Plugin CookiePal - Aviso de Privacidade

A página é carregada na sua própria máquina, em um novo perfil temporário de navegador, pelo plugin. A CookiePal nunca a carrega. Nosso servidor entrega o plano antes de uma verificação, valida e armazena o resultado depois, conta verificações, identifica o país de onde a verificação foi feita e aplica os limites que mantêm o serviço disponível para todos.

O que chega à CookiePal é a origem e o caminho da página, os cookies encontrados sem os seus valores, os hosts de terceiros que a página contatou, a versão do plugin, o país de onde a verificação foi feita, o que aconteceu quando a verificação pressionou os botões de aceitar e rejeitar do banner, dois detalhes técnicos sobre o resultado e um ID de instalação aleatório, caso você tenha concordado em compartilhá-lo. Nada além disso.

Não armazenamos o seu endereço IP e nunca recebemos o valor de um cookie. Para que as ferramentas de verificação gratuitas não sejam sobrecarregadas, contamos as chamadas de cada rede sob um hash do endereço feito com uma chave secreta, de modo que a contagem guardada, por si só, não revela o endereço, e é apagada automaticamente cerca de uma hora depois do fim da sua janela de dez minutos. Uma verificação não fica ligada a nenhuma conta, a menos que você conecte uma e também concorde em ligar a ela o seu ID de instalação.

Conectar uma conta CookiePal é opcional. Se você conectar, registramos também quais ferramentas da conta você usa e quando, e, só se você concordar, a qual conta o seu ID de instalação pertence. A conta em si é regida pela nossa política de privacidade principal.

A página que você verificou, reduzida à sua origem e caminho. A query string e o fragmento são removidos na sua máquina, antes de qualquer envio, porque podem carregar tokens de sessão, endereços de e-mail e outros identificadores. Por exemplo, uma verificação de https://example.com/pricing?session=abc#plans é enviada e armazenada como https://example.com/pricing. O plugin se recusa a enviar um endereço de página que ainda tenha query string, e, de todo modo, o nosso servidor armazena apenas a origem e o caminho.

Os cookies encontrados - o nome, domínio, caminho e validade de cada um, suas flags Secure, HttpOnly e SameSite, e a categoria atribuída a ele. O valor de um cookie nunca é enviado e nunca sai da sua máquina.

Os hosts de terceiros que a página contatou enquanto carregava.

O número da versão do plugin, para sabermos qual versão produziu um resultado.

O país de onde a verificação foi feita, identificado a partir do endereço IP com o qual a sua requisição chega. O endereço IP em si não é armazenado: ele é usado para essa consulta e, nas ferramentas que não exigem conta, para contar as chamadas da sua rede, como explicado na seção sobre por quanto tempo guardamos. Guardamos o país, não o endereço.

O que os botões do banner fizeram, quando a verificação os pressionou: se um banner foi encontrado, se aceitar e rejeitar puderam ser pressionados e, se não, por quê, e como cada botão foi reconhecido. Para cada clique, os cookies que continuavam definidos depois e quais deles o próprio clique adicionou, e os hosts de terceiros contatados depois dele. São os mesmos tipos de registro descritos acima, e os valores dos cookies também ficam de fora deles. Se a página afirmar que o seu próprio banner da CookiePal aplica a rejeição ao carregar, essa afirmação também é enviada.

Um ID de instalação aleatório, apenas se você concordou em compartilhá-lo. Veja abaixo.

Dois detalhes técnicos sobre o resultado: qual versão do formato de resultado ele usa, e se a verificação atingiu os seus limites de tamanho e deixou alguns cookies ou hosts de fora.

Valores de cookies, conteúdo de local storage e session storage, o HTML ou o texto da página, dados digitados em formulários, capturas de tela, a query string e o fragmento da URL verificada, e o seu próprio perfil de navegador. Nosso servidor não tem campo para o valor de um cookie e rejeita qualquer resultado que tente incluir um, então isso é imposto tecnicamente, não apenas prometido. Alguns deles passam pelo Claude Code na sua máquina, como explica a seção sobre o Claude Code mais abaixo, mas nenhum chega à CookiePal.

