Política de Privacidade

Versão de 8 de novembro de 2026

1. Quem é o responsável e como falar conosco

1.1 O Kreon View é um player para vídeos de venda (VSL) oferecido sob a marca Kreon View, aqui chamado de "Kreon View" ou "nós". Esta Política explica como tratamos dados pessoais e complementa os Termos de Uso.

1.2 O encarregado pelo tratamento de dados pessoais é a pessoa que faz a ponte entre você, nós e a Autoridade Nacional de Proteção de Dados (ANPD). O nosso encarregado atende pelo e-mail privacidade@kreonview.com. Use esse canal para dúvidas, pedidos e reclamações sobre dados. Nesta Política, "e-mail de contato" é sempre esse endereço.

1.3 O serviço é formado por estas peças, todas sob a marca Kreon View:

• o site kreonview.com, onde apresentamos o serviço;
• o painel app.kreonview.com, onde o cliente cria a conta, envia vídeos, configura o player e vê estatísticas;
• o player, que roda dentro de uma moldura (iframe) no site do cliente e é servido a partir de app.kreonview.com;
• o código de incorporação (embed.js), que o cliente cola na página dele e que cria essa moldura;
• a API api.kreonview.com, que entrega a configuração do player, recebe os eventos de reprodução e os avisos de venda, e recebe os arquivos de vídeo e imagem que o cliente envia pelo painel;
• o endereço v.kreonview.com, de onde saem os arquivos de vídeo e imagem;
• a borda do teste A/B de páginas, que atende o painel em edge.kreonview.com e entrega as páginas de cada teste no subdomínio que o cliente aponta para ela, sempre no endereço do próprio cliente; o registro CNAME desse subdomínio aponta para o destino que o painel mostra, num domínio nosso, usado só para isso e sem a marca Kreon View.

1.4 Nesta Política, "cliente" ou "você" é quem tem conta no painel ou participa de uma conta como membro; "conta" é o espaço que reúne vídeos, membros e estatísticas; "visitante" é quem assiste a um vídeo no site de um cliente ou abre uma página do teste A/B de páginas dele.

2. A quem esta Política se aplica: dois papéis

2.1 Para quem tem conta, e para quem visita o site kreonview.com, o Kreon View é o controlador (quem decide como e por que os dados são tratados). Somos nós que definimos quais dados a conta precisa, para que servem e por quanto tempo ficam, e respondemos diretamente a você.

2.2 Para o visitante, o Kreon View é o operador (quem trata dados em nome de outro) e o cliente é o controlador. É o cliente que decide colocar o player no site dele, quais vídeos exibir e qual plataforma de checkout conectar. É ele também que escolhe quais funções ligar: por exemplo Pixels, Filtro de visitantes, Botões de oferta, Retomar de onde parou, rastreamento de conversões, proteção por domínio e o teste A/B de páginas (inclusive se a medição dele espera o consentimento do visitante). Tratamos os dados do visitante segundo essas escolhas, dentro do que esta Política descreve. Em duas finalidades somos nós os controladores, porque a decisão é nossa: proteger o serviço contra robôs e tráfego artificial (recusa de eventos de páginas fora da lista de sites) e medir a franquia de plays do plano do cliente. Nessas duas usamos só dados pseudonimizados e agregados (ver 5.2).

2.3 Se você é visitante, o aviso de privacidade que vale para a sua situação é o do site que visitou (onde assistiu ao vídeo ou abriu a página do teste). É esse site, e não o Kreon View, que sabe quem você é, se é que sabe: nós não temos seu nome, e-mail, telefone nem endereço IP em claro. Quando o cliente recebe um pedido seu, nós o ajudamos a atendê-lo (ver 10.7).

2.4 Os Pixels (Meta, Google e código personalizado) e qualquer HTML ou JavaScript escrito pelo cliente que o player execute são tratamento do cliente com esses terceiros, não nosso. Nós apenas carregamos esse código quando o cliente o configura (ver 4.11).

2.5 Esta Política não cobre os sites para onde o visitante é levado (como a página de checkout do cliente) nem o endereço externo em que o cliente hospeda um vídeo importado por URL pública. Cada um deles tem a própria política.

3. Dados que tratamos sobre quem tem conta

3.1 Coletamos o que a conta precisa para funcionar. Quase tudo vem de você, digitado no painel.

3.2 Cadastro, login e segurança do acesso.

• Nome completo, e-mail e senha. A senha vai direto para o provedor de login (Supabase), que a guarda como hash (uma transformação irreversível); nós nunca a vemos em claro.
• O código de convite, quando você se cadastra por convite. Na nossa tabela de convites fica só um resumo criptográfico dele; o código em si viaja junto do cadastro e fica guardado, com os demais dados do seu usuário, no provedor de login. Depois de usado, o convite não dá acesso a nada.
• A versão dos Termos de Uso e desta Política que você aceitou e a data e hora do aceite. Só o último aceite fica guardado.
• E-mails de confirmação de cadastro e de recuperação de senha. O link de recuperação vale por 1 hora.
• Verificação em duas etapas, se você a ativar: o segredo do seu aplicativo autenticador fica no provedor de login. O código QR é gerado no seu navegador, sem passar por serviço externo. A chave de recuperação que você pode baixar contém o seu e-mail, a data e esse segredo: guarde-a como uma senha.
• Sessão: o token de login fica no armazenamento local do seu navegador. Em "Dispositivos conectados", "Sair de todos" encerra as suas sessões em todos os aparelhos.

3.3 Perfil. Nome e sobrenome; telefone com código do país (opcional); foto, reduzida no seu navegador antes de ser enviada; e preferências (tema, idioma, fuso horário, moeda das estatísticas e avisos fechados). Só você edita o seu perfil. A troca do e-mail de acesso ainda não existe no painel: peça pelo e-mail de contato.

3.4 Conta e configurações. Nome da conta, plano, início do ciclo, estado da assinatura, lista de domínios permitidos (tela Proteção), plataformas de checkout conectadas e o endereço do webhook de vendas (o endereço secreto que a plataforma de checkout chama para nos avisar de cada venda, ver 4.10) e, no teste A/B de páginas, os domínios (de cada um, o destino do registro CNAME que o painel mostra, o identificador do subdomínio na Cloudflare e o estado da verificação: o que o DNS público e a Cloudflare responderam e quando conferimos pela última vez), os endereços das páginas de cada teste e a chave de origem da conta (a chave que o seu servidor exige da nossa borda para entregar a página, no arquivo .htaccess que a tela do teste entrega). As configurações são lidas por todos os membros e alteradas pelo dono e pelos administradores, com três exceções. O endereço do webhook de vendas e a chave de origem do teste A/B de páginas só o dono e os administradores veem, e só eles publicam, pausam, encerram ou apagam um teste de páginas. O nome da conta só o dono altera (ver 3.5).

3.5 Cobrança.

• Dados de faturamento, se você preencher "Dados de faturamento": nome para a nota fiscal, CPF ou CNPJ e endereço. Qualquer membro da conta pode lê-los, mas só o dono os altera; salvar também troca o nome da conta para o nome de faturamento.
• Cartão: não recebemos nem guardamos o número do seu cartão. Quando a cobrança existir, o cartão será cadastrado no checkout do processador de pagamentos (Stripe), que nos informará apenas o estado da assinatura e o necessário para registrar a cobrança.
• Hoje toda conta está em cortesia, sem cobrança: não há fatura, cartão nem histórico de pagamento.

3.6 Equipe e convites.

• Para convidar alguém, o dono ou um administrador informa nome e e-mail da pessoa e escolhe o papel (administrador ou membro). Não é possível convidar alguém como dono: cada conta tem um único dono, que só muda quando o próprio dono transfere a conta a um membro (Termos, item 3.9); dessa transferência guardamos quem transferiu, para quem e quando, enquanto a conta existir. Na transferência, os dados de faturamento do dono anterior são apagados da conta. Guardamos o e-mail e o nome informados, o papel, quem criou o convite e as datas de criação, validade (7 dias), uso, revogação ou recusa. Na nossa tabela de convites, do código fica só um resumo criptográfico (ver 3.2); o link aparece uma vez, para quem o criou.
• Não enviamos o convite por e-mail: quem convida copia o link e o entrega como preferir. Quem já tem conta com aquele e-mail vê o convite no painel, com o nome da conta, o papel e quem convidou. Antes de entrar, quem tem o código vê o nome da conta, o papel, o nome informado e o e-mail do convidado com parte ocultada. O convite só é aceito pela conta cujo e-mail é igual ao do convite.
• Quem divide uma conta com você vê o seu nome, e-mail, papel, data de entrada e se o seu e-mail está confirmado, e pode acessar o seu telefone, a sua foto e as suas preferências. Só o dono e os administradores veem a lista de convites.
• Remover um membro não apaga o que ele criou. Fica registrado quem criou e quem usou cada convite.

3.7 Conteúdo que você envia.

• Vídeos e imagens (capas, Tela de pausa, Textos na tela), pastas, testes A/B e todas as configurações de cada vídeo: Cores e estilo, Tela de pausa, Legendas, Kreon Autoplay, Barra de progresso acelerada, Aceleração, Retomar de onde parou, Comportamento do player, Botões de oferta (textos e links), Textos na tela, Ganchos de retenção, Filtro de visitantes e Pixels (identificadores de pixel e código personalizado). Também métricas personalizadas, grupos, favoritos e notificações lidas.
• Os arquivos de vídeo e imagem ficam em endereços públicos em v.kreonview.com, formados por um código aleatório impossível de adivinhar e que contém o identificador da sua conta. Quem tiver o link acessa o arquivo, mesmo fora do player e mesmo que você tenha limitado o player a certos domínios. Não envie conteúdo que não possa ser visto por quem tenha o link.
• Vídeos importados por URL pública continuam hospedados onde você indicou; não copiamos o arquivo.

3.8 Estatísticas e vendas. Os eventos de reprodução dos visitantes do seu site e os avisos de venda da sua plataforma de checkout ficam na sua conta e são lidos pelos membros dela. A seção 4 descreve esses dados.

3.9 Registros de uso e segurança.

• Uma cópia de segurança de cada vídeo, pasta ou teste apagado, com quem apagou e quando. Ela não aparece no painel; a recuperação é feita por pedido ao e-mail de contato.
• Registros de autenticação (entradas, e-mails de confirmação e recuperação), mantidos pelo provedor de login.
• Registros de acesso (logs) do site, do painel, do player, da API, da borda do teste A/B de páginas e dos arquivos ficam com a Cloudflare, pelos prazos e nas condições do serviço dela; não temos cópia própria. Os registros da nossa própria API guardam o nome da função chamada, o código de resposta e a pilha de erro em caso de falha; nunca o conteúdo dos eventos.
• Avisos de eventos que o servidor não gravou (evento inválido, vídeo que não existe mais ou de outra conta), sem nenhum dado de visitante.

3.10 Ranking de plays (opcional). Se o dono ou um administrador decidir participar, guardamos o apelido escolhido, a data do consentimento, o número de trocas de apelido e o total diário e mensal de plays únicos da conta. Outras contas participantes veem o seu apelido, a sua posição e o seu total mensal quando você está entre os 10 primeiros; nunca nome, e-mail, plano, títulos de vídeo ou receita. O apelido é um pseudônimo visto por outros clientes: não use o seu nome ou a sua marca se não quiser ser identificado por eles. O placar é um histórico: os meses fechados não mudam de número, mas você pode sair a qualquer momento (ver 10.6). O apelido pode ser trocado três vezes, e a troca vale também para os meses já fechados.

3.11 Site kreonview.com. O site guarda apenas o idioma escolhido, no seu navegador. Não há ferramenta de análise de audiência nem rastreador de terceiros no site ou no painel.

3.12 De onde vêm esses dados.

• de você, ao se cadastrar, preencher o perfil, configurar a conta e enviar conteúdo;
• de quem convida você;
• do próprio uso do serviço, que gera registros;
• dos visitantes do seu site, por meio do player e da borda do teste A/B de páginas;
• da sua plataforma de checkout, pelos avisos de venda;
• do provedor de DNS do seu domínio, quando a tela Domínios das páginas mostra um domínio pendente e quando você usa a configuração automática do DNS (cláusula 3.13);
• quando a cobrança existir, do processador de pagamentos.

