Transparência
Política de Privacidade
Vale para useverite.com.br e todos os produtos Vérité (Vérité Pix, Link, Perfil, Boleto, Mensagem e o plano Completo). Versão de 20/10/2026.
A Vérité é um produto Codraise by fran.codes. Esta política explica, em linguagem simples, quais dados pessoais tratamos, para quê, por quanto tempo e como você exerce seus direitos pela Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD).
1. Quem é a controladora
fran.codes, responsável pela Vérité. Encarregada de dados (DPO): privacidade@useverite.com.br.
2. O princípio: o comprovante não sai do seu aparelho
A leitura do comprovante (OCR), a perícia da imagem, a leitura de PDF e de QR codes rodam no seu navegador. A imagem ou o PDF do comprovante não são enviados aos nossos servidores. Guardamos apenas o resultado, descrito abaixo.
3. Quais dados tratamos
| Dado | Para quê | Base legal (LGPD art. 7º) | Por quanto tempo |
|---|---|---|---|
| E-mail (conta) | Entrar com link mágico, avisos da conta e da assinatura | Execução de contrato (V) | Enquanto a conta existir |
| Assinatura: plano, status, validade, e-mail da compra e IDs do contrato/fatura na Eduzz | Liberar ou bloquear o acesso pago | Execução de contrato (V); obrigações legais/fiscais (II) | Enquanto a conta existir; registros fiscais pelo prazo legal |
| Contador de verificações do mês | Aplicar o limite do plano grátis | Execução de contrato (V) | 13 meses |
| Histórico de verificações (logada): data, veredito, índice de risco, valor, origem (imagem/PDF), nome do pagador, CPF/CNPJ do pagador mascarado (ex.: ***.444.555-**), impressões digitais SHA-256/dHash do arquivo e hashes do ID da transação e da chave Pix | Mostrar o histórico da sua equipe e alertar quando um arquivo, CPF/CNPJ ou chave Pix já apareceu em comprovante suspeito | Legítimo interesse de prevenção à fraude (IX) e execução de contrato (V); dados de terceiros (pagadores) minimizados e mascarados | 180 dias, apagado automaticamente |
| Dados da sua loja (“Minha loja”): nome/razão social, CPF/CNPJ, chaves Pix, banco | Conferir se o recebedor do comprovante é você | Execução de contrato (V) | Por padrão, só no seu aparelho (armazenamento do navegador). Se você marcar “compartilhar com a equipe”, fica na nuvem até você apagar ou apagar a conta |
| Conexão Mercado Pago: tokens de acesso cifrados (AES-256-GCM), ID da conta MP | Verificação “Esse Pix existe?”: buscar, só para leitura, o pagamento na sua conta | Consentimento (I), revogável a qualquer momento | Até você desconectar (apagamos na hora) |
| Checagens do Vérité Link, Perfil, Boleto e Mensagem: o que você colou é processado na hora; guardamos só data, ferramenta, veredito, índice de risco, número de sinais, um rótulo curto (o site, o @ ou CNPJ, o banco e o valor do boleto, ou os primeiros 40 caracteres da mensagem com números longos mascarados) e uma impressão digital SHA-256 | Mostrar o histórico da equipe e avisar quando a mesma coisa aparece de novo | Execução de contrato (V) | 180 dias (contador mensal: 13 meses) |
| Ferramentas gratuitas “O que vazou de mim?”, “QR Code na rua” e “Ferramentas”: o e-mail digitado na busca por vazamentos, o site ou CNPJ consultado | Enviar o código de confirmação e consultar a base de vazamentos; consultar dados públicos de sites e empresas | Legítimo interesse (IX) e atendimento ao seu pedido | O e-mail não é guardado: durante a busca existe só uma impressão digital (hash) do e-mail e do código, válida por 10 minutos. Os limites de uso guardam só hashes, por até 1 dia |
| Equipe: e-mails convidados, papéis | Compartilhar o acesso com até 3 pessoas | Execução de contrato (V) | Convites não aceitos: até 30 dias após expirar |
| Dados técnicos: IP e ID da conta em forma de hash para limitar abusos; registros de webhook | Segurança e prevenção de abuso | Legítimo interesse (IX) | Limites: até 1 dia; eventos de webhook: 90 dias |
Nossos registros (logs) técnicos não guardam e-mail, CPF, nomes, tokens ou conteúdo de comprovantes.
4. Dados no seu aparelho
Ficam no seu navegador: a sessão de login, o histórico local de comprovantes (impressões digitais, para avisar “esse comprovante já foi usado”) e os dados de “Minha loja”. Você apaga tudo em “Limpar histórico deste aparelho”, “Apagar minha conta” ou limpando os dados do site no navegador. Usamos só cookies estritamente necessários (liberação do verificador por 30 minutos e proteção do login com o Mercado Pago). Não usamos cookies de publicidade nem rastreadores de terceiros.
