POLÍTICA DE PRIVACIDADE DA GRABLO
Data de vigência: 7 de maio de 2026 (vigência original em 8 de agosto de 2025; disposições sobre registros de cobrança alteradas com vigência a partir de 1º de outubro de 2026)
FINALIDADE DESTA POLÍTICA
Temos o compromisso de respeitar e proteger os direitos de privacidade dos nossos usuários. Esta política de privacidade (a “Política”) explica como a Grablo Inc. e suas afiliadas (“Grablo” ou “nós”) coletam, usam, compartilham e protegem suas informações pessoais quando você usa nossos Serviços. Os termos com inicial maiúscula não definidos aqui têm o significado atribuído em nossos Termos de Serviço. A Grablo é uma sociedade constituída de acordo com as leis da República da Coreia.
RESUMO
Em resumo:
- Coletamos um conjunto mínimo de informações pessoais: principalmente dados da conta, do login social, do conteúdo que você cria e as informações necessárias para operar recursos específicos
- Não encaminhamos sua voz ou áudio pelos nossos servidores (as chamadas de TTS/STT vão diretamente do seu Controlador para provedores terceiros, usando suas próprias chaves)
- Não armazenamos seu endereço IP, navegador ou impressão digital do dispositivo no banco de dados do nosso aplicativo
- Não usamos ferramentas de análise ou rastreamento publicitário (nada de Google Analytics, Sentry ou similares)
- Não vendemos suas informações pessoais
- Não armazenamos credenciais de pagamento brutas (números de cartão ou de conta bancária); os pagamentos de serviços pagos são processados por provedores de pagamento externos, e mantemos apenas registros mínimos das transações
- Cumprimos a Lei de Proteção de Informações Pessoais da Coreia (PIPA) e, quando aplicáveis, o GDPR da UE e do Reino Unido e as leis estaduais de privacidade dos EUA (CCPA/CPRA e similares)
1. ABRANGÊNCIA DESTA POLÍTICA
Esta Política se aplica a todos os usuários dos Serviços da Grablo (os “Serviços”), incluindo grablo.co, nossos aplicativos móveis, o software Grablo Controller e o Serviço de Galeria e Comunidade. Ao acessar ou usar os Serviços, você confirma que leu esta Política.
2. DADOS PESSOAIS QUE COLETAMOS
2.1 Informações que você fornece
- Endereço de e-mail (obrigatório)
- Nome (obrigatório)
- Senha (obrigatória para cadastro com credenciais; armazenada como hash bcrypt unidirecional)
- Dados de login social (somente se você optar por entrar com Google, Naver, Kakao ou Apple): o identificador (externalId), o e-mail e o nome (ou apelido) fornecidos pelo provedor com o seu consentimento, e um token de atualização, quando o provedor o fornecer (usado para manter você conectado)
- Opcionais: foto de perfil (enviada por você, máximo de 5 MB) e indicador de consentimento para comunicações de marketing
2.2 Conteúdo que você cria
- Dados do Projeto: programas em blocos, lógicas, configurações de painéis
- Publicações de Usuários na Galeria e na Comunidade: títulos, descrições, imagens anexadas (capa/miniatura), comentários, curtidas, favoritos
- Compartilhamento de projetos: endereço de e-mail do destinatário quando você compartilha por e-mail
- Solicitações de suporte ao cliente
2.3 Informações que tratamos somente quando um recurso é usado
- Tokens de notificação push (FCM para Android, APNs para iOS): somente se você instalar o aplicativo para celular e permitir notificações
- Uso de tráfego TURN: bytes acumulados (zerados mensalmente), usados para o controle da franquia quando você usa o streaming de vídeo P2P via WebRTC
- Contadores de cota: armazenamento de arquivos usado e número de projetos
- Registros de cobrança: somente se você adquirir um serviço pago. Incluem o produto adquirido (plano de assinatura ou modelo pago), valor e moeda, data e hora dos pagamentos, tipo de forma de pagamento, identificadores de transação e de cobrança recorrente do processador de pagamento e registros de reembolso e cancelamento. As credenciais de pagamento brutas (números de cartão ou de conta bancária) são tratadas pelo processador de pagamento e nunca são coletadas nem armazenadas pela Grablo.
