Vidleaf

Política de Privacidade

Três coisas primeiro:

1. Nós não coletamos seu número de telefone, nome real ou documentos de identidade. Apenas uma rota de cadastro armazena seu endereço de e-mail — "continuar com e-mail". Cadastrar-se com o Google não armazena um endereço de e-mail, e cadastrar-se com um token de convite também não.
2. Ler um vídeo que já foi processado não exige conta. Navegar dessa forma deixa apenas estatísticas de tráfego, que você pode desativar, e um cookie contendo um número aleatório e nada sobre você. Quando você chega por um link com rótulos de campanha, o servidor também adiciona um à contagem horária de aberturas dessa campanha, que não contém nada sobre você. A pontuação de leitura ativada por padrão também processa trechos longos de legenda enquanto você lê; veja §4. Seu controle é separado das estatísticas de tráfego.
3. Quando você usa transcrição ou detecção de falantes, seu áudio sai da China continental e vai para provedores nos Estados Unidos e na Europa. O mesmo se aplica ao áudio que você envia — um envio não tem legendas de plataforma como alternativa, então transcrevê-lo necessariamente o envia para fora.
4. Estatísticas de tráfego e estatísticas opcionais de uso da conta são retidas a longo prazo sem exclusão automática baseada em idade. A retenção e exclusão de outros dados de serviço são explicadas no §6.

No primeiro uso sem escolha anterior, a atribuição de campanha, os links de envio, as estatísticas de atividade da conta, o Google Analytics e a medição configurada do Google Ads são ativados por padrão e podem ser desativados separadamente. Os padrões não substituem recusas anteriores, exclusão, escolhas expiradas ou não verificáveis. DNT/GPC e a desativação global de estatísticas ainda se aplicam; atividades passadas não são preenchidas retroativamente. As caixas de seleção de concordância para cadastro, processamento de áudio, compras e reembolsos começam marcadas e podem ser desmarcadas. O consentimento ou uma operação só é enviado após o clique no botão final; abrir uma página não registra, transcreve, paga ou reembolsa.

1. O que coletamos

Google Analytics opcional (escolha separada)

Este recurso fica ativado por padrão apenas no primeiro uso sem uma escolha salva. Escolhas anteriores, incluindo recusas e autorizações expiradas, são preservadas. Sem permissão, após recusa ou com DNT/GPC ativo, não carregamos o GA4. Retire a qualquer momento nas configurações de estatísticas de Privacidade &. A retirada recarrega a página para interromper a execução do código e limpa os cookies GA4 deste navegador. Solicitações já enviadas não podem ser recuperadas, e dados já recebidos pelo Google não são excluídos automaticamente. Recusar não afeta o serviço.

Com permissão, o Google LLC recebe categorias de página, idioma da interface, sites de referência, rótulos de campanha controlados, informações de navegador e dispositivo, e observações de envios de leitura, falhas de validação, resultados de leitura, conteúdo visível, buscas, exportações, cópias e cadastros confirmados pelo servidor para medir visitas, sessões e conversões. A conexão de rede também expõe seu endereço IP ao Google. Os endereços das páginas excluem consultas, conteúdo de leitura e identificadores de vídeo; os títulos usam categorias de página fixas, e os referenciadores mantêm apenas a origem do site. Os valores de campanha vêm de uma lista de permissões fixa; outros valores se tornam outros. Não enviamos e-mails, nomes de conta, buscas, transcrições, notas, identificadores de tentativa ou tarefa nem links de vídeos de origem, não associamos IDs de conta do site e não ativamos o Google Signals nem anúncios personalizados. As visualizações de página são enviadas manualmente com a Medição Aprimorada desativada. A escolha separada do Google Ads é descrita abaixo.

Para pedidos de produção criados após esta permissão, um evento de compra é enviado somente quando nosso servidor retorna pagamento confirmado e créditos cumpridos. Ele inclui o valor confirmado, a moeda e um identificador de deduplicação irreversível derivado do ID de pedido aleatório. IDs de pedido originais, credenciais de pagamento e detalhes da conta não são enviados. Este navegador armazena no máximo 256 identificadores de deduplicação, limpos na retirada ou no vencimento da permissão. Pedidos históricos, pagamentos de sandbox, pagamentos não verificados e estados reembolsados não são preenchidos retroativamente como compras; reembolsos não são enviados automaticamente ao Google. Receber conteúdo exportado não prova que um arquivo foi salvo. Recusa, scripts bloqueados, não retornar ao site ou falha de rede podem causar eventos ausentes. O GA4 não é um livro comercial ou financeiro completo.

A permissão anterior apenas para páginas não autoriza automaticamente estes eventos comerciais: é necessária uma nova escolha, enquanto recusas anteriores permanecem em vigor. Ações anteriores à permissão não são preenchidas retroativamente, e fontes ausentes permanecem desconhecidas. As estatísticas do site e o Google Analytics têm escopos de permissão diferentes, portanto seus totais de usuários, visitas e eventos não precisam coincidir.

Este navegador armazena sua escolha separada por 90 dias. Com permissão, os cookies _ga e _ga_5NRF64W0FZ do Google são configurados para 90 dias e podem ser renovados nas visitas. Este não é o período de retenção dos relatórios do Google, que segue as configurações de retenção da propriedade GA4. Atividades anteriores à permissão não são preenchidas retroativamente. O Google pode processar dados em outros países; consulte a Política de Privacidade do Google. Este processamento opcional começa somente com uma escolha separada e não amplia os usos cobertos por escolhas anteriores.

Medição opcional do Google Ads (escolha separada)

Quando configurado, este recurso fica ativado por padrão apenas no primeiro uso sem uma escolha salva no navegador ou no servidor. Recusas anteriores permanecem desativadas. Altere-o separadamente em “Configurações de medição de anúncios”. Recusar não afeta a leitura, o cadastro ou as compras. Sem permissão, após a retirada ou quando DNT/GPC estiver ativo, não carregamos o código de medição de publicidade do Google nem enviamos solicitações de medição de publicidade ao Google. A retirada recarrega a página para remover o código de publicidade em execução; solicitações já enviadas não podem ser recuperadas.

Com permissão, o Google LLC recebe eventos de conversão por meio do seu navegador para resultados de legendas legíveis, cadastros concluídos, exportações geradas copiadas ou enviadas para download e pagamentos confirmados pelo servidor. Primeiras leituras e exportações são deduplicadas para este navegador; cadastros e pagamentos usam identificadores de deduplicação irreversíveis. Os pagamentos carregam o valor e a moeda reais confirmados, não o preço do catálogo. Um evento de download não prova que um arquivo foi salvo no disco. Um cliente que não retorna, bloqueia a tag ou recusa a medição pode não ser contado; esses relatórios não são um livro financeiro completo. Reembolsos são reconciliados com nossos pedidos e atualmente não são enviados automaticamente ao Google.

Cookies de publicidade e identificadores de clique (GCLID, GBRAID, WBRAID), juntamente com sinais de página e referenciador em caminhos fixos de site compatíveis, associam eventos a anúncios. O Google recebe o endereço IP e as informações do navegador necessárias para a conexão de rede. Os campos de página fornecidos explicitamente por nós contêm um endereço seguro sem consultas ou conteúdo de leitura e um título fixo. Não enviamos e-mails, nomes de conta, links de vídeos de origem, nomes de arquivo, transcrições ou notas, e não ativamos conversões aprimoradas nem anúncios personalizados. O processamento pelo Google é regido pela Política de Privacidade do Google.

Sua escolha independente é armazenada localmente. Somente a permissão cria nosso cookie de consentimento HttpOnly aleatório. O estado de autorização do servidor e os recibos de deduplicação limitados são retidos por até 90 dias; nosso servidor não armazena identificadores de clique nem conteúdo para este recurso. Informações de clique limitadas para navegação são mantidas apenas no armazenamento de sessão da aba do navegador; a tag do Google gerencia seus próprios cookies de publicidade. A retirada limpa nossos recibos na fila e as informações de clique locais. Não preenchemos retroativamente atividades anteriores à permissão. Pedidos necessários e registros de cobrança permanecem separados.

