Resumo: seu conteúdo privado continua privado. O site usa medição agregada própria e limitada para visitas, campanhas aprovadas e ações de download, sem cookie analítico ou identificador de dispositivo. O app desktop só envia métricas do produto se você mesmo ligar, nas configurações Meus interesses e privacidade do aplicativo. Até você ligar — e em qualquer versão sem essa chave — não envia nada. Desligar apaga os contadores e a fila guardados neste PC. Pesquisa comunitária não existe. Recursos conectados descritos como futuros estão desligados e só poderão ser ativados com explicação e escolha próprias. Aceitar os Termos não é consentimento para eles.
A Uppercut Studio Ltda, estúdio independente brasileiro inscrito no CNPJ 44.993.043/0001-90, com sede na R. Benedito Alvarenga Carvalho, 91, São José dos Campos, SP, CEP 12246-120, é a controladora dos serviços WinTinyBar descritos aqui. Para privacidade, direitos ou dúvidas: wintinybar@uppercut.studio.
Esse endereço é o canal oficial de comunicação para solicitações de proteção de dados previsto na LGPD (Lei 13.709/2018) e, quando aplicável, no GDPR. O recebimento de cada solicitação é confirmado.
A página envia um evento próprio site_visit com categoria fechada
de campanha e região de duas letras inferida do idioma do navegador (ou
ZZ). Separadamente, o redirecionamento de download conta o
clique/redirecionamento e um país aproximado inferido de cabeçalhos confiáveis
da hospedagem quando disponíveis, ou de Accept-Language. Esse
clique não prova que o navegador concluiu o download nem que o WinTinyBar foi
instalado. Campanhas desconhecidas viram unknown; texto livre de
URL não entra em analytics. Não usamos cookie analítico, fingerprinting ou ID
de dispositivo e não vendemos esses contadores.
Se você enviar o formulário de suporte, guardamos os campos preenchidos — tipo, impacto, título, descrição, versões informadas e nome/e-mail opcionais — mais metadados fixos de roteamento e auditoria: horários de consentimento, envio e atualização, status, sinal de spam e, após revisão, revisor/horário. Não anexamos automaticamente notas, ditado, arquivos, logs, clipboard ou ID de dispositivo. O relato fica em Google Firestore restrito e notificações não spam e respostas passam por Google Workspace/Gmail. Logs de infraestrutura podem conter metadados normais da requisição; quando configurado, o Google reCAPTCHA também pode processar sinais de rede/navegador contra abuso. Somente pessoas autorizadas fazem a triagem.
Configurações, notas, desenhos e logs ficam em
%LOCALAPPDATA%\WinTinyBar. Modelos ficam em
%LOCALAPPDATA%\WinTinyBar\ai\models. Notas e configurações comuns
podem ser arquivos locais legíveis. Interesses manuais e dados potencialmente
sensíveis criados pela ferramenta opcional legada Break Room (altura, peso,
escolhas de gravidez/amamentação, meta e
histórico de água e histórico de pausas) vivem em cofres DPAPI separados do
usuário atual do Windows. Eles falham fechados, sem fallback em texto simples.
O cofre de Persona/dicionário pessoal é infraestrutura local em preparação e
ainda não está conectado ao uso normal do app.
Interesses são IDs fixos escolhidos e editáveis por você. Uma sugestão futura poderá guardar somente metadados limitados: tag fixa, estado, força, contagem limitada de sessões e primeiro/último dia. Não guarda frase, áudio, seleção, tradução, palavra-chave, embedding ou documento que tenha originado a sugestão. Esses cofres não têm integração com rede ou telemetria. Apagar a pasta local remove os dados locais, modelos e caches, mas não apaga uma mensagem que você enviou, registro obrigatório de compra, logs normais de infraestrutura ou agregado já aceito após escolha separada.
Ferramentas atuais acessam recursos públicos apenas quando usadas. Como toda conexão web, o provedor recebe IP, horário, user agent e caminho solicitado. Seu trabalho privado não é colocado nessas requisições:
Tags manuais são locais. Um futuro controle Aprender com traduções poderá executar um classificador assinado no PC após tradução bem-sucedida. Material sensível, incerto ou de baixa confiança não gera sugestão. Uma tag só vira preferência permanente depois da sua aprovação; a observação é descartada.
