Política de Privacidade

Última atualização: 24 de outubro de 2026

1. Quem somos

A República Mundial (“República Mundial”, “nós” ou “nosso”) opera o aplicativo e o site da República Mundial em https://www.worldrepublic.org (o “Serviço”). O mesmo aplicativo também é oferecido sob um segundo nome, Raised by Humanity, em https://www.raisedbyhumanity.org. Esse site roda o mesmo software, usa as mesmas contas e o mesmo banco de dados, e é operado por nós. Nesta política, “o Serviço” significa os dois sites, e esta política se aplica a ambos. A República Mundial é uma associação suíça (Verein) nos termos dos arts. 60 e seguintes do Código Civil suíço, com sede em Zug, na Suíça. Ela tem personalidade jurídica nos termos do art. 60(1) do Código Civil e não está inscrita no registro comercial. O Serviço é administrado a partir da Hungria pela nossa diretoria, de modo que, para os fins do Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR), a República Mundial está estabelecida na União Europeia, e nossa autoridade de controle principal ali é a Autoridade Nacional Húngara para a Proteção de Dados e a Liberdade de Informação (NAIH).

Na maior parte do tratamento descrito abaixo, somos o controlador de dados. Na verificação de identidade, somos o controlador e a Amazon Web Services atua como nosso operador / prestador de serviços. Um segundo provedor, a Didit, é citado abaixo para uma via de encaminhamento que não é oferecida no momento — veja a Seção 4.2.

• Contato de privacidade: privacy@worldrepublic.org
• Contato na União Europeia: Balázs Kónya, membro da diretoria, 3626 Hangony, Dózsa György út 5., Hungria (privacy@worldrepublic.org)

2. Escopo

Esta política se aplica a todas as pessoas que usam o Serviço, no mundo inteiro. Quando a lei local lhe der direitos adicionais — inclusive o GDPR da UE e do Reino Unido, a Lei Federal suíça de Proteção de Dados revisada (revFADP), a Lei de Privacidade do Consumidor da Califórnia com as alterações da CPRA e as leis biométricas estaduais dos Estados Unidos (BIPA de Illinois, CUBI do Texas, Washington) —, esses direitos estão descritos na Seção 10.

A República Mundial realiza hoje eleições de teste não vinculantes. Ainda não estamos inscrevendo membros; a participação é experimental.

3. Informações que coletamos

3.1 Informações que você fornece

• Informações da conta: se você entrar com o Google, recebemos um token de autenticação e o identificador da sua conta do Google. Mantemos o identificador, que é o que vincula sua conta ao seu login do Google. Não armazenamos seu nome, seu e-mail nem sua foto do Google, e não mantemos o token, que os contém.
• Credenciais de chave de acesso: se você usar uma chave de acesso (WebAuthn), armazenamos a credencial de chave pública, um identificador e os metadados do dispositivo necessários para autenticar você.
• Informações de perfil: um nome de usuário, que geramos quando sua conta é criada e que você pode alterar a qualquer momento nas configurações da conta. Seu nome de usuário é publicado em todos os lugares em que você aparece no Serviço — veja a Seção 6 — então, se você o definir com seu próprio nome, é seu próprio nome que fica publicado. Também geramos um código de convite para cada conta; nada no Serviço o usa.
• Conteúdo que você cria: nomes, descrições e links de partidos políticos.
• Uma denúncia sobre um partido: se você denunciar a entrada de um partido no registro, mantemos qual partido, qual motivo você escolheu, o que você escreveu e o horário. Na maioria dos motivos, também pedimos seu nome e um e-mail, porque a lei que nos obriga a aceitar sua denúncia também nos obriga a confirmar que a recebemos e a dizer o que decidimos — e não temos outra forma de falar com você. Em um dos motivos não pedimos nem um nem outro, e não mantemos nenhum dos dois: a denúncia de que o conteúdo é material de abuso sexual infantil. Se você estiver com a sessão iniciada, também registramos qual conta enviou a denúncia. A Seção 8 diz por quanto tempo mantemos o endereço que você dá, e a Seção 10.1 diz para que o usamos e para que não o usamos.
• O que você nos escreve: se você nos enviar um e-mail, temos o endereço de onde você escreve e qualquer nome que seu serviço de e-mail mostre junto com ele, o que você escreve, tudo o que você envia junto e nossas respostas. Seu serviço de e-mail também pode acrescentar detalhes técnicos, como o endereço de rede de onde você o enviou. Se você iniciar o e-mail a partir de um link no app, a linha de assunto dele também leva seu nome de usuário. Entrar na conta não nos deixa nenhum e-mail (acima), então um e-mail que você nos envia e um endereço dado em uma denúncia são as únicas formas de passarmos a ter um. Nunca precisamos saber como você votou, e nunca precisamos de uma foto sua nem de um documento de identidade, então pedimos que você não os envie. A Seção 8 diz por quanto tempo mantemos seu e-mail.
• Confirmação de idade: que você confirmou ter 18 anos ou mais, e quando. Pedimos isso uma vez, antes da verificação de identidade. Não pedimos sua data de nascimento nem armazenamos nenhuma — apenas que a confirmação foi dada, a idade em relação à qual foi dada e o horário.
• Resultado da análise do seu partido: se a análise automática da Seção 5.1 listou seu partido por padrão ou o separou como spam, o motivo que ela deu, qual das suas duas verificações (ou qual pessoa) decidiu, qual modelo decidiu quando foi um modelo, e quando.
• Se seu partido indica ou não o que quer em relação à IA: se o nome ou a descrição do seu partido indica o que o partido quer em relação à inteligência artificial, conforme a leitura da análise da Seção 5.2; a linha que ela deu, que pode citar suas próprias palavras; o que deu a resposta (o classificador automático ou uma pessoa); qual modelo, quando foi um modelo que respondeu; e quando.
• Uma decisão de remover seu partido: separadamente da análise acima, um partido cujo conteúdo julgamos ilegal pode ser retirado por completo do registro — sua página deixa de abrir para qualquer pessoa, ele não pode ser encontrado e não pode receber votos. Essa é uma medida diferente e muito mais pesada do que o resultado da análise acima, que afeta apenas se um partido é listado por padrão. Quando fazemos isso, mantemos a data, a base legal em que nos apoiamos, nossa própria justificativa escrita de por que essa base se aplica ao seu partido, se foi a denúncia de alguém ou nossa própria análise que motivou a decisão, e um identificador de quem decidiu. Mostramos tudo isso a você, exceto o último item, no Serviço, na página do seu próprio partido — que continua abrindo para você mesmo que não abra para mais ninguém. Não informamos o nome da pessoa que decidiu e não dizemos quem denunciou você, se é que alguém denunciou.
• Registro de votação: que você votou em determinada eleição de teste, e quando. Não em qual partido você votou. Nesta política, seu voto é a escolha que você registra em uma eleição de teste. Seu voto é privado: sua escolha é somada ao total do partido e não é armazenada com sua conta. Fora a confirmação que seu próprio dispositivo mostra enquanto você vota, nenhuma tela do Serviço mostra como você votou, e nós não publicamos isso. Em alguns casos, alguém com acesso direto ao nosso banco de dados (Seção 11), ou a uma cópia dele, ainda pode vincular um voto à pessoa que o registrou. A Seção 5.3 diz quando, e por quanto tempo.
• Detalhes da transação: quando você saca WDD, o endereço de carteira de destino, o valor e a rede selecionada.

3.2 Verificação de identidade e dados biométricos

Para manter as eleições de teste justas (uma pessoa verificada, um voto) e para impedir fraudes e contas duplicadas, verificamos que você é uma pessoa real, única e fisicamente presente. Veja a Seção 4 para a explicação completa e separada sobre dados biométricos — por favor, leia com atenção.