Contagens de chegada por campanha

Quando uma página deste site é aberta a partir de um endereço com rótulos de campanha controlados (utm_source, utm_medium, utm_campaign, utm_content), o servidor adiciona um à contagem da hora atual para a combinação de rótulos normalizada (apenas os valores fixos; qualquer outra coisa é contada como outros). Navegações do navegador são contadas separadamente de outras solicitações, como pré-visualizações de links, rastreadores e pré-busca. Essa contagem é mantida para todos os visitantes por padrão. Ela não define nem lê cookie, não grava nada no armazenamento do navegador e não armazena endereço IP, visitante ou ID de visita, endereço completo ou outro parâmetro de consulta. Ela mostra apenas quantas vezes cada link de campanha foi aberto, não pode ser vinculada a uma pessoa e não está ligada às estatísticas de tráfego nem aos registros opcionais de atribuição de campanha abaixo. Solicitações com sinal DNT ou GPC não são contadas; como as contagens não contêm nada sobre ninguém, não podem ser consultadas ou excluídas por pessoa. As contagens horárias são mantidas a longo prazo sem exclusão automática por idade.

Contagens do funil de compra

Quando um usuário conectado abre uma confirmação de processamento (para revisar o uso estimado), abre a página “Planos & de compra” ou envia uma tarefa que usa créditos comprados ou um passe único, o servidor adiciona um à contagem da hora atual, para que possamos saber se as franquias gratuitas são suficientes e quantas pessoas precisam comprar mais. As contagens são somadas apenas por categorias fixas: a etapa, o recurso de processamento (transcrição, resumo, tradução, detecção de falante), uma categoria de motivo ou resultado (por exemplo, franquia gratuita esgotada, arquivo com mais de 120 minutos, saldo comprado insuficiente, preço de primeiro pedido exibido) e se a conta é uma das contas internas deste site (administradores e contas de teste). As contagens comuns não registram conta, vídeo, transcrição, valor ou ID de pedido, e não são vinculadas a estatísticas de tráfego, estatísticas de campanha ou às estatísticas opcionais de atividade da conta. Se uma cotação de fonte comprada for bloqueada por um limite de duração, processamento pausado, processamento pago indisponível, capacidade diária, uma fonte de detecção de falante não suportada, um original enviado expirado ou outro limite fixo do servidor, um diagnóstico de administrador registra separadamente a conta, o recurso, o motivo fixo e o horário. Ele não contém vídeo, transcrição, valor ou ID de pedido e não é enviado ao Google ou a outras ferramentas de análise de terceiros. Para que uma conta seja contada apenas uma vez por dia, o servidor aplica hash unidirecional ao nome de usuário com um valor aleatório criado para aquele dia; o hash e o valor aleatório são mantidos no cache do servidor por 36 horas, após as quais as contagens não podem ser vinculadas a ninguém. As contagens horárias e os diagnósticos de cotação bloqueada são mantidos a longo prazo sem exclusão automática por idade. As contagens comuns não contêm identidade e não podem ser consultadas ou excluídas por pessoa; excluir uma conta remove os diagnósticos ainda vinculados a ela. O painel do administrador também soma o número e o valor de pedidos, pagamentos e reembolsos por período, exibindo apenas totais, não contas.

Atribuição opcional de campanha

Quando a opção de campanha e conversão está habilitada, nosso script de estatísticas lê rótulos de campanha controlados (origem, mídia, campanha e conteúdo UTM) e os adiciona ao seu registro de visita. Os rótulos de primeiro toque e da sessão atual de 30 minutos são mantidos no sessionStorage para esta aba. Não armazenamos links completos ou parâmetros de consulta arbitrários, nem colocamos esses rótulos no cookie de estatísticas. A coleta para quando as estatísticas estão desativadas ou quando DNT/GPC a recusa. Os registros de campanha normalizados são retidos com as visitas a longo prazo sem exclusão automática por idade. O armazenamento local do navegador também mantém identificadores aleatórios de estado de consentimento para aplicar a retirada e sincronizar abas; eles não contêm informações de conta nem conteúdo de links.

Depois que você aceita a política atual e tanto as estatísticas de campanha quanto as de atividade da conta estão habilitadas, o servidor pode associar o ID de visita atual e a campanha a eventos de atividade autorizados para resumir leitura, busca, exportação e cadastro por canal. Esses resumos por canal não mostram contas, cookies brutos, endereços IP, texto de transcrição ou de notas, nem links completos. Essa associação não é criada quando a opção está desativada.

Para diagnosticar políticas de segurança do navegador, mantemos separadamente contagens diárias de categorias de política e categorias de origem controladas por até 8 dias. Não retemos endereços de página, amostras de script, contas ou parâmetros de consulta desses relatórios.

Quando a atribuição de campanha está habilitada, a visita pode registrar se o cadastro foi bem-sucedido, sem um identificador de conta, para medir a conversão de inscrições. Vincular uma visita à atividade da conta também exige que as estatísticas da conta estejam habilitadas. Os padrões de primeiro uso preservam todas as escolhas anteriores.

Quando as estatísticas de tráfego são permitidas, cerca de 10% dos carregamentos de página são amostrados para LCP, INP e CLS. Apenas contagens de histograma agrupadas por versão do frontend e categoria de dispositivo são retidas, por até 8 dias. Nenhum endereço de página, conta, ID de métrica ou conteúdo de página é enviado. Os relatórios param quando as estatísticas de tráfego estão desativadas ou quando DNT/GPC recusa a coleta. Menos de 20 amostras não são tratadas como evidência de que uma meta foi atingida.

Envios opcionais de vídeo vinculados a visitas

As estatísticas de campanha e “Vincular meus envios de vídeo às minhas visitas (opcional)” controlam a associação de envios futuros com a visita atual. Ambas começam habilitadas no primeiro uso sem uma escolha anterior e podem ser desativadas separadamente. O administrador pode ver categorias de página registradas, horários de envio, títulos e links de vídeos e resultados de processamento atuais em ordem sob IDs pseudônimos de visitante e de visita, para encontrar problemas no envio e na leitura. Contas conectadas também devem aceitar a política atual e permitir as estatísticas opcionais de atividade da conta. Esta opção anterior de vinculação de envios não usa a credencial anônima de acesso a tarefas como identificador de rastreamento. Esta opção não registra conteúdo digitado, movimentos do ponteiro ou endereços IP; os registros de IP de visita têm seu próprio controle abaixo. Envios locais não mostram nome de arquivo, link ou conteúdo de transcrição.

Esses vínculos são retidos a longo prazo sem exclusão automática por idade e ficam habilitados no primeiro uso sem escolhas anteriores. Escolhas de campanha mais antigas são preservadas. Envios passados não são preenchidos retroativamente e os vínculos nunca são inferidos a partir de endereços IP ou de horários. Desativar esta opção ou todas as estatísticas de tráfego exclui os vínculos de envio deste navegador; DNT/GPC interrompe o registro. Desativar ou excluir as estatísticas de atividade da conta também limpa os vínculos de envio da conta. Registros necessários de tarefas permanecem separados e não são apagados pela exclusão de vínculos opcionais. Os IDs de visitante distinguem navegadores, não identidades reais; limpar o cookie de estatísticas ou usar outro navegador cria um novo ID.

Navegação conectada e vínculos de tarefas

Enquanto as estatísticas de tráfego estão habilitadas, novas visualizações de página de usuários conectados são vinculadas por padrão à conta verificada pelo servidor. Não é necessária estatística de campanha nem caixa de seleção separada; sessões de login existentes são incluídas. Os administradores podem ver categorias de página, horários de visita, tempo ativo registrado e tipos de tarefa, horários de envio e resultados atuais explicitamente vinculados à página observada, para diagnosticar problemas de navegação e processamento. Isso não habilita estatísticas de campanha nem estatísticas opcionais de atividade da conta. Endereços IP de visita, cliques em botões e resultados de ações mantêm seus controles separados.

