Política de privacidade.

Uma observação de escopo, antes de tudo.

O Vozeto é um aplicativo que depende de internet: o que você dita é enviado para ser transcrito e reescrito na nuvem, e volta como texto. Esse envio é a própria função que você usa, e está descrito em detalhe na seção 3, com cada destino. O histórico, as notas e as gravações ficam no seu computador, e nós não temos acesso a eles.

O histórico, as notas e as gravações ficam só no seu computador. O áudio e o texto de cada ditado passam pela nuvem para serem processados (seção 3), mas a cópia que fica guardada é a do seu disco — não existe cópia nossa.

Os arquivos ficam no diretório de dados do aplicativo, que muda conforme o sistema:

• macOS:~/Library/Application Support/com.vozeto.app/
• Windows: %APPDATA%\com.vozeto.app\
• Linux:~/.local/share/com.vozeto.app/
• Modo portátil: a pasta Data/ ao lado do executável. Levar essa pasta num pendrive leva os seus arquivos e a identidade de licença junto.

Apagar essa pasta apaga tudo isso de uma vez. Não temos cópia de nada — não há o que pedir de volta, e não há o que a gente possa entregar.

3.1 — Cada ditado: transcrição e reescrita na nuvem

Quando você termina de falar, o Vozeto comprime o áudio e o envia inteiro, por conexão cifrada (HTTPS), para as nossas funções no Supabase. De lá ele segue para o OpenRouter, que o entrega a quem processa. Quem é muda conforme o seu plano (planos e franquia em /#preco):

• Transcrição, planos Pro e Gratuito (precisão aprimorada e padrão): modelo MAI-Transcribe 2, da Microsoft, na Azure. Recebe o áudio e devolve o texto nos dois planos.
• Reescrita, planos Pro e Gratuito: a mesma sequência de três modelos nos dois planos. O primeiro é o Gemini 3.8 Flash, do Google, em endpoint sem retenção. Se ele demorar demais ou falhar, entra o gpt-oss-120b na Cerebras. Se esse também falhar, entra o Gemini 3.5 Flash-Lite, de novo do Google. Quem atende é sempre o primeiro que responder dentro do prazo — o plano não muda essa lista.

Toda reescrita recebe o texto transcrito, o vocabulário que você cadastrou, o nome do aplicativo em que o texto vai ser colado e o estilo escolhido.

O que acontece com esse conteúdo: nós não gravamos o áudio nem o texto em banco, arquivo ou log — só números (duração, quantidade de caracteres, tempo de cada etapa). O OpenRouter declara que não guarda prompts, respostas nem arquivos de áudio além do necessário para rotear o pedido. A Cerebras declara que não retém entradas e saídas de inferência. Na reescrita, pedimos só provedores sem retenção de dados (o que exclui, por exemplo, a versão do Google que guarda registros por 55 dias). Nenhum deles usa o seu conteúdo para treinar modelos, segundo as próprias políticas.

A ressalva honesta: a Microsoft prevê, no regime padrão da Azure, um monitoramento de abuso em que uma amostra das entradas pode ser guardada temporariamente e revisada. Ainda não conseguimos confirmar se a conta do OpenRouter tem esse monitoramento desligado. Enquanto não houver confirmação, considere que essa possibilidade existe. Não achamos, na documentação consultada, uma ressalva equivalente para o Google nem para a Cerebras — mas também não temos confirmação contratual direta com eles, só a política pública.

O texto transcrito, exatamente como veio, fica guardado no seu computador e volta com Ctrl Z. A reescrita é sempre uma camada por cima.

Pesquisar na web

Quando você usa o modo “Pesquisar na web”, a pergunta — e o trecho selecionado, se houver — só sai do computador depois que você confirma na tela de pesquisa. Ela passa pelas funções do Vozeto no Supabase, segue para o OpenRouter e é respondida pela Perplexity (modelo Sonar), que busca na internet e devolve o resumo com as fontes. O pedido vai marcado para processadores sem retenção de dados; o Vozeto não guarda a pergunta nem a resposta, só a contagem de uso do recurso. Se preferir, dá para trocar o destino por uma instância SearxNG ou pela Wikipedia nas opções avançadas — aí o pedido vai direto do seu computador para o serviço escolhido.

3.2 — O modelo de contingência

Depois do seu primeiro login, o Vozeto baixa em segundo plano um modelo de transcrição (Whisper large-v3-turbo, cerca de 830 MB) do Hugging Face (huggingface.co). Ele só é usado quando a nuvem falha por falta de rede, demora ou erro do servidor: nesse caso a transcrição acontece no seu computador, o texto é colado sem reescrita e um aviso de instabilidade aparece. Como em qualquer download, o servidor enxerga o seu endereço IP e o arquivo pedido.