Fresh Picks solicitará um único catálogo multilíngue, limitado e assinado em uma URL fixa. Toda instalação recebe o mesmo catálogo; a requisição não leva interesse, idioma, conta, cookie, ID de instalação ou item. O ranking acontece neste PC. Abrir um resultado visita o publicador no navegador. O WinTinyBar não envia beacon de clique, tag, salvar, ocultar ou “mais como este”.
Métricas do produto existem nesta versão como escolha própria, e essa escolha vem desligada. Nada é contado e nada é enviado até você ligar em Meus interesses e privacidade, e o app confere esse consentimento contra o schema do pacote a cada início — um arquivo de configuração editado à mão não abre o transporte sozinho. O que pode viajar é um vocabulário fechado de contadores pequenos: ferramenta iniciada, concluída ou com erro, mais a versão do app e se este é Windows 10 ou 11. Texto, áudio, interesse, valor de bem-estar, clipboard, arquivo, título de janela e erro livre são rejeitados: o pacote de schema 2 não tem conta, ID de instalação/dispositivo, UUID persistente, horário exato, texto nem tema que pudesse carregá-los. Cada lote cifrado de reenvio recebe um recibo aleatório diferente e de uso único, repetido somente com aquele lote imutável e apagado localmente após aceitação, de modo que dois envios do mesmo PC não podem ser ligados um ao outro.
O seu endereço IP é o único item que essa lista não cobre, e é
justo você saber disso por nós, e não por dedução. O app envia o lote direto para
uppercut.studio, então — exatamente como em qualquer outra requisição
web — o servidor que recebe vê o seu IP e o horário do envio. Isso viaja no
transporte, não no relatório, e é por isso que a frase acima não alcança esse caso.
Não estamos dizendo que esse endereço é descartado: isso seria uma afirmação sobre
o receptor, e não publicamos afirmação que não verificamos.
Desligar a escolha interrompe envios ainda não emitidos e apaga a fila local cifrada sem esperar pela rede. No máximo um lote já reivindicado pelo processo em segundo plano poderá terminar em trânsito; ele não poderá recriar a fila apagada nem iniciar outro lote. Como não existe conta, ID de instalação nem ID de aparelho, não há nada no servidor para procurar e apagar depois — o que dá para apagar é a cópia no seu PC, e desligar apaga essa cópia.
Pesquisa comunitária, se lançada, terá consentimento, rota, coleção, acesso e painel próprios. Enquanto o estado local permanecer intacto, o PC tentará no máximo uma contribuição por período de 30 dias. Ele poderá mapear uma tag aprovada e não sensível para uma de cinco categorias e aleatorizá-la localmente com randomized response de epsilon 1. O corpo contém schema, mecanismo, epsilon, categoria aleatorizada e um recibo aleatório de uso único contra repetição. Não terá tag local, frase, áudio, tradução, dicionário, idioma, país, versão, ID persistente de dispositivo/instalação ou conta. Apagar o estado local ou reinstalar pode reiniciar a trava do período; o lançamento exige que o servidor consuma o recibo uma vez e o descarte sob limite fixo publicado. Chamamos isso de corpo aleatorizado localmente, sem identificador persistente de usuário — não de conexão anônima, pois Firebase/Google ainda processa metadados normais. Recusar não altera recursos nem conteúdo.
