Política de privacidade e termos da lista de espera

Versão v1-2026-10-21, de 21 de outubro de 2026.

Em cinco linhas

Você deixa só um e-mail ou um telefone e marca para que podemos usar. Sem caixa marcada, não guardamos nada.
Ninguém do projeto pode usar seu contato para outra coisa. Nem vender, nem passar adiante.
No máximo uma mensagem quando o Zuca abrir. Se você marcou ajudar a construir, também chamados para ajudar. Sempre por e-mail ou SMS. Nunca WhatsApp, nunca ligação.
Seu contato fica no Brasil, cifrado.
Você apaga seu cadastro quando quiser, com o código que aparece na tela ao se cadastrar. Por 30 dias fica só uma impressão digital, sem o contato, para uma cópia de segurança não trazer você de volta (item 7).

O texto completo vem abaixo. Ele é longo porque explica cada detalhe. Use o índice para ir direto ao que você procura. Se algo não ficar claro, fale com o encarregado.

1. Quem é o responsável

O Zuca é um projeto open source (código aberto) e sem fins lucrativos. Quem responde pelos dados da lista é o projeto Zuca, pelas pessoas que o mantêm. Pela Lei Geral de Proteção de Dados (Lei 13.709/2018, a LGPD), o projeto é o controlador.

Ser o responsável não dá ao projeto nenhum direito de usar seus dados. Dá o dever de cuidar deles.

2. O que é proibido

O projeto e qualquer pessoa dele (quem mantém, quem contribui, quem cuida da infraestrutura) estão proibidas de:

usar seu contato para qualquer coisa além das finalidades que você marcou;
vender, alugar, ceder ou compartilhar seu contato com quem quer que seja;
cruzar seu contato com outras bases de dados;
mandar qualquer mensagem que você não tenha aprovado antes;
usar seu contato para publicidade, pesquisa, campanha ou pedido de doação;
montar perfil sobre você.

Quem descumprir perde o acesso ao projeto, e o caso é tratado como incidente (item 11).

3. O que coletamos

Só isto:

seu e-mail, seu telefone, ou os dois, como você preferir. Pelo menos um é necessário;
as finalidades que você marcou (item 5);
as áreas em que quer ajudar, se você marcou que quer ajudar a construir (por exemplo: código, design, moderação, textos, testes, acessibilidade);
a versão do texto que você aceitou e a data e a hora do aceite. É assim que provamos que você concordou (LGPD, art. 8º).

4. O que não coletamos

Nome, apelido ou foto.
CPF, RG ou qualquer documento.
Data de nascimento, cidade ou endereço.
Localização.
Endereço IP junto com o seu contato. Para barrar robôs, o formulário conta tentativas por até uma hora só na memória do servidor. Essa contagem não é gravada.
Cookies. Este site não usa nenhum.
Ferramentas de medição de visitas (analytics), pixel de anúncio, fonte ou script de outras empresas.
CAPTCHA de outras empresas. Usamos um campo escondido e um tempo mínimo de preenchimento.

O que fica nos registros do servidor. Todo servidor anota o que acontece nele. No nosso:

O registro das páginas do site guarda só um pedaço do endereço IP (os dois primeiros blocos), a hora, a página aberta e a resposta do servidor. Não guarda o que vem depois do "?" no endereço nem os cabeçalhos do navegador. Fica no máximo 7 dias.
O formulário e o /apagar não entram em registro nenhum, nem com o IP pela metade.
O registro de erros (por exemplo, quando a parte que recebe o formulário está fora do ar) guarda o erro, a hora e a duração. Sem endereço IP, sem a página pedida e sem cabeçalhos. O programa do formulário anota ali só avisos gerais, como "muita gente se cadastrando agora", sem IP e sem contato. Esse registro do sistema guarda no máximo 14 dias.
O firewall anota o endereço IP de conexões recusadas, de quem tenta portas fechadas. O acesso de administração anota o IP de quem tenta entrar nele. Quem só abre o site ou envia o formulário normalmente não aparece aí. Isso fica no máximo 14 dias no registro do sistema e no máximo 5 semanas nos arquivos de registro, que são trocados toda semana.
Seu contato não vai para nenhum desses registros. Eles não são cruzados com a lista nem usados para medir visitas.

