Exclusão de dados

O Vestigo é usado por agências para medir os sites, as lojas e os cursos de outras empresas. Se seus dados estão aqui, foi porque você usou o site, comprou o produto ou estudou no curso de uma dessas empresas — e é ela quem decidiu coletá-los.

Por isso há dois caminhos, e eles não são equivalentes:

• Pedir à empresa cujo site você usou. É o caminho mais rápido: ela tem o painel aberto e apaga o contato na hora.
• Pedir a nós. Escreva para privacidade@vestigo.ia.br. Encaminhamos o pedido a quem controla os dados e executamos a exclusão no que está sob nossa guarda.

Escreva para nós informando:

• o e-mail e/ou o telefone que você usou no site ou na compra — é por eles que o registro é localizado;
• o site, a loja ou o curso em que isso aconteceu, se você souber;
• se você chegou aqui vindo da Meta, o código de confirmação que eles mostraram.

Podemos pedir uma confirmação de que o endereço é seu antes de apagar qualquer coisa: apagar o registro de outra pessoa a pedido de quem não é ela seria o mesmo defeito com o sinal trocado.

O prazo é de 15 dias corridos, contados de quando o pedido chega — ou de quando a confirmação de que ele é seu chega, se precisarmos pedi-la. É o mesmo prazo da política de privacidade, e vale para o que está sob nossa guarda. Quando o dado está sob controle da empresa cujo site você usou, encaminhamos a ela em até 5 dias úteis e avisamos você de que encaminhamos, dizendo para quem.

Uma ressalva que preferimos escrever a omitir: cópias de segurança. O que já entrou numa cópia de segurança sai dela quando aquela cópia expira, no ciclo dela — e não voltamos atrás para reintroduzir o que foi apagado. Nenhuma cópia é restaurada para trazer de volta um dado excluído.

O contato e a linha do tempo dele: nome, e-mail, telefone, localização, histórico de compras, tudo o que identificava você dentro dos eventos de navegação (o evento em si continua existindo, sem dono — está detalhado abaixo), as gravações de sessão em que essa pessoa foi identificada, matrícula e progresso em área de membros, e a inscrição em listas de e-mail.

Parte do que guardamos expira sozinha, sem pedido nenhum: os recibos de webhook após 90 dias e os registros de envio após 90 dias. Esses números são os desta instalação, lidos da configuração em execução.

Os eventos de navegação não expiram sozinhos. Eles ficam enquanto a conta do cliente existir, e o seu pedido os alcança: quando uma exclusão é atendida, sai da linha tudo o que a ligava a você — nome, e-mail, telefone, endereço IP, identificação do navegador, localização e os identificadores de clique das plataformas de anúncio. Fica o que aconteceu, sem dono: a data, a página, o valor da compra e um código aleatório de visitante que não aponta para você nem para nenhum outro dado seu.

O que fica, mesmo depois do pedido, e por quê:

• Registros de acesso a aplicação — quem acessou o quê, quando e de qual IP —, pelos 6 meses que o Marco Civil da Internet obriga a guardar (art. 15), e depois descartados. Ordem judicial pode determinar guarda maior (art. 15, §2º); fora disso, o prazo é esse. O art. 13, de registro de conexão, não nos alcança: não somos provedor de conexão.
• Documentos fiscais e contábeis das assinaturas das agências, pelo prazo da legislação tributária — em regra 5 anos (Código Tributário Nacional, art. 173 e 174). Eles dizem respeito a quem nos contrata, e não a quem foi medido: se você é visitante, comprador ou aluno, seus dados não estão aqui.
• O registro do próprio pedido de exclusão, reduzido ao mínimo que prova que ele foi atendido: a data, o alcance e o desfecho, com o contato guardado apenas como impressão digital, não em texto legível. Sem esse registro não teríamos como demonstrar o cumprimento (art. 37) — e com ele completo estaríamos guardando justamente o que você pediu para apagar.

Nada além disto é retido por "interesse legítimo", e não há um resíduo que fique guardado por conveniência: o que não está na lista acima é apagado, ou fica sem qualquer ligação com você — como os eventos de navegação descritos acima.

Quando uma conversão foi enviada a Meta, Google, TikTok ou OpenAI, aquele envio já aconteceu e passou a ser tratado por eles, sob os termos deles. Apagar seus dados aqui não os apaga lá, e nós não temos como apagá-los no lugar deles.

O que sim acontece, e é consequência do mecanismo e não de uma promessa: apagado o contato, os envios seguintes não o incluem. Não porque um filtro passe a excluí-lo, mas porque o registro que alimentava aqueles envios deixou de existir — não há de onde ele sair.

Para alcançar o que já foi enviado, o caminho é o de cada plataforma:

• Meta — Central de Privacidade da sua conta, em "Suas informações e permissões", e a "Atividade fora da Meta", onde a atividade recebida de sites de terceiros pode ser desconectada e apagada.
• Google — "Minha Atividade" e as configurações de personalização de anúncios da sua Conta Google.
• TikTok — Configurações e privacidade, em "Privacidade" e "Personalização e dados".
• OpenAI — o canal de privacidade da própria OpenAI.

O mesmo vale para dados que a empresa cujo site você usou mantenha em outros sistemas dela — CRM, plataforma de e-mail, ferramenta de atendimento. Apagar aqui não apaga lá, e quem consegue apagar lá é ela.

Quando um pedido de exclusão chega pelo login da Meta, a plataforma envia a pessoa a esta página com um código de confirmação para acompanhar o andamento. O campo no topo desta página é onde esse código é consultado.

O recebimento automático desses pedidos está em serviço nesta instalação, em /ml/exclusao-de-dados.