2.4 Informações geradas pela operação do serviço
- Sessão de login e cookies (veja a Seção 14): para manter você conectado e lembrar suas preferências
- Data e hora de atividades da conta (último login, alteração de senha)
- Preferências do usuário (idioma, tema, último projeto acessado, favoritos)
2.5 Dados sensíveis e biométricos
- Não coletamos categorias especiais de dados pessoais (sensíveis ou biométricos) em nossos servidores.
- Se você usar os Recursos de Análise por IA (reconhecimento facial, impressão digital etc.) no seu Controlador, os dados de cadastro são criados e armazenados localmente no seu Controlador e não são transmitidos à Grablo.
2.6 O que NÃO tratamos
- Dados de voz e áudio: as chamadas de TTS (conversão de texto em fala) e STT (conversão de fala em texto) vão diretamente do seu Controlador para o provedor terceiro (por exemplo, Google Cloud, OpenAI, ElevenLabs), usando suas próprias chaves de API. O áudio nunca passa pelos servidores da Grablo e não é registrado.
- Endereço IP, impressão digital do navegador, identificador do dispositivo: não são armazenados no banco de dados do nosso aplicativo.
- Análise e rastreamento publicitário: nada de Google Analytics, Sentry ou ferramentas similares.
- Dados de localização: não são coletados.
- Credenciais de pagamento brutas: os números de cartão e de conta bancária são processados por provedores de pagamento externos e nunca são armazenados pela Grablo (veja a Seção 2.3, Registros de cobrança).
2.7 Comunicação entre o navegador e o Controlador
Os dados de comunicação entre o seu navegador e os dispositivos Controladores não passam pelos servidores da Grablo nem são armazenados neles. O vídeo P2P via WebRTC pode ser retransmitido pelo Cloudflare TURN quando a conexão direta não estiver disponível; a sinalização (metadados SDP/ICE) é trocada por meio do nosso broker MQTT (veja a Seção 8).
3. COMO COLETAMOS DADOS PESSOAIS
- Diretamente de você (cadastro, edição do perfil, login social, publicação de conteúdo, solicitações de suporte)
- De provedores de identidade terceiros, quando você opta pelo login social (Google / Naver / Kakao / Apple)
- Gerados pela operação do serviço (sessão, cookies, estado das preferências)
4. FINALIDADES E BASES LEGAIS DO TRATAMENTO
| Finalidade | Base no art. 6 do GDPR | Base na PIPA da Coreia |
|---|---|---|
| Criação e gerenciamento de contas; identificação do usuário; prestação do serviço (hospedagem dos Dados do Projeto, Galeria, notificações push, compartilhamento de projetos) | Execução de contrato (6(1)(b)) | PIPA art. 15(1)4: contrato |
| Suporte ao cliente, comunicações transacionais | Execução de contrato (6(1)(b)) | PIPA art. 15(1)4 |
| Segurança do serviço, prevenção de fraudes, mitigação de abusos, resolução de disputas | Interesses legítimos (6(1)(f)) / obrigação legal (6(1)(c)) | PIPA art. 15(1)2/6 |
| Cumprimento de obrigações legais | Obrigação legal (6(1)(c)) | PIPA art. 15(1)2 |
| Comunicações de marketing (newsletters, convites para eventos) | Consentimento (6(1)(a)), obtido separadamente e revogável | PIPA art. 15(1)1 |
Não tomamos decisões automatizadas que produzam efeitos jurídicos ou efeitos igualmente significativos e não realizamos criação de perfis individuais para fins de marketing.
