Sua árvore é sua.

O Familión guarda informações sobre pessoas vivas e falecidas — datas, lugares, fotografias, histórico médico. Tratamos esses dados com o mesmo cuidado com que a própria família os confiaria a um caderno. Aqui explicamos o que fazemos, o que não fazemos, e o que você pode nos pedir a qualquer momento.

Quais informações guardamos

• Sua conta: endereço de e-mail, nome que você escolhe mostrar, data do último login e o país de onde você se cadastrou (apenas o código do país).
• A árvore: pessoas, relações familiares, datas, lugares, profissões, estudos, histórico médico, notas e histórias que você ou seus familiares acrescentam.
• Fotos e documentos: os arquivos de mídia que você envia à árvore, junto com suas legendas e datas.
• Atividade básica: quais páginas carregam, quais ações são executadas — apenas o necessário para detectar erros e entender quais partes do produto funcionam.
• Seus aparelhos: se você ativar os avisos em um celular ou navegador, o necessário para enviá-los (explicamos em “Avisos no seu celular”).
• Logins: para a segurança da sua conta, nosso provedor de login guarda o endereço IP e o navegador de cada sessão aberta, até você sair da conta nesse aparelho, excluir a sua conta ou ela ficar 12 meses sem uso, e os registros técnicos de cada login por cerca de 7 dias.
• Verificação em duas etapas: se você a ativar em Conta, nosso provedor de login guarda a chave do seu app autenticador e, de cada verificação de código, quando foi feita e de qual endereço IP; nós guardamos, de cada código de recuperação, só uma impressão irreversível (nunca o código) e quando foi usado. Tudo isso é apagado quando você a desativa ou exclui a sua conta. Para limitar as tentativas, também guardamos por 30 dias quando um código falhou e de que tipo era. É opcional: nunca exigimos.

Quem vê o quê

Apenas os membros convidados à sua árvore podem ver seu conteúdo. Dentro da árvore existem dois níveis de acesso:

• Administradores veem e editam tudo e cuidam dos convites.
• Os demais membros editam apenas o próprio perfil e podem escrever histórias. Não podem mudar os perfis de outras pessoas.

Qualquer membro pode comprar créditos para a família.

O histórico médico é um dado sensível. Só aparece dentro da árvore, e todos os membros veem, inclusive quem entrar depois. Antes de adicioná-lo, quem escreve confirma que entende isso e, se for de outra pessoa viva, que tem a permissão dela. Quem pode editar a ficha pode apagá-lo quando quiser, e a própria pessoa pode nos pedir para retirá-lo em support@familion.app.

Seus direitos

Você é responsável pelos dados que adiciona à sua árvore (incluindo os de outros familiares que você convida). A qualquer momento você pode:

• Ver e editar sua conta e os dados associados.
• Excluir sua conta ou a árvore, se for administrador.
• Solicitar acesso a uma cópia completa dos dados que guardamos sobre você, conforme a LGPD (Brasil), o GDPR (UE) e o UK Data Protection Act 2018.

Cookies e rastreamento

Usamos cookies de sessão, os indispensáveis para manter você conectado. Se você chega por um anúncio nosso, adicionamos mais um, por 30 dias, que só lembra qual versão da página mostramos a você; ele não contém nenhum dado seu. Não usamos pixels de rastreamento. A única informação que compartilhamos com uma plataforma de publicidade é o evento de cadastro descrito na seção “Medição de anúncios”, e somente se você chegou por um anúncio nosso.

Medição de anúncios

Se você chegou ao Familión por um anúncio nosso no Facebook ou Instagram e cria uma conta, comunicamos isso à Meta de servidor para servidor para medir se nossos anúncios funcionam. Esse aviso inclui seu endereço de e-mail em forma criptografada (hash), seu endereço IP, seu navegador e a página pela qual você entrou. Não usamos pixels nem cookies de rastreamento para isso.

Nunca enviamos nada do conteúdo da sua árvore: nem nomes de familiares, nem fotos, nem histórias, nem datas. Apenas o fato de que uma conta foi criada.

Se você não chegou por um anúncio da Meta, não comunicamos nada sobre você à Meta. E se quiser que esse evento seja excluído, escreva para nós e solicitaremos a exclusão à Meta em seu nome.