3.3 — Conta, assinatura e uso

Para usar o Vozeto você entra com uma conta. Isso cria, fora da sua máquina, os seguintes dados — nenhum deles é o seu áudio ou o seu texto:

• Seu e-mail, para entrar na conta, identificar a assinatura e dar acesso ao painel de licenças.
• O identificador da sua máquina — e é aqui que está a decisão de privacidade mais importante do produto. Ele não é derivado de hardware: não usamos serial de disco, MAC nem UUID de placa-mãe. O que existe é um segredo de 32 bytes sorteado na primeira execução e guardado no seu computador; o que vai para o servidor é um hash SHA-256 dele, 64 caracteres hexadecimais. Não dá para voltar do hash ao segredo, e o segredo não diz nada sobre você, porque foi sorteado, não medido.
• O apelido da máquina, se você digitar um no painel (“MacBook do trabalho”). É opcional e escrito por você.
• A contagem de uso do mês: quantas palavras ditadas, quantos ditados, quantos caracteres, quantos segundos de áudio, o custo em R$ que cada ditado gerou nos provedores e quantos usos de cada recurso (modos e estilos, tradução, perguntar sobre a seleção, pesquisa web). Serve para aplicar a franquia do plano — 10.000 palavras por mês no gratuito — as amostras dos recursos do Pro no gratuito e um teto contra abuso para assinantes. Só números, nunca o conteúdo.
• O registro do seu aceite desta política e dos termos: qual versão você aceitou e quando.

A licença em si é um token assinado com validade de 7 dias, guardado no seu computador. O token carrega quatro campos: id da licença, id da máquina, quando foi emitido e quando expira.Sem e-mail, sem nome, sem plano.

O que o servidor não guarda, por decisão registrada no código: o áudio, o texto ditado, a transcrição, o endereço IP, o serial de disco, o MAC e o nome de usuário do sistema.

3.4 — Verificar atualizações

Uma vez por sessão, o aplicativo consulta no GitHub (github.com) um arquivo público que diz qual é a versão mais recente. Se houver versão nova, aparece um aviso, e o download só começa depois do seu clique. O GitHub recebe o endereço IP necessário para entregar esse arquivo e mais nada.

3.5 — Telemetria de uso (opcional)

Isto só existe se você ligar. Em Configurações → Privacidade há uma chave, desligada de fábrica, chamada "Ajudar a melhorar o Vozeto". Enquanto ela estiver desligada, nenhuma informação de uso sai do seu computador. Se você ligar, ou aceitar no cartão que aparece uma vez (no fim da primeira configuração, ou na primeira abertura depois de uma atualização), passam a sair, sem nenhum áudio, texto ou conteúdo do que você dita:

• Um sinal por dia, no máximo: um identificador de instalação sorteado à parte da sua licença, a conta (só se você estiver logado), a versão do Vozeto, o sistema operacional e a versão dele, o idioma do aplicativo, se o plano é Pro ou gratuito, se microfone/acessibilidade/notificações estão autorizados, em que passo da configuração inicial você está, e os totais de ontem — quantos ditados, quantos segundos e quantas palavras, por tipo de modo.
• Um sinal de presença, no máximo a cada 5 minutos e só enquanto você estiver ditando: o identificador de instalação, o tipo de modo em uso e se está gravando. Isso alimenta um painel interno de "quem está usando agora"; parado, nada é enviado.

Sua cidade aproximada (cidade, região, país e uma latitude/longitude de cidade, não de endereço) é calculada pela nossa própria borda de rede a partir da conexão — nunca por um serviço externo — e enviada junto. O seu endereço IP nunca é enviado, nunca é gravado em nenhuma tabela e nunca aparece em nenhum registro de funcionamento.

O sinal diário fica guardado por 24 meses; a presença, por 24 horas — depois disso é apagado automaticamente. Você pode desligar a chave a qualquer momento; ao desligar, é oferecida a opção de apagar também o que já foi enviado, e o pedido remove tudo daquela instalação em até 1 minuto. Se aceitar de novo mais tarde, um identificador de instalação novo é sorteado — o antigo não volta a ser usado.

Falha de rede nesse envio nunca afeta o ditado: ele acontece numa tarefa separada, em segundo plano, e um sinal que falhar só tenta de novo no dia seguinte.

