Política de privacidade

Por padrão, o Compoz não coleta nada e nada sai do seu dispositivo. Pontuação, detecção de cena, guias de composição: 100 % local.

Um único opt-in opcional, «Ajude a melhorar o Compoz», desbloqueia três tratamentos estreitamente relacionados: (1) o envio da sua foto ao Claude da Anthropic para o Coach IA, (2) o armazenamento criptografado de uma versão anonimizada para treinar nosso próprio modelo embarcado, (3) o registro de uma entrada de spot fotográfico anônima (lat/lng + tipo de cena, sem identificador de usuário) quando você avalia uma foto com 5 estrelas ou executa o Coach IA sobre ela, o que alimenta o mapa comunitário de spots fotográficos.

O mapa de spots sempre aplica a k-anonimidade (mínimo 5 fotos por cluster) antes de exibir qualquer spot — seus lugares privados permanecem privados enquanto pelo menos 5 fotos diferentes não se acumularem ali.

Zero tracking publicitário, zero revenda de dados, zero analíticas de comportamento, zero cookies de rastreamento.

Todas as operações principais são executadas por modelos ML integrados (TensorFlow Lite + ML Kit). Sua fototeca, as pontuações de composição, seu histórico e os parâmetros de calibração pessoais — tudo é armazenado apenas no seu telefone (AsyncStorage + SQLite).

Se você criar uma conta, esses dados podem ser sincronizados com nossa base Supabase criptografada (AES-256 em repouso, TLS 1.3 em trânsito) para acesso multi-dispositivo. Essa sincronização é opcional e pode ser desativada.

Importante: o scoring ao vivo do Compoz roda 100 % no seu dispositivo — sem rede, sem nuvem, nenhuma foto sai do seu telefone. O Coach IA é uma **beta de pesquisa opcional e temporária** (daí o limite de 50 análises por mês), completamente separada do scoring no dispositivo. Ele existe para nos ajudar a melhorar nosso próprio modelo de composição embarcado e precisa de feedback expert para validá-lo.

Quando você toca em Coach IA (Pro, opt-in necessário): (1) sua foto é redimensionada para 768 px no seu lado mais longo e recodificada como JPEG (o que remove automaticamente todos os metadados EXIF, incluindo a posição GPS), (2) ela é analisada em nossos servidores, que reencaminham transitoriamente a imagem criptografada em TLS para a API Claude da Anthropic (subprocessador americano sob cláusulas contratuais padrão) para gerar o comentário, (3) a Anthropic nos retorna o resultado SEM conservar a foto (DPA em vigor), (4) armazenamos uma cópia criptografada AES-256-GCM desta foto anonimizada em nosso bucket privado do Supabase para melhorar o modelo de composição embarcado (sem identificador de usuário, sem GPS, chave de criptografia conservada apenas em nosso servidor API).

**O que a Anthropic faz com a imagem?** A Anthropic publica seus próprios compromissos sobre os dados de API de clientes: eles **não** usam os inputs de API para treinar seus modelos, e retêm os inputs apenas brevemente para uma revisão de trust-and-safety antes da exclusão automática. Você pode ler a política atual da Anthropic diretamente em https://www.anthropic.com/legal/privacy — apoiamo-nos nos termos publicados deles e num DPA assinado, e a sua verificação independente ali é o controlo final.

**O Coach IA foi projetado para desaparecer.** Uma vez que nosso modelo embarcado tenha aprendido o suficiente com a beta, sua precisão será mesclada diretamente no scoring ao vivo — que já roda 100 % no seu dispositivo. O Coach IA deixará de existir, o toggle «Ajude a melhorar o Compoz» se tornará obsoleto, e você terá essa mesma precisão sem que suas fotos saiam novamente do seu telefone. Por design é uma ponte temporária no lado do servidor que torna a experiência permanente no dispositivo melhor para todos.

Se o opt-in estiver desativado, o Coach IA simplesmente não está disponível (não temos base legal LGPD/RGPD para a chamada de rede). Todo o resto do Compoz continua funcionando normalmente e 100 % offline.