Avisos no seu celular

Se você ativar os avisos em um celular ou navegador (em Configurações, ou depois de adicionar o Familión à sua tela de início), avisamos você sobre o que acontece na sua família: alguém que entra na árvore, uma história em que você é marcado ou um comentário, um aniversário, um cartão para assinar ou um jogo novo. Na primeira semana, também enviamos algumas ideias para completar a árvore. No máximo, enviamos um aviso por dia e dois por semana, e nenhum entre 21h e 9h no seu horário.

O que guardamos de cada aparelho. O endereço de avisos que o seu navegador nos dá e as chaves dele, o tipo de navegador e de aparelho (o “user agent”) e o fuso horário do aparelho, para não enviar nada à noite. Se não tivermos o fuso, usamos o fuso principal do país de onde você se cadastrou. Para os avisos, não usamos nem guardamos o seu número de telefone.

Por onde passam. Os avisos viajam criptografados pelo serviço de avisos do seu navegador (por exemplo, o do Google no Chrome ou o da Apple no Safari), que os entrega sem conseguir lê-los. Na tela do seu celular podem aparecer nomes da sua família.

Como parar de receber. Em Configurações, você escolhe quais avisos quer ou os desativa com “Desativar neste dispositivo”. Também pode bloqueá-los nas configurações do navegador ou do celular.

Quando apagamos. Apagamos os dados de um aparelho quando você desativa os avisos nele, quando o serviço de avisos nos informa que esse aparelho não existe mais ou quando você exclui a sua conta.

Medição. Na nossa ferramenta de medição, registramos se você adicionou o Familión à tela de início, se ativou os avisos, que tipo de aviso enviamos, se você o abriu e quais visitas começaram pelo ícone ou por um aviso. O endereço de avisos e as chaves dele nunca chegam à nossa ferramenta de medição.

Assistente de IA

O Familión tem um assistente opcional, o Assistente de IA, com dois modos: “Contar”, que faz perguntas a você para completar a sua ficha e a sua árvore e escrever histórias, e “Perguntar”, que responde a perguntas sobre a sua família. Na web você tem os dois; no app para iPhone, “Contar”. Ele também funciona pelo WhatsApp e pelo Telegram, mas só se você o ativar: você vincula a sua conta com um código de uso único em Configurações (ou um administrador conecta um grupo do Telegram com /connect). Pode desconectá-lo quando quiser em Configurações ou com /disconnect. Em um grupo do Telegram conectado, qualquer pessoa do grupo pode fazer perguntas a ele sobre a árvore, mesmo sem ser membro da árvore. O grupo também recebe o resumo diário com os aniversários da família e, sempre que alguém publica uma história na árvore, um aviso com o título e o primeiro nome de quem a publicou; o texto da história nunca é enviado ao grupo.

Quais dados o “Perguntar” usa. Só as árvores das quais você é membro, e apenas em modo de leitura: ele não pode alterar nem apagar nada. A cada pergunta consulta apenas o necessário para responder: nomes, datas, lugares, parentescos, profissões, estudos, residências, interesses e gostos, conquistas e prêmios, notas, histórias, causas de falecimento e pets, além de quem é membro da árvore (nome e papel) e alguns números da árvore. As notas de saúde só são consultadas se você perguntar expressamente sobre a saúde de alguém. Ele também recebe o seu primeiro nome (na web, o da sua ficha na árvore ou, se você não tiver, o da sua conta do Familión; pelo WhatsApp ou Telegram, como aparece no seu perfil desse app) e quem você é na árvore. Nunca recebe fotos, endereços de e-mail nem números de telefone, e nunca é enviada uma cópia da árvore.

Quem processa. Para redigir a resposta, a sua pergunta e esses dados são enviados à Anthropic PBC (Estados Unidos), fornecedora do modelo Claude, que atua como operadora de dados sob o seu acordo de tratamento de dados. A transferência para os Estados Unidos se baseia nas cláusulas contratuais-padrão da Comissão Europeia; a Anthropic também é certificada no EU-U.S. Data Privacy Framework. Pelos seus termos comerciais, a Anthropic não usa esses dados para treinar seus modelos e os exclui de seus sistemas em até 30 dias, exceto o conteúdo que os seus sistemas de segurança marquem como possível abuso ou o que uma obrigação legal a obrigue a guardar.

