Política de Privacidade

01A versão curta

• Seu conteúdo vive na sua máquina, num banco de dados local dentro da sua pasta de usuário.
• As chaves de criptografia nunca saem do seu dispositivo. Elas são geradas localmente e guardadas no keychain do seu sistema operacional. Não temos cópia nem custódia.
• A sincronia em nuvem é opcional. Com ela desligada, nenhum conteúdo seu chega aos nossos servidores. Com ela ligada, os servidores recebem ciphertext AES-256-GCM que não conseguem decifrar.
• As conexões com terceiros são adicionadas por você, uma de cada vez, com a menor permissão que faz o recurso funcionar — e podem ser revogadas no Settings.
• Não vendemos seus dados, não mostramos anúncios e não montamos perfis publicitários. Não existe esse negócio aqui para financiar.
• Os recursos de IA são opt-in. Nada é enviado a um provedor de IA a menos que você acione um recurso que diz que vai enviar.

Este resumo existe para ser lido, não para substituir as seções abaixo. Onde os dois divergirem, valem as seções detalhadas.

02Quem é o responsável

O Mussi Pulse (o app, identificador tech.mussi.pulse) e este site (pulse.mussi.tech) são operados por Marcelo Mussi, desenvolvedor independente que atua como mussi.tech, no Brasil. Para a LGPD, esse é o controlador; para o GDPR, o data controller.

Para qualquer dúvida, pedido ou reclamação de privacidade, escreva para mussicorp@gmail.com. Não há fila de suporte entre você e quem escreveu o código.

03O que o app guarda no seu dispositivo

Tudo o que você coloca no Mussi Pulse — notas, eventos, mensagens, e-mails, registros financeiros, apontamentos de horas, dados de repositórios e configurações — é escrito num banco SQLite local dentro da sua pasta pessoal, junto com anexos e índices de busca calculados localmente.

Segredos são tratados à parte e com mais rigor. Tokens de acesso, app passwords, chaves de API, o hash do seu PIN e a chave-mestra de criptografia ficam no keychain do sistema operacional (Keychain no macOS, Credential Manager no Windows, Secret Service no Linux), sob o serviço tech.mussi.pulse — nunca em arquivos abertos, nunca no armazenamento local do navegador.

Nada disso é transmitido a lugar algum por padrão. Um Mussi Pulse instalado e sem conexões é um aplicativo completo e inteiramente offline.

04O que nós recebemos

Existem apenas dois caminhos pelos quais algum dado chega a uma infraestrutura operada por nós, e ambos são visíveis para você:

Se você nunca ligar a sincronia em nuvem, não recebemos absolutamente nada do app — nem estatísticas de uso, nem relatórios de erro, nem um sinal de vida.

05Dados do Google e Uso Limitado

Se você optar por conectar uma conta Google, o app pede acesso pela tela de consentimento OAuth 2.0 do Google. Você vê os escopos exatos antes de conceder qualquer coisa, e nenhum dado do Google é tocado antes da sua aprovação.

Declaração de Uso Limitado. O uso e a transferência, pelo Mussi Pulse, de informações recebidas das APIs do Google para qualquer outro aplicativo seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

Na prática, tudo o que segue é verdade sobre os seus dados do Google neste app:

• São usados apenas para fornecer e melhorar os recursos de calendário visíveis no app — nunca para publicidade, personalização de anúncios, avaliação de crédito, empréstimos ou qualquer finalidade não relacionada.
• Ficam armazenados no seu próprio dispositivo, no mesmo banco local cifrado do restante do seu conteúdo. Os tokens ficam no keychain do sistema.
• Nunca são vendidos, alugados ou transferidos a corretores de dados, revendedores de informação ou qualquer terceiro — salvo o estritamente necessário para cumprir ordem legal válida ou por instrução explícita sua.
• Não são lidos por pessoas. Nenhum funcionário, prestador ou desenvolvedor — incluindo o autor do app — lê seus dados do Google. As exceções estreitas permitidas pela política do Google seriam: seu consentimento explícito para um caso específico de suporte, o estritamente necessário por segurança (como investigar abuso) ou o cumprimento da lei aplicável.
• Não são usados para treinar modelos generalizados de IA ou aprendizado de máquina. Se você acionar deliberadamente um recurso de IA sobre um evento específico, apenas aquele conteúdo é enviado, naquela requisição, conforme a seção de IA abaixo.
• Não chegam aos nossos servidores em forma legível. Com a sincronia ligada, dados de agenda trafegam e repousam como ciphertext que não conseguimos decifrar.

Revogando o acesso. Desconecte a conta no Settings do app — o que apaga os tokens guardados e a cópia sincronizada do seu dispositivo — e, para reforçar, remova o app em myaccount.google.com/permissions. A revogação vale imediatamente; nenhuma chamada nova às APIs do Google é possível sem um novo consentimento seu.

06Outros serviços que você pode conectar

Toda integração abaixo é opcional, adicionada por você e guardada do mesmo jeito: credenciais no keychain do sistema, dados obtidos no banco local cifrado.

Os dados que você traz desses serviços são regidos pelas políticas de privacidade deles enquanto estão lá, e por esta aqui assim que chegam ao seu dispositivo.

07Recursos de IA e o que eles enviam

O Mussi Pulse pode trabalhar com o Claude, da Anthropic, para resumir, rascunhar e explicar. Isso é opt-in e desligado por padrão: o app é plenamente utilizável sem nenhuma conta de IA conectada, e os recursos que usariam IA ficam ocultos ou desabilitados em vez de degradados em silêncio.

