Aviso de privacidade

O que coletamos

• Para identificar sua conta: seu número de telefone, um PIN e um código de recuperação de uso único (o PIN e o código são guardados só como hashes irreversíveis — nunca conseguimos lê-los).
• Informações de emergência e saúde que você insere: nome opcional, tipo sanguíneo, alergias, medicamentos, condições, implantes, uso de anticoagulantes, peso e notas livres.
• Sua gente: até dois contatos de emergência e se você permite que um socorrista mande mensagem a cada um.
• Sua moto e seguro: dados da motocicleta e do seguro que você escolher adicionar.
• Seu e-mail, que é obrigatório. Ele tem duas funções, as duas sobre esta conta e nenhuma de marketing: devolver seu acesso se você perder o PIN, e avisar quando algo muda as chaves da sua conta — um PIN novo, um código de recuperação novo, uma troca de telefone, e-mail ou nome, uma cópia da conta baixada, um código de tag novo, ou sua tag pausada. Não aparece quando alguém escaneia sua tag a menos que você mesmo ative — começa desativado, como todos os campos, e o interruptor avisa do lado que é o endereço para onde vai o seu link de recuperação. Fica criptografado onde guardamos. Ele recebe mais uma mensagem: no cadastro ou quando você o troca, um link para confirmar que o endereço é seu, porque um link de recuperação só vai para um endereço confirmado. Não mandamos mais nada para ele a menos que você peça — sem newsletter, sem e-mail de produto. A única coisa que você pode pedir é o aviso de escaneamento descrito abaixo, que fica desativado até você ativar.
• Opcional: data de nascimento, se você fornecer.
• Opcional: um depoimento para a nossa página inicial, e o nome com que você o assina. Os dois ficam guardados cifrados. Ele só aparece quando você ativa E nós lemos e aprovamos — se você mudar o texto, ele volta a esperar a nossa revisão — e ao lado mostramos esse nome e o seu país. Ativar ou desativar fica registrado na atividade da sua conta.
• Quando você revisou seus dados médicos pela última vez: a data da última vez em que você abriu sua página de emergência e salvou. Aparece na página da sua tag, abaixo das suas informações médicas, para que quem ler possa julgar se está atualizada — uma lista de alergias salva na semana passada e outra salva há quatro anos não dizem a mesma coisa. Registra que você revisou, não que algo mudou, e só aparece se você tiver pelo menos um campo médico ativado. Nada mais a altera: editar um contato, uma moto, seu e-mail ou seu PIN não mexe nela.
• Se você vincular um adesivo pré-impresso: o tipo sanguíneo impresso nele, junto à sua conta, para avisar você se o tipo que você tem guardado deixar de coincidir. Trocar o código da sua tag o apaga. O registro do próprio adesivo — o código, o tipo impresso e quando foi vinculado — fica guardado mesmo que você apague sua conta, sem nada sobre você, para que esse código nunca seja entregue de novo; mas, como o código dele foi o código da sua tag, quem tiver os dois registros pode relacioná-los.
• Escaneamentos: guardamos apenas a hora da última vez que a sua tag foi aberta, e nada sobre quem a abriu — nem endereço IP, nem localização, nem nada do telefone ou do navegador. Não há histórico: cada abertura substitui a anterior, por isso existe só um momento por motociclista. Nossa hospedagem, a Vercel, é a exceção: como toda requisição ao site, uma abertura passa pelo registro de requisições da Vercel, que anota o endereço aberto — numa página de tag, o código dela — e a descrição do navegador (user agent), e pode incluir o endereço IP. Podemos ler esse registro durante uma hora depois da requisição.
• O aviso de escaneamento, só se você ativar: fica desativado a menos que você o ative no seu painel. Aí, quando sua tag é aberta, mandamos um e-mail dizendo que ela foi aberta e quando (a data e a hora, em UTC) — nada sobre quem a abriu, e nada da sua conta além do endereço para onde vai. Mandamos no máximo um a cada 6 horas; para saber quando o próximo pode ir, guardamos a hora do último aviso enviado, na sua conta, substituída a cada vez. Nosso provedor de e-mail, Resend, entrega cada aviso e guarda o próprio registro de cada mensagem que entrega, então, com os avisos ativados, a Resend tem um registro de quando cada aviso saiu (veja os provedores abaixo).
• Atividade da conta: quando alguém entra com a sua conta, e quando as chaves da conta mudam — um PIN novo, um código de recuperação novo, uma troca de telefone, e-mail ou nome, uma cópia da conta baixada, um código de tag novo, sua tag pausada ou ativada de novo, o aviso de escaneamento ativado ou desativado. Cada entrada é o que aconteceu e quando, e mais nada: nem endereço IP, nem localização, nem nada do seu telefone ou navegador. Está aí para você ver atividade que não foi sua; você lê na página da sua conta e ela vai junto quando você exporta. Entrar na conta também deixa um registro no Supabase, descrito mais abaixo junto com os provedores.