Se o opt-in guarda-chuva «Ajude a melhorar o Compoz» estiver ativado, avaliar uma foto com 5 estrelas — ou executar o Coach IA sobre uma foto — também registra uma entrada de spot anônima que ajuda a construir o mapa comunitário de spots fotográficos. O mapa de hot-spots Pro (visível dentro do app) exibe então os locais de fotografia populares ao seu redor: o mirante da placa de Hollywood, a Pont Alexandre III, a Ópera de Sydney, um mirante específico em sua cidade. Usuários Free contribuem para o mapa, usuários Pro podem navegar por ele.

A linha armazenada em nosso servidor contém exatamente: a latitude/longitude no momento da captura, o tipo de cena detectado (paisagem, retrato, arquitetura…) e o timestamp de criação. É só isso. Nenhum identificador de usuário, nenhuma foto, nenhum thumbnail, nenhuma avaliação, nenhum score de regra, nenhuma informação de dispositivo. A tabela em si não tem qualquer ligação com sua conta.

Por que armazenar coordenadas precisas? Porque um mapa de hot-spots útil precisa identificar o ponto de vista real (um terraço específico, uma ponte específica) — armazenar células grosseiras de 1 km transformaria o mapa em um mapa de calor de bairro sem utilidade. A proteção da privacidade não vem de uma baixa precisão no banco de dados, mas da k-anonimidade no momento da consulta.

**Concretamente: seus spots privados permanecem privados.** O endpoint da API `/spots/hot` NUNCA expõe um cluster com menos de 5 fotos independentes. Se uma célula geohash (~19 m × 19 m) tiver apenas 1–4 fotos, ela é automaticamente fundida em sua célula pai (~150 m), depois em uma célula pai ainda mais grosseira (~1,2 km), até que o limiar k=5 seja atingido. Se o rollup ainda assim não encontrar 5 fotos mesmo no nível mais grosseiro, o cluster é totalmente removido da resposta. Uma foto tirada na casa de campo remota da sua avó é invisível no mapa até que pelo menos 5 pessoas diferentes também tenham fotografado exatamente esse bairro. Uma foto da placa de Hollywood é exposta na precisão de 19 m porque ali já existem centenas de outras fotos.

Você pode retirar seu consentimento a qualquer momento desativando o toggle «Ajude a melhorar o Compoz» nas Configurações. O cliente mobile para imediatamente de chamar o endpoint de registro de spots, e o servidor re-verifica o consentimento a cada requisição. As linhas anônimas já presentes no banco podem ser conservadas para P&D conforme permitido pelo art. 17.3.d do RGPD — elas não estão ligadas a você e não podem ser excluídas por usuário.

Os três tratamentos acima (transferência transitória ao Coach IA + foto de treinamento criptografada + registro anônimo de hot-spot) compartilham o mesmo objetivo legítimo: melhorar o Compoz para todos. Compartilham a mesma promessa de anonimização: sem identificador de usuário, sem metadados pessoais, sem tracking.

O EDPB (Comitê Europeu de Proteção de Dados) aceita um consentimento único para finalidades estreitamente relacionadas quando o usuário é devidamente informado através de um aviso em duas camadas: um resumo amigável no app + um link «Saiba mais» para esta página de detalhes. Isso é exatamente o que fazemos.

Você pode retirar seu consentimento a qualquer momento desativando o toggle nas Configurações. O efeito é imediato: a próxima ação lerá o novo valor e os três tratamentos param instantaneamente. As linhas já anonimizadas (sem identificador) podem ser conservadas para nossa pesquisa, conforme permitido pelo art. 17.3.d do RGPD.

O Compoz utiliza um número limitado de subprocessadores, cada um estritamente para a finalidade indicada:

Se você residir no Espaço Econômico Europeu (RGPD) ou no Brasil (LGPD), você tem os seguintes direitos:

Para qualquer dúvida, solicitação de exercício de direitos ou reclamação sobre seus dados pessoais: privacy@getcompoz.app. Respondemos em até 30 dias.

Podemos atualizar esta política. Qualquer alteração material será notificada no aplicativo e a data da última atualização no topo desta página será atualizada. Alterações substanciais que afetem seus direitos exigirão sua reconfirmação explícita.