3.3 Informações coletadas automaticamente

• Informações de dispositivo e de log: tipo de dispositivo e de navegador, sistema operacional e dados técnicos semelhantes.
• Endereço IP: processamos seu endereço IP para aplicar limites de uso e impedir abusos (armazenado por pouco tempo nos nossos registros de limite de uso). Também armazenamos seu endereço IP e o user-agent do navegador como parte de um registro de consentimento quando você aceita pela primeira vez nossos Termos de Uso e declara ciência desta política, ou quando dá o consentimento biométrico, como prova desse aceite ou desse consentimento. Seu endereço IP e o user-agent do navegador também constam dos registros de segurança descritos na Seção 8: quando seu dispositivo inicia a prova de vida em uma verificação facial, e cada vez que você baixa as imagens das suas verificações faciais.
• Informações de uso: recursos utilizados e ações realizadas dentro do Serviço.
• Cópias dos seus dados: quando você baixa o arquivo legível por máquina descrito na Seção 10.1, ou as imagens das suas verificações faciais, registramos que uma cópia foi feita, quando, qual das duas foi e quais partes do registro ela levou (no caso das imagens, a parte da verificação a que elas pertencem). No caso das imagens, o registro é feito quando o download começa, então um download que depois falhe no seu dispositivo ainda aparece na lista e conta para o limite. Mantemos esse registro para que todos os dispositivos em que você está com a sessão iniciada leiam a mesma lista — é a única forma que temos de avisar você de que alguém com a sua sessão levou uma cópia de tudo, já que entrar na conta não nos deixa nenhum endereço para avisar você, e só escrevemos para você em resposta a algo que você nos enviou (Seção 10.1). Ler a cópia na tela não é registrado; o que a lista capta é a cópia que sai do dispositivo.

3.4 Cookies e armazenamento local

Usamos apenas cookies e armazenamento local estritamente necessários e funcionais:

• Autenticação e segurança (cookies de sessão e de vinculação de conta).
• Preferências (por exemplo, o idioma que você escolheu).
• Estado funcional (por exemplo, retorno à página após a verificação).
• Uma cópia da tela da sua conta, mantida para que o Serviço possa desenhá-la de novo na hora quando você voltar. Ela contém o que essa tela mostra: seu saldo em WDD, suas transações recentes — inclusive o endereço de carteira de destino e a rede de cada saque que você fez — e se sua conta está verificada ou se sua verificação facial de prova de vida foi recusada. Ao sair da conta, ela é substituída por uma cópia vazia. Enquanto você não sair, ela permanece no dispositivo, então saia da conta se outras pessoas usarem esse dispositivo.

Não usamos cookies de publicidade e não executamos nenhum SDK de publicidade ou de rastreamento entre sites.

4. Dados biométricos (prova de vida facial) — por favor, leia

Para votar em uma eleição de teste e para registrar um partido, você precisa concluir uma verificação facial de prova de vida. Esta política chama essa verificação de verificação facial. A verificação facial trata dados biométricos, que são dados pessoais sensíveis / de categoria especial. Queremos ser totalmente transparentes a respeito disso.

4.1 O que acontece

• Seu dispositivo captura um breve vídeo facial ao vivo, que é processado pelo Amazon Rekognition Face Liveness, da Amazon Web Services (AWS), para confirmar que há uma pessoa real e fisicamente presente (anti-spoofing).
• A AWS armazena uma imagem facial de referência da sessão. A AWS armazena essa imagem tanto se a verificação for aprovada quanto se não for, então uma verificação que não passou também deixa uma imagem. Você pode fazer com que essa imagem seja destruída a qualquer momento (Seção 4.4).
• Se a verificação for bem-sucedida, adicionamos a uma coleção segura do AWS Rekognition um vetor facial (modelo) feito a partir dessa imagem. Uma verificação recusada por duplicidade não adiciona nenhum vetor à coleção.
• Usamos essa coleção para fazer uma comparação de um para muitos com os vetores faciais de outros usuários, para verificar se o mesmo rosto já está verificado em outra conta.

A recusa é automática. Se a comparação encontrar uma coincidência, a verificação daquela conta é recusada naquele momento, pela própria comparação, e nenhuma pessoa participa da decisão. A única coisa avaliada é o quanto o vetor facial feito a partir da sua leitura facial se parece com um vetor já existente na coleção, medido contra um único limiar fixo de similaridade; nada mais a seu respeito é levado em conta. Uma conta recusada não pode votar em eleições de teste nem registrar um partido, e a recusa permanece para aquela conta a menos que uma pessoa a mude.

Você pode pedir que uma pessoa analise essa decisão. Escreva para privacy@worldrepublic.org e responderemos em até um mês. Uma pessoa compara a imagem de referência da sua verificação com a que é mantida para a conta com que houve a coincidência, quando as duas ainda existem — qualquer uma das imagens pode já ter sido destruída nos termos da Seção 4.5 — e pode reverter a recusa e verificar você.

Se as imagens não existirem mais, isso não encerra o assunto. Quando o rosto com que sua verificação coincidiu já tiver sido destruído — porque aquela conta foi excluída ou porque a pessoa por trás dela retirou seu consentimento —, uma pessoa pode, em vez disso, suspender a recusa para que você possa fazer a verificação de novo. Isso não é uma decisão de que você está verificado: a nova verificação é feita por inteiro, contra a mesma comparação, e pode recusar você outra vez. Para que as duas vias sejam possíveis, mantemos o registro da coincidência junto com a verificação recusada: qual conta coincidiu e quão próxima foi a comparação (Seção 8).

4.2 Encaminhamento à Didit

Esta via não é oferecida no momento, e nenhuma verificação pode ser iniciada. Ela é descrita aqui porque está projetada.

A ideia é um encaminhamento à Didit, uma provedora de verificação de identidade, para quem a verificação facial recusa por engano — uma falsa coincidência de duplicidade entre pessoas parecidas. Ele pediria seu consentimento explícito e faria a Didit verificar um documento e uma selfie em nosso nome.

Hoje nada disso funciona: o Serviço não tem nenhuma tela que o ofereça, e a via que iniciaria uma verificação recusa todas as requisições. A Didit não mantém nenhum dado de verificação nosso. Se a verificação facial recusou você, a via aberta para você é a da Seção 4.1: escreva para privacy@worldrepublic.org, e uma pessoa pode analisar os dois registros e reabrir a verificação.

Se o encaminhamento vier a ser oferecido algum dia, esta Seção dirá o que ele coleta e o que recebemos antes que isso aconteça.

4.3 Aviso sobre prestadores de serviços (AWS e Didit)

A República Mundial usa prestadores de serviços para serviços de verificação de identidade. Identificadores biométricos e informações biométricas (“dados biométricos”), especificamente as leituras da sua geometria facial e as imagens e os modelos faciais relacionados, podem ser coletados, armazenados e usados por esses prestadores de serviços (a AWS; e a Didit, se o encaminhamento da Seção 4.2 vier a ser oferecido algum dia) em nome da República Mundial com a finalidade de verificar que você é uma pessoa real, única e fisicamente presente e de impedir contas duplicadas ou fraudulentas. A República Mundial destrói os dados biométricos que a AWS armazena em seu nome quando a finalidade inicial da coleta é cumprida, quando você solicita a exclusão ou antes disso, se a lei exigir. A Didit não mantém nenhum dado biométrico ou de identidade nosso, porque o encaminhamento não é oferecido. Caso ele venha a ser oferecido algum dia, as condições em que a Didit pode manter e deve excluir esses dados serão definidas e declaradas aqui antes. Os dados biométricos podem ser transmitidos entre a República Mundial e seus prestadores de serviços conforme necessário para prestar este serviço.

4.4 Seu consentimento e sua escolha

Duas coisas sustentam esta verificação, e nomeamos as duas.

A verificação em si é necessária para o serviço que você nos pede. Uma eleição de teste em que uma pessoa verificada tem um voto não pode ser realizada sem que cada eleitor seja comprovadamente inscrito uma única vez, e hoje não temos forma menos intrusiva de comprovar isso. Como a verificação trata dados biométricos, é preciso também uma segunda coisa: seu consentimento explícito e afirmativo, que é a condição em que nos baseamos para os próprios dados biométricos. Pedimos esse consentimento no início da verificação facial, e não tratamos nenhum dado biométrico sem ele.

O que recusar custa a você. A verificação facial é hoje a única via para votar. Se você a recusar, não pode votar em uma eleição de teste nem registrar um novo partido. Não custa mais nada: você continua podendo ter WDD, sacar WDD, liderar um partido que registrou antes e usar o resto do Serviço. Antes de qualquer eleição cujo resultado vincule alguém, ofereceremos uma via de votação que não use verificação facial.

Você pode retirar esse consentimento a qualquer momento, e não precisa excluir sua conta para isso. No app, abra Conta → Verificação → Excluir meus dados faciais. A retirada tem efeito imediato e destrói tanto as imagens de referência quanto o modelo facial com que comparamos. Se você quiser uma cópia das imagens, baixe-as antes, na mesma tela (Seção 10.1). Sua conta, seu saldo em WDD, qualquer partido que você lidere e qualquer voto que você já tenha registrado não são afetados. Você não poderá votar de novo até concluir uma nova verificação facial, o que você pode fazer a qualquer momento — a menos que sua verificação já tenha sido recusada por duplicidade de outra conta (a recusa automática descrita na Seção 4.1). A retirada destrói os dados, mas não muda essa decisão; escreva para privacy@worldrepublic.org para contestá-la.