A verificação nunca usa o perfil de navegador com o qual você navega. Cada execução abre um perfil temporário novo, então os seus cookies, sessões e logins nunca são abertos nem lidos.

Os cookies são categorizados na sua máquina, com o catálogo de código aberto @cookiepal-oss/cookie-db que acompanha o plugin. Nenhum cookie é enviado a lugar nenhum para ser identificado, e a categoria viaja junto com o resultado em vez de ser determinada do nosso lado.

A leitura em linguagem simples do seu resultado também é produzida inteiramente na sua máquina, a partir de textos fixos que acompanham o plugin. Produzi-la não envia nada à CookiePal.

Gostaríamos de saber aproximadamente quantas pessoas usam o plugin, e não apenas quantas verificações são feitas. A única forma de distinguir as duas coisas é um identificador aleatório que permanece o mesmo entre as suas verificações.

Na primeira vez que você roda uma verificação, o plugin pergunta uma única vez se você quer compartilhar um. O padrão é não, e a verificação funciona em ambos os casos. O ID só é criado depois que você diz sim. É um valor aleatório, sem nada derivado da sua máquina, da sua rede ou de você, e fica guardado na pasta de dados do plugin, de modo que remover o plugin remove o ID.

Perguntamos porque o ID de instalação fica armazenado no seu dispositivo para a nossa própria medição, e não porque a verificação precise dele. Armazenar ou ler informações no dispositivo de alguém geralmente exige consentimento, a menos que seja estritamente necessário para o serviço que a pessoa pediu, e medição não é, então tratamos o consentimento como obrigatório aqui.

Um identificador aleatório persistente continua sendo dado pessoal nos termos do GDPR, mesmo quando não está ligado a um nome ou a uma conta, então é assim que o tratamos. Ele é usado para contar instalações únicas e, só se você concordar separadamente ao conectar uma conta CookiePal, para saber se as verificações feitas com ele levaram a essa conta. Não é usado para criação de perfil nem para publicidade, e nunca o compartilhamos com ninguém. Como tudo o que o plugin envia, ele passa pela sua própria sessão do Claude Code no caminho até nós.

Para parar de compartilhá-lo e apagá-lo da sua máquina, rode /cookiepal:check-one-page stop-sharing. Esse mesmo comando apaga as verificações que você já enviou e remove qualquer ligação entre o ID e uma conta CookiePal: o plugin nos envia o ID uma última vez, apagamos todas as verificações armazenadas sob ele e a ligação, e só então o ID é removido da sua máquina. O comando informa quantas verificações foram apagadas. Retirar o consentimento interrompe qualquer coleta ou uso futuro do ID, e isso não torna ilícito o tratamento que ocorreu antes da retirada.

Verificar uma página nunca exige conta. Se você quiser usar a CookiePal em um site que administra, /cookiepal:connect-account conecta o Claude Code a uma conta CookiePal. Você entra, continua com o Google ou cria uma conta gratuita nas próprias páginas da CookiePal, no seu navegador. A sua senha nunca passa pelo Claude Code nem pelo plugin, e o plugin nunca a vê. O Claude Code guarda na sua máquina o login que recebe, nos termos do seu próprio acordo com a Anthropic.

A conta em si - o seu e-mail, a sua organização e os seus domínios - é regida pela nossa política de privacidade principal, e não por este aviso. O que segue é apenas o que a conexão acrescenta.

Se você criar a sua conta enquanto conecta, registramos que ela foi criada a partir do plugin, para podermos contar quantas contas o plugin traz. Esse registro contém a organização e a data em que ela foi criada, nada sobre você, e é apagado após 180 dias.

