Privacidade

O que o PageAudit guarda sobre quem o usa, por quanto tempo, com quem a infraestrutura é compartilhada e como pedir acesso ou exclusão.

Quem trata os dados

O controlador dos dados pessoais tratados pelo PageAudit é a WRP Consultoria e Informática Ltda, CNPJ 66.300.125/0001-45, com sede na R. Copaíba, Lote 01, Bloco B, Sala 408, Águas Claras, Brasília/DF, CEP 71919-540, que opera também os outros produtos listados no rodapé. O canal para assuntos de dados pessoais é eu@wendelmaques.com; os pedidos são respondidos por e-mail.

O que este produto guarda

Each audit stores the URL, score, findings and summary (title, metas, headings, links, redirects, robots.txt and sitemap status, JSON-LD, discovery-file observations, Chrome UX Report metrics, the summary of any lab test you run and response headers without Set-Cookie). The page HTML and discovery-file bodies are not stored.
A page you put under the daily watch: the e-mail the alert goes to (the account's, or another one you type), when we last checked it and when we last wrote to you. Switching the watch off stops the checks and the e-mails.
Each audit stores a hash of the source network. The daily allowance uses a hash of your account when signed in, or your network otherwise.
Shared reports (/r/…) are public to anyone with the link until you unshare them.
When editorial features are available, we keep your business brief, sources, generation requests, draft articles and versions to organise the work for each website. Optional WordPress connections store the site, user and encrypted application password.
The Google import assistant stores the selected Google Analytics account, GA4 property and web stream metadata. Daily collection stores users, sessions, engagement, views, events, key events, transactions, revenue and the bounded original Google response.
The optional Journeys script collects action IDs, structural button selectors, opaque page IDs and event times after analytics consent. A random tab session expires after 30 minutes without activity. It does not record typed text, page contents or screens. Refusal and withdrawal stop collection and remove the session identifier.
Domain monitoring stores public registration, installed-certificate and DNS observations, published email policies and bounded certificate-issuance data. Private contact comparison keeps field states and keyed digests, not personal contact values. Manual dates, known DKIM selectors, monitor settings, incidents and delivery receipts belong to your account and organization.
The weekly site report stores its settings, with up to 3 competitor addresses you type, and for each week the findings of up to 500 pages of your sitemap, the pages checked and the new pages found in the competitors' sitemaps.
Os prompts de correção guardam o texto, a referência da fonte, a licença do domínio e a data de criação para sua identidade autenticada e organização. Não enviamos o texto a um provedor de IA. Você decide se o entrega ao seu agente.
Conta: e-mail, senha, passkeys, códigos de acesso e sessões ficam no sistema de conta compartilhado pelos nossos produtos, no banco dele — aqui fica só o id da conta ao lado do que é seu. Sem conta, um token de convidado assinado, guardado no seu navegador, é dono do que você cria; ao entrar, isso passa para a sua conta.
Pagamento por requisição (x402) fica registrado na rede Base, que é pública por natureza. Aqui guardamos a referência da transação e o valor, para conferência e contabilidade. Do pedido que pagou, guardamos também o endereço IP, o navegador, os idiomas, o site de origem, o país e a rede aproximados, para auditoria e prevenção de fraude.
Para recuperar uma resposta paga por x402 após falha de conexão, guardamos uma cópia cifrada do resultado permitido pela política de gravação do serviço. Desativar a gravação de conteúdo não desativa os registros financeiros nem os comprovantes técnicos. Só a carteira pagadora autenticada pode recuperar a cópia. O identificador do pagamento não dá acesso ao conteúdo.
Crédito pré-pago: no registro de saldo e movimentações, o token fica como hash (SHA-256). A cópia de recuperação da resposta x402 pode conter o token cifrado. Quem tem o token tem o crédito; ele não pode ser recuperado por e-mail.
Contato: nome, e-mail, mensagem, WhatsApp e áudio que você decidir enviar seguem para a caixa do controlador pelo nosso servidor de e-mail. A mensagem inclui a página de origem, o idioma e o endereço de rede (IP). Usamos esses dados para responder ao seu pedido.
Gravar áudio é opcional e exige sua permissão para o microfone. Você pode ouvir e apagar antes de enviar. O áudio fica no navegador até o envio e depois segue como anexo, sem transcrição. Não inscrevemos quem faz contato em listas de marketing.
Publicidade por e-mail exige autorização separada nas preferências da conta. Onde disponível, ela acompanha um aviso solicitado, no máximo uma vez por dia. Guardamos a escolha e o recibo de envio. O anúncio não recebe seu e-mail. Retire a autorização na conta ou pelo link da mensagem, sem cancelar os avisos essenciais.

