Política de Privacidade — Tupham

.. Identificação e abrangência

Controladora dos dados: D Emanuel Matos Farias Branco - Desenvolvimento de Software LTDA, inscrita no CNPJ sob o nº 60.891.487/0001-71, atuante sob a marca "GrayCat Corp" (doravante "Tupham", "nós" ou "Controladora").

Aplicativo: Tupham (identificador br.com.graycat.tupham), disponível para iOS e Android, em português do Brasil.

Data de vigência: 03/06/2026.

Esta Política de Privacidade descreve como tratamos dados pessoais no aplicativo Tupham, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — "LGPD") e com o Marco Civil da Internet (Lei nº 12.965/2014). Ela complementa os Termos de Uso e o EULA.

1. Quem somos e como falar conosco

A Controladora dos dados pessoais tratados no aplicativo Tupham é a D Emanuel Matos Farias Branco - Desenvolvimento de Software LTDA, CNPJ nº 60.891.487/0001-71, que atua sob a marca "GrayCat Corp".

Canais de contato:

Encarregado pelo Tratamento de Dados Pessoais (DPO): Diego Branco. O canal de comunicação com o Encarregado é o e-mail privacidade@graycatcorp.com, conforme exige o art. 41 da LGPD.

Você também pode contatar a Autoridade Nacional de Proteção de Dados (ANPD), órgão fiscalizador da LGPD, por meio do site oficial https://www.gov.br/anpd.

2. Definições

Para os fins desta Política, adotamos as definições do art. 5 da LGPD:

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável (art. 5, I).
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural (art. 5, II). O Tupham não solicita dados sensíveis em seu cadastro. Caso você inclua voluntariamente conteúdo que revele tais informações nas suas conversas com a IA, esse conteúdo receberá o tratamento específico descrito na Seção 5.6.
• Titular: a pessoa natural a quem se referem os dados pessoais (art. 5, V) — no caso, você, usuário(a) do aplicativo.
• Controladora: a quem competem as decisões sobre o tratamento (art. 5, VI) — a empresa identificada na Seção 1.
• Operador: quem realiza o tratamento em nome da Controladora (art. 5, VII) — por exemplo, os provedores de infraestrutura listados na Seção 7.
• Tratamento: toda operação realizada com dados pessoais, como coleta, uso, acesso, armazenamento, compartilhamento ou eliminação (art. 5, X).
• Anonimização: uso de meios técnicos razoáveis para que um dado perca a possibilidade de associação a um indivíduo (art. 5, XI).
• Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento para finalidade determinada (art. 5, XII).

3. Quais dados coletamos

Coletamos as seguintes categorias de dados:

3.1. Dados de cadastro e perfil

3.2. Identificadores

• Identificador de conta: um identificador interno associado à sua conta.
• IDFA (Identifier for Advertisers — apenas iOS): identificador de publicidade, coletado somente com sua autorização via App Tracking Transparency (ATT) e usado para anúncios por meio de nossa rede de publicidade parceira (ver Seção 6).

3.3. Dados de uso e telemetria

Eventos de uso do aplicativo, atrelados ao identificador interno da sua conta e à sessão, enviados às nossas ferramentas internas de análise (analytics).

3.4. Dados de diagnóstico

Relatórios de erro e métricas de desempenho, coletados por ferramentas de diagnóstico e relatório de erros e por ferramentas de monitoramento de desempenho, vinculados ao identificador interno da sua conta e coletados apenas em versões de produção (release) do aplicativo.

3.5. Conteúdo do usuário (conversas)

O texto que você digita (entrada) e o texto gerado pela IA (saída) em suas conversas são armazenados com conteúdo integral em nossos servidores em nuvem. Veja a Seção 5 para os detalhes e finalidades.

3.6. Permissões do dispositivo

Solicitamos as seguintes permissões, todas com uso efetivo e mediante sua autorização no sistema operacional:

4. Para que usamos os dados e com qual base legal

Tratamos seus dados para as finalidades abaixo, cada uma amparada por uma base legal da LGPD:

Quando nos baseamos no legítimo interesse, realizamos avaliação de balanceamento entre nossos interesses e seus direitos e liberdades fundamentais (art. 10), e você pode se opor a esse tratamento (Seção 10). O uso de conteúdo de conversas para aprimoramento da nossa tecnologia proprietária de IA está sujeito às salvaguardas específicas da Seção 5.5.

5. Suas conversas, a IA e a melhoria do serviço

5.1. A inferência da IA é local. O modelo de linguagem proprietário do Tupham ("Tupico") roda 100% no seu dispositivo, a partir de um arquivo embarcado no aplicativo. Os prompts e o texto das suas conversas não são enviados a servidores de IA de terceiros para gerar a resposta — a geração acontece offline, no seu aparelho.

