Política de Privacidade

A Sutory (doravante "Empresa") trata dados pessoais para as finalidades descritas abaixo, a fim de prestar o serviço Sutory. Em caso de alteração das finalidades, a Empresa obterá consentimento específico em conformidade com o Artigo 18 da Lei de Proteção de Informações Pessoais da Coreia (PIPA).

• Identificação e autenticação de membros (login social Apple / Google)
• Prestação do companheiro de IA e dos serviços de wiki pessoal (chat, grafo, agendamentos, notificações)
• Processamento de pagamentos de serviços pagos e prevenção de uso fraudulento
• Garantia da estabilidade do serviço (logs de segurança, rastreamento de incidentes)
• Cumprimento de obrigações legais (por exemplo, retenção de registros de transações nos termos da Lei de Comércio Eletrônico da Coreia)

A Empresa poderá tratar temporariamente a localização do dispositivo dos usuários em seu aplicativo móvel para fornecer funcionalidades baseadas em localização (como sugestões de almoço próximo e lembretes de agendamento). Para usuários que consentiram com os termos separados de localização exigidos pela Lei coreana de Proteção e Uso de Informações de Localização, o tratamento segue os princípios abaixo (veja os Termos dos Serviços Baseados em Localização).

• Quando é coletado: com a permissão de localização concedida, (i) ao abrir o app ou voltar a ele de outro aplicativo (no máximo uma vez a cada 30 minutos) e (ii) ao usar um recurso baseado em localização, como sugestões de almoço por perto.
• Escopo do armazenamento: coordenadas GPS precisas não são armazenadas. Somente o nome da cidade e da região, coordenadas aproximadas truncadas em duas casas decimais (cerca de 1 km) e o horário da última atualização são salvos na conta, e cada nova leitura sobrescreve a anterior.
• Finalidade: usado apenas para oferecer sugestões adaptadas à localização — recomendações de almoço próximas e a previsão do tempo local no resumo da manhã.
• Retenção: excluído junto com a conta quando o usuário a encerra (definitivamente após o período de carência de 30 dias). O usuário pode interromper novas coletas revogando a permissão no dispositivo.
• Fornecimento a terceiros: a localização não é fornecida a terceiros. Única exceção: se você ativar a participação no feed de IA e aprovar uma publicação específica, o nome do local nela contido fica visível para outros participantes (sem nome ou outros dados identificadores). As coordenadas são transmitidas a uma API de mapas externa (Google Places) para a busca por proximidade; esse fornecedor processa a solicitação em nome da Empresa.
• Endereço IP: usado apenas como identificador de acesso para fins de segurança e registro — nunca para inferir localização, segmentar anúncios ou criar perfis.
• Revogação da permissão: o usuário pode revogar a permissão de localização nas configurações do dispositivo a qualquer momento. Isso desativa apenas os recursos baseados em localização; o restante do serviço continua funcionando normalmente.
• Menores de 14 anos: como a Empresa bloqueia o cadastro de menores de 14 anos, não processa dados de localização dessas pessoas (Lei de Informação de Localização §25).

• Conta de membro e conteúdo: excluídos imediatamente após o encerramento da conta. Após um período de carência de 30 dias, a recuperação não é mais possível (exclusão suave → exclusão permanente).
• Áudio de voz bruto: excluído imediatamente após o processamento de STT (nunca retido).
• Imagens compostas por IA: excluídas automaticamente após 7 dias (cópias baixadas pelo usuário são separadas).
• Registros de pagamento: retidos por 5 anos nos termos do Artigo 6 da Lei de Proteção do Consumidor no Comércio Eletrônico da Coreia.
• Registros de reclamações de consumidores e disputas: retidos por 3 anos nos termos do Artigo 6 da mesma lei.
• Logs de acesso e logs de segurança: retidos por 3 meses nos termos do Artigo 15-2 da Lei de Proteção do Sigilo das Comunicações da Coreia.

A Empresa não divulga seus dados pessoais a terceiros como regra geral. As únicas exceções são as seguintes:

• quando você tiver dado consentimento prévio;
• quando exigido por lei, ou quando uma agência investigativa o solicitar de acordo com os procedimentos e métodos prescritos por lei; ou
• quando dados pseudonimizados forem fornecidos para fins estatísticos ou de pesquisa acadêmica.

A Empresa subcontrata determinadas tarefas de tratamento aos subprocessadores listados abaixo. Os contratos de subcontratação contêm as obrigações de segurança exigidas pelo Artigo 26 da Lei de Proteção de Informações Pessoais da Coreia (PIPA).

Qualquer alteração nos subprocessadores será comunicada por meio de revisão antecipada desta política. Com todos os subprocessadores de IA, a Empresa utiliza canais cobertos por acordos de não treinamento, que proíbem o uso de seus dados para o treinamento de modelos.

Entre os subprocessadores listados na Seção 6, aqueles localizados nos Estados Unidos, no Reino Unido e na UE recebem dados pessoais transferidos. O consentimento com esta política é tratado como consentimento para tais transferências. Para retirar o consentimento, encerre sua conta.