| Camada | Dado e finalidade | Destino / retenção | Controle |
|---|---|---|---|
| Persona e interesses | Idiomas/estilo/dicionário em preparação e tags fixas aprovadas atuais para assistência local | Protegidos por DPAPI neste PC até você apagar; integração normal da Persona ainda não está ativa | Editar ou apagar tags manuais; o cofre de Persona em preparação suporta exportação local escolhida pelo usuário antes da integração normal; não exige pesquisa |
| Dados opcionais legados de bem-estar | Dados do planejamento de água e histórico diário local de água/pausas | Cofre DPAPI separado neste PC até resetar ou apagar; não é importado pela telemetria | Editar/resetar no app ou apagar dados locais |
| Catálogo comum | Sem perfil no corpo; mesmo catálogo para informação atualizada | Não solicitado pela 1.16.0-beta. Antes do lançamento: entrega pública Uppercut/Firebase, validade assinada do cache local e limite de logs configurado e publicado | Ligar/desligar e limpar cache; ranking local |
| Métricas do produto | Contadores fixos para confiabilidade e roadmap | Desligadas até você ligar. Enviadas para o endpoint do
WinTinyBar em uppercut.studio, que — como qualquer servidor web — vê o
IP e o horário da própria requisição. Retenção publicada, que esta
linha exigia antes do lançamento: o seu PC tenta reenviar um lote por no máximo
14 dias e descarta a fila aos 21; o servidor guarda um
recibo por 45 dias só para reconhecer um reenvio, e totais diários por
400. Sem linhas detalhadas eternas. Não existe conta, ID de instalação nem
ID de aparelho, então nada no servidor pode ser ligado a você e apagado a pedido —
desligar apaga tudo o que dá para apagar, que é a cópia no seu PC | Opt-in separado, ver pacote, desligar e esquecer fila local |
| Pesquisa comunitária | Uma categoria ampla aleatorizada para estimar prioridades coletivas | Não coletada na 1.16.0-beta. O lançamento exige coleção separada, consumo de recibo de uso único e prazo fixo de retenção configurado e publicado | Opt-in separado e sem efeito no benefício; desligar e esquecer marcador |
| Site | Visita e clique no redirecionamento de download são contadores separados; campanha aprovada e região/país aproximados. Não são contagens de instalação | Agregados diários Uppercut/Firebase e logs normais do provedor. Um prazo fixo de eliminação ainda não foi configurado e publicado; não prometemos 13 meses/30 dias antes disso | Sem cookie analítico ou ID de dispositivo |
| Suporte/comércio | Campos enviados, metadados fixos de fluxo/auditoria, resposta, compra e reembolso | Google Firestore/Workspace e sistemas de pagamento restritos. Até a adoção de prazo fixo para suporte, guardamos pelo tempo necessário à triagem/resposta e às necessidades operacionais ou legais aplicáveis | Acesso, correção e eliminação, salvo guarda obrigatória |
Firebase, Google Cloud e Google Workspace atuam como provedores e podem processar metadados de conexão e dados de serviço fora do Brasil. Usamos os recursos de criptografia e controle de acesso disponibilizados pelos provedores. Criptografia não faz metadados desaparecerem e não substitui deveres da LGPD. As métricas do produto só trafegam por essa infraestrutura depois de você ligar, e os metadados dessa requisição — o seu IP e o horário — são processados ali como em qualquer outra requisição web. A pesquisa comunitária e o catálogo comum continuam desligados até documentarmos e configurarmos acesso separado, retenção fixa e o mecanismo de transferência internacional/termos de provedor aplicável.
Ao escrever ou comprar algo opcional, vemos os dados necessários para responder, entregar, cobrar ou reembolsar. Não mandamos newsletter sem pedido e não vendemos endereços. Eles só são divulgados aos provedores necessários para suporte/comércio ou quando a lei exigir. Suporte e comércio não são usados para formar Persona, pesquisa ou métricas do produto.
Você pode pedir confirmação, acesso, correção, informação sobre uso e compartilhamento, portabilidade quando aplicável, anonimização/bloqueio/eliminação, oposição quando cabível, revogação de consentimento sem afetar o tratamento anteriormente válido e revisão, quando aplicável, de decisão baseada unicamente em tratamento automatizado. Você também pode peticionar perante a ANPD ou outra autoridade competente. Alguns pedidos estão sujeitos a confirmação de identidade, exceções legais e guarda obrigatória; explicaremos se não pudermos atender. Escreva para wintinybar@uppercut.studio. Responderemos e, quando necessário, confirmaremos sua identidade sem pedir dados excessivos.
O WinTinyBar é uma ferramenta geral que pode ser usada por crianças e adolescentes. Perfilamento conectado e pesquisa comunitária permanecem indisponíveis para usuários que saibamos ser menores; o lançamento inicial da pesquisa será somente para adultos. Antes de qualquer modo infantil/juvenil ou recurso conectado dirigido a menores, devemos concluir avaliação de risco apropriada à idade e implementar as configurações mais protetivas e salvaguardas exigidas pela lei aplicável. O perfil local de um menor não pode escolher publicidade ou oferta paga.
Mudança material de taxonomia, finalidade, frequência, orçamento de privacidade ou payload exige nova explicação e, quando a base for consentimento, uma nova escolha. Recursos preparados ficam desligados até interface, contrato de servidor, retenção e textos públicos saírem juntos.