Como o Piloty trata seus dados

1. Dados Coletados

Dados de Cadastro: nome, apelido do ranking, e-mail e provedor de login (Google, Apple ou e-mail). Quando você entra com o Google, a foto do perfil é a dele, e só você a vê.

Cadastro Completo e de Instrutor: quem faz o cadastro completo, hoje exigido para se cadastrar como instrutor, informa também data de nascimento, estado, cidade e CPF. O cadastro de instrutor inclui ainda os dados da seção 8.5.

Dados de Estudo: progresso, respostas, desempenho nos simulados, pontuação, sequência de estudo, preferências de uso e os flash cards que você cria, com as imagens que você anexar.

Dados do Meu Corre (Hub do Piloto): cenários, diário de corridas, anotações da PPD, turnos e preferências são guardados no aparelho e saem com a desinstalação ou limpeza dos dados do app. Ao solicitar operações processadas no servidor, enviamos somente os inputs necessários após aviso na tela (seção 3.7), mesmo quando o cálculo não usa inteligência artificial. O contexto público e a análise pessoal seguem também as seções 3.5 e 3.6.

Dados do Aparelho: modelo, sistema operacional, versão do app, endereço IP, relatórios de erro, token de notificações e identificadores técnicos, como o identificador de publicidade no Android.

Registros de Acesso: identificador da sua conta, endereço IP, data e hora de cada abertura de sessão no app (seção 8).

O Piloty não recebe dados de cartão. As compras são processadas pela Google Play ou pela App Store e validadas pela RevenueCat.

2. Finalidade do Tratamento

Usamos seus dados para: criar e manter sua conta; salvar e personalizar sua jornada de estudos; mostrar o ranking; liberar e gerenciar Educa+ e Corre+; analisar cadastros de instrutor; exibir anúncios na versão gratuita do Android; enviar notificações; montar os insights do Hub do Piloto; entender o uso do app, corrigir falhas e medir campanhas; manter a segurança e prevenir fraude; e cumprir obrigações legais, como a guarda dos registros de acesso.

3. Análise de Uso e Medição de Campanhas

Usamos o Firebase Analytics e o Firebase Crashlytics, serviços do Google, para entender como o app é usado, identificar falhas e priorizar melhorias. Os eventos e os relatórios de erro ficam associados ao identificador da sua conta no app, sem nome ou e-mail, e cobrem telas visitadas, ações executadas e desempenho técnico. Não coletamos fotos ou dados sensíveis nesses eventos. Os dados de uso ficam no Google Analytics por até 14 meses depois da sua última atividade, e os relatórios de erro, por até 90 dias. Nos perfis identificados como menores de 18 anos em versões anteriores do app, a análise de uso, os relatórios de erro e a medição de campanhas ficam desligados. O cadastro atual não pede a sua idade.

Para medir campanhas de divulgação do app, podemos compartilhar com a Meta Platforms eventos pseudonimizados de instalação, ativação, assinatura e uso, com o identificador de publicidade no Android. No iOS, pedimos a autorização de Rastreamento da Apple antes de iniciar Meta App Events, acessar o IDFA ou sincronizar identificadores de atribuição com a RevenueCat. Se você negar, Meta, IDFA e a sincronização de atribuição permanecem desligados; eventos próprios podem continuar no Firebase Analytics. O iOS não exibe anúncios.

A base legal é o legítimo interesse do controlador (Art. 7º, IX da LGPD), para operar, proteger e melhorar o app e medir campanhas. No iOS, o rastreamento depende da sua autorização e pode ser revogado nos Ajustes. Para se opor aos demais tratamentos, escreva para contato@piloty.com.br, com retorno em até 15 dias (Art. 19 LGPD), ou use a opção Excluir Minha Conta em Perfil.

3.5 Insights do Hub do Piloto (inteligência artificial)

O Parça pode pesquisar avisos públicos para a cidade que você informou, mediante confirmação na tela. Enviamos ao servidor Piloty cidade e estado (UF), horário solicitado, tipo de trabalho (entregas, corridas, frete ou uso pessoal) e veículo (moto, carro, utilitário, caminhão ou carreta). O servidor usa Google Cloud Vertex AI (Gemini), com Pesquisa Google, para buscar informações aplicáveis com fonte, local e horário identificados.