Uma exceção, e é a mesma que a Seção 4.5 descreve para a exclusão da conta: se uma eleição de teste em que você votou ainda estiver aberta quando você retirar o consentimento, seu consentimento termina de imediato, mas os próprios dados biométricos são destruídos quando essa eleição encerrar — a menos que você conclua uma nova verificação facial antes disso, caso em que esse novo consentimento vale e nada é destruído. Como estabelece a Seção 4.5, a destruição nunca espera mais de quatorze dias: uma eleição que encerra mais de quatorze dias depois de você retirar o consentimento não adia a destruição de modo algum. Você também pode, em vez disso, excluir sua conta inteira (Seção 9), ou entrar em contato conosco para exercer qualquer um dos direitos da Seção 10.

4.5 Retenção e destruição

Mantemos dados biométricos apenas pelo tempo necessário para a verificação e para impedir duplicidade. Nós os destruímos quando a finalidade é cumprida, mediante seu pedido de exclusão, quando sua conta é excluída ou três anos após sua última interação com o Serviço — o que ocorrer primeiro. Um registro é mantido por mais tempo: a entrada do log de auditoria de segurança descrita na Seção 1 da nossa Política de retenção e destruição de dados biométricos, que anota as posições dos seus olhos, nariz e boca e o ângulo da sua cabeça. Nossa Política de retenção e destruição de dados biométricos estabelece por escrito e por inteiro cada um desses gatilhos, e a Seção 2 dessa política lista o que conta como interação. A destruição inclui excluir a imagem de referência na AWS (Amazon S3) e o vetor facial (coleção do Rekognition).

Uma exceção, delimitada e declarada aqui porque você deve conhecê-la antes de agir: se você excluir sua conta — ou retirar seu consentimento biométrico nos termos da Seção 4.4 — enquanto uma eleição de teste em que você votou ainda estiver aberta, mantemos seus dados biométricos até essa eleição encerrar e os destruímos então. Se você retirou o consentimento e depois se verifica de novo antes de a eleição encerrar, a destruição pendente é cancelada, porque a nova verificação facial é um novo consentimento; uma exclusão nunca é cancelada dessa forma. Um voto já registrado não pode ser retirado do total do partido, por isso continua sendo contado, e a verificação facial é a única coisa que impede a mesma pessoa de verificar uma conta nova e votar uma segunda vez na mesma eleição. O adiamento nunca ultrapassa a janela restante da eleição e nunca ultrapassa quatorze dias: uma eleição que encerra mais de quatorze dias depois de você agir não adia a destruição de modo algum. Nada mais na exclusão fica esperando.

4.6 Onde os dados biométricos são tratados

Seus modelos faciais e imagens de referência são tratados e armazenados pela AWS na União Europeia (Irlanda). Os metadados de verificação associados (por exemplo, pontuações de confiança e referências de armazenamento) ficam no nosso banco de dados principal (veja a Seção 7).

5. Como usamos as informações e nossas bases legais

5.1 Análise automática dos registros de partidos

Quando você registra um partido ou o edita, um programa o analisa antes de ele ser listado por padrão. Nenhuma pessoa participa dessa etapa.

• O que ele lê: o nome, a descrição e o link do site do partido e o nome de usuário do líder — nada mais a seu respeito.
• O que ele decide: se o partido aparece nas listas padrão, na busca e na lista de partidos da eleição, ou se é separado como spam. Um partido separado não é removido: ele continua no seu próprio endereço, pode ser encontrado escolhendo mostrar todos os partidos e pode receber votos.
• Os motivos: publicidade de algo fora do Serviço (inclusive fingir ser o Serviço ou um partido já estabelecido), oferecer pagamento individual por votos, incitação à violência e obscenidade. Posições políticas nunca são um motivo, e a análise precisa citar o que ela marca.
• Como ele decide: um grande modelo de linguagem, o GLM-5.3 Flash, da Z.ai, aplica essas regras ao texto. Quando esse modelo não está disponível, as mesmas regras são aplicadas pelo GLM-5.3, do mesmo fabricante. Os dois rodam na Baseten, nos Estados Unidos (Seções 6 e 7), que não mantém nada de nenhuma das duas requisições depois de respondê-la e não treina com elas. Uma segunda regra, fixa, compara o nome do partido com os nomes de partidos já estabelecidos. O resultado, seu motivo, qual verificação decidiu e — quando foi um modelo que decidiu — qual dos dois modelos são mantidos junto com o partido (Seção 8).
• Por que um programa pode decidir isso: um registro em que cada listagem é um registro genuíno de partido faz parte do serviço para o qual você registra um partido, e é isso que permite que essa decisão seja tomada por um programa. Um registro de partido também expressa opiniões políticas. A decisão nunca é tomada com base nessas opiniões — os motivos acima são coisas que um registro faz, não coisas de que ele trata, e um registro nunca é marcado pelo que defende. Essas opiniões são lidas apenas porque estão no texto que está sendo verificado, e é você mesmo que as torna públicas ao registrar o partido para publicação no registro público. Você não precisa registrar um partido para votar, para ter WDD ou para usar qualquer outra coisa.
• Suas opções: o líder do partido vê o resultado e o motivo na página do partido. Ao editar o partido, ele volta para análise. Você pode pedir que uma pessoa analise o resultado escrevendo para privacy@worldrepublic.org, endereço indicado por um link na página do partido.

5.2 Um partido indica o que quer em relação à IA?

Raised by Humanity é uma campanha sobre como a inteligência artificial deve ser governada. Para distinguir quais partidos se posicionam sobre o tema, a mesma requisição que leva a análise da Seção 5.1 também faz uma segunda pergunta, separada.

• O que ele pergunta: se alguém que acompanha o debate público sobre IA conseguiria saber, pelo nome ou pela descrição do partido, o que o partido quer em relação à IA — como a IA deve ser desenvolvida, usada, compartilhada, limitada ou governada. Qualquer posição conta, a favor ou contra, e nenhuma conta mais do que outra. Um partido não precisa usar a palavra “IA”. Mencionar a IA, ou usá-la ou vendê-la, não é uma posição.
• O que ele lê: os mesmos campos da Seção 5.1, na mesma requisição — o nome, a descrição e o link do site do partido e o nome de usuário do líder. Nada mais é enviado, e nada é enviado para nenhum outro lugar.
• O que ele registra: a resposta — o partido indica o que quer em relação à IA, ou não indica — com uma linha que cita as palavras em que ela se baseou, o modelo que respondeu e quando. Ela é mantida junto com o partido (Seção 8).
• O que ele muda: uma única visualização, e apenas para um leitor que a pede. Ativar “Mostrar apenas os partidos de governança da IA” na lista de partidos ou na lista de partidos de uma eleição mostra apenas os partidos cuja resposta é que indicam o que querem em relação à IA. O filtro está desativado, a menos que o leitor o ative. A resposta não tem nenhum papel na análise da Seção 5.1. Sem esse filtro, a resposta não muda nada do que qualquer pessoa vê, inclusive as listas padrão, a busca e a lista de partidos de uma eleição, e nunca afeta um voto. Se isso mudar, esta Seção dirá isso a partir do dia em que mudar.
• Como ele decide: os mesmos modelos da Seção 5.1 — o GLM-5.3 Flash, da Z.ai, ou o GLM-5.3 quando esse modelo não está disponível —, que rodam na Baseten, nos Estados Unidos; a Baseten não mantém nada da requisição depois de respondê-la e não treina com ela.
• Suas opções: cada edição do partido faz a pergunta de novo, e a nova resposta substitui a anterior. A resposta está na cópia dos seus dados que o Serviço entrega a você (Seção 10). Você pode pedir que uma pessoa a analise, ou se opor a ela, escrevendo para privacy@worldrepublic.org. Se a resposta for que seu partido não indica o que quer em relação à IA, o cartão do seu partido informa isso enquanto você estiver com esse filtro ativado.
• Por que ele pode ler uma posição política: este é o único ponto em que o Serviço lê o que um partido defende, e não apenas o que ele faz. Ele lê apenas as palavras que o próprio partido publicou, sobre um único tema, e trata igualmente todas as posições sobre esse tema. É você quem torna essas palavras públicas ao registrar o partido para publicação no registro público. Você não precisa registrar um partido para votar, para ter WDD ou para usar qualquer outra coisa.