5. Para que usamos

Só para o que você marcar. São duas finalidades, e cada uma é uma caixa separada:

Aviso de abertura (aviso_abertura). Mandamos uma única mensagem quando o Zuca abrir para convites, pelo contato que você deixou: por e-mail, ou por SMS (mensagem de texto) se for telefone. Nunca por WhatsApp, nunca por ligação. Depois disso, o contato é apagado, a menos que você também tenha marcado ajudar a construir. Nesse caso, ele fica só para essa outra finalidade.
Ajudar a construir (contribuir). Podemos chamar você para ajudar no projeto, nas áreas que você escolheu, por e-mail ou SMS. Só vale se você marcou que quer ajudar.

Se você deixou e-mail e telefone, escolhe por qual dos dois quer receber.

Nenhuma outra finalidade existe. Para criar uma nova, precisaríamos pedir de novo a você (item 12).

6. Base legal

Tratamos seus dados com base no seu consentimento (LGPD, art. 7º, inciso I). O consentimento é dado por escrito, em caixa que você marca, para cada finalidade em separado (art. 8º).

Você pode retirar o consentimento a qualquer hora, de graça e de forma simples (art. 8º, § 5º). Basta apagar seu cadastro (item 9).

7. Por quanto tempo guardamos

O que acontecer primeiro:

depois que o aviso de abertura for enviado, se você marcou só o aviso;
12 meses depois do cadastro;
quando você pedir para apagar.

Para a finalidade de ajudar a construir, o prazo é de 12 meses, ou até você pedir para apagar.

O apagamento dos 12 meses é automático e roda uma vez por mês. Por isso, um cadastro pode ficar até um mês além dos 12 meses antes de sair.

O que fica depois de apagar. Quando um cadastro sai (pelo código, pelo encarregado, depois do aviso ou pelos 12 meses), ou quando você tira uma finalidade, o servidor anota só três coisas: a impressão digital do contato (o HMAC do item 8), o tipo (cadastro apagado ou finalidade retirada) e a data. Seu e-mail ou telefone não ficam. Essa anotação serve para uma coisa só: se um dia restaurarmos uma cópia de segurança, apagamos de novo quem saiu depois dela, e você não volta para a lista.

Essa anotação fica 30 dias e depois é apagada de verdade. A limpeza roda uma vez por mês, então uma anotação pode durar até uns dois meses antes de sair. Ela também vai nas cópias de segurança, que saem em 7 dias.

Nesse prazo, quem tiver a chave da impressão digital consegue saber se um contato saiu da lista. Com telefone, dá até para descobrir o número, testando todos os números possíveis. Por isso essa chave é guardada do mesmo jeito que a chave da cifra (item 8).

Cópias de segurança. O banco ganha uma cópia por dia. Ela é cifrada com uma chave que só abre fora do servidor: quem invadir a máquina não consegue ler as cópias. A cada nova cópia, apagamos as que têm mais de 7 dias. Se a cópia de um dia falhar, as antigas ficam até a próxima cópia que der certo. Um cadastro apagado continua nessas cópias, sem uso, até elas saírem.

Restaurar uma cópia. Só restauramos uma cópia se o banco tiver problema. Com o banco ainda no ar, usamos as anotações acima, e quem saiu depois da cópia continua fora. Se o banco se perder de vez, as anotações se perdem junto. Aí quem apagou depois da data da cópia volta para a lista. Se isso acontecer, avisamos nesta página a data da cópia usada, para quem apagou depois dela poder apagar de novo.

8. Onde ficam e como protegemos

Onde. No Brasil, num servidor da Magalu Cloud, região br-se1 (Sudeste). Seu contato não sai do país. A Magalu Cloud fornece a máquina e atua como operadora de infraestrutura.

