Consentimento, exportações e ciclo de vida dos dados

Pseudônimo não significa anônimo

O rastreador usa um identificador aleatório de visitante no armazenamento de sessão do navegador, condicionado ao consentimento. Ele não cria uma impressão digital do dispositivo nem lê automaticamente valores de formulários ou textos de páginas. Um identificador de visitante ainda é um dado pseudônimo: um site pode associá-lo a um checkout. Não descreva jornadas individuais como anônimas.

Rótulos explícitos de páginas, campanhas de origem, nomes de eventos e valores enum não devem conter dados pessoais ou segredos. Verificações de sintaxe e listas de valores enum permitidos reduzem a coleta acidental, mas não comprovam que um rótulo seja anônimo. O proprietário do projeto controla esses rótulos. País e identidade pessoal não são inferidos.

Conceda e retire o consentimento de forma deliberada

Chame reylin.consent(true) somente depois que seu próprio processo de consentimento permitir esta coleta. O rastreador nunca toma essa decisão por você. O consentimento não é inferido de um clique, login ou compra. Filas de rastreamento negadas ou anteriores ao carregamento são descartadas, não guardadas para reprodução posterior.

Chamar reylin.consent(false) desconecta os observadores de visualização, apaga o ID do visitante no navegador e cancela solicitações pendentes quando há suporte. Uma solicitação já recebida pelo servidor não pode ser recolhida ao cancelar a solicitação no navegador. A retirada do consentimento interrompe o rastreamento futuro naquele navegador; não apaga registros existentes no servidor nem e-mails já aceitos.

// Connect these calls to your own consent manager.
reylin.consent(true);  // only after permission
reylin.consent(false); // withdrawal: stops future collection

O que a exportação do projeto inclui

A exportação JSON do projeto é uma exportação de registros de análise: configurações de coleta do projeto, registros de eventos consentidos, registros financeiros de pagamentos e reembolsos. Ela inclui um manifesto explícito de escopo. Não é uma exportação completa da conta e não inclui senhas, credenciais de sessão, segredos de tokens de API ou credenciais criptografadas de provedores.

Notas em armazenamento complementar, relatórios salvos, registros de entrega de notificações, histórico de entrada e novas tentativas do provedor, linhas em cache do Google e marcadores de recibos excluídos ficam fora dessa exportação. Um Viewer com acesso ao projeto pode exportar suas análises; somente o proprietário pode excluir ou mudar configurações de coleta. Mantenha as exportações baixadas privadas e remova cópias quando não forem mais necessárias.

Exportação da conta por seção

O painel Data export inventaria separadamente as seções locais da conta e dos armazenamentos complementares. Ele pode exportar seções suportadas em páginas JSON limitadas, incluindo configurações privadas do espaço de trabalho, registros de entrega de relatórios, linhas de busca em cache, retratos de assinaturas e metadados selecionados de integrações. Somente o proprietário autenticado pode usar essa rota da conta; funções Viewer e tokens de API somente leitura não podem.

Cada página inclui cobertura e uma lista explícita de exclusões. Um banco ausente ou com esquema incompatível fica indisponível, não é silenciosamente informado como seção vazia. Senhas, hashes de credenciais, segredos de tokens, credenciais criptografadas de provedores, detalhes internos de workers e backups físicos ficam excluídos. Notas e rótulos escritos pelo usuário podem conter informações pessoais; proteja os arquivos baixados.

Esta é uma exportação local de escopo delimitado, não uma certificação universal de completude jurídica. As páginas são geradas separadamente enquanto gravações podem continuar, não como um retrato atômico de múltiplos bancos. Baixe cada página, preserve sua cobertura e seu horário e use o processo de backup offline somente quando um operador precisar de uma cópia restaurável do sistema.

Retenção e exclusão são operações diferentes

A retenção do plano e a ação manual de retenção removem JSON de eventos antigos. Elas não removem registros financeiros nem todos os recibos: IDs de eventos, horários de recebimento da ingestão e hashes de conteúdo podem permanecer para preservar a idempotência e evitar consumo duplicado. Isso não promete que todos os dados pseudônimos expirem no limite de retenção dos eventos.