Você pode exercer os direitos a seguir a qualquer momento, por meio da tela de Configurações ou entrando em contato com o Encarregado de Proteção de Dados (Seção 14).

• Direito de acesso: faça o download diretamente em Configurações → Exportação de Dados (JSON / Markdown).
• Direito de retificação ou exclusão: edite seu perfil e conteúdo diretamente em Configurações ou encerre sua conta.
• Direito de limitação do tratamento: solicitação por e-mail ao Encarregado de Proteção de Dados.
• Direito à portabilidade de dados: as exportações de dados são fornecidas no formato JSON padrão.
• Direito de se opor a decisões automatizadas e de receber uma explicação (PIPA §37-2, acrescentado em 2024): os resultados de IA são apenas informações de referência — a Empresa não toma decisões automatizadas com efeito legal ou financeiro. Caso você se oponha, entre em contato com o Encarregado de Proteção de Dados e responderemos após análise.

A Empresa elimina os dados pessoais sem demora assim que o prazo de retenção expira ou a finalidade do tratamento é alcançada.

• Forma eletrônica: excluídos permanentemente de maneira irrecuperável (anulação de colunas do banco de dados e descarte automático após o vencimento da retenção de backup).
• Documentos em papel: fragmentados ou incinerados.
• Dados transmitidos a subprocessadores de IA: destruídos imediatamente nos termos do contrato de subcontratação (opções de no-training e no-retention aplicadas).

• Administrativas: plano de gestão interno, treinamentos periódicos de segurança, princípio do acesso mínimo.
• Técnicas: TLS 1.3 em trânsito, AES-256 em repouso, isolamento multitenant por Segurança em Nível de Linha (RLS), hash de senha (Argon2id), JWTs de curta duração.
• Físicas: dependência dos controles ISO 27001 / SOC 2 dos data centers Azure.
• Registro e monitoramento: detecção de anomalias de acesso, notificação em até 72 horas após qualquer incidente de segurança (conforme GDPR / PIPA).

A Empresa armazena os itens a seguir no LocalStorage para manter sessões autenticadas. Não utilizamos cookies para rastreamento de anúncios ou análises de terceiros.

• tory-auth: sessão autenticada (tokens de acesso / atualização e expiração).
• tory-oauth-state: estado OAuth de login de uso único (excluído imediatamente após o callback).

Você pode excluir esses itens a qualquer momento pelas configurações do navegador.

A Empresa bloqueia o cadastro de crianças menores de 14 anos. Essa medida satisfaz tanto o Artigo 22-2 da Lei de Proteção de Informações Pessoais da Coreia (PIPA) quanto a Lei norte-americana de Proteção da Privacidade Online de Crianças (COPPA, menores de 13 anos).

• Onde bloqueado: a etapa de consentimento do cadastro requer a informação do ano de nascimento; se o usuário for determinado como menor de 14 anos, o cadastro é recusado imediatamente e nenhum dado inserido é armazenado.
• Proteção padrão dos provedores sociais: as contas Apple ID e Google são emitidas apenas para usuários com 13 anos ou mais, nos termos de cada provedor, oferecendo uma primeira linha de defesa.
• Detecção posterior: se um usuário for identificado como menor de 14 anos após o cadastro, a Empresa suspende imediatamente a conta e destrói todos os dados pessoais coletados em até 7 dias. Notificamos o e-mail cadastrado sobre a destruição.
• Direitos dos responsáveis legais: um responsável legal que descobrir que a Empresa está tratando dados pessoais de uma criança menor de 14 anos pode exigir imediatamente a destruição, o acesso ou a cessação do uso por meio do Encarregado de Proteção de Dados.

A Empresa não coleta dados pessoais para fins de marketing, publicidade ou promoção. Enviamos apenas notificações essenciais à operação do serviço, como avisos de pagamento e de segurança, que se enquadram nas disposições de exceção ao consentimento do Artigo 22-2 da Lei de Proteção de Informações Pessoais.

• Encarregado: Min-kyung Kim (CEO)
• E-mail: privacy@tory.my
• Empresa: Sutory · Número de registro comercial: 633-02-03631
• Prazo de resposta: em até 7 dias úteis
• Resolução de disputas: Comitê de Mediação de Disputas de Informações Pessoais da Coreia (1833-6972), Central de Denúncias de Violação de Privacidade (118), Departamento de Investigação Cibernética da Promotoria-Geral da Coreia (1301), Delegacia Cibernética da Polícia Nacional da Coreia (182)

• 2026-07-10 · xAI (busca em tempo real) adicionada como suboperadora, nomes dos modelos de IA atualizados e consentimento separado para processamento por IA de terceiros
• 2026-05-27 · Adicionada tradução de conveniência para o português do Brasil (o original em coreano é juridicamente autorizado; versões em outros idiomas são fornecidas para conveniência).
• 2026-05-13 · Adicionada seção explícita de tratamento de informações de localização (§3), adicionada proteção de menores (§12 COPPA / PIPA §22-2) e corrigido domínio de e-mail do Encarregado de Proteção de Dados.
• 2026-05-12 · Publicação inicial.