POLÍTICA DE PRIVACIDADE - QORRIA

Data de Vigência: 29/10/2026
Última Atualização: 04/11/2026
Versão: 1

1. IDENTIFICAÇÃO DO CONTROLADOR

Razão Social: AUDSOM STUDIO E TECNOLOGIA LTDA
CNPJ: 59.616.095/0001-15
Endereço: Av. General Ataíde Teive, 832, Mecejana, Boa Vista/RR, CEP 69.304-360
E-mail: [email protected]
Site: https://qorria.com

Canal de comunicação com o titular (LGPD, art. 18): [email protected]
Encarregado: a AUDSOM, controladora do Qorria, é agente de tratamento de pequeno porte e, por isso, não indica encarregado (Resolução CD/ANPD nº 2/2022, art. 11). O canal acima é o de comunicação com você, para exercer os direitos do art. 18 da LGPD.
Prazo de resposta: até 15 (quinze) dias, contados do requerimento

2. SOBRE ESTA POLÍTICA

Esta Política de Privacidade descreve como o Qorria coleta, usa, armazena, compartilha e protege seus dados pessoais, em conformidade com:

Lei Geral de Proteção de Dados Pessoais (LGPD) - Lei nº 13.709/2018
Marco Civil da Internet - Lei nº 12.965/2014
Código de Defesa do Consumidor - Lei nº 8.078/1990

O que é o Qorria?

Qorria é um aplicativo móvel Android que capacita motoristas de aplicativo (Uber, 99 e inDrive) a tomar decisões baseadas em lucro real, calculando instantaneamente a rentabilidade de cada corrida, considerando todos os custos operacionais (combustível, manutenção, depreciação, volta morta).

Quem deve ler esta política?

Esta política aplica-se a motoristas profissionais de aplicativo ("Usuário", "você") que utilizam o Qorria para análise de rentabilidade de corridas e a quem se inscreve, pelo site, no programa de testadores (Seção 3.9), mesmo sem nunca ter usado o aplicativo.

3. DADOS PESSOAIS COLETADOS

3.1 Dados de Cadastro e Identificação

Quais dados coletamos:

Nome completo
Endereço de e-mail
Foto de perfil (opcional)
ID do usuário Firebase

Como a conta nasce: o Qorria só tem login com a conta Google, sem cadastro com e-mail e senha. A conta é criada no primeiro login, e o Google entrega ao Qorria o seu nome, o seu e-mail e a sua foto de perfil. O Qorria não recebe nem guarda a senha da sua conta Google e não pede o seu telefone.

Finalidades:

Criar e gerenciar sua conta no aplicativo
Autenticar seu acesso de forma segura
Personalizar sua experiência no app
Comunicar avisos importantes sobre o serviço

Base Legal: Execução de Contrato (Art. 7º, V da LGPD); o código de bloqueio da conta apagada, que fica depois da exclusão (Seção 8.1), é de Legítimo Interesse (Art. 7º, IX e Art. 10 da LGPD), e você pode se opor a ele (Seção 7.8)

Prazo de Retenção: Durante a vigência da conta. Quando você exclui a conta, os dados do seu cadastro são apagados junto com ela (Seção 8.3); o Qorria não guarda o cadastro por 5 (cinco) anos depois da exclusão

Obrigatoriedade: Nome e e-mail são obrigatórios para uso do aplicativo. A foto é opcional.

3.2 Dados de Localização Geográfica (DADO SENSÍVEL)

⚠️ ATENÇÃO: Localização é considerada dado sensível quando revela padrões de comportamento, rotina ou locais frequentados.

Quais dados coletamos:

Coordenadas GPS de origem de cada oferta de corrida analisada
Coordenadas GPS de destino de cada oferta de corrida analisada
Timestamp (data e hora) de cada coleta de localização
Zonas geográficas customizadas que você criar (polígonos no mapa). A zona vai ao servidor do Qorria, com o desenho, o nome, o tipo, a cor, se está ativa e as regras dela: é por ela que o servidor conta as zonas do seu plano e libera os bairros da cidade, e ela fica lá enquanto existir. Quando você apaga a zona, o servidor a apaga assim que o aparelho o avisa; as zonas que você já tinha apagado também saem. Ficam só registros sem o desenho (o código da zona, a sua conta, o país e a data), para os seus outros aparelhos saberem que ela saiu, até a exclusão da conta (Seção 8.3). As cópias de segurança cifradas seguem o prazo da Seção 8.1.
Posição do aparelho no momento da análise de cada oferta de corrida
Percurso da jornada: os pontos de GPS (latitude, longitude, precisão, velocidade e horário) registrados enquanto uma jornada está ativa
Padrões de deslocamento agregados para insights

Finalidades:

Calcular a distância real de cada oferta de corrida
Detectar ofertas de "volta morta" (destino distante da sua área de trabalho)
Analisar rentabilidade por região/zona geográfica
Aplicar as suas zonas à análise de cada oferta
Gerar relatórios de faturamento por área
Calcular custos de combustível com base em km rodados
Calcular o km rodado e montar o resumo de cada jornada
Fornecer insights sobre as áreas mais lucrativas

Base Legal: Consentimento Específico e Destacado (Art. 11º, I da LGPD)

Como coletamos: A localização é coletada de quatro formas, e cada uma só acontece enquanto o recurso correspondente está em uso:

Análise de ofertas (Módulo Piloto): com o Módulo Piloto ativo, o Qorria lê a posição do aparelho, uma vez, a cada oferta que analisa, se a permissão de localização estiver concedida e o GPS ligado
Jornada: a jornada começa quando você toca em Iniciar jornada, na tela Jornada, ou junto com o Módulo Piloto, se você ligar a opção Iniciar junto com o Piloto. Enquanto ela dura, o Qorria registra o seu percurso pelo GPS (uma posição a cada 10 metros, em intervalos de 3 segundos), mantém o GPS ativo com o app em segundo plano e mostra uma notificação fixa ("Qorria — jornada ativa: Registrando seu percurso no aparelho"). Só o botão Encerrar jornada a encerra: desativar o Módulo Piloto não a encerra, e, se o app for encerrado de forma abrupta, a jornada continua ativa e o registro é retomado quando você abre o app de novo
Zonas: ao abrir o mapa para desenhar uma zona, e quando você toca no botão de recentralizar, o Qorria lê a posição do aparelho, uma vez, para centralizar o mapa em você. Ao abrir a criação de zonas por modelo (os bairros da cidade), ou ao pedir de novo a detecção da cidade nessa tela, o Qorria lê a posição uma vez e a envia ao servidor do Qorria, que identifica a cidade e devolve os bairros dela. Nessa leitura vão ao servidor os mesmos dados da ativação dos bairros (a latitude e a longitude arredondadas a 4 casas decimais, a precisão e a hora da leitura e a indicação de posição simulada), e ele também deixa gravada a autorização descrita em "Bairros da cidade para uso sem internet", sem a posição
Bairros da cidade para uso sem internet: só quando você toca para ativar os bairros de uma cidade, o Qorria explica o motivo numa frase, pede a permissão de localização do Android e lê a posição do aparelho, uma vez. Ele a envia ao servidor do Qorria com a latitude e a longitude arredondadas a 4 casas decimais (cerca de 11 metros), a precisão da leitura, a hora da leitura e a indicação, dada pelo Android, de a posição estar marcada como simulada, junto com o identificador do aparelho e da sessão, como nos demais pedidos. O servidor confere, na hora, se a posição está dentro da cidade e se a leitura é recente, precisa e válida, e recusa o pedido que não passa na conferência. Se passa, libera os dados da cidade por meio de uma autorização que vale 15 minutos. Os dados chegam ao aparelho por uma rede de entrega de arquivos (o Bunny, Seção 4.1). Depois, a cada cerca de 7 dias, ao abrir o app dentro da cidade ativada, o Qorria atualiza esses bairros sozinho, sem aviso: lê a posição uma vez, no máximo uma vez por dia em cada cidade
Onde ficam: a posição lida a cada oferta e o percurso da jornada ficam apenas no banco do aparelho; o Qorria não envia o percurso ao servidor. Os dois entram na exportação dos seus dados. A posição lida para centralizar o mapa não é gravada. A posição enviada para identificar a cidade é usada pelo servidor só nessa consulta: ele não a grava no banco de dados. A posição enviada para ver, ativar ou atualizar os bairros de uma cidade o servidor também não a grava: ele a usa só na conferência. Fica gravada só a autorização, sem a posição (a conta, o aparelho, a cidade, o tipo (município) e o prazo, mais uma versão embaralhada, que não volta ao original, do código de uso único) e, depois que ela é usada, a ativação da cidade (a conta, o aparelho, a zona, a cidade, o que foi liberado e as datas), também sem a posição. A autorização que não foi usada e venceu é apagada no próximo pedido que você fizer para ver ou ativar os bairros de uma cidade; a usada fica com a ativação, até você apagar ou desativar a zona da cidade, e as duas saem na exclusão da conta (Seção 8.1)

Prazo de Retenção: a posição lida a cada oferta fica no aparelho pelo prazo que você escolhe em Configurações → Privacidade e Dados Pessoais → Retenção de Dados de Localização: 3, 6, 12 ou 24 meses, com 12 meses por padrão. Passado o prazo, a posição é apagada da oferta; a oferta e os valores dela continuam no histórico, sem a posição. O percurso da jornada é apagado 90 (noventa) dias depois de a jornada terminar, qualquer que seja o prazo escolhido. A exclusão acontece quando você abre o aplicativo e na hora em que você troca o prazo; com o aplicativo fechado, nada é apagado. Os endereços e as coordenadas de embarque, das paradas e de destino de cada oferta não são a posição do seu aparelho: fazem parte da oferta e são dados do passageiro, e seguem o mesmo prazo da posição. Passado o prazo que você escolheu, saem da oferta junto com a posição, e a oferta e os valores dela continuam no histórico (Seção 3.8 e Seção 8.1).

Obrigatoriedade: A localização não é obrigatória para usar o Qorria. Sem ela (com a permissão do Android negada ou com o consentimento revogado), o Módulo Piloto continua analisando as ofertas, sem a posição do aparelho; o mapa de zonas abre sem centralizar na sua posição; a criação de zonas por modelo pede a cidade e a UF, no lugar de detectá-las; os bairros de uma cidade não são ativados para uso sem internet nem atualizados; e a jornada que já estava aberta continua aberta, sem registrar o percurso, até você encerrá-la. Iniciar uma jornada nova exige a permissão de localização e o consentimento, porque a jornada existe para registrar o percurso. O Módulo Gestor (controle de custos) funciona normalmente.

Como revogar: A qualquer momento, desligue o interruptor Localização Precisa (GPS) em Configurações → Privacidade e Dados Pessoais. A coleta para na hora: o percurso da jornada deixa de ser registrado (a jornada segue aberta), a posição deixa de ser lida a cada oferta, o mapa de zonas abre sem centralizar na sua posição, a criação de zonas por modelo deixa de detectar a sua cidade e os bairros de uma cidade deixam de ser ativados e atualizados. Para voltar a coletar, ligue o interruptor de novo (depois de revogado, o item também aparece em Configurações → Dados e Privacidade → Consentimentos, com o botão Reativar Consentimento); se houver uma jornada aberta, o registro do percurso recomeça. Você também pode retirar do Qorria a permissão de localização nas configurações do Android (Configurações → Apps → Qorria → Permissões → Localização): é por essa permissão que o aplicativo pede a localização, e ela vale enquanto você não revogar o consentimento no aplicativo. Revogar não apaga o que já foi gravado: o histórico de localização (a posição lida a cada oferta e o percurso das jornadas) existe só no aparelho, segue os prazos de retenção acima e se apaga com a exclusão da conta no aplicativo (Configurações → Dados e Privacidade → Excluir Minha Conta), que remove os registros do banco do aparelho. O que o Qorria guarda no servidor, você pede ao [email protected].

3.3 Dados Financeiros e Operacionais

Quais dados coletamos:

Receitas por corrida (valor bruto de cada viagem)
Despesas variáveis (abastecimentos, manutenções pontuais)
Custos fixos mensais (IPVA, licenciamento, seguro, financiamento)
Meta de lucro por km configurada por você
Lucro líquido calculado por corrida e período
Indicadores de desempenho (taxa de aceitação, quantidade de corridas/dia)
Histórico de ofertas analisadas e decisões tomadas (aceita/rejeitada)

Finalidades:

Calcular o custo real por km do seu veículo
Exibir o lucro líquido de cada oferta em tempo real
Gerar relatórios financeiros detalhados (diário, semanal, mensal)
Comparar receitas x despesas x lucro
Fornecer insights sobre rentabilidade
Permitir análise de tendências ao longo do tempo

Base Legal: Execução de Contrato (Art. 7º, V da LGPD)

Prazo de Retenção: Durante a vigência da conta. Quando você exclui a conta, estes dados saem junto com ela (Seção 8.3); o Qorria não os guarda por 5 (cinco) anos depois da exclusão

Obrigatoriedade: Dados financeiros são necessários para o funcionamento do app, mas você escolhe o nível de detalhamento que deseja fornecer.

3.4 Dados Veiculares

Quais dados coletamos:

Placa do veículo (formato XXX-9X99)
Marca, modelo, ano de fabricação
Cor, categoria (sedan, hatch, SUV)
Valor de compra e valor atual estimado
Quilometragem inicial e atual
Média de consumo (km/litro)
Histórico de manutenções

Finalidades:

Identificar unicamente o veículo principal de trabalho
Calcular depreciação anual
Estimar custos de manutenção preventiva
Vincular despesas ao veículo correto (caso tenha múltiplos)
Gerar relatórios de custo total de propriedade (TCO)

Base Legal: Execução de Contrato (Art. 7º, V da LGPD)

Prazo de Retenção: Durante a vigência da conta. Quando você exclui a conta, os dados do veículo saem junto com ela (Seção 8.3); o Qorria não os guarda por 5 (cinco) anos depois da exclusão

Observação Importante: A placa do veículo é um identificador único que permite vincular o veículo ao proprietário através de bases públicas (DETRAN). Tratamos este dado com proteção reforçada: ele fica no banco de dados do seu aparelho, que é cifrado por inteiro.

