Aviso de privacidade

1. Quem mantém a Vitrine

A Vitrine é mantida pela Prumo Works Ltd, "nós" neste aviso, a controladora dos dados pessoais que a Vitrine trata. A Prumo Works Ltd é uma empresa registrada na Inglaterra e no País de Gales sob o número 17384166, com sede em 71–75 Shelton Street, Covent Garden, London, WC2H 9JQ, Reino Unido.

Para dúvidas ou pedidos sobre os seus dados, use o formulário de contato da Prumo Works.

Cada museu pertence a uma família. Os membros e curadores acrescentam o que há nele, sobre si mesmos e sobre os seus parentes; os administradores convidam pessoas e decidem quem vê cada ramo da família. Nós mantemos o serviço que guarda o museu e o mostra a eles.

2. O que guardamos

• A sua conta: o seu email e o seu nome e, se você os criar, uma senha e chaves de acesso (passkeys). Contas, senhas (guardadas só como hash) e sessões ficam no serviço de login da nossa plataforma, não no banco de dados do museu. A Vitrine guarda uma cópia do seu nome, email e foto de perfil para as listas de membros e os avisos.
• A sua participação: os museus de que você faz parte, o seu papel em cada um (dono, administrador, curador, colaborador, leitor…), a pessoa que você é na árvore, o nível que você tem em cada ramo da família, os assuntos sensíveis que pode ver, os seus limites de IA e quando recebeu as boas-vindas. Os convites guardam o nome e o email de quem foi convidado, quem convidou e quando foi enviado e aceito.
• A árvore da família: pessoas, vivas e falecidas, com nomes, datas e lugares de nascimento, casamento e morte, onde as pessoas vivas moram hoje, parentescos, biografias, notas e as fontes de cada fato. Os membros e curadores registram isso sobre si mesmos e sobre os seus parentes, ou importam de um arquivo de árvore genealógica. Cada alteração fica guardada com quem a fez e quando.
• Documentos e fotos que os membros enviam, com as transcrições e o texto lido neles, as pessoas marcadas e o que o arquivo de uma foto diz sobre ela: quando foi tirada, a câmera e a posição de GPS, quando o arquivo a tem.
• O que você faz no museu: notas, sugestões de alteração, documentos que você contesta, pedidos para ver um ramo e os agentes (assistentes de IA) que você conecta a um museu.
• As suas conversas com o guia (o assistente de IA do museu): as suas perguntas, as respostas e as ações que ele lhe ofereceu. Respostas a perguntas feitas na página de uma pessoa ficam nessa página para os próximos visitantes.
• Uso de IA: quanto custou cada uso do guia ou cada transcrição, com o modelo e a função, e os seus pedidos de acesso ao guia.
• Comentários que você envia, com a página de onde os enviou.
• O registro de auditoria: um registro à prova de adulteração das ações importantes (convites, mudanças de papel e de acesso, fusões, aceite deste aviso e dos termos de uso), com quem as fez e quando.
• Endereços IP: o endereço de onde você se conecta é repassado ao serviço de login, que o usa para limitar as tentativas de login, e é usado na memória do servidor para limitar quantas vezes um visitante pode enviar o formulário da página inicial. O banco de dados da Vitrine não o guarda. A Cloudflare e a Fly.io, que transportam o site, também o veem.
• Pedido de museu: se você pede um museu de família na página inicial, o seu nome, email, sobrenomes da família e recado são enviados por email aos administradores do site.

3. Para que os usamos

Usamos esses dados para manter os museus de que você faz parte: para o seu login, para mostrar a cada membro o que o museu deixa ver, para guardar o registro da família e as suas fontes, para responder às suas perguntas pelo guia, para ler e transcrever o que os membros enviam, para mandar convites e avisos e para manter o serviço seguro e recuperável. Não vendemos dados pessoais, não mostramos publicidade e não traçamos perfis seus.

As bases para isso são a execução do nosso acordo com você (os Termos de uso), os nossos interesses legítimos em manter, proteger e recuperar o serviço e em guardar o registro que os membros da família constroem juntos, o cumprimento de obrigações legais e o seu consentimento, quando o pedimos.