O servidor verifica a identidade para cada novo evento de página. Entrar, trocar de conta ou sair inicia um novo registro de página; registros anteriores nunca são atribuídos a uma conta posterior usando o mesmo navegador. Vínculos históricos de navegação e de tarefas não são preenchidos retroativamente, e a identidade nunca é inferida a partir de endereços IP, horários próximos ou vídeos compartilhados. Evidências ausentes permanecem desconhecidas ou não vinculadas. Cookies brutos, credenciais de login, conteúdo digitado e nomes de arquivo locais não são exibidos. Visitas de administrador e de testes internos conhecidos são excluídas do histórico de páginas da conta.

Os vínculos são mantidos a longo prazo sem exclusão automática por idade. Desativar todas as estatísticas de tráfego ou enviar DNT/GPC interrompe a coleta e remove os vínculos deste navegador; excluir uma conta remove seus vínculos. O controle de exclusão de estatísticas da conta ainda pode remover vínculos de conta existentes; visualizações de página posteriores seguem a configuração atual de estatísticas de tráfego. Desativar as estatísticas de campanha não interrompe este registro padrão. Registros necessários de tarefas, uso e segurança de login mantêm suas próprias regras e não são apagados pela exclusão de vínculos de navegação.

Tarefas de convidado usam a configuração separada de atividade de convidado abaixo e credenciais de tarefa verificadas. Códigos G identificam credenciais de acesso a tarefas e códigos V identificam visitas de navegador; nenhum dos dois prova a identidade de uma pessoa natural nem preenche retroativamente vínculos históricos.

Tarefas de convidado, IPs e cliques juntos

A partir de 6 de outubro de 2026, novas visitas com estatísticas básicas de tráfego habilitadas vinculam tarefas futuras de convidado à página e à visita exatas observadas, usando uma referência pseudônima verificada pelo servidor para a credencial de tarefa de convidado deste navegador. O administrador pode ver tarefas, resultados, IPs de visita, regiões aproximadas e cliques em botões suportados juntos sob o mesmo código G. O registro de IP e de cliques mantém seus próprios interruptores. Nem o IP nem o horário são usados para adivinhar a propriedade. Credenciais e cookies brutos nunca são exibidos.

A vinculação de convidado fica ativada por padrão para novas visitas, independentemente das estatísticas de campanha e dos vínculos de navegação de contas conectadas. Recusas anteriores permanecem desativadas. Em Estatísticas de tráfego, desative “Vincular tarefas de convidado a visitas” para interromper vínculos futuros de convidado e excluir os vínculos de convidado existentes deste navegador; registros necessários de tarefas e registros de IP e de cliques habilitados de forma independente permanecem, sem associação de convidado. Desativar todas as estatísticas de tráfego ou enviar DNT/GPC interrompe a coleta e remove esses vínculos do navegador. Os vínculos são mantidos a longo prazo sem exclusão automática por idade, navegação e tarefas históricas não são preenchidas retroativamente, e os vínculos de contas conectadas seguem as regras básicas de estatísticas de tráfego acima.

A partir de 15 de outubro de 2026, o registro básico de botões também controla o contexto de vídeo público nas páginas de leitura. Depois que um vídeo público do YouTube ou Bilibili carrega em legendas, resumo ou busca, seu identificador de vídeo e o idioma da legenda podem ser salvos para aquela visualização de página exata. Os administradores podem ver seu título e abrir o leitor. Nomes de envios locais, texto de entrada e de transcrição são excluídos; o contexto de vídeo não é enviado a ferramentas de análise de terceiros. Desativar o registro de botões exclui as associações de vídeo deste navegador. Desativar todas as estatísticas de tráfego ou enviar DNT/GPC interrompe a coleta. Visualizações mais antigas sem um identificador salvo mostram “Vídeo não registrado”; tarefas ou horários próximos nunca são usados para adivinhar o vídeo. Os diagnósticos de associação de vídeo também salvam as versões fixas do coletor e do protocolo do leitor informadas para aquela visualização e uma categoria de resultado controlada, como não informado, erro de contexto, fonte não suportada ou metadados de vídeo ausentes. Eles não contêm impressão digital de dispositivo, URL completa, nome de arquivo ou texto de erro bruto. A mesma escolha de registro de botões controla esses diagnósticos e os exclui junto com as associações de vídeo. Diagnósticos históricos ausentes permanecem desconhecidos e não estabelecem que uma página antiga foi usada.

Correspondência diagnóstica de IP e horário (atualizada em 7 de outubro de 2026)

Para diagnosticar tarefas de conta separadas dos registros de navegação, os administradores podem visualizar automaticamente páginas e cliques em botões salvos com o mesmo IP dentro de 10 minutos antes ou depois de um login bem-sucedido, incluindo registros históricos que ainda estão armazenados. Os candidatos compartilham a lista de visitas da conta com atividade confirmada, e cada registro inferido é rotulado “Associação inferida”, com os IDs de visita originais, horários de login e IDs de tarefa da conta na mesma janela. A propriedade original e os totais confirmados de visitas/cliques da conta permanecem inalterados. Um IP compartilhado não estabelece a identidade de uma pessoa. Múltiplas contas ou visitas candidatas são marcadas como ambíguas; visitas explicitamente pertencentes a outra conta são excluídas.

Este diagnóstico usa apenas IPs de login e registros de navegação existentes. Dados ausentes não são coletados retroativamente e vínculos inferidos não são armazenados. Os IPs são instantâneos de abertura de página, não localizações medidas em cada clique. Desativar “Registrar IP de visita” ou “Vincular tarefas de convidado a visitas” exclui este navegador da correspondência. Desativar ou excluir as estatísticas opcionais de atividade da conta exclui a conta. Desativar o registro de cliques exclui os cliques existentes e os remove dos candidatos. Desativar todas as estatísticas de tráfego ou retirar o consentimento via DNT/GPC também exclui o navegador. As regras de não preenchimento retroativo das seções de vínculos opcionais continuam a se aplicar a identidades confirmadas e vínculos armazenados; esta visualização separada de candidatos históricos rotulada substitui declarações anteriores de que nenhuma comparação de IP/horário é realizada. Os IPs de login também são usados para este diagnóstico; os períodos de retenção permanecem inalterados.

Estatísticas opcionais de atividade da conta

Separadamente dos registros de tráfego, as estatísticas opcionais de atividade da conta usam uma referência de conta HMAC gerada pelo servidor, uma referência mínima de vídeo, IDs de evento e operação, categorias de ação controladas, carimbos de data e hora e uma categoria de assunto atribuída pelo servidor. Essas referências são pseudônimas e podem vincular atividades dentro de uma conta; elas não são anônimas. Nenhuma URL bruta de vídeo, texto de busca, transcrição ou anotação é coletada. Visitas autorizadas e atividade da conta podem ser associadas pelo ID de visita apenas enquanto as estatísticas de atividade da conta estiverem habilitadas.

Finalidade: entender se a leitura, a entrega de citações e a reutilização posterior funcionam. A entrega de exportação significa que um download no navegador foi iniciado ou que um texto foi copiado; isso não prova que um arquivo foi salvo ou usado. A coleta começa apenas após o consentimento com a política atual e com uma preferência de análise da conta habilitada. No primeiro uso após aceitar a política atual, apenas uma preferência ausente é inicializada como habilitada; uma recusa salva ou exclusão é preservada. Desativar as estatísticas de tráfego também desativa a coleta de atividade da conta. DNT e GPC são respeitados.