Obrigatoriedade: Ao menos um veículo deve ser cadastrado para uso do app.

3.5 Dados de Navegação e Comportamento

Analytics e relatório de erro nascem desligados. O Qorria só coleta os dados da lista "Com o seu consentimento" depois que você liga o consentimento, e você o desliga quando quiser (veja "Como ligar e desligar", abaixo). Sem o seu consentimento, nada disso sai do aparelho.

Quais dados coletamos automaticamente, sem depender do consentimento:

O registro técnico de acessos do servidor, a cada requisição que o aplicativo ou o site faz à API, com dois conjuntos de dados: o registro de acessos (a data, a hora, o endereço IP, a porta de origem da conexão, quando a rede da Cloudflare a informa ao servidor, e, quando você está com a sessão aberta, o código interno da sua conta no Qorria) e os dados técnicos da requisição (o agente do navegador ou do cliente (user agent), o método e o caminho acessados (o caminho é gravado com os códigos de caractere da URL já convertidos em texto, como o %20, que vira um espaço, e os parâmetros da URL são ocultados; o agente, o método, o caminho e o identificador são cortados em 2 KiB cada um, e o byte que não forma texto é trocado por um sinal de substituição), um identificador da requisição, gerado pelo servidor para ligar as linhas do mesmo pedido, o resultado (código de status), o tamanho da resposta em bytes e a duração). O caminho pode trazer o código de um recurso (de um chamado, de uma inscrição, de um aparelho e, nas consultas da equipe pelo painel, o de uma conta), e nenhuma rota leva no caminho o seu nome, o seu e-mail, o seu telefone nem o seu endereço. A porta de origem separa um acesso do outro quando várias pessoas dividem o mesmo endereço IP. O código da conta é gravado também quando o Qorria recusa o acesso de uma conta suspensa (Seção 3.11), e não é gravado depois que a conta é excluída

Quais dados coletamos com o seu consentimento:

Eventos de uso (Firebase Analytics) que o aplicativo registra, descritos nos quatro itens a seguir. São contagens, faixas e identificadores técnicos: nenhum deles leva o valor de uma corrida, um endereço, o nome de um passageiro nem o texto de uma oferta
Eventos de uso da economia do copiloto: a exibição do painel de economia e o toque no convite para conhecer os planos, com o período escolhido, se houve economia, a quantidade de ofertas recusadas e a faixa do valor economizado
Eventos de uso dos filtros de corrida: a exibição e o descarte de uma sugestão de filtro e a abertura do passo a passo, com a plataforma (Uber, 99 e as demais); a aplicação de um filtro calibrado, com o grau de confiança, a faixa do tamanho da amostra, a proporção do ajuste, a faixa de horário e se há zona; e a simulação do impacto de um filtro, com o período, a quantidade de ofertas afetadas e as faixas da diferença de lucro e de distância
Eventos de uso da saúde da leitura de ofertas: por aplicativo de transporte e pela versão dele, quantas leituras foram feitas no período e em quantas delas cada campo (valor, distância, origem, destino, tempo e tarifa dinâmica) foi encontrado, sem o conteúdo dos campos
Eventos de uso da inteligência artificial no aparelho, que tenta recuperar a leitura de uma oferta que falhou: se foi acionada, se melhorou a leitura, se foi pulada, se estava indisponível ou se falhou, com a plataforma, o tempo gasto e o motivo; e, quando ela tenta propor uma regra de leitura nova, se a regra foi gerada ou não, se a tentativa foi pulada ou falhou e se a regra foi recusada por conter dado pessoal, mais um sinal sobre a regra gerada: a plataforma, o identificador e a versão do aplicativo de transporte, o país, a origem da regra, a causa da falha, uma impressão digital (hash) da regra e quantos campos ela cobre, sem o texto da regra
Relatórios de erro (Firebase Crashlytics e o registro de erros do servidor do Qorria, ligado à sua conta): ao Crashlytics vão a classe do erro, a pilha de chamadas, um rótulo fixo do ponto do aplicativo em que o erro ocorreu e a indicação de que o erro foi fatal ou não; ao servidor vão também a gravidade, a versão do aplicativo, o ambiente, a plataforma, o momento em que o erro ocorreu e dados técnicos da operação (a operação, a tentativa, o estado, se pode ser repetida e o código de resposta do servidor). A pilha traz as funções, os arquivos e as linhas do aplicativo e das bibliotecas que ele usa; quando o aplicativo for compilado de forma ofuscada, a pilha traz os endereços e o identificador da compilação no lugar dos nomes. Nenhum dos dois destinos recebe a mensagem do erro. Para limitar quantos avisos de erro novos a equipe recebe por hora, o servidor também guarda um contador com o identificador da sua conta e a quantidade de erros novos que ela abriu naquela hora; esse contador não leva o erro nem a pilha, sai em até 2 (dois) dias e é apagado quando você exclui a conta
O que o próprio SDK do Firebase coleta quando a coleta está ligada, por conta do Google e não de um código do Qorria: os eventos automáticos do Firebase Analytics (como a primeira abertura, o início de sessão e a atualização do aplicativo); o travamento do aplicativo que o Firebase Crashlytics captura sozinho, com a pilha de chamadas e a mensagem da falha; e dados técnicos anexados a esses envios, como o modelo do aparelho e a versão do Android

Finalidades:

Melhorar a experiência do usuário e desenvolver novas funcionalidades baseadas em uso real (eventos de uso, com consentimento)
Detectar quando a leitura das ofertas de um aplicativo de transporte deixa de funcionar e corrigi-la (eventos de uso da saúde da leitura e da inteligência artificial no aparelho, com consentimento)
Corrigir bugs e erros e otimizar o desempenho do app (relatórios de erro, com consentimento)
Cumprir a obrigação legal de guardar os registros de acesso (o registro de acessos, com a porta de origem e o código da conta) e responder a uma ordem judicial sobre um acesso (Seção 4.2)
Garantir a segurança e prevenir fraudes (os dados técnicos da requisição)

Base Legal:

Eventos de uso e relatórios de erro: Consentimento (Art. 7º, I da LGPD)
Registro de acessos (a data, a hora, o endereço IP, a porta de origem e o código interno da conta): Obrigação Legal (Art. 7º, II da LGPD), o art. 15 do Marco Civil da Internet, que manda guardar o registro por 6 meses; por ser obrigação da lei, a oposição da Seção 7.8 não o alcança. A porta de origem identifica o acesso quando o endereço IP é dividido entre várias pessoas, e o código da conta serve para o Qorria poder responder a uma ordem judicial sobre esse acesso: os dois seguem a mesma base e o mesmo prazo
Dados técnicos da requisição (agente, método, caminho, identificador da requisição, resultado, tamanho da resposta e duração): Legítimo Interesse (Art. 7º, IX da LGPD), em garantir a segurança e prevenir fraudes; você pode se opor a esse tratamento (Seção 7.8)

Prazo de Retenção:

Eventos de uso (Firebase Analytics): 2 (dois) meses, no Firebase Analytics e também na cópia que o Google exporta todo dia para o BigQuery, no mesmo projeto do Qorria, onde as tabelas expiram em 60 dias. Esse prazo vale para os dados por evento e por usuário, e não para os relatórios agregados que o Google monta a partir deles. Ao excluir a sua conta, o aplicativo apaga do aparelho o que o Analytics guardou e troca o identificador que o Analytics usa nele (um código técnico, sem o seu nome); o Qorria não pede ao Google que apague os eventos já enviados, e eles saem pelo prazo acima. O aplicativo não envia ao Analytics o seu nome, o seu e-mail nem o código da sua conta, e, trocado o identificador, nem o Qorria consegue depois apontar ao Google os eventos antigos do seu aparelho
Relatórios de erro no Firebase Crashlytics: 90 (noventa) dias; depois disso o Google começa a removê-los dos sistemas em uso e das cópias de segurança dele (https://firebase.google.com/support/privacy)
Registro de erros do servidor do Qorria: 90 (noventa) dias depois da última ocorrência do erro
Registro técnico de acessos do servidor (o registro de acessos e os dados técnicos da requisição): 6 (seis) meses, contados de cada acesso, no servidor do Qorria e na cópia cifrada de cada dia (Seção 8.1); uma guarda por prazo maior, pedida por uma autoridade, pode estendê-lo (abaixo); a quarentena das linhas recusadas (abaixo) conta o prazo da entrada nela, e não do acesso

Onde o registro fica e quem o consulta: o registro de acessos fica em tabelas próprias do banco do servidor do Qorria, que as cópias de segurança do banco não levam (Seção 8.1). As linhas que o servidor não consegue gravar, por exemplo por um endereço IP que não se lê, ficam numa quarentena, por 6 meses contados da entrada nela, e não do acesso: a entrada se dá na carga do registro, em geral logo depois do acesso, e a linha que chega atrasada fica 6 meses depois da carga. Ao fim de cada dia, uma cópia do registro e da quarentena sai do servidor já cifrada e é guardada no Bunny (Seção 4.1), que não consegue lê-la. Só a equipe autorizada consulta o registro, pelo painel administrativo: por padrão, só o superadministrador, e as outras pessoas recebem a permissão uma a uma. Cada consulta, cada relatório e cada guarda ficam registrados na auditoria do painel (Seção 6.1). O Qorria só entrega o registro a uma autoridade por ordem judicial (Seção 4.2).

Relatórios para ordem judicial: para atender uma ordem judicial, a equipe extrai do registro, pelo painel, um relatório em arquivo (CSV), e informa o motivo do pedido. O relatório fica no servidor por 24 horas depois de pronto, e então a verificação do servidor o apaga. O relatório só traz a coluna do código da conta se a equipe a pedir. A cópia entregue à autoridade sai do controle do Qorria (Seção 8.1).

Guarda por prazo maior: se uma autoridade pedir, na forma do art. 15, § 2º, do Marco Civil da Internet, que o registro de um período seja guardado por mais de 6 meses, a equipe registra o pedido no painel, e o Qorria guarda os dias inteiros que o pedido alcança, no servidor e na cópia cifrada. A equipe libera a guarda se a autoridade não pedir a autorização judicial em 60 dias, contados do pedido, ou quando termina o prazo que o pedido fixou (art. 13, §§ 3º e 4º). O pedido (a referência, quem o criou e o prazo) fica restrito à equipe com a permissão de guarda (art. 13, § 4º); quem só consulta o registro não o vê, e só percebe que um dia antigo segue nele.

Obrigatoriedade: nenhuma. O Qorria funciona normalmente com o consentimento desligado.

Como ligar e desligar: depois do seu primeiro login, o aplicativo pergunta, uma única vez, se você quer ligar os eventos de uso (Analytics) e os Relatórios de erro, cada um na sua caixa, e as duas caixas nascem desmarcadas. Se você fechar a pergunta sem escolher, os dois ficam desligados e o aplicativo não volta a perguntar. Depois disso, a escolha fica em Configurações → Dados e Privacidade → Consentimentos (botão Gerenciar Consentimentos), no item Analytics e Crashlytics: Reativar Consentimento abre a mesma escolha, e só é ligado o que você marcar e salvar; Revogar Consentimento desliga os dois. Ao revogar, a coleta é suspensa na hora e os relatórios de erro ainda não enviados são apagados do aparelho. O interruptor Analytics, em Configurações → Privacidade e Dados Pessoais, liga e desliga só os eventos de uso, sem mudar a sua escolha sobre os relatórios de erro.

3.6 Dados de Assinatura e Pagamento

Quais dados coletamos:

Plano contratado (Gratuito ou Premium)
Data de início e renovação da assinatura
Status do pagamento (ativo, cancelado, inadimplente)
Histórico de upgrades/downgrades
O pedido de desistência, quando você desiste da assinatura em até 7 dias pelo aplicativo: o produto, o número do pedido da Google Play, o código do seu cliente no RevenueCat, a data da contratação, a data do pedido, a situação (pendente, estornado, em revisão ou, se você excluiu a conta antes do estorno, fechado depois da exclusão), quantas vezes o estorno foi tentado e, se falhou, o tipo da falha, e a data do estorno, sem o seu nome nem o seu e-mail

Quais dados NÃO coletamos:

❌ Número de cartão de crédito completo
❌ CVV ou senha bancária
❌ Dados bancários diretos

Processamento de Pagamento: Utilizamos o Google Play Billing para processar assinaturas. O Google é o responsável por processar e armazenar seus dados de pagamento. Consulte a Política de Privacidade do Google Play. O RevenueCat gerencia o ciclo de compras e assinaturas: ele recebe o registro da sua assinatura, que vem da Google Play, e um identificador opaco da sua conta, que o aplicativo e o servidor do Qorria enviam, sem o seu e-mail nem o seu nome (seção 4.1).

Avisos de cobrança e renovação: a cobrança, a renovação e a mudança de preço chegam pelos e-mails que a Google Play envia a quem assina.

Como cancelar a renovação: pelo aplicativo, em Plano e Assinatura → Gerenciar assinatura na Google Play, ou pela Google Play em https://play.google.com/store/account/subscriptions. O plano segue ativo até o fim do período pago, e excluir a conta não cancela a assinatura na Google Play (Termos de Uso, Seções 5.4 e 14.1).