Cada vez que uma ferramenta age sobre a sua conta, registramos qual conta e qual usuário chamaram qual ferramenta, e quando. Não registramos o que você pediu à ferramenta, o que ela respondeu nem sobre qual dos seus domínios ela agiu, com quatro exceções. Quando você adiciona um domínio pelo plugin, registramos qual conta e qual usuário adicionaram qual domínio, e quando, para podermos contar quantos domínios o plugin traz. Quando você pede ao plugin para verificar se o seu banner está instalado, a sua própria máquina carrega uma página do seu site e registramos qual conta e qual usuário verificaram qual domínio, o endereço da página sem a sua string de consulta, a tag do script do banner encontrada ali, quando foi lida e se contou como instalada, que é também o que define o status do banner desse domínio no CookiePal. Quando você pede ao plugin para escanear um domínio, o rastreamento roda na sua própria máquina, nunca na nossa, e registramos qual conta e qual usuário iniciaram o escaneamento de qual domínio, o endereço de onde ele partiu, quantas páginas lhe foram permitidas, como terminou e quantas páginas e cookies encontrou. Quando você pede ao plugin para verificar o Google Consent Mode, a sua própria máquina carrega a página e nos envia o endereço da página sem a sua string de consulta e o que leu das configurações de consentimento do Google: se o Consent Mode foi encontrado, os nomes dos seus tipos de consentimento, quais não têm padrão e se um padrão foi definido tarde; calculamos a resposta e guardamos só isso, como o status do Consent Mode desse domínio no CookiePal, marcado como lido na sua própria máquina. O endereço da página e o que foi lido dela não são guardados. Esse status não é um desses registros: ele é mantido com as demais configurações do domínio e apagado com ele. Esses registros servem para medir o uso do plugin e são apagados após 180 dias. O relatório de cookies que você envia depois de um escaneamento não é um desses registros: ele é armazenado junto com os outros relatórios de cookies desse domínio na sua conta, marcado como escaneamento local, e é mantido e apagado com eles. Ele contém o nome, o domínio, a duração, a categoria e a descrição de cada cookie (que pode citar o fornecedor), mas nunca o seu valor. Quando você pede ao plugin para alterar o modo, as cores, o logotipo, as posições ou os textos do seu banner, guardamos o que você escolheu como as configurações de banner desse domínio na sua conta, exatamente como o painel faz. Essa é a configuração da sua conta, não um desses registros: não registramos o que você alterou, e ela permanece na sua conta até você alterá-la de novo ou excluir o domínio.

Para manter a ferramenta conectada, guardamos um token de login para ela, em uma forma com hash de mão única que não conseguimos ler de volta. Cada token funciona uma única vez e é substituído sempre que a ferramenta renova a conexão. A conexão termina 30 dias depois que você a aprovou, por mais que seja renovada, ou imediatamente se a ferramenta o revogar; depois disso, você conecta de novo.

O seu ID de instalação só é ligado à sua conta se você concordar. Se você compartilhou um, a conexão pergunta separadamente se você quer ligá-lo, e a opção padrão é não. Se você concordar, registramos a qual conta e a qual usuário ele foi conectado, e quando. Isso torna as verificações armazenadas sob esse ID associáveis à sua conta, que é justamente a finalidade: nos diz se verificar uma página levou a uma conta. A ligação é apagada 180 dias depois da última vez que você concordou com ela (concordar de novo numa conexão posterior recomeça esse prazo), imediatamente se você responder não na próxima vez que conectar, ou com /cookiepal:check-one-page stop-sharing, que também apaga essas verificações.

O plugin roda dentro do Claude Code, que é um produto da Anthropic, não nosso. Por isso, rodar uma verificação passa pela sua própria sessão do Claude Code: o endereço da página exatamente como você o deu, query string incluída, o título da página, os rótulos dos botões do banner que a verificação pressionou, o host para onde a página redirecionou, se redirecionou, os cookies encontrados, o seu ID de instalação, se você compartilhou um, e o resultado. Isso acontece nos termos do seu próprio contrato com a Anthropic, e a CookiePal não controla isso nem recebe cópia da sua sessão.

Se você usa a CookiePal como conector no Claude - no claude.ai, no Claude Desktop ou nos apps móveis do Claude -, as suas requisições chegam ao nosso servidor a partir dos servidores da Anthropic, e não do seu dispositivo. O que você diz ao Claude é regido pelo seu próprio contrato com a Anthropic, e a CookiePal não controla isso nem recebe cópia da sua conversa. O nosso servidor recebe as mesmas chamadas de ferramentas e guarda os mesmos registros descritos neste aviso. Como essas requisições chegam de endereços da Anthropic, o país registrado para uma verificação é onde ficam os servidores da Anthropic, e não onde você está.