3.13 Configuração automática do DNS (teste A/B de páginas). Para um domínio que ainda espera o registro CNAME (cláusula 3.4), o painel pode oferecer ao dono e aos administradores "Configurar automaticamente". Para saber se dá, quando a tela Domínios das páginas mostra um domínio pendente, a nossa borda consulta no DNS público os registros públicos do domínio (quem responde por ele, os servidores de nome e, se existir, o registro _domainconnect) e descobre qual provedor cuida do DNS. Isso também serve para mostrar o passo a passo desse provedor quando o registro é criado à mão, mesmo sem a configuração automática. Se esse provedor usa o Domain Connect, a borda pergunta a ele, informando só o nome do domínio, se aceita o nosso modelo de registro. Você sempre autoriza no site do próprio provedor, com a sua conta nele:

• Domain Connect (um protocolo aberto que provedores de DNS como a Cloudflare adotam): o painel abre o site do seu provedor com o registro a criar; você entra, confere e confirma, e o próprio provedor cria o registro, pelas regras dele: ele pode apagar ou trocar um registro que já exista com esse nome. Antes de confirmar, confira no site do provedor se já existe um registro com esse nome. Não recebemos a sua senha nem acesso à sua conta: na volta, o provedor só informa se você confirmou ou cancelou.
• Hostinger: você entra no site da Hostinger e autoriza o Kreon View. A Hostinger não oferece uma autorização só para o DNS: ela nos entrega um acesso temporário que vale para a sua conta inteira. Nós o usamos só para ler os registros de DNS do domínio e criar nele o registro CNAME que o painel mostra. Se já existir qualquer registro com esse nome, não mexemos nele: nunca apagamos nem trocamos um registro existente. Também aqui não recebemos a sua senha. O acesso não é guardado em lugar nenhum: logo depois de usado, mesmo quando algo dá errado, pedimos à Hostinger que o cancele. A lista de registros do domínio é lida só durante o pedido e também não é guardada.

A resposta do provedor só vale por 20 minutos e só é usada por quem é dono ou administrador da conta, com a sessão aberta no painel. Enquanto isso, o painel guarda o pedido e a resposta no seu navegador (cláusula 12.3); nada disso vai para o nosso banco de dados. Se o provedor não aceitar a configuração automática, ou se você preferir, o registro continua podendo ser criado à mão.

4. Dados que tratamos sobre visitantes

4.1 Do visitante, o player registra o que acontece com o vídeo, nunca quem ele é. Não coletamos nome, e-mail, telefone, documento, endereço IP em claro, cidade, coordenadas, resolução de tela nem o texto completo de identificação do navegador (user agent). Não fazemos impressão digital do aparelho (fingerprinting) além das três categorias da cláusula 4.4. Só os membros da conta do cliente leem esses dados.

4.2 Como o player chega ao visitante. O cliente cola na página dele uma etiqueta e um script. O script cria uma moldura (iframe) com o player, servido a partir de app.kreonview.com. O player pede à nossa API a configuração do vídeo, informando o endereço (host) da página que o exibe. O navegador do visitante baixa o arquivo de vídeo de v.kreonview.com ou, se o cliente importou por URL pública, do endereço que o cliente indicou. Como em qualquer acesso a um site, o endereço IP do visitante chega aos servidores que entregam a página, o player, o arquivo e a API; a Cloudflare o recebe para entregar o conteúdo. Nós não o gravamos (ver 4.5).

4.3 Identificador pseudônimo do visitante.

• O player gera um código formado pelo instante da criação e por letras e números aleatórios (no formato "kv-" seguido de letras e números) e o guarda no armazenamento local do navegador, na origem app.kreonview.com, por 30 dias. Vencido o prazo, gera outro. Se o navegador bloquear o armazenamento, o player usa um valor fixo que não distingue visitantes.
• Ele não contém nome, e-mail, IP nem qualquer dado de identidade. Serve para contar plays únicos, agrupar os eventos de um mesmo visitante no mesmo vídeo e dia (por exemplo o ponto mais avançado assistido), mostrar o Tempo real e casar uma venda com um play. A variante do teste A/B e a posição para Retomar de onde parou ficam em itens separados do armazenamento local (seção 12) e não dependem desse identificador. Pode ser apagado ou forjado pelo visitante; por isso serve para contagem, não como prova.
• Como o player sai sempre de app.kreonview.com, o mesmo identificador pode acompanhar o visitante em sites de clientes diferentes durante esses 30 dias, nos navegadores que não separam o armazenamento do player por site visitado; nos que separam, cada site recebe um identificador próprio. Cada cliente, porém, só vê os registros da própria conta.
• O visitante o apaga limpando os dados do site app.kreonview.com no navegador. Um novo será gerado na próxima visita.

4.4 Eventos de reprodução. Durante a visita, o player envia à nossa API eventos como: abertura do player, clique para ativar o som, play, pausa, fim, chegada ao momento da oferta e clique num botão. Envia também um registro de progresso (um por visitante, vídeo e dia, com o ponto mais avançado e o tempo assistido com som, que mede o engajamento) e um sinal periódico enquanto o vídeo roda. Cada evento leva:

• o tipo e o instante do evento, o identificador pseudônimo, o identificador do vídeo e, quando fizer sentido, o segundo e o percentual assistidos;
• o idioma do navegador, cortado em 5 caracteres (por exemplo "pt-BR"), e a velocidade de reprodução;
• a página de origem (referrer): o endereço da página do cliente que exibe o player, até 120 caracteres, no que o navegador e a página do cliente permitirem informar; e o domínio (host) dessa página, conferido contra a lista de domínios permitidos do cliente;
• três categorias deduzidas do navegador: aparelho (computador, celular ou tablet), sistema (Windows, Android, iOS, macOS, Linux ou outro) e navegador (Chrome, Safari, Firefox, Edge, Opera ou outro);
• parâmetros de campanha e identificadores de clique presentes no endereço da página do cliente (utm_*, fbclid, gclid, ttclid), que o código de incorporação lê e repassa ao player, até 12 parâmetros;
• a variante do teste A/B e as variantes de Kreon Autoplay, Textos na tela e Aceleração sorteadas para o visitante.

4.5 O que a nossa borda acrescenta: país, estado ou região e pseudônimo do IP.

• O país do visitante, em duas letras, e o estado ou região (por exemplo, "SC"), informados pela rede da Cloudflare a partir do endereço IP. O país acompanha os eventos; o estado ou região é mostrado só enquanto a pessoa assiste e apagado em até 10 minutos (ver 4.6). Nem cidade, nem coordenadas, nem o endereço.
• Um pseudônimo do IP: a nossa API calcula um resumo criptográfico (hash) cortado do endereço e descarta o endereço. O banco de dados recebe esse resumo junto com os eventos e não o grava: não contamos eventos nem plays por origem e não aplicamos teto por origem. Nem nós conseguimos voltar do pseudônimo ao IP. O IP em claro não é coluna de nenhuma tabela nossa.

4.6 Tempo real. Enquanto o visitante assiste, mantemos uma linha com o identificador pseudônimo, o idioma, a categoria de aparelho, o país, o estado ou região e o último sinal, para mostrar ao cliente quem está assistindo agora. Ela é apagada ao pausar, ao terminar ou em até 10 minutos sem sinal. O estado ou região só existe nessa linha: não vai para os eventos nem para os resumos.

4.7 Resumos estatísticos. De hora em hora e quando o dia fecha, os eventos são consolidados em resumos por conta, vídeo, dia, hora e segmento (país, aparelho, sistema, navegador, variante A/B e os parâmetros de campanha utm_source, utm_medium, utm_campaign, utm_term e utm_content), com contagens, um histograma de retenção e um histograma de dias desde a visita anterior do mesmo visitante ao mesmo vídeo (só a contagem, para dar os visitantes únicos de qualquer período). Os parâmetros de campanha entram só como o valor de cada um, somado: até 1.000 valores por vídeo, dia e parâmetro, e os demais num grupo "outros", com a lista desses valores. Os resumos não contêm o identificador do visitante, a página de origem nem os identificadores de clique (fbclid, gclid, ttclid). São eles que sobrevivem à limpeza dos eventos individuais. Testes automáticos. Enquanto um teste automático do cliente roda (Textos na tela, Kreon Autoplay ou Aceleração), o servidor guarda, para cada visitante que passa por ele, o identificador pseudônimo, a variante que recebeu (o texto, o aviso ou a velocidade), marcas do que fez com ela (viu, deu play, clicou no aviso, chegou ao momento da oferta) e os dias em que deu play e em que chegou ao momento da oferta. Serve para contar pessoas distintas desde o início do teste e achar quem comprou; nada disso entra nos resumos, e só os números por variante aparecem no painel. Essas linhas são apagadas em minutos quando o teste acaba, recomeça, as estatísticas do vídeo são zeradas ou o vídeo é apagado.

4.8 Funções que decidem no navegador do visitante. Filtro de visitantes: compara o idioma e a categoria de aparelho com as regras do cliente e confere se a página traz a chave ou o token exigidos no endereço. O visitante bloqueado vê uma mensagem de indisponibilidade ou um vídeo de redirecionamento. Não existe bloqueio por país nem por detecção de proxy ou VPN, e nenhum serviço externo é consultado. Retomar de onde parou: guarda a posição depois que o som é ativado. Kreon Autoplay: o código de incorporação percebe a primeira interação na página só para liberar o som, e depois para de observar. O clique que libera o som no Kreon Autoplay e a variante sorteada entram nos eventos da cláusula 4.4. A chave e o token do Filtro de visitantes são lidos do endereço da página e repassados ao player, sem ir ao servidor.

4.9 Identificador na URL do checkout do cliente. Quando o visitante clica num Botão de oferta ou no botão da Tela de pausa, o player acrescenta o identificador pseudônimo (parâmetro "kvid") ao link de destino configurado pelo cliente. Se o cliente ativou o rastreamento de conversões, vai em vez disso uma chave de conversão, no parâmetro que o cliente escolheu. Essa chave reúne o identificador pseudônimo, o identificador do vídeo, o segundo assistido e, quando houver, as variantes sorteadas. Nesse caso, o código de incorporação acrescenta a chave a qualquer link que o visitante clique na página do cliente, inclusive botões feitos pelo próprio cliente. Numa página de um teste A/B de páginas cujo campo de atribuição é o mesmo parâmetro da chave, o código de incorporação não acrescenta a chave aos links da página: vale o campo do teste, que só vai aos links de checkout e só enquanto o teste mede (cláusula 4.15). A finalidade é uma só: a plataforma de checkout devolve esse valor no aviso de venda e assim casamos a venda com o play. O destino é do cliente; a partir dali valem o aviso de privacidade dele e o da plataforma de checkout.

4.10 Avisos de venda (webhook da plataforma de checkout).

• O cliente conecta a plataforma de checkout dele (Hotmart, Kiwify, Monetizze e outras) a um endereço secreto da nossa API. A plataforma passa a nos enviar um aviso a cada venda, recusa, pendência ou estorno.
• Um aviso de checkout costuma trazer nome, e-mail e documento do comprador. Não guardamos o corpo do aviso: lemos nele só o que precisamos e descartamos o resto.
• Do aviso ficam: valor, moeda, estado (aprovada, recusada, pendente ou outro), identificador da transação na plataforma, identificador pseudônimo do visitante e vídeo (quando houver casamento), nome da plataforma, segundo do vídeo e variantes no momento do clique, velocidade de reprodução, um pseudônimo do IP de quem chamou (a plataforma, não o comprador), os nomes dos campos recebidos (até 60 nomes, não os valores), o texto do estado informado pela plataforma (até 120 caracteres), o tipo de conteúdo do aviso, a categoria da transação (principal, order bump, upsell, downsell ou renovação), a data de aprovação informada pelo checkout e a indicação da origem dessa data. Quando a plataforma não informa uma data válida e inequívoca, usa-se o instante do primeiro aviso de aprovada como alternativa. Quando a venda casa com um visitante, ficam também, copiados dos eventos de reprodução dele naquele vídeo: o país, o tipo de aparelho, o sistema, o navegador e os parâmetros de campanha (utm_*) da última visita com play (sem play, da última visita; o país, se faltar nela, de outra visita do mesmo visitante ao vídeo) e o último teste A/B por onde ele chegou a esse vídeo. Os identificadores de clique (fbclid, gclid, ttclid) não são copiados para a venda: ficam só nos eventos, apagados em 90 dias.
• A mesma transação é uma linha só; um reenvio atualiza a linha e um estorno a marca como não contada.