Por que guardamos

Tratamos estas informações apenas para oferecer o serviço de informações de emergência que você pediu. Pedimos seu consentimento explícito para guardar informações de saúde no cadastro, e você pode retirá-lo a qualquer momento excluindo sua conta.

Seu e-mail é a única exceção a essa frase, e é ainda mais estreita: ele existe para você recuperar sua conta e para avisar quando as chaves dela mudam, e é usado para essas duas coisas e mais nada, além do aviso de escaneamento se você ativar. Por isso pedimos que você o confirme. Uma conta não fica ativa até você confirmar seu endereço: enviamos um link por e-mail, e você o abre e digita seu PIN. Um cadastro que você nunca confirma é excluído, com tudo o que você digitou, 24 horas depois de começar. Se depois você mudar o endereço, o novo não recebe nenhum link de recuperação até você abrir o link que enviamos e tocar em Confirmar com a conta conectada. Os endereços das contas que existiam em 13 de outubro de 2026 foram considerados confirmados sem essa etapa. Se você pedir um link de recuperação e seu endereço estiver confirmado, mandamos uma única mensagem com um link que funciona uma vez e expira em 30 minutos.

O que um escaneamento pode mostrar

Todo campo começa privado. Nada seu é mostrado até você ativar nas configurações de Privacidade. Isso agora vale para todos os campos que guardamos, sem nenhuma exceção. Alguns identificam você mais do que ajudam no seu atendimento — seu e-mail, sua data de nascimento, seu peso, seus números completos de seguro, apólice ou associado, e o chassi (VIN) da sua moto — e isso serve mais a um ladrão de identidade do que a um socorrista. Na página de Privacidade cada um leva uma marca, com uma linha que diz claramente o que ela significa, e como todo o resto começam desativados. A decisão é sua. Até 12 de setembro de 2026 era nossa: esses campos não podiam ser publicados, não importa o que você configurasse, e o honesto é dizer que decidíamos por você.

Nunca vendemos nem compartilhamos

Não vendemos, alugamos nem compartilhamos suas informações para publicidade. Não há rastreadores de anúncios em nossas páginas nem scripts de analytics de mais ninguém — as visitas às nossas páginas públicas são contadas pelo nosso próprio servidor, sem cookies, como explicado abaixo — e usamos apenas os cookies estritamente necessários para manter você conectado, guardar um cadastro que você ainda não concluiu, lembrar seu idioma e lembrar se você escolheu o modo claro ou escuro. O único script de terceiros em todo o produto é a verificação anti-robô, e roda exatamente em quatro páginas: a de contato, a de cadastro, a de entrar na conta e a de recuperação. Não põe cookies. A Cloudflare declara que não põe cookie nenhum e que nunca usa o que vê para traçar o seu perfil, e é assim que isso deve ser lido: o desafio roda num quadro próprio, mas o pequeno script que o carrega roda na página como o resto do código da página. Então isso é um compromisso da Cloudflare sobre o seu telefone, o seu e-mail, o seu nome e o seu PIN — não algo que a página torne impossível. O que a Cloudflare fica sabendo é que alguém carregou uma dessas quatro páginas, com o endereço IP dessa pessoa, a descrição do navegador e uma impressão técnica da conexão segura; a Cloudflare diz que também os usa para melhorar a verificação. Não roda em mais nenhuma e, acima de tudo, nunca roda na página que um socorrista abre ao escanear a sua tag: essa página não faz nenhuma requisição externa.

Quando você nos escreve

Se você usar o formulário de contato, seu nome, seu endereço e sua mensagem são enviados por e-mail para nossa caixa. A KINTAG é gratuita, então as mensagens são respondidas quando dá: pode demorar bastante, e não prometemos nada sobre quando. Nada fica guardado no site: não existe tabela de mensagens, então não há o que exportar, apagar ou vazar. O único registro que uma mensagem deixa é um carimbo de hora associado a uma chave com hash e não identificável, mantido por uma hora para ninguém inundar o formulário. A mensagem em si fica na nossa caixa até a apagarmos, e fazemos isso à mão: uma vez por mês apagamos toda conversa encerrada há mais de 30 dias e, na mesma sessão, esvaziamos a pasta de apagados da caixa. Se você pedir para apagar uma mensagem antes, nós apagamos, assim que uma resposta vinda do endereço de onde você escreveu confirmar que ela é sua.