Contar. Com o “Contar”, o Familión faz perguntas a você — na web, no app para iPhone ou pelo WhatsApp e Telegram — sobre você, sobre a sua família ou sobre uma lembrança. O que você responde é enviado à Anthropic, nas mesmas condições, para ler a sua resposta ou redigir a história; se a pergunta for sobre um familiar, o nome dele também é enviado. Para escrever os nomes corretamente e saber de quem você fala numa história, também é enviada a lista de familiares da árvore (nomes e parentescos). Diferentemente do “Perguntar”, o “Contar” salva, e fora das perguntas para completar a sua árvore (abaixo) só salva o que você confirmar expressamente: na sua própria ficha e nas suas histórias e, se você administra a árvore, também nas fichas dos seus familiares nessa árvore e em histórias sobre eles. O que é salvo numa ficha ou numa história fica visível para os membros dessa árvore, como qualquer outro dado da árvore. Se você responde “Não sei” ou que alguém não tem esse dado, nada é salvo na árvore: só anotamos isso para não perguntar de novo logo em seguida. Enquanto uma história está pela metade, guardamos o que você contou para que possa continuá-la, até você salvá-la, descartá-la ou excluir a sua conta.

Ao completar a sua árvore. As perguntas para completar a sua árvore (por exemplo, como se chamam os seus pais ou quando nasceram os seus avós), ao criá-la ou depois pelo “Contar”, salvam a sua resposta assim que você responde, como se você a escrevesse no formulário. Se não entendemos uma resposta sobre uma pessoa (o nome dela e, se você disser, quando nasceu), enviamos só essa resposta à Anthropic, nas mesmas condições, para lê-la.

Os canais. Suas mensagens trafegam pelo WhatsApp (Meta) ou pelo Telegram como em qualquer conversa com uma empresa; a esse transporte se aplicam as políticas de privacidade deles. O que você faz na web ou no app para iPhone não passa por nenhum dos dois. Se você vincular o WhatsApp, guardamos o seu número de telefone (é o seu identificador no WhatsApp) e o nome do seu perfil, para reconhecer as suas mensagens, responder e, se você ativar, enviar o resumo diário com os aniversários da família; no Telegram, guardamos o seu identificador e o seu nome de usuário, não o seu número. Apagamos esses dados quando você desconecta o assistente ou exclui a sua conta.

Retenção. Para entender perguntas de acompanhamento pelo WhatsApp ou Telegram guardamos só as últimas 6 trocas de cada vínculo; após 30 minutos sem atividade elas deixam de ser usadas e a conversa seguinte as substitui. Ao desconectar, são apagadas junto com o vínculo. Na web, o “Perguntar” guarda as últimas 12 mensagens da sua conversa para que você possa vê-la e continuá-la; se você perguntar de novo após 30 minutos sem atividade, começa uma conversa nova e as anteriores são apagadas. Os resultados das consultas não são armazenados; nossos registros técnicos anotam apenas o tamanho de cada mensagem, nunca o conteúdo, e a nossa ferramenta de análise nunca recebe o que você escreve no Assistente nem as respostas dele. Se você começou a sua árvore conversando, também guardamos as respostas que deu ao começá-la. Tudo isso é excluído com a sua conta. Há duas exceções, que ficam guardadas até a árvore ser excluída: o histórico de um grupo do Telegram e as respostas “Não sei” ou “não tem” do “Contar”, que guardamos para não perguntá-las de novo a ninguém da árvore; se quem respondeu excluir a conta, elas ficam guardadas sem vínculo com essa pessoa.

Cartões de família

Com os cartões de família, um membro da árvore prepara um cartão para alguém da família ou para outra pessoa, como uma amizade ou alguém do trabalho (por exemplo, no aniversário), convida outras pessoas para assinar e nós o entregamos por e-mail no dia escolhido ou, se a pessoa preferir, damos a ela um link privado para enviar pelo WhatsApp; o cartão abre nesse dia. Enviar um cartão usa créditos da família; não pedimos nenhum dado de pagamento novo.

O que guardamos. O modelo, o texto da capa, a carta e as fotos escolhidas por quem faz o cartão, e as mensagens de quem assina. As fotos são cópias: reduzimos o tamanho (até 1600 pixels) e removemos todos os metadados, inclusive a localização. Elas ficam num armazenamento privado, separado do resto, e só aparecem para as pessoas daquele cartão, por links que expiram em 10 minutos.

