Privacidade

Quem responde por isto

OpenWings Automação Comercial Ltda. (CNPJ 63.852.648/0001-06), com sede na Rua Padre João Wislinski, 441, Santa Cândida, Curitiba – PR, CEP 82630-494, é o controlador dos dados descritos aqui. O encarregado pelo tratamento de dados pessoais é Gustavo Salomé Silva. Para dúvidas, pedidos de acesso ou exclusão, escreva para privacy@scrapa.app. Respondemos em até quinze dias.

Quando você usa a API para buscar páginas, somos operador do que estiver nelas. O que você coleta e se você pode coletar é decisão sua e responsabilidade sua.

O que guardamos sobre você

Sua conta: o e-mail com que você se cadastrou, e o identificador do Google ou do GitHub se você entrou por lá. Nesse caso nunca vemos nem guardamos senha.

Suas chaves: um hash SHA-256 de cada chave e os primeiros caracteres dela, para que a chave possa ser reconhecida e revogada mas nunca lida de novo, nem por nós.

Seu consumo: por requisição, o horário, qual operação rodou, qual engine respondeu, os créditos cobrados e o host do alvo. As faturas vêm do Stripe, que guarda os dados do seu cartão; nós nunca recebemos um número de cartão.

As páginas que a gente lê para você

Uma página que a gente lê para você só fica guardada quando você pede, e só para a sua conta. Uma chamada com maxAge pode ser respondida com uma cópia lida até uma hora antes, e o resultado de um lote fica disponível por 24 horas depois que você envia o lote. A página nunca é compartilhada com outra conta, nunca é vendida e nunca é usada para treinar nada. Quanto tempo cada cópia dura, backups incluídos, está em Por quanto tempo, logo abaixo.

Screenshots e PDFs que a gente gera de uma página nunca ficam guardados, nem um arquivo pedido em raw. Eles voltam dentro da resposta e são descartados.

O que vive dentro de uma sessão de navegador também nunca fica guardado. Cookies, o que você digitou e tudo mais que está nela morrem junto com o processo do navegador quando a sessão fecha ou expira.

Entrar com Google ou GitHub

Você entra com o Google ou com o GitHub. Deles recebemos apenas o que a tela de permissão mostra: seu nome, seu endereço de e-mail e a foto do seu perfil. Usamos isso para criar a sua conta, reconhecer você quando volta e falar com você sobre as suas chaves e a sua cobrança.

Não pedimos mais nada. Nem seu Gmail, nem seu Drive, nem sua agenda, nem seus contatos, nem seus repositórios. Não vendemos o que eles nos dão, não usamos para publicidade e não treinamos nada com isso.

Para desconectar o Google ou o GitHub, remova o scrapa em myaccount.google.com/permissions ou github.com/settings/applications. Isso encerra esse meio de acesso, mas não apaga sua conta no scrapa. Para pedir a exclusão, escreva para privacy@scrapa.app.

O uso e a transferência, pelo scrapa, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, inclusive os requisitos de Uso Limitado: “scrapa’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.”

E-mails que enviamos

Sobre a sua conta: confirmar o seu endereço, entrar, definir uma senha nova, confirmar um endereço novo e um código quando precisamos checar que ainda é você. Também escrevemos sobre as suas chaves, a sua cobrança e mudanças relevantes nestes documentos. Eles fazem parte do serviço, então não dá para desligar enquanto a conta existir.

Novidades e dicas: hoje não enviamos nenhuma. Se a gente começar, só recebe quem deixou a caixa marcada no cadastro, e todo e-mail vai ter um link para cancelar.

Com que base

Para executar o serviço que você contratou e cobrar por ele, o que é execução de contrato. Para manter o serviço seguro e fazer valer a política de uso aceitável, o que é legítimo interesse e é a razão do registro de rede abaixo existir. E para cumprir obrigações contábeis e fiscais, o que é dever legal.

Não vendemos dados pessoais, não compartilhamos para publicidade, e não tomamos decisões automatizadas com efeito jurídico sobre você.

Por quanto tempo

Páginas que a gente lê para você: a cópia guardada para o maxAge dura no máximo uma hora. O resultado de um lote fica disponível por 24 horas depois que você envia o lote e é apagado nos 15 minutos seguintes. Um lote que ainda está rodando nas 24 horas para ali, e uma página que ele já estava lendo é apagada em até 15 minutos.

Resultados de busca: 10 minutos. Eles são compartilhados entre contas que fazem a mesma pergunta e guardam só os links e os trechos que o buscador devolveu, nada sobre quem perguntou.

Backups noturnos do banco de dados e da fila: 30 dias, e depois são apagados. Até lá, um backup ainda guarda os resultados de lotes e de buscas que estavam lá na noite em que foi feito.