Entram em cena nove fornecedores, e aqui estão pelo nome. A Vercel roda a aplicação. O Supabase hospeda o banco de dados. Juntos, eles têm tudo o que este aviso descreve, que é o que hospedar significa — e têm no mesmo estado em que temos: os campos sensíveis são lá o mesmo texto cifrado que em qualquer lugar, e a chave que os abre fica onde eles não estão. O Supabase também verifica o seu PIN quando você entra na conta, e para isso guarda quatro coisas próprias: um identificador de conta gerado por nós, que não é o seu número de telefone nem o seu e-mail; um hash irreversível feito a partir do seu PIN, descrito em “Como protegemos”; um registro de cada sessão aberta, com o endereço IP e a descrição do navegador (user agent) de onde ela começou; e um registro próprio de entradas e alterações de conta, que pode incluir o endereço IP. Nunca mostramos isso a ninguém nem usamos para mais nada. O registro de uma sessão é apagado quando você desconecta os outros aparelhos, muda o seu PIN ou apaga a sua conta, e os com mais de 30 dias são removidos da próxima vez que você entra. O Supabase guarda esse registro de atividade segundo as suas próprias regras, e ele não é apagado quando você apaga a sua conta; nele você aparece só pelo identificador gerado, que não aponta para nada depois que a sua conta deixa de existir. O Resend entrega o link de recuperação, o link que confirma seu endereço, os avisos de conta descritos acima e, se você ativar, o aviso de escaneamento, ou seja, ele lida com seu e-mail nessas mensagens. Ele também leva à nossa caixa cada mensagem do formulário de contato, com seu nome, seu endereço e o que você escreveu. Nunca vê as informações de emergência ou de saúde da sua conta — só o que você decidir escrever numa mensagem. O Resend guarda uma cópia de cada mensagem que entrega por 30 dias. O Cloudflare Turnstile faz a verificação anti-robô sem cookies nas quatro páginas citadas acima. Ele vê o endereço IP de quem visita, a descrição do navegador e uma impressão da conexão segura, e os usa para distinguir pessoas de robôs e, segundo a Cloudflare, para melhorar a verificação — nunca um campo do formulário, e nunca nada da sua tag. A Cloudflare também recebe o e-mail endereçado a nós, incluindo as mensagens do formulário de contato, e o repassa direto para a nossa caixa; ela declara que não o lê nem o guarda. O Help Scout é a caixa onde chega uma mensagem do formulário de contato, então guarda o que você escreveu e o endereço de onde escreveu. O Upstash guarda os contadores que limitam quantas vezes algo pode ser tentado — entrar, se cadastrar, recuperar uma conta, enviar uma mensagem, abrir endereços de tag que não levam a nenhuma tag — como chaves embaralhadas e horários. Quando um contador pertence à sua conta (tentativas de entrar, confirmações de PIN, links de recuperação, avisos de conta), a chave é embaralhada a partir do identificador interno da sua conta com um segredo que o Upstash não tem, então não dá para ligá-la a você sem esse segredo; nenhum contador guarda o seu nome, o seu telefone, o seu e-mail ou qualquer coisa da sua tag. Quando ele está indisponível, esses contadores ficam no nosso próprio banco de dados. O Sentry recebe um relatório quando o nosso servidor tem um erro: o que falhou e em que parte do nosso código, com números, e-mails, códigos e links retirados antes. Ele nunca recebe as suas informações, o endereço da página em que você estava (só o tipo geral, como “uma página de tag”), o seu endereço IP ou qualquer coisa que o seu navegador enviou. O PostHog, em seus servidores nos Estados Unidos, conta as visitas às nossas páginas públicas — a inicial, cadastro, entrar, recuperação de conta, contato, doações, o mapa do site e estas páginas legais — e nunca a página da sua tag, nunca as páginas da sua conta e nunca enquanto você está conectado. O seu navegador nunca fala com ele: o nosso servidor informa qual dessas páginas foi aberta, o site de onde você veio se era outro e o seu endereço IP encurtado (o último bloco de um IPv4, a maior parte de um IPv6), de forma que aponta para uma faixa de conexões e não para a sua. Cada visita é enviada com um rótulo aleatório novo que nunca é reutilizado, então nenhuma visita pode ser ligada a outra nem a você. Nenhum cookie é colocado para isso e nada fica guardado no seu aparelho. O Buy Me a Coffee recebe as doações: processa o pagamento e nos avisa que ele foi feito. Do que ele envia, guardamos só a primeira palavra do nome que a pessoa apoiadora informou, o número do pagamento, quando foi feito e uma forma embaralhada, de mão única, do número dela como apoiadora — nunca o e-mail, o valor, a moeda ou a mensagem — e mostramos essa primeira palavra na nossa página inicial, e a retiramos se o pagamento for reembolsado. Se a pessoa apoiadora nos pedir para retirar o nome, nós o apagamos e guardamos só esse número embaralhado, de mão única, para que uma doação posterior também não apareça. Se o nome vier de um jeito incomum, ou não vier, não guardamos nada. Ele não tem nenhuma relação com a sua conta nem com a sua tag. Essa é a lista inteira. Nenhum deles está na página que um socorrista abre ao escanear a sua tag, e dois podem saber algo dela, os dois só a partir do nosso servidor: o Upstash, a quem o nosso servidor pergunta se a conexão que abre uma página de tag andou abrindo endereços que não levam a nenhuma tag — uma chave embaralhada e um horário, nunca qual tag —, e o Sentry, só se o nosso servidor falhar ao montá-la — um relatório que diz que uma página de tag falhou, nunca qual. O Upstash é o segundo desde 17 de setembro de 2026. E se você ativar o aviso de escaneamento, um terceiro fica sabendo que sua tag foi aberta: a Resend, só a partir do nosso servidor e só depois de a página ser servida — um e-mail para você dizendo quando, nunca quem. O Upstash, o Sentry e o Plausible entraram em 16 de setembro de 2026. O PostHog substituiu o Plausible na contagem de visitas em 24 de setembro de 2026, e desde então o user-agent do seu navegador não é mais enviado. Até 12 de setembro de 2026 descrevíamos a Vercel e o Supabase pela função e não pelo nome, com o argumento de que não estávamos presos a nenhum. Citar o nome é a resposta melhor: se mudarmos, isso é uma mudança neste aviso, e não algo que você tenha que lembrar de perguntar.