O e-mail de quem recebe. Se o cartão vai por e-mail, quem faz o cartão digita o endereço ou, se quem recebe já tem conta no Familión, usamos o e-mail da conta, sem mostrá-lo a ninguém. Usamos esse e-mail só para entregar o envelope, enviar o código de uso único que o abre (o código vai só para esse endereço) e limitar quantos cartões esse endereço recebe em um dia. Para esse limite, guardamos por dois dias uma impressão irreversível do endereço (nunca o endereço em si). Se quem recebe um cartão escolher “Não quero receber cartões do Familión”, guardamos só uma impressão irreversível do endereço (nunca o endereço em si), apenas para não enviar mais cartões. Se quem faz o cartão escolher enviá-lo pelo WhatsApp, não pedimos o e-mail de quem o recebe: damos a quem o fez um link privado para enviar. Qualquer pessoa que tenha esse link pode abrir o cartão, por isso é melhor enviá-lo só para essa pessoa. Não pedimos nem guardamos nenhum número de telefone: quem fez o cartão escolhe a conversa. O link funciona enquanto o cartão existir e, antes do dia escolhido, mostra só o envelope fechado. Quem fez o cartão pode desativá-lo ou criar um novo quando quiser, e o anterior para de funcionar na hora. Nesse dia, lembramos a quem fez o cartão, por notificação ou por e-mail, de enviar o link.

Quem assina. As pessoas que assinam são convidadas pela árvore, por e-mail ou por um link para grupo que quem faz o cartão pode ativar. Usamos o e-mail delas para o convite, para um código de acesso e para os avisos daquele cartão (um lembrete antes de ele sair, se ainda não assinaram; um aviso se a mensagem não entrou no cartão; e a resposta de quem recebe). Se alguém não tem conta, criamos uma conta só para cartões, com o e-mail e o nome que a pessoa digitar; se ela não confirmar, apagamos a conta em 7 dias. Essa pessoa só vê o cartão para o qual foi convidada, nunca a árvore, e cada aviso tem um link para parar de recebê-los. Nunca enviamos outros e-mails para ela.

Quem vê o quê. Quem faz o cartão vê as mensagens antes do envio, para aprová-las. Quem recebe vê o cartão, as fotos e as mensagens aprovadas quando ele chega; se for por link, quem tiver esse link vê tudo isso a partir do dia escolhido. A resposta de quem recebe é vista por quem fez o cartão e por quem tem a mensagem nele. Se o cartão for por link, dá para responder sem ter conta. Os cartões nunca aparecem em páginas públicas nem de visita. Se alguém da família já está preparando um cartão para uma pessoa, os outros membros da árvore veem quem está preparando, para poderem assinar em vez de fazer outro, mas não o que ele contém. A pessoa que vai receber nunca vê isso. Se você compartilhar o link de um cartão em um app de mensagens, a prévia mostra só o envelope: o nome de quem recebe, quem prepara o cartão e quando ele chega; nunca o que ele contém.

Quem assina um cartão aparece junto à mensagem com a foto de perfil da árvore, ou com a inicial se não tiver foto ou se preferir. Guardamos uma cópia dessa foto com o cartão; só quem vê o interior do cartão a vê, e ela é apagada se o cartão ou a mensagem dessa pessoa for apagado.

Mensagens de voz e vídeo. Se quem faz o cartão permitir, quem assina pode gravar uma mensagem de voz ou de vídeo, ou enviá-la do celular. Guardamos no mesmo armazenamento privado das fotos dos cartões, e ela só toca dentro do cartão, por links que expiram em poucos minutos. Nunca tem link público, nunca aparece em e-mails, avisos ou prévias, e não tem botão de download. Não transcrevemos nem analisamos, e nunca usamos para publicidade, para treinar modelos de inteligência artificial nem para o Assistente IA.

Quem pode tocar. Só quem faz o cartão, para aprovar, e quem o recebe (se for por link, quem tiver esse link). As outras pessoas que assinam veem que há uma mensagem de voz ou de vídeo, mas não podem tocá-la. Nos cartões em memória de alguém é diferente: quem tem a própria lembrança aprovada no cartão pode ouvir e ver as lembranças de voz e vídeo aprovadas dos outros. A resposta de quem recebe o cartão, também se for de voz ou de vídeo, pode ser ouvida ou vista por quem fez o cartão e por quem tem a mensagem nele.