Eventos opcionais detalhados são excluídos conforme os controles de exclusão abaixo. Você pode desativar a coleta ou excluir esses eventos nos controles de estatísticas. Registros obrigatórios de uso e cobrança são separados e não são apagados por este controle opcional de análise. Não há período de espera para esta implantação inicial. Os padrões de primeiro uso não substituem escolhas salvas, e atividades passadas não são preenchidas retroativamente.

Estatísticas de botões e resultados de ações

Novas visitas registram, por padrão, ativações posteriores de botões compatíveis como parte das estatísticas básicas de tráfego, para ajudar a encontrar problemas na leitura, tradução, resumos, busca e exportação. Você pode desativar isso separadamente em Estatísticas de tráfego no rodapé da página. A vinculação de campanha e identidade da conta não é necessária. Recusas explícitas existentes permanecem desativadas, e cliques passados não são preenchidos retroativamente. O registro padrão não é registrado como seu consentimento para estatísticas de campanha.

Os registros de cliques em botões contêm apenas categorias fixas de botão e página, idioma da interface, categoria de dispositivo, horário de recebimento pelo servidor e identificadores pseudônimos de navegador e visita. Eles não contêm valores de entrada, conteúdo do usuário dentro dos botões, URLs completas, parâmetros de consulta, transcrições ou nomes de arquivos. Um clique significa que um botão foi ativado, não que uma operação teve sucesso ou que seu resultado foi salvo. Administradores podem ver rankings e registros individuais. Nomes de contas conectadas seguem as estatísticas básicas de tráfego por padrão e exigem verificação pelo servidor da identidade da página atual; atividades anteriores do navegador não são atribuídas à última conta conectada. Registros de IP de visita têm o controle separado abaixo.

A mesma escolha de registro de ações também controla o conteúdo de busca de legendas enviado. Um instantâneo da entrada é registrado apenas quando você clica em Buscar ou envia com Enter, nunca enquanto digita sem enviar. Buscas com correspondências, sem correspondências, falhas e recusas de validação do navegador podem ser registradas para os administradores inspecionarem junto com os resultados da exata mesma ação. Cada instantâneo retém até os primeiros 2,048 caracteres, sua contagem original de caracteres e se foi truncado; links dentro do texto enviado são incluídos nesse instantâneo. Apenas administradores podem ler esses registros. O conteúdo de busca não é enviado ao Google Analytics nem a plataformas de publicidade. Resultados ausentes permanecem desconhecidos, não são presumidos como falhas, e entradas ausentes históricas não são preenchidas retroativamente. Registros de busca usam as mesmas regras de retenção, desativação e exclusão que os registros de botões e resultados de ações abaixo.

A partir de 8 de outubro de 2026, o mesmo controle de registro também abrange observações separadas do navegador sobre resultados de leitura, busca, exportação e cópia: legendas legíveis ou vazias, correspondências ou nenhuma correspondência, categorias fixas de falha, conteúdo de exportação recebido, um download entregue ao navegador e uma gravação concluída na área de transferência. Cada observação contém uma categoria fixa de resultado, sua associação de página e o horário de recebimento pelo servidor; um identificador aleatório por ação é transformado em hash para detecção de duplicatas. Diagnósticos de falha podem incluir um código de erro fixo, etapa, status HTTP e ID de requisição. A partir de 16 de outubro de 2026, envios de leitura rejeitados com HTTP 400/422 também podem registrar o link de entrada HTTP(S) reconhecível daquela requisição para solução de problemas pelos administradores. Credenciais, fragmentos e parâmetros de consulta que não sejam IDs de vídeo válidos ou números de parte do Bilibili são removidos. A partir de 21 de outubro de 2026, envios de leitura tentados e rejeitados pela validação do navegador ou por HTTP 400/422 também retêm um instantâneo sanitizado da entrada enviada, mesmo quando nenhum link pode ser extraído. Isso inclui palavras enviadas, texto compartilhado, espaços em branco e endereços malformados, até 2,048 caracteres Unicode sanitizados, com contagem original de caracteres, sinalizadores de truncamento e de ocultação. Credenciais de URL, consultas, fragmentos e credenciais explicitamente rotuladas são ocultados antes da coleta e verificados novamente pelo servidor; controles invisíveis são escapados. Apenas o clique exato ou o envio com Enter é capturado, nunca digitação não enviada ou edições posteriores. Apenas administradores podem ler este conteúdo; ele não é enviado ao Google Analytics nem a plataformas de publicidade. Isso não coleta automaticamente transcrições, nomes de arquivos locais ou identificadores de conta. Links seguem os mesmos controles de registro e exclusão que os registros de falha. Essas observações são separadas dos cliques em botões e dos estados de tarefas do servidor. Receber conteúdo de exportação não prova um download, e entregar um download ao navegador não confirma que um arquivo foi salvo em disco. Os resultados são relatados pelo navegador e podem estar ausentes; registros ausentes não significam falha. Nenhum registro histórico de resultados é preenchido retroativamente. Links de entrada históricos não são preenchidos retroativamente.

Registros de cliques e resultados de ações são mantidos a longo prazo sem exclusão automática por idade. Desativar o registro de botões e resultados de ações ou todas as estatísticas de tráfego interrompe a coleta e exclui os registros anteriores de cliques e resultados deste navegador. DNT/GPC também interrompe a coleta e os apaga. Recusas explícitas existentes continuam a se aplicar a ambos. Desativar as estatísticas de campanha não desativa este registro independente. Desativar todas as estatísticas de tráfego remove os vínculos de nome de usuário correspondentes; registros de cliques e resultados também podem ser desativados separadamente. Excluir uma conta remove os registros de cliques e resultados ainda explicitamente vinculados a ela.

As medições de fluxo de leitura usam o mesmo controle de botões e resultados de ações: um identificador aleatório de tentativa (armazenado como hash), links de nova tentativa, etapas e motivos fixos, exposição/continuação/fechamento do prompt, tempo decorrido observado pelo navegador, visibilidade da página e versão de instrumentação. Estes distinguem entrada, envio, legendas ausentes, transcrição, conteúdo exibido e resultados restaurados. Esta aba pode manter metadados de continuação no sessionStorage, sem conteúdo de entrada ou nomes de conta, para retomar uma tentativa dentro de 24 horas; o navegador os remove quando a aba é fechada. A conclusão no servidor usa apenas uma associação de tarefa existente, permitida e verificada; associações indisponíveis permanecem desconhecidas. Os retornos usam registros pseudônimos do navegador, sem inferir identidade entre dispositivos. Esses novos registros não contêm texto de entrada, transcrições ou nomes de arquivos locais, e etapas antigas não são reconstruídas. Desativar este controle ou todas as estatísticas interrompe e apaga esses registros do navegador; DNT/GPC também se aplica. Registros do servidor seguem as regras de retenção a longo prazo e exclusão acima.

Registros de IP de visita

Novas visitas registram o IP público recebido pelo servidor para novas visualizações de página por padrão como parte das estatísticas básicas de tráfego. Você pode desativar isso separadamente em Estatísticas de tráfego no rodapé da página; a vinculação de campanha e identidade da conta não é necessária. Recusas explícitas existentes permanecem desativadas, e visitas passadas não são preenchidas retroativamente. Apenas o servidor extrai o IP de um ponto de entrada de rede confiável; o navegador não envia nenhum campo de IP. Endereços não confiáveis ou não públicos aparecem como desconhecidos, e endereços internos de proxy não são armazenados. Quando os administradores visualizam registros, o banco de dados de IP local atual estima o país, a região e a cidade aproximados de cada IP. Não enviamos endereços IP a um serviço de consulta de terceiros, não coletamos localização precisa nem usamos endereços IP para inferir identidade de conta ou vincular visitas antigas. Dados de geolocalização: DB-IP, licenciado sob CC BY 4.0.