Onde fica guardada

Sua conta fica guardada nos Estados Unidos. A Vercel roda a aplicação em servidores nos Estados Unidos, na região de Washington, D.C., e o Supabase hospeda o banco de dados nos Estados Unidos, em Ohio; seu navegador chega à aplicação pela rede mundial da Vercel. Então suas informações, incluindo os dados de saúde que você insere, são guardadas e tratadas nos Estados Unidos, que podem ser um país diferente daquele em que você mora, com leis de proteção de dados diferentes.

Lá, o que as protege é o mesmo que em qualquer lugar: os campos sensíveis ficam guardados como texto cifrado, e a chave que os abre fica onde o banco de dados não está. Isso protege contra quem obtiver só o banco de dados; não protege contra o nosso próprio servidor, que precisa descriptografar para mostrar sua tag, como explica “Como protegemos”.

Aceitar este aviso no cadastro é o seu consentimento a essa transferência: a que suas informações, incluindo seus dados de saúde, sejam guardadas e tratadas nos Estados Unidos como descrito aqui. Se você não concordar, não crie uma conta; se já tem uma, excluí-la retira esse consentimento e apaga os dados, como explica “Por quanto tempo guardamos”.

Por quanto tempo guardamos

Guardamos suas informações enquanto sua conta existir. Ao excluir sua conta, ela é apagada do nosso banco de dados de imediato — o registro inteiro, não uma marca que o esconde.

Nosso banco de dados tem backups, como qualquer banco de dados, e uma conta excluída continua neles até expirarem. Isso leva no máximo 30 dias. Backups nunca são usados para trazer de volta uma conta excluída; se algum dia precisarmos restaurar um backup após uma falha, as exclusões são aplicadas de novo. E os campos sensíveis num backup são o mesmo texto cifrado que no banco — a chave que os abre fica onde os backups não estão.

Seus direitos

São autoatendimento — sem pedidos nem espera. Dependendo de onde você mora (por exemplo sob a CCPA/CPRA, a My Health My Data Act de Washington, a Lei 25 do Quebec, a LFPDPPP do México, a LGPD do Brasil e leis semelhantes nas Américas), você pode ter direitos adicionais.

Para pedir um deles, fale com a gente pelo formulário de contato. Respondemos em até 10 dias úteis, sem prorrogação. Uma correção que você nos pedir é feita em até 5 dias úteis.

