Política de privacidade

Revisão de conformidade com a LGPD feita em 09/09/2026, afirmação por afirmação, contra o código e a saída de build. Das duas pendências que ela apontou, a do canal do titular foi resolvida no mesmo dia: há endereço de e-mail no próprio domínio. A que resta está declarada na seção Transferência internacional — escrita, e não coberta por hipótese que não se aplica.

Quem responde por esta política

O Prompt To Metal é uma publicação pessoal. O controlador dos dados, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018), é Fernando Vargas, pessoa física.

O controlador acumula a função de encarregado pelo tratamento (LGPD, art. 41): não há equipe intermediária e é ele quem recebe os pedidos dos titulares. Como agente de tratamento de pequeno porte, o site poderia deixar de indicar encarregado, desde que mantivesse canal de comunicação com o titular (Resolução CD/ANPD nº 2, de 2022); a escolha aqui foi indicar, porque a pessoa é a mesma de qualquer jeito.

O canal do titular é o endereço privacidade@prompttometal.com.br, também listado na página de contato. O que acontece com a mensagem que você enviar está descrito na seção Mensagens que você envia.

O que coletamos hoje

Nada pela navegação, e nada sem a sua escolha. O Prompt To Metal é um site estático: não há cadastro, newsletter, formulário, área logada nem comentários. Duas coisas fogem dessa regra, e cada uma tem seção própria abaixo: o que você mesmo escrever para um dos endereços do canal, e a medição de audiência, que só acontece depois de você aceitar.

Não usamos nenhum cookie. A busca do site roda dentro do seu navegador: o que você digita ali não é enviado a lugar nenhum. As fontes tipográficas são servidas pelo próprio domínio, e não por uma CDN de terceiro.

Duas informações ficam guardadas no seu dispositivo, e apenas nele: a preferência de tema e a sua escolha de privacidade. Nenhuma das duas identifica você, e nenhuma das duas é transmitida. Elas estão descritas em detalhe na política de cookies.

Também não há decisão automatizada sobre você (LGPD, art. 20): nada aqui classifica, pontua ou perfila leitor. E o site não se dirige a crianças ou adolescentes nem trata dados deles de forma diferenciada: a navegação não trata dado de ninguém, e o canal de e-mail trata apenas o de quem escreve por conta própria (LGPD, art. 14).

Como isso é garantido

Não é promessa: é verificação. Toda publicação passa por uma checagem automática que varre o HTML e o JavaScript gerados em busca de qualquer endereço de terceiro. Se um script, fonte, pixel ou rastreador for introduzido, a publicação falha antes de chegar a você — em vez de você descobrir depois.

Registros técnicos da infraestrutura

Como qualquer site na internet, o acesso passa pelo provedor que entrega as páginas. Medido em 09/09/2026, e corrigindo o que esta página dizia antes: a entrega é feita apenas pelo Firebase Hosting (Google). A Cloudflare não está no caminho das páginas — ela responde pelo DNS do domínio e pelo encaminhamento de e-mail, e o texto anterior, que a citava como provedora de entrega, estava errado.

O que registram	Para quê
Endereço IP, data e hora, agente de usuário, página solicitada e código de resposta	Operar a rede, entregar o conteúdo e proteger a infraestrutura contra abuso

Base legal: legítimo interesse (LGPD, art. 7º, IX). Esse registro é inerente a qualquer conexão HTTP, é o mínimo necessário para servir a página e não é usado para identificar leitores, montar perfil ou cruzar com qualquer outra fonte.

Esses registros ficam sob controle do provedor. Não temos acesso individualizado a eles e não os consultamos.

O DNS da Cloudflare vê a consulta de nome, feita pelo resolvedor da sua operadora ou do seu provedor — não o seu acesso à página. É o mínimo que existe em qualquer domínio da internet, e não identifica leitor.

Mensagens que você envia

Escrever para contato@prompttometal.com.br ou para privacidade@prompttometal.com.br é a única forma de este site receber dado pessoal seu de propósito. O caminho que a mensagem faz é este:

O que é tratado	Por onde passa
Seu endereço de e-mail, o assunto, o que você escrever e o que anexar	Cloudflare Email Routing, que recebe no domínio e encaminha; Google Workspace, onde a caixa é hospedada; e o controlador, que lê e responde

Nenhum dos dois provedores é usado aqui para outra coisa: não há lista de disparo, newsletter, segmentação nem envio em massa. Se isso mudar, muda antes nesta página.

Base legal. Para assunto editorial, profissional ou correção: legítimo interesse (LGPD, art. 7º, IX) — você escreveu para ser respondido. Para pedido de titular de dados: cumprimento de obrigação legal (LGPD, art. 7º, II), porque atender ao art. 18 no prazo do art. 19 não é escolha nossa.

