> ## Documentation Index > Fetch the complete documentation index at: https://developers.googa.com.br/llms.txt > Use this file to discover all available pages before exploring further. # LGPD — bases legais, direitos e governança de dados > Como a Lei 13.709/2018 se aplica a cada relação de tratamento da Googa — bases legais, papéis (controlador/operador), direitos do titular, retenção, DPO, RIPD e transferência internacional. Esta página cita artigos específicos da LGPD (Lei 13.709/2018) e distingue, para cada compromisso, o que já está operacionalizado (**GA**) do que é desenho proposto (**Roadmap**). Onde não temos certeza sobre um fato técnico (ex: região física de hospedagem), marcamos como ponto de atenção em vez de assumir. ## Bases legais por relação de tratamento (Art. 7º) A LGPD exige uma base legal específica por finalidade — não existe uma base legal única "da empresa". A Googa trata dados pessoais em (pelo menos) três relações diferentes, cada uma com sua própria base: **Consentimento** (Art. 7º, I) para perfil e preferências (gênero de leitura, interesses da criança, faixa etária) — coletado no cadastro, revogável a qualquer momento (ver [Direitos do titular](#direitos-do-titular-art-18) abaixo). **Execução de contrato** (Art. 7º, V) para os dados estritamente necessários a prestar o serviço assinado — progresso de leitura, status de assinatura, e-mail para autenticação. **Execução de contrato entre empresas** (Art. 7º, V) e **legítimo interesse** (Art. 7º, IX) para o repasse de billing agregado e entitlements — esta relação **não depende do consentimento individual do assinante final** para existir, porque o dado trocado entre Googa e o parceiro nesta camada é operacional (status de assinatura, contagem de exemplares ativos), não o conteúdo de leitura ou o perfil comportamental do assinante. **Consentimento parental específico e em destaque** (Art. 14, §1º) para o tratamento de dado de criança — dado por pelo menos um dos pais ou responsável legal, nunca pela própria criança. É uma relação própria, distinta da relação B2C com o adulto titular da conta, com regras, retenção e restrições reforçadas — ver [Proteção de dados de menores (ECA)](/security/child-data-eca), incluindo o gap identificado no texto de consentimento da tela de cadastro. ### Quem é controlador, quem é operador — a distinção que evita ambiguidade Este é o ponto que costuma ficar implícito (e errado) em respostas de licitação: nossa leitura é que, na relação com o assinante final da Algar, * **a Algar é a controladora** da relação com o próprio assinante — é ela que tem o contrato de telecomunicações com essa pessoa, que decide oferecer o SVA, e que responde primariamente diante do assinante por essa relação; * **a Googa atua como operadora** (Art. 5º, VII) de uma parte específica do tratamento: a entrega do conteúdo (livro, história, áudio) e a telemetria de uso desse conteúdo, processada sob instruções e finalidade definidas em contrato com a Algar. Isso significa que a Googa trata dado do assinante da Algar **em nome** da Algar, dentro do escopo contratado — não como controladora independente decidindo por conta própria o que fazer com o dado desse assinante. Onde a Googa também define finalidades próprias sobre o mesmo dado (ex: melhorar o modelo de recomendação entre produtos, cross-produto), ela atua como controladora **daquele** tratamento específico — a LGPD permite que a mesma pessoa jurídica seja operadora de um tratamento e controladora de outro, desde que a finalidade e o escopo de cada um estejam claros no contrato. Isso deve estar refletido no contrato de parceria (não só nesta documentação): quem decide o quê, sobre qual subconjunto de dado, é o que define o papel — não o rótulo que se dá à relação. ## Direitos do titular (Art. 18) | Direito (Art. 18) | Como é operacionalizado hoje | Status | | -------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------- | | Confirmação da existência de tratamento | Suporte por e-mail responde manualmente | GA (manual) | | Acesso aos dados | RPC `export_my_data()` — devolve JSON com tudo que a conta/família tem em cada tabela relevante, respeitando