Versão preliminar 0.14 · 18 de outubro de 2026 · em revisão jurídica. O texto pode mudar antes do lançamento público.

Política de Privacidade do loozy

Em resumo

O loozy ajuda você a encontrar um banheiro. Você pode consultar o mapa sem conta. Para contribuir — adicionar banheiros, avaliar, enviar fotos, salvar favoritos — você cria uma conta com seu nome, um nome de usuário e seu e-mail. Não guardamos sua localização, não rastreamos você entre aplicativos e não vendemos dados a ninguém. Você pode nos dizer seu sexo e sua faixa etária — é opcional, serve para entendermos, em números agregados, quem usa o app, e nunca é público. Só enviamos novidades por e-mail se você pedir, e você pode mudar de ideia quando quiser. Você pode apagar tudo dentro do app, a qualquer momento.

Este resumo não substitui o texto abaixo, mas não o contradiz.

1. Quem somos

Controlador: Loozy Technology & Revolution LTDA, sociedade brasileira, CNPJ 69.256.189/0001-84, Rua Dr. Antonio Macedo Lima, 156, Sala 1, São Paulo – SP, CEP 03145-040, Brasil.

Representante na União Europeia (art. 27 do RGPD europeu): Pedro Paredes, Rua Conde de Almoster, 52, 1500-195 Lisboa, Portugal.

• Assuntos de privacidade: privacidade@loozygo.com
• Suporte geral: ola@loozygo.com
• Autoridades de controle: CNPD (Portugal) e ANPD (Brasil)

2. Você pode usar o loozy sem conta

Na tela de entrada, "Explorar sem conta" permite consultar o mapa, abrir a ficha de cada banheiro e pedir a rota a pé sem criar conta. Nesse modo não criamos nenhum registro sobre você: não há conta, identificador nem sessão. Os pedidos que o app faz ao nosso servidor — buscar ao redor de você, calcular um caminho — são tratados como descrevem as seções 3 e 5.

Para adicionar banheiros, avaliar, enviar fotos, salvar favoritos, denunciar conteúdo ou bloquear alguém você precisa de conta. A conta é gratuita e só fica ativa depois de você confirmar seu e-mail com o código que enviamos.

3. Quais dados tratamos, e por quê

Quando você usa o mapa, com ou sem conta

• Sua localização, para mostrar o que está mais perto. O app pede ao nosso servidor os banheiros num raio ao redor da sua posição (ou, se você não der acesso à localização, ao redor do centro de Lisboa). Para ordená-los pelo caminho a pé, e não pela linha reta, ele consulta o nosso servidor de rotas (seção 5), que também não guarda o pedido. O servidor responde e não guarda esse pedido no banco de dados: não existe histórico de onde você esteve. Como qualquer requisição, pode constar, com o endereço IP, nos registros técnicos do servidor por até 30 dias. Base legal: consentimento, dado pela permissão de localização do sistema, que você pode retirar a qualquer momento.

Quando você cria a conta — obrigatório

• Nome — para sabermos com quem falamos e para a conta ser de uma pessoa concreta. Nunca é mostrado a outras pessoas. Base legal: execução do contrato.
• Nome de usuário — o nome público, que assina o que você contribui. É você que escolhe e não precisa ter relação com seu nome. Base legal: execução do contrato.
• E-mail — para entrar e recuperar o acesso. Quando você cria a conta, e quando pede para redefinir a senha, enviamos um código de 6 dígitos para esse e-mail; guardamos apenas uma versão cifrada do código, válida por 10 minutos. Os e-mails são enviados pelo serviço de e-mail da Microsoft Azure (Azure Communication Services), com os dados na União Europeia, e não têm rastreamento de abertura nem de cliques. Base legal: execução do contrato.
• Senha — guardada apenas como hash criptográfico (scrypt). Nunca temos acesso à senha em si.
• Suas contribuições — banheiros, avaliações, denúncias, fotos e favoritos.
• Sua aceitação destes documentos — guardamos a data e a versão dos Termos e desta Política que você aceitou ao criar a conta. Base legal: obrigação legal de demonstrar o consentimento (RGPD art. 7.º-1).