4.11 Pixels (tratamento do cliente com terceiros). Quando o cliente configura a função Pixels, o player carrega, dentro da moldura e no navegador do visitante, o script da Meta (connect.facebook.net) e/ou do Google (googletagmanager.com), com o identificador de pixel do cliente. Ao carregar o player, o script do pixel é baixado e registra a visualização da página (PageView, na Meta; configuração da tag, no Google), mesmo antes de o som ser ativado. A partir daí esses terceiros podem gravar cookies e coletar dados segundo as políticas deles. Os demais eventos (progresso a cada 5% do vídeo, chegada ao momento da oferta e conversão) só disparam depois que o visitante ativa o som. Nada é carregado nem disparado durante a prévia no painel. A opção de código personalizado executa um JavaScript escrito pelo cliente, para pixels de outras plataformas. O Kreon View não recebe esses dados nem decide o uso deles. O HTML dos Botões de oferta também é escrito pelo cliente e executado no navegador do visitante; o cliente responde por esse conteúdo.

4.12 Google Fonts no player. Só quando o cliente escolhe para botões ou textos uma fonte diferente da padrão, o navegador do visitante baixa essa fonte dos servidores do Google, que recebe o endereço IP do visitante como em qualquer download.

4.13 Aviso ao visitante e sinais do navegador. O player e a borda do teste A/B de páginas não exibem aviso de cookies nem leem sinais de recusa do navegador (como Do Not Track). Como controlador, cabe ao cliente informar o visitante sobre o uso do player e do teste e, quando a lei exigir, obter o consentimento dele, inclusive para os Pixels que configurar. No teste A/B de páginas, o cliente pode ligar "Medir só depois do consentimento do visitante": então o teste não mede nada até o banner de consentimento do site dele chamar window.__KV.ok() (cláusula 4.15). O padrão é desligado. A opção vale só para o teste: o player do Kreon View na página segue as cláusulas dele (4.1 a 4.12 e 4.14) e mede também antes do aceite do visitante; cabe ao cliente só carregar o player depois do aceite quando a lei exigir. Com essa opção ligada, o banner deve chamar window.__KV.nao() quando o visitante retira o consentimento; quando chama, o teste para de medir na hora e, a partir do acesso seguinte, o campo do teste não vai aos links. No primeiro acesso, depois disso, a um teste do subdomínio com a opção ligada, a borda apaga o kv_p e regrava o kv_id e o kvt_<teste> desse teste para durarem só até o navegador ser fechado; o kvt_ de outro teste do subdomínio, que guarda só a letra da variante, pode durar até o fim do prazo dele, de até 30 dias (cláusula 12.9).

4.14 O que fica no navegador do visitante. O player e o código de incorporação não usam cookies. O player grava no armazenamento local da origem app.kreonview.com: o identificador pseudônimo (30 dias), a variante do teste A/B (30 dias), a posição para Retomar de onde parou, as variantes sorteadas, os botões já exibidos, uma cópia local dos eventos e uma cópia da última configuração do vídeo (30 dias), usada se o nosso servidor de configuração falhar. O código de incorporação grava, na origem do site do cliente, quais elementos da página já foram revelados. Na prévia do painel nenhum evento é enviado e nada é gravado além do identificador pseudônimo, que nesse caso fica no navegador do próprio cliente. No teste A/B de páginas, a borda grava cookies no subdomínio do cliente (cláusula 4.15). A seção 12 lista cada item com nome, finalidade e duração.

4.15 Teste A/B de páginas (no subdomínio do cliente). Nesta função, o cliente aponta um subdomínio dele para a nossa borda, com um registro CNAME, e a borda entrega nesse endereço a página A ou a página B de cada teste, buscadas no servidor do cliente. Uma cópia de cada página fica no cache da Cloudflare por até 30 dias, para ser entregue quando o servidor do cliente falha ou não entrega a página (fora do ar, com erro ou com a página apagada); para tirar a página do ar é preciso encerrar e apagar o teste, e a cópia some sozinha em até 30 dias depois de o teste ser apagado, o domínio removido ou a conta encerrada. O visitante vê sempre o endereço do cliente. Como em qualquer acesso, o endereço IP dele chega à rede da Cloudflare, que entrega a página; a borda não grava o IP. Enquanto o teste mede, a borda:

• grava no subdomínio do cliente um identificador pseudônimo do visitante (a letra "v" seguida de 10 letras e números aleatórios, próprio daquele subdomínio e sem relação com o identificador do player) e a variante sorteada, por 30 dias, para ele ver sempre a mesma página (seção 12.9);
• registra no Analytics Engine da Cloudflare os eventos do funil: a visita e a primeira visita do visitante, gravadas pela borda ao entregar a página, e, enviados pela página, o play, o progresso do vídeo (25, 50, 75 e 100%), a chegada ao momento da oferta e o clique para o checkout. Cada evento leva o teste, a variante, o evento, o identificador pseudônimo, o país em duas letras, os parâmetros de campanha utm_source, utm_campaign e utm_content (até 100 caracteres cada) e a categoria de aparelho (celular ou computador); não leva o endereço IP, o navegador completo (user agent) nem a página de origem. Esses eventos ficam 3 meses e são apagados pela própria Cloudflare;
• acrescenta aos links de checkout da página, no campo de atribuição que o cliente escolheu, o teste, a variante e o identificador pseudônimo, com os parâmetros de campanha (utm_*) do endereço da página, para a plataforma de checkout devolver a venda ao teste. O script da página entrega esse campo, com o identificador, a toda moldura (iframe) da página que o pede: ao player do Kreon View, que põe o mesmo campo nos links dele e avisa a página do play, do progresso, da chegada ao momento da oferta e do clique, e também a outras molduras que o site do cliente puser na página.

O teste não mede quando está pausado, encerrado ou com vencedor, nem, com "Medir só depois do consentimento do visitante" ligado, antes de o visitante consentir: nada vai ao Analytics Engine, o campo não vai aos links e os cookies que a borda grava nesse caso (kv_id e kvt_<teste>) duram só até o navegador ser fechado. A página do teste grava o consentimento num cookie (kv_ok) quando o banner do site do cliente chama window.__KV.ok(), e esse cookie dura 30 dias em qualquer estado do teste, até o visitante retirar o consentimento (cláusula 4.13); no acesso seguinte com o teste medindo, os cookies da borda passam a durar 30 dias e o visitante conta como novo.

5. Para que usamos os dados e com que base legal

5.1 Como controlador (dados de quem tem conta). A Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018) exige uma base legal (um motivo previsto na lei) para cada uso. Estas são as nossas:

• Execução do contrato (LGPD, art. 7º, V): criar e manter a sua conta; autenticar você, inclusive por verificação em duas etapas; gerir equipe, papéis e convites; receber, guardar e entregar os seus vídeos e imagens; publicar a configuração do player; registrar, resumir e exibir estatísticas, vendas e Tempo real; exibir avisos no painel; registrar o aceite dos Termos; criar no seu provedor de DNS, quando você pede, o registro do teste A/B de páginas (cláusula 3.13); e, quando existir, cobrar a assinatura e o excedente de plays.
• Legítimo interesse (art. 7º, IX): manter o serviço seguro e evitar fraude e abuso (pseudônimo do IP; descarte de eventos de domínios não autorizados; registro de quem apagou o quê; cópia de segurança do que foi apagado); medir e melhorar o serviço (contagem de plays, diagnóstico de erros); e defender nossos direitos. Fazemos isso com o mínimo de dados e de forma pseudonimizada sempre que possível. Você pode se opor pelo e-mail de contato (ver seção 10).
• Cumprimento de obrigação legal (art. 7º, II): guardar dados fiscais e de cobrança pelo prazo que a legislação tributária exigir, quando a cobrança existir; guardar registros quando a lei o exigir; atender ordens de autoridades competentes.
• Consentimento (art. 7º, I): participar do Ranking de plays. O texto do consentimento é mostrado antes de entrar, e a data é registrada. Você pode revogar o consentimento a qualquer momento pelo e-mail de contato: a sua conta deixa de alimentar o placar e o seu apelido é substituído por um pseudônimo neutro, também nos meses já fechados. Os totais de plays já apurados continuam no histórico, sem nada que identifique a conta, porque os placares fechados são imutáveis para as outras contas participantes (ver 10.6).
• Exercício regular de direitos (art. 7º, VI): usar registros em processo judicial, administrativo ou arbitral, quando necessário.

5.2 Como operador (dados de visitantes). Tratamos os dados do visitante para executar as funções que o cliente contratou e configurou:

• contar visualizações e plays, medir retenção e cliques;
• aplicar testes A/B, inclusive o teste A/B de páginas, e sortear as variantes de Kreon Autoplay, Textos na tela e Aceleração;
• lembrar a posição em Retomar de onde parou e os botões já exibidos;
• aplicar o Filtro de visitantes e a proteção por domínio;
• mostrar o Tempo real;
• casar vendas com plays;
• alimentar, de forma agregada, o Ranking do cliente.

A base legal desse tratamento é definida pelo cliente, que é o controlador, no aviso de privacidade do site dele. A nossa parte é tratar só o necessário e de forma pseudonimizada. Para segurança e combate a tráfego artificial, e para medir a franquia de plays do plano, somos controladores. A base legal é o nosso legítimo interesse (art. 7º, IX) e a execução do contrato com o cliente (art. 7º, V). O identificador pseudônimo é único por navegador e pode acompanhar o visitante em sites de clientes diferentes (ver 4.3); essa é uma escolha técnica nossa, e cada cliente só vê os registros da própria conta.

5.3 Decisões automatizadas. O servidor recusa automaticamente eventos fora do formato ou de páginas que não estão na lista de sites autorizados do cliente: eles não são gravados nem contados. Não há teto de contagem por origem, por conta ou por dia. Isso afeta só a contagem estatística e, quando existir, a cobrança do cliente; não produz efeito jurídico para o visitante nem o impede de assistir.

5.4 O que não fazemos. Não vendemos nem alugamos dados pessoais. Não usamos dados de visitantes para publicidade própria nem para montar perfis entre sites. Não cruzamos dados de clientes diferentes. Não usamos dados pessoais para treinar modelos de inteligência artificial.

6. Com quem compartilhamos

6.1 Compartilhamos dados só com quem precisa deles para o serviço funcionar. Nossos operadores (fornecedores que tratam dados em nosso nome, sob contrato e instruções nossas) são:

• Supabase: banco de dados, autenticação (senhas, sessões, verificação em duas etapas) e, hoje, o envio dos e-mails de confirmação de cadastro e de recuperação de senha pelo serviço embutido. Projeto hospedado na região de São Paulo, Brasil.
• Cloudflare: hospedagem do site, do painel e do player; a API; armazenamento e entrega dos arquivos de vídeo e imagem; DNS (o serviço que aponta os nossos endereços para os servidores certos); e a rede de borda que recebe as requisições, informa o país e o estado ou região do visitante e mantém os próprios registros de acesso. No teste A/B de páginas, também a borda que entrega as páginas no subdomínio do cliente; o Analytics Engine, que guarda os eventos do funil por 3 meses; o Cloudflare for SaaS, pelo qual uma autoridade certificadora parceira da Cloudflare (Let's Encrypt, Google Trust Services ou SSL.com) emite o certificado HTTPS do subdomínio do cliente; e o DNS over HTTPS da Cloudflare, pelo qual a borda consulta no DNS público o registro CNAME desse subdomínio e os registros públicos do domínio, para a configuração automática do DNS e para mostrar o provedor no passo a passo manual (cláusula 3.13). Como todo certificado HTTPS público, o do subdomínio fica nos registros públicos de transparência de certificados (Certificate Transparency), com o nome do subdomínio. Rede global, com pontos de presença em vários países.
• Provedor de e-mail transacional: quando contratarmos um provedor dedicado para os e-mails do serviço, ele receberá o seu e-mail e o conteúdo das mensagens, e esta Política será atualizada. Até então, os e-mails saem pelo serviço embutido do Supabase.