Finalidades:

Gerenciar sua assinatura e acesso a recursos Premium
Atender o seu direito de desistir da assinatura em 7 dias (art. 49 do Código de Defesa do Consumidor), pedir à Google Play a devolução do valor e comprovar que o pedido foi atendido

Base Legal: Execução de Contrato (Art. 7º, V da LGPD); para o pedido de desistência, também Cumprimento de Obrigação Legal (Art. 7º, II) e Exercício Regular de Direitos (Art. 7º, VI)

Prazo de Retenção: Durante a vigência da conta. Quando você exclui a conta, o registro da compra (produto, datas, situação, o código do seu cliente no RevenueCat e o número do pedido), sem o seu nome nem o seu e-mail, fica por 5 (cinco) anos, para comprovar a compra em caso de contestação de cobrança, e depois é excluído (Seção 8.3). O pedido de desistência segue o mesmo caminho: vigência da conta e, depois da exclusão, 5 (cinco) anos sem o vínculo com a conta, para comprovar que o pedido foi atendido; o pedido ainda em andamento (pendente ou em revisão) fica até ser atendido; o de quem excluiu a conta antes do estorno é fechado pelo Qorria e conferido pela nossa equipe, e, se só for fechado depois de vencidos os 5 (cinco) anos da exclusão, esse prazo passa a contar do fechamento

3.7 Dados de Suporte e Comunicação

Quais dados coletamos:

Mensagens enviadas ao suporte, por e-mail e pelos chamados abertos no aplicativo (assunto, descrição e o andamento registrado pela equipe)
Prints de tela e arquivos de registro que você envie ao suporte por e-mail (o aplicativo não tem como anexar prints a um chamado; não envie prints com dados de passageiros)
Com o seu consentimento, marcado ao abrir o chamado (a caixa Enviar diagnóstico técnico, que nasce desmarcada): um diagnóstico técnico mínimo, com a tela do aplicativo em que o chamado foi aberto, a data e a hora em que o diagnóstico foi gerado e dois rótulos fixos que dizem que o chamado veio do aplicativo do Qorria. Ele não leva o modelo do aparelho, a versão do Android, a sua posição nem dados de ofertas. Se você marcar também a caixa Anexar diagnóstico em JSON, o aplicativo envia esse mesmo diagnóstico como arquivo anexo do chamado
O texto e a nota em estrelas de uma avaliação que você deixa na Google Play, quando a equipe abre, a partir dela, um chamado interno: o chamado não leva o código da sua conta, mas se liga ao registro da avaliação importada, que traz o nome com que você a assinou na loja

Finalidades:

Responder suas dúvidas e solucionar problemas
Melhorar o atendimento ao cliente
Desenvolver melhorias com base nos chamados

Base Legal:

Atender o seu pedido de suporte e responder avaliações públicas: Legítimo Interesse (Art. 7º, IX da LGPD); você pode se opor a esse tratamento (Seção 7.8)
O diagnóstico técnico: Consentimento (Art. 7º, I da LGPD); sem ele você é atendido do mesmo jeito

Prazo de Retenção: 3 (três) anos após resolução do chamado

3.8 Dados Lidos via Accessibility Service

⚠️ ATENÇÃO: Este é o recurso mais sensível do aplicativo.

Como funciona:
O Qorria utiliza o serviço de acessibilidade do Android para LER automaticamente as informações das ofertas de corrida exibidas na tela dos aplicativos Uber, 99 e inDrive (valor, distância, origem, destino). Dos outros aplicativos instalados no aparelho, o serviço de acessibilidade não lê o conteúdo: deles, só confere qual está na tela. O Qorria não toca, não digita e não age em nenhum outro aplicativo.

Enquanto um desses aplicativos está aberto na tela, o Qorria também pode capturar a imagem da tela a cada poucos segundos, mesmo sem haver oferta, para ler o texto que o aplicativo não entrega de outro jeito. A imagem fica na memória do aparelho, o texto é lido no próprio aparelho e a imagem é descartada em seguida: não é gravada nem enviada. Do Android 14 em diante a captura é só da janela do aplicativo de corrida; no Android 11, 12 e 13 o Qorria captura a tela e a recorta à área do aplicativo de corrida, o que pode incluir o que estiver por cima dela, como uma notificação.

Quando a leitura de uma oferta falha, o Qorria pode pedir a um modelo de inteligência artificial instalado no próprio aparelho (o Gemini Nano, do Android, nos aparelhos que o têm) que extraia os mesmos campos do texto lido ou, quando o aplicativo de corrida muda de tela e a leitura deixa de funcionar, que sugira ajustes nas regras de leitura a partir do texto lido da tela. O recurso, nos dois usos, nasce desligado e só é ligado por configuração remota; o processamento é feito pelo modelo do aparelho, e o Qorria não envia o texto da oferta a servidor algum para isso. O que sai do aparelho sobre esse recurso são apenas os eventos de uso da Seção 3.5, com o seu consentimento.

Quais dados são LIDOS:

Valor da corrida oferecida
Distância estimada
Tempo estimado
Endereço de origem
Endereço de destino
Endereço das paradas intermediárias (se a oferta tiver)
Nota de avaliação do passageiro (se exibida na tela)
Quantidade de corridas do passageiro (se exibida na tela)
Preço por km (se exibido na tela)
Forma de pagamento (se exibida na tela)
Há quanto tempo a oferta apareceu (se exibido na tela)

IMPORTANTE - Dados de Terceiros:
A nota e a quantidade de corridas do passageiro são dados pessoais de terceiros. O nome e a foto do passageiro também podem aparecer na tela, mas o Qorria não os grava. O caminho de cada um destes dados é:

✅ O texto lido da tela: fica apenas na memória do aplicativo enquanto a oferta é analisada; não é gravado no histórico, e por isso o nome do passageiro, quando aparece nele, não é gravado
✅ Quantidade de corridas do passageiro: fica apenas na memória do aplicativo enquanto a oferta é lida; não é gravada no aparelho, não entra na análise e não sai dele
✅ Nota do passageiro: aparece junto da oferta, na tela de análise, e é gravada no histórico de ofertas do seu aparelho, com os demais dados da oferta. Ela não entra no cálculo do lucro. A nota também entra, arredondada para uma casa decimal, na impressão que o aplicativo monta na memória para reconhecer que duas leituras são a mesma oferta e não analisá-la duas vezes; essa impressão fica só na memória, numa janela de 90 segundos, e não é gravada nem sai do aparelho
✅ Por quanto tempo fica: a nota e os endereços e as coordenadas de embarque, das paradas e de destino da oferta, que também são do passageiro, saem dela no prazo da retenção da localização que você escolheu (3, 6, 12 ou 24 meses, com 12 por padrão, Seção 3.2): a oferta e os valores dela continuam no histórico, sem eles. Antes disso, apagar as análises no histórico do aplicativo (de um período, ou todo o histórico de um veículo) e excluir o veículo apagam as ofertas do banco do aparelho, com a nota; excluir a conta apaga o banco de dados do aparelho inteiro
✅ Exportação: a nota sai no arquivo de exportação dos seus dados, que é entregue a você; o texto da tela, o nome e a quantidade de corridas não saem, porque não são gravados
✅ O que sai do aparelho: a nota e a quantidade de corridas do passageiro não saem do aparelho: a nota não é enviada ao Qorria, a terceiros nem entra na telemetria de leitura. Os endereços de embarque, das paradas e de destino da oferta podem sair nos dois casos descritos em "O que sai do aparelho", abaixo
✅ NÃO são vinculados a perfis de passageiros

O que É armazenado:
Os dados de cada oferta (o aplicativo de onde ela veio, o horário, o valor, a distância, o tempo estimado, os endereços e as coordenadas de embarque, das paradas e de destino, a nota do passageiro, o preço por km, a forma de pagamento, há quanto tempo a oferta apareceu, a posição do aparelho no momento da análise e o resultado do cálculo) são salvos no histórico de ofertas do seu aparelho. A posição do aparelho, os endereços e as coordenadas de embarque, das paradas e de destino e a nota do passageiro saem da oferta no prazo da retenção da localização (Seção 3.2); os demais dados ficam até você apagar a oferta no histórico, excluir o veículo ou excluir a conta. O aparelho guarda também um registro das buscas de endereço, para não repetir a busca do que já achou: o texto do endereço procurado (o endereço de embarque ou de destino de uma oferta, que é dado do passageiro, ou o que você digitou), a coordenada achada, o endereço devolvido, com a rua, o bairro, a cidade e o estado, e o CEP, venha o resultado da base do próprio aparelho ou do Nominatim. Esse registro não segue o prazo da localização que você escolhe: cada busca fica 7 dias, contados da última vez em que foi gravada, e é apagada quando você abre o aplicativo e quando troca o prazo da localização (Seção 8.2). Ele não entra na exportação dos seus dados, porque nada nele liga a busca à sua conta. O histórico não guarda o texto lido da tela, a imagem, o nome nem a foto do passageiro, nem a quantidade de corridas dele, ainda que apareçam na tela.

A notificação da oferta: quando a análise indica prejuízo, margem baixa ou zona de risco, e o interruptor Notificação em prejuízo (nas configurações do Módulo Piloto, ligado por padrão) e a permissão de notificações do Android estão ligados, o Qorria mostra uma notificação com o resumo da oferta. Ela traz, quando a oferta os tem, o destino e a origem, que são o endereço do passageiro, além do valor, do lucro e, se for o caso, da zona de risco. O Qorria não a retira sozinho: ela fica na bandeja do Android até você a dispensar. O endereço que aparece na notificação é uma cópia que o sistema exibe: o prazo da retenção da localização (Seção 3.2) apaga o endereço da oferta no histórico, mas não alcança a notificação. O Android pode guardar as notificações num histórico dele, se você o ligar nas configurações do aparelho; esse histórico é do sistema e fica fora do controle do Qorria, que não o lê, não o apaga e não limita o que ele guarda. Para que o endereço não apareça na bandeja, desligue o interruptor Notificação em prejuízo ou as notificações do Qorria nas configurações do Android.

Telemetria de leitura: para detectar quando uma atualização do aplicativo da plataforma deixa de ser lida, e só se você ligou os eventos de uso (Analytics), o Qorria pode enviar contadores que dizem apenas se cada campo da oferta (valor, distância, origem, destino, tempo estimado e tarifa dinâmica) foi lido, por plataforma e por versão do aplicativo. Os contadores não levam valores, endereços nem dado do passageiro. Os registros técnicos de teste que levam mais detalhe (exemplos de ofertas e relatório de auditoria) só são gravados em versões de desenvolvimento do aplicativo.

O que sai do aparelho: além dos eventos de uso da Seção 3.5 e dos contadores da telemetria de leitura acima, que não levam o conteúdo das ofertas, saem do aparelho duas consultas a serviços públicos de terceiros, descritas também na Seção 4.1:

Cálculo da distância, pelo serviço de rotas (OSRM): quando o aplicativo de corrida não informa a distância de um trecho, as coordenadas dos pontos desse trecho (a sua posição, o embarque, as paradas e o destino) são enviadas ao OSRM para calcular a distância. Sem resposta dele, o Qorria usa a distância que a plataforma informou ou calcula em linha reta, no próprio aparelho
Busca do endereço, pelo serviço de localização (Nominatim, do OpenStreetMap): quando um endereço da oferta não é encontrado na base do próprio aparelho, o texto do endereço é enviado ao Nominatim para achar a posição dele. O texto procurado e o resultado que volta (a coordenada, o endereço devolvido e o CEP) ficam no aparelho por 7 dias, para não repetir a busca, como o item "O que É armazenado" explica acima
Esses serviços recebem também o endereço IP do aparelho. O conteúdo das ofertas não é enviado aos servidores do Qorria

Finalidades:

Automatizar a análise de rentabilidade de ofertas em tempo real
Aplicar suas metas de lucro, seus custos e suas zonas à análise de cada oferta
Exibir lucro líquido no overlay sem que você precise digitar manualmente

Base Legal:

A leitura das ofertas na tela: Consentimento Específico do motorista (Art. 7º, I da LGPD)
Os dados do passageiro (a nota, a quantidade de corridas e os endereços e as coordenadas de embarque, das paradas e de destino): Legítimo Interesse (Art. 7º, IX e Art. 10 da LGPD). O dado é do passageiro, que não é usuário do Qorria. A finalidade é ajudar o motorista a decidir se aceita a corrida, a mesma com que a plataforma mostra esses dados ao motorista. O Qorria os usa no mínimo necessário (Art. 10, § 1º): a quantidade de corridas fica só na memória; a nota e os endereços são os dados do passageiro que o histórico guarda, e saem dele no prazo da retenção da localização (Seção 3.2); a nota e a quantidade de corridas não saem do aparelho, e os endereços saem só nas duas consultas descritas acima em "O que sai do aparelho"; e a decisão de aceitar ou recusar a corrida é sempre do motorista. O titular desses dados pode se opor ao tratamento (Seção 7.8)

Como ativar: antes de pedir a permissão de Acessibilidade, o Qorria mostra uma divulgação em destaque, em tela própria, que diz o que o serviço lê, como captura a tela, o que fica no aparelho, o que sai dele e como voltar atrás. Só depois de você tocar em "Concordo" o Qorria abre as configurações de Acessibilidade do Android; "Agora não" não grava nada e não abre as configurações. O consentimento fica gravado no aparelho com a data e a versão do texto que você aceitou, e o Qorria pede de novo se o texto mudar de um jeito que exija novo aceite. O serviço só lê as ofertas com o consentimento válido e a permissão de Acessibilidade ativa.

Como revogar: toque em "Revogar", na aba Piloto do app, ou desative o Qorria em Configurações > Acessibilidade do Android. O Qorria deixa de ler as ofertas dos aplicativos de corrida e o Piloto é desligado, e os demais módulos do aplicativo continuam disponíveis. Você pode concordar de novo quando quiser.

Riscos e Transparência:

O Accessibility Service pode ler QUALQUER conteúdo exibido na tela quando ativo
O Qorria só lê o conteúdo dos apps Uber, 99 e inDrive; dos outros apps, só confere qual está na tela
Não gravamos telas nem guardamos imagens (a captura, feita a cada poucos segundos enquanto um desses apps está aberto, fica só na memória e é descartada após a leitura) e não registramos senhas
O uso de um aplicativo de terceiros sobre a tela das plataformas (Uber, 99 e inDrive) pode contrariar os termos delas, e a plataforma pode agir sobre a conta do motorista

3.9 Inscrição no Programa de Testadores (site)

Esta seção vale para quem preenche o formulário do programa de testadores no site https://qorria.com. O formulário é voluntário, e quem se inscreve não precisa ter conta nem ter instalado o aplicativo.