Quando você aciona um recurso de IA, só o conteúdo de que aquele recurso precisa — por exemplo, o diff da pull request sobre a qual você perguntou, ou o texto do evento que pediu para interpretar — é enviado à Anthropic naquela única requisição, sob a conta que você conectou. Nada é transmitido continuamente e nada é enviado em segundo plano.

A Anthropic processa essa requisição sob os próprios termos e política de privacidade, como provedora independente com quem você tem relação direta. Conteúdo enviado por acesso comercial à API não é usado para treinar os modelos dela. As chamadas de IA do app rodam sem acesso a ferramentas — o assistente não executa comandos, não lê arquivos arbitrários e não alcança suas contas por conta própria.

Resposta de IA é sugestão, não fato. Revise o que ela produzir antes de agir, sobretudo onde há dinheiro, obrigações legais ou outras pessoas envolvidas.

08Com que base tratamos esses dados

Sob a LGPD, as bases legais são: execução de contrato (art. 7º, V — o tratamento necessário para entregar o app que você pediu, incluindo o roteamento dos seus blocos cifrados), consentimento (art. 7º, I — cada integração conectada e cada recurso de IA acionado, revogável a qualquer momento ao desconectar) e legítimo interesse (art. 7º, IX — manter o serviço seguro e disponível, sem se sobrepor aos seus direitos).

Onde o GDPR se aplica, as bases correspondentes são performance of a contract, consent e legitimate interests.

09Quem mais está envolvido

Não vendemos, alugamos nem trocamos dados pessoais. Um punhado de fornecedores trata dados estritamente sob nossas instruções para manter o serviço de pé:

• Hospedagem do site — serve o pulse.mussi.tech e mantém logs de requisição padrão.
• Infraestrutura do Pulse Cloud — armazena blocos cifrados e os metadados de roteamento descritos acima. O provedor consegue ler seu conteúdo tanto quanto nós: nada.
• Anthropic — apenas para requisições que você aciona explicitamente, e apenas o conteúdo delas.
• Os serviços que você mesmo conecta — Google, GitHub, seu provedor de e-mail e assim por diante, cada um sob a própria política.

Também podemos divulgar dados quando legalmente obrigados. Como o conteúdo é cifrado ponta a ponta, o que poderia ser entregue em resposta a uma ordem dessas é ciphertext e metadados de conta — não o seu conteúdo legível.

10Por quanto tempo as coisas ficam

• Dados locais ficam até você apagar. Desinstalar removendo o banco local não deixa nada para trás além das entradas do keychain, que você também pode apagar.
• Blocos cifrados de sincronia ficam enquanto a conta estiver ativa e são apagados em até 30 dias depois de você apagar a conta ou o objeto, considerando o giro de backups.
• Logs do site são mantidos por um período curto, por segurança, tipicamente não mais que 90 dias.
• Credenciais revogadas são apagadas do keychain no instante em que você desconecta a integração.

11Como isso é protegido

• AES-256-GCM com autenticação para o conteúdo que sai do dispositivo, com a chave apenas no keychain do seu sistema.
• TLS em toda chamada de rede que o app faz.
• Trava por PIN de 6 dígitos com bloqueio automático configurável e um atalho de bloqueio imediato, para que uma máquina desacompanhada não seja um app aberto.
• Um código de recuperação único, mostrado uma só vez ao definir o PIN, cuja guarda é responsabilidade sua.
• Sem custódia de chave. Como nunca temos a sua chave, perder todos os dispositivos confiáveis junto com o código de recuperação significa que os dados cifrados não podem ser recuperados por ninguém, nem por nós. É o custo deliberado da garantia.

Nenhum sistema é perfeitamente seguro. Se você acredita ter encontrado uma vulnerabilidade, avise em mussicorp@gmail.com antes de divulgar publicamente.

12Seus direitos, e como exercê-los

Pela LGPD, pelo GDPR e por leis equivalentes, você pode pedir acesso aos seus dados, correção, exclusão, portabilidade, limitação do tratamento, oposição ao tratamento e revogação do consentimento. A maior parte disso você exerce sozinho, na hora, sem pedir a ninguém:

• Acesso e portabilidade — exporte seus dados do app em formatos abertos, quando quiser.
• Exclusão — apague registros no app, desconecte integrações no Settings ou remova o banco local inteiro.
• Revogação do consentimento — desconectar uma integração encerra todo tratamento ligado a ela e apaga as credenciais guardadas.

Para o que você não conseguir fazer sozinho, escreva para mussicorp@gmail.com. Respondemos em até 30 dias. Você também tem o direito de reclamar à autoridade competente — a ANPD no Brasil, ou a autoridade nacional de proteção de dados na UE/Reino Unido.

13Transferências internacionais

O operador está no Brasil e a infraestrutura pode estar no Brasil, na União Europeia ou nos Estados Unidos. Quando dados pessoais são transferidos para fora da sua região, eles são protegidos pela criptografia descrita acima — no caso do conteúdo sincronizado, a infraestrutura receptora só tem ciphertext — e por salvaguardas contratuais com nossos fornecedores, incluindo Cláusulas Contratuais Padrão quando aplicáveis.

14Crianças e adolescentes

O Mussi Pulse é uma ferramenta profissional destinada a adultos. Não é dirigido a crianças, e não coletamos conscientemente dados de menores de 18 anos. Se você acredita que um menor forneceu dados pessoais, escreva para nós e eles serão apagados.

15Mudanças nesta política

Se esta política mudar de forma relevante — novas categorias de dados, nova finalidade, novo destinatário — a data no topo da página é atualizada e quem tem contas conectadas é avisado no app antes de a mudança valer. Continuar usando o app depois disso significa que a política atualizada se aplica.