5.3 Seu voto

Quando você vota, nosso servidor recebe juntos quem você é e sua escolha, porque precisa verificar se você pode votar e depois contar o voto. Ele armazena os dois separadamente, em três registros salvos juntos: um registro de que você votou naquela eleição, e quando; um registro do seu consentimento para a contagem do seu voto, que indica a eleição e o dia; e mais um voto somado ao total do partido. Nenhum registro armazena sua escolha com sua conta. Em alguns casos, seu voto ainda pode ser vinculado a você, e esta Seção diz quando.

• Enquanto uma eleição está aberta. Nosso banco de dados marca cada alteração que salva com um número de referência. Os três registros são salvos na mesma alteração, então levam o mesmo número. Assim, enquanto uma eleição está aberta, alguém com acesso direto ao nosso banco de dados (Seção 11) poderia descobrir quem registrou o voto mais recente em cada partido e, observando os totais mudarem, quem registrou cada voto durante esse período. Com ferramentas que leem diretamente o armazenamento do banco de dados, essa pessoa também poderia descobrir quem registrou outros votos recentes, a partir de versões mais antigas dos totais que o banco de dados ainda não eliminou. Nossas eleições de teste recebem votos durante três dias, e o Serviço nunca recebe votos em uma eleição por mais de quatorze dias.
• Depois que ela encerra. Pouco depois de uma eleição encerrar, normalmente em questão de minutos, reescrevemos os totais dela em uma alteração separada. Depois disso, nenhum registro no nosso banco de dados principal, aquele em que o Serviço roda, vincula um voto à pessoa que o registrou. Versões mais antigas dos totais podem permanecer no armazenamento do banco de dados até serem sobrescritas, e essas mesmas ferramentas ainda conseguem lê-las.
• No histórico de recuperação e nos backups do nosso provedor. Nosso provedor de banco de dados mantém um histórico de recuperação do banco de dados, que hoje configuramos para cerca de seis horas. Ele pode vincular qualquer voto registrado nesse período e pode restaurar os totais como estavam antes de os reescrevermos, com os vínculos que eles continham. O provedor também mantém backups próprios, que declara manter por 30 dias; ainda não confirmamos com ele o que esses backups abrangem. Esses backups, e qualquer cópia do nosso banco de dados (Seção 11) feita antes de os totais serem reescritos, mantêm esses vínculos até expirarem ou serem excluídos, e uma cópia que excluímos pode permanecer nesses backups até eles expirarem.
• No que publicamos. Publicamos o total de cada partido depois que a eleição encerra (Seção 6); enquanto ela está aberta, mostramos apenas quantos votos foram registrados ao todo. Se todos em uma eleição votarem no mesmo partido, os totais mostram como cada um votou a qualquer pessoa que saiba que eles votaram. E, quando muito poucas pessoas votam, alguém que sabe como as outras votaram consegue deduzir o resto.

Nada no Serviço usa nada disso para vincular um voto à pessoa que o registrou.

Como sua escolha revela uma opinião política, pedimos seu consentimento explícito antes de contá-la. A tela em que você registra seu voto tem uma caixa desmarcada que pede esse consentimento, em cada eleição de teste, e ela precisa ser marcada antes de o voto ser registrado; nosso servidor recusa um voto sem esse consentimento. Registramos esse consentimento com a eleição, a versão e o idioma do texto que você marcou, e o dia. Não registramos nenhum endereço IP nem navegador com ele, e apenas o dia, porque ele é salvo no mesmo momento que o registro de que você votou, e um horário exato seria um segundo registro de quando você votou. Você pode retirar esse consentimento (Seção 10).

6. Como compartilhamos informações

Não vendemos suas informações pessoais. Esta Seção estabelece quem recebe informações sobre você e em que qualidade. Parte delas é tratada para nós por prestadores de serviços, seguindo nossas instruções e sem nenhuma finalidade própria. Parte delas chega a uma empresa que decide por conta própria o que fazer com essas informações, e esta Seção nomeia esses destinatários. Parte delas temos de divulgar para cumprir a lei e, em uma fusão, aquisição ou transferência de ativos, o que mantemos passaria para o comprador, sujeito a salvaguardas legais — exceto seus dados biométricos, que nunca passam por esse caminho. E parte delas o Serviço publica para outras pessoas.

Prestadores de serviços que atuam por nós. Esses prestadores tratam informações seguindo nossas instruções e sem nenhuma finalidade própria. A Didit é citada na lista abaixo apenas por completude e hoje não trata nada para nós:

• Google Workspace — hospeda nossas caixas de e-mail: todos os endereços terminados em @worldrepublic.org, entre eles info@worldrepublic.org, privacy@worldrepublic.org e legal@worldrepublic.org. Tudo o que você nos escrever em qualquer um deles, e tudo o que enviar junto — inclusive o que você enviar para mostrar que um pedido é seu (Seção 10.3) — é tratado pelo Google como nosso prestador de serviços. Os alertas operacionais descritos no item da Amazon Web Services abaixo também são entregues por e-mail, e um dos endereços a que eles chegam está no nosso próprio domínio. Então um alerta que leva um endereço de carteira de destino também é tratado pelo Google. Entrar com o Google é uma relação diferente, e esta Seção estabelece essa relação mais abaixo.
• Amazon Web Services (AWS) — quatro coisas. Amazon Rekognition Face Liveness, Amazon S3 (imagens de referência) e Amazon Cognito (credenciais temporárias de convidado), como nosso prestador de serviços para a verificação biométrica (região da UE). Amazon Simple Notification Service, que leva nossos alertas operacionais. AWS CloudTrail, que mantém o log de auditoria de segurança das nossas contas na nuvem e nosso registro de acessos às imagens de verificações faciais (Seção 8). E Amazon Simple Email Service, que leva as duas mensagens que devemos a quem denuncia um partido — que recebemos a denúncia e o que decidimos. Essas mensagens vão para o endereço que a pessoa nos deu e levam o nome do partido, a data e uma referência; elas nunca levam o motivo que foi escolhido nem o que a pessoa escreveu. Um alerta nos avisa que algo precisa de atenção — por exemplo, um saque que deu errado, uma conta que atingiu um dos limites que definimos para a frequência com que ela pode agir, um registro de partido que a análise automática não conseguiu ler ou uma destruição de dados biométricos que não foi concluída. Esses são exemplos, e não a lista inteira. Um alerta pode levar um endereço de carteira de destino, o valor e a rede de um saque e a referência que damos a esse saque em nossos próprios registros, o identificador interno de uma conta e o identificador de um partido. Quando uma transferência foi enviada, um alerta também pode levar o hash dessa transação na blockchain e a referência que o provedor de pagamentos deu a ela. Um alerta nunca leva o nome ou a descrição do próprio partido, e nunca leva o que a análise automática disse a respeito dele.
• Didit — verificação de identidade em caso de encaminhamento. Não é oferecida no momento e não mantém nenhum dado nosso (Seção 4.2). Veja o Verification Privacy Notice e os End User Terms for Identity Verification da Didit.
• Coinbase — executa os saques de WDD na blockchain; recebe o endereço de destino, o valor, a rede e a referência que damos a esse saque em nossos próprios registros, e nada mais.
• Neon — hospedagem de banco de dados para os dados do Serviço. Nosso banco de dados roda em Singapura, e a Neon também trata dados nos Estados Unidos (Seção 7).
• Vercel — hospedagem do aplicativo e logs de infraestrutura. Nosso aplicativo roda em Singapura, e a Vercel também trata dados nos Estados Unidos (Seção 7). Seu AI Gateway também leva a requisição de análise de partidos das Seções 5.1 e 5.2 — uma única requisição — até a Baseten e a mais ninguém.
• Baseten — roda os modelos de linguagem que analisam os registros de partidos (Seções 5.1 e 5.2); recebe o nome, a descrição, o link e o nome de usuário do líder do partido, não mantém nada disso depois que a requisição é respondida e não treina com isso (Estados Unidos).

Uma lista atualizada de suboperadores está disponível mediante pedido.