Quando você envia uma foto

• Aceitamos fotos em JPEG, PNG ou WebP; outros formatos (HEIC incluído) são recusados. O arquivo que você envia chega primeiro a uma área privada, que ninguém vê de fora. Antes de a foto ficar pública, o nosso servidor remove os metadados — EXIF e XMP, onde o celular costuma colocar a localização GPS e a hora em que a foto foi tirada — e a publica num endereço novo. Um envio que não chegue a ser confirmado é apagado em até 1 dia. A foto publicada é visível para qualquer pessoa que tenha o endereço, e aparece na ficha do banheiro com seu nome de usuário. Base legal: consentimento — é você que escolhe enviá-la.

Quando você denuncia ou bloqueia

• Denúncias de avaliações e fotos — quem denunciou, o quê, o motivo (de uma lista fechada) e a nota opcional que você escrever. Só você vê as suas; quem publicou o conteúdo não sabe quem o denunciou. Servem para tirar de vista o que é ofensivo, ilegal ou mostra pessoas. Base legal: interesse legítimo na segurança e na integridade do conteúdo.
• Bloqueios — quem você bloqueou. Só você os vê, e quem foi bloqueado não fica sabendo. Base legal: execução do contrato (é uma funcionalidade que você pede).
• Quando alguém denuncia um conteúdo, enviamos a nós mesmos um alerta por e-mail para revisá-lo. Esse alerta é um resumo sem dados pessoais: não leva o nome, o e-mail nem o nome de usuário de quem denunciou ou de quem publicou.

Quando você cria a conta — opcional, e só se quiser

• Sexo (feminino, masculino, outro) e faixa etária (por exemplo 25–34). Servem para uma coisa: entendermos, em números agregados, quem usa o app — quantas pessoas por faixa etária, que proporção de cada sexo — para decidirmos onde melhorar. Nunca são mostrados a ninguém, nunca são usados para tratar você de forma diferente, e nunca são vendidos ou cedidos. Você pode não responder ("prefiro não dizer") e pode apagar as respostas no perfil a qualquer momento. Base legal: consentimento (RGPD art. 6.º-1-a / LGPD art. 7.º-I), que não é condição para usar o app.
• Receber novidades por e-mail — só se você marcar a opção, que vem desmarcada. Serve para enviarmos notícias do loozy: funcionalidades novas, novas regiões no mapa, parceiros. Nunca cedemos seu e-mail a terceiros para publicidade. Você pode desmarcar no perfil quando quiser e cada e-mail traz a forma de fazê-lo. Base legal: consentimento (e Lei n.º 41/2004 em Portugal para comunicações comerciais).

Sempre

• Dados técnicos mínimos para o app funcionar: o endereço IP no momento da requisição, usado apenas para travar tentativas de força bruta e requisições em massa (contagem em memória no servidor, por minutos, sem ficar gravado no banco de dados), e os registros de erro do servidor.

4. O que NÃO fazemos

• Não guardamos histórico da sua localização.
• Não usamos SDKs de analytics, publicidade nem identificadores de publicidade no aplicativo. As estatísticas do aplicativo são contagens agregadas a partir dos dados que você nos deu na conta (seção 3), sem perfis individuais. No site loozygo.com há exceções, descritas na seção 4-B.
• Não rastreamos você entre aplicativos e não usamos dados do site para publicidade nem para criar perfis.
• Não vendemos nem alugamos dados pessoais, nem cedemos seu e-mail ou seus dados de conta a parceiros. Se um dia quisermos compartilhar algo com um parceiro, pedimos antes, separadamente, e você pode dizer não.
• Não tomamos decisões automatizadas com efeitos jurídicos sobre você.

4-A. Relatórios de erro

(Esta seção só se aplica quando o crash reporting estiver ativo. Hoje está desligado — a integração existe no código mas não envia nada sem configuração. Apagar esta seção se a decisão for não ativá-lo.)

Quando alguma coisa quebra no app ou no servidor, é enviado um relatório técnico ao Sentry para entendermos o que aconteceu: o erro em si, o modelo do aparelho, a versão do sistema e a versão do app.