5.2. A transcrição das conversas é armazenada. Para fins de melhoria do serviço, controle operacional e analytics, o texto integral da sua entrada e o texto integral da resposta da IA são gravados em nossos servidores em nuvem e processados por nossas ferramentas internas de análise (analytics). Esse armazenamento é amparado pelo legítimo interesse (arts. 7, IX e 10 da LGPD).

5.3. Seus controles sobre as conversas. Você dispõe de controles efetivos sobre o conteúdo das suas conversas. A qualquer momento, você pode: (a) excluir conversas individuais diretamente no aplicativo; (b) excluir sua conta e o respectivo histórico, na forma da Seção 9; (c) ajustar suas preferências de comunicação; e (d) exercer seus direitos de titular, inclusive a oposição ao tratamento por legítimo interesse, pelo canal privacidade@graycatcorp.com (Seção 10).

5.4. Funcionalidades complementares de busca e grounding. O aplicativo oferece busca na web por meio de nossa tecnologia proprietária executada no dispositivo e oferece grounding factual (cartões de entidade) por meio de consulta a fontes públicas de conhecimento (enciclopédicas), que pode exigir usuário autenticado. As respostas da IA podem incorporar trechos de conteúdo de terceiros obtido nessas funcionalidades. A Tupham não controla nem é responsável pelo conteúdo de fontes externas, que pode ser impreciso, desatualizado ou de outra forma censurável, podendo inclusive incluir material de natureza adulta. Por essa razão, e considerando também a presença de publicidade, o aplicativo é destinado a maiores de 18 anos (Seção 12), e a classificação etária (Age Rating) nas lojas reflete esse posicionamento. Parte do grounding é realizada por meio de servidores localizados fora do Brasil (ver Seção 8).

5.5. Uso de conversas para aprimoramento da IA — salvaguardas. Quando utilizamos conteúdo de conversas para aprimorar e ajustar a nossa tecnologia proprietária de IA, fazemo-lo de forma anonimizada e/ou agregada, de modo a não permitir a reidentificação do titular. Dados pessoais sensíveis eventualmente digitados por você (Seção 2) não são utilizados para o aprimoramento do modelo. Você pode se opor a esse tratamento e, se entender que a avaliação de balanceamento não foi adequada, solicitar sua revisão (arts. 10, §3, e 18, §2 da LGPD), inclusive perante a ANPD.

5.6. Conteúdo sensível digitado por você. Caso você inclua voluntariamente, nas conversas, conteúdo que revele dados pessoais sensíveis (art. 5, II da LGPD), tal conteúdo será tratado para a operação do serviço e segue o mesmo ciclo de eliminação das conversas (Seção 9). Esse tratamento ampara-se na hipótese de tutela da saúde ou de exercício regular de direitos, quando aplicável, ou, de forma geral, no fato de o dado ter sido manifestamente tornado público pelo próprio titular ao inseri-lo (art. 11 da LGPD); reiteramos que não solicitamos dados sensíveis e recomendamos que você evite digitá-los. Como afirmado em 5.5, esses dados não são usados para aprimoramento da IA.

5.7. Limites da IA. As respostas podem conter erros ou imprecisões e não constituem aconselhamento médico, jurídico, financeiro ou profissional. A moderação do aplicativo é de entrada, com bloqueio de conteúdo censurável submetido pelo usuário e tolerância zero a material de abuso infantil; você pode, ainda, reportar respostas que considere inadequadas, conforme descrito nos Termos de Uso.

6. Identificadores, cookies e publicidade

O Tupham exibe anúncios por meio de nossa rede de publicidade parceira (com mediação de redes parceiras).

No iOS, antes de qualquer uso do IDFA (Identifier for Advertisers) para fins de publicidade, exibimos a solicitação do App Tracking Transparency (ATT). O rastreamento publicitário só ocorre se você autorizar expressamente; trata-se de base legal de consentimento (arts. 7, I e 8 da LGPD), que pode ser revogado a qualquer momento nos Ajustes do sistema operacional (Privacidade → Rastreamento). Caso não autorize, os anúncios poderão continuar a ser exibidos de forma não personalizada.

O aplicativo não utiliza cookies de navegador, por ser um aplicativo nativo. Os identificadores relevantes são o identificador interno da conta e, quando autorizado, o IDFA.

A categoria de coleta declarada nas etiquetas de privacidade da loja (App Privacy / Nutrition Labels e Privacy Manifest da Apple) reflete esta seção.

7. Com quem compartilhamos os dados

Nós não vendemos seus dados pessoais. Compartilhamos dados apenas com operadores que prestam serviços de infraestrutura em nosso nome, na medida necessária às finalidades desta Política:

Quando você opta pelo Sign in with Apple, a Apple pode fornecer um endereço de e-mail de relay privado em vez do seu e-mail real; nesse caso, tratamos o endereço de relay para comunicação relacionada à conta.

