um para poder enviar um recibo, e ele chega junto com o registro de pagamento. Ele não é usado para fazer login e nunca enviamos marketing para ele; excluir sua conta o remove do registro de pagamento, junto com o endereço de onde o pagamento veio.

Para onde vai a sua fotografia

O Trace executa a busca em seu próprio mecanismo, em nosso próprio servidor — nosso próprio índice, nosso próprio modelo facial, nossa própria pontuação. Não é uma camada fina em torno da caixa de busca de outra pessoa.

Mas a fotografia ainda sai do nosso servidor, e preferimos dizer isso claramente do que deixar que "nosso próprio mecanismo" seja entendido como "ela nunca vai a lugar nenhum". Para descobrir onde um rosto aparece, o mecanismo consulta mecanismos públicos de busca de imagens em seu nome, e quando o próprio resultado volta fraco, ele também consulta um serviço comercial de busca facial. Aproximadamente metade das buscas pagas chega a essa segunda etapa. Pergunte a nós pelo formulário de suporte e diremos quais são esses serviços. Esses mecanismos buscam a imagem eles mesmos em vez de aceitar um envio, então, durante a duração de uma busca — até cerca de dez minutos — o recorte quadrado é servido a partir de um endereço web assinado e impossível de adivinhar. Ele não aparece listado em lugar nenhum, não é indexado por nós, e o endereço deixa de funcionar quando a janela se encerra. É uma escolha deliberada, e é a única forma de esse tipo de busca funcionar.

O que não podemos prometer é o que acontece com essa cópia do lado deles. Esses mecanismos mantêm seus próprios registros e caches, e não temos controle sobre eles; suas próprias políticas se aplicam. Se você quiser saber exatamente quais mecanismos uma busca consulta, pergunte a nós pelo formulário de suporte e diremos.

Tudo isso está descrito na própria tela de busca, acima do botão que inicia a busca, e antes da sua primeira busca uma caixa de diálogo se abre com o texto completo do que você está concordando. Nada é pesquisado até você aceitar. Se esse texto mudar, a caixa de diálogo se abre de novo, e sua conta registra qual versão você aceitou e quando.

Não compartilhamos seus dados com mais ninguém. Não os vendemos, não os usamos para publicidade, e não construímos um perfil de identidade sobre você ou sobre qualquer pessoa cujo rosto você pesquisa.

O índice de rostos que mantemos

Esta é a parte que a maioria dos serviços de busca facial não explica claramente, então aqui está, sem rodeios. Quando uma busca confirma uma correspondência com alta confiança, registramos esse rosto em nosso próprio índice: a medição numérica do rosto, um pequeno recorte dele, e o endereço web público onde foi encontrado. A próxima busca pela mesma pessoa pode então ser respondida a partir desse índice em vez de pagar um mecanismo de busca de novo — por isso as buscas ficam mais rápidas e mais baratas com o tempo.

O que isso significa, dito diretamente: mantemos medições faciais de pessoas que nunca vieram aqui e nunca pediram para estar nele. Todo serviço desse tipo faz isso; a maioria não conta. O índice é construído apenas a partir de imagens que já estavam publicadas na internet aberta, não contém nenhum nome que nos tenham dado, nenhum dado de contato e nenhum perfil, e apenas rostos que conseguimos atribuir com confiança são registrados.

Se o seu rosto está nele, você pode tirá-lo. A página de remoção exclui toda entrada que corresponda ao seu rosto e a adiciona a uma lista permanente de não indexação, para que uma busca posterior não possa colocá-la de volta. Ela precisa de uma fotografia e nenhuma conta, e a fotografia que você envia não é armazenada — lemos a medição e descartamos o arquivo. Isso não remove nada dos sites que publicaram suas fotos; só eles podem fazer isso.

