Segurança

Última atualização: 6 de outubro de 2026

Esta página explica onde seus arquivos são processados e como relatar um problema de segurança. Ela descreve nossas medidas de segurança e os limites das avaliações realizadas.

1. Quem fornece o serviço

O PageJoy opera pagejoy.app. Entre em contato com o suporte em support@pagejoy.app.

2. Arquivos processados no nosso site

Quando você usa nosso site, PDFs e fotos são processados no seu próprio navegador. Eles não são enviados para nós para processamento. Não usamos IA para processar arquivos no site. Não treinamos nenhuma IA com arquivos de clientes.

Para a contagem grátis e a vinculação de códigos, o site usa cookies de identidade anônima do navegador; também usa cookies para a sessão da conta e o estado breve de retorno do login do fornecedor. Seus nomes, finalidades e prazos estão no Aviso de cookies e armazenamento do navegador. Nosso serviço de login não coloca tokens de conta, códigos, chaves do autenticador, códigos de recuperação ou nomes de arquivos no localStorage, sessionStorage ou IndexedDB. Os detalhes do Templates salvos no modo Personal enquanto você não está conectado ficam no navegador. O armazenamento do navegador faz parte do dispositivo que você usa. Pessoas com acesso a esse perfil de navegador podem conseguir acessar informações salvas ali. Você pode apagá-las pelas configurações do navegador, mas isso pode remover seu trabalho salvo ou informações de login.

Mantenha seu arquivo original e confira o resultado antes de usá-lo. Em especial, verifique se um arquivo com ocultações não revela as informações que você pretendia remover e confira o texto produzido a partir de uma digitalização. A proteção por senha e a ocultação atuam no arquivo que você escolhe. Elas não alteram cópias mantidas em outros lugares.

3. Arquivos processados pelo ChatGPT e pelo Claude

No ChatGPT, você escolhe arquivos de entrada de PDF e Photo dentro do nosso próprio painel PageJoy e o trabalho é executado no seu dispositivo. Nossas ferramentas não leem arquivos anexados ao chat do ChatGPT nem enviam os arquivos de entrada selecionados ao nosso servidor de processamento. A entrega dos resultados, incluindo a cópia bloqueada do resultado do ChatGPT, é descrita no Aviso de privacidade do plugin.

O Claude seleciona arquivos apenas dentro do nosso próprio painel PageJoy. Suas ferramentas nunca leem, recuperam ou extraem arquivos enviados ao chat do Claude. Os arquivos escolhidos no painel são processados no seu dispositivo, e o resultado é um download no navegador. Não devolvemos automaticamente o conteúdo dos arquivos ao Claude nem enviamos esses arquivos do painel a outro destinatário. Uma operação de processamento no servidor autorizada separadamente segue suas próprias regras informadas de tratamento e exclusão de arquivos.

O tratamento da plataforma para seus chats e qualquer arquivo ou resultado que receba segue seus termos e informações de privacidade separados. Uma seleção no painel não estabelece por si só que a Anthropic recebe o arquivo.

Para mais informações, leia o Aviso de privacidade do plugin para ChatGPT e Claude. Não trate a exclusão do nosso servidor como exclusão da OpenAI, Anthropic ou do seu dispositivo.

4. Contas, informações salvas e pagamentos

O primeiro download grátis do site não exige conta. A partir do segundo download grátis, você confirma um e-mail na mesma página, o que cria uma conta grátis e transfere sua contagem do navegador. O ChatGPT e o Claude exigem uma conta grátis antes do primeiro uso. Uma conta grátis não autoriza cobranças. O login está disponível por endereço de e-mail e senha, código de uso único enviado por e-mail, Google ou Microsoft, usando Supabase Auth e nosso intermediário de segurança. As senhas devem ter pelo menos 8 caracteres. O Cloudflare Turnstile verifica solicitações protegidas em busca de bots. Os fornecedores reais, regiões de implantação e funções estão registrados em nossa Lista de Prestadores de serviços. O registro de retransmissão privada da Apple permite a entrega a um endereço de retransmissão; ele não autoriza identificar o endereço por trás dele.

Em espaços Business grátis ou pagos, os dados da conta e os documentos Templates salvos, detalhes da empresa, clientes, itens e logos são armazenados em nosso banco de dados Supabase. As contas pessoais mantêm os detalhes salvos do Templates no próprio dispositivo. Peça ao suporte informações sobre a localização relevante para sua conta. Nossa lista de Fornecedores de serviços explica as funções dos fornecedores.

Os planos pagos usam Stripe Managed Payments. A Stripe atua como comerciante registrado e trata do imposto sobre vendas e do IVA. Leia os Termos de assinatura e reembolso para as condições de compra e cancelamento. Stripe e Link têm seus próprios termos de pagamento e privacidade.

5. Nossas medidas de segurança

Verificamos sessões em solicitações protegidas ao servidor, usamos códigos de e-mail de uso único, oferecemos login opcional com autenticador, criptografamos registros privados de segurança da conta e aplicamos funções do espaço de trabalho e limites de solicitações no servidor. Não alegamos uma certificação independente de segurança ou uma avaliação independente completa de segurança. As verificações de autenticação e do espaço de trabalho não estabelecem que o serviço completo está livre de riscos de segurança.