Os operadores tratam os dados conforme nossas instruções e seus próprios termos. Poderemos, ainda, compartilhar dados para cumprimento de obrigação legal ou ordem de autoridade competente, e em caso de reorganização societária, hipótese em que esta Política continuará a reger o tratamento.

8. Transferência internacional de dados

Embora nossos servidores em nuvem (banco de dados, serviços de backend e ferramentas de análise) estejam configurados em servidores localizados no Brasil, parte do tratamento ocorre fora do território nacional, em especial nos Estados Unidos, em razão de:

• componentes e serviços de provedores que operam globalmente: ferramentas de diagnóstico e de monitoramento de desempenho, serviço de notificações push e publicidade (IDFA);
• autenticação federada por meio de provedores de login federado (ex.: Google e Apple);
• consultas de grounding factual a serviços externos de referência localizados no exterior.

Por isso, realizamos transferência internacional de dados pessoais, nos termos do art. 33 da LGPD. Essa transferência se ampara, conforme o caso, em: garantias contratuais e cláusulas-padrão oferecidas pelos provedores (art. 33, II); na necessidade de execução de contrato com você (art. 33, IX); e/ou no consentimento específico para finalidades de publicidade (art. 33, VIII). Adotamos salvaguardas técnicas e contratuais para assegurar nível de proteção compatível com a LGPD.

9. Por quanto tempo guardamos e como eliminamos os dados

Mantemos os dados pelo tempo necessário às finalidades desta Política e às obrigações legais.

9.1. Exclusão de conta. Você pode excluir sua conta diretamente dentro do aplicativo, sem necessidade de contatar o suporte. Ao solicitar a exclusão, anonimizamos imediatamente seus dados de identificação (de modo que deixem de ser associáveis a você) e procedemos à remoção permanente dos dados pessoais após um período de carência de 60 (sessenta) dias. A carência existe para permitir reversão acidental e atender a obrigações operacionais e de segurança. Após esse prazo, os dados são eliminados de forma permanente, inclusive nas nossas ferramentas internas de análise (analytics). Para contas criadas com Sign in with Apple, a respectiva credencial/token é revogada no processo de exclusão.

9.2. Conteúdo das conversas. O conteúdo das conversas (entrada e saída) segue o mesmo ciclo de eliminação da conta descrito em 9.1. Você também pode excluir conversas individuais a qualquer momento dentro do aplicativo.

9.3. Retenção fiscal e de registros de acesso. Determinados dados de transações (assinaturas/pagamentos) podem ser retidos por prazo superior, em forma minimizada, para cumprimento de obrigações fiscais e contábeis (arts. 7, II e 16, I da LGPD), mesmo após a exclusão da conta. Da mesma forma, os registros de acesso a aplicações de internet são mantidos por no mínimo 6 (seis) meses, nos termos do art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet), em forma minimizada e mesmo após a exclusão da conta — sobrepondo-se à carência de 60 dias especificamente quanto a esses registros, por imposição legal.

10. Seus direitos como titular

Nos termos do art. 18 da LGPD, você pode, a qualquer tempo e gratuitamente, requerer:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade dos dados a outro fornecedor, mediante requisição expressa;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre as entidades com as quais compartilhamos dados;
• revogação do consentimento (por exemplo, do marketing por e-mail ou do rastreamento publicitário); e
• oposição a tratamento realizado com base em legítimo interesse, bem como solicitação de revisão da avaliação de balanceamento (arts. 18, §2 e 10, §3).

Como exercer: envie sua solicitação para privacidade@graycatcorp.com. Algumas ações estão disponíveis diretamente no aplicativo, como a exclusão da conta, a exclusão de conversas e o ajuste das preferências de comunicação por e-mail. Poderemos solicitar informações para confirmar sua identidade antes de atender ao pedido, como medida de segurança. Responderemos nos prazos previstos na LGPD.

11. Segurança da informação

Adotamos medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração ou difusão (art. 46 da LGPD), entre elas:

• criptografia do banco de dados local no dispositivo, com criptografia forte (padrão de mercado);
• token de acesso offline protegido com criptografia forte (padrão de mercado);
• tráfego de rede cifrado por conexões cifradas (HTTPS/TLS);
• controles de acesso e autenticação no backend, por meio de serviço de autenticação;
• coleta de diagnóstico restrita a versões de produção.

De forma geral, adotamos criptografia forte (padrão de mercado), tanto em repouso quanto em trânsito. Apesar dos esforços, nenhum sistema é absolutamente seguro. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados, conforme o art. 48 da LGPD.

12. Idade mínima (18 anos)

O Tupham é destinado exclusivamente a pessoas com 18 (dezoito) anos ou mais. O aplicativo não se destina a crianças ou adolescentes e não coletamos intencionalmente dados de menores de 18 anos.