Retenção. O pedido de titular e a resposta dada a ele ficam guardados por 5 anos, para que exista prova de que o pedido foi atendido e de que foi no prazo. As demais mensagens são apagadas quando o assunto se encerra, e no máximo em 12 meses. Você pode pedir a eliminação antes disso — e, no caso de um pedido de titular, a guarda dessa prova prevalece até o prazo acima. Isso está escrito aqui em vez de prometido ao contrário.

Não envie dado sensível. Nada aqui exige documento, dado de saúde, dado biométrico ou número de cartão. O que chegar assim é eliminado.

Com quem compartilhamos

Com os provedores nomeados acima — Firebase Hosting na entrega das páginas, Cloudflare no DNS e no encaminhamento de e-mail, Google Workspace na caixa de destino, Google Analytics na medição que você tiver aceitado — e com mais ninguém. Não vendemos, alugamos nem cedemos dados a terceiros, e não há corretor de dados, rede de anúncios ou parceiro de marketing envolvido.

Transferência internacional

Google e Cloudflare operam infraestrutura fora do Brasil. Os dados técnicos de conexão, as mensagens que você envia ao canal e a medição que você tiver aceitado são processados no exterior — o que a LGPD trata como transferência internacional (art. 33).

Estado real, sem contorno. Em 09/09/2026 o controlador aceitou os termos de processamento de dados do Google, que passam a valer para o Google Analytics, o Firebase Hosting e o Google Workspace. Isso é um contrato de operador (LGPD, art. 39) onde antes não havia nenhum, e é uma melhora concreta.

Mas não é o mesmo que dizer que o art. 33, II está satisfeito, e esta página não vai dizer isso. Faltam duas coisas, e ambas ficam escritas:

Com o Google, a conferência foi feita em 09/09/2026, e o resultado é desigual entre os três serviços. O Google publica cláusulas-padrão aprovadas pela ANPD — mas só dentro de um dos conjuntos de termos:

Serviço	Termos que valem	Cláusulas da ANPD
Google Workspace (caixa de e-mail)	Cloud Data Processing Addendum	Sim
Firebase Hosting (entrega das páginas)	Firebase Data Processing and Security Terms	Não — o texto não menciona Brasil nem LGPD
Google Analytics (medição)	Ads Data Processing Terms	Não — cita a LGPD como lei aplicável, mas não traz cláusula brasileira

As cláusulas em questão são as aprovadas pela ANPD na Resolução CD/ANPD nº 19, de 2024 — o próprio texto publicado pelo Google se declara aprovado por ela. Ou seja: o aceite feito no Analytics estabeleceu contrato de operador (art. 39), e não trouxe as cláusulas do art. 33, II para a medição nem para a entrega. Onde elas existem é no Workspace.

Com a Cloudflare: não há contrato de operador nem cláusula-padrão. Aqui ainda não estão formalizadas, sem atenuante. Medido em 09/09/2026: o contrato de autosserviço da Cloudflare só incorpora o adendo de proteção de dados quando há dado de titular europeu ou coberto pela lei californiana, e o adendo em vigor não menciona o Brasil, a LGPD nem as cláusulas da ANPD. Não é uma pendência que se resolva clicando em aceitar: não há o que aceitar.

O escopo dessa falta é menor do que parece, e vale dizer onde ele começa e termina: o que a Cloudflare processa aqui é o conteúdo das mensagens que passam pelo encaminhamento de e-mail, e as consultas de DNS. As páginas, os registros de conexão e a medição não passam por ela.

E não invocamos outra hipótese no lugar delas, porque nenhuma se aplica: não existe contrato de prestação de serviço entre você e este site, e o legítimo interesse que justifica os registros de conexão não é hipótese de transferência internacional na lei. Uma política que citasse "execução do serviço solicitado" aqui estaria inventando amparo.

Há um recorte em que a lei ampara, e ele merece ser dito com a mesma precisão: quando a mensagem é pedido de titular, o tratamento se apoia em cumprimento de obrigação legal (art. 7º, II), que é um dos incisos alcançados pelo art. 33, IX. Para todo o resto — registros de conexão e correspondência editorial — vale o parágrafo acima.

Então fica assim, por escrito: esta continua sendo a pendência mais relevante desta política, agora menor do que era. O tratamento envolvido é o mínimo inerente a entregar uma página por HTTPS, receber uma mensagem que você decidiu enviar e contar uma leitura que você autorizou; não há base de leitores no exterior e nenhum dado vai a terceiro além dos quatro provedores nomeados nesta página. A formalização das cláusulas é o trabalho em aberto, e esta seção muda quando ele fechar.