Só se você concordar, a leitura em linguagem simples ao final de uma verificação é publicada como um artifact no claude.ai. O plugin pergunta uma única vez, antes da primeira vez que a publicaria, e o padrão é não. Publicar envia essa leitura - o endereço da página, o país de onde a verificação foi feita, a data, o nome, o domínio, a categoria e o fornecedor de cada cookie, e cada host de terceiros - para a Anthropic, sob a sua própria conta do claude.ai e os termos da Anthropic.

Se você disser não, nada é publicado. A mesma leitura pode ser gravada como arquivo HTML local, como arquivo Markdown local, ou impressa direto no seu terminal, e essas três formas não a enviam a lugar nenhum. Você pode escolher a forma para uma execução específica, por exemplo /cookiepal:check-one-page https://example.com html, ou definir uma como padrão para que artifacts nunca sejam usados.

Qualquer que seja a forma escolhida, a leitura em si é montada na sua máquina e nenhuma parte da sua produção chega à CookiePal.

O que o plugin guarda na sua máquina, na sua própria pasta de dados: enquanto uma verificação roda, o endereço que você deu com a sua query string, o plano que o nosso servidor emitiu e o resultado que ele devolveu, cada um apagado na próxima vez que o plugin roda depois de 30 minutos; a leitura em todas as formas para as suas últimas 20 verificações, incluindo a versão de artifact mesmo que nunca tenha sido publicada; a forma que você prefere; e o seu ID de instalação, se você compartilhou um. Remover o plugin remove tudo isso.

Uma verificação armazenada é apagada automaticamente 180 dias depois de ter sido planejada - ou seja, 180 dias a partir do momento em que você iniciou a verificação e o nosso servidor emitiu o ID dela, e não a partir de quando o resultado voltou. Os dois momentos estão a minutos de distância. A exclusão é automática e abrange o registro inteiro, inclusive o ID de instalação associado a ele.

Contagem de chamadas das ferramentas que não exigem conta. Para que não sejam sobrecarregadas, o servidor conta quantas delas cada rede chama em uma janela de dez minutos ou, se você estiver conectado, quantas a sua conta chama. A contagem é guardada sob um hash do endereço IP ou do ID da sua conta feito com uma chave secreta, de modo que a contagem guardada, por si só, não revela nenhum dos dois, e não identifica nenhuma instalação ou página. Ela é apagada automaticamente cerca de uma hora depois do fim da sua janela e nunca é usada para mais nada.

O que a conexão de uma conta acrescenta é guardado como descrito acima: o registro de cada chamada de ferramenta, o registro de cada domínio adicionado pelo plugin, o registro de cada verificação de instalação do banner, o registro de cada escaneamento e o registro de uma conta criada durante a conexão por 180 dias, a ligação entre um ID de instalação e uma conta por 180 dias a partir da última vez que você concordou com ela, e os tokens de login da ferramenta por até 30 dias. Enquanto você aprova uma conexão, é criado um código de uso único que vale por um minuto; ele é apagado assim que é usado ou, se nunca for, automaticamente em cerca de uma hora. A exclusão automática segue o calendário do próprio banco de dados, então qualquer registro deste aviso pode durar um ou dois dias além do prazo antes de ser apagado.

Podemos manter por mais tempo estatísticas agregadas genuinamente anonimizadas, nos casos em que o que é mantido não se refere mais a uma pessoa identificável e não poderia razoavelmente ser usado para identificar alguém. Só contar não torna um dado anônimo, então isso vale apenas onde esse teste é de fato atendido.

Uma ressalva honesta sobre qualquer exclusão, automática ou a seu pedido. Nosso banco de dados mantém backups contínuos e criptografados para poder ser restaurado após uma falha, e esses backups ficam 35 dias para trás. Um registro removido da base ativa permanece, portanto, dentro dessa janela de backup até que ela avance, e depois disso não resta nenhuma cópia. Não usamos backups para consultar nada; eles existem só para recuperação em caso de desastre.