4. Onde os dados ficam e são tratados

Os seus dados ficam e são tratados por estes fornecedores, a maioria nos Estados Unidos:

• Fly.io roda o site, o serviço de login da nossa plataforma, os agentes de IA e as tarefas em segundo plano (leitura de arquivos enviados, transcrições), em Ashburn, Virgínia, Estados Unidos.
• Neon hospeda o banco de dados, na Amazon Web Services em us-east-1 (Estados Unidos). Toda noite uma cópia do banco de dados inteiro é guardada no Cloudflare R2, no leste dos Estados Unidos.
• Cloudflare R2 guarda os documentos e as fotos enviados, na sua jurisdição da União Europeia.
• Cloudflare fica na frente do site e transporta cada acesso a ele.
• Resend envia os emails da Vitrine: links e códigos de login, convites e avisos.
• Anthropic (Claude) responde pelo guia, lê e transcreve documentos e fotos e escreve páginas; a OpenAI transforma o texto do museu no índice em que o guia procura. Para isso elas recebem as suas perguntas e os registros do museu necessários para respondê-las. As duas são usadas com retenção zero de dados: não guardam o que recebem.
• Exa procura na web como era a vida num lugar e numa época. Só lugares e anos são enviados, nunca uma pessoa.
• O OpenStreetMap (Nominatim) é consultado sobre o bairro onde uma foto foi tirada, com a posição de GPS arredondada para cerca de um quilômetro.
• O Telegram leva até nós os comentários que você envia, pela caixa de contato da nossa plataforma.
• Os mapas carregam no seu navegador os blocos e as fontes do OpenFreeMap, do OpenHistoricalMap, do jsDelivr e da Amazon Web Services; nenhum dado da família vai junto. Os retratos da coleção pública das famílias reais vêm do Wikimedia Commons.

Os dados são transferidos para os Estados Unidos. Se você está no Brasil, na União Europeia ou em outro lugar, os seus dados saem do seu país para serem guardados e tratados lá.

O acervo do museu (pessoas, fatos, fontes, documentos e mídias; não as contas, as conversas nem as sugestões) também é copiado entre os nossos ambientes de produção, de desenvolvimento e locais, para desenvolvimento e cópias de segurança.

5. Quem vê o quê

• Um museu de família é privado: só os membros com login o veem, e os buscadores são orientados a não indexá-lo. Essas regras são aplicadas pelo próprio banco de dados, não só pelas páginas.
• Cada membro vê cada ramo da família em um de três níveis. Família: tudo o que o seu papel permite. Visitante: as pessoas falecidas e os seus fatos, as pessoas vivas só pelo nome e os documentos compartilhados com todos. Fechado: nada; o ramo não aparece na árvore, na busca, no guia nem para os agentes. Por padrão, um membro é família na própria família (os parentes de sangue e os cônjuges deles), visitante nas famílias dos seus cônjuges e não vê o resto; um administrador, ou um curador do ramo, pode mudar isso.
• Pessoas vivas: fora a própria pessoa e os administradores do museu, os outros veem só o nome, o sexo, as datas, o país onde ela mora e os laços de família de uma pessoa viva. Um documento sobre uma pessoa viva, ou em que ela aparece, é privado por padrão.
• Fatos marcados como sensíveis (como paternidade, adoção, saúde, escravidão ou processos judiciais) só aparecem para os membros com acesso a esse assunto. As crianças veem só o que um curador aprovou.
• As notas são privadas de quem as escreveu, compartilhadas com a família ou com todos que veem a pessoa, como o autor escolher.
• As suas conversas com o guia são só suas. Um administrador do museu que vê o museu como você não vê nenhuma delas, nem as suas notas privadas ou rascunhos. Os administradores do próprio site (superadministradores), que mantêm o serviço e são donos de todos os museus, veem exatamente o que você vê quando olham um museu como você, inclusive as conversas.
• Os donos e administradores de um museu veem tudo nele e cuidam dos membros. Quando você aceita um convite, quem convidou é avisado.
• O nosso painel de operação nos mostra o tamanho e o número de membros de cada museu, os pedidos de acesso ao guia (com o nome e o email de quem pediu) e contagens de uso e de gastos com IA; nunca o texto de uma conversa nem um documento.
• Um agente que você conecta a um museu vê no máximo o que você vê nele; você escolhe se ele vê assuntos sensíveis, e pode desconectá-lo.