Uso desses dados por segurança: além de medir uso do produto, poderemos usar os mesmos sinais — sem áudio ou texto — para identificar padrões de abuso (por exemplo, uma instalação fazendo chamadas muito além do normal), com base no nosso legítimo interesse em manter o serviço disponível e seguro para todos. Isso inclui verificações automáticas de segurança e cobrança: conferimos todo dia se o pagamento continua em dia no provedor, e checamos sinais de abuso, como o mesmo computador aparecendo em várias contas — nesse caso, guardamos só um código embaralhado do computador, nunca o identificador em claro, e apagamos em até 90 dias. Um modelo de IA pode ajudar a resumir esses casos, sem guardar os dados que recebe, mas a IA nunca decide sozinha sobre a sua conta — quem decide é sempre uma pessoa da nossa equipe.

Os dados do seu cartão não passam por nós.

A cobrança é processada por um gateway de pagamento — hoje, o Asaas ou a AbacatePay, ambos brasileiros; qual dos dois está ativo é uma configuração nossa, não uma escolha sua. O checkout acontece no ambiente do gateway: número de cartão, validade, código de segurança e os dados de cadastro que ele exigir são coletados e guardados por ele, sob a política de privacidade dele. Nós nunca vemos e nunca guardamos esses dados.

O que volta do gateway para nós é o aviso de que um pagamento foi concluído, renovado, cancelado, reembolsado ou contestado — e, junto dele, o seu e-mail e os identificadores de cliente e de assinatura. É com isso que a sua licença é emitida.

O analytics próprio deste site continua sem cookie. Quando você visita vozeto.app, clica em "Baixar e testar grátis", clica em "Ver o Vozeto em ação", rola até os preços ou escolhe um plano, o site registra só o nome do evento (por exemplo, hero_cta_clicked), o caminho da página e o instante — sem cookie, sem localStorage, sem identificador de pessoa nem de aparelho, sem endereço de IP guardado junto do evento. Não usamos SDK de terceiro para isso: o próprio servidor do site grava essa linha numa tabela só para essa contagem, sem nada que permita seguir a mesma pessoa entre um clique e outro. Nada disso é cruzado com sua conta, seu ditado ou sua assinatura — eles vivem em sistemas separados e não têm como se encontrar com esses registros.

Desde 26 de setembro de 2026, há uma segunda medição — e essa depende da sua escolha. Um banner pergunta se você aceita o Pixel da Meta, para medir o anúncio do Vozeto no Instagram e no Facebook. A sua escolha fica só no localStorage do seu navegador, na chave vozeto:consentimento-anuncios. Enquanto você não responde, ou se clica em "Recusar", nenhum script da Meta carrega, nenhum cookie dela é gravado e nada é enviado a ela.

Se você clica em "Aceitar": o navegador grava os cookies _fbp e _fbc de vozeto.app, e a Meta passa a receber, pelo próprio navegador: a página visitada (PageView), o clique em qualquer botão de baixar o Vozeto (Lead), o início do checkout com o valor do plano escolhido (InitiateCheckout) e a compra concluída, com plano e valor (Purchase) — além do IP e do navegador que a própria requisição já carrega. Não mandamos e-mail, nome nem nenhum dado da sua conta para a Meta: a configuração automática de eventos da Meta fica desligada no nosso código, e a correspondência avançada automática — que usaria dados de contato encontrados na página — fica desligada na conta do Vozeto na Meta. A base legal é o seu consentimento (LGPD art. 7º, I).

Mudar de ideia: "Preferências de cookies", no rodapé de qualquer página, reabre o banner a qualquer momento. Escolher "Recusar" depois de ter aceitado apaga os cookies _fbp e _fbc e recarrega a página; a partir daí, nada volta a ser enviado à Meta.

Isso não muda o aplicativo. O Vozeto instalado continua sem enviar nada sobre o seu uso a menos que você aceite — seção 3.5. Medir cliques nesta página pública de vendas e o sinal opt-in do aplicativo são coisas diferentes: nenhum dos dois observa o que você dita.

Há uma ação voluntária adicional: ao clicar em Baixar, você vai para vozeto.app/baixar, que identifica seu sistema e entrega o instalador certo. Quem busca o arquivo na origem é o nosso próprio servidor, não o seu navegador — você nunca é redirecionado para outro domínio nem vê de onde o arquivo vem. Não recebemos áudio, texto, conta, identificação do aparelho nem dados de uso nessa etapa.