Nesta consulta pública, não enviamos ao Google sua localização por GPS, nome, e-mail, identificador da conta nem valores financeiros, como meta, ganhos e custos. Você escolhe a cidade; o app não lê a sua posição. Sem cidade, estado e confirmação específica não fazemos a pesquisa. Isso não impede o uso dos registros e demais ferramentas disponíveis.

A pesquisa pode conter erros e não confirma demanda, remuneração, trânsito em tempo real nem permissão de circulação. Mostramos as fontes e as sugestões de pesquisa do Google que acompanham a resposta. Se não houver evidência aplicável, informamos que não foi possível confirmar o contexto; isso não significa ausência de ocorrências. Você pode reportar uma resposta no próprio app; o relato guarda só o motivo escolhido, sem texto livre.

O servidor vincula a operação à sua conta para validar acesso, crédito, limites, orçamento e impedir duplicação. Guarda hash dos inputs, resultado público com fontes, data, modelo e versão das instruções, além de metadados de uso, como contagem de tokens e tentativas. Não guarda no registro os inputs financeiros, pois esta pesquisa não os recebe, nem o prompt. Um resultado concluído pode ser recuperado pela mesma operação, sem nova pesquisa. A guarda e a exclusão seguem a seção 3.7 e as exceções da seção 8.

Operador: Google LLC (Google Cloud Vertex AI, com Grounding com a Pesquisa Google), que processa o pedido para responder. Bases legais: execução da consulta e validação do acesso (Art. 7º, V da LGPD) e legítimo interesse para segurança e prevenção à fraude (Art. 7º, IX). O processamento pode ocorrer fora do Brasil (seção 6).

3.6 Parça: análise pessoal dos seus números

O Parça pode analisar seus registros de trabalho mediante autorização específica na tela da análise. Você escolhe até sete fechamentos dos últimos 30 dias ou um resumo manual do turno atual. Enviamos ao servidor Piloty data do resumo, receitas por plataforma, quilômetros, minutos, custos extras, custo variável por quilômetro, reserva de custos fixos, meta líquida e, quando preenchidos, tempo e quilômetros por plataforma. No turno atual, enviamos também os minutos que ainda pretende trabalhar e, se você incluir uma oferta manual, repasse, quilômetros, minutos e custos extras dessa oferta. Não coletamos automaticamente corridas individuais nem enviamos notas livres, rotas, endereços ou GPS.

O servidor calcula os indicadores e envia somente os agregados ao Google Cloud Vertex AI (Gemini), para selecionar prioridades entre orientações previamente definidas. Nome, e-mail e identificador da conta não entram no pedido ao modelo. O servidor usa o identificador da conta para autenticar, verificar assinatura ou recompensa, separar o cache e controlar limites. O resultado usa cálculos sobre seus registros e não verifica ganhos nos aplicativos nem prevê demanda, economia ou faturamento.

No banco da análise pessoal guardamos por conta um hash do resumo, os identificadores das prioridades, data da geração e controles de uso e concorrência. Não guardamos ali os valores financeiros enviados nem o prompt. Uma operação concluída pode ser reconsultada com os mesmos inputs, sem nova geração. Isso não concede novas análises nem atualiza os dados ou a situação do turno automaticamente. Esses registros permanecem até serem substituídos ou a conta ser excluída, quando são abrangidos pela exclusão dos dados da conta.

Quando o acesso depende de crédito ou anúncio recompensado, o servidor valida o benefício e controla finalidade, reserva, consumo, validade e orçamento, conforme a seção 3.7. O limite semanal não representa uma franquia automática de análises gratuitas. Os controles não contêm o resumo financeiro enviado ao Parça. Os prazos gerais de guarda e as exceções da seção 8 também se aplicam.

Você pode recusar ou desligar a autorização na tela, impedindo novos pedidos de IA, e continuar registrando seus dados e navegando nos conteúdos disponíveis. Isso não apaga retroativamente registros já processados; para solicitar exclusão ou exercer seus direitos, use os canais da seção 9. Base legal: consentimento específico para enviar e analisar o resumo (Art. 7º, I da LGPD), execução do serviço para validar acesso (Art. 7º, V) e legítimo interesse para segurança e prevenção de fraude (Art. 7º, IX). O Google processa os agregados para responder à análise e o processamento pode ocorrer fora do Brasil (seção 6).

