Segurança e dados
Última atualização: 5 de novembro de 2026
Esta página é para quem precisa aprovar a Goppa em uma agência ou empresa: onde o serviço funciona, onde ficam seus dados, quem os processa, por quanto tempo os guardamos e como removê-los. Ela diz só o que é verdade hoje, e diz o que não temos. Os termos legais estão na Política de Privacidade.
1. Onde funciona e onde ficam os dados
- O aplicativo funciona como uma função serverless na Vercel, na região de São Paulo (gru1).
- O banco de dados e o login funcionam no Supabase, em São Paulo, Brasil (região AWS sa-east-1). Isso fica fora do Espaço Econômico Europeu.
- O tráfego entre seu navegador, o plugin e a Goppa passa por HTTPS.
2. O que guardamos e por quanto tempo
A lista completa está na seção 3 da Política de Privacidade. O principal:
| Dado | Retenção |
|---|---|
| Endereço de e-mail e identificador da conta | Até você apagar a conta |
| Sites que você adiciona, seus relatórios e medições de visibilidade em IA | Até você apagá-los ou apagar a conta; os relatórios do plano grátis podem expirar antes |
| Atividade de agentes informada pelo plugin do WordPress | Até você apagar o site ou a conta |
| Verificação grátis no site: o site, seu e-mail e o resultado | 12 meses, ou até você pedir para apagar. Uma conta que criamos para você e na qual você nunca entra nem paga é apagada após 30 dias |
| Leads do widget de auditoria de uma agência | Até a agência apagar o lead ou a conta dela. A agência é a controladora desses dados; nós os processamos em nome da agência |
| Pedidos para agendar uma chamada, receber um relatório de cidade ou ser apresentado a uma agência | 12 meses |
| Chamadas do seu assistente de IA à sua conta (conta, assistente, ferramenta, tempo e resultado; nunca sua conversa, os argumentos nem seus tokens) | 180 dias |
| Dados de cobrança | Na Paddle, conforme ela e a lei fiscal exigem. Nunca vemos nem guardamos números de cartão |
3. Quem processa os dados
Estes são os serviços que nossos servidores chamam. A cada um enviamos só o que a tarefa precisa, e não vendemos dados.
| Serviço | O que faz para a Goppa |
|---|---|
| Vercel | Executa o aplicativo e conta as visualizações de páginas de forma agregada, sem cookies e sem identificar ninguém |
| Supabase | O banco de dados e o login |
| Paddle | Pagamentos de assinaturas e conformidade fiscal. A Paddle é o merchant of record e a vendedora que consta na sua fatura |
| Resend | Envia nossos e-mails: resultados de verificações, links de login e relatórios. Recebe o endereço do destinatário e o conteúdo do e-mail |
| OpenAI | Responde às perguntas de compra que fazemos ao ChatGPT para a medição de visibilidade e escreve texto para você (correções de SEO, guias de categoria, respostas às suas mensagens). Recebe a pergunta, seu domínio e os campos públicos da página sobre a qual o texto trata, nunca dados de clientes |
| DataForSEO | Coleta as respostas do ChatGPT, do Google AI Overview, do Google AI Mode, do Gemini e do Perplexity para a medição e, nos planos com SEO, suas posições no Google, a pesquisa de palavras-chave, os concorrentes e os links. Recebe seu domínio, seu país e as perguntas ou palavras-chave, nunca dados de clientes |
| Meta (WhatsApp Business Platform) | Transporta as mensagens de WhatsApp entre uma pessoa e nós, só quando essa pessoa nos responde por lá |
| Microsoft Clarity | Registra cliques e rolagens no nosso site, com o que você digita mascarado. Só se você aceitar no nosso aviso |
Mais três serviços só começam quando você mesmo os conecta: o Google Search Console (somente leitura), o Bing Webmaster Tools e a Cloudflare. Um assistente de IA que você conecta (por exemplo o ChatGPT ou o Claude) não é nosso operador: ele trata o que você pede sob o seu próprio acordo com o fornecedor.
4. Como os segredos são guardados
- Credenciais que você nos dá: o acesso ao Google Search Console, a chave do Bing e o token de API da Cloudflare são guardados criptografados. A chave que os abre fica no ambiente do servidor, não no banco de dados. Se essa chave faltar, não guardamos a credencial de jeito nenhum, em vez de guardá-la em texto puro.
- Tokens que emitimos: os tokens de acesso dos seus assistentes de IA, as chaves de relatórios e as chaves de instalação de uma agência são aleatórios e guardados apenas como hash, então não conseguimos lê-los de volta. Uma chave é mostrada uma vez, quando você a cria.
- A conexão de um site WordPress usa um código de uso único que dura 10 minutos. O token do site nunca viaja em um endereço web.
- O login é feito pelo Supabase Auth.
- Esta página descreve como os segredos são guardados e nunca contém nenhum.
5. Como apagar um site ou sua conta
- Um site: na Goppa, vá em Configurações e use Remove site, e digite o domínio do site para confirmar. Isso remove o site com suas análises, dados de SEO, dados do plugin e credenciais guardadas, e desconecta o Search Console no Google quando nenhum outro site seu o usa. As medições de IA desse site permanecem na sua conta, onde contam para as medições do seu plano, e os links públicos de relatório delas deixam de funcionar.
- Sua conta: em Configurações, use Delete account e digite seu e-mail. Isso remove seus sites, relatórios, medições, atividade de agentes, dados de SEO do Google, apps de IA conectados e seu login. Seu histórico de cobrança fica na Paddle, como a lei fiscal exige. Se você tem um plano pago, cancele-o primeiro; se outras pessoas compartilham a conta, escreva para privacy@trygoppa.com e nós a encerramos.
- Para qualquer outra coisa, como os dados da verificação grátis, escreva para privacy@trygoppa.com. Respondemos em até 30 dias.
6. A que seus assistentes de IA têm acesso
Você pode conectar sua conta Goppa a um assistente de IA compatível com MCP. É opcional, e só começa quando você entra na Goppa a partir do assistente e aprova o acesso. Como funciona.
- O acesso se chama
goppa.reade cobre apenas os dados da Goppa da sua própria organização. Ele não alcança nenhuma outra conta. - O assistente pode ler seu plano, sites, medições de visibilidade em IA, verificações de site, dados de SEO do Google e próximos passos.
- Quatro ações salvam algo na sua conta Goppa: executar uma verificação de site, adicionar um site dentro do seu plano, iniciar uma medição de IA depois de você aceitar as perguntas dela e registrar quais correções de SEO aprovadas foram aplicadas. A conexão nunca altera o seu site.
- Não pode alterar suas configurações, aprovar correções, remover nada nem acessar nenhuma outra parte da Goppa.
- O acesso dura uma hora e se renova por até 60 dias enquanto estiver em uso. Você pode desconectar a qualquer momento em Configurações, em Connected AI apps, e os tokens deixam de funcionar na hora.
7. O que não temos
Não temos um relatório SOC 2 nem um certificado ISO 27001, e não oferecemos login único (SSO).
Para relatar um problema de segurança, escreva para contact@trygoppa.com com o endereço e os passos para reproduzi-lo. O nosso security.txt tem o mesmo contato. Não temos um programa pago de recompensa por falhas. Para dúvidas sobre seus dados, escreva para privacy@trygoppa.com.
← Goppa · Política de Privacidade · Termos de Serviço · Política de Reembolso