O controlador dos dados descritos aqui é a CookiePal Limited, empresa registrada na Inglaterra e no País de Gales sob o número 15835702, com endereço registrado em 10 Orange Street, Londres WC2H 7DQ, Reino Unido. Por estarmos estabelecidos no Reino Unido, o UK GDPR e o Data Protection Act 2018 se aplicam ao nosso tratamento, e o GDPR da UE se aplica quando oferecemos o serviço a pessoas no EEE. Onde este aviso menciona o GDPR, ambos os regimes estão incluídos.

Para a verificação em si - a página, os cookies, os hosts, a versão do plugin e o país - e para a contagem de chamadas que mantém as ferramentas gratuitas disponíveis, nossa base é o legítimo interesse previsto no Artigo 6(1)(f) do GDPR: operar o serviço que você nos pediu para operar, mantê-lo disponível e seguro, e entender o quanto ele é usado. A maior parte do que uma verificação registra descreve o site que está sendo testado, e não a pessoa que o testa, e não pedimos nem coletamos o seu nome, e-mail, conta ou endereço IP como parte disso. Ainda assim, parte dessas informações pode ser dado pessoal em determinadas circunstâncias - um caminho pode conter um identificador - então, de todo modo, as tratamos com o mesmo cuidado.

Para o ID de instalação, nossa base é o seu consentimento, nos termos do Artigo 6(1)(a), solicitado antes de qualquer criação e revogável a qualquer momento com /cookiepal:check-one-page stop-sharing. Revogá-lo não torna ilícitas as verificações já enviadas, e o mesmo comando as apaga de qualquer forma.

Se você conectar uma conta, ligar a ela o seu ID de instalação se baseia no seu consentimento, nos termos do Artigo 6(1)(a), solicitado ao conectar e revogável a qualquer momento com /cookiepal:check-one-page stop-sharing. Registrar como uma conta foi criada e quais ferramentas são chamadas se baseia em interesses legítimos, nos termos do Artigo 6(1)(f): entender como o plugin é usado e se ele cumpre o seu propósito. Fazer login e usar a sua conta se baseiam no nosso contrato com você, conforme descrito na política de privacidade principal.

O serviço roda na Amazon Web Services, na região eu-central-1, em Frankfurt, Alemanha, e a AWS atua como nosso operador nesse tratamento. Estamos estabelecidos no Reino Unido, então os dados são acessados de lá, e algumas atividades de apoio, como monitoramento de erros e suporte, podem envolver tratamento em outro lugar; quando isso ocorre, utilizamos um mecanismo de transferência internacional adequado. Os fornecedores que usamos estão listados na nossa página de suboperadores.

Quando mantemos dados pessoais a seu respeito, o UK GDPR e o GDPR da UE lhe dão direitos de acesso, retificação, exclusão, limitação, oposição e portabilidade. A LGPD no Brasil prevê seu próprio conjunto de direitos, incluindo confirmação da existência de tratamento, acesso, correção, anonimização ou eliminação nas hipóteses que ela estabelece, e portabilidade. Esses regimes não são iguais entre si, então os descrevemos separadamente em vez de tratar um como tradução do outro.

Na prática há muito pouco sobre o que esses direitos podem incidir, e preferimos dizer isso com todas as letras a dar a entender o contrário. Uma verificação armazenada não tem nome, e-mail nem endereço IP, nem conta, a menos que você tenha ligado o seu ID de instalação a uma. Se você nunca compartilhou um ID de instalação, dificilmente conseguiremos dizer quais verificações são suas a partir das informações que temos. Isso é uma escolha deliberada de projeto, não uma evasiva. Se você nos fornecer informações adicionais para que possamos identificar os seus registros, vamos usá-las apenas para atender ao seu pedido e depois descartá-las.

Se você compartilhou um ID de instalação, esse ID é a única chave que temos, e /cookiepal:check-one-page stop-sharing o usa para apagar todas as verificações armazenadas sob ele antes de apagar o ID da sua máquina. Essa é a exclusão inteira, imediata e feita por você: não é preciso pedir nada a nós. Se o ID já saiu da sua máquina mas você guardou uma cópia, envie-o para support@cookiepal.io e apagaremos o que tiver sobrado. Sem o ID não há o que nenhum de nós possa procurar, então guarde uma cópia antes de parar de compartilhar, se quiser uma.