3.7 Operações, referências e créditos do Meu Corre

Ao confirmar uma análise matemática, comparação ou relatório, você recebe um aviso específico sobre o envio ao servidor para validar seu acesso. Enviamos os inputs necessários à operação escolhida, como valores, consumo, quilômetros, tempo, custos ou metas. O cálculo é feito no aparelho, sem inteligência artificial. Os inputs são enviados ao servidor para vincular e autorizar aquela operação, sem validar a exatidão dos valores informados; no registro dessa operação guardamos hash dos inputs, identificador da operação, finalidade, versão do comprovante de autorização e estado da execução, sem os valores financeiros da simulação. O resultado entregue pode permanecer no seu aparelho como snapshot, com data e origem, sem atualização automática das referências.

Para validar acesso e recuperar benefícios, o servidor associa à sua conta o tipo de operação ou guia, a oferta, a unidade de anúncio, o identificador da transação de recompensa, concessão, reserva, consumo, validade e controles contra repetição e uso simultâneo. Check-in com anúncio concede somente o crédito anunciado; não libera acesso geral por tempo. A sessão de guia tem duração e versão informadas antes do anúncio. O crédito não autoriza outra finalidade nem uma chamada de IA, rota ou pesquisa não incluída na oferta.

Os registros de operações e créditos por conta permanecem até serem substituídos, expirados e eliminados pelos controles do serviço ou abrangidos pela exclusão da conta, observadas as exceções da seção 8. A validade de um crédito ou de uma sessão limita seu uso e não é promessa de apagamento imediato do registro. Controles mínimos de transações recompensadas podem ser conservados por até 30 dias para impedir processamento duplicado, sem guardar os inputs financeiros.

Preços e tarifas de referência podem vir de fontes públicas identificadas, como ANP para gasolina, etanol, diesel e GNV e ANEEL para energia elétrica. Mostramos fonte, unidade e período aplicáveis. A referência não é o preço contratado nem a conta final com tributos, bandeiras e taxas. Os valores pessoais que você informa não são enviados à ANP, à ANEEL nem aos parceiros de publicidade como conteúdo da análise. A consulta a uma fonte de referência não verifica ganhos ou pagamentos em plataformas de trabalho.

Se uma funcionalidade usar serviço externo de rota, clima ou pesquisa, a tela informa os dados necessários antes do envio; um aceite que não inclui endereços não autoriza coleta silenciosa de origem, destino ou GPS. Essas ferramentas dependem de disponibilidade e orçamento próprios. Bases legais: execução da operação solicitada e validação do acesso (Art. 7º, V da LGPD), legítimo interesse para segurança e prevenção à fraude (Art. 7º, IX) e consentimento específico quando exigido, inclusive para o Parça pessoal (seção 3.6).

4. Bases Legais do Tratamento

Tratamos dados pessoais com base na execução do contrato (conta, estudos, ranking, Piloty Pro, cadastro de instrutor e insights do Hub do Piloto), no cumprimento de obrigação legal (registros de acesso), no exercício regular de direitos (registros de aceite e de compras), no legítimo interesse (análise de uso, medição de campanhas, publicidade, segurança e prevenção à fraude) e no consentimento, quando ele for exigido, como a análise pessoal do Parça, a selfie de verificação do instrutor e o Rastreamento no iOS.

5. Compartilhamento de Dados

Compartilhamos dados com os fornecedores e parceiros descritos nesta política para operar o serviço, gerenciar assinaturas, exibir publicidade, medir resultados e prevenir fraude. Dependendo do serviço e do tratamento realizado, esses destinatários podem atuar como operadores ou como controladores de dados, conforme os contratos e suas próprias políticas de privacidade.

Operadores de Infraestrutura: Google Cloud / Firebase (Auth, Firestore, Cloud Functions, Cloud Messaging, App Check, Storage), para hospedagem, autenticação, notificações e processamento no servidor, com criptografia em trânsito e em repouso.

Operadores de Análise e Diagnóstico: Firebase Analytics e Firebase Crashlytics (seção 3).