Totais diários de uso por chave: 400 dias. Eles registram contagens e créditos, não o conteúdo das páginas. O registro de rede por requisição guarda os hosts de destino e o volume de dados por 30 dias. A limpeza noturna remove os registros após cada prazo.

Os logs de acesso à API podem conter caminhos e parâmetros da URL. Guardamos esses logs por 180 dias e depois os apagamos. Os logs da aplicação trocam de arquivo todo dia ou ao atingir 50 MB e mantêm 30 arquivos antigos. O arquivo atual não tem prazo fixo.

Sua conta e os registros das chaves de API: ficam enquanto a conta existir. Revogar uma chave encerra o acesso, mas mantém o registro. A exclusão da conta é feita mediante pedido a privacy@scrapa.app, não por um prazo automático. Notas fiscais ficam pelo prazo que a legislação exige.

Quem mais encosta nisso

O Stripe processa os pagamentos e guarda os dados do seu cartão. A Cloudflare serve este site, termina o TLS e guarda os nossos backups noturnos. O Amazon SES, serviço de e-mail da Amazon Web Services, entrega os e-mails descritos acima a partir dos Estados Unidos (região us-east-1 da AWS) e enxerga o seu endereço e o que cada um diz. A AWS pode guardar e analisar cada e-mail para barrar spam e vírus. Se um e-mail para você voltar de vez, ou se você marcar um como spam, o Amazon SES para de enviar para o seu endereço até que a gente o tire da lista. O nosso fornecedor de proxy residencial carrega as requisições que você faz pelo pool gerenciado e enxerga os hosts de destino, não a sua identidade.

Algumas requisições saem pela máquina de outra empresa. Quando um site barra o nosso próprio navegador, um fornecedor de renderização pode buscar aquela página por nós; uma busca na web vai para um índice que não é nosso; e um parágrafo escrito é montado por um fornecedor de modelo em cima desses resultados. Cada um deles enxerga o endereço ou a consulta e nada sobre você: nem conta, nem chave, nem cartão. É só pedir que a gente diz quais são.

Todo o resto (o banco, a fila, os navegadores) roda em hardware que operamos em São Paulo. Se você está na União Europeia, isso é uma transferência para fora dela, coberta pelas cláusulas contratuais padrão.

Seus direitos

Você pode pedir uma cópia dos seus dados, corrigir, excluir, restringir ou se opor a um uso, ou levar tudo embora em formato portável. A maior parte já sai do console; para o resto, escreva para privacy@scrapa.app.

Se achar que erramos, você pode reclamar à ANPD, ou à autoridade do seu país na União Europeia e no Reino Unido. Preferimos que fale com a gente antes.

Este site

O site de marketing não usa cookie de publicidade nem de analytics. A sua escolha de idioma fica no armazenamento local do navegador para o site abrir nele da próxima vez; o console guarda ali também o token de sessão, que é o que mantém você logado. O console também guarda o e-mail que você digita numa tela de login, só neste navegador e por até 30 minutos, para a próxima tela de login já vir com ele preenchido. Quando você entra, ele é apagado.

Podemos atualizar este aviso. Mudança relevante é comunicada por e-mail no endereço da sua conta antes de valer.

Conexão com apps de IA

Ao conectar um app de IA por MCP, o protocolo que permite ao agente chamar as ferramentas do scrapa, recebemos os nomes das ferramentas e os dados que o app envia. Isso pode incluir URLs, buscas, instruções de leitura, cabeçalhos e corpos de requisição. Devolvemos os resultados pedidos e os dados de uso ao app. Não recebemos sua conversa inteira, a menos que o app a inclua nos dados de uma chamada.

A conexão cria uma chave de API com nome na conta que você autorizar. O app pode usar os créditos dessa conta e gerenciar seus lotes e sessões de navegador. Ele não pode comprar créditos nem mudar o plano. Para impedir novas chamadas, revogue a chave na página Chaves do console. Desconectar pelo app de IA nem sempre revoga essa chave.

Guardamos apenas hashes, códigos que não revelam o valor original, dos códigos de autorização, códigos de dispositivo e chaves de API. O código de autorização expira em 5 minutos; o de dispositivo, em 10 minutos. Uma tarefa noturna apaga os registros de acesso expirados há mais de um dia. O hash e o registro da chave de API ficam com a conta, mesmo após a revogação. O cadastro de um app é assinado, sem um registro separado no banco de dados.

Os prazos acima também valem para chamadas feitas por apps de IA, inclusive logs e backups. Revogar uma chave não apaga resultados já entregues ao app. O app de IA guarda e usa esses resultados conforme a própria política de privacidade. O scrapa não usa seus dados de entrada nem os resultados para treinar modelos de IA. Para pedir acesso ou exclusão dos seus dados, escreva para privacy@scrapa.app.