O cadastro requer a confirmação de que você é maior de idade. Caso identifiquemos que uma conta foi criada por menor de 18 anos, poderemos suspender ou eliminar a conta e os respectivos dados. Se você é responsável legal e acredita que um menor sob sua tutela forneceu dados, contate privacidade@graycatcorp.com para que tomemos as providências cabíveis.

A classificação etária (Age Rating) do aplicativo nas lojas reflete esse posicionamento, considerando, entre outros fatores, a possibilidade de exibição de conteúdo de terceiros nas respostas (Seção 5.4) e a presença de publicidade.

13. Propriedade intelectual e proteção dos ativos da Tupham

Todo o aplicativo Tupham e seus componentes proprietários são de titularidade exclusiva da Tupham e de seus licenciantes, e estão protegidos pela legislação de propriedade intelectual aplicável. São de titularidade exclusiva da Tupham, sem caráter exaustivo: o aplicativo e seu código-fonte; o modelo de linguagem proprietário "Tupico", resultado de desenvolvimento próprio, incluindo o trabalho de fine-tuning, calibração, pesos derivados e adaptadores; a marca, o nome, o logotipo e a identidade visual; os sistemas "Verdis" e de "Créditos Verdes"; a nossa tecnologia proprietária de busca e de grounding; os prompts e a engenharia de prompt; e todo o conteúdo curado ou produzido pela Tupham.

A presente Política e o uso do aplicativo não transferem ao usuário qualquer direito de propriedade intelectual sobre esses ativos, além da licença de uso limitada, pessoal, intransferível e revogável concedida nos Termos de Uso e no EULA. Todos os direitos não expressamente concedidos ficam reservados à Tupham e a seus licenciantes.

É expressamente vedado ao usuário, entre outras condutas: (i) realizar engenharia reversa, descompilação ou desmontagem do aplicativo ou de qualquer de seus componentes; (ii) extrair, copiar, espelhar ou redistribuir os pesos do modelo, os adaptadores ou os prompts; (iii) praticar scraping ou coleta automatizada de dados; (iv) utilizar qualquer saída ou dado do aplicativo para treinar ou aprimorar modelos de inteligência artificial concorrentes; (v) fazer uso comercial não autorizado do aplicativo ou de seu conteúdo; (vi) remover ou ocultar avisos de propriedade; e (vii) utilizar a marca, o nome ou o logotipo da Tupham sem autorização escrita.

O conteúdo que você cria por meio do aplicativo permanece seu, no que couber; ao tratá-lo conforme esta Política, a Tupham preserva seus direitos sobre os ativos proprietários acima.

14. Componentes e fontes de dados de terceiros

O aplicativo incorpora componentes de software e fontes de dados de terceiros, licenciados sob suas respectivas licenças, cujos avisos e textos integrais estão disponíveis na seção de Avisos de Terceiros / Licenças do aplicativo. O uso desses componentes e fontes está sujeito às condições das respectivas licenças, que o usuário deve observar. As atribuições específicas são cumpridas naquela seção de Avisos.

15. Atualizações desta Política

Esta Política poderá ser atualizada a qualquer momento para refletir mudanças legais, técnicas ou de negócio. A versão vigente estará sempre disponível em https://tupham.com.br/privacy, com a respectiva data de vigência indicada no topo. Em caso de alterações materiais (por exemplo, novas finalidades ou novas categorias de dados), procuraremos notificá-lo por meios razoáveis, como aviso no aplicativo ou por e-mail. O uso continuado do aplicativo após a entrada em vigor das alterações indica ciência das mudanças, sem prejuízo das bases legais que exijam novo consentimento.

16. Lei aplicável, contato e ANPD

Esta Política é regida pelas leis da República Federativa do Brasil, em especial a LGPD (Lei nº 13.709/2018) e o Marco Civil da Internet (Lei nº 12.965/2014).

Tratando-se de relação de consumo, prevalece o foro do domicílio do consumidor, nos termos do art. 101, I, do Código de Defesa do Consumidor (Lei nº 8.078/1990). O foro de eleição da Comarca de Salvador, Estado da Bahia aplica-se apenas subsidiariamente e quando não configurada relação de consumo, para dirimir controvérsias decorrentes desta Política.

Para dúvidas, solicitações ou reclamações sobre privacidade, contate o Encarregado (DPO) pelo e-mail privacidade@graycatcorp.com. Para suporte geral, utilize suportebr@graycatcorp.com; para assuntos jurídicos, juridico@graycatcorp.com.

Você também tem o direito de peticionar perante a Autoridade Nacional de Proteção de Dados (ANPD), por meio do site https://www.gov.br/anpd (art. 18, §1 da LGPD).