RLS por trás mesmo dentro da função | **GA** (NovelAI/NovelAudio e HistorinhAI) | | Correção de dados incompletos/inexatos | Editável direto no app (perfil, preferências, perfil de criança) | GA | | Anonimização, bloqueio ou eliminação de dado desnecessário/excessivo | Exclusão de conta cobre isto — ver linha abaixo. Anonimização automática de dado retido por obrigação legal é Roadmap (ver [Retenção](#retenção)) | Parcial | | Portabilidade a outro fornecedor | O JSON de `export_my_data()` é a base; formato padronizado entre fornecedores de mercado ainda não existe (nem na LGPD, nem por convenção de mercado neste setor) | GA (exportação) / Roadmap (portabilidade padronizada) | | Eliminação dos dados tratados com consentimento | RPC `delete_my_account()` — apaga a conta e cascateia a maior parte dos dados via `on delete cascade` de `auth.users`; no HistorinhAI, reatribui dados de família antes de apagar para não afetar outros membros (ver [Mapeamento de dados](/security/data-processing)) | **GA** | | Informação sobre compartilhamento (com quem, e por quê) | Documentado nesta página e em [Mapeamento de dados](/security/data-processing); não há hoje um portal de autoatendimento — é resposta manual via `privacy@googa.com.br` | Parcial | | Revogação do consentimento | Hoje via exclusão de conta ou contato manual. Um controle granular ("revogar só o consentimento de recomendação personalizada, manter a conta") é **Roadmap** | Parcial | ## Minimização e finalidade (Art. 6º) O Art. 6º exige que o tratamento seja limitado ao mínimo necessário para a finalidade informada (inciso III, minimização) e realizado para propósitos legítimos e específicos (inciso I, finalidade). O que coletamos, por produto: * **Todos os produtos**: e-mail (autenticação), status de assinatura, telemetria de uso do próprio conteúdo (progresso, capítulo aberto) — necessário para a própria mecânica do produto (desbloqueio diário, retomada de posição), não coletado "porque pode ser útil depois". * **NovelAI**: gênero de leitura preferido, histórico de escolhas de final (mecânica exclusiva desse produto — HistorinhAI e NovelAudio têm desfecho único e fixo) — usado para recomendação dentro do próprio produto. * **NovelAudio**: gênero de escuta preferido — usado para recomendação dentro do próprio produto. * **HistorinhAI**: idade e interesses da criança, desafio do mês, competências mapeadas por história (empatia, vocabulário...) — estritamente o necessário para gerar a história certa e o relatório mensal aos pais. Ver tratamento reforçado em [Proteção de dados de menores](/security/child-data-eca). Não coletamos geolocalização precisa, contatos do dispositivo, nem dado de terceiros não titulares da conta. Dado de comportamento (device, horário de sessão) descrito na proposta técnica como insumo de personalização é usado apenas em agregado para a métrica do próprio produto — não é vendido nem repassado a terceiros para fins de publicidade. ## Retenção Propomos os seguintes prazos, sujeitos a revisão à medida que o RIPD (abaixo) for formalizado: | Categoria de dado | Prazo proposto | Justificativa | | ---------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Telemetria/sessão de leitura granular (evento por evento) | 12 meses, depois agregado/anonimizado | Suficiente para o próprio produto (relatório mensal, recomendação) sem acumular histórico comportamental indefinido | | Dados de conta após cancelamento (sem exclusão explícita pelo titular) | 90 dias em estado inativo, depois anonimização das colunas identificáveis | Janela para reativação sem fricção, sem manter identidade vinculada indefinidamente | | Exclusão de conta a pedido do titular | Imediata para o que não tem obrigação legal de guarda (ver `delete_my_account()`) | Atende ao Art. 18, VI diretamente | | Dados financeiros/fiscais (nota de débito, registro de cobrança) | Prazo de guarda fiscal aplicável (mínimo 5 anos, conforme legislação tributária) | Obrigação legal (Art. 7º, II da LGPD permite tratamento para cumprimento de obrigação legal) prevalece sobre o pedido de exclusão para **esse subconjunto** de dado — o resto da conta é excluído