Aprovação. Nenhuma mensagem entra no cartão sem a aprovação de quem o faz. Se não aprovar, pode deixar uma nota com o motivo; quem gravou vê a nota e pode assinar de novo. O áudio ou o vídeo de uma mensagem não aprovada é apagado na hora. Se, na entrega do cartão, uma mensagem ainda estiver sem aprovação, ela não entra e é apagada.

Mudar ou remover. Quem assina pode gravar de novo ou remover a mensagem até o cartão ser entregue; depois, ela fica no cartão. Quem recebe pode denunciar qualquer mensagem de voz ou de vídeo, e apagar o cartão inteiro quando quiser. Se o cartão for por link, quem tiver o link pode denunciar uma mensagem, mas não apagar o cartão: isso só quem o fez pode. Se você excluir sua conta, suas mensagens de voz e vídeo somem de todos os cartões, assim como as escritas. Se precisar retirar uma mensagem depois da entrega, escreva para support@familion.app.

A voz da família, guardada. Se quem assina tem a sua ficha na árvore, pode escolher que uma cópia da sua mensagem de voz fique também na ficha. Só essa pessoa decide, ao assinar. A cópia pode ser ouvida pelos membros da árvore, inclusive quem entrar depois, como o resto da ficha, e pode ser removida quando ela quiser. Quem administra a árvore também pode removê-la (nunca alterá-la), e, se a pessoa estiver viva, nós a avisamos. Qualquer membro pode denunciá-la, como uma mensagem no cartão. Só se guarda a voz de quem assina: uma mensagem em que fala um menor não pode ser guardada na ficha. A cópia é independente do cartão: se o cartão for apagado, ela continua na ficha, e vice-versa.

Quem responde por cada mensagem. Quem faz o cartão ouve ou vê cada mensagem antes de aprovar e é responsável pelo que aprova, inclusive vozes e imagens de outras pessoas e de menores. Quem grava uma mensagem se compromete a ter a permissão de quem aparece ou se ouve nela e, se forem menores, da mãe, do pai ou de quem tenha a sua guarda.

Se algo não deveria estar ali. Quem recebe o cartão (ou, se for por link, quem tiver esse link) e quem o criou podem denunciar qualquer mensagem pelo próprio cartão; ela fica oculta para todos enquanto analisamos, e qualquer pessoa pode escrever para support@familion.app. Analisamos cada aviso e retiramos a mensagem se ela descumprir nossos Termos (6. Uso aceitável) ou a lei; nesse caso, apagamos o áudio ou o vídeo e guardamos só o registro do aviso.

Como se apagam. Quem faz o cartão pode excluí-lo até ele ser aberto pela primeira vez (os créditos voltam para a família); depois disso, só quem recebeu pode excluí-lo. Se a árvore for excluída, os cartões ainda não abertos são apagados; os que já foram abertos continuam com quem os recebeu. Se você excluir sua conta, suas mensagens saem de todos os cartões, e os cartões que você recebeu e os que estavam sem enviar, agendados ou não entregues são apagados. Um cartão já entregue e ainda não aberto continua podendo ser aberto, com a carta de quem o fez, mesmo que essa pessoa tenha excluído a conta. Os cartões enviados por link são diferentes: continuam sempre sendo de quem os fez, que pode excluí-los a qualquer momento, antes ou depois de serem abertos (os créditos só voltam se forem excluídos antes do dia escolhido). Eles são apagados com a conta de quem os fez ou com a árvore, mesmo que já tenham sido abertos, e então o link para de funcionar.

Análise de uso. Dos cartões, registramos só contagens e tipos de ação (por exemplo, que um cartão foi enviado), nunca nomes, textos, e-mails ou links.

Se o cartão for em memória de alguém da árvore que faleceu, a capa traz a foto da árvore (ou outra que quem faz o cartão escolher), o nome e o sobrenome e, se constarem, os anos de nascimento e falecimento. Quem faz o cartão pode trocar ou tirar a foto e tirar os anos antes de enviar. Tudo isso é visto por quem recebe e por quem assina.

