Política de Privacidade

1. Visão Geral

BabySteps (o "Serviço") é uma plataforma de aprendizado com inteligência artificial para crianças de 0 a 10 anos. Esta política explica como o Serviço coleta, usa, armazena e exclui seus dados pessoais, em conformidade com as leis de proteção de dados infantis aplicáveis (por exemplo, COPPA nos EUA, GDPR-K na UE, Artigo 30 da Lei Coreana de Proteção de Informações Pessoais (PIPA) para usuários coreanos).

2. Dados pessoais que coletamos

2-1. Cadastro e gerenciamento de conta (pai/mãe / responsável legal)

• Obrigatório: endereço de e-mail e um ID de conta social exclusivo (Google ou Apple Sign-In)
• Opcional: apelido e foto de perfil

2-2. Registros de uso do Serviço

• Histórico de conteúdo de aprendizado com IA (histórias, inglês, coreano, números, colorir)
• Texto e recursos de conteúdo gerados (corpo da história, materiais de aprendizado, páginas para colorir)
• Dados de traços de colorir criados pela criança (coloring_strokes)
• Contagens de uso por recurso, carimbos de data/hora e uso de tokens (usage_logs) — usados para faturamento e melhoria do produto
• Dados de progresso de aprendizado (como resultados de questionários)

2-3. Informações de pagamento (assinaturas pagas)

• Carimbo de data/hora da compra, valor, tipo de método de pagamento e período da assinatura
• * Números de cartão, datas de validade e outras credenciais de pagamento reais nunca são armazenados pelo Serviço. A Apple App Store, o Google Play e nosso processador de assinaturas (RevenueCat) os gerenciam.

2-4. Perfil de voz (recurso opcional)

• Chave de API TTS (Fish Audio) inserida pelo usuário, armazenada criptografada
• Gravações de voz que você faz para criar um modelo de voz (enviadas ao Fish Audio), ID de perfil de voz gerado e configurações de voz

2-5. Informações coletadas automaticamente

• Endereço IP, navegador, sistema operacional, data e hora de acesso (logs do Vercel · proxy da Cloudflare)
• Cookies e tokens de sessão (Supabase Auth)
• Cookies de análise (Google Analytics — não coletamos no EEE, Reino Unido nem na Suíça)

2-6. O que NÃO coletamos

• Nome real da criança, data de nascimento, endereço, número de telefone ou outras informações de identificação direta
• Dados de localização, contatos do dispositivo, biblioteca de fotos, permissões de câmera ou microfone
• Identificadores de publicidade (GAID / IDFA)

3. Como usamos os dados pessoais

• Autenticação de contas, gerenciamento de contas e fornecimento do Serviço
• Geração e entrega de conteúdo de aprendizado com IA adequado à idade
• Processamento de pagamentos de assinaturas e gerenciamento do status da assinatura
• Estatísticas de uso do Serviço, melhoria da qualidade e análise de erros
• Prevenção de abuso e manutenção da segurança do Serviço
• Cumprimento de obrigações legais, como a retenção de registros de transações de acordo com as leis de e-commerce aplicáveis

4. Retenção e exclusão

• Informações da conta e perfil: excluídos imediatamente quando você fecha sua conta
• Conteúdo de aprendizado: excluído automaticamente após 14 dias (Gratuito) ou 30 dias (Premium); itens marcados como Salvar Permanentemente são mantidos
• Registros de uso (usage_logs): retidos por 90 dias após o fechamento da conta e, em seguida, excluídos
• Registros de pagamento e transação: retidos por 5 anos quando exigido pelas leis de e-commerce aplicáveis (Lei Coreana de Proteção ao Consumidor no E-Commerce para usuários coreanos)
• Registros de acesso: retidos por 3 meses quando exigido pelas leis de sigilo de comunicação aplicáveis (Lei Coreana de Privacidade das Comunicações para usuários coreanos)
• Registros de abuso: retidos por 1 ano e, em seguida, excluídos

5. Compartilhamento e processamento por terceiros

Não vendemos ou compartilhamos seus dados pessoais com terceiros para seus próprios fins. Para operar o Serviço, usamos os processadores confiáveis listados abaixo. Alguns estão localizados fora do seu país, por isso divulgamos esta transferência no momento do cadastro.