5.1 Login e segurança privada da conta

Os códigos de login por e-mail duram 10 minutos, funcionam uma única vez e bloqueiam após cinco tentativas erradas. Reenviar invalida o código anterior. O servidor mantém um hash com chave do código, sua finalidade, expiração, contagem de tentativas erradas e vinculação ao navegador ou sessão. Alterações sensíveis da conta exigem comprovação recente dentro de 5 minutos.

O navegador mantém um cookie de sessão HttpOnly opaco, válido por no máximo 30 dias, com SameSite=Lax e Secure em HTTPS. As sessões HTTPS usam o cookie __Host-session. O intermediário verifica o registro do servidor em cada solicitação protegida, então a revogação tem efeito imediato mesmo se um cookie antigo permanecer no navegador. Os tokens de acesso e atualização do fornecedor e o estado de retorno ficam no estado privado criptografado do servidor.

O login em 2 etapas com autenticador é opcional e desativado por padrão. A configuração expira após 10 minutos e deve ser confirmada antes de ativar o fator. Armazenamos a chave do autenticador criptografada porque ela é necessária para verificar códigos, o último intervalo de tempo aceito para impedir reutilização e hashes com chave de 10 códigos de recuperação de uso único. Um hash de recuperação usado é removido. Desativar o fator remove sua chave ativa e os hashes de recuperação não usados. Uma sessão recém-conectada não pode ler dados protegidos da conta até que a segunda etapa ativada seja concluída com sucesso. Essas verificações se aplicam antes de permitir acesso protegido à conta.

A atividade de segurança da conta é privada para essa conta. Seu registro contém um identificador de conta e evento, tipo fixo de evento e horário. Os eventos incluem logins, falhas ou bloqueios de contas conhecidas, mudanças de método e segunda etapa, convites, revogação de sessão ou conexão e solicitações de exclusão. Ela é separada do histórico de atividade do espaço de trabalho Business do cliente. As linhas de dispositivos mostram o tipo de dispositivo e o horário da última atividade. Não usamos consulta de localização aproximada para dispositivos.

Os e-mails de segurança e verificação usam o endereço do destinatário, o tipo e horário da mensagem e o código, link de convite ou informações limitadas do dispositivo necessários para essa mensagem. Os alertas cobrem novo dispositivo, método de login adicionado ou removido, login em 2 etapas ativado ou desativado, e-mail alterado e exclusão solicitada ou cancelada. Nenhum código, token, chave, código de recuperação, identificador bruto do ChatGPT, atividade de conta vinculada ao usuário ou nome de arquivo deve estar em análises ou relatórios de erros. Os registros de diagnóstico contêm apenas nomes fixos de eventos e números de status.

5.2 Verificações de bots, contagem pseudônima e janelas de frequência

O Cloudflare Turnstile recebe dados do navegador e de desafios e, na verificação de produção, o endereço de rede. Uma verificação de bots de terceiros envolve dados. Suas funções, localizações e contratos aplicáveis de fornecedor estão na lista de Fornecedores de serviços. O Aviso de cookies e armazenamento do navegador explica seu acesso ao dispositivo.

A contagem mensal de uso grátis, tanto no ChatGPT quanto no Claude, está vinculada à sua conta grátis do PageJoy. Armazenamos uma identidade de conta com chave, a associação entre ferramenta e mês UTC, identificadores de resultados concluídos para evitar contagens duplicadas e reservas pendentes. Tratamos esses dados como informações pessoais pseudônimas. Nenhum identificador de cota anônima do ChatGPT ou permissão anônima do ChatGPT é usado. Esses registros aplicam a franquia de 3 usos concluídos por ferramenta por mês e são separados das cópias de arquivos. Trabalhos que falharam não consomem outra franquia grátis. A identidade da conta não concede acesso a um espaço de trabalho do cliente.

Aplicamos estes limites móveis. Os limites podem operar juntos, então passar por um não contorna outro.

Os identificadores de rede e as chaves de limites de solicitações são derivados com uma chave mantida no servidor. Os horários das solicitações continuam sendo dados privados de segurança. Não usamos consulta de localização aproximada para dispositivos.

Os códigos de autorização do plugin conectado são válidos por 60 segundos e funcionam uma única vez. Os tokens de acesso opacos duram 5 minutos. As concessões de atualização são rotacionadas e têm validade máxima de 30 dias, salvo revogação anterior. Uma conexão revogada é recusada na próxima solicitação. Cada ferramenta real também deve verificar a função, aprovação e direito de acesso para a operação.