Jogos de família

Com os jogos de família, um membro da árvore prepara um jogo de perguntas sobre a família (para um aniversário, o Natal, o Dia de Reis ou sem ocasião) e compartilha um link. Cada pessoa joga no celular, ou quem preparou apresenta numa tela (“Modo sala”) com os membros que estão na sala. Um jogo usa créditos da família; não pedimos nenhum dado de pagamento novo.

De onde vêm as perguntas. Quase todas vêm da árvore e são escritas pelo nosso próprio código, sem inteligência artificial: parentescos, a década em que alguém nasceu, onde nasceu (como aparece no perfil), profissões e apelidos de pessoas que já faleceram. Nessas perguntas só usamos o primeiro nome, nunca sobrenomes. Nunca usamos dados de contato, endereços, casamentos nem separações. Nenhuma pergunta é sobre menores de idade (se não sabemos a idade de alguém da geração mais nova, contamos essa pessoa como menor); menores só podem aparecer como resposta, pelo primeiro nome. Também não perguntamos sobre quem faleceu recentemente nem usamos um primeiro nome que duas pessoas compartilham.

Histórias da família. Quem prepara o jogo pode escolher até 4 pessoas adultas da árvore. Uma vez por jogo, enviamos à Anthropic PBC (Estados Unidos), fornecedora do modelo Claude, nas mesmas condições do Assistente de IA, um resumo breve e filtrado do que a árvore tem sobre essas pessoas: o primeiro nome, a década em que nasceram (o ano, se já faleceram), o país onde nasceram ou moraram, e a cidade quando a reconhecemos (de uma pessoa viva, só o país onde mora hoje), as profissões sem o local de trabalho, a área dos estudos, os hobbies e gostos, as conquistas e prêmios, o apelido se já faleceram, e até 3 das histórias em que aparecem. Dos perfis, nunca enviamos dados de saúde nem causas de morte, adoções nem vínculos de criação, casamentos nem separações, endereços, locais de trabalho nem anotações; também não enviamos conversas privadas com o Assistente, cartões nem dados das pessoas que não foram escolhidas. As histórias vão como foram escritas, mas sem os sobrenomes nem os nomes de outras pessoas da árvore, e tiramos as frases que falam de saúde, mortes, separações, dinheiro, questões legais, religião ou política. Se ainda assim mencionarem outros assuntos, o modelo tem instrução de não usá-los, e nosso código descarta qualquer pergunta que toque neles, que cite outra pessoa ou cuja resposta não esteja na árvore.

As perguntas usam só o primeiro nome, e quem receber o jogo vê todas elas, inclusive quem não é da árvore. Por isso, quem prepara o jogo revisa cada pergunta antes de compartilhar, vê de onde ela saiu (“Do perfil de Ana”, “Da história ‘A viagem a Lima’, de Marta”) e pode mudá-la ou tirá-la. As perguntas existem só dentro do jogo: não são salvas em nenhum perfil e são apagadas com o jogo.

Palavras cruzadas e caça-palavras. Nas palavras cruzadas, algumas palavras vêm da árvore: primeiros nomes, sobrenomes, apelidos (só se quem prepara as palavras cruzadas os incluir), a cidade ou o país onde alguém nasceu, mora ou trabalha, ou onde morou ou trabalhou (só se coincidirem com a nossa lista de cidades e países), e nomes de bichos de estimação vivos. As dicas são escritas pelo nosso próprio código, sem inteligência artificial, e podem mencionar o ano em que nasceu alguém que já faleceu ou a década em que nasceu uma pessoa viva. Nunca usamos palavras sobre menores de idade, sobre quem está fazendo aniversário nem sobre alguém que faleceu há pouco tempo. Palavras cruzadas com palavras da árvore só podem ser jogadas pelos membros; quem não é da árvore pode pedir para entrar pelo link, e quem a administra vê o nome e o e-mail dessa pessoa e decide. Se alguém denuncia uma palavra, ela não aparece mais nas palavras cruzadas dessa árvore: guardamos essa palavra enquanto a árvore existir. Os caça-palavras usam as mesmas palavras da árvore, as mesmas dicas e as mesmas regras das palavras cruzadas; uma palavra denunciada deixa de aparecer nos dois.