Retenção

Não guardamos base de dados de leitores. O único acervo sob nossa guarda é a correspondência do canal, com os prazos de 5 anos e 12 meses declarados em Mensagens que você envia.

Sobre os registros de conexão, a informação honesta é que não podemos declarar um prazo: quem define, aplica e encerra o ciclo é cada provedor, em documentação pública própria. O controlador não configura esse prazo, não o altera e não consulta os registros. O que está no seu dispositivo permanece até você apagá-lo.

Segurança

Todo o tráfego é servido por HTTPS. O site é estático: não há servidor de aplicação, banco de dados nem credencial de usuário para vazar, o que reduz a superfície de ataque ao conjunto de arquivos publicados.

Medição de audiência

Desde 09/09/2026 este site mede audiência com o Google Analytics 4 — e só depois de você aceitar. Recusar, ou simplesmente não decidir, mantém tudo o que está descrito abaixo sem acontecer: nenhuma requisição sai do seu navegador para o Google.

O que é enviado	O que não é
Endereço da página, sem parâmetros e sem âncora; título da página; e o que a própria conexão revela — idioma, país aproximado, tipo de dispositivo	Identificador seu, cookie, termo pesquisado no site, e-mail, nome, ou qualquer coisa que você digite

Três decisões de configuração valem mais aqui que qualquer promessa, porque estão no código e são verificáveis:

Sem armazenamento (client_storage: 'none') — a tag não grava cookie nem identificador no seu dispositivo. É isso que mantém verdadeira a frase de que este site não grava nenhum cookie. O preço é real e foi aceito: sem identificador, os números contam leituras, não pessoas, e não distinguem quem volta.
Sem sinais de anúncio (allow_google_signals: false, allow_ad_personalization_signals: false) — a medição não alimenta público de publicidade e não segue você para fora daqui.
IP truncado (anonymize_ip: true) — reduz o dado antes do registro. Isso não é anonimização no sentido do art. 5º, XI, e esta página não vai dizer que é.

O endereço da página é limpo antes de sair: mantém origem e caminho, descarta consulta e fragmento. Nada que você tenha digitado em uma URL chega ao Google.

Base legal: consentimento (LGPD, art. 7º, I). A primeira instrução que a tag recebe é uma negativa, e a liberação é uma instrução separada — não existe janela em que ela esteja carregada e livre. Revogar tem o mesmo esforço do aceite, pelo rodapé, e a tag é removida.

Retenção: 2 meses na propriedade do Google, o mínimo que a ferramenta oferece, sem reinício do prazo a cada novo evento.

Operador: Google. O processamento é fora do Brasil, e vale o que está na seção Transferência internacional.

O build separa esse trecho de propósito: ele fica confinado a um módulo, nunca no HTML servido a quem não decidiu, e a publicação falha se a origem aparecer em qualquer outro lugar. Ligar exige um commit revisável, e antes dele esta página e a política de cookies passam a descrever exatamente o que muda — inclusive o fato de que o AdSense, ao contrário da medição, grava cookie.

Seus direitos

A LGPD garante ao titular, no art. 18, os direitos de confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento.

Como não mantemos base de dados de leitores, na prática:

não há registro pessoal sob nosso controle para consultar, corrigir, portar ou excluir — a exceção é a correspondência que você mesmo enviou, que existe, é sua, e você pode pedir para ver ou apagar;
o que está no seu dispositivo você elimina sozinho, a qualquer momento, sem precisar pedir — pelo controle de privacidade do site ou pelas configurações do navegador;
a revogação da escolha de privacidade é permanente e tem o mesmo esforço do aceite.

Prazo. Pedido de titular é respondido nos prazos do art. 19 da LGPD: de forma simplificada, imediatamente; ou por declaração completa, em até 15 dias do requerimento. Esse prazo vale para assunto de privacidade — o restante da correspondência do site não tem prazo prometido, e a página de contato diz isso.

Canal. O pedido vai para privacidade@prompttometal.com.br. Até 09/09/2026 o único canal era o perfil do controlador em rede social, o que obrigava quem quisesse exercer um direito legal a manter conta em plataforma de terceiro; o endereço no próprio domínio existe para tirar esse obstáculo do caminho. Quem preferir a rede social continua atendido por lá.

Você também pode dirigir reclamação diretamente à Autoridade Nacional de Proteção de Dados (ANPD), sem passar por nós.

Alterações

Mudanças materiais nesta política alteram a data de revisão exibida acima. A página descreve sempre o comportamento vigente do site, nunca uma intenção futura apresentada como prática atual.