6.2 Terceiros que recebem dados por conta própria. O Google recebe o endereço IP de quem baixa uma fonte do Google Fonts: sempre no site e no painel; no player, só quando o cliente escolhe uma fonte. Ele trata esse dado segundo a própria política de privacidade, sem instruções nossas. Quando a cobrança existir, o Stripe receberá os dados de pagamento diretamente de você, no checkout dele, como responsável próprio por esses dados, e nos informará apenas o estado da assinatura. Não receberemos o número do cartão. O provedor de DNS do seu domínio (por exemplo a Hostinger, ou a Cloudflare quando é ela que cuida do seu DNS) recebe o nome do domínio quando a tela Domínios das páginas mostra um domínio pendente e, quando você usa a configuração automática do DNS (cláusula 3.13), também recebe de você, no site dele, o login e a autorização e, pelo seu navegador e pela nossa borda, o subdomínio e o destino do registro CNAME. Nesse papel, ele é fornecedor seu, não nosso, e trata esses dados segundo a própria política de privacidade.

6.3 Destinos que o cliente configura. Não enviamos dados de visitantes a ninguém por conta própria. Três coisas acontecem só por configuração do cliente. Primeira: quando o visitante clica num Botão de oferta, no botão da Tela de pausa ou, com o rastreamento de conversões ligado, em qualquer link da página, o identificador pseudônimo vai no endereço de destino, pelo navegador dele; no teste A/B de páginas, o mesmo vale para os links de checkout da página, que levam o identificador do teste, e para as molduras (iframes) da página que o pedem (cláusula 4.15). Segunda: a plataforma de checkout do cliente nos envia avisos de venda; ela é a remetente, e nós não enviamos nada a ela. Terceira: os Pixels da Meta, do Google ou de outras plataformas rodam no navegador do visitante com o identificador de pixel do cliente e coletam o que as políticas deles descrevem.

6.4 Dentro da sua conta. Os membros veem o perfil uns dos outros (ver 3.6), os vídeos, as estatísticas, as vendas e os dados de faturamento. O dono e os administradores veem também a lista de convites, o endereço secreto do webhook de venda e a chave de origem do teste A/B de páginas.

6.5 Outras contas, no Ranking. Se você participar, as demais contas participantes veem o seu apelido, a sua posição e o seu total mensal de plays quando você estiver entre os 10 primeiros.

6.6 Autoridades. Entregamos dados quando a lei exigir, por ordem judicial ou pedido de autoridade competente, ou quando for necessário para proteger direitos, segurança ou propriedade nossa, de clientes ou de terceiros, sempre no limite do que for exigido.

6.7 Reorganização societária. Se o Kreon View for vendido, incorporado ou reorganizado, os dados poderão ser transferidos ao sucessor, que ficará vinculado a esta Política. Avisaremos você antes, pelo painel ou por e-mail.

7. Transferência internacional

7.1 Parte dos dados sai do Brasil. O banco de dados e a autenticação ficam no país (Supabase, região de São Paulo). Dois fornecedores processam dados fora dele. A Cloudflare, cuja rede global entrega o site, o painel, o player, a API, os arquivos e as páginas do teste A/B de páginas a partir do ponto de presença mais próximo de quem acessa, guarda também na infraestrutura dela os arquivos de vídeo, os eventos do funil do teste A/B de páginas, as cópias das páginas do teste (por até 30 dias, cláusula 4.15), os subdomínios do teste cadastrados nela, com os certificados, e a configuração publicada de cada teste e de cada domínio. O Google, cujos servidores de fontes ficam fora do Brasil, recebe o endereço IP de quem baixa uma fonte.

7.2 Essas transferências se apoiam nas hipóteses do art. 33 da LGPD, em especial em cláusulas contratuais e garantias oferecidas por esses fornecedores, que se comprometem com padrões de proteção compatíveis com a lei brasileira. Você pode pedir mais informações pelo e-mail de contato.

7.3 Para o visitante, o que viaja pela rede da Cloudflare é, no máximo, o descrito na seção 4. O endereço IP é usado pela borda para entregar o conteúdo e informar o país e o estado ou região, e não é gravado por nós.

8. Por quanto tempo guardamos

8.1 Guardamos cada dado só pelo tempo em que ele serve à sua finalidade, e depois pelo prazo que a lei exigir. Os prazos de eventos, origens, contadores e resumos são aplicados automaticamente pelo servidor, todas as madrugadas; o do Tempo real, a cada minuto, como o dos testes automáticos. Os demais seguem a regra indicada em cada item: a Lixeira é esvaziada pelo painel quando você o abre; os convites encerrados são removidos quando alguém cria um novo convite na conta.

• Eventos de reprodução individuais (um por ação do visitante): 90 dias, depois que o resumo do dia existe; no máximo 100 dias.
• Tempo real (quem está assistindo, com o estado ou região): até 10 minutos sem sinal, ou na hora ao pausar ou terminar.
• Origens (pseudônimo do IP, por conta e dia): não são mais gravadas; as que existiam são apagadas em 30 dias.
• Contadores diários de plays e de vendas por conta: 400 dias.
• Resumos estatísticos por hora: 180 dias.
• Resumos estatísticos diários: 400 dias.
• Testes automáticos (identificador pseudônimo, variante e marcas de cada visitante do teste, e os dias em que ele deu play e em que chegou ao momento da oferta): enquanto o teste roda, também depois dos 90 dias dos eventos; apagados pelo servidor em minutos quando o teste acaba, recomeça, as estatísticas do vídeo são zeradas ou o vídeo é apagado.
• Registros de venda (valor, moeda, estado, data da aprovação, transação, visitante, vídeo e o segmento e o teste A/B da visita que comprou, sem os identificadores de clique): enquanto a conta existir, também depois que os eventos individuais de onde o segmento saiu são apagados. Não são apagados quando você apaga o vídeo, zera as estatísticas ou desconecta a plataforma.
• Eventos do funil do teste A/B de páginas (no Analytics Engine da Cloudflare): 3 meses, apagados pela própria Cloudflare.
• Dados da conta, perfil, equipe, configurações, vídeos, pastas e testes: enquanto a conta existir e, depois, pelo prazo necessário para cumprir obrigações legais e defender direitos.
• Domínios do teste A/B de páginas (subdomínio, destino do CNAME, identificador do subdomínio na Cloudflare e estado da verificação): até o domínio ser removido ou a conta ser encerrada. Remover um domínio apaga também o subdomínio cadastrado na Cloudflare e o certificado dele. O registro público de Certificate Transparency de cada certificado (com o nome do subdomínio e as datas) fica para sempre e ninguém o apaga (cláusula 6.1). Um subdomínio suspenso ou tirado da borda por nós fica numa lista de suspensos, com o motivo, enquanto durar a suspensão, também depois de o domínio ser removido ou a conta encerrada.
• Pedidos de cadastro de subdomínio na Cloudflare (a conta e a hora de cada pedido, para limitar quantos subdomínios cada conta cadastra por dia): 2 dias; apagados pelo servidor em minutos depois desse prazo, também depois de a conta ser encerrada.
• Configuração automática do DNS (cláusula 3.13): o acesso temporário à conta da Hostinger e a lista de registros do domínio não são guardados; o acesso é cancelado logo depois de usado. A resposta do provedor só vale por 20 minutos; fica no seu navegador (cláusula 12.3), e a nossa borda a usa sem guardá-la.
• Cópias das páginas do teste A/B de páginas (no cache da Cloudflare): até 30 dias depois da última busca bem-sucedida no servidor do cliente; somem sozinhas em até 30 dias depois de o teste ser apagado, o domínio removido ou a conta encerrada (cláusula 4.15).
• Convites: abertos, 7 dias de validade; depois contam como vencidos. Encerrados (usados, revogados, recusados ou vencidos): ficam pelo menos 30 dias e são removidos na primeira vez em que alguém cria um novo convite na conta depois desse prazo; não há tarefa agendada, então podem permanecer por mais tempo em contas que não criam convites.
• Vídeos na Lixeira: 30 dias; na primeira vez em que o painel for aberto depois desse prazo, ele apaga o vídeo, os eventos dele e os arquivos de vídeo e imagem que só ele usava, o mesmo que "Excluir definitivamente" faz na hora. A remoção do arquivo é feita em melhor esforço: se falhar, o arquivo fica em v.kreonview.com até um pedido ao e-mail de contato.
• Arquivo anterior de um vídeo depois de "Trocar arquivo": 30 dias, para que as páginas com o código completo (que leva o endereço do arquivo) continuem tocando até o código ser copiado de novo; na primeira vez em que o painel for aberto depois desse prazo, ele apaga o arquivo anterior, se nenhum outro vídeo o usar. A remoção é feita em melhor esforço, como na Lixeira.
• Cópia de segurança de vídeos, pastas e testes apagados: enquanto a conta existir, sem prazo próprio; recuperação por pedido.
• Arquivos de vídeo e imagem e o estado da assinatura: hoje não existe cobrança nem cancelamento, e nenhum arquivo é removido por causa do estado da assinatura. Quando a cobrança existir, esta Política será atualizada com o prazo de guarda após o cancelamento (o previsto é 30 dias após o fim do ciclo pago, para reativação).
• Ranking (apelido e totais diários e mensais): enquanto a conta existir ou até você revogar o consentimento; depois ficam só os totais, sem apelido.
• Dados de faturamento (nome para nota fiscal, CPF ou CNPJ e endereço): enquanto a conta existir. Registros de cobrança, quando a cobrança existir: pelo prazo exigido pela legislação fiscal.
• Registros de autenticação e de acesso (Supabase, Cloudflare): pelos prazos padrão desses fornecedores; não mantemos cópia própria desses registros.
• Armazenamento local e cookies no navegador: conforme a seção 12.

8.2 Ações que você mesmo controla. "Zerar estatísticas" apaga, também no servidor, os eventos, o Tempo real e os resumos daquele vídeo, e recomeça do zero os testes automáticos dele. Apagar um vídeo apaga os eventos dele. As vendas ficam nos dois casos, com o segmento e o teste A/B copiados dos eventos (cláusula 4.10): são o histórico financeiro da conta.

8.3 Fim da conta. Quando a conta é encerrada pelo dono no painel ou excluída a pedido (ver 10.4), eliminamos ou anonimizamos os dados dela, inclusive o histórico no Ranking e a cópia de segurança de vídeos, pastas e testes apagados (cláusula 3.9). Os arquivos de vídeo e imagem, as cópias de segurança da configuração dos códigos de incorporação e a configuração publicada na borda pelo teste A/B de páginas (endereços das páginas e chave de origem) são removidos em melhor esforço; o que não for removido na hora fica anotado no registro do encerramento, e o suporte remove tudo o que restar da conta no armazenamento a partir desse registro. Os domínios do teste A/B de páginas saem da borda, e a própria borda apaga na Cloudflare os subdomínios cadastrados e os certificados deles, em geral em minutos; até lá, ficam anotados só o subdomínio, a conta e o identificador do subdomínio na Cloudflare. O registro público de Certificate Transparency de cada certificado (com o nome do subdomínio e as datas) fica para sempre e ninguém o apaga (cláusula 6.1). Os pedidos de cadastro de subdomínio na Cloudflare (a conta e a hora de cada um) ficam até completar 2 dias (cláusula 8.1). As cópias das páginas no cache da Cloudflare (cláusula 4.15) somem sozinhas em até 30 dias. Os eventos do funil do teste A/B de páginas ficam no Analytics Engine da Cloudflare, onde não podem ser apagados e somem sozinhos em até 3 meses (cláusula 10.7). Guardamos o registro do encerramento — identificador e nome da conta, e-mail de quem encerrou, data, as quantidades do que saiu e a lista de arquivos pendentes — pelo prazo necessário para concluir a remoção dos arquivos e para o exercício regular de direitos. Ficam também o que a lei nos obrigar a guardar, como registros fiscais. Resumos agregados que não identificam ninguém podem ser mantidos.