Quem joga. Os membros da árvore jogam com a própria conta. Qualquer outra pessoa que abrir o link só vê o convite para o desafio (nenhuma pergunta, nome ou resultado) até confirmar o e-mail: ela digita um nome e o e-mail, e enviamos um código de uso único só para esse endereço. Com isso criamos uma conta só para jogos, como as dos cartões: ela vê só aquele jogo, nunca a árvore; se não for confirmada, apagamos em 7 dias, e nunca enviamos outros e-mails. Para limitar as tentativas de código, guardamos o e-mail e o endereço IP só como um resumo criptográfico (hash), nunca como são. Se alguém que jogou pedir para entrar na árvore, quem administra a árvore vê o nome e o e-mail dessa pessoa e o jogo em que ela jogou, e decide se aceita o pedido.

Quem vê o quê. Quem prepara o jogo revisa todas as perguntas antes de compartilhar e pode mudar ou tirar qualquer uma. Quem joga vê as perguntas e, depois de responder, a resposta certa e quantas pessoas escolheram cada opção, nunca quem escolheu o quê. A partir de 3 participantes, todos veem o pódio, com os nomes como foram digitados na entrada; quem preparou o jogo não compete. A prévia do link (o que o WhatsApp e outros aplicativos mostram sem login) mostra só o convite para o desafio: nenhuma pergunta, sobrenome ou rosto. No “Modo sala”, a tela mostra cada pergunta, a resposta e os pontos de quem joga na sala.

Os campeões. Dos membros da árvore, guardamos as posições no pódio de cada jogo (a posição, a ocasião e a data, se foi dividida e quando foi conquistada) e os pontos, inclusive depois que o jogo é apagado. Só os membros da árvore veem: na página de campeões, num aviso no Início por 14 dias e como um título no perfil de quem venceu. Nunca registramos ali pessoas de fora da árvore; se alguém entrar na árvore enquanto o jogo ainda estiver disponível, a posição passa a contar a partir daí. Quem sai da árvore mantém as posições, mas deixa de ver os campeões. O ranking da família, que só os membros da árvore veem, mostra cada membro com o nome e os sobrenomes da ficha (ou “Familiar N” se não tiver ficha) e os pontos que somou em todos os jogos da família, inclusive nos que já foram apagados. Quem sai da árvore mantém seus pontos, mas não aparece no ranking nem o vê até voltar. Se você joga sem ser da árvore, não aparece no ranking. Na sua conta guardamos só os seus pontos nessa árvore, quantas partidas você jogou lá e a data da última (nunca seu nome nem suas respostas), inclusive depois que o jogo é apagado. Se você entrar na árvore com essa conta, esses pontos vão para o ranking; se não, são apagados 12 meses depois da sua última partida lá ou quando você exclui sua conta.

Por quanto tempo guardamos. Um jogo compartilhado é apagado 90 dias depois da última vez que alguém jogou; um que nunca foi compartilhado, 90 dias depois da última alteração. Quem preparou um jogo pode excluí-lo antes: o mesmo é apagado, e o link deixa de funcionar. Com ele são apagados as perguntas, os nomes de quem jogou, as respostas e o registro de códigos. Ficam só as posições nos campeões e os pontos de quem jogou. Se um parente é excluído da árvore, as perguntas sobre essa pessoa são apagadas de todos os jogos. Se você excluir sua conta, são apagados os jogos que você preparou, suas partidas e respostas em outros jogos, e suas posições, seus pontos e seus títulos nos campeões. Se a árvore for excluída, são apagados seus jogos, seus campeões e todos os pontos ganhos nela.

Análise de uso. Dos jogos, registramos só contagens e tipos de ação (por exemplo, que um jogo foi concluído), nunca nomes, perguntas, respostas, e-mails, códigos ou links.

Curiosíssimo. Se você usar “Ligar”, abrimos o WhatsApp com uma mensagem pronta. Quem envia é você, se quiser: nós não mandamos nada. A mensagem leva só a pergunta e as opções, sem a resposta, sem nomes da família e sem links, e o WhatsApp a trata segundo as próprias regras. Se você avisar de um erro numa pergunta, guardamos qual era no nosso banco de perguntas (não como apareceu com os nomes da sua família), o motivo, o que você escrever e de qual árvore veio. Usamos isso só para corrigir o banco. Com “Não é para a nossa família”, essa pergunta deixa de aparecer na sua árvore.