5. COMO COMPARTILHAMOS DADOS PESSOAIS
5.1 Não vendemos informações pessoais
Não vendemos, alugamos nem comercializamos suas informações pessoais. Nos termos da Lei de Privacidade do Consumidor da Califórnia (CCPA/CPRA) e de leis estaduais semelhantes dos EUA, não “vendemos” nem “compartilhamos” informações pessoais para publicidade comportamental entre contextos.
5.2 Prestadores de serviços (operadores)
Compartilhamos informações com os operadores terceiros listados na Seção 8 para operar os Serviços. Cada um deles está contratualmente obrigado a tratar dados pessoais somente de acordo com as nossas instruções e a protegê-los.
5.3 Divulgações legais
Poderemos divulgar dados pessoais quando exigido por lei, ordem judicial ou solicitação de órgão regulador, ou para proteger direitos, a segurança e o patrimônio.
5.4 Transferências de negócios
Se a Grablo estiver envolvida em fusão, aquisição, venda de ativos ou transação semelhante, os dados pessoais poderão ser transferidos, sujeitos a obrigações de confidencialidade e à legislação aplicável.
5.5 Informações agregadas ou desidentificadas
Poderemos compartilhar informações agregadas ou desidentificadas que não identifiquem nenhuma pessoa.
6. POR QUANTO TEMPO RETEMOS DADOS PESSOAIS
| Categoria | Retenção |
|---|---|
| Informações da conta | Até a exclusão da conta; depois, excluídas sem demora |
| Dados do Projeto e Publicações de Usuários | Até que você os exclua ou encerre sua conta |
| Tokens de notificação push | Até a expiração do token ou o cancelamento do registro ao sair |
| Foto de perfil e imagens de publicações (Cloudflare R2) | Até que você exclua o registro correspondente |
| Contador de uso de TURN | Acumulado; zerado mensalmente na data de aniversário da conta |
| Registros de prevenção de abusos | Até 1 ano após a exclusão da conta |
| Cópias de backup | Até 90 dias após a exclusão do registro correspondente |
| Registros de reclamações de consumidores e de disputas | 3 anos (Lei de Proteção ao Consumidor no Comércio Eletrônico da Coreia) |
| Registros de contratos e de desistência de ofertas | 5 anos (Lei de Proteção ao Consumidor no Comércio Eletrônico da Coreia) |
| Registros de pagamentos e de fornecimento de bens e serviços | 5 anos (Lei de Proteção ao Consumidor no Comércio Eletrônico da Coreia) |
| Registros de transações financeiras eletrônicas | 5 anos (Lei de Transações Financeiras Eletrônicas da Coreia) |
7. SEUS DIREITOS
Nos termos da legislação aplicável (PIPA da Coreia, GDPR da UE e do Reino Unido, CCPA/CPRA e leis semelhantes):
- Acesso: receber uma cópia dos dados pessoais que mantemos sobre você
- Retificação: corrigir dados imprecisos ou incompletos
- Eliminação: excluir seus dados, ressalvadas as exceções legais de retenção
- Restrição: limitar o tratamento em determinadas circunstâncias
- Oposição: opor-se ao tratamento baseado em interesses legítimos, inclusive para marketing direto
- Portabilidade: receber seus dados em formato estruturado, de uso comum e legível por máquina
- Revogação do consentimento: a qualquer momento, quando o consentimento for a base legal (sem afetar o tratamento anterior)
- Sem decisões automatizadas: não ficar sujeito a decisões tomadas exclusivamente com base em tratamento automatizado que produzam efeitos jurídicos ou efeitos igualmente significativos (atualmente, não tomamos esse tipo de decisão automatizada)
- Direito de apresentar reclamação à autoridade de supervisão do seu país de residência (na Coreia: PIPC, www.pipc.go.kr)
Para exercer seus direitos, entre em contato conosco pelo e-mail support@grablo.co. Responderemos dentro do prazo exigido pela legislação aplicável (em geral, 10 dias pela PIPA da Coreia e 30 dias pelo GDPR). Poderemos verificar sua identidade.