Operador de Inteligência Artificial: Google LLC, pelo Google Cloud Vertex AI, com Pesquisa Google para o contexto público (seção 3.5) e para as análises pessoais autorizadas do Parça (seção 3.6).

Operador de Assinaturas: RevenueCat, que gerencia as assinaturas Corre+, os passes e as compras vitalícias Educa+ e os produtos legados do Piloty Pro e valida os recibos da App Store e da Google Play. Compartilhamos o identificador da sua conta no app, o plano, os dados do recibo da loja e, para medir campanhas, identificadores do aparelho (identificador de publicidade, IP e, conforme o sistema, o Android ID ou o identificador de fornecedor do iOS), o identificador de instalação da Meta e o do Firebase. Quem usa o app sem conta aparece na RevenueCat com um identificador anônimo gerado pelo app.

Parceiros de Publicidade: no Android, usamos Google AdMob para organizar a entrega de anúncios. A Meta Platforms também pode fornecer anúncios nativos e intersticiais pelo Meta Audience Network, integrado à mediação do AdMob. A Unity Ads também pode fornecer anúncios intersticiais e recompensados pela mediação do AdMob. A Liftoff Monetize (antiga Vungle) também pode fornecer anúncios de abertura do app, intersticiais, recompensados e nativos pela mediação do AdMob. Esse uso é separado da medição de campanhas com Facebook App Events. O iOS não inicializa AdMob nem exibe anúncios. Ver seção 7.

Parceiro de Medição de Campanhas: Meta Platforms (Facebook App Events), para medição e atribuição de campanhas de aquisição (seção 3).

Cadastro de Instrutor: os dados ficam restritos à equipe de verificação do Piloty e não são compartilhados com alunos, parceiros ou terceiros, salvo ordem judicial. Depois da aprovação, só o selo de instrutor verificado aparece no ranking (seções 8.5 a 8.7).

Outros usuários: no ranking, os outros usuários veem o seu apelido (ou um codinome automático, se você não tiver apelido), a sua pontuação, a categoria da habilitação que você estuda, os seus escudos de sequência, o selo do Piloty Pro quando ele estiver ativo e, se o seu cadastro de instrutor for aprovado, o selo de instrutor verificado.

Obrigações Legais: mediante ordem judicial ou solicitação de autoridade competente.

6. Transferência Internacional de Dados

Os serviços do Google (incluindo Firebase e AdMob), RevenueCat, Meta Platforms, Unity e Liftoff podem armazenar e processar dados fora do Brasil, incluindo nos Estados Unidos. A Meta pode receber dados para publicidade no Android e para medição de campanhas, conforme as finalidades e escolhas descritas nesta política. No iOS, o compartilhamento para rastreamento depende da autorização da Apple. As transferências internacionais estão sujeitas às regras da LGPD e aos mecanismos aplicáveis a cada serviço. No caso dos insights do Hub do Piloto, o pedido de texto descrito na seção 3.5 pode ser processado em servidores do Google fora do Brasil (Arts. 33 e 34 da LGPD), com apoio nas cláusulas contratuais e nas garantias do próprio Google, e o conteúdo enviado se limita ao que a seção 3.5 lista. Você pode solicitar informações sobre os destinatários e as garantias aplicáveis pelo nosso canal de privacidade.

7. Publicidade e Anúncios

No Android, usuários do plano gratuito podem ver anúncios nativos incorporados às telas, anúncios de tela cheia em transições, anúncios na abertura do app e formatos com recompensa. Vídeos recompensados opcionais são apresentados quando você escolhe assistir para acessar um benefício; outros formatos podem aparecer durante a navegação. Corre+ remove anúncios da Educação e do Meu Corre. Vitalício e passes Educa+ removem anúncios somente da experiência de Educação e não alteram a publicidade do Meu Corre. As condições do produto adquirido e a confirmação da loja determinam o acesso. No iOS, não há anúncios nem espaços reservados para anúncios.