Quem pode se inscrever: maiores de 18 anos (veja a Seção 10).

Quais dados coletamos:

Nome
Endereço de e-mail
Cidade e estado
Plataformas em que você trabalha (Uber, 99, inDrive ou outra)
Modelo do aparelho
Dedicação: tempo integral ou meio período
A data do envio e a data e a versão do texto do consentimento que você deu na caixa do formulário
O andamento da análise da inscrição (em análise, aprovado, em espera ou não aprovado), a mensagem que a equipe mostra a você e a justificativa interna que a equipe registra ao decidir
Um código de acesso à sua inscrição, de que guardamos apenas a impressão digital (hash); o código em si fica no navegador em que você se inscreveu e serve para consultar o andamento e sair da lista
A confirmação do e-mail: a data em que enviamos o e-mail de confirmação, quantas vezes o enviamos e a data em que você o confirmou
Um código de confirmação, que vai no link do e-mail, de que guardamos apenas a impressão digital (hash); o código é de uso único, e a impressão digital é apagada quando você confirma
A origem da visita, que o site envia junto com o formulário, sem campo para você preencher: o endereço da página em que você estava (o site e o caminho, sem os parâmetros que vierem depois dele), o site de onde você veio, quando o navegador o informa (só o endereço do site, sem a página), e os parâmetros de campanha `utm_source`, `utm_medium` e `utm_campaign`. O servidor guarda só isso e descarta o resto do que o navegador mandar

Quais dados NÃO coletamos:

❌ Telefone
❌ Endereço IP e agente do navegador na inscrição: eles não são gravados nela nem nos eventos do ciclo dela (envio e decisão)

Sobre o endereço IP: ele chega ao servidor, como em todo acesso pela internet. O limitador de pedidos o usa em memória, para contar quantos pedidos vêm do mesmo endereço por minuto e frear o excesso, e, quando freia um pedido, anota no log do servidor a chave do limite (o código da conta, se você está logado, ou o endereço de rede do cliente: o IPv4 inteiro ou o prefixo /64 do IPv6) e a rota acessada pelo padrão, sem os valores do caminho. Para limitar quantos e-mails de confirmação saem para o mesmo cliente de rede (a mesma chave do limitador: o IPv4 inteiro ou o prefixo /64 do IPv6), o servidor guarda esse endereço de rede em memória, só com o instante de cada envio. O registro de mais de 1 hora sai da memória numa limpeza que o servidor faz no máximo uma vez por minuto, quando confere se pode enviar um novo e-mail de confirmação a qualquer cliente; se nenhum novo envio for conferido, o registro espera na memória até o próximo ou até o servidor reiniciar. O servidor não o liga à inscrição nem ao seu e-mail, não o grava em banco nem em log, e o apaga quando reinicia. Além disso, o registro técnico de acessos do servidor anota o endereço IP e o agente do navegador de cada requisição, inclusive a do formulário. Esses dois registros não fazem parte da inscrição. O registro técnico de acessos segue o prazo da Seção 8.1; o aviso do limitador fica no registro técnico do servidor, que o servidor apaga por tamanho, em dias.

Confirmação do e-mail (a inscrição só vale depois dela): depois que você envia o formulário, mandamos ao endereço informado um e-mail com um link para uma página de confirmação do site https://qorria.com. A inscrição só vale quando você clica no botão Confirmar inscrição dessa página: abrir o link, sozinho, não confirma nada. O código do link vai na parte do endereço que vem depois do sinal #, que o navegador não envia a servidor algum; a página o tira do endereço antes do clique e só o envia ao servidor quando você clica. O e-mail tem texto fixo, sem o seu nome nem outro dado do formulário. Se ele não chegar, a página da inscrição, no navegador em que você se inscreveu, tem o botão Reenviar e-mail de confirmação; cada novo envio invalida o link anterior. Enquanto o e-mail não é confirmado, a inscrição não aparece no painel da equipe nem é analisada.

Se você recebeu o e-mail de confirmação sem ter se inscrito: ignore a mensagem. Sem o clique, nada é confirmado, e a inscrição some sozinha no prazo abaixo. Como a inscrição não confirmada não aparece para a equipe, não temos como achá-la antes desse prazo; se você escrever para [email protected] (Seção 13), respondemos confirmando que ela será apagada nesse prazo, que é menor que os 15 dias que a LGPD (art. 19) dá para atender o pedido.

O que a resposta do formulário pode dizer: depois do envio, o site informa se o e-mail de confirmação saiu. A resposta também pode dizer que não enviamos outro e-mail agora: o endereço recebeu e-mail de inscrição há pouco ou já recebeu muitos nos últimos dias. Se o endereço já tem inscrição confirmada, a resposta é a mesma de uma inscrição nova, para não revelar a quem digitou o endereço de outra pessoa que ela já está inscrita, e enviamos ao endereço um e-mail curto, sem link nem código, dizendo que ele já tem inscrição confirmada. Para aplicar esse limite, por segurança, o servidor guarda em memória, sem o endereço em claro (só uma impressão digital dele, sem diferença de maiúscula e sem a etiqueta depois do sinal +), quantos e-mails de confirmação ou de aviso enviou a cada endereço nos últimos 7 dias; o registro mais velho que isso sai da memória numa limpeza que o servidor faz no máximo uma vez por minuto, quando confere uma nova inscrição ou um novo reenvio de qualquer endereço (sem nenhum dos dois, o registro espera na memória), e a memória inteira se apaga quando o servidor reinicia.

Finalidades:

Os dados da inscrição (nome, e-mail, cidade e estado, plataformas, modelo do aparelho, dedicação e andamento da análise): selecionar os testadores do aplicativo e contatá-los por e-mail
Se você for selecionado, o seu e-mail é incluído na lista de testadores da Google Play, que é como a loja libera a versão de teste para a sua conta.
A origem da visita (endereço da página, site de origem e parâmetros de campanha): saber por qual canal as inscrições chegam
O e-mail de confirmação e o registro do clique nele: provar que o consentimento dado no formulário é de quem controla o endereço de e-mail informado

Base Legal:

Selecionar e contatar, e incluir o seu e-mail na lista da Google Play: Consentimento (Art. 7º, I da LGPD), dado na caixa do formulário e revogável a qualquer momento (Seção 7.7). A caixa cobre só essas duas finalidades
Enviar o e-mail de confirmação e registrar o clique nele: a prova do consentimento da caixa, e não uma finalidade a mais dela: a LGPD põe sobre o controlador o ônus de provar que o consentimento foi dado (Art. 8º, § 2º), e o clique mostra que quem consentiu controla o endereço. A confirmação fica fora da caixa do formulário
A origem da visita (endereço da página, site de origem e parâmetros de campanha): Legítimo Interesse (Art. 7º, IX da LGPD), em saber por qual canal as inscrições chegam. O dado é mínimo (sem os parâmetros que vierem depois do caminho e sem o seu IP na inscrição), e você pode se opor a esse tratamento (Seção 7.8)

Como se opor à origem da visita (Seção 7.8):

Antes de enviar, marque a caixa Não registrar por qual página ou campanha cheguei, perto do formulário e fora da caixa do consentimento: com ela marcada, o site não envia a origem da visita
Depois de enviar, peça por e-mail a [email protected] (Seção 13): apagamos a origem da visita da sua inscrição e mantemos a inscrição

Prazo de Retenção: 6 (seis) meses do envio, para quem não criou conta no Qorria com o mesmo e-mail; enquanto a conta existir, para quem criou; em qualquer caso, até você sair da lista. Uma rotina do servidor apaga as inscrições vencidas (Seção 8.2). A inscrição cujo e-mail não foi confirmado tem o prazo da linha seguinte.

Inscrição não confirmada: 7 dias para confirmar o e-mail; sem a confirmação, a inscrição é apagada em até 8 dias do envio (os 7 dias mais a passada diária da rotina da Seção 8.2), mesmo que exista conta no Qorria com o mesmo e-mail. Nesse período ela não aparece no painel da equipe.

Como sair da lista e apagar seus dados:

No site, no navegador em que você se inscreveu, use o botão Sair da lista e apagar meus dados e confirme em Sim, apagar meus dados; o botão vale também antes de você confirmar o e-mail
Ou envie e-mail para [email protected] (Seção 13), pelo e-mail usado na inscrição; podemos pedir a confirmação de que o pedido é seu, como diz a Seção 13

Sair da lista apaga a sua inscrição e os eventos dela, de vez, sem como desfazer. As cópias de segurança do banco de dados do servidor (Seção 8.1) não são alteradas uma a uma: a inscrição some delas conforme os backups são renovados, e elas servem apenas à recuperação de desastres.

Se você criar uma conta no Qorria com o mesmo e-mail: a inscrição fica enquanto a conta existir, e a exclusão da conta apaga também a inscrição (Seção 8.3).

3.10 Registro do Aceite dos Termos e desta Política

Quais dados coletamos:

O documento aceito (os Termos de Uso ou esta Política)
A versão aceita
A data em que o aceite chegou ao servidor

No registro do aceite não se gravam o IP nem a identificação do aparelho. O registro técnico de acessos do servidor (Seção 3.5, com o prazo da Seção 8.1) anota o endereço IP em toda requisição, inclusive na que leva o aceite. O aceite marcado no cadastro fica guardado no aparelho até chegar ao servidor, por até 30 dias.

Se você exclui a conta, fica uma prova mínima do aceite:

O documento aceito, a versão e a data do aceite
Um pseudônimo da conta: um código que não identifica você sem outras informações que o Qorria guarda separadas (não é o seu nome, o seu e-mail nem o número da conta)
Um código do e-mail da conta, calculado com uma chave secreta do Qorria. O e-mail em si não fica na prova, e a prova só se reconhece como sua diante do mesmo e-mail e dessa chave

Essa prova não leva nome, e-mail, IP nem aparelho. Ela é guardada por 5 (cinco) anos contados da exclusão da conta e então é apagada. O restante do registro do aceite sai com a conta.

Quais dados coletamos quando você escolhe "Agora não" diante de um texto novo:

O documento e a versão adiados
A data em que você fez a escolha
A data até a qual o seu acesso segue (o fim do período pago que você tinha naquele momento ou o da carência de pagamento, o que for mais tarde)

Esse registro só existe para quem tem período pago em curso e vale para aquela versão: se você escolher de novo, vale a primeira data. Ele fica no servidor e no aparelho, entra na exportação dos seus dados, sai junto com a conta e não vira prova.

Finalidades:

Provar qual versão dos textos você aceitou
Pedir um novo aceite quando os textos mudam de versão
Guardar, depois da exclusão da conta, a prova mínima do que foi aceito, para comprovar o aceite caso o Qorria precise exercer ou defender direitos em processo judicial, administrativo ou arbitral
Registrar até quando o seu acesso segue, se você escolher "Agora não"

Base Legal: Execução de Contrato (Art. 7º, V da LGPD) enquanto a conta existe. A prova mínima guardada depois da exclusão tem como base o exercício regular de direitos em processo judicial, administrativo ou arbitral (Art. 7º, VI da LGPD)

Prazo de Retenção: O registro do aceite e o do adiamento, até a exclusão da conta. A prova mínima do aceite, 5 (cinco) anos depois da exclusão, e então é apagada

Obrigatoriedade: O aceite dos Termos e desta Política é obrigatório para usar o aplicativo. Se você tem período pago em curso e os textos mudam de versão, pode escolher "Agora não" e seguir usando o Qorria até o fim desse período (Seção 11); sem período pago, o aceite é necessário na hora.

3.11 Registro da Suspensão de Conta

Quando um administrador do Qorria suspende a sua conta pelo painel, como a Seção 14.2 dos Termos de Uso prevê, o servidor guarda o registro da suspensão.

Quais dados coletamos:

A conta suspensa
O motivo da suspensão, um dos três motivos fixos do painel, escolhido entre as hipóteses da Seção 14.2 dos Termos de Uso
A conta do administrador do Qorria que suspendeu
A data da suspensão e, se a conta voltar a ser ativa, a data da reativação
O andamento do aviso por e-mail da suspensão e da reativação e o do passo da assinatura (cancelar a renovação ou devolver a última cobrança, conforme o motivo)

O registro não guarda texto livre, o IP nem a identificação do aparelho.

No seu aparelho: quando o servidor informa que a sua conta está suspensa, o aplicativo guarda neste aparelho uma marca com um pseudônimo da conta (o SHA-256 do identificador interno da conta, e não o identificador nem o e-mail), para mostrar o aviso da suspensão e para não começar a ler ofertas novas na tela enquanto ela durar, mesmo com o aplicativo fechado. A marca não leva nome, e-mail nem telefone, não é enviada ao servidor nem entra na cópia de segurança do aparelho, e é apagada quando o aplicativo percebe que a conta foi liberada (ao abrir ou voltar ao aplicativo), quando você sai da conta, quando a exclui ou quando o aplicativo sai dela porque ela foi excluída em outro aparelho (Seção 7.5).

Se você exclui a conta com a suspensão aberta, fica uma prova mínima da suspensão, pseudonimizada:

O motivo e a data da suspensão
Um pseudônimo da conta: um código calculado do identificador interno da conta, e não do e-mail, o mesmo da prova mínima do aceite (Seção 3.10); ele não identifica você sem outras informações que o Qorria guarda separadas
Um código de quem suspendeu, calculado da conta do administrador do Qorria, que não identifica o administrador sem outras informações que o Qorria guarda separadas
O que se providenciou na assinatura (o cancelamento da renovação ou a devolução da última cobrança, conforme o motivo) e se isso foi concluído

Essa prova não leva nome, e-mail, telefone, IP nem aparelho. Ela é guardada por 5 (cinco) anos contados da exclusão da conta e então é apagada. A suspensão já revertida não vira prova, e o restante do registro sai com a conta.

Há um segundo rastro, fora da prova: o registro de que a exclusão aconteceu (Seção 8.3) traz a contagem do que foi apagado, e nela vai um número que diz se a exclusão guardou a prova da suspensão (1 se guardou, porque a conta tinha a suspensão aberta; 0 se não). É só o número, sem motivo, data nem administrador. Esse registro é guardado por 5 (cinco) anos contados da exclusão da conta, e a contagem sai com ele (Seção 8.1).