O Google, quando você entra. Entrar com o Google é uma troca entre você e o Google, e o Google decide por conta própria o que fazer com essa troca. Aqui o Google não age apenas seguindo nossas instruções, então o Google não é nosso prestador de serviços nesse caso. Recebemos um token de autenticação e um identificador da sua conta do Google, e mantemos apenas o identificador (Seção 3.1). O que o Google faz com uma entrada na conta é regido pela política de privacidade do próprio Google (policies.google.com/privacy).

Divulgações exigidas por lei e o caso de o Serviço passar para outra organização. Podemos divulgar informações para cumprir a lei ou pedidos válidos de autoridades públicas. Também podemos divulgar informações em uma fusão, aquisição ou transferência de ativos (sujeita a salvaguardas legais). Seus dados biométricos nunca fazem parte de uma transferência dessas. Não os vendemos, alugamos, negociamos nem lucramos com eles de nenhuma outra forma, e não os passamos a um comprador junto com o resto do que mantemos. Fora o prestador de serviços que os armazena para nós e seguindo nossas instruções (Seção 4.3), só divulgamos dados biométricos quando você consente com isso, quando uma lei exige ou quando um mandado ou uma intimação válidos obrigam. Uma fusão, uma aquisição e uma transferência de ativos não são nenhuma dessas coisas.

Publicado pelo Serviço. Parte do que você faz é mostrada a outras pessoas. Isso não é compartilhamento com um prestador de serviços. É publicação, e não dá para desfazer pedindo a um prestador que pare:

• O registro de partidos. Se você registrar um partido, o nome, a descrição e o link do partido, seu nome de usuário e o total de WDD concedido ao partido em subsídios são publicados no registro. O registro é aberto: qualquer pessoa pode lê-lo sem ter uma conta, e mecanismos de busca podem indexá-lo.
• Saques. Um saque de WDD é uma transação pública na blockchain. O endereço de destino, o valor, a rede, o horário e a referência que damos a esse saque em nossos próprios registros são publicados na blockchain, não por nós, e ninguém pode removê-los. Escrevemos essa referência na transação para que se possa provar que um saque foi feito uma vez e apenas uma. A referência não é o identificador da sua conta. Cada saque tem sua própria referência, e uma referência pertence a um único saque. Para verificar que um saque foi feito, pedimos a um serviço público de blockchain que consulte a transação para nós. Esses serviços veem o que a blockchain já publica — o endereço, o valor e a referência — e nada mais do que mantemos sobre você.
• Resultados das eleições. O total de votos de cada partido é publicado depois que a eleição encerra. Enquanto uma eleição está aberta, não é mostrado o total de nenhum partido, apenas quantos votos foram registrados ao todo. Publicamos apenas totais, nunca um voto individual. Se todos votaram no mesmo partido, os totais ainda podem mostrar como você votou a alguém que sabe que você votou; e, se muito poucas pessoas votaram, a alguém que também sabe como as outras votaram (Seção 5.3). A Seção 5.3 diz quando um voto pode ser vinculado a você no nosso banco de dados.

Seu nome de usuário é o nome que aparece em tudo isso, e é você quem o escolhe (Seção 3.1).

7. Transferências internacionais de dados

Nossa sede fica na Suíça, que conta com uma decisão de adequação da UE, e também estamos estabelecidos na União Europeia (Seção 1). Seus dados são tratados em mais de um país:

• Os dados biométricos (modelos faciais e imagens de referência) são tratados e armazenados pela AWS na União Europeia (Irlanda).
• O log de auditoria de segurança das nossas contas na nuvem e nosso registro de acessos às imagens de verificações faciais (Seção 8): as entradas sobre você são mantidas na União Europeia — na Irlanda, onde a verificação facial é feita, e na Alemanha, onde mantemos nossas cópias.
• Os dados da conta e do aplicativo ficam no nosso banco de dados na Neon e são servidos pela Vercel. As duas rodam em Singapura, e parte desses dados chega também aos Estados Unidos: o contrato de tratamento de dados da Vercel declara que suas principais instalações de tratamento ficam nos Estados Unidos, e a Neon contrata por meio de uma empresa controladora nos Estados Unidos cujos termos nomeiam um provedor dos Estados Unidos para monitoramento de infraestrutura. O que viaja por esse caminho são os logs de requisição e de servidor — seu endereço IP, o user-agent do seu navegador, a página que você pediu e, em alguns registros de erro, o identificador interno de uma conta.
• Os registros de partidos em análise (nome, descrição, link, nome de usuário do líder) são enviados à Baseten, nos Estados Unidos, para a análise automática das Seções 5.1 e 5.2, e não são armazenados lá.
• Os detalhes do saque — o endereço de destino, o valor, a rede e a referência que damos a esse saque em nossos próprios registros — vão para a Coinbase, uma empresa sediada nos Estados Unidos. Não apuramos em quais países a própria Coinbase trata esses dados.
• Os alertas operacionais são levados pelo Amazon Simple Notification Service (Seção 6), e um alerta pode levar um endereço de carteira de destino, o valor e a rede de um saque e a referência que damos a esse saque em nossos próprios registros, o identificador interno de uma conta e o identificador de um partido. Quando uma transferência foi enviada, um alerta também pode levar o hash dessa transação na blockchain e a referência que o provedor de pagamentos deu a ela. Um alerta nunca leva o nome ou a descrição do próprio partido, e nunca leva o que a análise automática disse a respeito dele. Esse serviço roda na região da Amazon que tivermos configurado para ele, e essa região pode estar fora da União Europeia. O alerta é então entregue por e-mail, e um dos endereços a que ele chega está no nosso próprio domínio, que o Google Workspace hospeda nos Estados Unidos e em outros países (Seção 6).
• As mensagens a quem denunciou um partido são levadas pelo Amazon Simple Email Service na União Europeia (Irlanda) — a mesma região dos dados biométricos, sob o mesmo contrato.
• Os dados de entrada na conta vão para o Google, que trata esses dados nos Estados Unidos e em outros países.
• O encaminhamento para documento de identidade da Seção 4.2 não envia nada para lugar nenhum, porque não é oferecido e nenhuma verificação pode ser iniciada. A empresa Didit que contrata com clientes na Europa é a Didit Identity Spain, S.L., e a Didit declara que seus principais sistemas de tratamento estão dentro do Espaço Econômico Europeu. Essa declaração é da própria Didit, e nós mesmos não a confirmamos. Antes de a via ser oferecida, confirmaremos nesta Seção onde uma verificação seria tratada e nomearemos a salvaguarda que a cobre.
• O que você escreve para qualquer um dos nossos endereços — info@worldrepublic.org, privacy@worldrepublic.org, legal@worldrepublic.org ou qualquer outro endereço terminado em @worldrepublic.org — é tratado pelo Google Workspace (Seção 6) nos Estados Unidos e em outros países onde o Google e as empresas que ele usa têm instalações.

Singapura não é coberta por uma decisão de adequação da UE nem da Suíça, e os Estados Unidos são cobertos apenas para destinatários certificados no Data Privacy Framework. Não nos baseamos em uma única salvaguarda para todas essas transferências. Preferimos dizer a você qual salvaguarda cobre qual destinatário a nomear um instrumento que não temos:

• Vercel e, por meio do gateway da Vercel, Baseten: as Cláusulas Contratuais Padrão da Comissão Europeia e o International Data Transfer Addendum do Reino Unido, ambos incorporados ao contrato de tratamento de dados da Vercel. Não apuramos se esse contrato também traz o complemento que a lei suíça exige. Não temos nenhum contrato separado com a Baseten.
• Google, para nossas caixas de e-mail: os termos padrão do Workspace do Google, que incorporam o adendo de tratamento de dados do Google e as Cláusulas Contratuais Padrão.
• Google, para a entrada na conta: nenhuma nossa. O Google decide por conta própria como lida com uma entrada, então aqui o Google não age apenas seguindo nossas instruções, e não temos nenhum contrato de tratamento de dados com o Google para a entrada na conta. O Google declara ser certificado no Data Privacy Framework UE–EUA. Não obtivemos nenhum instrumento separado para essa transferência.
• AWS: o contrato de tratamento de dados da AWS. Seus dados biométricos ficam na União Europeia (Irlanda) e não são transferidos para fora da União Europeia de forma alguma. Quando você baixa uma cópia das imagens das suas próprias verificações faciais (Seção 10.1), seu navegador as busca diretamente na AWS, na União Europeia (Irlanda), onde quer que você esteja: elas não passam pelos nossos servidores, e não mantemos nenhuma cópia do que você baixa. Os alertas operacionais descritos acima são levados sob o mesmo contrato, na região da Amazon que tivermos configurado para esses alertas. As mensagens que enviamos a quem denunciou um partido são levadas sob esse mesmo contrato, na União Europeia (Irlanda).
• Neon: os termos padrão da Neon, que se aplicam automaticamente quando usamos a Neon. As cláusulas de transferência desse contrato estão nos termos da empresa controladora da Neon, e ainda não as obtivemos.
• Coinbase: os termos padrão para desenvolvedores da Coinbase. Entendemos que esses termos trazem um apêndice de transferência, e ainda não confirmamos isso.