O endereço do site, zuca.social.br, é registrado no Registro.br. Os servidores de nomes, que dizem ao seu aparelho onde fica a nossa máquina, também são do Registro.br, no Brasil. Essa pergunta passa pelo seu provedor de internet e não leva nada do que você digita no formulário.

O certificado do HTTPS vem da Let's Encrypt ou da ZeroSSL. Elas publicam o nome do site num registro público de certificados. Nada seu vai nesse registro.

Como.

E-mail e telefone são cifrados antes de entrar no banco (AES-256-GCM).
A chave da cifra fica fora do banco, num arquivo protegido do servidor, e nunca sai dele. A chave da impressão digital, logo abaixo, fica do mesmo jeito.
Para saber se um contato já está na lista sem ler o contato, usamos uma impressão digital (HMAC-SHA256) com outra chave.
O programa que recebe o formulário tem a chave, porque é ele que cifra. Mas o usuário dele no banco de dados não tem permissão para ler os contatos cifrados.
O código de exclusão é guardado só como impressão digital. Nem a gente consegue ver o seu código.
Conexão só por HTTPS, com HSTS, e regras estritas sobre o que a página pode carregar.
O texto da resposta do formulário é sempre igual, para contato novo ou repetido. Ninguém descobre por ele se um contato já está na lista.
Quem sabe o seu contato não consegue mudar o seu cadastro. Um cadastro repetido sem o seu código não muda nada (item 9).
Para usar os contatos numa finalidade marcada, alguém roda à mão, no servidor, uma ferramenta própria. Tudo o que essa ferramenta faz fica registrado: quem, quando, o que fez, para qual finalidade e quantos contatos. Seu contato não vai para esse registro.
Nenhuma empresa de envio de propaganda, de medição ou de anúncio recebe seus dados.

O risco que sobra, dito com honestidade. Quem administra o servidor tem acesso técnico total a ele. Essa pessoa conseguiria ler os contatos sem a ferramenta e até apagar o registro, sem deixar rastro.

Quem pode publicar uma nova versão do site e do programa não administra o servidor. Publicar é pôr código na versão principal do repositório, depois de revisão. O servidor busca essa versão sozinho, roda os testes aqui no Brasil e só então põe no ar. O código fica guardado no GitHub, um serviço de fora do Brasil, mas o GitHub não recebe nenhum dado seu: o servidor só lê o código de lá, e nenhuma chave do servidor fica com ele.

Mas o programa que recebe o formulário tem a chave da cifra, porque é ele que cifra. Com uma versão alterada, quem publica poderia ver os contatos enviados dali em diante e copiar essa chave. Essa pessoa não lê as cópias de segurança, não mexe no registro da ferramenta e não muda a ferramenta que lê a lista: ela roda de uma cópia que só quem administra instala, nunca da versão publicada.

Nenhuma técnica elimina esse risco por completo. O que fazemos:

esse acesso fica com o menor número possível de pessoas;
a chave de quem administra é diferente da chave usada para publicar o site;
só vai ao ar o código que entrou na versão principal depois de revisão, e o acesso de quem publica é retirado quando a pessoa sai do projeto;
a proibição do item 2 vale também para essas pessoas, e quem descumprir responde como no item 2.

Envio do aviso. Para e-mail, o aviso sai por um servidor de envio de e-mail. Para telefone, sai por uma operadora de SMS brasileira. Nenhum dos dois foi escolhido ainda. Antes de qualquer envio, vamos dizer nesta página quem é cada um, onde fica e o que recebe. Eles só vão receber o contato de quem marcou o aviso, e só para esse envio. Isso não muda o que você aceitou: nem as finalidades, nem o canal.