8. OPERADORES QUE UTILIZAMOS
| Operador | Finalidade | Categorias tratadas | País | Retenção |
|---|---|---|---|---|
| Cloudflare, Inc. | Armazenamento de imagens (R2) e retransmissão TURN do WebRTC | Imagens enviadas (foto de perfil, capas de publicações); metadados das sessões TURN | Estados Unidos / rede de borda global | R2: até a exclusão do registro / TURN: não retidos além do processamento |
| Google LLC (Firebase) | Notificações push no Android (FCM) | Token de notificação push, metadados das notificações | Estados Unidos | Até a expiração ou o cancelamento do registro do token |
| Apple Inc. (APNs) | Notificações push no iOS | Token de notificação push, metadados das notificações | Estados Unidos | Até a expiração ou o cancelamento do registro do token |
| Namecheap, Inc. (PrivateEmail) | E-mails enviados pela Grablo (verificação de cadastro, redefinição de senha etc.) | Endereço do destinatário, corpo da mensagem | Estados Unidos | Não retidos além da entrega |
| Google LLC | Login social com o Google | Identificador OAuth, e-mail, nome, token de atualização | Estados Unidos | Até a exclusão da conta ou a desvinculação do login social |
| NAVER Corp. | Login social com Naver | Identificador OAuth, e-mail, nome | República da Coreia | Até a exclusão da conta ou a desvinculação do login social |
| Kakao Corp. | Login social com Kakao | Identificador OAuth, e-mail, apelido | República da Coreia | Até a exclusão da conta ou a desvinculação do login social |
| Apple Inc. | Iniciar sessão com a Apple | Identificador OAuth, e-mail (pode ser de retransmissão), nome | Estados Unidos | Até a exclusão da conta ou a desvinculação do login social |
O processamento de pagamentos e a cobrança recorrente dos serviços pagos são confiados a um processador de pagamento externo; o processador será incluído nesta tabela quando for contratado. Os pagamentos de usuários fora da Coreia poderão ser realizados por um comerciante registrado (merchant of record), que também será divulgado aqui quando for adotado.
Atualizamos esta tabela sempre que adicionamos, removemos ou alteramos operadores.
Observação sobre serviços de terceiros que você usa diretamente pelo seu Controlador (por exemplo, Google Cloud, OpenAI ou ElevenLabs para TTS/STT, bots do Telegram operados por você, Home Assistant): esses são serviços que você contrata e aciona com suas próprias credenciais; eles não são operadores da Grablo, e o tratamento que realizam é regido pelos respectivos termos e políticas de privacidade.
9. TRANSFERÊNCIAS INTERNACIONAIS
Alguns dos operadores acima estão localizados fora do seu país de residência. Quando transferimos dados pessoais para fora da Coreia ou do EEE/Reino Unido, nos baseamos em:
- Decisões de adequação, quando aplicáveis
- Cláusulas Contratuais Padrão (SCCs) aprovadas pela Comissão Europeia, com medidas complementares quando necessário
- Seu consentimento explícito para transferências específicas, quando exigido pelo art. 28-8 da PIPA da Coreia
Você pode se opor a transferências internacionais; nesse caso, o recurso correspondente (notificações push, login social, envio de imagens, vídeo P2P) poderá ficar indisponível para você.
10. MEDIDAS DE SEGURANÇA
Conforme o art. 29 da PIPA da Coreia e o art. 30 do seu Decreto de Execução:
- Administrativas: encarregado de privacidade, plano interno de gestão, treinamento periódico dos funcionários, princípio do acesso mínimo necessário
- Técnicas: hash bcrypt unidirecional das senhas, criptografia TLS em trânsito, controles de acesso, monitoramento de malware, criptografia AES-256 das credenciais armazenadas no Controlador
- Físicas: controles de acesso às instalações seguras dos servidores e dispositivos de travamento
Nenhuma transmissão pela internet é totalmente segura; não podemos garantir segurança absoluta, mas aplicamos salvaguardas compatíveis com os padrões do setor.