Pôster da árvore

Se você pedir um pôster da sua árvore, nós o geramos automaticamente a partir do título que você colocar e dos nomes, dos parentescos, das fotos de perfil e dos anos que você escolher mostrar das pessoas da árvore. Entregamos no app, para você baixar. Esses dados só são usados para o seu pôster, e a cópia com que o preparamos é apagada no máximo 7 dias depois da entrega.

Pagamentos

Os créditos da família são pagos pelo Stripe, nosso provedor de pagamentos. Os dados do seu cartão ou do seu banco você digita na página do Stripe: nós nunca os vemos nem os guardamos. Passamos ao Stripe o e-mail da sua conta para o recibo e só guardamos, junto à sua conta, a confirmação do pagamento, o pacote, o valor e a moeda. No Brasil, os pagamentos com Pix são processados pela EBANX, parceira do Stripe: ela aparece como recebedora no app do seu banco e envia o próprio recibo por e-mail. Se alguém contratar o plano Família+, guardamos quem paga o plano, a situação dele, as datas de cobrança e o idioma e o fuso horário dessa pessoa, que usamos nos e-mails dela: os avisos antes de cada cobrança e os recibos. Os membros da árvore veem o nome de quem paga (por exemplo, “Ana paga o plano Família+ para a família”). No Brasil, a cobrança mensal com Pix Automático é autorizada no app do banco de quem paga, que também pode cancelá-la ali. Nos pagamentos, o país da sua conexão escolhe a moeda em que você vê e paga os pacotes; com cada compra guardamos esse país, porque dele depende o seu prazo para desistir, e, na União Europeia, no Espaço Econômico Europeu e no Reino Unido, quando você pediu para receber os créditos na hora. Se você desistir on-line, guardamos quando pediu; o nome e o e-mail que você escrever só são usados para enviar o aviso de recebimento.

Menores de idade

Para ter uma conta no Familión é preciso ter pelo menos 16 anos. Menores podem aparecer na árvore, nas fotos, nas mensagens dos cartões e nos pôsteres da árvore, sempre por meio de uma pessoa adulta: quem os adiciona, fotografa ou grava confirma que é a mãe, o pai ou quem tem a sua guarda, ou que tem a permissão dessa pessoa. Não criamos contas para menores, nem contas só para cartões. Se você é responsável por um menor e quer que retiremos os dados, as fotos ou uma mensagem em que ele aparece, escreva para support@familion.app e faremos isso.

Quem trata dados em nosso nome

Para o Familión funcionar, alguns provedores tratam dados em nosso nome e seguindo nossas instruções: hospedagem e servidores, banco de dados e login, armazenamento de arquivos e cópias de segurança, envio de e-mails, medição de uso e o modelo de IA do Assistente e dos jogos. Eles não vendem seus dados. A Stripe, que processa os pagamentos, também usa alguns dados por conta própria, por exemplo para prevenir fraudes e cumprir a lei.

O banco de dados fica na União Europeia. Alguns desses provedores tratam dados fora do Reino Unido e do Espaço Econômico Europeu, por exemplo nos Estados Unidos. Essas transferências se baseiam no Marco de Privacidade de Dados UE-EUA, quando o provedor é certificado, ou nas cláusulas contratuais padrão da Comissão Europeia e nos seus equivalentes do Reino Unido.

Se você pedir em support@familion.app, dizemos quais são esses provedores e enviamos uma cópia dessas garantias.

Retenção

Mantemos os dados enquanto sua conta estiver ativa. Se você deixar de fazer login por mais de 12 meses, avisaremos por e-mail antes de excluir o conteúdo.

Fazemos cópias de segurança do banco de dados e das fotos, vídeos, documentos e gravações, só para poder recuperá-los se algo falhar ou for apagado por engano. Ninguém as consulta nem as usa para outra coisa, e elas ficam com os mesmos provedores dos dados originais: nosso provedor de banco de dados, na União Europeia, e nosso provedor de armazenamento de arquivos. O que você apaga também desaparece das cópias em no máximo 7 dias.

Também guardamos uma impressão irreversível do e-mail de cada conta (nunca o e-mail em si), inclusive depois que a conta é excluída. Ela serve só para detectar abusos dos créditos com que cada árvore começa, como criar contas várias vezes.

Contato

Para qualquer pedido relacionado aos seus dados, escreva para support@familion.app. Respondemos em até 30 dias corridos.