6. Cookies e o que fica no seu navegador

A Vitrine usa só os cookies de que precisa para funcionar:

• a sessão de login, que dura sete dias a partir da sua última visita;
• o idioma que você escolheu (um ano);
• um convite que você abriu (14 dias);
• um identificador aleatório deste navegador (dois anos), criado quando você entra ou abre um convite. Guardamos só uma forma embaralhada dele junto dos registros de login e de convites, para que os administradores do museu saibam quando um convite foi aceito no mesmo navegador que o enviou;
• a pessoa no centro da árvore de um museu (um ano);
• para administradores, o membro como quem estão vendo o museu (uma hora).

O seu navegador também lembra algumas preferências no seu aparelho: tema claro ou escuro, como a árvore e o visualizador de documentos aparecem, o painel do guia e a conversa com o guia aberta numa aba. Não há cookies nem scripts de análise, publicidade ou rastreamento.

7. Por quanto tempo guardamos e como apagar

• A sua conta e a sua participação ficam guardadas enquanto a conta existir.
• Apagar a sua conta: "Excluir minha conta", no menu da conta, apaga a conta depois que você confirma com a sua senha. O serviço de login apaga a conta em si (email, nome, senha, passkeys e sessões). A Vitrine então apaga, em todos os museus, a sua participação e os seus acessos, as suas conversas com o guia e as mensagens delas, os cartões do guia, as suas notas, as suas sugestões ainda à espera de decisão, as perguntas guardadas, os links de envio, as conexões de agentes, os comentários e o seu perfil. O que você acrescentou ao registro da família (pessoas, fatos, documentos e fotos) fica com o museu, e as sugestões já decididas ficam como parte da história dele. Se você também escolher sair da árvore, a sua própria pessoa é retirada com todos os fatos e laços sobre ela e as notas e sugestões sobre ela; os documentos e as fotos ficam, sem você. O histórico dos fatos guarda a última versão de cada fato retirado, e os registros de custo de IA e o registro de auditoria guardam o identificador da sua conta (o registro do aceite deste aviso guarda também o seu email). Se a árvore de um museu começa em você, você fica nela, e os administradores do próprio site (superadministradores) não podem apagar as suas contas desse modo.
• Você pode apagar as suas conversas com o guia; apagar remove a conversa e todas as mensagens dela.
• As notas podem ser apagadas.
• Um documento ou foto pode ser apagado pelos seus curadores, pelo membro que o enviou e, no caso de uma foto, por um membro que aparece nela; os arquivos também são apagados do armazenamento.
• Os curadores de um museu podem retirar uma pessoa da árvore com todos os fatos e laços sobre ela (os documentos e as fotos ficam, sem ela); os membros podem retirar as pessoas que acrescentaram.
• As alterações nos fatos guardam o histórico, e um fato retirado fica oculto mas guardado. O registro de auditoria não pode ser alterado nem apagado pela aplicação.
• Cópias noturnas: o que é apagado continua nas cópias noturnas do banco de dados até que elas expirem. Cada cópia é guardada por 14 dias, as cópias feitas num domingo por 8 semanas e as feitas no dia 1º de cada mês por um ano. O provedor do banco de dados também guarda as alterações dos últimos 7 dias, para que o museu possa voltar a como estava num momento desse período. Os dois servem só para recuperar o museu depois de uma falha ou de um engano.
• As sessões terminam sete dias depois da sua última visita. Os convites expiram em 14 dias. Os códigos para entrar por um convite não são guardados, e os contadores da Vitrine que limitam as tentativas ficam só na memória do servidor.
• Para qualquer coisa sobre você que não consiga apagar sozinho, peça ao administrador do seu museu ou nos escreva pelo formulário de contato da Prumo Works.

8. Os seus direitos

Pela Lei Geral de Proteção de Dados (LGPD) e, no Reino Unido e na União Europeia, pelo GDPR, você pode nos pedir a confirmação de que temos dados seus e o acesso a eles; a correção; a eliminação, anonimização ou bloqueio; uma cópia para levar a outro serviço; saber com quem eles são compartilhados; opor-se ao uso ou limitá-lo; e revogar um consentimento que tenha dado. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), ao Information Commissioner's Office (ICO) do Reino Unido ou à autoridade de controle do seu país na União Europeia.

Você pode corrigir o que o museu diz sobre você e apagar as suas conversas com o guia nas próprias páginas do museu, e apagar a sua conta pelo menu da conta. Para o resto, escreva-nos pelo formulário de contato da Prumo Works.

9. Mudanças neste aviso

Este aviso tem uma versão, a data da última atualização, indicada acima. Quando ele muda, você é convidado a ler e aceitar a nova versão na próxima visita. O uso da Vitrine também segue os Termos de uso.