A entrega é organizada pelo Google AdMob e pode incluir anúncios nativos e intersticiais do Meta Audience Network, anúncios intersticiais e recompensados da Unity Ads e anúncios de abertura do app, intersticiais, recompensados e nativos da Liftoff Monetize (Liftoff Mobile, Inc. e afiliadas). Os parceiros podem tratar endereço IP e localização aproximada derivada dele, dados técnicos do dispositivo, identificadores de publicidade e de instalação, diagnósticos, eventos de compra relacionados à publicidade e informações sobre solicitações, exibições e interações com anúncios para entregar publicidade, medir resultados e prevenir fraude. As políticas dos parceiros estão disponíveis em https://policies.google.com/privacy, https://www.facebook.com/privacy/policy/, https://unity.com/legal/privacy-policy e https://liftoff.ai/privacy-policy/.

Aplicamos ao AdMob o teto de classificação de conteúdo T (adolescentes). Nos perfis identificados como menores de 18 anos, enviamos ao AdMob a marcação de idade (tagForUnderAgeOfConsent), sinalizamos a restrição também à Unity Ads e à Liftoff e os anúncios não são personalizados.

Os anúncios podem ser personalizados com base nos identificadores de publicidade e nos dados técnicos descritos acima. Tratamos esses dados com base no legítimo interesse em sustentar a versão gratuita do app (Art. 7º, IX da LGPD), conforme a seção 4, e você pode se opor na forma da seção 9.

Você pode se opor à personalização excluindo ou redefinindo o identificador de publicidade nas configurações do Android, ou adquirindo um plano que remova anúncios na experiência correspondente, conforme o escopo Educa+/Corre+ descrito acima. Se precisar de ajuda, escreva para o nosso canal de privacidade, que responde em até 15 dias. Quando o fluxo de privacidade do AdMob exigir um formulário de escolhas na sua região, ele também fica disponível nas opções de privacidade do app. A recusa da personalização não significa, por si só, ausência de anúncios ou de todo tratamento de dados técnicos.

8. Retenção e Segurança

Mantemos seus dados pelo tempo necessário para cumprir as finalidades descritas nesta Política, ou até que você solicite a exclusão. Empregamos criptografia em trânsito e em repouso, controle de acesso baseado em funções e Firebase App Check para proteção contra acessos não autorizados.

Guardamos os registros de acesso ao app (identificador da conta, endereço IP, data e hora) por 6 meses, conforme o Art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet).

Depois da exclusão da conta (seção 9), ficam só os registros que a lei ou a defesa de direitos exigem, cada um com prazo próprio, como os registros de acesso (6 meses), os registros de compra sem o identificador da conta (3 anos) e os registros de aceite desta Política e dos Termos (5 anos). A lista completa está em https://piloty-legal.web.app/account-deletion.

8.5 Cadastro de Instrutor

Se você se cadastrar como instrutor, tratamos também: nome como consta na credencial, e-mail, celular, data de nascimento, estado e cidade, CPF, dados e fotos da credencial de instrutor do Detran, perfil profissional (como experiência, formas de pagamento aceitas e fotos do veículo), documentos de adaptação para pessoas com deficiência quando você os enviar, a declaração de responsabilidade, uma selfie de verificação (seção 8.6) e a chave PIX (seção 8.7).

Usamos esses dados para analisar o cadastro, conferir os requisitos da Resolução CONTRAN nº 1.020/2025, como a idade mínima de 21 anos e a credencial válida, e prevenir fraude. A análise é feita por pessoas da equipe Piloty e você pode pedir revisão de uma reprovação. A única ação automática é a suspensão do cadastro quando vence a validade informada da credencial: ela vale até você enviar a credencial renovada, e você pode pedir revisão pelo contato@piloty.com.br. Bases legais: procedimentos preliminares e execução de contrato (Art. 7º, V), prevenção à fraude (Art. 7º, IX) e, para a selfie, que é dado pessoal sensível, o seu consentimento específico (Art. 11, I). Os documentos de adaptação do veículo servem só para conferir a adaptação declarada.

O CPF é processado no envio e guardado apenas como hash SHA-256 calculado com uma chave secreta, que fica somente nos servidores do Piloty. Sem essa chave, não é possível recuperar o CPF a partir do hash; por isso o hash é um dado pseudonimizado e segue todas as regras desta Política. A exceção é a chave PIX, quando você escolhe o CPF como chave (seção 8.7).