Primeiro precisamos saber que a conta é sua, e só há um jeito. Tudo na lista acima é autoatendimento porque fica atrás do seu PIN — essa é a verificação. Uma mensagem que chega por e-mail não carrega PIN, então se você escrever pedindo que a gente entregue ou apague uma conta e não conseguirmos associar o pedido àquela conta, vamos recusar. Essa recusa é o que protege você: agir sobre um e-mail não verificado é exatamente como outra pessoa apagaria sua conta ou conseguiria uma cópia. Se você perdeu seu PIN, a página de recuperação devolve o acesso, e uma vez dentro cada direito desta lista está a um clique, sem nada a provar.

Se recusarmos um pedido, dizemos por quê, e você pode pedir que a gente reconsidere respondendo àquela resposta. Vamos olhar de novo e dar uma decisão. Se ainda assim você não estiver de acordo, pode reclamar à autoridade de proteção de dados de onde mora; a resposta que enviarmos não vai fingir o contrário.

• Acesso e portabilidade: baixe toda a sua conta como arquivo JSON nas configurações da Conta.
• Exclusão: apague sua conta e todos os dados na hora, na mesma tela.
• Correção: edite qualquer campo no seu painel quando quiser.
• Retirar consentimento: excluir sua conta retira o consentimento e remove os dados.

Como protegemos

Seu PIN nunca é guardado do jeito que você digitou, nem aqui nem em outro lugar: nosso servidor primeiro o transforma em um código SHA-256 com chave, misturado com uma chave secreta que não está no banco de dados, e o Supabase, que o verifica quando você entra na conta, guarda só um hash irreversível desse código. Seu código de recuperação e qualquer link de recuperação são guardados como hashes SHA-256 com chave, misturados com o mesmo segredo. Nunca em texto puro, e nenhum pode ser lido de volta: sem esse segredo, nem uma cópia completa do banco de dados ajuda a descobrir o seu PIN. O tráfego é criptografado por HTTPS, entrar na conta tem limite de tentativas, minimizamos o que coletamos, e um registro de escaneamento não contém mais do que a sua tag e uma marca de tempo.

Os campos mais sensíveis também são criptografados dentro do próprio banco de dados: seu nome, suas alergias, medicamentos, condições, implantes, notas, peso, e-mail e data de nascimento, mais os nomes, números e parentescos dos seus contatos de emergência, seus números de associado e de apólice e o chassi (VIN) da sua moto. Cada valor é criptografado com uma chave que nosso servidor guarda e fica preso ao seu registro, então não pode ser movido para o de outra pessoa. Contra o que isso protege, com precisão: quem obtiver só o banco de dados — um backup ou snapshot roubado, ou acesso amplo demais no nosso provedor — leva texto cifrado, não a sua informação. Contra o que não protege: o nosso próprio servidor. Ele precisa conseguir descriptografar, porque sua tag precisa abrir para um estranho com um telefone e nenhuma chave. Preferimos dizer isso com todas as letras a sugerir uma proteção que não temos.

Crianças

A KINTAG é para pessoas adultas: você precisa ter 18 anos ou mais para ter uma conta, e é isso que você confirma ao se registrar. Não crie uma conta para ninguém abaixo dessa idade. Se você acha que uma pessoa menor de idade tem uma conta, escreva para nós e vamos apagá-la.

Alterações

Se mudarmos este aviso de forma relevante, publicaremos uma nova versão aqui, e uma nota no topo do seu painel vai avisar até você fechá-la. Essa nota informa; não pede que você aceite de novo. Sua conta registra qual versão você aceitou e, à parte, qual versão foi mostrada a você por último.

Quem responde pelas suas informações

A KINTAG é operada por uma pessoa, não por uma empresa: a que aparece no nosso aviso legal. É essa pessoa que decide o que acontece com as suas informações e responde por protegê-las. Para a LGPD, ela é o encarregado pelo tratamento de dados pessoais; a Lei 25 do Quebec chama esse papel de pessoa responsável pela proteção das informações pessoais. Aqui é a mesma pessoa, e não há mais ninguém para quem passar isso.

Para falar com ela sobre as suas informações — uma dúvida, um direito que você queira exercer, uma reclamação —, use o formulário de contato e escolha o assunto “Meus dados”. Chega na mesma caixa que todo o resto, e o assunto diz que é sobre os seus dados; não existe um endereço separado para isso. Um pedido para exercer um dos seus direitos recebe a resposta descrita em “Seus direitos”.

Contato

Dúvidas ou solicitações: fale com a gente.