Finalidades:

Aplicar a suspensão prevista na Seção 14.2 dos Termos de Uso
Avisar você por e-mail da suspensão e da reativação
Cuidar da assinatura de quem foi suspenso: providenciar o cancelamento da renovação ou a devolução da última cobrança, conforme o motivo
Permitir que você conteste a suspensão pelo suporte
Guardar, depois da exclusão da conta, a prova mínima da suspensão, para comprovar a suspensão caso o Qorria precise exercer ou defender direitos em processo judicial, administrativo ou arbitral

Prazo de Retenção: O registro da suspensão, até a exclusão da conta (Seção 8.3). A prova mínima da suspensão, 5 (cinco) anos depois da exclusão, e então é apagada

4. COMPARTILHAMENTO DE DADOS COM TERCEIROS

O Qorria não vende, aluga ou comercializa seus dados pessoais para terceiros. Compartilhamos dados apenas nas seguintes situações:

4.1 Provedores de Serviços Essenciais

Google Firebase (Google LLC - EUA)

Serviços: Autenticação (o login com a conta Google), análise de uso e relatório de erro (só com o seu consentimento, veja a seção 3.5) e configuração remota
Dados compartilhados: Nome, e-mail e ID do usuário, no login; eventos de uso e relatórios de erro, só com o seu consentimento (os eventos de uso também são copiados todo dia para o BigQuery, serviço de dados do Google, no mesmo projeto do Qorria e com o mesmo prazo de 2 meses da Seção 3.5); o aparelho também baixa do Firebase a configuração que diz como ler as ofertas. O próprio SDK do Firebase troca dados técnicos do aparelho com o Google, como o endereço IP, por conta do Google e não de um código do Qorria
Finalidade: Entrar na conta, medir o uso e os erros do aplicativo (com o seu consentimento) e entregar ao aparelho a configuração de leitura das ofertas
Política de Privacidade: https://policies.google.com/privacy?hl=pt-BR

Google Maps Platform (Google LLC - EUA)

Serviços: Exibição de mapas no aplicativo (Maps SDK para Android)
Dados compartilhados: O SDK do Google busca os mapas da área mostrada na tela e recebe, por conta do Google, o endereço IP e dados técnicos do aparelho. O Qorria não envia endereços nem rotas à Google Maps Platform: o endereço vira ponto no mapa pela base própria do Qorria (CNEFE) e, quando ela não o acha, pelo Nominatim (abaixo); a distância da rota vem da oferta ou do OSRM (abaixo)
Finalidade: Exibir localizações no mapa
Garantias: Chave de API própria do Qorria, restrita ao aplicativo (pacote e impressão digital)
Política de Privacidade: https://policies.google.com/privacy?hl=pt-BR

Google Play Billing (Google LLC - EUA)

Serviços: Processamento de pagamentos de assinaturas
Dados compartilhados: Os dados de pagamento, que o Google coleta e processa diretamente com a conta Google do aparelho
Finalidade: Gerenciar assinaturas Premium
Nota: Google coleta e processa seus dados de pagamento diretamente (Qorria não tem acesso)

Google Play Console (Google LLC - EUA)

Serviços: Distribuição da versão de teste do aplicativo
Dados compartilhados: O e-mail do testador selecionado no programa de testadores (Seção 3.9), que a equipe inclui na lista de testadores do teste fechado
Finalidade: Liberar a versão de teste para a conta do testador
Política de Privacidade: https://policies.google.com/privacy?hl=pt-BR

RevenueCat (gestão de assinaturas)

Serviços: Gestão do ciclo de compras e das assinaturas (o plano Premium), em cima da Google Play
Dados compartilhados: Um identificador de assinante, opaco e exclusivo da sua conta (não é o seu e-mail, o seu nome nem o seu ID do Google); o registro das suas compras e assinaturas, que o RevenueCat recebe da Google Play; e os dados técnicos que o SDK do RevenueCat envia, por conta dele. O servidor do Qorria consulta e apaga o assinante pelo mesmo identificador, pede ao RevenueCat o estorno da compra, pelo número do pedido, quando você desiste da assinatura em até 7 dias (Seção 3.6), e recebe do RevenueCat os avisos de compra. Ao excluir a conta, o assinante é removido no RevenueCat
Finalidade: Operar as compras e as assinaturas; o que o plano libera é decidido pelo servidor do Qorria

Microsoft 365 (Microsoft Corporation - EUA)

Serviços: Envio de e-mail, a partir da caixa [email protected], e as caixas que recebem os e-mails enviados ao suporte ([email protected]) e ao canal dos seus direitos ([email protected], que recebe também o [email protected])
Dados compartilhados: Endereço de e-mail e o texto da mensagem, sem o seu nome: o aviso ou, para quem se inscreve no programa de testadores, o e-mail de confirmação, que leva o link de confirmação, ou, para quem desiste da assinatura, o e-mail que confirma o pedido, com a data dele. As caixas guardam as conversas com a equipe: as mensagens que você envia ao suporte, com os prints e os arquivos de registro anexados (Seção 3.7), os pedidos sobre os seus direitos (Seção 7), as respostas da equipe e as respostas aos e-mails que enviamos
Finalidade: Enviar os avisos de que tratam a seção 11 desta Política e os Termos de Uso, o e-mail de confirmação da inscrição no programa de testadores (Seção 3.9) e o e-mail que confirma o pedido de desistência da assinatura (Seção 3.6); receber as mensagens ao suporte e os pedidos sobre os seus direitos
Garantias: Adendo de proteção de dados da Microsoft

Bunny (BunnyWay d.o.o. - Eslovênia)

Serviços: Armazenamento de arquivos e entrega dos dados da cidade
Dados compartilhados: Os anexos de suporte que você envia (prints de tela e logs, seção 3.7), os backups do banco de dados do servidor e a cópia cifrada do registro de acessos de cada dia (a data, a hora, o endereço IP, a porta de origem e o código da conta), que saem do servidor já cifrados e que o Bunny não consegue ler. Quando você ativa ou atualiza os bairros de uma cidade, o aparelho baixa os dados dela do Bunny, e o pedido leva o seu endereço IP, como em todo download, e o nome do arquivo pedido, um código sem o nome da cidade, mas que é o mesmo para todos que baixam os dados dela
Finalidade: Guardar os anexos de suporte, as cópias de segurança e a cópia cifrada do registro de acessos, e entregar ao aparelho os dados da cidade para uso sem internet

Hostinger (hospedagem do servidor - Brasil)

Serviços: Hospedagem do servidor virtual em que rodam a API e o banco de dados do Qorria
Dados compartilhados: Os dados guardados no servidor do Qorria ficam na máquina que a Hostinger hospeda
Finalidade: Operar o servidor do aplicativo
Local: O servidor contratado fica no Brasil

Cloudflare (rede de entrega e proteção)

Serviços: Rede de entrega e proteção na frente da API (túnel, TLS e firewall), hospedagem do site e do painel administrativo (Cloudflare Pages) e controle de acesso ao painel (Cloudflare Access)
Dados compartilhados: O tráfego entre o aplicativo e a API passa pela Cloudflare, inclusive o endereço IP de quem se conecta; os acessos ao site e ao painel passam por ela; e, para a equipe que entra no painel, o e-mail usado no acesso
Finalidade: Entregar e proteger a API, o site e o painel

OSRM (Project OSRM - servidor público de demonstração)

Serviços: Cálculo da distância de rota
Dados compartilhados: As coordenadas dos dois pontos de cada trecho a calcular. Na análise de uma oferta, só no trecho cuja distância a plataforma não informa: vão então os pontos de embarque, de parada e de destino que o aplicativo localizou e, no trecho até o embarque, a sua posição naquele momento. Na calculadora de corrida particular, vão os pontos dos endereços que você digita
Finalidade: Calcular a distância do trecho; sem resposta do serviço, o aplicativo usa a distância que a plataforma informou ou calcula em linha reta, no próprio aparelho

Nominatim (serviço público da OpenStreetMap Foundation)

Serviços: Busca de endereço (geocodificação)
Dados compartilhados: O texto do endereço procurado, só quando ele não está na base do aparelho: o endereço de embarque ou de destino de uma oferta, o que você digita na calculadora de corrida particular e o que você busca no mapa das zonas; no painel administrativo, o texto que a equipe digita na busca de mapa
Finalidade: Achar a posição de um endereço que a base local não tem
Nota: o texto procurado e o resultado que volta (a coordenada, o endereço devolvido e o CEP) ficam guardados no aparelho por 7 dias, para não repetir a busca (Seção 3.8)

O serviço a seguir é carregado só pelo painel administrativo, que a equipe do Qorria usa:

OpenStreetMap (OpenStreetMap Foundation)

Serviços: Imagens do mapa do painel
Dados compartilhados: O endereço IP de quem abre o mapa do painel e a área do mapa que ele mostra
Finalidade: Exibir o mapa do painel

4.2 Autoridades e Requisições Legais

Podemos compartilhar seus dados pessoais quando:

Ordem judicial, para os registros de acesso e para o conteúdo das comunicações privadas (Marco Civil da Internet, art. 10, § 1º e § 2º). O registro de acessos vai à autoridade em arquivo, com um termo de extração que diz o filtro usado, o número de linhas e a impressão digital (SHA-256) do arquivo, para a autoridade conferir que ele não foi alterado
Requisição de autoridade administrativa com competência legal, apenas para os dados cadastrais: qualificação pessoal, filiação e endereço (Marco Civil da Internet, art. 10, § 3º)
Defesa de direitos do Qorria em processos judiciais ou administrativos
Cumprimento de obrigação legal (ex: apresentar dados à ANPD em fiscalização)
Proteção de direitos, propriedade ou segurança do Qorria, usuários ou terceiros

Base Legal: Cumprimento de Obrigação Legal (Art. 7º, II da LGPD)

4.3 Transferência em Caso de Fusão ou Aquisição

Em caso de fusão, aquisição, venda de ativos ou falência, seus dados pessoais poderão ser transferidos ao sucessor legal, mantendo as mesmas proteções desta Política.

5. TRANSFERÊNCIA INTERNACIONAL DE DADOS

Alguns dos nossos provedores de serviços (o Google, em especial o Firebase e o Maps, a Microsoft, o RevenueCat, o Bunny, a Cloudflare, o OSRM, o Nominatim e o OpenStreetMap) podem tratar dados fora do Brasil. Esta Política só afirma o país de um provedor quando o documento dele o declara ou quando o local é escolhido pelo Qorria na contratação (abaixo, em "Onde sabemos"): nos demais casos, diz apenas que o tratamento pode ocorrer no exterior.

Onde sabemos:

O servidor do Qorria (a API e o banco de dados), hospedado pela Hostinger, fica no Brasil
O armazenamento de arquivos do Qorria no Bunny fica em São Paulo, com uma réplica na União Europeia: o Qorria escolhe essas regiões ao criar cada área de armazenamento. A entrega dos arquivos ao aparelho está na linha do Bunny, na tabela abaixo
As caixas [email protected] e [email protected], com as conversas que elas guardam, ficam armazenadas, em repouso, no Brasil (o local dos dados que o Microsoft 365 indica para a conta do Qorria). O aviso e os e-mails de confirmação que o servidor envia não ficam guardados nas caixas

O que os documentos dos provedores dizem:

Provedor	Dados	Onde trata os dados	Documento do provedor e as garantias que ele declara
Google (Firebase)	Nome, e-mail e ID do usuário, no login; eventos de uso e relatórios de erro, só com o seu consentimento; os dados técnicos do aparelho que o SDK do Firebase troca com o Google, como o endereço IP (seção 4.1)	Parte contratante: Google LLC. Local de tratamento: o Firebase Crashlytics é um serviço global do Google: os dados podem ser tratados em qualquer local do Google Cloud ou dos data centers do Google, sem país nem região definidos (https://firebase.google.com/support/privacy)	Termos de tratamento de dados do Firebase (https://firebase.google.com/terms/data-processing-terms, modificados em 21/08/2024): Data Privacy Framework e cláusulas contratuais-padrão da União Europeia, do Reino Unido e da Suíça
Microsoft 365	Nos e-mails que o servidor envia, o endereço de e-mail e o texto da mensagem, sem o seu nome; as conversas guardadas nas caixas [email protected] e [email protected] (seção 4.1)	As caixas ficam, em repouso, no Brasil, como acima. O adendo diz que o cliente instrui a Microsoft a transferir os dados para os Estados Unidos ou para qualquer outro país em que ela ou os subprocessadores dela operam	Adendo de proteção de dados dos produtos e serviços da Microsoft (https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA, edição de novembro de 2026): cláusulas contratuais-padrão de 2021 para as transferências que saem da União Europeia, do Reino Unido e da Suíça, e a certificação da Microsoft no Data Privacy Framework
Bunny	Os anexos de suporte, os backups do banco de dados do servidor e a cópia cifrada do registro de acessos; no download dos dados de uma cidade, o endereço IP e o nome do arquivo pedido (seção 4.1)	Parte contratante: BunnyWay d.o.o., de Liubliana, na Eslovênia (União Europeia). O armazenamento fica em São Paulo, com réplica na União Europeia, como acima. Os dados das cidades chegam ao aparelho pelos servidores de entrega do Bunny, em vários países, que guardam cópias temporárias dos arquivos para entregá-los mais perto de quem baixa e podem ficar fora do Brasil; o adendo diz que, pela natureza global do serviço, o Bunny pode tratar os dados de qualquer lugar do mundo em que opera	Adendo de tratamento de dados do Bunny (versão 2, aceito pelo Qorria em 04/11/2026): o tratamento e as transferências seguem as instruções do Qorria, e a configuração do painel do Bunny conta como instrução; o Bunny e os subprocessadores dele mantêm medidas adequadas de segurança, conforme as leis de proteção de dados. O adendo não cita cláusulas-padrão nem outro mecanismo de transferência
Cloudflare	O tráfego entre o aplicativo e a API, com o endereço IP de quem se conecta; os acessos ao site e ao painel; o e-mail da equipe que entra no painel (seção 4.1)	Pode ocorrer fora do Brasil, como no parágrafo acima	Adendo de tratamento de dados do cliente da Cloudflare (https://www.cloudflare.com/cloudflare-customer-dpa/, versão 6.4, de 03/04/2026): Data Privacy Framework, cláusulas contratuais-padrão da União Europeia, adendo do Reino Unido, adaptação suíça e a certificação Global CBPR/PRP
RevenueCat	Um identificador de assinante, opaco e exclusivo da sua conta; o registro das suas compras e assinaturas; os dados técnicos que o SDK do RevenueCat envia (seção 4.1)	Estados Unidos: a sede é na Flórida, e os subprocessadores que o adendo lista estão quase todos nos Estados Unidos	Adendo de tratamento de dados do RevenueCat (https://www.revenuecat.com/dpa, vigente desde agosto de 2026): cláusulas contratuais-padrão da União Europeia, do Reino Unido e da Suíça; o adendo inclui os dados sujeitos à LGPD entre os dados do cliente

Para os provedores que não estão na tabela, valem o parágrafo de abertura desta seção e a política de privacidade de cada um (seção 4.1).