9. Seus direitos e como usar

A LGPD (art. 18) garante a você:

confirmar se temos dados seus;
ver quais são;
corrigir o que estiver errado;
pedir anonimização, bloqueio ou eliminação do que for desnecessário ou estiver fora da lei;
levar seus dados para outro serviço (portabilidade);
apagar os dados tratados com seu consentimento;
saber com quem compartilhamos (resposta: com ninguém);
saber o que acontece se não consentir (resposta: nada, você só não entra na lista);
retirar o consentimento.

Como pedir.

Apagar na hora: ao se cadastrar, aparece na tela um código de exclusão. Ele não é mandado por mensagem. Guarde. Em /apagar, esse código apaga na hora o seu cadastro: o contato, as escolhas e o registro do aceite. Ficam só a anotação sem contato do item 7, por 30 dias, e as cópias de segurança, por até 7 dias.
Mudar suas escolhas ou o contato: no formulário, cole o seu código no campo "Já está na lista?". Se o contato é o mesmo, suas escolhas mudam. Se o contato é outro, o cadastro antigo é apagado e fica só o novo. Nos dois casos você recebe um código novo, e o antigo deixa de valer. Só um código vale por vez.
Se o código colado estiver errado e o contato já estiver na lista, nada muda, e o código que aparece na tela não vale. Guarde o código antigo até ter certeza.
Se alguém cadastrar o seu contato de novo sem o seu código, nada muda: suas escolhas, seu código e seu contato ficam como estavam.
Perdeu o código, ou quer outro direito: escreva para o encarregado. Primeiro confirmamos que o contato é seu, por exemplo pedindo que você escreva a partir dele. Depois o encarregado acha seu cadastro pelo contato e faz o que você pediu: mostrar, provar o seu aceite ou apagar. Cada busca e cada exclusão desse tipo fica registrada (quem, quando e o motivo), sem o seu contato no registro. Respondemos em até 15 dias.
Corrigir um contato: cadastre o contato certo colando o seu código em "Já está na lista?", como acima. Sem o código, escreva ao encarregado: ele apaga o cadastro antigo e você se cadastra de novo.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados, a ANPD (gov.br/anpd).

10. Encarregado

O encarregado pelo tratamento de dados (art. 41) é quem recebe seus pedidos e fala com a ANPD.

Contato: mario@alemdaconta.co

11. Se algo der errado

Se houver um incidente de segurança que possa causar risco ou dano a você, avisamos a ANPD e as pessoas afetadas em prazo razoável, dizendo o que aconteceu, quais dados, o que fizemos e o que você pode fazer (art. 48). Esse aviso é a única mensagem que pode sair sem aprovação prévia, porque a lei manda.

12. Mudanças nesta política

Toda mudança é publicada nesta página, com nova versão e data.
Para quem já está na lista, nada muda sem um novo consentimento. Se a mudança exigir seu aceite, ela só vale se você aceitar. Sem aceite, continuamos com a versão que você aprovou ou apagamos seu cadastro.
Para pedir esse novo aceite, não mandamos mensagem. A mudança fica nesta página, e quem quiser aceita aqui.

13. Termos da lista de espera

Entrar na lista é de graça e não cria conta no Zuca.
Estar na lista não garante convite nem lugar na fila. Não há fila por ordem de chegada nem prioridade.
A lista é para quem tem 18 anos ou mais. Quem tem menos pode pedir a quem é responsável por ela que se cadastre.
Use um contato que é seu. Cadastrar contato de outra pessoa não é permitido, e o cadastro é apagado se soubermos.
Podemos apagar cadastros feitos por robôs.
Há um limite de cadastros por minuto e por hora, para todo mundo. Se passar dele, o formulário pede para tentar de novo daqui a pouco, e nada é guardado.
A lista tem lugar para 100 mil contatos. Se chegar a isso, ela fecha para novos cadastros, e o formulário avisa.
O Zuca ainda não está aberto. Esta lista só serve para o que está escrito aqui.

Versão v1-2026-10-21 · publicada em 21 de outubro de 2026 · responsável: projeto Zuca, open source e sem fins lucrativos.