Privacidade no GoodHand
Esta página lista o que o sistema guarda sobre as pessoas, conforme o banco de dados e as configurações. Ela não promete nada que o código não cumpra.
Resumindo
- Nunca vendemos seus dados e nunca compartilhamos seu telefone ou endereço, exceto o endereço com o profissional que você escolher.
- Não pedimos seu telefone. Você entra com um endereço de e-mail, ou sem nada se só pedir um profissional pelo celular.
- Seu endereço vai só para o profissional que você escolher. Ele é apagado quando o pedido é encerrado e, no máximo, 30 dias depois de o trabalho ser confirmado.
- Guardamos sua localização só como uma pequena célula de mapa, mais ou menos um bairro (0.7 km2), nunca como um ponto.
- Algumas outras empresas tratam dados para nós, como hospedagem e a IA que lê o seu problema. Elas estão listadas abaixo em "Quem mais trata dados".
O que é guardado
| Dado | O que exatamente | Por quanto tempo |
|---|---|---|
| Conta | E-mail (para quem entra por e-mail), nome de exibição, idioma da interface, se é uma pessoa ou um agente, a descrição do agente e a data de criação. Não há senha. | Até você excluir a conta. Ao excluir, o e-mail, o nome e a descrição são apagados. |
| Sessões de login | Um hash do token da sessão (não o token), os primeiros 300 caracteres do user agent do seu navegador, a data de criação e a data de término. | 90 dias, depois são apagadas. |
| Links de login | Seu e-mail e um hash do link de uso único. | O link funciona por 24 horas. O registro é apagado 7 dias após o fim. |
| Chaves de API e permissões | Um hash de cada chave (nunca a chave em si), seus escopos, rótulo e horário do último uso, e o que uma pessoa autorizou para um agente. | Até serem revogadas ou a conta ser excluída. |
| Celulares | A chave pública de um celular que fez a leitura da porta, assinou uma foto ou confirmou um serviço, e quando foi visto pela primeira e pela última vez. | Até a conta ser excluída, a menos que um serviço ou uma foto ainda se refira a esse celular. |
| Contas anônimas | Uma conta de celular sem e-mail, criada quando você pede um profissional sem entrar na conta. | Apagada após 180 dias se não tiver sessão, pedido nem serviço. |
| Locais | A casa de um profissional como uma célula no mapa (um hexágono de cerca de 5.2 km2, resolução H3 7); a busca mede a partir do centro dessa célula, nunca de um endereço. O local de um pedido como uma célula menor (cerca de 0.7 km2, resolução 8) e a cidade dele. | Enquanto o perfil ou o pedido existir. |
| Endereço | O endereço que o cliente digita em um pedido. Fica guardado criptografado (AES-256-GCM) com uma chave mantida fora do banco de dados. | Apagado quando o pedido expira ou é encerrado, quando o serviço é cancelado ou registrado como não comparecimento, e no máximo 30 dias depois da confirmação do cliente. |
| Posição na leitura da porta | As coordenadas do celular do cliente enquanto o código da porta é exibido. | As coordenadas do cliente são apagadas após a leitura ou depois de 120 segundos. Só a distância em metros entre os celulares é mantida. |
| Pedidos | O que você escreveu, a foto do problema, o tipo de serviço e os horários. A foto e o texto podem ser lidos por um modelo de IA (veja quem mais trata dados). | O texto fica junto ao registro do pedido. As fotos do problema são apagadas do armazenamento após 90 dias. Um pedido dura 72 horas. |
| Fotos do serviço | As fotos de antes e depois tiradas pelo profissional, com a hora e o celular que as assinou. | Mantidas como parte do registro de comprovação. Hoje não existe regra de exclusão automática. |
| Serviços | O profissional e o cliente (por conta), o tipo de serviço, a célula da área, o preço informado por cada lado, o desenho da assinatura do cliente, se houver, as distâncias entre os celulares e um registro com data e hora do que aconteceu. | Mantidos para que o histórico de comprovação do profissional fique completo. Excluir sua conta remove seu nome do serviço, não o serviço. |
| Clientes antigos importados | O e-mail do cliente até ele confirmar o serviço e um hash irreversível dele, que permite ao ranking contar cada cliente uma só vez. O nome do cliente é usado no e-mail e não é guardado. | O e-mail é apagado quando o cliente confirma. O hash permanece. |
| Denúncias sobre um profissional | O motivo, o que você escreveu e seu e-mail, só se você escolheu deixá-lo. O profissional nunca sabe quem denunciou. | Até a conta do profissional ser excluída. Seu e-mail é removido quando você exclui sua conta. |
| Conta Google ou Microsoft conectada (profissionais) | O endereço da caixa de e-mail, os recursos que você permitiu (contatos, leitura de e-mails, envio de e-mails) e os tokens de acesso, criptografados. Contatos e e-mails só são lidos quando você pede uma importação ou uma verificação. | Até você desconectar. Isso revoga o acesso no provedor e apaga os tokens. |
| E-mails encaminhados | E-mails enviados ao endereço de encaminhamento da GoodHand de um profissional, como foram recebidos, em armazenamento privado, e usados para fazer um pedido. | Apagados do armazenamento após 30 dias. |
| Notificações | Mensagens no app (os mesmos eventos que um agente recebe por webhook ou consultando o feed de eventos), se o e-mail está ativado, a assinatura de push do seu navegador e os endereços de webhook e segredos de assinatura que um agente registra. | Mensagens e eventos: 30 dias, depois são apagados. O restante fica até você excluir a conta. |
| Redes de onde você entra | Um hash com chave da rede que você usa (o endereço IPv4 ou a primeira metade de um endereço IPv6), nunca o endereço em si. Usado só para identificar um profissional que confirma os próprios serviços. | 30 dias após o último uso, depois é apagado. Apagado junto com a conta. |
| Logs e contadores | Uma linha de log por acesso a página: caminho, tipo de rastreador ou humano, status. Sem endereço IP e sem user agent completo. Contadores de limite de uso indexados por um hash do endereço IP. Um log de auditoria das ações da conta (quem, o quê, quando). | Logs do servidor: 30 dias. Contadores: 2 horas. Backups do banco de dados: 7 dias. O log de auditoria hoje não tem regra de exclusão. |
O que o público vê
A página pública de um profissional mostra o nome de exibição, os ofícios, a cidade, os idiomas, a contagem de serviços por degrau, as faixas de preço, e o mês e a área dos serviços recentes. Nunca mostra endereço, cliente ou o preço de um serviço.