Os administradores podem ver o IP daquela visualização de página junto com os registros de botões, a menos que estes estejam desativados. Nomes de contas conectadas são vinculados por padrão nas estatísticas de tráfego após verificação pelo servidor da identidade da página atual. Esses registros podem ser visualizados juntos e são dados pessoais vinculáveis, não dados anônimos. Redes compartilhadas, VPNs e proxies podem dar o mesmo IP a várias pessoas; um IP não prova identidade nem localização precisa. Esses registros ajudam a diagnosticar problemas na visita e no uso do site e são mantidos a longo prazo sem exclusão automática por idade.

Desativar o registro de IP ou todas as estatísticas de tráfego interrompe a coleta e apaga os registros anteriores de IP de visita deste navegador. DNT/GPC também interrompe a coleta e os apaga. Desativar as estatísticas de campanha não desativa o registro independente de IP. Após uma mudança de conta, cada nova página usa a sessão verificada atual sem reetiquetar páginas anteriores. Registros de IP de visita continuam a seguir o controle independente de IP. Excluir uma conta apaga os registros de IP de visita ainda explicitamente vinculados a ela. Registros de IP de segurança de login necessários permanecem separados e não são controlados por esta escolha de estatísticas de tráfego.

2. O que não coletamos

Registros de pagamento, direitos e reembolso

Quando produtos pagos são abertos, armazenamos IDs de pedido vinculados à conta, instantâneos do produto e da política aceita, o idioma da política exibido, valores e moedas, IDs de pagamento e reembolso do provedor, horários de pagamento e reservas de direitos e registros de entrega. Um passe único também retém seu identificador de ativo vinculado e prazos. Esses registros dão suporte ao cumprimento, à reconciliação de pagamentos e ao atendimento pós-venda, independentemente das preferências opcionais de análise. O checkout da Waffo e seus processadores de pagamento lidam com as informações necessárias para o pagamento; a Vidleaf não recebe nem armazena detalhes completos de cartão. O canal de pagamento recebe referências de loja, produto e pedido aleatório, não suas transcrições, áudio ou anotações.

Número de telefone, nome real, documentos de identidade, detalhes de cartão de pagamento, localização precisa, User-Agent bruto, contatos, identificadores de dispositivo. A classe de dispositivo (celular / desktop) para estatísticas de tráfego é decidida no seu navegador e a informação bruta não é enviada de volta.

Seu endereço de e-mail precisa ser mencionado separadamente, porque depende de como você se cadastrou:

Em outras palavras, você pode usar todos os recursos sem nunca nos fornecer seu endereço de e-mail: cadastre-se com o Google.

3. O que é só seu e o que é compartilhado em todo o site

Isto afeta diretamente o que você pode excluir, então tem sua própria seção.

Só seu (invisível para outros usuários): detalhes da conta, os rótulos que você escreve, sua lista de tarefas, seus registros de uso e transcrições, traduções e resumos produzidos a partir dos seus uploads de áudio locais. Os rótulos são armazenados por conta; os rótulos de usuários diferentes no mesmo vídeo não podem se ver.

Cache compartilhado (apenas para vídeos públicos do Bilibili e do YouTube, com chave por vídeo, não por usuário): metadados de vídeo, faixas de legendas, traduções, resumos. Uploads locais têm chave por conta; duas contas que enviam o mesmo arquivo não podem ler o resultado uma da outra. Remover um item de “Minhas tarefas” oculta a entrada do histórico, mas não exclui uma transcrição de upload salva. Entre em contato com o suporte conforme §8 para solicitar a exclusão de um resultado processado.

Três consequências, todas declaradas:

1. Outros usarão resultados que você gerou. Outro usuário que abrir o mesmo vídeo lê as legendas, a tradução e o resumo já existentes em vez de pagar para gerá-los de novo. É o principal motivo pelo qual conseguimos manter os custos baixos.
2. Você não pode excluí-los unilateralmente. Eles já não correspondem apenas à sua conta. Para removê-los, use a via de remoção nos Termos §12 — que se aplica ao vídeo inteiro e, portanto, afeta outros usuários também.
3. A interface não mostra quem enviou um vídeo, e outros usuários não podem ver sua conta. Mas o banco de dados registra qual job buscou um vídeo pela primeira vez, e esse job remonta a uma conta; o operador também pode ver registros de chamadas por conta para contabilização de custos e registros de login por conta. O operador também pode ver, no painel administrativo, cada link de vídeo enviado com seu título, duração e resultado do processamento, e se foi enviado enquanto conectado (um envio feito sem login normalmente aparece como “Convidado”; um ID de visitante pseudônimo também é mostrado após permissão separada para a vinculação opcional descrita abaixo), para investigar falhas, tratar reclamações e entender como o site é usado; para um upload local, apenas “Upload local”, sua duração e o resultado são mostrados, nunca o nome do arquivo. A partir de 9 de outubro2026 (horário de Pequim), um envio feito enquanto conectado também mostra o nome de usuário da conta. Portanto, a afirmação precisa é: anônimo para outros usuários, não anônimo para o operador.

Compartilhado não significa público. Um padrão comum entre produtos semelhantes é publicar o resumo de IA de cada vídeo em uma página sem necessidade de login que os mecanismos de busca indexam, reutilizando o título do vídeo original. O Vidleaf não faz isso:

4. Processadores terceirizados

Para fazer o que você pede, os seguintes provedores recebem o conteúdo correspondente. As solicitações não carregam nome de conta nem identificador interno de usuário.

A pontuação por IA para leitura vem ativada por padrão. Ao ler trechos longos sem quebras de frase, o Vidleaf envia pequenas porções do texto de legenda existente ao seu modelo de texto DeepSeek já existente para adicionar pontuação e quebras de parágrafo para exibição. Nenhum áudio é enviado para esse recurso. O Vidleaf paga por isso sem usar suas cotas gratuitas ou compradas da conta. O texto original e os carimbos de tempo são preservados, e os resultados de leitura são armazenados em cache para a mesma versão de legenda. Os resultados de upload local mantêm suas restrições de acesso à conta já existentes. Desmarque “Pontuação por IA” no leitor de transcrição para interromper novas solicitações e voltar ao original; solicitações já enviadas não podem ser retiradas. Busca, cópia e exportações não usam essa camada de leitura, e as escolhas de tradução existentes permanecem inalteradas. Este controle é separado das estatísticas de tráfego e do consentimento para processamento de áudio.

Apenas o cadastro e o login envolvem os dois últimos. Leitura de legendas, transcrição, tradução e resumos nunca chegam perto deles.

Três coisas que vale declarar sobre a linha do Google:

1. O script é carregado sob demanda. O script do botão de login do Google (accounts.google.com/gsi/client) só é buscado quando você abre o painel de login e o login com Google está realmente habilitado. Isso não habilita a medição publicitária opcional separada descrita na seção 1.
2. Ele não fará login por conta própria. A seleção automática de conta é desativada quando o botão é inicializado, então não existe "já conectado com alguma conta do Google" — você precisa pressioná-lo.
3. Pegamos um identificador e nada mais. O que o Google nos retorna é um token assinado; dele lemos apenas o identificador de usuário por site e um nome de exibição. Não lemos nem armazenamos o endereço de e-mail nem a foto.

Sobre a linha do Mailtrap: ele recebe seu endereço apenas se você escolher "continuar com e-mail", e apenas essa mensagem de verificação. Ele não recebe sua senha, seu conteúdo nem seu uso. Por quanto tempo ele mantém essa mensagem está no §5.

Esta é a configuração padrão atual. Se você usar BYOK, o conteúdo vai para o provedor que você configurar, regido pelo seu contrato com ele.

Exercendo seus direitos junto a esses provedores: entre em contato conosco primeiro (§12) e encaminharemos uma solicitação de acesso, correção ou exclusão; ou contate-os diretamente usando os dados acima. Informaremos o resultado.

Alterar ou adicionar um processador é anunciado no site com 10 dias de antecedência. Se você não aceitar um novo processador, pare de usar o recurso correspondente ou encerre sua conta. A exceção de resposta imediata a segurança da seção 11 se aplica à verificação necessária de antiaabuso; mudanças de provedor de áudio ainda seguem a regra de aviso prévio.