Garantias Adotadas:

✅ Criptografia de dados em trânsito (TLS) e em repouso (o banco de dados do aparelho é cifrado por inteiro, e os backups do banco de dados do servidor são cifrados antes de sair dele)

Países de Destino:

Estados Unidos: o RevenueCat, conforme a tabela acima
Estados Unidos ou qualquer outro país em que a Microsoft ou os subprocessadores dela operam: a Microsoft, no tratamento dos e-mails fora do Brasil
União Europeia: o Bunny (a empresa, na Eslovênia, e a réplica dos arquivos)
Sem país definido: o Google (o Firebase Crashlytics é um serviço global, como na tabela acima); o Bunny, na entrega dos dados das cidades e no tratamento que o adendo dele permite de qualquer lugar em que ele opera; e os demais provedores, que definem os próprios países (veja a política de privacidade de cada um, quando indicada na seção 4.1). Esta Política não lista esses países

Base Legal: Art. 33º da LGPD. Para a União Europeia (a BunnyWay e a réplica dos arquivos do Bunny), o inciso I, porque a ANPD reconhece que ela tem proteção adequada (Resolução CD/ANPD nº 32, de 26 de janeiro de 2026). Para os demais destinos, a tabela acima mostra as garantias que cada provedor declara no documento dele

6. SEGURANÇA E PROTEÇÃO DE DADOS

Adotamos medidas técnicas e organizacionais para proteger seus dados pessoais contra acesso não autorizado, destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

6.1 Medidas Técnicas

Criptografia:

✅ Banco de dados do aparelho cifrado por inteiro (a placa do veículo e o histórico de ofertas ficam nele): a senha do banco é aleatória e fica no armazenamento protegido do Android, cuja chave fica no Android Keystore
✅ TLS para dados em trânsito (comunicação app ↔ servidor)
✅ Firebase Authentication com OAuth 2.0 e tokens JWT

Controle de Acesso:

✅ Princípio do menor privilégio: Funcionários acessam apenas dados necessários para suas funções
✅ Acesso administrativo restrito: em produção, o painel administrativo só atende a requisição que traz a asserção assinada do Cloudflare Access, conferida pelo servidor, e só a conta com papel administrativo (visualizador, administrador ou superadministrador) o acessa
✅ Logs de auditoria das ações no painel administrativo: o servidor registra o usuário (o identificador e o e-mail) e o papel, a ação, o recurso, o caminho, os parâmetros e o corpo da requisição (sem campos sensíveis, como senhas e tokens), o resultado, o endereço IP, o agente do navegador, a duração e o horário. Nas rotas das inscrições do programa de testadores (Seção 3.9), os parâmetros e o corpo da requisição não são registrados: a justificativa e a mensagem de uma decisão ficam só na inscrição, e são apagadas com ela. A simples consulta de usuários, do painel, de fontes de dados e dos dados geográficos não é registrada; as alterações nesses recursos são registradas. São sempre registrados, antes de o servidor devolver o que se pediu, cada consulta ao registro de acessos, cada leitura do estado dele, cada relatório extraído (com o filtro usado, o motivo informado, o número de linhas e a impressão digital (SHA-256) do arquivo), cada leitura da lista de relatórios e do estado de um relatório, cada download de relatório, cada leitura da lista de guardas e cada guarda por prazo maior criada ou liberada (Seção 3.5). O filtro pode trazer um endereço IP ou o código de uma conta

Infraestrutura:

✅ Administração do servidor por rede privada: o acesso administrativo ao servidor é feito por uma rede privada
✅ Backups cifrados do banco de dados do servidor: feitos todos os dias, cifrados antes de sair do servidor e guardados em armazenamento externo (o Bunny, seção 4.1); mantemos os 7 backups diários, os 4 semanais e os 6 mensais mais recentes
✅ Atualização de dependências para correção de vulnerabilidades

6.2 O Que Você Pode Fazer

Para garantir a segurança da sua conta:

🔒 Proteja a sua conta Google com a verificação em duas etapas: é ela que dá acesso ao Qorria
🔒 Não compartilhe o acesso à sua conta Google com terceiros
🔒 Mantenha seu dispositivo atualizado (Android 10 ou superior)
🔒 Não faça root no dispositivo (compromete a segurança)
🔒 Saia da conta ao emprestar seu celular para terceiros

6.3 Incidentes de Segurança

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o Qorria o comunicará à Autoridade Nacional de Proteção de Dados (ANPD) e a você, como manda o art. 48 da LGPD. A comunicação traz o que o § 1º desse artigo pede: a descrição da natureza dos dados pessoais afetados, as informações sobre os titulares envolvidos, a indicação das medidas técnicas e de segurança utilizadas, os riscos relacionados ao incidente, os motivos da demora, se a comunicação não for imediata, e as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos.

7. SEUS DIREITOS COMO TITULAR DE DADOS (ART. 18º DA LGPD)

Você tem os seguintes direitos em relação aos seus dados pessoais:

7.1 Confirmação e Acesso (Art. 18º, I e II)

Direito: Confirmar se tratamos seus dados e acessar todos os dados que possuímos sobre você.

Como exercer:

Acesse Configurações → Dados e Privacidade → Exportar Todos os Dados no aplicativo (botão Baixar Dados (JSON)). A exportação traz os dados que estão no seu aparelho, menos o registro das buscas de endereço (Seção 3.8)
Os dados que o Qorria guarda no servidor, que a exportação do app não traz, você pede por e-mail ao [email protected], que responde em até 15 dias

Confirmação imediata: a exportação no aplicativo é feita no próprio aparelho e termina na tela Exportação Concluída, que mostra o formato, a quantidade de registros e o tamanho do arquivo. É a confirmação, imediata e em formato simplificado, de que tratamos dados seus (LGPD, art. 19, I)

Prazo de resposta (cópia pedida por e-mail): até 15 dias, contados do requerimento (LGPD, art. 19, II)

Formato: Arquivo JSON ou CSV com os dados do seu aparelho; os dados do servidor chegam pelo canal do [email protected]

7.2 Correção (Art. 18º, III)

Direito: Corrigir dados incompletos, inexatos ou desatualizados.

Como exercer:

Edite os dados do veículo, inclusive a placa, na aba Veículos: abra o veículo e toque no lápis
Para o nome, o e-mail e os outros dados que não se editam no app, envie solicitação para [email protected]

Prazo de resposta: imediato (edição no app) ou até 15 dias, contados do requerimento (via e-mail)

7.3 Anonimização, Bloqueio ou Eliminação (Art. 18º, IV)

Direito: Solicitar anonimização de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.

Como exercer: Envie solicitação para [email protected] especificando quais dados deseja anonimizar/eliminar

Prazo de resposta: até 15 dias, contados do requerimento

Observações:

Dados necessários para cumprimento de obrigações legais serão bloqueados, mas não eliminados

7.4 Portabilidade (Art. 18º, V)

Direito: Receber seus dados em formato estruturado e interoperável para transferir a outro fornecedor.

Como exercer:

Acesse Configurações → Dados e Privacidade → Exportar Todos os Dados
Escolha formato JSON (padrão estruturado)

Prazo de resposta: imediato (download direto no app) ou até 15 dias, contados do requerimento (dados do servidor, pelo e-mail)

Dados incluídos: os dados do seu aparelho que a exportação do app traz (exceto dados derivados/calculados pelo app). Os dados que o Qorria guarda no servidor, você pede ao [email protected]

7.5 Eliminação de Dados com Base em Consentimento (Art. 18º, VI)

Direito: Excluir dados tratados com base no seu consentimento.

Como exercer:

Para excluir dados de localização e histórico de ofertas: esses dados existem só no aparelho. As ofertas se apagam no próprio histórico do aplicativo (as análises de um período, ou todo o histórico de um veículo), e todos esses dados de uma vez, excluindo a conta no aplicativo (abaixo), que remove os registros do banco do aparelho. O que o Qorria guarda no servidor, você pede ao [email protected] (seção 13)
Para excluir toda a conta: Configurações → Dados e Privacidade → Excluir Minha Conta. As instruções também estão em https://qorria.com/exclusao-de-dados. Os eventos de uso que o Analytics já recebeu não saem na hora: saem pelo prazo da Seção 3.5, e, como a exclusão troca o identificador do aplicativo neste aparelho, nem o Qorria nem o [email protected] conseguem depois apontá-los ao Google
No celular antigo: se você excluir a conta em outro aparelho, ou pelo [email protected], o celular em que ela continuava aberta apaga o histórico guardado nele quando o aplicativo recebe do servidor a confirmação da exclusão, e mostra que a conta foi excluída; se o apagar falhar, o aplicativo tenta de novo quando você o abrir. Se o seu login já tiver sido removido, o aplicativo não consegue mais perguntar ao servidor: ele sai da conta e mostra, na tela de entrada, o aviso de que a conta deste celular foi encerrada, com dois botões. Apagar os dados deste celular apaga os dados que as contas deixaram nesse celular, de qualquer conta que tenha entrado nele, incluindo as configurações e os consentimentos, e deixa só registros técnicos do aplicativo, sem dado de conta, como o identificador do aparelho e a marca de que as telas de boas-vindas já foram vistas (Seção 9); Manter fecha o aviso e deixa os dados. Você também pode limpar os dados do Qorria nas configurações do Android ou desinstalar o aplicativo. O aviso nasce de uma marca guardada no celular, um sinal sem dado da conta, que não vai ao servidor nem entra na cópia de segurança do aparelho, e que sai quando você usa um dos botões ou quando uma conta entra no aplicativo nesse celular

Prazo de resposta: imediato para a exclusão da conta no app, salvo os eventos de uso já enviados ao Analytics, que saem pelo prazo da Seção 3.5; ou até 15 dias, contados do requerimento (via e-mail)

Consequências: Funcionalidades dependentes dos dados excluídos serão desabilitadas

7.6 Informação sobre Compartilhamento (Art. 18º, VII)

Direito: Saber com quem compartilhamos seus dados.

Como exercer: Esta informação está descrita na Seção 4 desta Política. Para detalhes adicionais, envie e-mail para [email protected].

7.7 Revogação de Consentimento (Art. 18º, IX)

Direito: Revogar consentimento a qualquer momento.

Como exercer:

Localização GPS: Configurações → Privacidade e Dados Pessoais → Localização Precisa (GPS); ou, nas configurações do Android, Apps → Qorria → Permissões → Localização → Não permitir (Seção 3.2)
Accessibility Service: Configurações do Android → Acessibilidade → Qorria → Desativar
Analytics e relatório de erro (Crashlytics): Configurações → Dados e Privacidade → Consentimentos (Gerenciar Consentimentos) → Analytics e Crashlytics → Revogar Consentimento (Seção 3.5). Revogar suspende a coleta; os eventos de uso que o Analytics já recebeu saem pelo prazo da Seção 3.5, e só a exclusão da conta apaga do aparelho o que o Analytics guardou e troca o identificador dele
Programa de testadores (site): no site, no navegador em que você se inscreveu, o botão Sair da lista e apagar meus dados, que vale também antes de você confirmar o e-mail; ou e-mail para [email protected] (Seção 3.9). A inscrição é apagada, e não apenas deixa de ser usada

Prazo de resposta: imediato

Consequências: Funcionalidades dependentes do consentimento revogado serão desabilitadas

7.8 Oposição ao Tratamento (Art. 18º, § 2º)

Direito: Opor-se a tratamentos baseados em legítimo interesse.

Aplicável ao Qorria: todo tratamento feito com base no legítimo interesse: os dados do passageiro (a nota, a quantidade de corridas e os endereços e as coordenadas de embarque, das paradas e de destino, Seção 3.8), os dados técnicos da requisição que o registro técnico de acessos do servidor guarda (Seção 3.5), os dados de suporte (Seção 3.7), exceto o diagnóstico técnico, que é de consentimento (Seção 7.7) e a origem da visita dos testadores (Seção 3.9). O titular desses dados pode se opor a esses tratamentos. O registro de acessos em si (data, hora, endereço IP, porta de origem e o código interno da conta) a lei manda guardar por 6 meses (Marco Civil da Internet, art. 15): ele tem outra base legal (Seção 3.5) e a oposição não o alcança. O código da conta que acompanha esse registro segue a mesma base, e a oposição também não o alcança. O código de bloqueio da conta apagada (Seção 8.1) também é de legítimo interesse: o seu pedido de oposição é o pedido de liberação, que o suporte atende; depois que o seu login for removido e as cópias de segurança se renovarem, o código já não leva a você e não há o que liberar (Seção 8.3).