O relatório não leva seu e-mail, suas senhas, suas chaves de sessão, nem os endereços que o app consultou — e por isso também não leva sua localização, que ia nesses endereços. Base legal: interesse legítimo em manter o serviço funcionando.

4-B. Estatísticas e medição do site (loozygo.com)

Só no site, nunca no aplicativo. Se você aceitar no aviso que aparece na primeira visita, usamos ferramentas de medição de audiência — hoje, o Google Analytics 4 — para entender como o site é usado e melhorá-lo. Isso inclui as páginas que você visita e o caminho entre elas; o país, o idioma, o tipo de aparelho e o navegador; como você chegou até nós (busca, link, campanha); e ações no site, como clicar em um contato por e-mail, trocar de idioma, abrir um documento legal ou enviar o formulário de parceiros (neste caso, apenas o tipo de espaço escolhido, nunca o que você escreve).

Para isso, a ferramenta usa cookies e identificadores semelhantes («cookies de estatísticas», como o _ga), que duram até 2 anos, e recebe seu endereço IP, que o Google Analytics 4 não guarda. Desligamos os sinais de publicidade e a personalização de anúncios, e não ligamos esses dados à sua conta do loozy. Se um dia passarmos a usar outra ferramenta ou a medir outra coisa, atualizamos esta política e pedimos seu consentimento de novo antes de ativá-la.

Medimos também, de forma agregada e sem cookies, quantas pessoas visitam o site, quais páginas e de que país, com o Cloudflare Web Analytics. Ele não grava nada no seu aparelho, não identifica você e não acompanha você entre sites; por isso funciona mesmo que você recuse os cookies de estatísticas, e não funciona se o seu navegador enviar o sinal «Do Not Track» ou o Global Privacy Control. A Cloudflare, Inc. trata esses dados como operadora, o que pode implicar sair da União Europeia (exceção ao que diz a seção 6); veja a política dela em https://www.cloudflare.com/privacypolicy/. Base legal: interesse legítimo em saber, só em números agregados, se o site funciona.

Se você recusar os cookies de estatísticas, ou não responder, o Google Analytics não é carregado e nenhum pedido sai do site para o Google; o site funciona igual. Você pode mudar de ideia quando quiser em «Preferências de cookies», no rodapé do site; ao recusar, apagamos os cookies que já existam. Base legal dos cookies de estatísticas: consentimento.

O Google LLC trata esses dados como operador, sob o Data Privacy Framework UE–EUA, o que significa que, neste caso, os dados podem sair da União Europeia (exceção ao que diz a seção 6). Veja a política do Google em https://policies.google.com/privacy.

5. Quando dados saem do celular para terceiros

O mapa base. Para desenhar o mapa, o app usa o Google Maps no Android e o Apple Maps no iOS. Como em qualquer app com mapa, esses serviços recebem do seu aparelho a região do mapa que você está vendo e seu endereço IP, sob as políticas de privacidade do Google e da Apple. Nós não recebemos nem guardamos nada disso.

Rotas a pé. Só quando você pede: aí as coordenadas de onde você está e de onde quer chegar vão para os nossos servidores, que calculam o caminho a pé com os dados do OpenStreetMap. Não saem para nenhum terceiro: o cálculo é feito por um servidor de rotas nosso (veja §6), e o pedido não é guardado.

Você fica sabendo disto aqui e, se criar conta, na caixa que aceita no cadastro. O app não volta a perguntar a cada vez: pedir a rota é pedir esse cálculo. Se não quiser que sua posição saia do celular, não use as rotas — o mapa e todo o resto funcionam sem elas. Por enquanto temos rotas a pé em Portugal e na Grande São Paulo; em outros lugares o banheiro aparece no mapa, mas o caminho não é calculado. Se o cálculo falhar, o app avisa que não conseguiu; nunca desenha um caminho inventado.

Todo o resto do app funciona sem rotas.

6. Onde ficam os dados

Nos servidores da Amazon Web Services (AWS), na região eu-west-1 (Irlanda) — dentro da União Europeia. É aí que ficam o banco de dados, as fotos que você envia e o servidor que calcula as rotas a pé.