Áudio saindo da sua região, dito claramente: transcrição e detecção de falantes enviam áudio para fora da China continental. Se você não quer que um determinado áudio saia, não use esses dois recursos — ler legendas existentes não envia áudio algum. Para áudio enviado por upload não existe a opção "somente legendas": um upload não tem legendas da plataforma, então, depois que você confirmar a transcrição, ele será enviado ao provedor de transcrição listado acima. Não envie áudio que você não esteja disposto a transmitir.

Verificação de segurança de e-mail — Cloudflare Turnstile

Quando você solicita um código de cadastro ou uma redefinição de senha, seu navegador se conecta à Cloudflare, Inc. para distinguir pessoas de bots. A Cloudflare recebe sinais de segurança do navegador, incluindo seu endereço IP, impressão digital TLS, User-Agent, chave do site e origem da página; o processamento pode ocorrer fora do seu país ou região. A Cloudflare também usa sinais para melhorar a detecção de bots, conforme descrito em seu Adendo de Privacidade do Turnstile.

O Vidleaf carrega a verificação apenas quando você solicita uma dessas ações de e-mail, após a etapa de termos de cadastro quando aplicável. A navegação comum e o login por senha não a carregam. Nosso servidor envia o token de verificação e o segredo do site à Cloudflare; ele não inclui seu e-mail, senha ou um campo de IP separado. Não armazenamos tokens de desafio nem respostas do provedor. A retenção da Cloudflare segue as políticas dela. Esta verificação necessária de segurança de e-mail é separada da análise opcional; cancelá-la não envia e-mail. O formulário afetado tem link para o aviso de verificação.

5. Por quanto tempo os provedores a mantêm

Não sabemos, e não podemos controlar isso. Isso depende da política de cada provedor e está fora deste serviço. Você pode ler as políticas de privacidade deles diretamente. Um ponto merece menção separada:

O OpenRouter recebe arquivos de áudio originais elegíveis ou segmentos de áudio transcodificados. Segundo suas notas de coleta de dados, o OpenRouter não armazena o conteúdo enviado a ele nem a saída do modelo, a menos que a conta ative o registro (nós não ativamos), e mantém apenas metadados da solicitação, como duração e contagens de tokens. Ele encaminha o áudio a um provedor de modelo; cada provedor tem sua própria política de retenção, que o OpenRouter lista por provedor em seu site. Não podemos prometer um período de retenção em nome deles.

O DeepSeek recebe texto de legenda, não áudio. Sua política de privacidade declara que os dados são armazenados na República Popular da China e que, após processamento de segurança e desidentificação, entradas e saídas podem ser usadas para treinar e melhorar seus modelos. As solicitações a ele não carregam nome de conta.

O pyannoteAI recebe o arquivo de áudio completo. Para este, fomos ler a documentação deles, para podermos dar os números reais em vez de "depende deles":

A fonte é docs.pyannote.ai/data-retention, que diz "excluído automaticamente em até 48 horas".

Não temos como chamar um "delete" do lado deles, porque eles não oferecem um — o design deles é expirar por temporizador em vez de deixar os chamadores fazerem isso. Uma versão anterior deste texto dizia que não podíamos excluí-lo e chamava isso de a coisa mais valiosa a melhorar; isso foi inferido da nossa própria lista de permissões de solicitação sem ler a documentação deles, e era impreciso. Esta é a versão corrigida.

Mais um do mesmo tipo, também declarado como é: o Mailtrap mantém a mensagem de verificação, corpo incluído, em seu log de envio, e esse corpo contém o código de seis dígitos. Por quanto tempo depende do plano de cobrança — segundo sua página pública de preços, 3 dias no plano gratuito, 5 no Basic, 15 no Business, 30 no Enterprise.

O risco prático aqui é menor do que parece à primeira vista, e o motivo vale ser dito: o próprio código expira em 10 minutos, então o código que está nesse log já está morto muito antes de alguém poder usá-lo. O que o log retém é o fato de que este endereço recebeu uma mensagem de cadastro nossa em determinado momento. Declaramos isso aqui mesmo assim, em vez de deixar você ir ler uma página de preços.

6. Por quanto tempo nós mantemos

A última linha, dita claramente: a Vidleaf não realiza exclusão periódica de dados comerciais. Metadados de vídeo, legendas, traduções, resumos, rótulos, registros de jobs e registros de chamadas e custos são mantidos enquanto sua conta existir. Preferimos não dar um prazo que não podemos cumprir. Para excluí-los, use §8.

Sobre "até cerca de quatro semanas em backups externos": o backup externo mantém, de forma independente, o último snapshot de cada um dos sete dias corridos mais recentes e o último snapshot de cada uma das quatro semanas corridas mais recentes (deploy/backup/README.md). Ele deliberadamente não aceita nenhum comando de exclusão do site principal — caso contrário, comprometer o site principal levaria os backups junto. O custo dessa escolha é exatamente este: depois que excluímos seus dados do banco de dados ativo, eles ainda existem nesses snapshots até que snapshots mais novos os empurrem para fora. O teto é, portanto, a idade do snapshot semanal mais antigo, cerca de quatro semanas.

Por que a linha do código de verificação está redigida de forma tão estranha: a limpeza acontece como parte da emissão de um código, não em um temporizador próprio. Portanto, a afirmação precisa é "expira após 10 minutos e é excluído na próxima vez que alguém solicitar um código", e não "excluído após 10 minutos". Durante um período sem nenhum cadastro, a última linha expirada fica lá. Escrever "excluído após 10 minutos" seria uma falsidade — e é exatamente o tipo de falsidade que acaba em uma política de privacidade.

7. Cookies

As três categorias a seguir são cookies nossos e não são compartilhados com terceiros. Os cookies do Google Analytics e do Google Ads, permitidos separadamente, são descritos nos avisos opcionais de medição na seção 1.

• O cookie de estatísticas é um valor aleatório; o banco de dados armazena apenas seu digest SHA-256, não vinculado à sua conta do site por padrão. Uma visita é associada à atividade autorizada somente quando você opta por estatísticas de atividade da conta.
• Você pode desativar a coleta a qualquer momento em "Estatísticas de tráfego" no rodapé. O site funciona da mesma forma com ela desativada.
• Respeitamos os sinais DNT / GPC do navegador: quando detectados, a coleta é desativada automaticamente sem que você faça nada.
• O cookie de acesso desconectado contém um número aleatório de 128 bits e nada mais. Ele é HttpOnly, então scripts de página não podem lê-lo, e ele não aparece em nenhuma URL, log ou código-fonte de página. Ele não é o que sua cota usa como base — a cota desconectada é contada com base em um hash do seu endereço IP. Um limite contado com base em um cookie não pode ser aplicado em princípio: sem o cookie, o servidor só pode emitir um novo.
• O botão de login do Google define cookies próprios do Google, no domínio accounts.google.com em vez do nosso. Eles são regidos pela política do Google; não podemos lê-los nem excluí-los. Como diz §4, esse script só carrega quando você abre o painel de login: não pressione login e esses cookies nunca aparecerão.

8. Seus direitos e como exercê-los hoje

Dito como é, sem prometer o que não podemos fazer:

O que nos comprometemos a fazer: solicitações de exclusão e encerramento são concluídas em até 15 dias úteis após o recebimento — sua conta, rótulos, registros de jobs e registros de uso excluídos, e qualquer coisa que não possa ser excluída anonimizada. O cache compartilhado de vídeos públicos em §3 não corresponde apenas à sua conta; use os Termos §12 para sua remoção. Os resultados de uploads locais são isolados por conta e incluídos em uma solicitação de exclusão manual. Ocultar um item em "Minhas tarefas" não exclui o resultado.