Acesso com Google

Ao escolher Entrar com Google, você autoriza a leitura do identificador da conta Google, e-mail verificado e perfil básico. O perfil pode incluir nome, prenome, sobrenome, foto, idioma e domínio da organização Google Workspace.
Usamos esses dados para identificar sua conta, permitir o acesso e mostrar seu perfil. Guardamos o vínculo e os campos do perfil no sistema de conta. O Google confirma a identidade; sua senha Google não chega até nós.
O login pede somente openid, email e profile. Ele não autoriza acesso a Gmail, Drive, Agenda, contatos ou Search Console. Integrações adicionais pedem uma autorização própria quando você decide conectá-las.
Os tokens recebidos no login são usados no servidor para conferir a identidade. Não guardamos tokens de acesso ou renovação desse login para consultar outros serviços Google.
Não vendemos dados recebidos do Google. Não os usamos para publicidade personalizada nem para treinar modelos gerais de inteligência artificial. O acesso interno se limita à operação, ao suporte autorizado, à segurança e às obrigações legais.
O vínculo e o perfil ficam guardados enquanto necessários à conta. Desvincular o Google impede novos acessos por esse vínculo, mas não apaga a conta, o perfil já importado, os dados dos produtos ou registros necessários de segurança e cobrança.
Você pode remover a conexão nas configurações da sua Conta Google, em https://myaccount.google.com/connections. Para pedir acesso, correção ou exclusão dos dados que guardamos, escreva para eu@wendelmaques.com. Informe o produto e o e-mail da conta; não envie senha ou token.
O uso e a transferência de informações recebidas das APIs Google seguem a Google API Services User Data Policy, incluindo os requisitos de Uso Limitado quando aplicáveis: https://developers.google.com/terms/api-services-user-data-policy.

Search Console no PageAudit

Quando você conecta o Search Console, o PageAudit pede a permissão webmasters.readonly. O Google autoriza a leitura das propriedades às quais você tem acesso. O assistente mostra essas propriedades e importa somente as que você selecionar.
Guardamos a propriedade, o período consultado, a data da coleta, consultas de busca, páginas, cliques, impressões, taxa de cliques, posição média e a resposta original do Google. A visão geral cobre 28 dias e até 50 consultas e 50 páginas; não representa todos os dados do Search Console.
Você pode selecionar até 20 consultas para acompanhar. Cada coleta consulta uma janela móvel de 28 dias. Guardamos as séries anteriores até sua exclusão. Usamos os resultados para mostrar o desempenho e detectar quedas de cliques ou de posição. A coleta ocorre ao conectar e pode se repetir diariamente. Não alteramos a propriedade Google nem prometemos posição, tráfego ou indexação.
Os tokens de acesso e renovação ficam criptografados no servidor e ligados à sua conta. Cada site importado recebe somente o vínculo necessário para consultar a propriedade escolhida. Os tokens não são enviados ao navegador, aos relatórios públicos ou ao provedor de inteligência artificial.
Quando um alerta por e-mail está ativo, a Amazon Web Services (SES) recebe o domínio, o termo de busca e os valores de cliques ou posição incluídos na mensagem, além do e-mail do destinatário. Ela usa esses dados para entregar o alerta. Os resultados do Search Console não entram em relatórios públicos, publicidade ou pedidos de inteligência artificial.
Desconectar um site no PageAudit elimina a credencial local daquele site e para novas coletas. As amostras, séries e alertas anteriores continuam guardados até sua exclusão. Para revogar a permissão no Google, remova a conexão em https://myaccount.google.com/connections. Pedidos de exclusão dos resultados: eu@wendelmaques.com.