9. Como protegemos

9.1 Protegemos os dados com medidas técnicas e administrativas proporcionais ao serviço. Entre elas:

• Criptografia em trânsito: todos os nossos endereços usam HTTPS (conexão criptografada entre o navegador e o servidor).
• Isolamento por conta: o banco aplica regras de acesso por linha; cada conta só lê e altera os próprios dados, e as funções de leitura conferem se quem pede é membro.
• Chave pública apenas: a nossa API usa só a chave pública do banco e não guarda chave de serviço; os segredos ficam numa área do banco que nenhuma rota pública alcança.
• Verificação em duas etapas: quem a ativa só lê ou grava dados com a sessão confirmada pelo código do aplicativo; o banco recusa o que não passou pelo segundo fator.
• Senhas: só o provedor de login as recebe e as guarda em hash; nós não as vemos.
• IP nunca em claro: só um pseudônimo irreversível, misturado a um segredo guardado em área privada do banco (ver 4.5).
• Convites e webhook: o código do convite é guardado na tabela de convites só como hash, aparece uma vez e é removido do endereço do navegador assim que você entra; o endereço do webhook de venda é um segredo gerado pelo banco e exibido só ao dono e aos administradores.
• Painel: fora dos buscadores e impedido de abrir dentro de outros sites.

9.2 Limites que você precisa conhecer. Os arquivos de vídeo e imagem ficam em endereços públicos, protegidos apenas por serem impossíveis de adivinhar: quem tiver o link acessa. O identificador do visitante pode ser forjado e serve para contagem, não para prova. A proteção por domínio confere o endereço informado pela página e vale contra a cópia do código de incorporação, não contra quem chama a API diretamente.

9.3 A sua parte. Use senha forte e única. Ative a verificação em duas etapas. Guarde a chave de recuperação, o endereço do webhook, a chave de origem do teste A/B de páginas e os links de convite como senhas. Use "Sair de todos" se suspeitar de acesso indevido. Convide só pessoas de confiança e com o papel certo: quem entra na conta vê os vídeos, os testes, as estatísticas e as vendas dela.

9.4 Incidentes. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante a você, comunicaremos a ANPD e os titulares afetados, nos termos do art. 48 da LGPD. Informaremos o que aconteceu, os dados envolvidos e as medidas tomadas.

9.5 Nenhum sistema é infalível: não existe segurança absoluta contra todo tipo de ataque ou falha. Isso não reduz a nossa responsabilidade legal. Se algo acontecer, agimos como descrito em 9.4.

10. Seus direitos

10.1 A LGPD (art. 18) garante a você, como titular, estes direitos, que atendemos sem custo:

• confirmar se tratamos dados seus e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados fora da lei;
• pedir a portabilidade (cópia em formato aberto) a outro fornecedor;
• pedir a eliminação dos dados tratados com base no seu consentimento;
• saber com quem compartilhamos seus dados;
• ser informado sobre a possibilidade de não dar consentimento e sobre as consequências disso;
• revogar o consentimento;
• se opor a um tratamento feito com base em legítimo interesse;
• pedir revisão de decisões tomadas só de forma automatizada (ver 5.3).

10.2 Como pedir. Escreva para privacidade@kreonview.com, de preferência a partir do e-mail cadastrado na sua conta. Para proteger você, podemos pedir confirmação da sua identidade antes de atender. Respondemos à confirmação de tratamento e ao acesso de imediato, em formato simplificado, ou em até 15 dias, em declaração completa (LGPD, art. 19). Os demais pedidos também são atendidos em até 15 dias; o encerramento da conta pelo painel (10.4) vale na hora, sem pedido. Se precisarmos de mais tempo, avisamos dentro desse prazo, com o motivo e a nova data. Quando não pudermos atender, por exemplo por obrigação legal de guardar o dado, explicaremos o motivo.

10.3 O que você já faz pelo painel.

• editar nome, telefone, foto e preferências;
• exportar as estatísticas de cada tela em CSV (planilha) e um arquivo JSON (texto estruturado) com os dados guardados no seu navegador;
• encerrar todas as sessões;
• zerar as estatísticas de um vídeo;
• mover vídeos para a Lixeira e apagá-los definitivamente;
• remover membros ou sair de uma conta de que participa;
• trocar o apelido do Ranking (até três vezes).

10.4 Encerramento e exclusão da conta. O dono encerra a conta pelo painel, em Configurações, Plano e cobrança, "Encerrar esta conta", com a verificação em duas etapas confirmada e digitando o nome da conta. O efeito é imediato no acesso e nos vídeos: os códigos de incorporação deixam de responder e os demais membros perdem o acesso a essa conta; vídeos, pastas, testes, estatísticas, vendas, equipe, convites, configurações, o histórico no Ranking e a cópia de segurança de itens apagados são eliminados em seguida por uma rotina automática do nosso servidor, em geral em minutos. Os eventos do funil do teste A/B de páginas ficam no Analytics Engine da Cloudflare, onde não podem ser apagados e somem sozinhos em até 3 meses. Os arquivos de vídeo e imagem, e as cópias de segurança da configuração dos códigos de incorporação, são removidos em melhor esforço logo depois de o encerramento começar; o que não for removido fica no registro do encerramento e é removido pelo suporte, sem novo pedido (cláusula 8.3). O login (e-mail, senha, app autenticador) e o perfil continuam, com as suas outras contas, se houver; se aquela era a sua única conta, você recebe uma conta nova, em branco. Para excluir o login e o perfil, escreva para o e-mail de contato, e atendemos no prazo do item 10.2; o pedido por e-mail também vale para encerrar a conta, se preferir. Um membro que queira apenas sair de uma conta faz isso pelo painel.

10.5 Exportação completa. A exportação disponível no painel cobre as estatísticas e o que está no seu navegador. Uma cópia completa dos dados da sua conta guardados no servidor (perfil, conta, equipe, vendas) pode ser pedida pelo e-mail de contato.

10.6 Ranking. Para deixar de ser reconhecido no placar, troque o apelido por um neutro: o novo substitui o antigo também nos placares passados. Para sair, peça pelo e-mail de contato. Nesse caso paramos de somar os seus plays, trocamos o apelido por um pseudônimo neutro, mesmo que as três trocas tenham acabado, e registramos a revogação. Os totais já apurados permanecem no histórico, de forma anônima, porque os placares fechados são imutáveis para as outras contas participantes.

10.7 Se você é visitante. Dirija o seu pedido ao site que visitou (onde assistiu ao vídeo ou abriu a página do teste), que é o controlador dos seus dados; esse cliente nos aciona, e nós o ajudamos a atender você. Somos transparentes sobre o limite: como não guardamos nome, e-mail, telefone nem IP de visitantes, só conseguimos localizar registros a partir do identificador pseudônimo que fica no seu navegador. Nem sempre é possível ligar um pedido a um registro. Se o cliente nos enviar esse identificador, apagamos manualmente, por pedido, os eventos de reprodução e a linha de Tempo real ligados a ele; não há ferramenta automática para isso. Se houver um registro de venda com esse identificador, removemos dele o identificador, o segmento e o teste A/B da visita, e mantemos só valor, moeda, estado, data da aprovação, transação e vídeo, que são o histórico financeiro do cliente. Os resumos estatísticos já gerados não contêm o identificador; a cópia que o painel guarda no navegador do cliente fica sob a guarda dele (ver 12.8). Você mesmo apaga o identificador limpando os dados do site app.kreonview.com no seu navegador; os eventos já registrados são apagados automaticamente em 90 dias. No teste A/B de páginas, o identificador fica num cookie do site do cliente (kv_id): apagar os cookies desse site faz o próximo acesso contar como visitante novo. Os eventos do funil não podem ser apagados um a um no Analytics Engine; somem sozinhos em 3 meses. Para os Pixels, dirija-se ao cliente e às políticas da Meta, do Google ou da plataforma que ele configurou.

10.8 Reclamação à autoridade. Se entender que seus direitos não foram atendidos, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd, e aos órgãos de defesa do consumidor. Pedimos que fale primeiro conosco: a maioria dos pedidos se resolve pelo e-mail de contato.

11. Crianças e adolescentes

11.1 O Kreon View é um serviço profissional, para maiores de 18 anos e empresas. Não é dirigido a crianças ou adolescentes e não coletamos conscientemente dados de menores de 18 anos para criar contas. Se soubermos que uma conta foi criada por menor sem a autorização exigida por lei, nós a encerraremos.

11.2 O player não coleta idade nem qualquer dado que permita saber se o visitante é menor. O cliente, como controlador do site onde o player roda, responde pelo público ao qual dirige o conteúdo e pelo cumprimento das regras da LGPD sobre crianças e adolescentes (art. 14) nesse site.

12. Cookies e armazenamento no navegador

12.1 O site, o painel, o player e o código de incorporação não gravam nem leem cookies: usam o armazenamento local do navegador (localStorage e sessionStorage), que fica só no aparelho de quem acessa e não é enviado sozinho aos servidores. A exceção é a borda do teste A/B de páginas, que grava e lê cookies no subdomínio do cliente onde ele liga o teste (12.9). "Sem prazo" significa que o item fica até você limpar os dados do site no navegador.

12.2 Site kreonview.com

• kv_site_lang: lembrar o idioma escolhido (português, espanhol ou inglês). Duração: sem prazo.

12.3 Painel app.kreonview.com (no navegador do cliente)

• kv-auth: sessão de login (token do provedor de autenticação). Duração: até sair ou a sessão expirar.
• kv_conta: lembrar a conta aberta por último, quando você participa de mais de uma. Duração: sem prazo.
• vsl_auth_email: lembrar o último e-mail digitado na tela de entrada. Duração: sem prazo.
• vsl_ui_last: tema e idioma escolhidos antes de entrar. Duração: sem prazo.
• vsl_events_v1, vsl_play_counts: cópia local de eventos e contagens do player, usada na prévia e no modo local. Duração: sem prazo.
• vsl_img_*: imagens grandes do editor, para a prévia local. Duração: sem prazo.
• vsl_web_check_v4: resultado da conferência dos vídeos já enviados (se o arquivo está otimizado para web e em qual formato), por endereço do arquivo, para não ler o mesmo arquivo de novo. Duração: sem prazo.
• kv-conv-* (disco do navegador, OPFS): pedaços temporários do vídeo enquanto ele é convertido para H.264 e enviado. Nada disso sai do seu computador além do envio do próprio vídeo. Duração: cada pedaço é apagado assim que sobe, e o que sobrar é apagado ao cancelar, quando a conversão falha ou na próxima abertura do painel.
• kv_dns_pendente, kv_dns_volta: o pedido de configuração automática do DNS (a conta, o domínio, o provedor e o código do pedido) e a resposta do provedor na volta (o código que a Hostinger devolve, que sozinho não dá acesso a nada, ou o aviso de cancelamento), para o painel terminar a configuração (cláusula 3.13). Duração: até o painel usá-los, uma vez só, ou um pedido novo tomar o lugar deles; depois de 20 minutos não servem mais.
• kv_dns_aba (sessionStorage): um identificador aleatório da aba que pediu a configuração automática do DNS, para só ela terminar a volta (cláusula 3.13). Duração: até a aba ser fechada.