Uma rota de autoatendimento está sendo construída. Até que ela seja lançada, a rota de e-mail acima é a oficial e não vamos atrasar nem recusar porque não há um botão.

9. Segurança

• As senhas são armazenadas com PBKDF2-HMAC-SHA256, 600,000 iterações e um salt aleatório de 24 bytes. Elas são irreversíveis.
• Credenciais de terceiros mantidas no servidor, incluindo as sessões de conta do Bilibili, são armazenadas criptografadas e nunca gravadas em logs.
• HTTPS em todo o site.
• Não registramos senhas, não registramos credenciais de terceiros e não gravamos links completos de vídeos nas estatísticas de tráfego.
• Nenhum sistema é perfeitamente seguro. Se um incidente afetar seus dados, anunciaremos no site e declararemos o escopo diretamente.

10. Menores

A Vidleaf não é direcionada a crianças menores de 14, e não coletamos intencionalmente informações delas. Se você é responsável e descobre que uma criança se cadastrou, entre em contato conosco e excluiremos os dados.

11. Alterações nesta Política

Versão 2026-10-22.1:As contagens do funil de compras agora incluem diagnósticos de bloqueio na confirmação de uso pago no nível da conta. Somente quando um usuário conectado seleciona créditos S/L comprados ou um passe único e o servidor não consegue iniciar devido a um limite de duração, processamento pausado, processamento pago indisponível, capacidade diária, uma fonte de detecção de locutor não suportada, um original enviado expirado ou outro limite fixo do servidor, os administradores podem visualizar a conta, o recurso, o motivo e o horário. Os registros excluem vídeo, transcrição, valor e ID do pedido e não são enviados para análises de terceiros. Contagens anônimas anteriores de "bloqueado por outro motivo" não podem ser reconstruídas. A exclusão de uma conta remove os diagnósticos vinculados.
Versão 2026-10-21.1:No primeiro uso sem escolha anterior, a atribuição de campanha, os links de envio, as estatísticas de atividade da conta, o Google Analytics e a medição configurada do Google Ads são ativados por padrão e podem ser desativados separadamente. Os padrões não substituem recusas anteriores, exclusão, escolhas expiradas ou não verificáveis. DNT/GPC e a desativação global de estatísticas ainda se aplicam; a atividade passada não é preenchida retroativamente. As caixas de seleção de concordância para cadastro, processamento de áudio, compras e reembolsos começam marcadas e podem ser desmarcadas. O consentimento ou uma operação só é enviado após o clique no botão final; abrir uma página não registra, transcreve, paga ou reembolsa.
Versão 2026-10-21:A navegação conectada e os links de tarefas agora seguem as estatísticas de tráfego por padrão, incluindo sessões existentes, sem estatísticas de campanha ou uma caixa de seleção separada. A desativação de análises, DNT/GPC, a exclusão de conta e as verificações de identidade do servidor por evento permanecem; o histórico de navegação não é preenchido retroativamente.
Versão 2026-10-19: O cadastro por e-mail e a redefinição de senha agora usam o Cloudflare Turnstile antes de enviar e-mails para evitar abuso automatizado. Avisos de redefinição não são mais enviados por e-mail para contas inexistentes, desativadas, excluídas ou sem senha; a página usa uma resposta genérica. Esta atualização divulga a verificação de navegador do Cloudflare e permite que medidas de segurança necessárias para lidar com abuso contínuo entrem em vigor na publicação, com aviso no fluxo afetado. Outras alterações de política mantêm seus períodos de aviso existentes. Os provedores de áudio e o consentimento separado para exportação de áudio permanecem inalterados.
Versão 2026-10-11: Adiciona pontuação por IA financiada pelo site, ativada por padrão, para trechos longos de legendas usando o modelo de texto DeepSeek existente. O original é preservado; o recurso pode ser desativado, não usa a cota da conta e não altera o texto de cópia ou exportação. Registros de tráfego, histórico de páginas, cliques e resultados de ações, atribuição de campanha, atividade da conta e segurança de login são retidos a longo prazo sem exclusão automática baseada em idade, incluindo registros existentes e novos. Contagens horárias de chegada de campanha e do funil de compras também são mantidas a longo prazo. Os controles existentes de exclusão de conta, exclusão de estatísticas e retirada de links permanecem disponíveis. Histórico excluído ou não coletado não pode ser recuperado. Os tempos de vida de cookies, sessões de login, autorização de publicidade, deduplicação de curta duração e uploads originais permanecem inalterados.
Versão 2026-10-05: Os registros de segurança de login agora incluem o endereço IP e o país, região e cidade aproximados consultados em um banco de dados local, para identificar logins incomuns e investigar a segurança da conta. Os endereços IP não são enviados a um provedor de geolocalização; localização precisa e detalhes do navegador não são coletados. Os registros são visíveis para o proprietário da conta e administradores e mantêm a limpeza contínua existente de 90 dias. Registros mais antigos não são preenchidos retroativamente, e os locais de saída do proxy podem diferir da localização real de uma pessoa.
Versão 2026-10-04.2: Adiciona uma escolha separada, desativada por padrão, para vincular identidade da conta, navegação e tarefas. Após essa escolha independente, apenas eventos futuros registram identidade verificada pelo servidor; as estatísticas opcionais da conta não são ativadas por ela. Alterações na conta exigem uma nova escolha; concessões mais antigas não são ampliadas e a navegação histórica não é preenchida retroativamente nem inferida a partir de endereços IP ou horários. Os vínculos opcionais são mantidos por até 90 dias; a retirada remove os vínculos enquanto os registros de tarefas necessários permanecem. As versões anteriores de consentimento para envio de vídeo e exportação de áudio permanecem separadas.
Versão 2026-10-04.1: Adiciona uma opção separada, desativada por padrão, para vincular envios de vídeo a visitas. Após concordância explícita, o administrador pode agrupar envios futuros, resultados de processamento atuais e categorias de páginas registradas por IDs pseudônimos de navegador e visita, retidos por até 90 dias. Contas conectadas também devem permitir estatísticas de atividade da conta. Envios anteriores não são preenchidos retroativamente e concessões mais antigas não são ampliadas; desativar a opção remove os vínculos. As categorias de páginas de tráfego existentes podem ser agrupadas por navegador e visita sem exibir cookies ou endereços IP. Atividade interna conhecida é excluída deste painel. O processamento de áudio e sua versão de consentimento separada permanecem inalterados.
Versão 2026-09-30: §3 agora descreve o registro "Envios de vídeo" no painel de administração: o operador pode ver cada link de vídeo enviado, título, duração e resultado do processamento, e se foi enviado enquanto conectado (um envio feito sem login é normalmente mostrado como "Convidado"; um ID de visitante pseudônimo também é mostrado após permissão separada para o vínculo opcional descrito abaixo); uploads locais nunca mostram o nome do arquivo. A partir de 9 de outubro 2026 (horário de Pequim), um envio feito enquanto conectado também mostra o nome de usuário da conta, pelo menos sete dias após este aviso. Os tipos de dados coletados, destinatários e retenção permanecem inalterados, e a versão de consentimento de áudio separada permanece inalterada.
Versão 2026-09-29.1: Adiciona contagens do funil de compras: quando um usuário conectado abre uma confirmação de processamento ou a página de planos, ou envia uma tarefa usando créditos comprados, o servidor conta por hora e categoria fixa, sem registrar a conta, o vídeo ou o valor; os hashes unidirecionais e valores aleatórios usados para contar uma conta uma vez por dia são excluídos após 36 horas, e as contagens são mantidas por 90 dias. O painel do administrador também soma pedidos, pagamentos e reembolsos por tempo. Outros dados coletados, destinatários e finalidades permanecem inalterados, e a versão de consentimento de áudio separada permanece inalterada.