Quando uma decisão de adequação cobre uma transferência — a União Europeia e a Suíça reconhecem uma à outra —, nós nos baseamos nessa decisão, e nenhum outro instrumento é necessário.

Mais duas coisas que você deve saber em vez de ter de supor. Não realizamos avaliação de impacto de transferência para nenhuma das transferências citadas acima. Não nos baseamos em nenhuma medida suplementar além das medidas de segurança da Seção 11. Estamos trabalhando para colocar em vigor os instrumentos que faltam, e atualizaremos esta Seção conforme cada um entrar em vigor.

Você pode nos pedir uma cópia das salvaguardas citadas acima. Escreva para privacy@worldrepublic.org (Seção 10.1).

8. Retenção de dados

9. Exclusão da conta

Você pode excluir sua conta no Serviço. A exclusão destrói os dados biométricos que a AWS mantém em nosso nome e remove seus registros de verificação. Ela destrói suas credenciais de entrada — o vínculo com sua conta do Google e qualquer chave de acesso — para que não seja mais possível entrar naquela conta. Se você entrar de novo depois disso, recebe uma conta nova e vazia. Ela substitui seu nome de usuário por um gerado aleatoriamente e remove o endereço IP e os detalhes do dispositivo mantidos com seus registros de consentimento. Dentro do nosso banco de dados, essas alterações são feitas no nosso banco de dados principal, aquele em que o Serviço roda. Nosso provedor de banco de dados mantém um histórico de recuperação do banco de dados, que hoje configuramos para cerca de seis horas, e backups próprios, que declara manter por 30 dias; ainda não confirmamos com ele o que esses backups abrangem. O que excluímos permanece nesse histórico e nesses backups até eles expirarem. Só fazemos uma cópia do nosso banco de dados para testar uma alteração no Serviço ou para nos recuperar de uma falha, e a excluímos quando esse trabalho termina. Uma cópia feita antes de você excluir sua conta mantém o que continha até ser excluída e, depois disso, pode permanecer nos backups do provedor até eles expirarem. O mesmo vale para todo registro que a Seção 8 diz que excluímos do nosso banco de dados.

Excluir sua conta também faz com que você perca seu saldo em WDD e cancela seus fluxos de recompensas — as recompensas que ainda estavam sendo liberadas para você. Isso é uma cláusula dos Termos de Uso, e não uma questão de privacidade, e a Seção 8.5 dos Termos de Uso a estabelece. Se você quiser manter seu saldo, saque-o antes de excluir sua conta. Você não precisa excluir sua conta para que seus dados biométricos sejam destruídos: a Seção 4.4 descreve essa via separada, e usá-la deixa seu saldo em WDD intacto.

A exclusão não remove tudo, e preferimos nomear o que fica a chamá-lo de anônimo. Sua conta tem um identificador interno que não excluímos, e quase todos esses registros continuam vinculados a esse identificador:

• Que você votou em cada eleição de teste, e quando — não em qual partido você votou, o que não é armazenado com sua conta. A Seção 5.3 diz quando um voto ainda pode ser vinculado à pessoa que o registrou. O registro de que você votou é mantido para que o comparecimento de cada eleição continue correto.
• Seu registro de WDD — cada recompensa concedida a você, mantida como o fluxo que a liberou para o seu saldo, cada alteração nesse fluxo e cada saque que você fez: o endereço de carteira de destino, o valor e a rede e, quando um saque não pôde ser enviado, o registro dessa tentativa. Seu saldo é zerado e seus fluxos de recompensas são removidos, mas o registro do que foi concedido e do que foi pago permanece. Este é nosso registro do WDD que concedemos e do WDD que pagamos (Seção 8).
• O código de convite gerado para sua conta, que nada no Serviço usa (Seção 3.1).
• A prova de cada consentimento que você deu e de cada um que você retirou — qual documento, qual versão, quando, o idioma e a tela em que a declaração foi mostrada e, no caso do consentimento para a contagem de um voto, qual eleição (Seção 8).
• Que você confirmou ter 18 anos ou mais, e quando — mantido como a prova de que perguntamos e de que você respondeu (Seção 3.1). Não temos nenhuma data de nascimento, então não há data de nascimento para remover.
• Um partido que você registrou, que permanece no registro. O nome de usuário gerado aleatoriamente substitui o nome de usuário que você escolheu como nome do líder desse partido.
• Alertas operacionais sobre algo que deu errado, e as cópias deles nas caixas de e-mail que os recebem — um alerta pode levar um endereço de carteira de destino, o valor e a rede de um saque e a referência que damos a esse saque em nossos próprios registros, o identificador interno de uma conta e o identificador de um partido. Quando uma transferência foi enviada, um alerta também pode levar o hash dessa transação na blockchain e a referência que o provedor de pagamentos deu a ela. Um alerta nunca leva o nome ou a descrição do próprio partido, e nunca leva o que a análise automática disse a respeito dele. Um alerta é uma mensagem sobre um evento, e não um registro mantido na sua conta, então ele leva, desses identificadores, os que aquele evento tinha. Excluir sua conta não exclui esses alertas (Seção 8).
• Logs de servidor e de erro, que nossos provedores de hospedagem e de banco de dados mantêm por um prazo que não controlamos. Uma linha de log pode levar o identificador interno da sua conta, o endereço de onde veio uma requisição e a página que ela pediu. Excluir sua conta não exclui esses logs (Seção 8).
• O log de auditoria de segurança das nossas contas na nuvem e nosso registro de acessos às imagens de verificações faciais (Seção 8, que diz por quanto tempo cada um é mantido). As entradas deles podem levar o identificador interno da sua conta ou citar uma das suas sessões de verificação facial. As entradas das suas verificações faciais também podem levar um identificador que a AWS atribuiu ao seu navegador. As entradas das suas provas de vida e dos seus próprios downloads das imagens das suas verificações faciais também levam o endereço IP e o user-agent do navegador, e a entrada da inclusão do seu rosto na coleção anota onde ficam seus olhos, nariz e boca na imagem de referência e o ângulo da sua cabeça, nunca a imagem nem o modelo. A destruição dos seus dados faciais que a exclusão inicia acrescenta entradas próprias, e excluir sua conta não exclui nenhuma dessas entradas.
• As datas da própria conta — quando a conta foi criada, quando ela mudou pela última vez e quando foi excluída.

Esses registros são pseudonimizados, não anônimos, e vale a pena declarar a diferença. Nenhum deles leva seu e-mail. Nenhum deles leva seu nome nem o nome de usuário que você escolheu. Quase todos esses registros continuam vinculados ao mesmo identificador interno, então ainda podem ser lidos como os registros de uma mesma conta. Alguns tipos de registro são exceção a isso, e cada um está citado acima: um alerta operacional é uma mensagem sobre um evento, e não um registro mantido em uma conta, e uma linha de log de servidor ou de erro, ou uma entrada no log de auditoria de segurança ou no nosso registro de acessos às imagens de verificações faciais, leva o identificador interno apenas parte das vezes. Um endereço de carteira de destino é mais do que um identificador pseudônimo: é um identificador permanente em uma blockchain pública, e qualquer pessoa que já conheça um endereço seu pode ver os pagamentos feitos a esse endereço. Chamar esses registros de anônimos não seria verdade, então não os chamamos assim.

O e-mail que você nos enviou é mantido separado da sua conta. Excluir sua conta não o exclui. Ele leva o endereço de onde você escreveu, qualquer nome mostrado junto com ele e seu nome de usuário, se você o incluiu ou iniciou o e-mail a partir de um link no app. Ele é excluído segundo seu próprio cronograma (Seção 8). Ele não está na cópia que o app gera para você (Seção 10.1); para pedi-lo, escreva para privacy@worldrepublic.org. Você pode nos pedir para excluí-lo antes, e nós o excluiremos, exceto as mensagens que a Seção 8 mantém por três anos: elas são nosso registro de como tratamos um pedido, então são mantidas pelo prazo inteiro.