As janelas de solicitações e os prazos de expiração regem o acesso, e não quando cada registro é apagado. Horários fora da janela aplicável são removidos quando uma chave é usada novamente; chaves inativas com hash não expiram automaticamente. Os registros de desafios, sessões e conexões vinculados à conta são removidos na eliminação da conta. A atividade privada da conta permanece durante a existência da conta. Os fatores ativos criptografados do autenticador permanecem até serem desativados ou a conta ser eliminada, e hashes de recuperação usados são removidos imediatamente. Um registro de configuração expirado não é necessariamente apagado ao mesmo tempo. Mensagens entregues saem da fila de entrega, mensagens pendentes da conta são removidas na eliminação, e cópias mantidas por nosso serviço de e-mail permanecem até seu operador excluí-las. O Aviso de privacidade explica esses períodos e seus direitos de solicitação.

5.3 Exclusão da conta

A exclusão da conta exige um código de e-mail novo e separado e define um prazo de 7 dias. Você pode cancelar em Configurações da conta antes desse prazo. A solicitação revoga outras sessões de navegador e concessões de chats conectados; a sessão atual permanece disponível para revisar ou cancelar a solicitação. O cancelamento não restaura sessões ou conexões revogadas. Outro acesso ao produto nesse período segue que a sessão solicitante pode usar Configurações da conta e seu acesso autorizado existente ao produto antes do prazo; outras sessões e concessões de chat são revogadas. Todo acesso comum à conta termina no prazo.

Após o prazo, a eliminação deve ser concluída na próxima limpeza bem-sucedida da conta depois da janela de cancelamento de sete dias. Não há um prazo máximo fixo entre o prazo e a limpeza concluída. Ela remove o perfil de conta da pessoa, fatores, sessões, concessões, atividade privada da conta, desafios, convites, avisos pendentes, uso vinculado à conta e dados do produto dentro do escopo aprovado. Os registros Business compartilhados seguem as instruções do cliente empresarial e o DPA. A exclusão da conta não identifica automaticamente a cota de navegador não vinculada ou os registros com hash de frequência de rede; programações separadas devem eliminá-los.

Os documentos e a atividade compartilhados permanecem até o fechamento do espaço de trabalho, com os identificadores de ex-membros minimizados. As chaves inativas com hash de limites de solicitações seguem suas regras próprias de retenção. Os recibos pessoais e registros de segurança da conta são removidos na eliminação da conta. Apenas uma finalidade legal específica e seu período aplicável podem justificar manter outros registros; isso não permite manter credenciais ativas ou todo o histórico de segurança para uso comum. Não fazemos backups gerenciados pela empresa. As exportações baixadas permanecem no dispositivo até serem removidas, e a exclusão da conta não pode recolher essas cópias. Dados excluídos não devem ser restaurados para uso ativo.

O GDPR do Reino Unido exige medidas de segurança adequadas ao risco sob os artigos 5(1)(f) e 32. Isso é uma obrigação legal, e não uma declaração de que um controle específico foi implementado. Veja as Orientações do ICO sobre segurança de dados.

6. Relatar um problema de segurança

Envie uma possível vulnerabilidade ou incidente de segurança a security@pagejoy.app. Se esse endereço estiver indisponível, entre em contato com support@pagejoy.app e diga que a mensagem é sobre segurança.

Inclua a página ou o plugin afetado, uma breve descrição, o horário em que percebeu e passos seguros para reproduzir. Use uma conta e arquivos de teste. Remova do relato informações pessoais de outras pessoas, senhas, chaves e dados de pagamento. Se acreditar que evidências sensíveis são necessárias, pergunte primeiro como enviá-las com segurança.

O escopo dos testes de segurança autorizados é apenas sua própria cópia, conta de teste e arquivos sintéticos. Sistemas públicos de terceiros e contas de outros clientes são excluídos; solicite permissão específica por escrito antes de qualquer teste mais amplo. Nossos acordos de relato e divulgação são enviar um relato minimizado, permitir que o reproduzamos com segurança, coordenar a divulgação e evitar acessar dados de outras pessoas. Nenhuma recompensa ou imunidade legal é prometida.

Nossa meta para confirmar o recebimento de um relato é cinco dias úteis. Nossa meta para atualizações de progresso é a cada sete dias enquanto um relato com medidas possíveis permanecer aberto, ou antes em caso de uma mudança importante.

7. Violações de dados pessoais

Avaliaremos uma possível violação de dados pessoais e faremos as notificações exigidas pela legislação aplicável. Sob o artigo 33 do GDPR do Reino Unido, um controlador deve notificar o órgão regulador de proteção de dados do Reino Unido sobre uma violação notificável sem demora indevida e, quando possível, em até 72 horas após tomar conhecimento. A Comissão de Informação sucedeu o ICO em 30 de setembro de 2026. Um operador deve notificar o controlador relevante sem demora indevida. O artigo 34 pode exigir a notificação das pessoas afetadas sem demora indevida quando a violação puder resultar em alto risco para seus direitos e liberdades. Veja as orientações publicadas sobre violações e anúncio de sucessão do órgão regulador.

O Adendo de tratamento de dados explica a notificação aos nossos clientes empresariais pagos quando processamos os dados pessoais dos clientes deles. Outros países podem exigir avisos ou prazos diferentes.

8. Contato de segurança legível por máquinas

Nossos dados de contato de segurança legíveis por máquinas estão disponíveis em security.txt.