Versão 2026-09-29: Adiciona contagens de chegada de campanha: quando uma página é aberta a partir de um endereço com rótulos de campanha controlados, o servidor conta aberturas por hora para cada visitante, sem cookie, endereço IP ou ID de visitante e sem vinculá-los a estatísticas de tráfego ou atribuição de campanha opcional; solicitações com DNT/GPC não são contadas; as contagens são mantidas por 90 dias. A seção opcional de atribuição de campanha agora declara que o script de estatísticas lê os rótulos. Outros dados coletados, destinatários e finalidades permanecem inalterados, e a versão de consentimento de áudio separada permanece inalterada.
Versão 2026-09-28: Adiciona uma opção separada, desativada por padrão, de campanha e conversão, explica vínculos de visita para atividade, marcadores de cadastro e retenção de 90 dias, e adiciona contagens de políticas de segurança higienizadas retidas por 8 dias. O aviso de áudio agora abrange arquivos de áudio originais que atendem aos requisitos de formato e tamanho, bem como segmentos transcodificados de 16 kHz em MP3 mono de até 15 minutos cada. Destinatários e finalidades de processamento permanecem inalterados. O consentimento de áudio separado passa para 2026-09-28 e deve ser renovado antes da próxima transcrição ou detecção de locutor.
Versão 2026-09-27.1: corrige os nomes dos processadores no §4. O destinatário direto para transcrição de fala é a OpenRouter (Estados Unidos), que encaminha o áudio para um provedor de modelo (atualmente DeepInfra, Together AI ou Groq); a Groq, nomeada anteriormente, é apenas um dos provedores possíveis. Resumos e tradução vão para a DeepSeek (China continental), anteriormente declarada incorretamente como SiliconFlow. Desde que começamos a registrar chamadas de terceiros, esses dois têm sido os destinatários reais, portanto esta é uma correção do aviso, não uma mudança de provedor. §5 adiciona suas notas de retenção. Como o aviso de destinatário de áudio mudou, a versão de consentimento separada para exportação de áudio passa para 2026-09-27: contas que consentiram antes serão solicitadas mais uma vez antes da próxima transcrição ou detecção de locutor. Os Termos de Serviço §11 são reformulados de acordo. As categorias de dados, finalidades e períodos de retenção permanecem inalterados.
Versão 2026-09-27: os Termos de Serviço e a Política de Privacidade em inglês agora citam rótulos de interface como a interface em inglês os mostra (por exemplo, "AI-generated", "Human captions", "Traffic statistics") em vez de citar os rótulos em chinês, e seus links de volta para Vidleaf abrem o site em inglês. O significado permanece inalterado: os tipos de dados coletados, destinatários, finalidades, retenção e preços são os mesmos, e a versão de consentimento de áudio separada permanece inalterada.
Versão 2026-09-25: §6, "Arquivos de áudio que você envia": um original transcrito com sucesso não é mais excluído assim que sua tarefa termina; ele é mantido por no máximo cerca de seis horas após o envio para que a detecção de locutor possa usá-lo (anteriormente, a detecção de locutor estava disponível apenas para vídeos da plataforma). Originais cuja transcrição falhou ou foi cancelada ainda são excluídos imediatamente. A retenção máxima permanece inalterada (um arquivo nunca enviado já era mantido por no máximo cerca de seis horas); os tipos de dados coletados, destinatários e finalidades são os mesmos, e a versão de consentimento de áudio separada permanece inalterada. Termos de Serviço: a frase sobre detecção de locutor para uploads locais é atualizada de acordo.
Versão 2026-09-24.2: Termos de Serviço: áudio AAC em um arquivo m4a e uma faixa de áudio AAC extraída no seu dispositivo de um vídeo não estão mais sujeitos ao limite de 60 MiB se a taxa de bits média for de no máximo 320 kbit/s; o limite de duração por ativo se aplica. Outros arquivos de áudio permanecem limitados a 60 MiB. Um m4a com mais de 60 MiB é primeiro verificado no seu dispositivo, e apenas sua faixa de áudio AAC é enviada. Esta política em si permanece inalterada: os tipos de dados coletados, destinatários, finalidades e retenção são os mesmos, e a versão de consentimento de áudio separada permanece inalterada.
Versão 2026-09-24.1: os uploads não se limitam mais a mp3, m4a e wav; formatos de áudio comuns são aceitos. Quando você escolhe um arquivo de vídeo, sua faixa de áudio é extraída no seu dispositivo e apenas o som é enviado; a imagem do vídeo nunca sai do seu dispositivo. Os tipos de dados coletados, destinatários, finalidades e retenção permanecem inalterados, e a versão de consentimento de áudio separada permanece inalterada.
Versão 2026-09-24: adiciona o Pacote L, preços condicionais de primeira ordem e alocações de reembolso em centavos; a área da conta agora separa compras, pedidos, uso e segurança. Os pedidos retêm o idioma e a política aceitos na compra. Pedidos anteriores mantêm seus termos originais. Os processadores de áudio e o consentimento de áudio separado permanecem inalterados.
Versão 2026-09-23.2: os Termos descrevem produtos S preparados e de passe único, sua validade e uma política de reembolso de 14 dias baseada em componentes não utilizados. Registros de pagamento e direitos são registros de cumprimento necessários, separados das análises opcionais. Os processadores de áudio e o consentimento separado para exportação de áudio permanecem inalterados.
Versão 2026-09-23.1: corrige a limpeza agendada e a redação de indisponibilidade para uploads originais; esclarece o isolamento por conta dos resultados de upload processados, que ocultar o histórico não exclui resultados e que a expiração do cache quente do Redis não apaga os resultados do banco de dados. Os termos atuais devem ser aceitos antes de novo trabalho na nuvem; a versão de consentimento separada para exportação de áudio permanece inalterada porque os processadores, os dados enviados e as finalidades não mudaram.
Versão 2026-09-22.1: adiciona o caminho de upload de áudio local. A seção 1 ("Seu conteúdo") agora nomeia os arquivos de áudio que você envia, a seção 6 declara sua retenção (excluído assim que a transcrição termina; um upload nunca enviado é mantido por no máximo 6 horas adicionais), e a seção 4 declara que o áudio enviado também sai da China continental. A lista de processadores, as finalidades e os períodos de retenção permanecem inalterados, portanto o consentimento separado para exportação de áudio mantém sua versão e não precisa ser dado novamente.
Versão 2026-09-20.3: remove o período de espera para a implementação inicial das estatísticas opcionais de atividade da conta. Você pode optar por participar após a publicação deste aviso; a coleta está desativada por padrão e a atividade passada não é preenchida retroativamente. Esta atualização pré-lançamento substitui a espera de sete dias anunciada anteriormente para este recurso.
Versão 2026-09-20.2: introduziu estatísticas opcionais de atividade da conta, seu armazenamento separado, opt-in, exclusão e retenção de 90 dias.
O que mudou na v1.2 (2026-09-20): a seção 1 ganhou uma linha, "Registros de login"; a seção 6 ganhou a linha de retenção correspondente (90 dias, varridos continuamente); e a seção 3 agora declara que o operador também pode ver registros de login por conta. O que é registrado é o horário, o método e se teve sucesso — nenhum endereço IP e nenhum detalhe do navegador; um login com falha é registrado apenas quando a conta realmente existe.
O que mudou na v1.1 (2026-09-19): a seção 1 ganhou uma linha, "Endereço de notificação" — o e-mail que você digita na caixa "Pacote de recarga · em desenvolvimento" na página inicial.
As alterações atualizam a data de vigência nesta página e são anunciadas no site. Alterações que ampliam o uso dos seus dados, adicionam um processador ou estendem a retenção são anunciadas pelo menos 7 dias antes de entrarem em vigor. Uma exceção se aplica a medidas de segurança necessárias para lidar com abuso contínuo: estas podem entrar em vigor quando o aviso for publicado, com aviso no fluxo afetado. Esta exceção não amplia as análises opcionais nem altera os destinatários do processamento de áudio.

12. Contato

support@vidleaf.app

---