Você pode salvar uma cópia dos seus dados antes de excluir sua conta, e vale a pena fazer isso primeiro (Seção 10.1). Depois que a conta é excluída, essa via deixa de existir: a cópia é gerada para uma conta com a sessão iniciada, e não é possível entrar em uma conta excluída. Também não teríamos como, depois disso, nos certificar de que um pedido sobre uma conta excluída vem da pessoa de quem era a conta (Seção 10.3). A cópia no app não traz as imagens das suas verificações faciais; elas são um download à parte, em Conta → Verificação, e, assim como a cópia, não podem ser baixadas depois que a conta é excluída.

Os votos que você registrou continuam sendo contados. Sua escolha faz parte do total do partido e não é armazenada com sua conta, então não há nada dela que possamos remover separadamente. Excluir sua conta registra como retirado, nesse dia, seu consentimento para a contagem deles. Se uma eleição de teste em que você votou ainda estiver aberta quando você excluir a conta, seus dados biométricos são destruídos quando essa eleição encerrar, e não de imediato (veja a Seção 4.5).

10. Seus direitos

Dependendo de onde você mora, você pode ter os direitos abaixo. Exercê-los normalmente não custa nada a você (Seção 10.5), e você não receberá tratamento diferente por exercê-los.

• UE/EEE e Reino Unido (GDPR / GDPR do Reino Unido): acesso, retificação, apagamento, limitação, portabilidade, oposição e retirada do consentimento. Quando uma decisão a seu respeito for tomada exclusivamente por meios automatizados e tiver efeito significativo sobre você — a recusa descrita na Seção 4.1 e a decisão de listagem da Seção 5.1 —, você também tem o direito de obter intervenção humana de nossa parte, de manifestar seu ponto de vista e de contestar a decisão; escreva para privacy@worldrepublic.org. Tomamos essas duas decisões por meios automatizados porque cada uma delas é necessária para o serviço que você nos pediu. No caso da recusa, esse serviço é uma eleição de teste em que uma pessoa verificada tem um voto. No caso da decisão de listagem, esse serviço é um registro em que cada listagem é um registro genuíno de partido. A recusa decide sobre dados de categoria especial — seus dados biométricos — e a condição em que nos baseamos para isso é o consentimento explícito que você dá na verificação facial (Seção 4.4). A decisão de listagem nunca é tomada com base nas opiniões políticas que um registro expressa; essas opiniões são lidas apenas como parte do texto que está sendo verificado, e é você mesmo que as torna públicas ao registrar o partido para publicação (Seção 5.1). A resposta da Seção 5.2 é diferente nos dois aspectos: ela lê, sim, a posição que um partido publica sobre a IA, e não muda nada na forma como seu partido é exibido, a menos que um leitor peça para ver apenas os partidos que indicam o que querem em relação à IA (Seção 5.2). Você pode pedir que uma pessoa a analise, e pode se opor a ela, porque para ela nos baseamos em nosso interesse legítimo (Seção 10.6). Você pode apresentar reclamação à sua autoridade de controle local; para fins do GDPR da UE, nossa autoridade de controle principal é a NAIH húngara (Seção 14).
• Suíça (revFADP): acesso, retificação, exclusão, portabilidade de dados (art. 28 da revFADP), oposição e o direito de reclamar ao Comissário Federal de Proteção de Dados e Informação (FDPIC). Para a recusa automática descrita na Seção 4.1, você também pode expor sua posição e pedir que a decisão seja analisada por uma pessoa.
• Brasil (LGPD): confirmação de que tratamos seus dados, acesso, correção, anonimização ou eliminação, portabilidade, informação sobre com quem compartilhamos seus dados e retirada do consentimento.
• Califórnia (CCPA/CPRA): saber, excluir, corrigir, optar por não permitir a venda/o compartilhamento (não vendemos nem compartilhamos) e limitar o uso de informações pessoais sensíveis (o que inclui dados biométricos).
• Leis biométricas (BIPA de Illinois, CUBI do Texas, Washington): obtemos seu consentimento antes de coletar dados biométricos, nunca os vendemos, alugamos, negociamos nem lucramos com eles de nenhuma outra forma, e seguimos um cronograma escrito de retenção e destruição. Eles nunca fazem parte de uma fusão, aquisição ou transferência de ativos (Seção 6).

Você pode retirar a qualquer momento seu consentimento para a contagem do seu voto (Seção 5.3): no app, abra Conta → Verificação → Retirar meu consentimento de voto. A retirada abrange todas as eleições em que você votou, e registramos o dia em que você o retira (Seção 8). A retirada não afeta a licitude da contagem dos seus votos feita antes de você retirar o consentimento. Um voto já contado permanece no total do partido: sua escolha faz parte desse total e não é armazenada com sua conta, então não há nada dela que possamos remover separadamente (Seção 9). A retirada não encurta os períodos da Seção 5.3 durante os quais um voto ainda pode ser vinculado a você. Quando você votar de novo, pediremos seu consentimento outra vez.

10.1 Como exercê-los

Há duas vias. A primeira responde ao acesso e à portabilidade na hora, sem precisar pedir a ninguém.

• No app. Abra as configurações da sua conta; em Conta há uma linha chamada Seus dados. Ela gera uma cópia de tudo o que mantemos sobre você e que conseguimos alcançar a partir da sua conta — uma página que você pode ler e um arquivo legível por máquina que você pode entregar a outro serviço. Ela é gerada no momento em que você pede, para a conta que está pedindo, e não é armazenada em lugar nenhum: não mantemos nenhuma cópia dela e não há link que possa ser enviado a mais ninguém. Essa é nossa resposta ao acesso e à portabilidade, e você não precisa nos pedir. Essa cópia não traz as imagens que suas verificações faciais deixaram conosco: elas ficam fora de um arquivo feito para ser entregue a outros. Baixe-as em Conta → Verificação, onde elas vêm em um arquivo próprio — todas as imagens mantidas sob as suas próprias verificações faciais, e nunca uma mantida sob as de outra pessoa. Excluir sua conta está na mesma tela.
• Por escrito. Todo o resto — retificação, limitação, oposição, uma pergunta sobre dados mantidos pelos nossos provedores (Seções 4.3 e 6) ou uma reclamação sobre uma decisão — vai para privacy@worldrepublic.org.

Entrar na conta não nos deixa nenhum e-mail seu (Seção 3.1), então normalmente só podemos responder a um endereço de onde você nos escreve. Há uma exceção, e ela é estreita. Se você denunciar um partido, mantemos o endereço que você deu nessa denúncia e o usamos para essa denúncia e nada mais: para confirmar que a recebemos e para dizer o que decidimos. Não o usamos para responder a outra pergunta, para avisar sobre uma alteração nesta política nem para enviar nada que você não tenha pedido. Ele também faz parte do registro da decisão, e é por isso que a Seção 8 o mantém em vez de descartá-lo depois que as duas mensagens são enviadas.

10.2 Quanto tempo levamos

Balázs Kónya, membro da diretoria, é o responsável por responder aos pedidos sobre seus dados dentro dos prazos estabelecidos abaixo, seja qual for o nosso endereço a que eles cheguem. Não prometemos um prazo interno menor do que a lei exige: uma meta que ninguém cumpre é pior do que o prazo legal cumprido, e os prazos abaixo são os que seguimos.

O prazo corre a partir do dia em que seu pedido chega até nós — não a partir do dia em que terminamos de identificar você, nem do dia em que encontramos o que você pediu. Sob o GDPR e o GDPR do Reino Unido, respondemos sem demora indevida e, em todo caso, no prazo de um mês a contar do recebimento. Quando um pedido é complexo, ou quando você fez vários, podemos levar até dois meses a mais; avisaremos dentro do primeiro mês que estamos fazendo isso, e por quê.

Quando a lei do lugar onde você mora estabelece algo diferente, é isso que fazemos:

• Reino Unido. Se razoavelmente precisarmos de mais informações para identificar você ou para encontrar o que você pediu, a contagem do prazo fica pausada do dia em que perguntamos até o dia em que você responde. Só perguntamos quando realmente não conseguimos prosseguir sem isso.
• Brasil. Confirmamos se tratamos seus dados e damos acesso a eles em formato simplificado, imediatamente, e de forma completa em até 15 dias do seu pedido.
• Suíça. Em regra, respondemos em 30 dias. A resposta traz o que o art. 25(2) da revFADP exige que ela traga, inclusive os destinatários ou as categorias de destinatários para quem seus dados vão e, quando vão para o exterior, qual país e as salvaguardas em que nos baseamos — as Seções 6 e 7 estabelecem os dois de antemão.
• Califórnia. Confirmamos o recebimento em 10 dias úteis e respondemos em 45 dias, prazo que podemos prorrogar uma vez por mais 45 dias se dissermos por quê.