Google Analytics no PageAudit

Quando você conecta o Google Analytics, o PageAudit pede a permissão analytics.readonly. O assistente lê as contas, propriedades GA4 e fluxos da Web aos quais você tem acesso. Ele importa somente as propriedades que você selecionar.
Guardamos os identificadores e nomes da conta, da propriedade e do fluxo da Web, o identificador de medição e o endereço padrão do site. Usamos esses dados para criar ou vincular os projetos na organização ativa. A importação não executa uma auditoria do site.
Depois da importação, coletamos por dia usuários ativos, usuários totais e novos, sessões, sessões engajadas, visualizações, eventos, eventos principais, transações e receita total dos fluxos da Web selecionados. A primeira coleta consulta o histórico disponível desde o início do Google Analytics 4. As seguintes repetem até três dias para incorporar ajustes do Google.
Guardamos a série diária e a resposta original do Google com o período e a data da coleta. Usamos esses dados para mostrar o histórico e detectar queda de sessões. O pacote do site pode enviar um alerta por e-mail quando uma queda nova atingir o limite informado na tela. Não alteramos a propriedade Google nem prometemos tráfego ou resultado comercial.
Os tokens de acesso e renovação ficam criptografados no servidor e ligados à sua conta e ao serviço Google Analytics. Eles não são enviados ao navegador, aos relatórios públicos ou ao provedor de inteligência artificial.
Quando um alerta por e-mail está ativo, a Amazon Web Services (SES) recebe o domínio, a contagem de sessões dos dois períodos e a queda percentual incluídos na mensagem, além do e-mail do destinatário. Ela usa esses dados para entregar o alerta. Metadados, respostas originais e métricas do Analytics não entram em relatórios públicos, publicidade ou pedidos de inteligência artificial.
Desconectar uma propriedade pausa novas coletas. Revogar a permissão em https://myaccount.google.com/connections impede novas consultas em todas as propriedades ligadas por essa autorização. Projetos, metadados, séries e alertas anteriores permanecem até sua exclusão. Para pedir a exclusão, escreva para eu@wendelmaques.com.

Proteção de dados do Google

O HTTPS criptografa os dados entre seu navegador e nosso serviço, e entre nosso serviço e as APIs Google. Isso inclui login Google, pedidos de permissão e relatórios importados.
O servidor confere sua sessão e permissão antes de devolver dados privados. Os identificadores de conta e produto restringem o acesso aos registros que você pode usar. Respostas privadas não ficam em caches públicos compartilhados.
Nas integrações Google opcionais, os tokens de acesso e renovação são criptografados antes do armazenamento com AES-256-GCM. A criptografia vincula cada token ao produto, à conta e ao serviço Google. A configuração do servidor guarda as chaves de criptografia separadas dos registros criptografados.
Os tokens Google ficam no servidor. Eles não entram no armazenamento do navegador, em relatórios públicos ou em pedidos de inteligência artificial. As sessões usam cookies Secure e HttpOnly. A validação de estado, o prazo curto e o uso único do retorno protegem o fluxo de autorização Google.
Campos de perfil e métricas guardados têm proteção por controles de acesso do servidor e conferência da conta. Você pode revogar o acesso Google e pedir a exclusão conforme esta política.

Para que usamos e com que base legal

Criar e manter a sua conta, fazer o login e proteger o acesso: execução do contrato (LGPD, art. 7º, V).
Cobrar, entregar o que você comprou e guardar os registros fiscais: execução do contrato e obrigação legal (LGPD, art. 7º, V e II).
Responder ao seu contato, a seu pedido: procedimentos preliminares de contrato (LGPD, art. 7º, V).
Limitar abuso, prevenir fraude em pagamentos e proteger o serviço: legítimo interesse (LGPD, art. 7º, IX).
Medir o uso para melhorar o produto, sem perfil de publicidade: legítimo interesse (LGPD, art. 7º, IX). O Global Privacy Control ou o "Não rastrear" desliga essa medição.
Enviar os avisos por e-mail que você ativou: o seu consentimento, que você retira ao desligar o aviso (LGPD, art. 7º, I).