Se você conectou uma conta CookiePal, os registros que a conexão acrescenta estão ligados a essa conta, então você pode exercer os seus direitos sobre eles da mesma forma que sobre o restante da sua conta, escrevendo para nós a partir do e-mail dela. Nós então apagamos os registros que a conexão acrescentou, qualquer ligação entre um ID de instalação e a sua conta, e as verificações armazenadas sob um ID de instalação que você ligou.

De todo modo, tudo expira sozinho: 180 dias depois de registrado ou, no caso da ligação entre um ID de instalação e a sua conta, depois da última vez que você concordou com ela. Se você achar que lidamos mal com alguma coisa, pode reclamar ao Information Commissioner's Office, a autoridade de controle do Reino Unido, em ico.org.uk, ou à autoridade de proteção de dados do lugar onde você mora.

Usamos medidas técnicas e organizacionais adequadas ao risco. Na prática, a proteção mais forte é o fato de haver tão pouco a proteger: nenhum valor de cookie e nenhum conteúdo de página chega até nós, uma verificação não tem conta a menos que você ligue uma, e nenhum endereço IP é armazenado, então uma violação da nossa base de dados não poderia expor essas coisas.

Concretamente: tudo trafega por TLS; o armazenamento é criptografado em repouso com a criptografia gerenciada do Amazon DynamoDB; as permissões do próprio servidor estão limitadas às operações de que as suas ferramentas precisam - ele pode gravar os seus próprios registros, adicionar um domínio a uma conta e listar os domínios de uma conta, como o painel faz, definir o status de instalação do banner de um domínio a partir de uma verificação feita na sua máquina, armazenar o relatório de cookies de um escaneamento feito na sua máquina, alterar as configurações e os textos do banner de um domínio, como o painel faz, e procurar um domínio pelo nome para saber se ele já está registrado, mas não pode apagar registros de uma conta nem listar as próprias contas, enquanto o seu código lê e grava apenas os da conta com a qual cada requisição está logada; um ID de verificação só pode ser usado uma vez e expira trinta minutos depois de emitido; e a exclusão após 180 dias é automática, e não uma tarefa que alguém precise lembrar de fazer.

Cada campo de um resultado enviado é conferido contra um schema estrito antes de ser armazenado - tipos, tamanhos, valores permitidos e nenhum campo inesperado - porque ele chega da máquina de outra pessoa. Isso é validação estrutural; é o que impede que o valor de um cookie ou um campo desconhecido chegue a ser armazenado, e não a apresentamos como defesa contra toda forma possível de entrada maliciosa.

Nossos logs operacionais merecem um parágrafo próprio, porque o log é onde os serviços costumam guardar justamente os dados que dizem não guardar. Os logs do servidor MCP registram apenas diagnóstico de execução - inicialização, duração, memória, erros. Eles não contêm nenhum endereço IP, nenhum endereço de página e nenhum resultado de verificação, o log de requisições no gateway está desligado, e não apenas sem uso, e os logs são apagados depois de 14 dias. Erros e tempos de requisição também são informados ao Sentry, o nosso fornecedor de monitoramento de erros, que consta na página de suboperadores; ele não está configurado para coletar endereços IP nem o conteúdo das requisições.

Se o que o plugin envia mudar, este aviso muda junto, na mesma versão. A data no topo indica quando ele mudou pela última vez.

Dúvidas sobre este aviso, ou pedidos relativos aos seus dados, devem ser enviados para support@cookiepal.io, ou por carta para CookiePal Limited, 10 Orange Street, Londres WC2H 7DQ, Reino Unido.

Esse é o mesmo contato de privacidade que atende os pedidos do restante da CookiePal, e os dados dele, inclusive um telefone, estão na nossa página de contato de proteção de dados. Você não precisa dizer a qual parte da CookiePal o seu pedido se refere.