12.4 Player (origem app.kreonview.com, no navegador do visitante)

• vsl_kvid: identificador pseudônimo do visitante, para contar plays únicos e casar venda com play. Duração: 30 dias.
• vsl_ab_<teste>: variante sorteada do teste A/B, para o visitante ver sempre a mesma. Duração: 30 dias.
• vsl_pos_<vídeo>: posição em segundos, para Retomar de onde parou (gravada só após o som ser ativado). Duração: sem prazo.
• vsl_cta_<vídeo>, vsl_ctax_<vídeo>_<n>: lembrar que um Botão de oferta já foi exibido, quando o cliente escolhe mantê-lo em visitas futuras. Duração: sem prazo.
• vsl_apv_<vídeo>: variante sorteada do Kreon Autoplay. Duração: sem prazo.
• vsl_hlv_<vídeo>: variante sorteada dos Textos na tela. Duração: sem prazo.
• vsl_spd_<vídeo>: velocidade sorteada da Aceleração. Duração: sem prazo.
• vsl_events_v1: cópia local dos eventos enviados (até 20.000 registros). Duração: sem prazo.
• vsl_play_counts: contagem local de plays por vídeo. Duração: sem prazo.
• vsl_live_<vídeo>: último sinal de reprodução, idioma e aparelho, para o Tempo real. Duração: entradas removidas após 30 segundos.
• vsl_cfg_<id>: cópia da última configuração publicada do vídeo ou do teste A/B que este navegador recebeu, com o domínio aprovado, para o vídeo continuar tocando se o nosso servidor de configuração falhar. Não identifica o visitante. Duração: 30 dias.
• kv_cfg_<id> (sessionStorage): atalho da configuração das variantes de teste A/B. Duração: 30 segundos, ou até fechar a aba.

12.5 Página do cliente (origem do site do cliente, gravado pelo código de incorporação)

• vsl_reveal_<segundos>|<seletor>: lembrar que elementos escondidos da página já foram revelados em certo ponto do vídeo. Duração: sem prazo.
• vsl_reveal_btn_<vídeo>|<seletor>: lembrar que um botão da página já foi revelado, para exibi-lo de novo na próxima visita. Duração: sem prazo.

12.6 Terceiros. Os Pixels da Meta e do Google e o código personalizado rodam dentro do player e podem gravar cookies ou outros dados próprios, segundo as políticas da Meta, do Google ou da plataforma escolhida. Cabe ao cliente informar isso no site dele. O Google Fonts, quando usado, recebe o endereço IP para entregar a fonte. A rede da Cloudflare, que entrega os nossos endereços e as páginas do teste A/B de páginas, pode gravar cookies próprios de segurança, por exemplo para distinguir robôs de pessoas; nós não os lemos. Nada disso é gravado ou lido pelo Kreon View.

12.7 Como apagar. Limpe os dados do site correspondente (kreonview.com, app.kreonview.com ou o site do cliente) nas configurações do seu navegador. No painel, isso encerra a sessão; no player, cria um identificador novo na próxima visita e esquece o que dependia dessas lembranças (como Retomar de onde parou); no teste A/B de páginas, o próximo acesso conta como visitante novo e pode cair na outra variante.

12.8 Dados do visitante no navegador do cliente. O painel guarda uma cópia dos eventos do player também no navegador do cliente, para a prévia e o modo local. Essa cópia tem os mesmos dados pseudonimizados da seção 4 e fica sob a guarda do cliente, no computador dele.

12.9 Teste A/B de páginas (cookies no subdomínio do cliente, gravados e lidos pela borda)

• kv_id: identificador pseudônimo do visitante no teste, para contar visitantes únicos e ligar a venda à variante. Duração: 30 dias; se gravado enquanto o teste não mede (pausado, encerrado, com vencedor ou à espera do consentimento do visitante), ou regravado pela borda depois de o visitante retirar o consentimento, só até o navegador ser fechado.
• kvt_<teste>: variante sorteada do teste, para o visitante ver sempre a mesma página. Duração: como o kv_id; depois de o visitante retirar o consentimento, o de outro teste do subdomínio pode durar até o fim do prazo dele (cláusula 4.13).
• kv_p: marca de que o consentimento do visitante já foi aplicado, só com "Medir só depois do consentimento do visitante" ligado. Duração: 30 dias; a borda o apaga no primeiro acesso, sem o kv_ok, a um teste com a opção ligada (por exemplo, depois de o visitante retirar o consentimento).
• kv_ok: consentimento do visitante, gravado pela própria página quando o banner de consentimento do site do cliente chama window.__KV.ok() e apagado por ela quando o banner chama window.__KV.nao(); a borda só o lê. Duração: 30 dias.

Os quatro valem só no subdomínio do teste e só viajam por HTTPS. O kv_id e o kv_ok são do subdomínio, não de um teste ou de uma conta: valem para todos os testes dele, também se o subdomínio passar para outra conta do Kreon View, cujos testes passam a usar o mesmo identificador e o mesmo consentimento. O kv_id, o kvt_<teste> e o kv_p são HttpOnly: o JavaScript da página não lê esses cookies. Mas a borda põe o identificador do visitante e a variante na própria página, em window.__KV, para o script de medição; ali, qualquer script da página os lê, também quando o teste não mede (pausado, encerrado, com vencedor ou à espera do consentimento do visitante). Com o teste medindo, o script de medição entrega também o identificador às molduras (iframes) da página que o pedem (cláusula 4.15).

13. Alterações, versão e idioma

13.1 A versão desta Política é a data que aparece no topo. A versão em vigor fica publicada em kreonview.com/privacidade.

13.2 Toda alteração desta Política ganha nova data no topo e é publicada em kreonview.com/privacidade; a versão anterior pode ser pedida pelo e-mail de contato. Quando a alteração ampliar o tratamento de dados, mudar uma base legal ou reduzir um direito seu, avisamos quem tem conta pelo painel, e por e-mail quando houver provedor, com pelo menos 15 dias de antecedência. A mudança só vale para você depois desse aviso e, quando a lei exigir, do seu novo consentimento. O painel mostra um botão para registrar o novo aceite, e a versão aceita e a data ficam no seu perfil. Como só o último aceite é guardado, recomendamos que você guarde uma cópia da versão que aceitou.

13.3 Esta Política é escrita em português do Brasil. Traduções para outros idiomas são cortesia, para facilitar a leitura; em caso de divergência, prevalece a versão em português.

13.4 Esta Política segue as leis do Brasil, em especial a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014) e, quando aplicável, o Código de Defesa do Consumidor.

14. Contato

14.1 O responsável pelo tratamento (controlador para quem tem conta; operador para visitantes, exceto nas finalidades próprias indicadas em 2.2) e o encarregado estão descritos em 1.1 e 1.2; o canal é privacidade@kreonview.com. Se você é cliente, escreva a partir do e-mail da conta; isso acelera a resposta. Se você é visitante, fale primeiro com o site que visitou (onde assistiu ao vídeo ou abriu a página do teste; ver 10.7); se precisar da nossa ajuda, informe o site e a data aproximada.

Política de Privacidad

Esta traducción es una cortesía. En caso de divergencia, vale la versión en portugués.

Versión del 8 de noviembre de 2026

1. Quién es el responsable y cómo hablar con nosotros

1.1 Kreon View es un player para videos de venta (VSL) ofrecido bajo la marca Kreon View, aquí llamado "Kreon View" o "nosotros". Esta Política explica cómo tratamos datos personales y complementa los Términos de Uso.

1.2 El encargado de protección de datos personales es la persona que hace de puente entre tú, nosotros y la Autoridade Nacional de Proteção de Dados (ANPD, Autoridad Nacional de Protección de Datos). Nuestro encargado de protección de datos atiende por el e-mail privacidade@kreonview.com. Usa ese canal para dudas, solicitudes y reclamos sobre datos. En esta Política, "e-mail de contacto" es siempre esa dirección.

1.3 El servicio está formado por estas piezas, todas bajo la marca Kreon View:

• el sitio kreonview.com, donde presentamos el servicio;
• el panel app.kreonview.com, donde el cliente crea la cuenta, sube videos, configura el player y ve estadísticas;
• el player, que se ejecuta dentro de un marco (iframe) en el sitio del cliente y se sirve desde app.kreonview.com;
• el código de inserción (embed.js), que el cliente pega en su página y que crea ese marco;
• la API api.kreonview.com, que entrega la configuración del player, recibe los eventos de reproducción y los avisos de venta, y recibe los archivos de video e imagen que el cliente sube por el panel;
• la dirección v.kreonview.com, de donde salen los archivos de video e imagen;
• el borde de la prueba A/B de páginas, que atiende al panel en edge.kreonview.com y entrega las páginas de cada prueba en el subdominio que el cliente apunta hacia él, siempre en la dirección del propio cliente; el registro CNAME de ese subdominio apunta al destino que muestra el panel, en un dominio nuestro, usado solo para eso y sin la marca Kreon View.

1.4 En esta Política, "cliente" o "tú" es quien tiene cuenta en el panel o participa en una cuenta como miembro; "cuenta" es el espacio que reúne videos, miembros y estadísticas; "visitante" es quien ve un video en el sitio de un cliente o abre una página de su prueba A/B de páginas.

2. A quién se aplica esta Política: dos roles

2.1 Para quien tiene cuenta, y para quien visita el sitio kreonview.com, Kreon View es el controlador (quien decide cómo y por qué se tratan los datos). Somos nosotros quienes definimos qué datos necesita la cuenta, para qué sirven y por cuánto tiempo se conservan, y respondemos directamente ante ti.

2.2 Para el visitante, Kreon View es el operador (quien trata datos en nombre de otro) y el cliente es el controlador. Es el cliente quien decide poner el player en su sitio, qué videos mostrar y qué plataforma de checkout conectar. Es él también quien elige qué funciones activar: por ejemplo Píxeles, Filtro de visitantes, Botones de oferta, Retomar donde lo dejó, seguimiento de conversiones, protección por dominio y la prueba A/B de páginas (incluso si su medición espera el consentimiento del visitante). Tratamos los datos del visitante según esas elecciones, dentro de lo que esta Política describe. En dos finalidades somos nosotros los controladores, porque la decisión es nuestra: proteger el servicio contra robots y tráfico artificial (rechazo de eventos de páginas fuera de la lista de sitios) y medir la cuota de plays del plan del cliente. En esas dos usamos solo datos seudonimizados y agregados (ver 5.2).

2.3 Si eres visitante, el aviso de privacidad que vale para tu situación es el del sitio que visitaste (donde viste el video o abriste la página de la prueba). Es ese sitio, y no Kreon View, el que sabe quién eres, si es que lo sabe: nosotros no tenemos tu nombre, e-mail, teléfono ni dirección IP en claro. Cuando el cliente recibe una solicitud tuya, nosotros lo ayudamos a atenderla (ver 10.7).

2.4 Los Píxeles (Meta, Google y código personalizado) y cualquier HTML o JavaScript escrito por el cliente que el player ejecute son tratamiento del cliente con esos terceros, no nuestro. Nosotros solo cargamos ese código cuando el cliente lo configura (ver 4.11).

2.5 Esta Política no cubre los sitios a los que el visitante es llevado (como la página de checkout del cliente) ni la dirección externa en la que el cliente aloja un video importado por URL pública. Cada uno de ellos tiene su propia política.

3. Datos que tratamos sobre quien tiene cuenta

3.1 Recolectamos lo que la cuenta necesita para funcionar. Casi todo viene de ti, escrito en el panel.

3.2 Registro, login y seguridad del acceso.

• Nombre completo, e-mail y contraseña. La contraseña va directo al proveedor de login (Supabase), que la guarda como hash (una transformación irreversible); nosotros nunca la vemos en claro.
• El código de invitación, cuando te registras por invitación. En nuestra tabla de invitaciones queda solo un resumen criptográfico de él; el código en sí viaja junto con el registro y queda guardado, con los demás datos de tu usuario, en el proveedor de login. Después de usada, la invitación no da acceso a nada.
• La versión de los Términos de Uso y de esta Política que aceptaste y la fecha y hora de la aceptación. Solo la última aceptación queda guardada.
• E-mails de confirmación de registro y de recuperación de contraseña. El enlace de recuperación vale por 1 hora.
• Verificación en dos pasos, si la activas: el secreto de tu aplicación autenticadora queda en el proveedor de login. El código QR se genera en tu navegador, sin pasar por un servicio externo. La clave de recuperación que puedes descargar contiene tu e-mail, la fecha y ese secreto: guárdala como una contraseña.
• Sesión: el token de login queda en el almacenamiento local de tu navegador. En "Dispositivos conectados", "Cerrar en todos" cierra tus sesiones en todos los dispositivos.

3.3 Perfil. Nombre y apellido; teléfono con código de país (opcional); foto, reducida en tu navegador antes de enviarse; y preferencias (tema, idioma, zona horaria, moneda de las estadísticas y avisos cerrados). Solo tú editas tu perfil. El cambio del e-mail de acceso todavía no existe en el panel: pídelo por el e-mail de contacto.