4-A. Ferramentas gratuitas de autoproteção
Estas ferramentas mostram sinais de risco a partir de fontes públicas. Nenhuma delas garante que você está protegida, e um resultado “limpo” não significa ausência de risco.
- Senha vazada? — a conferência usa o método de anonimato k-anonymity do serviço Pwned Passwords: o seu aparelho calcula um resumo (hash) da senha e envia só os 5 primeiros caracteres desse resumo. A senha nunca sai do seu aparelho e não é enviada à Vérité.
- Meu e-mail vazou? — o e-mail é usado só para enviar um código de confirmação (pelo provedor de e-mail Brevo) e, depois de confirmado, para consultar a base pública de vazamentos LeakCheck. O e-mail não é armazenado pela Vérité. A base reúne vazamentos que já se tornaram públicos; ela não cobre todos os vazamentos existentes.
- QR Code na rua e foto — a leitura do QR Code e da imagem acontece no seu aparelho; a imagem não é enviada à Vérité. Na busca de foto por endereço, os links abrem diretamente o buscador que você escolher.
- Site e CNPJ — consultas de idade de domínio, sites parecidos e CNPJ usam fontes públicas: registro de domínios (RDAP), DNS público e BrasilAPI. Enviamos só o domínio ou o CNPJ consultado.
- Monitoramento de vazamentos (Vérité Completo) — só com o seu consentimento (LGPD, art. 7º, I). Guardamos o e-mail verificado da sua conta e, uma vez por semana, consultamos esse e-mail na base pública de vazamentos da LeakCheck. Guardamos apenas o nome e o mês dos vazamentos já avisados (nunca os dados vazados) e a data da última conferência, para avisar só o que for novo. O aviso é enviado pela Brevo, nosso provedor de e-mail. Você desativa quando quiser, na página “O que vazou de mim?” ou pelo link em cada aviso, e o e-mail é apagado na hora; ele também é apagado se você apagar a conta.
- Modo família (Vérité Completo) — quando a assinante convida alguém, guardamos o e-mail convidado e um código de convite protegido (só o resumo criptográfico), válido por 7 dias e de uso único. Quem aceita fica ligada à família até sair ou ser removida; a assinante vê o e-mail das pessoas da família, nada do que elas conferem.
5. Com quem compartilhamos (operadores)
- Supabase — autenticação e banco de dados (com isolamento por equipe via Row Level Security).
- Cloudflare — hospedagem do site e das funções do servidor (Cloudflare Pages e Workers), com a rede e o DNS do domínio.
- Eduzz — pagamento da assinatura (checkout, cobrança e cancelamento). A Eduzz nos avisa só o status da compra e o e-mail do comprador.
- Brevo — envio do código de confirmação da busca “Meu e-mail vazou?”.
- LeakCheck e Pwned Passwords — consulta a bases públicas de vazamentos (o Pwned Passwords recebe só parte de um hash, nunca a senha).
- Mercado Pago — só se você conectar: a consulta “Esse Pix existe?” nos pagamentos recebidos.
- Consultas públicas das checagens — quando você checa um link, loja ou mensagem, o nosso servidor consulta o domínio no registro público (RDAP: registro.br e rdap.org), o CNPJ na BrasilAPI (ou CNPJ.ws) e, se ativado, o Google Web Risk. Enviamos só o domínio, o endereço ou o CNPJ — nunca seus dados de conta. O próprio site checado recebe um acesso do nosso servidor, sem dados seus.
Esses provedores podem processar dados fora do Brasil (por exemplo, nos EUA), com as salvaguardas contratuais previstas no art. 33 da LGPD. Não vendemos dados pessoais.
6. Pagadores (terceiros) que aparecem nos comprovantes
Quando você verifica um comprovante logada, guardamos o nome do pagador e o documento já mascarado, só para prevenção à fraude dentro da sua equipe, por 180 dias. O servidor recusa CPF/CNPJ completos. Pagadores podem exercer seus direitos pelo e-mail da encarregada.
7. Seus direitos
Confirmação e acesso, correção, anonimização ou eliminação, portabilidade, informação sobre compartilhamento, revogação do consentimento (ex.: desconectar o Mercado Pago) e oposição (LGPD art. 18). Pelo painel você apaga a conta e todos os dados associados na hora; para o resto, escreva para privacidade@useverite.com.br. Você também pode reclamar à ANPD.
8. Segurança
Conexões HTTPS, cabeçalhos de segurança rígidos, verificação de acesso sempre no servidor, isolamento de dados por equipe, tokens cifrados, webhooks com assinatura verificada e limites contra abuso. Nenhum sistema é 100% invulnerável; se houver incidente relevante, avisaremos você e a ANPD conforme a lei.
9. Menores de idade
A Vérité é destinada a maiores de 18 anos que vendem produtos ou serviços.
10. Mudanças
Se esta política mudar de forma relevante, avisaremos por e-mail ou no app antes de valer.