Para quem está na União Europeia, os dados não saem da UE. Para quem está no Brasil, são tratados na União Europeia, sob a decisão de adequação mútua entre a União Europeia e o Brasil, de 27 de janeiro de 2026.

Os e-mails de verificação e de recuperação de acesso são a exceção: saem pelo serviço de e-mail da Microsoft Azure, também com os dados na União Europeia (veja a seção 3).

7. Por quanto tempo guardamos

• Sua conta e o que você contribuiu: enquanto você tiver conta. Quando você a apaga, apagamos (ver seção 9).
• Contas nunca confirmadas: se você cria uma conta e não confirma o e-mail em 7 dias, nós a apagamos por completo — nunca teve sessão, por isso nunca contribuiu nada.
• Sessões: as chaves de acesso duram 15 minutos e as de renovação 30 dias; o registro de cada chave de renovação é apagado 30 dias depois de expirar.
• Códigos enviados por e-mail: válidos por 10 minutos; o registro é apagado 24 horas depois de expirar.
• Fotos enviadas e não confirmadas: apagadas em até 1 dia.
• Registros técnicos do servidor: 30 dias.
• Estatísticas do site (Google Analytics), só com consentimento: 2 meses; os cookies, até 2 anos ou até você recusar.
• Cópias de segurança do banco de dados: 7 dias.

8. Seus direitos

Você tem direito a acessar, corrigir, apagar, se opor ao tratamento, pedir a limitação, retirar o consentimento e pedir seus dados num formato portável.

O mais importante já está dentro do app:

• Ver — o Perfil e o Editar perfil mostram seus dados de conta e o que você contribuiu.
• Corrigir — Perfil → Editar perfil.
• Apagar — Perfil → Configurações da conta → Excluir conta.

Para o resto — uma cópia completa dos seus dados (incluindo os consentimentos que registramos e as denúncias que você fez), seus dados num formato portável, oposição ou limitação — escreva para privacidade@loozygo.com. Respondemos em 1 mês (RGPD) e em 15 dias para pedidos de confirmação e acesso conforme a LGPD.

Se você achar que tratamos mal seus dados, pode reclamar à CNPD (Portugal) ou à ANPD (Brasil).

9. O que acontece quando você exclui a conta

Apagado: a conta, o e-mail, o nome, as avaliações e comentários, as denúncias que você enviou, as fotos, os favoritos e todas as sessões abertas.

Fica: os banheiros que você adicionou continuam no mapa, mas sem nenhuma ligação com você — o campo de autor é limpo e o registro deixa de ser dado pessoal.

Fazemos assim por uma razão simples: apagar um banheiro público do mapa não protege sua privacidade e prejudica todo mundo que conta com ele.

Não há como recuperar depois de confirmar.

10. Segurança

Toda a comunicação é cifrada em trânsito (TLS 1.2 ou superior) e os dados são cifrados em repouso. As senhas são guardadas com scrypt. As chaves de sessão ficam no cofre do sistema operacional (Keychain no iOS, Keystore no Android). O acesso aos dados é controlado no nível do próprio banco de dados, com regras por operação.

Se você descobrir uma vulnerabilidade, escreva para security@loozygo.com.

Em caso de incidente de segurança com dados pessoais, comunicamos à CNPD em 72 horas a contar do momento em que tomarmos conhecimento dele e à ANPD em 3 dias úteis (Resolução CD/ANPD nº 15/2024), e avisamos você, sem demora, quando o risco para você for elevado.

11. Idade mínima

O loozy se destina a maiores de 13 anos. Não coletamos a data de nascimento — pedir a idade seria coletar mais dados para proteger dados. Se souber de uma conta de alguém mais novo, avise e nós a apagamos.

12. Dados de terceiros no mapa

A maior parte dos banheiros vem do OpenStreetMap, sob licença ODbL. Não são dados pessoais e não vêm de você.

13. Alterações nesta política

Se mudarmos algo importante, avisamos dentro do app antes de a mudança entrar em vigor. A data no topo diz sempre qual é a versão em vigor.

A versão em vigor está sempre em https://api.loozygo.com/legal/privacidade. Outras cópias, como a de loozygo.com, reproduzem essa.