3.4 Cuenta y configuraciones. Nombre de la cuenta, plan, inicio del ciclo, estado de la suscripción, lista de dominios permitidos (pantalla Protección), plataformas de checkout conectadas y la dirección del webhook de ventas (la dirección secreta que la plataforma de checkout llama para avisarnos de cada venta, ver 4.10) y, en la prueba A/B de páginas, los dominios (de cada uno, el destino del registro CNAME que muestra el panel, el identificador del subdominio en Cloudflare y el estado de la verificación: lo que respondieron el DNS público y Cloudflare y cuándo verificamos por última vez), las direcciones de las páginas de cada prueba y la clave de origen de la cuenta (la clave que tu servidor exige de nuestro borde para entregar la página, en el archivo .htaccess que la pantalla de la prueba entrega). Las configuraciones son leídas por todos los miembros y modificadas por el dueño y los administradores, con tres excepciones. La dirección del webhook de ventas y la clave de origen de la prueba A/B de páginas solo las ven el dueño y los administradores, y solo ellos publican, pausan, finalizan o borran una prueba de páginas. El nombre de la cuenta solo lo cambia el dueño (ver 3.5).

3.5 Cobro.

• Datos de facturación, si completas "Datos de facturación": nombre para la factura, CPF o CNPJ y dirección. Cualquier miembro de la cuenta puede leerlos, pero solo el dueño los modifica; guardar también cambia el nombre de la cuenta por el nombre de facturación.
• Tarjeta: no recibimos ni guardamos el número de tu tarjeta. Cuando exista el cobro, la tarjeta se registrará en el checkout del procesador de pagos (Stripe), que nos informará solamente el estado de la suscripción y lo necesario para registrar el cobro.
• Hoy toda cuenta está en cortesía, sin cobro: no hay factura, tarjeta ni historial de pagos.

3.6 Equipo e invitaciones.

• Para invitar a alguien, el dueño o un administrador informa el nombre y el e-mail de la persona y elige el rol (administrador o miembro). No es posible invitar a alguien como dueño: cada cuenta tiene un único dueño, que solo cambia cuando el propio dueño transfiere la cuenta a un miembro (Términos, punto 3.9); de esa transferencia guardamos quién transfirió, a quién y cuándo, mientras la cuenta exista. En la transferencia, los datos de facturación del dueño anterior se borran de la cuenta. Guardamos el e-mail y el nombre informados, el rol, quién creó la invitación y las fechas de creación, validez (7 días), uso, revocación o rechazo. En nuestra tabla de invitaciones, del código queda solo un resumen criptográfico (ver 3.2); el enlace aparece una vez, para quien lo creó.
• No enviamos la invitación por e-mail: quien invita copia el enlace y lo entrega como prefiera. Quien ya tiene cuenta con ese e-mail ve la invitación en el panel, con el nombre de la cuenta, el rol y quién invitó. Antes de entrar, quien tiene el código ve el nombre de la cuenta, el rol, el nombre informado y el e-mail del invitado con una parte oculta. La invitación solo es aceptada por la cuenta cuyo e-mail es igual al de la invitación.
• Quien comparte una cuenta contigo ve tu nombre, e-mail, rol, fecha de ingreso y si tu e-mail está confirmado, y puede acceder a tu teléfono, tu foto y tus preferencias. Solo el dueño y los administradores ven la lista de invitaciones.
• Quitar a un miembro no borra lo que él creó. Queda registrado quién creó y quién usó cada invitación.

3.7 Contenido que envías.

• Videos e imágenes (portadas, Pantalla de pausa, Textos en pantalla), carpetas, pruebas A/B y todas las configuraciones de cada video: Colores y estilo, Pantalla de pausa, Subtítulos, Kreon Autoplay, Barra de progreso acelerada, Aceleración, Retomar donde lo dejó, Comportamiento del player, Botones de oferta (textos y enlaces), Textos en pantalla, Ganchos de retención, Filtro de visitantes y Píxeles (identificadores de píxel y código personalizado). También métricas personalizadas, grupos, favoritos y notificaciones leídas.
• Los archivos de video e imagen quedan en direcciones públicas en v.kreonview.com, formadas por un código aleatorio imposible de adivinar y que contiene el identificador de tu cuenta. Quien tenga el enlace accede al archivo, incluso fuera del player e incluso si limitaste el player a ciertos dominios. No envíes contenido que no pueda ser visto por quien tenga el enlace.
• Los videos importados por URL pública siguen alojados donde indicaste; no copiamos el archivo.

3.8 Estadísticas y ventas. Los eventos de reproducción de los visitantes de tu sitio y los avisos de venta de tu plataforma de checkout quedan en tu cuenta y son leídos por sus miembros. La sección 4 describe esos datos.

3.9 Registros de uso y seguridad.

• Una copia de seguridad de cada video, carpeta o prueba borrados, con quién borró y cuándo. No aparece en el panel; la recuperación se hace por solicitud al e-mail de contacto.
• Registros de autenticación (ingresos, e-mails de confirmación y recuperación), mantenidos por el proveedor de login.
• Los registros de acceso (logs) del sitio, del panel, del player, de la API, del borde de la prueba A/B de páginas y de los archivos quedan con Cloudflare, por los plazos y en las condiciones de su servicio; no tenemos copia propia. Los registros de nuestra propia API guardan el nombre de la función llamada, el código de respuesta y la pila de error en caso de fallo; nunca el contenido de los eventos.
• Avisos de eventos que el servidor no grabó (evento inválido, video que ya no existe o de otra cuenta), sin ningún dato de visitante.

3.10 Ranking de plays (opcional). Si el dueño o un administrador decide participar, guardamos el apodo elegido, la fecha del consentimiento, el número de cambios de apodo y el total diario y mensual de plays únicos de la cuenta. Otras cuentas participantes ven tu apodo, tu posición y tu total mensual cuando estás entre los 10 primeros; nunca nombre, e-mail, plan, títulos de video ni ingresos. El apodo es un seudónimo visto por otros clientes: no uses tu nombre ni tu marca si no quieres que ellos te identifiquen. El marcador es un historial: los meses cerrados no cambian de número, pero puedes salir en cualquier momento (ver 10.6). El apodo puede cambiarse tres veces, y el cambio vale también para los meses ya cerrados.

3.11 Sitio kreonview.com. El sitio guarda solamente el idioma elegido, en tu navegador. No hay herramienta de análisis de audiencia ni rastreador de terceros en el sitio ni en el panel.

3.12 De dónde vienen esos datos.

• de ti, al registrarte, completar el perfil, configurar la cuenta y enviar contenido;
• de quien te invita;
• del propio uso del servicio, que genera registros;
• de los visitantes de tu sitio, por medio del player y del borde de la prueba A/B de páginas;
• de tu plataforma de checkout, por los avisos de venta;
• del proveedor de DNS de tu dominio, cuando la pantalla Dominios de las páginas muestra un dominio pendiente y cuando usas la configuración automática del DNS (cláusula 3.13);
• cuando exista el cobro, del procesador de pagos.

3.13 Configuración automática del DNS (prueba A/B de páginas). Para un dominio que todavía espera el registro CNAME (cláusula 3.4), el panel puede ofrecer al dueño y a los administradores "Configurar automáticamente". Para saber si es posible, cuando la pantalla Dominios de las páginas muestra un dominio pendiente, nuestro borde consulta en el DNS público los registros públicos del dominio (quién responde por él, los servidores de nombres y, si existe, el registro _domainconnect) y descubre qué proveedor gestiona el DNS. Esto también sirve para mostrar el paso a paso de ese proveedor cuando el registro se crea a mano, incluso sin la configuración automática. Si ese proveedor usa Domain Connect, el borde le pregunta, informando solo el nombre del dominio, si acepta nuestro modelo de registro. Siempre autorizas en el sitio del propio proveedor, con tu cuenta en él:

• Domain Connect (un protocolo abierto que adoptan proveedores de DNS como Cloudflare): el panel abre el sitio de tu proveedor con el registro que se va a crear; entras, revisas y confirmas, y el propio proveedor crea el registro, según sus propias reglas: puede borrar o cambiar un registro que ya exista con ese nombre. Antes de confirmar, revisa en el sitio del proveedor si ya existe un registro con ese nombre. No recibimos tu contraseña ni acceso a tu cuenta: a la vuelta, el proveedor solo informa si confirmaste o cancelaste.
• Hostinger: entras en el sitio de Hostinger y autorizas a Kreon View. Hostinger no ofrece una autorización solo para el DNS: nos entrega un acceso temporal que vale para toda tu cuenta. Lo usamos solo para leer los registros de DNS del dominio y crear en él el registro CNAME que muestra el panel. Si ya existe cualquier registro con ese nombre, no lo tocamos: nunca borramos ni cambiamos un registro existente. Tampoco aquí recibimos tu contraseña. El acceso no se guarda en ningún lugar: justo después de usarlo, incluso cuando algo sale mal, pedimos a Hostinger que lo cancele. La lista de registros del dominio se lee solo durante el pedido y tampoco se guarda.

La respuesta del proveedor solo vale por 20 minutos y solo la usa quien es dueño o administrador de la cuenta, con la sesión abierta en el panel. Mientras tanto, el panel guarda el pedido y la respuesta en tu navegador (cláusula 12.3); nada de esto va a nuestra base de datos. Si el proveedor no acepta la configuración automática, o si lo prefieres, el registro se puede seguir creando a mano.

4. Datos que tratamos sobre visitantes

4.1 Del visitante, el player registra lo que pasa con el video, nunca quién es. No recolectamos nombre, e-mail, teléfono, documento, dirección IP en claro, ciudad, coordenadas, resolución de pantalla ni el texto completo de identificación del navegador (user agent). No hacemos huella digital del dispositivo (fingerprinting) más allá de las tres categorías de la cláusula 4.4. Solo los miembros de la cuenta del cliente leen esos datos.

4.2 Cómo llega el player al visitante. El cliente pega en su página una etiqueta y un script. El script crea un marco (iframe) con el player, servido desde app.kreonview.com. El player pide a nuestra API la configuración del video, informando la dirección (host) de la página que lo muestra. El navegador del visitante descarga el archivo de video de v.kreonview.com o, si el cliente lo importó por URL pública, de la dirección que el cliente indicó. Como en cualquier acceso a un sitio, la dirección IP del visitante llega a los servidores que entregan la página, el player, el archivo y la API; Cloudflare la recibe para entregar el contenido. Nosotros no la grabamos (ver 4.5).

4.3 Identificador seudónimo del visitante.

• El player genera un código formado por el instante de la creación y por letras y números aleatorios (en el formato "kv-" seguido de letras y números) y lo guarda en el almacenamiento local del navegador, en el origen app.kreonview.com, por 30 días. Vencido el plazo, genera otro. Si el navegador bloquea el almacenamiento, el player usa un valor fijo que no distingue visitantes.
• No contiene nombre, e-mail, IP ni ningún dato de identidad. Sirve para contar plays únicos, agrupar los eventos de un mismo visitante en el mismo video y día (por ejemplo el punto más avanzado visto), mostrar el Tiempo real y vincular una venta con un play. La variante de la prueba A/B y la posición para Retomar donde lo dejó quedan en ítems separados del almacenamiento local (sección 12) y no dependen de ese identificador. Puede ser borrado o falsificado por el visitante; por eso sirve para conteo, no como prueba.
• Como el player sale siempre de app.kreonview.com, el mismo identificador puede acompañar al visitante en sitios de clientes diferentes durante esos 30 días, en los navegadores que no separan el almacenamiento del player por sitio visitado; en los que lo separan, cada sitio recibe un identificador propio. Cada cliente, sin embargo, solo ve los registros de su propia cuenta.
• El visitante lo borra limpiando los datos del sitio app.kreonview.com en el navegador. Uno nuevo se generará en la próxima visita.