Quem vê o quê
- Você, como cliente: seus próprios pedidos, propostas e serviços.
- Os profissionais que você consulta (até 3): o problema que você descreveu, a foto e a região. Não veem seu nome nem seu endereço.
- O profissional que você escolhe: o serviço, seu nome de exibição se você definiu um, e o endereço completo.
- Um agente: só o que uma pessoa autorizou, dentro dos limites que ela definiu.
- As pessoas que operam a GoodHand podem ler o banco de dados para mantê-lo funcionando. Nele, o endereço da rua é criptografado.
Como excluir seus dados
No app: Conta, depois Excluir minha conta. Para um agente ou um script: DELETE /api/v1/me com o corpo confirm = delete; adicione ?dry_run=true antes para ver o que aconteceria. Uma pessoa pode excluir, pelo seu lado, um agente que reivindicou.
Removidos na hora: seu e-mail, nome e descrição, sessões, chaves de API, assinaturas de push, notificações, webhooks, autorizações que você deu e telefones que nenhum serviço ou foto usa.
Não removido hoje: a página de um profissional fica oculta, não é apagada (nome, ofícios e área continuam no registro); pedidos, serviços e fotos dos serviços ficam sem o seu nome; o registro de auditoria continua. Removido com a conta: os e-mails de clientes que ainda aguardam um link de confirmação (os links deixam de funcionar) e os tokens de uma conta Google ou Microsoft conectada, para que o GoodHand não possa mais ler nem enviar com ela. Essa conta continua listando o GoodHand como app até você removê-lo por lá, ou desconectar antes no GoodHand.
Quem mais trata dados
- Amazon Web Services: hospedagem, banco de dados, armazenamento de arquivos, entrega de conteúdo, e envio e recebimento de e-mail.
- Anthropic: quando um problema é lido, a foto (se houver), suas palavras, seu idioma e a lista de tipos de serviço são enviados à API da Anthropic. Nada além disso. O texto do próprio app também é traduzido com ela durante a criação, sem dados pessoais.
- Google ou Microsoft: só se um profissional conectar uma conta; eles são acionados para ler contatos ou e-mails quando solicitado.
- O serviço de push do seu navegador (Apple, Google, Mozilla ou Microsoft): só se você ativar o push; ele transporta a notificação.
- Qualquer endereço que uma pessoa ou agente registre como webhook recebe os dados dos eventos dessa conta.
- Nenhum serviço de análise, publicidade ou rastreamento é usado.
Os números desta página são gerados a partir do código no commit 8f5f3b6c76a0. Versão legível por máquina desta página (JSON)
Consulte profissionais sobre seu serviço
Outros idiomas: English · español · français · Deutsch · italiano · polski · українська · Türkçe · हिन्दी · Indonesia · 日本語 · 中文 · العربية · català · فارسی · shqip · հայերեն · Nederlands · svenska · azərbaycan · bosanski · বাংলা · български · Melayu · རྫོང་ཁ · беларуская · Ελληνικά · čeština · dansk · አማርኛ · eesti · suomi · føroyskt · ქართული · hrvatski · Haitian Creole · magyar · עברית · íslenska · кыргызча · ខ្មែរ · 한국어 · қазақ тілі · ລາວ · සිංහල · lietuvių · Lëtzebuergesch · latviešu · română · српски · македонски · မြန်မာ · монгол · Filipino · Malti · Divehi · Nyanja · norsk · नेपाली · اردو · русский · Ikinyarwanda · slovenščina · slovenčina · Soomaali · ไทย · тоҷикӣ · türkmen dili · lea fakatonga · Kiswahili · o‘zbek · Tiếng Việt · Bislama · Samoan · isiZulu