Por quanto tempo mantemos

Fotografias enviadas e prévias de resultados: 30 dias, depois excluídas automaticamente. Elas são mantidas por esse tempo apenas para que você possa reabrir uma busca que já pagou.
Excluir uma busca exclui suas imagens imediatamente, e excluir sua conta exclui todas elas de uma vez — incluindo a cópia que o mecanismo de busca mantinha enquanto trabalhava. Nenhuma das duas é um "marcar como oculto": os arquivos são removidos.
Contas sem créditos, sem buscas e sem pagamentos são excluídas após 30 dias de inatividade.
Os registros de pagamento são mantidos pelo tempo que a legislação fiscal e contábil exigir, porque não temos uma forma legal de excluí-los antes. Excluir sua conta desvincula o registro de você: o vínculo com a conta e o endereço de onde o pagamento veio são apagados, e o que resta é um valor, uma data e a referência que um reembolso precisa.

Trace Watch: o seu próprio rosto

O Trace Watch é um serviço opcional e pago para monitorar o seu próprio rosto. É o único lugar onde mantemos um rosto por mais tempo do que uma busca, então ele tem suas próprias regras.

O que você nos dá: uma foto recortada do seu rosto e uma confirmação de que ela é sua. Derivamos uma assinatura numérica facial a partir dela no nosso próprio mecanismo.
O que fazemos com isso: toda busca iniciada no Trace é comparada com as assinaturas em monitoramento, e uma vez por mês fazemos uma busca normal no Trace com sua foto. Quando uma correspondência ou uma nova página é encontrada, enviamos uma mensagem no Telegram. A mensagem nunca nomeia, mostra ou descreve a pessoa que fez a busca; não sabemos quem ela é e não diríamos a você mesmo se soubéssemos.
Por quanto tempo: a foto e a assinatura são mantidas enquanto o serviço está ativo e por 30 dias depois do fim, para que renovar não exija enviar a foto de novo. Encerrar o monitoramento no painel exclui as duas imediatamente. Excluir sua conta também as exclui.
Telegram: para entregar os alertas, armazenamos o ID numérico do chat do Telegram que você conecta. Enviamos apenas texto — nunca sua foto, nunca uma lista de endereços.
A base legal é o seu consentimento explícito, dado ao marcar a caixa; dados biométricos são processados apenas para o propósito que você solicitou, e você pode retirar o consentimento a qualquer momento encerrando o monitoramento.

Onde é armazenado

No nosso próprio servidor na Alemanha, operado pela Hetzner Online GmbH, dentro da UE. As imagens enviadas são armazenadas fora da raiz web e são servidas apenas por meio de um link assinado vinculado à sua conta — saber uma URL não é suficiente para abrir a imagem de outra pessoa. A única exceção é a análise de uso descrita em Cookies, que o PostHog processa nos Estados Unidos e que nunca contém uma imagem.

Sua base legal e seus direitos

Processamos a fotografia com base no consentimento explícito que você dá naquela caixa de diálogo, antes da primeira busca ser feita, em uma tela que declara o que está sendo aceito e tem um link para esta política. Esse texto também pede que você confirme que tem 18 anos ou mais e que não é cidadão ou residente de um estado-membro da União Europeia; o Trace não é oferecido a pessoas na UE. Você pode retirá-lo a qualquer momento excluindo a busca ou sua conta; isso não desfaz buscas já feitas, mas remove o que mantemos. Se esta política mudar de uma forma que afete o que acontece com sua fotografia, pedimos consentimento novamente em vez de confiar na aceitação antiga.

Sob o GDPR e o KVKK, você tem o direito de acessar, corrigir, excluir e exportar seus dados, e de se opor ao processamento. O Trace é construído para que a maior parte disso seja um botão, e não um e-mail: o painel permite que você veja tudo na sua conta, exclua buscas individuais e apague a conta inteiramente. Para qualquer coisa que o painel não consiga fazer, contate-nos pelo formulário de suporte.