normalmente | | Dados de criança no HistorinhAI | Ver prazo específico, mais curto, em [Proteção de dados de menores](/security/child-data-eca#retenção-mais-curta-e-específica) | Tratamento reforçado por envolver Art. 14 da LGPD e o ECA | Estes prazos são a proposta atual da Googa — ainda não estão todos automatizados (a anonimização programática após os 90 dias de conta inativa, por exemplo, é **Roadmap**; a exclusão imediata a pedido já é **GA**). ## DPO A Googa designa um Encarregado de Proteção de Dados (DPO, Art. 5º, VIII e Art. 41), conforme já indicado na proposta técnica GoogaBooks. Canal de contato: **`privacy@googa.com.br`**. É por esse canal que titulares exercem os direitos do Art. 18 hoje tratados manualmente, e por onde a ANPD ou um parceiro deve ser direcionado em caso de dúvida sobre tratamento de dados. ## RIPD — Relatório de Impacto à Proteção de Dados (Art. 5º, XVII e Art. 38 da LGPD.) O RIPD é exigido (a critério da ANPD, ou proativamente quando o tratamento envolve alto risco às liberdades civis e aos direitos fundamentais) quando o tratamento é de alto risco. Nossa avaliação: * **HistorinhAI exige RIPD.** Trata dado de criança e adolescente (Art. 14) em escala, incluindo competências comportamentais mapeadas por perfil — isso é tratamento de alto risco pela própria natureza do titular (criança) e pela granularidade do dado (relatório de desenvolvimento). * **NovelAI/NovelAudio**: risco menor (adultos, dado de preferência de leitura, sem dado sensível no sentido do Art. 5º, II) — RIPD não é obrigatório hoje, mas pode ser revisitado se a personalização evoluir para usar dado sensível (ex: inferência de orientação, saúde mental). O RIPD do HistorinhAI é um compromisso de manter **atualizado**, não um documento estático — revisado a cada mudança relevante no tratamento (novo tipo de dado coletado, nova finalidade, novo sub-processador). Hoje esse relatório formal ainda não existe como documento único — é **Roadmap** produzi-lo e mantê-lo, com o conteúdo desta página e de [Proteção de dados de menores](/security/child-data-eca) como insumo direto. ## Transferência internacional (Art. 33) **Ponto de atenção — não temos confirmação da região física de hospedagem de cada projeto Supabase.** Não vamos assumir que os dados estão em território brasileiro sem verificar isso no painel de cada projeto. Este é um item a confirmar (e, se necessário, corrigir) antes de qualquer compromisso contratual formal com um parceiro que exija dado em território nacional. Dois pontos de transferência internacional relevantes, tratados com honestidade em vez de suposição: 1. **Infraestrutura Supabase**: o Supabase oferece hospedagem em múltiplas regiões, incluindo `sa-east-1` (São Paulo). Se algum projeto Googa estiver hospedado fora do Brasil, isso é uma transferência internacional de dado pessoal sujeita ao Art. 33 — exigindo uma das hipóteses do artigo (ex: cláusulas contratuais padrão, ou garantias equivalentes fornecidas pelo Supabase como operador). Ação proposta: confirmar a região de cada projeto e, quando disponível e ainda não configurado, migrar para a região São Paulo/Brasil. 2. **Provedores de modelo de linguagem (LLM/TTS)**: a geração de conteúdo assistida por IA e a síntese de voz hoje passam por gateways de modelo de terceiros (as Edge Functions `tts` vivem nos projetos "Novel" — compartilhado por NovelAI/NovelAudio — e "HistorinhAI") cuja infraestrutura de inferência não é necessariamente brasileira. Isso é, com alta probabilidade, uma transferência internacional para o texto/áudio processado — tratada via os termos contratuais do próprio provedor de modelo. Não confirmamos se esses termos incluem cláusulas contratuais padrão equivalentes às exigidas pela LGPD; isso é **ponto de atenção**, não uma garantia que damos aqui. Onde a transferência internacional for confirmada e não puder ser evitada, o caminho correto (Art. 33, I) é cláusulas contratuais padrão ou cláusulas específicas para a transferência, aprovadas pela ANPD, ou comprovação de que o país/organização de destino oferece grau de proteção adequado — não apenas assumir que "a nuvem é global e está tudo bem".