Por quanto tempo

Audits are kept: closing a tab does not delete its history, so the timeline of a URL survives; deletion requests are handled by e-mail.
Journeys keeps the current UTC day and the preceding six days. Raw events expire automatically. Collection is limited to 1 MiB per site per UTC day. Site configuration remains until removal is requested.
Domain history and earlier public versions expire after 90 days. TLS review reports expire after 26 hours. The current observation and your settings remain until removal is requested through Contact. Stopping a monitor does not erase its history or cancel its subscription.
Weekly site reports older than 12 weeks are deleted.
Os prompts salvos continuam disponíveis para leitura e cópia gratuitas, inclusive após o pacote vencer. Peça a exclusão pelo Contato. Reabrir um prompt não atualiza suas observações.
Os dados da conta ficam enquanto ela existir. Códigos de acesso vencem em minutos; a sessão acaba quando você sai ou no fim do prazo dela.
Os contadores de limite por rede (guest, contato, código de acesso) vencem sozinhos em minutos ou horas.
Registros de pagamento e crédito ficam pelo prazo legal de guarda dos registros fiscais e contábeis, em geral 5 anos.
A cópia de recuperação da resposta x402 fica disponível por 24 horas após a conclusão. Depois, apagamos o conteúdo em lotes. Se o pagamento estiver pendente, a cópia incompleta fica cifrada até encerrar a conciliação.
As mensagens de contato ficam na caixa de e-mail do controlador enquanto durar a conversa e a relação comercial.
Os passos das visitas ficam até 35 dias no servidor do produto; a cópia para análise, sem IP nem conta, fica no nosso servidor de dados.
Os registros do servidor web, com data, hora e endereço IP, ficam guardados por 6 meses, sob sigilo, como pede o Marco Civil da Internet (Lei 12.965/2014, art. 15). Depois, são apagados.

Infraestrutura e terceiros

Servidores operados por nós executam o serviço e guardam os dados da conta, dos pagamentos e do uso no Brasil (Vinhedo/SP). A cópia de análise das visitas, sem IP nem conta, fica num servidor nosso na Europa.
A Cloudflare fornece só o DNS do domínio e não recebe dados da conta nem do uso.
A Amazon Web Services (Amazon SES) envia os e-mails da conta, como o código de acesso, o convite e os avisos que você ativou. Ela recebe o e-mail de destino e o texto da mensagem, nos Estados Unidos.
Após sua permissão, o navegador carrega o Google tag para medir visitas pelo Google Analytics 4. A configuração remove a query da URL e mantém a publicidade e o Google signals desligados. O Google recebe dados técnicos da conexão e trata os eventos nos Estados Unidos.
O Asaas Gestão Financeira Instituição de Pagamentos S.A. processa os pagamentos em reais (Pix, boleto e cartão), no Brasil. Ele recebe o nome, o CPF ou CNPJ e o e-mail de quem paga. Nos formulários de cartão do produto, os dados do cartão e de cobrança seguem pela nossa API para o Asaas, com o CEP, o número do endereço, o telefone e o IP do comprador. Não guardamos o número do cartão nem o código de segurança.
O Stripe processa o pagamento com cartão de quem paga de fora do Brasil, em dólar, na página do próprio Stripe. Lá você digita o e-mail, o endereço de cobrança e os dados do cartão; de nós, o Stripe recebe só o valor, o produto e o código da cobrança. O Stripe trata esses dados nos Estados Unidos.
A Coinbase Developer Platform (CDP) verifica e liquida pagamentos x402 na rede Base, nos Estados Unidos. Recebe o endereço da carteira, o valor, a autorização assinada e a rota cobrada. A chave privada não é enviada. O endereço da carteira e a transação são públicos na rede.
As bibliotecas de interface (Bootstrap) são servidas do próprio domínio do produto, não de uma CDN de terceiro.
Não vendemos dados pessoais nem os compartilhamos para publicidade.
A página auditada é buscada pelo nosso servidor como um robô de busca faria, como PageAuditBot; o site auditado vê esse pedido vindo do nosso servidor, não de você.
O endereço auditado é enviado à API Chrome UX Report do Google para ler dados de velocidade de usuários reais, e ao Google PageSpeed Insights quando você roda um teste de laboratório.
A geração editorial solicitada envia o resumo do negócio, as fontes e as instruções de revisão a um provedor de inteligência artificial (IA) nos Estados Unidos. A pesquisa de citações envia as consultas configuradas à busca web desse provedor. Os tokens e os resultados coletados do Search Console não entram nesses pedidos.
A verificação na busca de IA envia o endereço da página e as buscas que você escolher a um provedor de busca de IA na China. Ela não envia a sua conta, o seu e-mail nem o conteúdo da página.
O Google fornece os dados de conta, propriedade, fluxo e desempenho do Search Console e do Google Analytics que você escolher conectar. O Google recebe os pedidos autenticados necessários para ler esses serviços.
Quando você aprova o envio de rascunho ao WordPress, o artigo escolhido e a credencial do WordPress são enviados àquele site. Desconectar para novos envios, mas não apaga os rascunhos já criados lá.
Se o dono configurar o envio de Jornadas ao Google Analytics, nosso servidor envia ao Google somente os dados de ação permitidos e o ID aleatório da sessão. A chave da API fica criptografada no servidor.
A consulta envia o domínio ao serviço de registro e conecta ao endereço HTTPS salvo. Consultas DNS enviam nomes conhecidos e seletores DKIM informados ao resolvedor e aos servidores DNS pertinentes. Os alertas usam o e-mail verificado e o webhook configurado na conta.
O relatório semanal busca as páginas do seu sitemap como PageAuditBot. De cada concorrente que você informar, lê só o sitemap, não as páginas.

