Quem somos
O curtei é um serviço gratuito de encurtamento de links, QR Codes, páginas de links e métricas de cliques operado pela Websolus, que atua como controladora dos dados da sua conta. Para os dados de clique coletados nos links que você cria, você é o controlador e nós atuamos como operadores, seguindo suas instruções.
Esta política vale para todos os usuários, em qualquer país, e foi escrita para atender ao GDPR (UE), UK GDPR, LGPD (Brasil), CCPA/CPRA (Califórnia), PIPEDA (Canadá), nLPD (Suíça) e demais leis aplicáveis.
Dados que coletamos
Coletamos apenas o necessário para o serviço funcionar e ser seguro.
| Categoria | Exemplos | Quando |
|---|---|---|
| Conta | Nome, e-mail e senha (guardada só como hash) | Ao criar sua conta |
| Links e páginas | URL de destino, link curto, UTMs, validade, títulos e imagens da página de links | Ao criar ou editar |
| Prévia do link nas redes sociais | Título, descrição e a imagem de prévia que você envia. A imagem é reprocessada para remover metadados (EXIF, como localização da foto) e fica pública, porque as redes precisam baixá-la | Ao personalizar a prévia de um link |
| Métricas de clique | País, região e cidade aproximados, tipo de dispositivo, sistema, navegador, site de origem, data e hora | Quando alguém clica em um link |
| Sessões | Navegador, sistema e localização aproximada de cada login, para você revisar e encerrar sessões | Ao entrar na conta |
| Segurança | IP em limites de tentativas, resultado do captcha, denúncias de abuso | Ao usar o site |
Como usamos e bases legais
Cada uso tem uma base legal. Mostramos a equivalência entre GDPR e LGPD; nos EUA e demais países, tratamos os dados apenas para as mesmas finalidades.
| Finalidade | GDPR / UK GDPR | LGPD |
|---|---|---|
| Encurtar e redirecionar links | Art. 6(1)(b) — contrato | Art. 7º, V |
| Exibir métricas de clique ao dono do link | Art. 6(1)(f) — legítimo interesse | Art. 7º, IX |
| Prevenir phishing, spam e abuso | Art. 6(1)(f) — legítimo interesse | Art. 7º, IX |
| E-mails de serviço e segurança | Art. 6(1)(b) — contrato | Art. 7º, V |
| Cumprir obrigações legais | Art. 6(1)(c) — obrigação legal | Art. 7º, II |
O que nunca fazemos
- Vender ou “compartilhar” dados pessoaisNem para anunciantes, nem para corretores de dados — inclusive no sentido do CCPA/CPRA.
- Exibir anúncios ou usar pixels de terceirosNossas páginas e redirecionamentos não carregam rastreadores de publicidade.
- Criar perfis de quem clicaNão identificamos nem seguimos pessoas entre links ou sites.
- Usar fingerprintingNão combinamos sinais do navegador para identificar dispositivos.
- Treinar IA com seus dadosSeus links e métricas não são usados para treinar modelos de inteligência artificial.
Dados de quem clica nos links
Quem clica em um link encurtado não tem conta no curtei. Por isso, tratamos esses dados com o mínimo possível de informação:
- CliqueRecebemos IP e user-agent
- AnonimizaçãoIP truncado em memória, antes de gravar
- AgregaçãoSó país, cidade, dispositivo e origem
O IPv4 é gravado sem o último bloco (ex.: 189.12.34.0/24) e o IPv6 só com o prefixo /48. Para contar visitantes únicos usamos um código calculado com uma chave que muda todo dia e é descartada em 48 horas — depois disso, não dá para ligar dois cliques à mesma pessoa.
A localização aproximada usa a base IP to City Lite da DB-IP, licenciada sob CC BY 4.0, consultada no nosso próprio servidor — o IP não é enviado a terceiros.
Compartilhamento e suboperadores
Só compartilhamos dados com fornecedores essenciais para o serviço, sob contrato de proteção de dados e com as salvaguardas exigidas por lei, como cláusulas-padrão contratuais nas transferências internacionais.
| Fornecedor | Finalidade |
|---|---|
| Provedor de nuvem | Hospedagem do aplicativo e do banco de dados |
| E-mail transacional | Confirmação de conta, redefinição de senha e alertas |
| Cloudflare Turnstile | Captcha para encurtar sem conta, sem cookies de rastreamento |
| Google Web Risk | Verificar se a URL de destino — de um link criado ou consultado no desencurtar — é phishing ou malware (só a URL é enviada, nunca dados de quem clica) |
Também podemos divulgar dados quando exigido por lei ou ordem judicial válida, sempre limitado ao mínimo necessário.
Por quanto tempo guardamos
| Dado | Prazo de retenção |
|---|---|
| Links criados sem conta | Param de redirecionar 30 dias após a criação |
| Métricas de clique detalhadas | 13 meses; depois ficam apenas totais agregados e anônimos |
| Dados da conta, links e métricas | Enquanto a conta existir; ao excluir a conta, os links param na hora e os dados são apagados em seguida |
| Imagem de prévia do link | Até você trocar a imagem ou excluir o link; envios que não chegam a ser salvos em um link são apagados automaticamente |
| Sessões de login | Até 30 dias, ou até você sair ou encerrar a sessão no painel |
| Entregas de webhook | 30 dias |
Seus direitos, por país
Os direitos abaixo valem para todos os usuários, onde quer que estejam. Respondemos em até 15 dias, sem custo, e nunca tratamos você de forma diferente por exercê-los.
- GDPR · UK GDPRUnião Europeia, EEE e Reino UnidoAcesso, retificação, apagamento, portabilidade, limitação, oposição e reclamação à autoridade de proteção de dados local (ex.: CNIL, ICO).
- LGPDBrasilConfirmação e acesso, correção, anonimização ou eliminação, portabilidade, informação sobre compartilhamento, revogação do consentimento e petição à ANPD.
- CCPA / CPRACalifórnia, EUASaber quais dados coletamos, excluir, corrigir, limitar o uso de dados sensíveis e optar por não vender ou compartilhar — o que já não fazemos.
- PIPEDA · nLPD · outrasCanadá, Suíça e demais paísesAcesso, correção e retirada de consentimento, conforme a lei local. Aplicamos o padrão mais protetivo para todos.
Segurança
- HTTPS (TLS) em todo o site, no painel, na API e nos redirecionamentos
- Senhas guardadas só como hash (bcrypt); tokens de sessão revogáveis no painel
- IP de quem clica truncado antes de ser gravado
- Verificação automática dos destinos contra phishing e malware
- Acesso interno mínimo, com registro das ações administrativas
- Notificação de incidentes às autoridades e aos afetados nos prazos legais (ex.: 72 h no GDPR)
Crianças
O curtei não é direcionado a menores de 16 anos (13 anos nos EUA). Se identificarmos uma conta de menor sem autorização dos responsáveis, ela será excluída.
Alterações nesta política
Se mudarmos algo importante, avisaremos por e-mail e no painel com pelo menos 30 dias de antecedência. A data e a versão no topo desta página mostram a última alteração.
Contato e encarregado (DPO)
- Encarregado de dados (DPO)[email protected]Resposta em até 15 dias
- ControladorWebsolus
Você também pode reclamar diretamente à autoridade de proteção de dados do seu país, como a ANPD (Brasil), a autoridade do seu país na UE, o ICO (Reino Unido) ou a CPPA (Califórnia).