Como exercer: Envie solicitação para [email protected] explicando sua oposição. Para a origem da visita dos testadores, há também a caixa do formulário (Seção 3.9); o pedido ao [email protected] apaga a origem e mantém a inscrição

Prazo de resposta: até 15 dias, contados do requerimento

Análise: Avaliaremos se há motivos legítimos e imperiosos para manter o tratamento

7.9 Revisão de Decisões Automatizadas (Art. 20º)

Direito: Solicitar revisão de decisões automatizadas que afetem seus interesses.

Aplicável ao Qorria: O app calcula automaticamente lucro líquido e aplica as suas metas, custos e zonas, mas estas decisões são sugestões, não ações automáticas irreversíveis.

Como exercer: Se discordar de algum cálculo ou alerta apresentado, envie solicitação para [email protected] (o canal da LGPD, Seção 1) para revisão manual.

8. RETENÇÃO E ELIMINAÇÃO DE DADOS

8.1 Critérios de Retenção

Mantemos seus dados pessoais apenas pelo tempo necessário para as finalidades descritas nesta Política, respeitando:

Categoria de Dados	Prazo de Retenção	Justificativa
Cadastro (nome, e-mail)	Vigência da conta; apagado na exclusão da conta	Execução do contrato
Aceite dos Termos e da Política (documento, versão e data)	Até a exclusão da conta; depois dela, só a prova mínima (um código da conta e um código do e-mail no lugar do cadastro), por 5 anos, e então é apagada	A prova do que você aceitou, em defesa de direitos (Seção 3.10)
Adiamento do aceite "Agora não" (documento, versão, data da escolha e data até a qual o acesso segue)	Até a exclusão da conta	Saber até quando o acesso segue sem o aceite da versão nova (Seção 3.10)
Localização: posição lida a cada oferta	3, 6, 12 ou 24 meses, por escolha sua (12 por padrão)	A oferta fica no histórico; só a posição é apagada, depois do prazo
Localização: percurso da jornada	90 dias depois de a jornada terminar	O resumo da jornada (km, duração) fica; só o percurso ponto a ponto é apagado
Localização: endereços e coordenadas de embarque, das paradas e de destino de cada oferta (dado do passageiro)	3, 6, 12 ou 24 meses, o mesmo prazo da posição (12 por padrão)	A oferta fica no histórico; só os endereços e as coordenadas são apagados, depois do prazo
Localização: busca de endereço (o texto procurado, a coordenada, o endereço devolvido e o CEP, guardados no aparelho)	7 dias, contados da última gravação; fixos, fora do prazo que você escolhe	Não repetir a busca do mesmo endereço; depois dos 7 dias a busca é apagada (Seção 3.8)
Localização: autorização para ativar os bairros de uma cidade (sem a posição, que o servidor não grava)	15 minutos de validade, contados da conferência da posição. A autorização que não foi usada e venceu é apagada no próximo pedido que você fizer para ver ou ativar os bairros de uma cidade; a usada fica com a ativação da cidade, até você apagar ou desativar a zona, e as duas saem na exclusão da conta	Liberar os dados da cidade para uso sem internet; a posição enviada é usada só na conferência e não é gravada (Seção 3.2)
Dados financeiros e operacionais (receitas, despesas, custos e metas)	Vigência da conta; saem na exclusão da conta	Calcular o lucro e gerar os relatórios
Registro da compra (a assinatura)	Vigência da conta; depois da exclusão, 5 anos, sem nome nem e-mail, e então é excluído	Comprovar a compra, em caso de contestação de cobrança (Seção 8.3)
Pedido de desistência da assinatura (o produto, o número do pedido da Google Play, o código do cliente no RevenueCat, as datas da contratação, do pedido e do estorno, a situação e as tentativas do estorno)	Vigência da conta; depois da exclusão, 5 (cinco) anos, sem nome nem e-mail e sem o vínculo com a conta, e então é excluído; o pedido ainda em andamento fica até ser atendido; o de quem excluiu a conta antes do estorno é fechado pelo Qorria e conferido pela nossa equipe, e, se só for fechado depois de vencidos os 5 (cinco) anos da exclusão, esse prazo passa a contar do fechamento	Comprovar que o pedido de desistência (art. 49 do Código de Defesa do Consumidor) foi atendido, em defesa de direitos (Seção 3.6)
Dados veiculares	Vigência da conta; saem na exclusão da conta	Calcular os custos do seu veículo
Histórico de ofertas (inclui a nota do passageiro)	Até você apagar a oferta no histórico ou excluir o veículo ou a conta, menos a posição, os endereços e a nota do passageiro, que saem no prazo das duas linhas de localização acima; no celular antigo de uma conta excluída em outro aparelho, até o aplicativo receber a confirmação da exclusão ou, se o login já tiver sido removido, até você apagar os dados pelo aviso da tela de entrada, limpar os dados do aplicativo ou desinstalá-lo (Seção 7.5)	O aplicativo não apaga a oferta por tempo; apagar no histórico e excluir o veículo apagam as ofertas, e a exclusão da conta apaga o banco do aparelho
Eventos de uso (Firebase Analytics e a cópia deles no BigQuery, com o seu consentimento)	2 meses nos dois, para os dados por evento e por usuário (os relatórios agregados do Google não entram); a exclusão da conta não adianta esse prazo (Seção 8.3)	Análise de uso e melhorias
Relatórios de erro no Firebase Crashlytics (com o seu consentimento)	90 dias; depois disso o Google começa a removê-los dos sistemas em uso e das cópias de segurança dele	Corrigir erros e melhorar o desempenho
Registro de erros do servidor do Qorria (com o seu consentimento)	90 dias depois da última ocorrência do erro	Corrigir erros e melhorar o desempenho
Dados de suporte	3 anos após resolução	Histórico de atendimento
Inscrição no programa de testadores (site)	6 meses do envio, para quem não criou conta; enquanto a conta existir, para quem criou; em qualquer caso, até sair da lista	Selecionar e contatar testadores, com o seu consentimento (Seção 3.9)
Inscrição não confirmada no programa de testadores (site)	7 dias para confirmar o e-mail; apagada em até 8 dias do envio, ou antes, se você sair da lista	Provar que o consentimento é de quem controla o e-mail: sem o clique na confirmação, a inscrição não vale (Seção 3.9)
Registro dos avisos por e-mail (a conta, o aviso, a data e o resultado)	Até a exclusão da conta	Comprovar o aviso que os Termos prometem
Registro da suspensão de conta (a conta, o motivo, quem suspendeu, as datas e o andamento do aviso e da assinatura)	Até a exclusão da conta	Aplicar a suspensão prevista nos Termos e permitir a contestação (Seção 3.11)
Prova mínima da suspensão (um código da conta, o motivo, a data, um código de quem suspendeu e o que se providenciou na assinatura)	5 (cinco) anos depois da exclusão da conta, e então é apagada	Comprovar a suspensão, em defesa de direitos (Seção 3.11)
Registro de que a exclusão aconteceu (um pseudônimo da conta, a data da exclusão e a contagem do que foi apagado)	5 (cinco) anos contados da exclusão da conta, e então é apagado	Comprovar que a exclusão aconteceu e o que ela apagou e guardou, em defesa de direitos em processo judicial (Seção 8.3)
Contagem da suspensão no registro da exclusão (um número: 1 se a exclusão guardou a prova da suspensão, 0 se não)	5 (cinco) anos contados da exclusão da conta, no registro de que a exclusão aconteceu (linha acima), e sai com ele	Comprovar o que a exclusão apagou e guardou (Seção 3.11)
Marca da conta suspensa, no aparelho (um pseudônimo da conta)	Até o aplicativo perceber que a conta foi liberada, ou até você sair da conta ou excluí-la, ou o aplicativo sair dela porque ela foi excluída em outro aparelho	Mostrar o aviso da suspensão e não começar a ler ofertas novas enquanto ela durar (Seção 3.11)
Marca de conta encerrada, no aparelho (um sinal, sem dado da conta)	Até você apagar os dados pelo botão Apagar os dados deste celular ou escolher Manter, no aviso da tela de entrada, ou até uma conta entrar no aplicativo nesse celular	Mostrar, no celular antigo de uma conta excluída em outro aparelho, o aviso de que a conta foi encerrada (Seção 7.5)
Registros de acesso (data, hora, endereço IP, porta de origem e, com a sessão aberta, o código interno da conta, de cada acesso à API, inclusive os que o aplicativo e o site fazem a ela)	6 meses, no servidor do Qorria; o dia sob guarda por prazo maior fica pelo prazo da guarda (Seção 3.5); as linhas recusadas, na quarentena, ficam 6 meses contados da entrada nela (a carga do registro), e não do acesso	Obrigação legal de guardar os registros de acesso por 6 meses (Marco Civil da Internet, art. 15)
Cópia cifrada do registro de acessos (uma por dia encerrado, no Bunny, cifrada antes de sair do servidor)	6 meses, contados do dia do acesso; o dia sob guarda por prazo maior fica pelo prazo da guarda	O mesmo prazo e a mesma obrigação, em outro lugar, para o caso de perda do servidor
Dados técnicos da requisição (agente do navegador ou do cliente, método, caminho, identificador da requisição, resultado, tamanho da resposta e duração, no mesmo registro dos acessos)	6 meses	Segurança e prevenção de fraude (Seção 3.5)
Relatórios extraídos do registro de acessos (arquivo gerado pelo painel para atender uma ordem judicial)	24 horas depois de prontos, no servidor; o pedido do relatório (o filtro, o motivo e o resultado) fica por mais 30 dias; a cópia de trabalho de quem atende o pedido se apaga depois da entrega, e a cópia entregue à autoridade sai do controle do Qorria	Atender a ordem judicial (Seção 4.2)
Registros de auditoria de segurança (as ações no painel administrativo, inclusive cada consulta, cada relatório e cada guarda do registro de acessos, com o filtro usado, o motivo informado, o número de linhas e a impressão digital (SHA-256) do arquivo, e os eventos de segurança do servidor)	12 meses, contados da data de cada registro, de conta ativa ou excluída (na excluída, só o pseudônimo)	Investigação de incidentes e prevenção de fraude
Código de bloqueio da conta apagada	Sem prazo; o suporte pode liberá-lo a seu pedido	Legítimo Interesse (Art. 7º, IX e Art. 10 da LGPD), em impedir que um acesso antigo recrie, em silêncio, a conta que você apagou; você pode se opor a esse tratamento (Seção 7.8). É calculado a partir do identificador do seu login e impede que a conta apagada volte a funcionar. Enquanto o seu login existir, o identificador pode ficar com o Google/Firebase; depois que o login for removido e as cópias de segurança do servidor se renovarem (Seção 8.3), ninguém guarda o identificador, e o código já não leva de volta a você
Backup do banco de dados do servidor	7 diários, 4 semanais e 6 mensais, os mais recentes	Recuperação de desastres. O registro de acessos não entra nessas cópias; ele tem a cópia própria acima. A auditoria do painel entra nelas, com o filtro de cada consulta ao registro, que pode trazer um endereço IP ou o código de uma conta (Seção 6.1)

8.2 Eliminação Automática

O Qorria implementa eliminação automática de dados antigos:

✅ A posição lida a cada oferta, os endereços e as coordenadas de embarque, das paradas e de destino e a nota do passageiro, quando passam do prazo que você escolheu (3, 6, 12 ou 24 meses), são apagados da oferta, que continua no histórico sem eles; isso acontece quando você abre o aplicativo e quando troca o prazo
✅ O registro das buscas de endereço (o texto procurado, a coordenada, o endereço devolvido e o CEP) é apagado 7 dias depois da última gravação, qualquer que seja o prazo que você escolheu para a localização; isso acontece quando você abre o aplicativo e quando troca o prazo da localização
✅ O percurso das jornadas encerradas há mais de 90 dias é apagado quando você abre o aplicativo, quando troca o prazo e quando uma jornada termina
✅ Os backups do servidor além da retenção (7 diários, 4 semanais e 6 mensais) são apagados automaticamente, a cada backup concluído
✅ As inscrições no programa de testadores de quem não criou conta no Qorria são apagadas automaticamente ao fim do prazo da Seção 3.9, por uma verificação diária do servidor
✅ As inscrições no programa de testadores cujo e-mail não foi confirmado em 7 dias são apagadas automaticamente, pela mesma verificação diária do servidor: por isso a inscrição não confirmada some em até 8 dias do envio, ainda que exista conta no Qorria com o mesmo e-mail
✅ O registro de acessos além de 6 meses, no servidor e na cópia cifrada, é apagado automaticamente, todo dia, e os relatórios extraídos que passam de 24 horas, a cada hora, por verificações do servidor; os dias sob guarda por prazo maior ficam fora da verificação até a guarda ser liberada

8.3 Eliminação Após Cancelamento

Quando você exclui sua conta:

Dados cadastrais: Excluídos imediatamente, junto com a conta. O Qorria guarda só o registro de que a exclusão aconteceu: um pseudônimo da conta (um código que não identifica você sem outras informações que o Qorria guarda separadas), a data e a contagem do que foi apagado, que inclui o número que diz se a prova da suspensão foi guardada (Seção 3.11). Esse registro é guardado por 5 (cinco) anos contados da exclusão, para a defesa do Qorria em processo judicial, e então é apagado (Seção 8.1). O Qorria também guarda o código de bloqueio da conta apagada (Seção 8.1), que impede a conta de voltar a funcionar e que o suporte pode liberar a seu pedido. Ele é calculado do identificador do seu login, que o Qorria não guarda depois da exclusão, salvo nas cópias de segurança até elas se renovarem; por isso, depois que o seu login for removido e as cópias se renovarem, o código já não leva a você, e não há o que liberar. A exclusão também remove o seu login, o registro que o Google/Firebase guarda para você entrar no Qorria com a sua conta Google. Se o Google pedir que você tenha entrado há pouco e a remoção falhar, o aplicativo sai da conta e tenta concluí-la na próxima vez que você entrar no Qorria com a mesma conta Google; depois disso, entrar de novo cria uma conta nova e vazia. Se a remoção ainda assim não acontecer, peça-a ao [email protected]. As cópias de segurança do banco de dados do servidor (7 diários, 4 semanais e 6 mensais, os mais recentes, Seção 8.1) não são alteradas uma a uma: a conta some delas conforme os backups são renovados, e elas servem apenas à recuperação de desastres
Dados de localização: Excluídos imediatamente
Dados financeiros: O registro da assinatura (produto, datas, situação, o código do seu cliente no RevenueCat e o número do pedido), sem o seu nome nem o seu e-mail, é mantido por 5 anos para comprovar a compra em caso de contestação de cobrança, depois é excluído. Os eventos da assinatura (as mudanças de situação que o Qorria registra e os avisos da Google Play) ficam sem o vínculo com a sua conta: o código da conta no Qorria e no Firebase sai das linhas e o conteúdo bruto do aviso da Google Play é esvaziado. Ficam o tipo e a data do evento, a situação da assinatura e, nos avisos da Google Play, o número do pedido e a impressão digital (hash) do código da compra
Histórico de ofertas, dados financeiros e operacionais e dados do veículo: Excluídos imediatamente, com o banco do aparelho, que é apagado por inteiro. Num outro celular em que a conta continuava aberta, eles se apagam como a Seção 7.5 descreve: quando o aplicativo recebe a confirmação da exclusão ou, se o login já tiver sido removido, pelo botão do aviso na tela de entrada
Dados de navegação: o registro de erros do servidor perde o vínculo com a conta e com o aparelho (o identificador da conta e, quando houver, o código do aparelho são apagados da linha) e sai no prazo da Seção 3.5; os eventos de uso e os relatórios de erro que estão no Firebase não são apagados pela exclusão da conta, e saem pelos prazos da Seção 3.5. Dos eventos de uso, a exclusão apaga do aparelho o que o Analytics guardou e troca o identificador que o Analytics usa nele: o aplicativo não envia ao Analytics o seu nome, o seu e-mail nem o código da sua conta, e, trocado o identificador, nem o Qorria consegue depois apontar ao Google os eventos antigos do seu aparelho. O prazo de 2 (dois) meses vale para os dados por evento e por usuário, e não para os relatórios agregados do Google
Registro dos avisos por e-mail: Excluído imediatamente
Registro da suspensão de conta: Excluído imediatamente com a conta, mas, se a suspensão estava aberta, antes se copia a prova mínima (Seção 3.11), mantida por 5 anos depois da exclusão e então apagada. A marca da suspensão no aparelho (Seção 3.11) sai junto, com os dados do aparelho
Inscrição no programa de testadores com o mesmo e-mail da conta: Excluída imediatamente
Registro do aceite dos textos: Excluído imediatamente com a conta, mas antes se copia a prova mínima (Seção 3.10), mantida por 5 anos depois da exclusão e então apagada
Adiamento do aceite ("Agora não"): Excluído imediatamente; não vira prova
Registros de auditoria de segurança: Passam a citar só um pseudônimo da conta (um código calculado do identificador da conta, o SHA-256 dele, que não identifica você sem outras informações que o Qorria guarda separadas); nos registros do painel administrativo, o e-mail e o IP também são apagados. Esses registros são guardados por 12 meses, contados da data de cada um, e então apagados (Seção 8.1)
Registros de acesso: Não são apagados com a conta. Eles guardam a data, a hora, o endereço IP, a porta de origem e o código interno da conta; depois da exclusão esse código não leva ao seu nome, ao seu e-mail nem a outro dado seu no Qorria, porque a conta é apagada, e só se liga, pelo pseudônimo da conta, ao registro de que a exclusão aconteceu (item 1) e aos registros de auditoria de segurança (item 11). O Qorria os guarda por 6 meses, contados do acesso, como manda o art. 15 do Marco Civil da Internet, no servidor e na cópia cifrada, e só então os apaga (Seção 8.1); as linhas que o servidor não conseguiu gravar, na quarentena, ficam 6 meses contados da entrada nela, e não do acesso (Seção 3.5). Se uma autoridade pedir que o registro de um período seja guardado por mais tempo, o Qorria guarda os dias inteiros que o pedido alcança, como a Seção 3.5 descreve
Chamados de suporte abertos pelo aplicativo: o texto, o diagnóstico técnico, os anexos e o histórico do chamado são excluídos imediatamente, com a conta, e os arquivos anexados são removidos do armazenamento do Qorria no mesmo pedido. Se a remoção de um arquivo falhar, a conta é excluída do mesmo jeito e o arquivo pode ficar no armazenamento: peça a eliminação dele ao [email protected]
Pedido de desistência da assinatura: perde o vínculo com a conta (o código da conta é apagado da linha). Ficam por 5 anos o produto, o número do pedido, o código do seu cliente no RevenueCat, as datas, a situação e o resultado do estorno, sem o seu nome nem o seu e-mail, para comprovar que o pedido foi atendido; depois a linha é excluída. O pedido que ainda estiver em andamento (pendente ou em revisão) quando a conta for excluída é encerrado pelo Qorria, e a nossa equipe confere o estorno na Google Play; se o pedido só for encerrado depois de vencidos os 5 anos da exclusão, o prazo passa a contar do encerramento (Seção 8.1)

9. COOKIES E TECNOLOGIAS DE RASTREAMENTO

O Qorria é um aplicativo nativo Android, e o site https://qorria.com o apresenta e recebe as inscrições do programa de testadores (Seção 3.9).

❌ Não utilizamos cookies HTTP, nem no aplicativo nem no site

✅ Utilizamos tecnologias equivalentes:

Armazenamento local do navegador (localStorage), no site: guarda apenas o identificador e o código de acesso da sua inscrição no programa de testadores, para você consultar o andamento e sair da lista; o que você digitou no formulário não fica nele, e o site não tem ferramenta de medição de audiência. A página de confirmação do e-mail só lê esses dois valores, para dizer que a inscrição já está confirmada, e não grava nada
SharedPreferences: Armazenamento local de preferências (ex: tema claro/escuro) e de marcas do próprio aparelho, como a de que as telas de boas-vindas já foram vistas, a de que a pergunta do consentimento já foi feita, a da conta suspensa (Seção 3.11) e a de que a conta do celular foi encerrada (Seção 7.5)
Firebase Analytics: Coleta de eventos de uso das funcionalidades, desligada até você consentir
Firebase Crashlytics: Coleta de relatórios de erro, desligada até você consentir

Como desativar:

Armazenamento local do navegador: os dois valores são apagados quando você sai da lista pelo site; você também pode apagá-los limpando os dados do site no navegador, e nesse caso a saída da lista passa a ser pelo e-mail [email protected] (Seção 3.9)
SharedPreferences: Necessário para funcionamento básico (não pode ser desativado)
Firebase Analytics e Crashlytics: nascem desligados, e o aplicativo pergunta por eles uma única vez, depois do primeiro login. Para ligar ou desligar depois: Configurações → Dados e Privacidade → Consentimentos (Gerenciar Consentimentos) → Analytics e Crashlytics. Reativar Consentimento abre a escolha de cada um dos dois, e Revogar Consentimento suspende a coleta de ambos

10. PRIVACIDADE DE MENORES DE IDADE

O Qorria é destinado a motoristas profissionais de aplicativo maiores de 18 anos.

Política de Menores:

❌ Não coletamos intencionalmente dados de menores de 18 anos
❌ Não permitimos cadastro de menores
✅ Se tomarmos conhecimento de que uma conta é de menor de 18 anos, a excluiremos imediatamente

Responsabilidade dos Pais/Responsáveis: Se você acredita que uma criança ou adolescente forneceu dados ao Qorria, entre em contato imediatamente com [email protected].

11. ALTERAÇÕES NESTA POLÍTICA

Podemos atualizar esta Política periodicamente para refletir:

Mudanças na legislação (LGPD, regulamentações da ANPD)
Novas funcionalidades do aplicativo
Melhores práticas de privacidade
Feedback de usuários e autoridades

Novo aceite: quando esta Política muda de versão, o app mostra o texto novo e só segue depois do seu aceite. Aceitar esta Política confirma que você a leu; não renova nem amplia os consentimentos dados à parte.

Com período pago em curso: você pode escolher "Agora não" e seguir usando o Qorria até o fim do período que já estava pago. Não há reembolso por recusar o texto novo. Depois do fim desse período, o app só abre com o aceite. Para não ser cobrado na renovação, cancele a assinatura na Google Play: o Qorria não cancela
Sem período pago: você aceita, sai da conta ou a exclui, na mesma tela ("Excluir minha conta"). Excluir a conta não cancela a assinatura na Google Play
Enquanto o aceite estiver pendente e não houver adiamento em vigor: a jornada em curso segue até você encerrá-la ou até completar 12 horas desde o início, o que vier primeiro, e a própria tela do aceite tem o botão "Encerrar a jornada"; depois disso o app não analisa ofertas nem registra nova jornada até o aceite. A jornada que passa de 12 horas continua aberta, e as suas horas e o seu lucro não mudam: só a análise de ofertas para, e o aceite é pedido quando você abrir o app. Os seus dados continuam no aparelho

Onde você acompanha as alterações:

✅ Por e-mail: avisamos o endereço da sua conta com pelo menos 15 dias antes de a alteração entrar em vigor
✅ No app: a versão vigente desta Política fica disponível no aplicativo
✅ No site: a versão vigente aparece em https://qorria.com/privacidade, com a data, e o texto novo vai ao site e ao histórico de versões 15 dias antes da versão do app que exige o aceite
✅ Histórico de versões disponível em https://qorria.com/privacidade/historico

Versões anteriores: Você pode consultar versões anteriores desta política no link acima.

Data de vigência: o texto novo vale a partir da versão do aplicativo que o exige, quando o aplicativo pede o seu aceite. Ele é publicado no site e no histórico de versões 15 dias antes dessa versão, e o aviso por e-mail segue sendo dado com pelo menos 15 dias de antecedência.

12. LEI APLICÁVEL E JURISDIÇÃO

Esta Política de Privacidade é regida pelas leis da República Federativa do Brasil, especialmente:

Lei Geral de Proteção de Dados Pessoais (LGPD) - Lei nº 13.709/2018
Marco Civil da Internet - Lei nº 12.965/2014
Código de Defesa do Consumidor - Lei nº 8.078/1990

Jurisdição: Fica eleito o Foro da Comarca de Boa Vista/RR, ressalvado ao consumidor o direito de propor a ação no foro do seu domicílio, para dirimir questões oriundas desta Política.

Resolução de Conflitos:

Contato direto: Tente resolver dúvidas pelo canal de privacidade ([email protected])
ANPD: Você pode registrar reclamação na Autoridade Nacional de Proteção de Dados (https://www.gov.br/anpd)
Procon: Questões de consumo podem ser levadas ao Procon do seu estado
Judiciário: Como última instância, questões podem ser judicializadas

13. CONTATO E EXERCÍCIO DE DIREITOS

Canal de Comunicação com o Titular (LGPD, art. 18)

E-mail: [email protected]
Encarregado: a AUDSOM é agente de tratamento de pequeno porte e não indica encarregado (Resolução CD/ANPD nº 2/2022, art. 11). Este e-mail é o canal para você exercer os direitos do art. 18 da LGPD.
Confirmação do pedido: Para proteger os seus dados, podemos pedir uma confirmação de que o pedido é seu antes de atendê-lo. Não pedimos documento além do necessário para essa confirmação.
Prazo de resposta: até 15 dias, contados do requerimento

Suporte Técnico

E-mail: [email protected]
No app: menu → Ajuda e Suporte (abra um chamado e acompanhe a resposta)
Prazo de resposta: até 5 dias corridos, nos Planos Gratuito e Premium

Canais Institucionais

Site: https://qorria.com
Políticas: https://qorria.com/privacidade
Termos de Uso: https://qorria.com/termos

Autoridade Fiscalizadora

ANPD - Autoridade Nacional de Proteção de Dados
Site: https://www.gov.br/anpd
Ouvidoria: https://falabr.cgu.gov.br (selecione "ANPD")

14. GLOSSÁRIO

LGPD: Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018)

Dado Pessoal: Informação relacionada a pessoa natural identificada ou identificável (ex: nome, e-mail, CPF)

Dado Sensível: Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, genético ou biométrico, quando vinculado a pessoa natural (Art. 5º, II LGPD)

Titular: Pessoa natural a quem se referem os dados pessoais (você, usuário do Qorria)

Controlador: Pessoa jurídica a quem competem as decisões referentes ao tratamento de dados pessoais (Qorria)

Operador: Pessoa jurídica que realiza o tratamento de dados pessoais em nome do controlador (ex: Google Firebase)

Encarregado (DPO): Pessoa que a LGPD manda o controlador indicar como canal de comunicação entre o controlador, os titulares e a ANPD. A AUDSOM, agente de tratamento de pequeno porte, não indica encarregado (Resolução CD/ANPD nº 2/2022, art. 11); o canal de comunicação com o titular é o [email protected]

Tratamento: Toda operação realizada com dados pessoais (coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração)

Anonimização: Utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo

Consentimento: Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada

Accessibility Service: Recurso de acessibilidade do Android que permite apps lerem o conteúdo da tela para auxiliar pessoas com deficiência. O Qorria utiliza para automatizar análise de ofertas.

15. DECLARAÇÃO DE COMPROMISSO

O Qorria se compromete a:

✅ Transparência: Ser claro sobre quais dados coletamos e por quê
✅ Finalidade: Usar dados apenas para as finalidades descritas nesta Política
✅ Necessidade: Coletar apenas dados estritamente necessários
✅ Segurança: Proteger seus dados com medidas técnicas e organizacionais adequadas
✅ Direitos: Facilitar o exercício dos seus direitos como titular
✅ Conformidade: Manter conformidade contínua com a LGPD e regulamentações da ANPD
✅ Responsabilidade: Assumir responsabilidade por todo o ciclo de vida dos seus dados

Sua confiança é nossa prioridade.

Última atualização: 04/11/2026
Vigência: 29/10/2026

AUDSOM STUDIO E TECNOLOGIA LTDA
"Calcule seu lucro real. Tome decisões inteligentes."

Este documento também está disponível dentro do app Qorria, em Configurações → Meus Dados.