A ressalva honesta: como acontece com qualquer servidor na internet, o provedor que hospeda o instalador de origem pode manter um log de acesso do nosso servidor — nunca do seu endereço IP. Isso não é feito pelo site, não é lido por nós e não é cruzado com dado de assinatura.

• Confirmação e acesso — saber se tratamos algum dado seu e receber uma cópia.
• Correção — corrigir dado incompleto, inexato ou desatualizado.
• Anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei.
• Portabilidade a outro fornecedor, nos termos da regulamentação.
• Eliminação dos dados tratados com base no seu consentimento.
• Revogar o Pixel da Meta a qualquer momento, pelo link "Preferências de cookies" no rodapé do site.
• Informação sobre com quem compartilhamos dados — a resposta está nesta página: Asaas ou AbacatePay, Supabase, OpenRouter, Microsoft, Cerebras, Google e Perplexity, e mais ninguém.
• Encerrar o uso — sair da conta ou pedir a eliminação dela. Sem conta, nenhum ditado é enviado.

Como exercer: escreva para privacidade@vozeto.app.Respondemos em até 15 dias a contar do pedido.

Um limite honesto: para atender um pedido de acesso ou eliminação, precisamos ter certeza de que é você. A verificação é feita pelo e-mail da assinatura. E há dado que não conseguimos apagar mesmo querendo — o registro de uma cobrança precisa sobreviver ao prazo fiscal, e o dado de pagamento que está com o gateway de pagamento (Asaas ou AbacatePay) tem que ser pedido a ele.

Se achar que não resolvemos, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

• O banco de dados da assinatura fica em um schema próprio, isolado, com segurança em nível de linha ligada desde a primeira migração. Quem entra no painel só enxerga a própria linha; visitante anônimo não enxerga nada.
• O registro bruto dos avisos de pagamento não é visível nem para quem está logado — só para as funções internas.
• A chave que assina as licenças é privada, vive só no servidor e nunca entra no aplicativo. O aplicativo carrega apenas a chave pública, que serve para conferir e não para emitir.
• O segredo que identifica a sua máquina fica no seu computador. O que trafega é o hash.
• O áudio e o texto dos ditados trafegam só por conexão cifrada (HTTPS) e só com a sua sessão válida. Nenhuma função grava esse conteúdo, e os registros de funcionamento guardam apenas números.
• A chave de acesso aos modelos de IA vive só no servidor e nunca entra no aplicativo.
• Os avisos de pagamento são autenticados antes de serem aceitos, para ninguém conseguir declarar um pagamento que não aconteceu.

Nada disso é promessa de invulnerabilidade — nenhum sistema é. É a descrição do que está montado.

Quando o produto mudar o que faz com dado, esta página muda junto, e a data no topo muda com ela. Se a mudança ampliar o que é tratado — um dado novo, uma finalidade nova, um destino novo —, o aviso vai aparecer também dentro do aplicativo, não só aqui: o aceite é por versão, e uma versão nova pede o seu aceite de novo antes do próximo ditado.

Esta política descreve o comportamento do Vozeto verificado no código em 14 de setembro de 2026. O rastro de onde cada afirmação foi conferida está em docs/privacidade.md, no repositório do projeto.

Em 18 de setembro de 2026, a seção "Cookies, analytics e este site" passou a descrever a medição de cliques desta página de vendas. É uma mudança só no site, não no aplicativo: nenhum dado novo passou a sair da sua máquina, então a versão dos termos aceitos no Vozeto não mudou.

Em 24 de setembro de 2026, o aplicativo deixou de ser "zero telemetria" sem exceção e passou a oferecer, desligada por padrão, uma telemetria de uso opt-in (seção 3.5): quem aceita, no cartão de consentimento que aparece dentro do aplicativo, manda um sinal diário e sinais de presença, sem áudio, texto ou conteúdo nenhum do que dita. É esse cartão — não a versão dos Termos — o aceite desta mudança; ninguém é inscrito sem clicar em "Aceitar".

Ainda em 24 de setembro de 2026, entrou em operação a verificação de uso indevido citada na seção 3.5: conferência diária do pagamento no provedor e checagem de sinais de abuso, com apoio de IA sem retenção de dados e sem decisão automática sobre a conta.

Em 26 de setembro de 2026, entrou o Pixel da Meta, só depois de "Aceitar" no banner de cookies: a seção "Cookies, analytics e este site" passou a descrever os cookies _fbp/_fbc e os eventos enviados à Meta, e a tabela da seção 4 ganhou uma linha nova. É uma mudança só no site, não no aplicativo.

Última atualização: 26 de setembro de 2026