Enquanto o marketplace de instrutores estiver fechado, o seu perfil não é exibido a alunos. Depois da aprovação, só o selo de instrutor verificado aparece no ranking; os demais dados do cadastro ficam restritos à equipe de verificação do Piloty.

Os dados do cadastro ficam enquanto a conta existir. As fotos da credencial e os documentos de adaptação são apagados até 4 meses depois da aprovação. Na exclusão da conta, apagamos o hash do CPF, a chave PIX e os documentos; ficam por 5 anos o resultado da verificação, a declaração, o registro do consentimento e o registro dos acessos da equipe a esses dados, sem a selfie e sem os documentos, como prova e para o exercício regular de direitos.

8.6 Verificação por Selfie (biometria)

A selfie é um dado biométrico, categoria de dado pessoal sensível (Art. 5º, II da LGPD). Ela serve só para confirmar que quem se cadastra é o titular da credencial do Detran e é tratada com base no seu consentimento específico e destacado (Art. 11, I). Uma pessoa da equipe Piloty compara a selfie com a foto da credencial, sem decisão automatizada nem inteligência artificial.

A imagem fica restrita à equipe de verificação e é apagada até 90 dias depois da aprovação, até 30 dias depois de uma reprovação ou de um pedido de correção, ou assim que você revogar o consentimento pelo contato@piloty.com.br. Você pode recusar a selfie: sem ela o cadastro de instrutor não é concluído, e você continua usando o app normalmente. Se revogar o consentimento depois do envio, apagamos a selfie e o cadastro de instrutor é encerrado.

8.7 Chave PIX do Instrutor

A chave PIX (CPF, e-mail, celular ou chave aleatória) serve para conferir se a conta de recebimento é compatível com o documento profissional, para prevenir fraude. Hoje o Piloty não recebe nem repassa pagamentos de aulas; se isso mudar, avisamos antes de usar a chave para repasses. Bases legais: procedimentos preliminares e execução de contrato (Art. 7º, V) e prevenção à fraude (Art. 7º, IX).

A chave fica criptografada (AES-256), e não como hash, porque precisa poder ser lida pela equipe na conferência. Só pessoas autorizadas da equipe Piloty conseguem lê-la, e cada leitura fica registrada. Ela não é compartilhada com alunos, parceiros ou terceiros, salvo ordem judicial, e é apagada quando você pede a exclusão dos dados de verificação e no expurgo da conta, 30 dias depois do pedido de exclusão. Sem a chave PIX, o cadastro de instrutor não é concluído.

9. Seus Direitos (LGPD)

Confirmação e Acesso: Você pode solicitar confirmação da existência de tratamento e acesso aos seus dados pessoais.

Correção: Atualize suas informações na aba "Perfil" do aplicativo ou solicite correção por e-mail.

Revogação de Consentimento: Quando o tratamento se apoiar em consentimento, você pode revogá-lo pelos canais do app ou pelo e-mail de contato, sem afetar a legalidade do tratamento realizado anteriormente.

Portabilidade: Solicite cópia dos seus dados pessoais por e-mail.

Excluir Conta: Ao solicitar a exclusão pelo app (Perfil > Excluir Minha Conta) ou por e-mail, sua conta será desativada imediatamente. Seus dados elegíveis ficarão retidos por até 30 dias para possível reativação. Após esse prazo, a exclusão será permanente, ressalvados os dados cuja retenção seja necessária por obrigação legal, regulatória, prevenção à fraude ou exercício regular de direitos. A retenção por 30 dias se fundamenta no legítimo interesse (Art. 7º, IX da LGPD) de permitir a reativação em caso de arrependimento e de prevenir o sequestro de conta.

Oposição, Anonimização, Bloqueio ou Eliminação: Você pode contestar tratamentos indevidos e solicitar as medidas cabíveis nos termos da LGPD.

Revisão e Reclamação: Você pode pedir revisão de decisões automatizadas quando aplicável e, se não houver solução adequada pelos nossos canais, poderá peticionar perante a ANPD, nos termos da regulamentação aplicável.

Responderemos sua solicitação em até 15 dias corridos da data de recebimento, conforme o Art. 19 da LGPD.

10. Alterações nesta Política

Podemos atualizar esta Política periodicamente. Avisaremos sobre alterações significativas por notificação no app ou e-mail cadastrado.