Política de privacidade

1. O que o gmaps.dev faz

Coletamos o que qualquer pessoa vê num perfil de empresa no Google Maps: nome, categoria, endereço, telefones, site, horário de funcionamento, coordenadas, nota e número de avaliações, e o link do perfil. Guardamos tudo num único conjunto de lugares em que todos os clientes buscam, e entregamos pela nossa API, pelo console e em exportações. Nos planos pagos, quando o cliente pede, também procuramos endereços de e-mail no próprio site da empresa. Nunca coletamos o texto das avaliações, o nome de quem avaliou nem fotos, e nunca entramos numa conta do Google. O gmaps.dev não tem vínculo com o Google nem com a Alphabet.

2. A quem esta política se aplica

Clientes são quem abre uma conta e usa a API ou o console. Pessoas nos resultados são as que um perfil de empresa pode identificar, como um MEI cuja empresa leva o próprio nome, ou um celular pessoal cadastrado como telefone da empresa. Esta política vale para os dois, e para quem nos manda um pedido de remoção.

3. O que coletamos sobre clientes

• Conta: seu e-mail, seu nome, o idioma que você escolhe e se e quando você aceitou a política de uso aceitável.
• Uso: os créditos que cada requisição cobrou ou devolveu, as coletas que você inicia e os lugares que elas trouxeram, as exportações que você cria, suas chaves de API (guardadas em hash) e seus endpoints de webhook com o histórico de entregas.
• Cobrança: seu plano, seu saldo de créditos e as referências de cliente e de pagamento no Stripe. O número do cartão nunca chega até nós. Quem guarda é o Stripe.
• Técnico: o endereço IP, o horário, a URL e os cabeçalhos de cada requisição, como o navegador ou o programa que a enviou, nos logs do nosso servidor web.

Usamos isso para operar o serviço, medir o uso, cobrar, manter tudo seguro e ajudar você. Não vendemos esses dados e não treinamos modelos com eles.

4. O que coletamos sobre pessoas nos resultados

O que o perfil da empresa mostrava quando coletamos (item 1). Um lugar pode trazer o nome ou o telefone da pessoa por trás da empresa, e estar em público não tira os direitos de privacidade dessa pessoa. Endereços de e-mail vêm só do próprio site da empresa, e só aparecem para clientes pagantes que aceitaram a política de uso aceitável.

Base legal. Para as pessoas nos resultados, o legítimo interesse em informações de empresas publicadas justamente para serem encontradas (LGPD art. 7º, IX; GDPR art. 6(1)(f)), equilibrado pelas salvaguardas desta política: só perfis públicos, nada de avaliações ou fotos, e-mails só para contas pagas que aceitaram a política, e um formulário de remoção que tira os dados antes e depois da coleta. Para os clientes, o contrato que você aceita ao criar a conta (LGPD art. 7º, V; GDPR art. 6(1)(b)).

5. Pedidos de remoção

Quando você pede uma remoção, guardamos o e-mail que você informa, o que você pediu para remover, o motivo, o idioma que você usou e as datas. Usamos isso para confirmar o pedido, mandar a nossa decisão e manter os dados removidos fora do gmaps.dev. Para evitar abuso, o formulário também conta os pedidos de cada endereço IP por uma hora. Não guarda mais nada sobre a sua conexão.

6. Por quanto tempo guardamos

• Lugares não têm prazo: ficam no nosso conjunto até aceitarmos um pedido de remoção. Quando um cliente busca uma região e a nossa cópia tem mais de 180 dias, coletamos de novo e atualizamos. Um lugar cuja remoção aceitamos sai de todas as buscas e exportações na hora, e apagamos a nossa cópia em até uma hora.
• Resultados de coleta, a lista de lugares que uma coleta trouxe e o registro do andamento, são apagados depois de 30 dias. As contagens e as cobranças da coleta ficam. O arquivo de uma exportação é montado quando você abre o link e nunca fica guardado. O link para de funcionar depois de 24 horas.
• Logs: histórico de entregas de webhook, 7 dias; registros de erro, 30 dias; logs do servidor web, 30 dias.
• Contas: quando você exclui a sua, ela fica bloqueada e suas chaves de API param na hora. Mantemos a conta por 14 dias para você poder voltar atrás e depois apagamos a conta e tudo o que é dela. Os registros de pagamento que a lei manda guardar continuam, sem vínculo com a conta.
• Backups rodam toda noite. Ficam 7 dias no nosso servidor e 30 dias num armazenamento criptografado, e depois expiram.
• Pedidos de remoção ficam guardados enquanto a remoção valer, para nunca coletarmos de novo o que foi removido.

7. Seus direitos (LGPD e GDPR)

Sendo cliente ou não, você pode nos pedir para confirmar se temos dados seus, mostrar esses dados, corrigir, apagar ou anonimizar, entregar num formato portável e parar de tratá-los quando a nossa base é o legítimo interesse. Você também pode reclamar à autoridade de proteção de dados de onde você mora. No Brasil, é a ANPD.

Clientes podem excluir a conta no console, em Conta. Para qualquer outra coisa, escreva para privacy@gmaps.dev. Qualquer pessoa pode pedir a remoção de um lugar, um telefone, um e-mail ou um site pelo formulário de remoção, sem conta e sem custo. Respondemos em até 15 dias.

8. Quem mais trata os dados

• Oracle Cloud: o servidor que roda a nossa API e guarda o nosso banco de dados.
• Stripe: pagamentos. O dado do cartão nunca chega até nós.
• ZeptoMail (Zoho): envia os nossos e-mails. Recebe o endereço, o nome e a mensagem.
• Cloudflare: DNS, a hospedagem deste site e do console, e o armazenamento criptografado dos nossos backups.
• Amazon Web Services: a máquina que coleta os lugares no Google Maps. Ela recebe o que buscar e onde, nunca quem pediu.
• OpenStreetMap: o mapa do console. Seu navegador carrega as imagens do mapa dos servidores do OpenStreetMap, que veem o seu endereço IP.

Nosso servidor e a máquina de coleta ficam em São Paulo, no Brasil. Transferências para fora do Brasil se apoiam nas cláusulas contratuais padrão desses fornecedores.

9. Segurança

As chaves de API ficam guardadas em hash. Tudo o que passa pela internet é criptografado: a API, este site e o console usam TLS, o banco de dados só aceita conexões de fora com TLS, e a máquina de coleta fala com o nosso servidor por um túnel criptografado em que ela só consegue responder, nunca abrir uma conexão com o servidor. Os backups ficam criptografados no armazenamento. Nenhum sistema é perfeito: se um incidente de segurança atingir você, avisamos você e a autoridade como a lei manda.

10. Crianças e adolescentes

O gmaps.dev não é para menores de 18 anos. Se soubermos que uma conta é de um menor de idade, não a mantemos.

11. E-mails que enviamos

• Sobre a sua conta: confirmação de cadastro, redefinição de senha e o aviso de quando você exclui a conta. Fazem parte do serviço e continuam enquanto a conta existir.
• Sobre um pedido de remoção: o link de confirmação e a nossa decisão, para o e-mail que você informou.
• Novidades e dicas: não mandamos nada disso. Se mudar, vamos pedir antes, com a opção desmarcada, e você pode voltar atrás.

12. Mudanças

Toda mudança relevante é avisada por e-mail aos clientes e por uma nota datada no topo desta página.