Cookies e armazenamento no navegador

Ao entrar, a sessão da conta vive num cookie HttpOnly deste domínio; sem conta, o token de convidado fica no seu navegador e identifica o que você criou.
Preferências de tela (tema, filtros) ficam no armazenamento local do navegador e não saem dele.
Para melhorar o caminho de uso, medimos páginas abertas, cliques em controles e etapas de compra. Guardamos um identificador aleatório e a sessão no navegador. Não coletamos texto digitado, conteúdo da página, IP, e-mail ou conta nesses eventos. Com o Global Privacy Control ou o "Não rastrear" ligado, essa coleta fica desligada.
O Google Analytics só carrega e grava cookies após sua permissão. A base é o consentimento (LGPD, art. 7º, I). Você pode recusar ou revogar em Preferências de estatísticas, no rodapé.
Não há cookie de publicidade nem de rastreamento entre sites.
A escolha de estatísticas fica guardada no navegador. Recusar mantém os cookies opcionais desligados.

Endereço IP

Para limitar abuso, o endereço IP entra num hash com sal secreto. O país e a cidade aproximados vêm de uma base de geolocalização (GeoLite2, da MaxMind) consultada no nosso servidor. Essa consulta não envia o endereço a terceiros. A cobrança de cartão envia o IP ao Asaas para validar o pagamento. O IP cru fica no registro de cada pagamento (Pix, cartão ou x402) e no aviso dele ao controlador, para auditoria e prevenção de fraude, pelo prazo dos registros de pagamento. Fora disso, ele aparece só no e-mail de contato e nos registros do servidor web, guardados por 6 meses, sob sigilo.

Seus direitos

A LGPD (Lei 13.709/2018, art. 18) garante a você confirmar o tratamento e acessar, corrigir, anonimizar, bloquear, eliminar ou levar a outro fornecedor os seus dados, e saber com quem os compartilhamos. Na sua conta, você baixa os seus dados e encerra a conta. Encerrar corta o acesso; a exclusão dos dados se pede por e-mail. Para qualquer pedido, escreva para eu@wendelmaques.com. Respondemos em até 15 dias. Dados de fontes públicas (cadastros oficiais) continuam nas fontes de origem; aqui só se remove a cópia. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Encarregado

O encarregado pelo tratamento de dados pessoais (LGPD, art. 41) é a administração da WRP Consultoria e Informática Ltda. O contato é eu@wendelmaques.com.

Dados específicos do produto: 23 de outubro de 2026. Conta e acesso Google: 14 de outubro de 2026. Contato e áudio: 15 de outubro de 2026. Pagamentos: 25 de outubro de 2026. Registros do servidor web: 3 de novembro de 2026. Estatísticas opcionais: 4 de novembro de 2026.