11. NOTIFICAÇÃO DE INCIDENTES COM DADOS PESSOAIS
Em caso de incidente de violação de dados pessoais que afete suas informações, notificaremos os usuários afetados sem demora injustificada (em até 72 horas, quando exigido pelos arts. 33–34 do GDPR ou pelo art. 34 da PIPA da Coreia) e notificaremos a autoridade de supervisão competente, quando exigido. A notificação incluirá as categorias afetadas, a data, a hora e as circunstâncias, as medidas recomendadas aos usuários, as providências que tomamos e os pontos de contato.
12. PRIVACIDADE DE CRIANÇAS
Aplicamos os seguintes limites de idade com base no local de residência:
- República da Coreia: menores de 14 anos; a coleta exige o consentimento do responsável legal (art. 22-2 da PIPA)
- Estados Unidos (COPPA): menores de 13 anos; não coletamos dados pessoais intencionalmente
- UE/EEE (art. 8 do GDPR): menores de 16 anos (ou da idade inferior fixada pelo Estado-Membro correspondente, não inferior a 13 anos); a coleta exige o consentimento dos pais
Se você acredita que uma criança sob sua responsabilidade nos forneceu dados pessoais sem o consentimento adequado, entre em contato pelo e-mail support@grablo.co, e excluiremos os dados sem demora.
13. PERMISSÕES DO APLICATIVO PARA CELULAR
Conforme o art. 22-2 da Lei de Redes de Informação e Comunicação da Coreia:
- Obrigatórias: notificações (envio de notificações push)
- Opcionais: câmera (fotos de perfil), fotos / armazenamento (foto de perfil e imagens de publicações), microfone (streaming de áudio com o Controlador)
Você pode revogar as permissões opcionais a qualquer momento nas configurações do seu dispositivo; o recurso correspondente será desativado.
14. COOKIES E TECNOLOGIAS SEMELHANTES
Usamos cookies para o gerenciamento essencial da sessão (estado de login) e para lembrar as preferências do usuário (idioma, tema, avisos dispensados). Não usamos cookies de análise nem de rastreamento publicitário.
Você pode controlar os cookies nas configurações do seu navegador. Bloquear os cookies essenciais limitará o acesso aos recursos que exigem login.
Instruções para cada navegador:
- Edge: Configurações > Cookies e permissões de site > Gerenciar e excluir cookies e dados do site
- Chrome: Configurações > Privacidade e segurança > Cookies e outros dados do site
- Firefox: Configurações > Privacidade e Segurança > Cookies e dados de sites
- Safari: Preferências > Privacidade > Gerenciar Dados de Sites
- Whale: Configurações > Privacidade > Cookies e outros dados do site
15. ALTERAÇÕES DESTA POLÍTICA
Poderemos alterar esta Política. Para alterações relevantes, daremos aviso no Site Grablo, por e-mail ou por notificação no Serviço com pelo menos 30 dias de antecedência da data de vigência (ou 7 dias para alterações não relevantes). Quando a legislação local exigir aviso com maior antecedência ou procedimentos específicos, prevalecerão essas exigências.
16. ENCARREGADO DE PRIVACIDADE E CONTATO
Grablo Inc. Encarregado de privacidade: Young-Min Kim (CEO) Endereço: 8, Dunsan-ro, Seo-gu, Daejeon, República da Coreia E-mail: support@grablo.co Site: grablo.co
17. AUTORIDADES DE SUPERVISÃO
Para residentes na Coreia:
- Comissão de Proteção de Informações Pessoais (PIPC): www.pipc.go.kr
- Comitê de Mediação de Disputas sobre Informações Pessoais: 1833-6972 (www.kopico.go.kr)
- Centro de Denúncias de Violação de Privacidade da Agência Coreana de Internet e Segurança (KISA): 118 (privacy.kisa.or.kr)
Para usuários na UE/EEE, entre em contato com a autoridade nacional de proteção de dados do seu país.
Última atualização: 7 de maio de 2026