10.3 Como sabemos que é você

Não temos nenhum documento de identidade seu nem nenhum endereço cadastrado, então a escada abaixo é o que temos. Descemos por ela e paramos no primeiro degrau que identifica você.

1. Sua conta com a sessão iniciada. A cópia no app e o download das imagens das suas verificações faciais são gerados para a conta que os pede, no momento em que ela pede. Nada identifica você melhor, e é por isso que essa é a primeira via da Seção 10.1, e não uma conveniência.
2. Uma chave de acesso registrada nessa conta. Se você não conseguir usar o app, podemos pedir que você conclua uma entrada com chave de acesso usando uma credencial que a conta já tem.
3. A conta do Google vinculada a ela. Se você entrou com o Google, podemos pedir que você mostre que controla essa conta entrando com ela.
4. Mais informações. Se nenhuma dessas opções for possível, podemos pedir mais informações de que razoavelmente precisarmos para nos certificar de que o pedido é seu, e nada além disso.
5. Uma recusa por escrito. Se ainda assim não conseguirmos nos certificar, diremos isso a você por escrito, dentro do prazo da Seção 10.2, com nossos motivos e com a via de reclamação da Seção 10.4. Preferimos recusar um pedido que não conseguimos atribuir a alguém a respondê-lo para a pessoa errada.

Nunca aceitaremos um endereço de carteira como prova de quem você é. Os saques são feitos em blockchains públicas, então um endereço que você usou é algo que qualquer pessoa que leia a rede pode nomear; saber qual é não prova nada, e assinar uma mensagem a partir dele provaria o controle de uma chave, não desta conta.

Também não pediremos um documento de identidade para responder a um pedido. Não temos nenhum documento de identidade com que compará-lo, então ele não nos diria nada e custaria a você mais do que o pedido vale.

10.4 Se recusarmos

Se não atendermos ao seu pedido, diremos por quê, dentro do prazo da Seção 10.2, e diremos o que fazer em seguida. Você pode reclamar à autoridade de proteção de dados do lugar onde mora — para fins da UE, a NAIH húngara; na Suíça, o FDPIC; no Reino Unido, o ICO (Seção 14) — e pode ir à Justiça. Nenhuma das duas coisas depende da nossa concordância.

No Reino Unido, você também tem o direito de reclamar diretamente a nós. Acusaremos o recebimento de uma reclamação em 30 dias e diremos o resultado sem demora indevida. Reclamar a nós não é condição para reclamar ao ICO.

10.5 Quanto custa

Nada. Quando um pedido é manifestamente infundado ou excessivo — em especial quando repete um que já respondemos —, a lei nos permite cobrar uma taxa razoável ou recusar, e, se algum dia fizermos uma dessas coisas, diremos qual e por quê. Preferimos recusar um pedido com motivos a colocar preço em todos os outros.

O arquivo legível por máquina e o download das imagens das suas verificações faciais compartilham um pequeno limite de quantas cópias podem ser feitas em qualquer período de 24 horas. Isso não é uma cobrança e não tem a ver com capacidade: existe para que alguém que se apodere da sua sessão não possa levar todo o seu registro embora, silenciosamente, vez após vez. Isso nunca impede você de ler a cópia na tela, e nunca impede você de nos escrever.

10.6 Dois direitos que atendemos manualmente

O acesso, a portabilidade e a exclusão estão no app e não exigem nenhum pedido. A limitação e a oposição não. Não temos nenhuma chave que suspenda o tratamento de uma parte do seu registro e deixe o resto funcionando, então um pedido de limitação ou de oposição é executado por nós, manualmente, caso a caso, dentro dos prazos da Seção 10.2. Escreva para nós, diga o que você quer que seja interrompido e o que há na sua situação que torna isso relevante, e nós avaliaremos e diremos o que fizemos. Preferimos dizer a você que isso é manual a deixar que você deduza isso pelo tempo que leva.

11. Segurança

Usamos TLS em trânsito e armazenamento com controle de acesso. O acesso direto ao nosso banco de dados é limitado às pessoas que autorizamos a operar o Serviço, aos nossos provedores de banco de dados e de hospedagem e ao software que usamos para operar o Serviço. Só fazemos uma cópia do nosso banco de dados para testar uma alteração no Serviço ou para nos recuperar de uma falha, e a excluímos quando esse trabalho termina. Uma cópia contém os mesmos dados, e a Seção 9 diz por quanto tempo ela mantém o que excluímos. Nenhum sistema é perfeitamente seguro, mas trabalhamos para proteger seus dados.

12. Crianças e adolescentes

O Serviço é para adultos de 18 anos ou mais. Antes de verificar sua identidade, pedimos que você confirme ter 18 anos ou mais, e não verificamos ninguém que não confirme. Registramos apenas que a confirmação foi dada e quando; não pedimos sua data de nascimento.

Não coletamos conscientemente dados de ninguém com menos de 18 anos. Se soubermos que mantemos dados sobre uma pessoa menor de 18 anos, encerramos a conta dela e destruímos seus dados biométricos como estabelece a Seção 2 da nossa Política de retenção e destruição de dados biométricos. Se você acredita que alguém menor de 18 anos tem uma conta, escreva para privacy@worldrepublic.org.

13. Alterações

Podemos atualizar esta política. Quando fizermos isso, publicamos o novo texto nesta página e atualizamos a data de “Última atualização” acima. Uma alteração nesta política entra em vigor quando a publicamos. Esta política descreve o que de fato fazemos com seus dados, então ela precisa passar a ser verdadeira no mesmo momento em que aquilo que ela descreve passa a ser verdade; segurar uma alteração por um mês só significaria que esta política ficou errada por um mês. Isso não é o mesmo que os Termos de Uso. Os Termos de Uso são o acordo entre você e nós, e a Seção 14 dos Termos de Uso dá a você 30 dias antes que uma alteração relevante nesse acordo se aplique a você.

Uma alteração é mais lenta de propósito. Se algum dia aumentarmos o prazo pelo qual mantemos dados biométricos, o prazo maior não se aplica aos dados que já mantemos até que a alteração tenha sido publicada por 30 dias. A Seção 6 da Política de retenção e destruição de dados biométricos estabelece isso, e ela rege o prazo indicado na Seção 4.5 e na tabela de retenção da Seção 8.

Não temos como enviar um aviso a você quando esta política muda. Entrar na conta não nos deixa nenhum e-mail, nenhum telefone e nenhum endereço postal, porque deliberadamente não mantemos nenhum deles (Seção 3.1), e o Serviço não tem banner nem mensagem que pudesse avisar você. Se você denunciou um partido, mantemos o endereço que você deu nessa denúncia — e não o usaremos para isto, nem para nada além daquela denúncia (Seção 10.1). Isso é consequência de mantermos tão pouco: fora um endereço dado em uma denúncia e o endereço de onde você nos enviou um e-mail (Seção 8), não temos nenhum dado de contato seu, e não usamos nenhum dos dois para avisar você de uma alteração. A Seção 10.1 diz a mesma coisa sobre todo o resto — só podemos responder a um endereço de onde você nos escreve. Então esta página é o aviso: o texto atual está sempre aqui, e a data acima é a data em que alteramos esta política pela última vez.

Esta política é escrita em inglês, e nós a publicamos em outros idiomas. A versão que se aplica a você é a versão no idioma em que o Serviço a exibiu. Onde essa versão e o texto em inglês divergirem, vale o significado que for melhor para você.

14. Contato

• Privacidade: privacy@worldrepublic.org
• Contato na União Europeia: Balázs Kónya, membro da diretoria, 3626 Hangony, Dózsa György út 5., Hungria (privacy@worldrepublic.org)
• Autoridade de controle principal na UE: Autoridade Nacional Húngara para a Proteção de Dados e a Liberdade de Informação (NAIH), Budapeste — naih.hu
• Autoridade de controle suíça: Comissário Federal de Proteção de Dados e Informação (FDPIC), Berna
• Autoridade de controle do Reino Unido: Information Commissioner's Office (ICO), Wilmslow — ico.org.uk