Cookies

O painel usa dois cookies e nenhum deles é para rastreamento: um cookie de sessão, e um cookie de dispositivo de longa duração que mantém você conectado sem precisar de senha. Não há cookie de publicidade nem rastreamento entre sites em nenhum lugar dentro do painel.

Para ver onde as pessoas encontram dificuldades, o painel e as páginas públicas usam o PostHog, um serviço de análise de produto que processa dados de uso em servidores nos Estados Unidos. Ele registra quais páginas você abre e quais botões você aperta, e uma reprodução dessas interações, vinculada a um número de conta interno que não é o seu ID de conta. Ele não armazena nada no seu dispositivo: nenhum cookie, nenhum armazenamento local. A reprodução nunca contém uma imagem — sua fotografia, a área de recorte e cada prévia de resultado aparecem como caixas em branco — e a própria lista de resultados, sua chave de recuperação, suas chaves de API e seu ID de conta ficam totalmente fora dela. Os campos de formulário são mascarados. O PostHog nunca recebe um nome que você pesquisou, uma correspondência ou um link para um resultado. Bloquear posthog.com ou usar qualquer bloqueador de anúncios o remove, e tudo funciona da mesma forma sem ele.

As páginas públicas fora do painel — esta, a página inicial e as páginas de comparação — carregam o Google Analytics e um sinal de conversão do Google Ads, para que possamos saber qual anúncio trouxe alguém até aqui. Ambos são configurados para não armazenar nada no seu dispositivo: nenhum cookie de análise, nenhum cookie de publicidade, nenhum identificador que te siga até outro site. Eles medem páginas, não pessoas, e nenhum dos dois recebe nunca uma fotografia, uma busca, um resultado ou o seu ID de conta.

A única coisa que as páginas públicas podem armazenar é uma única entrada no armazenamento local do seu navegador, escrita apenas quando você fecha o aviso de preço para que ele não reapareça. Ela contém o nome do aviso que você fechou — nenhum identificador, nada sobre você — nunca é enviada para nós, e limpar os dados do navegador a remove. É por isso que este site ainda não tem um banner de cookies: nada é armazenado para te reconhecer ou te seguir, e a única entrada que existe está ali porque você pediu. Se você preferir não ser contado de forma alguma, bloquear googletagmanager.com ou usar qualquer bloqueador de anúncios remove os dois, e tudo funciona exatamente da mesma forma sem eles.

Quando você chega através de um anúncio, o link carrega um identificador de clique no endereço. Se você criar uma conta depois, esse identificador é gravado na sua linha de conta para que possamos ver qual anúncio se pagou. Não é um perfil e não é compartilhado: ele vive no nosso próprio banco de dados, nunca é enviado de volta para uma rede de publicidade, e é excluído junto com a conta.

Pesquisar outras pessoas

Se você enviar a fotografia de outra pessoa, você está processando os dados pessoais dela e é responsável por ter uma base legal para isso. O Trace existe para verificar com quem você está lidando e para permitir que você encontre suas próprias imagens; ele não deve ser usado para identificar, localizar, monitorar ou assediar ninguém. Veja os Termos de Uso.

Se você acredita que alguém pesquisou o seu rosto pelo Trace e quer exercer seus direitos, o caminho mais rápido é a página de remoção: ela retira o seu rosto do nosso índice e o mantém fora, sem necessidade de conta e sem precisar nos enviar um e-mail. O que ela não pode dizer é quem te pesquisou, e nós também não podemos — uma busca é registrada contra a conta que a fez, não contra o rosto que ela procurava, então não temos como ir de uma fotografia a uma lista de buscas. Para qualquer outra coisa, escreva para nós pelo formulário de suporte.

Crianças

O Trace não é destinado a ninguém com menos de 18 anos e não mantemos, conscientemente, dados de um menor.

Alterações

Se esta política mudar de uma forma que afete o que acontece com sua fotografia, pediremos consentimento novamente em vez de simplesmente atualizar a data no topo.