Ao gerar conteúdo de IA, apenas as informações necessárias para a geração (como tópico e faixa etária) são enviadas para o Google e o Fish Audio. Informações de identificação, como seu e-mail, nunca são enviadas.

6. Privacidade das crianças (consentimento parental)

O Serviço foi desenvolvido principalmente para crianças, e proteger a privacidade delas é nossa principal prioridade.

• Crianças menores de 14 anos precisam de consentimento prévio de um pai ou responsável legal para usar o Serviço, conforme exigido pelas leis de proteção de dados infantis aplicáveis (por exemplo, COPPA nos EUA, GDPR-K na UE, Artigo 22-2 da Lei Coreana de Proteção de Informações Pessoais (PIPA) para usuários coreanos).
• O cadastro é realizado por um pai ou responsável legal usando uma conta Google ou Apple. O fluxo de cadastro inclui uma caixa de seleção de consentimento parental.
• Não coletamos dados pessoais diretamente de crianças. O cadastro, pagamento e gerenciamento de conta são todos feitos pelo pai ou responsável legal.
• Não realizamos rastreamento comportamental, criação de perfis ou publicidade direcionada a crianças (em conformidade com COPPA / GDPR-K).
• Não fornecemos recursos de comunicação entre crianças, como chat, comentários ou compartilhamento.
• Um Controle Parental impede compras acidentais por crianças no checkout.
• Um pai ou responsável legal pode, a qualquer momento, solicitar acesso, correção, exclusão ou suspensão do processamento dos dados pessoais de seu filho.

Consulte o Aviso de Consentimento Parental para detalhes completos.

7. Seus direitos e como exercê-los

• Você pode solicitar acesso, correção, exclusão ou suspensão do processamento de seus dados pessoais a qualquer momento.
• Você pode excluir todos os seus dados pessoais imediatamente fechando sua conta no menu Perfil.
• Envie solicitações através do menu Perfil ou para kyd3534@gmail.com; responderemos sem atrasos indevidos.
• Para crianças menores de 14 anos, um pai ou responsável legal pode exercer esses direitos em nome da criança.

8. Como mantemos seus dados seguros

• Todo o tráfego usa criptografia HTTPS (TLS).
• Não armazenamos senhas (apenas Login com Google e Apple são suportados).
• Valores sensíveis, como chaves de API TTS (Fish Audio), são criptografados em repouso.
• A Segurança em Nível de Linha (RLS) do Supabase isola os dados de cada usuário.
• O acesso administrativo é limitado a contas designadas e a atividade de acesso é registrada.
• A equipe interna recebe treinamento regular sobre privacidade e proteção de dados.

9. Cookies e tecnologias semelhantes

• Usamos cookies essenciais para manter você conectado (Autenticação Supabase).
• O Vercel Analytics pode coletar estatísticas agregadas de visitas para nos ajudar a melhorar o Serviço (sem identificação pessoal).
• Não usamos cookies de publicidade ou rastreamento.

10. Contato de privacidade

Informações sobre nosso encarregado de privacidade e contato comercial estão disponíveis na página de Informações Comerciais. Para perguntas sobre privacidade, envie um e-mail para kyd3534@gmail.com.

Se você estiver em outra jurisdição, também pode entrar em contato com sua autoridade local de proteção de dados (por exemplo, a FTC nos EUA, o ICO no Reino Unido, sua DPA da UE aplicável, ou o Centro de Relatórios de Violação de Privacidade da KISA em privacy.kisa.or.kr para usuários coreanos).

11. Alterações a esta política

Se atualizarmos esta política, publicaremos um aviso no Serviço pelo menos 7 dias antes que a alteração entre em vigor. Para alterações que desfavoreçam os usuários, daremos um aviso de 30 dias.