A exclusão do projeto remove os registros locais e os dados complementares integrados após verificar workers ativos. A exclusão da conta exige verificação da senha e pré-requisitos de limpeza do provedor e da cobrança. Dados no provedor, exportações baixadas, e-mails já aceitos e backups exigem limpeza própria. Um fluxo separado, exclusivo do proprietário, coordena a limpeza de visitantes em armazenamentos locais delimitados; não o substitua pela retirada do consentimento nem interprete sua conclusão como apagamento físico ou universal.

Limpeza local coordenada de visitante

Um proprietário verificado do projeto pode solicitar a limpeza de um ID pseudônimo exato de visitante. A solicitação não identifica uma pessoa. Ela persiste um resumo SHA-256 de supressão limitado ao projeto, não o ID bruto de destino, para impedir a reprodução do ID conhecido e novas vinculações a pagamentos. O resumo ainda é dado pseudônimo, não criptografia ou anonimização; alguém com IDs candidatos pode testar suposições.

O projeto pausa temporariamente a nova coleta e a conciliação financeira. Barreiras locais à transação permitem que workers existentes concluam antes de lotes limitados removerem eventos correspondentes e registros vinculados de recibos e fluxos, limparem a associação de visitante dos pagamentos, higienizarem campos normalizados de visitante na caixa de entrada do provedor e cancelarem notificações pendentes do projeto. Valores monetários, moedas, IDs financeiros, horários, uso agregado de cotas e rótulos congelados de atribuição são preservados.

A limpeza pode ser retomada após uma interrupção. Um trabalho pode aguardar um envio de e-mail ativo ou incerto; mensagens aceitas não podem ser recolhidas, e envios incertos abandonados exigem revisão controlada do operador em vez de reenvio automático. Outros projetos podem continuar.

A conclusão descreve apenas esse escopo local especificado. Recibos antigos já expurgados sem índice de visitante podem permanecer. Notas do proprietário, informações pessoais codificadas acidentalmente em rótulos de atribuição, cópias no provedor, exportações baixadas, páginas livres e WAL do SQLite e backups precisam de revisão separada. Novos identificadores do navegador não podem ser reconhecidos como a mesma pessoa sem rastreamento de identidade, que este fluxo não adiciona.

Relatórios por e-mail e provedores externos

Os relatórios são destinados apenas ao e-mail verificado do proprietário. O envio é desativado separadamente por padrão, inclusive quando existe um adaptador de e-mail. A interface distingue mensagens na fila e aceitas pelo provedor; a aceitação não comprova entrega na caixa de entrada. Desativar relatórios cancela trabalhos na fila, mas não recolhe uma mensagem já aceita pelo provedor. Relatórios nunca tentados expiram após 24 horas. Registros terminais da fila tornam-se elegíveis para limpeza lógica após 30 dias, em lotes limitados em segundo plano; reservas de limite de entrega expiram após 32 dias. Um agendador parado ou sobrecarregado pode atrasar a remoção física das linhas, mas relatórios vencidos não podem ser enviados pela primeira vez.

O processamento de pagamentos Stripe e a cobrança da própria assinatura SaaS do Reylin são integrações e fluxos de dados separados. Desconectar uma integração impede leituras locais futuras, mas não comprova exclusão no provedor. O Google Search Console usa uma propriedade explicitamente autorizada e apresenta dados de busca do provedor, não receita observada por palavra-chave.

Antes de coletar dados reais de clientes

Publique um aviso de privacidade preciso do operador e uma experiência de consentimento para a implantação real, informando operador, canal de contato, finalidades, provedores aplicáveis, retenção e processo de atendimento de solicitações. Nenhuma identidade de operador, jurisdição, base legal ou contato de suporte foi inventado aqui. Este guia técnico não é uma política jurídica revisada nem uma certificação de conformidade.

Verifique os controles de acesso em produção, as configurações implantadas dos provedores, a retenção dos backups, o comportamento de restauração e os procedimentos de exclusão. A exclusão lógica no SQLite não comprova apagamento físico de arquivos WAL, páginas livres, retratos ou sistemas externos. O operador da implantação deve estabelecer e testar esses controles de ciclo de vida.