4.4 Eventos de reproducción. Durante la visita, el player envía a nuestra API eventos como: apertura del player, clic para activar el sonido, play, pausa, fin, llegada al momento de la oferta y clic en un botón. Envía también un registro de progreso (uno por visitante, video y día, con el punto más avanzado y el tiempo visto con sonido, que mide el engagement) y una señal periódica mientras el video se reproduce. Cada evento lleva:

• el tipo y el instante del evento, el identificador seudónimo, el identificador del video y, cuando tenga sentido, el segundo y el porcentaje vistos;
• el idioma del navegador, recortado a 5 caracteres (por ejemplo "pt-BR"), y la velocidad de reproducción;
• la página de origen (referrer): la dirección de la página del cliente que muestra el player, hasta 120 caracteres, en lo que el navegador y la página del cliente permitan informar; y el dominio (host) de esa página, verificado contra la lista de dominios permitidos del cliente;
• tres categorías deducidas del navegador: dispositivo (computadora, celular o tablet), sistema (Windows, Android, iOS, macOS, Linux u otro) y navegador (Chrome, Safari, Firefox, Edge, Opera u otro);
• parámetros de campaña e identificadores de clic presentes en la dirección de la página del cliente (utm_*, fbclid, gclid, ttclid), que el código de inserción lee y pasa al player, hasta 12 parámetros;
• la variante de la prueba A/B y las variantes de Kreon Autoplay, Textos en pantalla y Aceleración sorteadas para el visitante.

4.5 Lo que nuestro borde agrega: país, estado o región y seudónimo de la IP.

• El país del visitante, en dos letras, y el estado o región (por ejemplo, "SC"), informados por la red de Cloudflare a partir de la dirección IP. El país acompaña a los eventos; el estado o región solo se muestra mientras la persona ve el video y se borra en hasta 10 minutos (ver 4.6). Ni ciudad, ni coordenadas, ni la dirección.
• Un seudónimo de la IP: nuestra API calcula un resumen criptográfico (hash) recortado de la dirección y descarta la dirección. La base de datos recibe ese resumen junto con los eventos y no lo graba: no contamos eventos ni plays por origen ni aplicamos topes por origen. Ni nosotros podemos volver del seudónimo a la IP. La IP en claro no es columna de ninguna tabla nuestra.

4.6 Tiempo real. Mientras el visitante ve el video, mantenemos una fila con el identificador seudónimo, el idioma, la categoría de dispositivo, el país, el estado o región y la última señal, para mostrar al cliente quién está viendo ahora. Se borra al pausar, al terminar o en hasta 10 minutos sin señal. El estado o región solo existe en esa fila: no va a los eventos ni a los resúmenes.

4.7 Resúmenes estadísticos. Cada hora y cuando el día termina, los eventos se consolidan en resúmenes por cuenta, video, día, hora y segmento (país, dispositivo, sistema, navegador, variante A/B y los parámetros de campaña utm_source, utm_medium, utm_campaign, utm_term y utm_content), con conteos, un histograma de retención y un histograma de días desde la visita anterior del mismo visitante al mismo video (solo el conteo, para obtener los visitantes únicos de cualquier período). Los parámetros de campaña entran solo como el valor de cada uno, sumado: hasta 1.000 valores por video, día y parámetro, y los demás en un grupo "otros", con la lista de esos valores. Los resúmenes no contienen el identificador del visitante, la página de origen ni los identificadores de clic (fbclid, gclid, ttclid). Son ellos los que sobreviven a la limpieza de los eventos individuales. Pruebas automáticas. Mientras una prueba automática del cliente está en curso (Textos en pantalla, Kreon Autoplay o Aceleración), el servidor guarda, para cada visitante que pasa por ella, el identificador seudónimo, la variante que recibió (el texto, el aviso o la velocidad), marcas de lo que hizo con ella (vio, dio play, hizo clic en el aviso, llegó al momento de la oferta) y los días en que dio play y en que llegó al momento de la oferta. Sirve para contar personas distintas desde el inicio de la prueba y encontrar a quien compró; nada de eso entra en los resúmenes, y solo los números por variante aparecen en el panel. Esas filas se borran en minutos cuando la prueba termina, se reinicia, se borran las estadísticas del video o se elimina el video.

4.8 Funciones que deciden en el navegador del visitante. Filtro de visitantes: compara el idioma y la categoría de dispositivo con las reglas del cliente y verifica si la página trae la clave o el token exigidos en la dirección. El visitante bloqueado ve un mensaje de indisponibilidad o un video de redirección. No existe bloqueo por país ni por detección de proxy o VPN, y no se consulta ningún servicio externo. Retomar donde lo dejó: guarda la posición después de que se activa el sonido. Kreon Autoplay: el código de inserción percibe la primera interacción en la página solo para liberar el sonido, y después deja de observar. El clic que libera el sonido en Kreon Autoplay y la variante sorteada entran en los eventos de la cláusula 4.4. La clave y el token del Filtro de visitantes se leen de la dirección de la página y se pasan al player, sin ir al servidor.

4.9 Identificador en la URL del checkout del cliente. Cuando el visitante hace clic en un Botón de oferta o en el botón de la Pantalla de pausa, el player agrega el identificador seudónimo (parámetro "kvid") al enlace de destino configurado por el cliente. Si el cliente activó el seguimiento de conversiones, va en su lugar una clave de conversión, en el parámetro que el cliente eligió. Esa clave reúne el identificador seudónimo, el identificador del video, el segundo visto y, cuando las haya, las variantes sorteadas. En ese caso, el código de inserción agrega la clave a cualquier enlace en el que el visitante haga clic en la página del cliente, incluso botones hechos por el propio cliente. En una página de una prueba A/B de páginas cuyo campo de atribución es el mismo parámetro de la clave, el código de inserción no agrega la clave a los enlaces de la página: vale el campo de la prueba, que solo va a los enlaces de checkout y solo mientras la prueba mide (cláusula 4.15). La finalidad es una sola: la plataforma de checkout devuelve ese valor en el aviso de venta y así vinculamos la venta con el play. El destino es del cliente; a partir de ahí valen su aviso de privacidad y el de la plataforma de checkout.

4.10 Avisos de venta (webhook de la plataforma de checkout).

• El cliente conecta su plataforma de checkout (Hotmart, Kiwify, Monetizze y otras) a una dirección secreta de nuestra API. La plataforma pasa a enviarnos un aviso por cada venta, rechazo, pago pendiente o reembolso.
• Un aviso de checkout suele traer nombre, e-mail y documento del comprador. No guardamos el cuerpo del aviso: leemos en él solo lo que necesitamos y descartamos el resto.
• Del aviso quedan: valor, moneda, estado (aprobada, rechazada, pendiente u otro), identificador de la transacción en la plataforma, identificador seudónimo del visitante y video (cuando hay vinculación), nombre de la plataforma, segundo del video y variantes en el momento del clic, velocidad de reproducción, un seudónimo de la IP de quien llamó (la plataforma, no el comprador), los nombres de los campos recibidos (hasta 60 nombres, no los valores), el texto del estado informado por la plataforma (hasta 120 caracteres), el tipo de contenido del aviso, la categoría de la transacción (principal, order bump, upsell, downsell o renovación), la fecha de aprobación informada por el checkout y la indicación del origen de esa fecha. Cuando la plataforma no informa una fecha válida e inequívoca, se usa el instante del primer aviso de aprobada como alternativa. Cuando la venta se vincula con un visitante, quedan también, copiados de sus eventos de reproducción en ese video: el país, el tipo de dispositivo, el sistema, el navegador y los parámetros de campaña (utm_*) de la última visita con play (sin play, de la última visita; el país, si falta en ella, de otra visita del mismo visitante al video) y la última prueba A/B por la que llegó a ese video. Los identificadores de clic (fbclid, gclid, ttclid) no se copian a la venta: quedan solo en los eventos, borrados a los 90 días.
• La misma transacción es una sola fila; un reenvío actualiza la fila y un reembolso la marca como no contada.

4.11 Píxeles (tratamiento del cliente con terceros). Cuando el cliente configura la función Píxeles, el player carga, dentro del marco y en el navegador del visitante, el script de Meta (connect.facebook.net) y/o de Google (googletagmanager.com), con el identificador de píxel del cliente. Al cargar el player, el script del píxel se descarga y registra la visualización de la página (PageView, en Meta; configuración del tag, en Google), incluso antes de que se active el sonido. A partir de ahí esos terceros pueden grabar cookies y recolectar datos según sus políticas. Los demás eventos (progreso cada 5% del video, llegada al momento de la oferta y conversión) solo se disparan después de que el visitante activa el sonido. Nada se carga ni se dispara durante la vista previa en el panel. La opción de código personalizado ejecuta un JavaScript escrito por el cliente, para píxeles de otras plataformas. Kreon View no recibe esos datos ni decide su uso. El HTML de los Botones de oferta también lo escribe el cliente y se ejecuta en el navegador del visitante; el cliente responde por ese contenido.

4.12 Google Fonts en el player. Solo cuando el cliente elige para botones o textos una fuente distinta de la predeterminada, el navegador del visitante descarga esa fuente de los servidores de Google, que recibe la dirección IP del visitante como en cualquier descarga.

4.13 Aviso al visitante y señales del navegador. El player y el borde de la prueba A/B de páginas no muestran aviso de cookies ni leen señales de rechazo del navegador (como Do Not Track). Como controlador, corresponde al cliente informar al visitante sobre el uso del player y de la prueba y, cuando la ley lo exija, obtener su consentimiento, incluso para los Píxeles que configure. En la prueba A/B de páginas, el cliente puede activar "Medir solo después del consentimiento del visitante": entonces la prueba no mide nada hasta que el banner de consentimiento de su sitio llame a window.__KV.ok() (cláusula 4.15). Por defecto está desactivado. La opción vale solo para la prueba: el player de Kreon View en la página sigue sus propias cláusulas (4.1 a 4.12 y 4.14) y mide también antes de la aceptación del visitante; corresponde al cliente cargar el player solo después de la aceptación cuando la ley lo exija. Con esa opción activada, el banner debe llamar a window.__KV.nao() cuando el visitante retira el consentimiento; cuando la llama, la prueba deja de medir en el momento y, a partir del acceso siguiente, el campo de la prueba no va a los enlaces. En el primer acceso, después de eso, a una prueba del subdominio con la opción activada, el borde borra kv_p y vuelve a grabar kv_id y la kvt_<prueba> de esa prueba para que duren solo hasta que se cierre el navegador; la kvt_ de otra prueba del subdominio, que guarda solo la letra de la variante, puede durar hasta el fin de su plazo, de hasta 30 días (cláusula 12.9).

4.14 Lo que queda en el navegador del visitante. El player y el código de inserción no usan cookies. El player graba en el almacenamiento local del origen app.kreonview.com: el identificador seudónimo (30 días), la variante de la prueba A/B (30 días), la posición para Retomar donde lo dejó, las variantes sorteadas, los botones ya mostrados, una copia local de los eventos y una copia de la última configuración del video (30 días), usada si nuestro servidor de configuración falla. El código de inserción graba, en el origen del sitio del cliente, qué elementos de la página ya fueron revelados. En la vista previa del panel no se envía ningún evento y no se graba nada más que el identificador seudónimo, que en ese caso queda en el navegador del propio cliente. En la prueba A/B de páginas, el borde graba cookies en el subdominio del cliente (cláusula 4.15). La sección 12 lista cada ítem con nombre, finalidad y duración.

4.15 Prueba A/B de páginas (en el subdominio del cliente). En esta función, el cliente apunta un subdominio suyo hacia nuestro borde, con un registro CNAME, y el borde entrega en esa dirección la página A o la página B de cada prueba, obtenidas del servidor del cliente. Una copia de cada página queda en la caché de Cloudflare por hasta 30 días, para entregarse cuando el servidor del cliente falla o no entrega la página (fuera de servicio, con error o con la página borrada); para sacar la página de línea hay que finalizar y borrar la prueba, y la copia desaparece sola en un plazo de hasta 30 días después de que se borre la prueba, se quite el dominio o se cierre la cuenta. El visitante ve siempre la dirección del cliente. Como en cualquier acceso, su dirección IP llega a la red de Cloudflare, que entrega la página; el borde no graba la IP. Mientras la prueba mide, el borde:

• graba en el subdominio del cliente un identificador seudónimo del visitante (la letra "v" seguida de 10 letras y números aleatorios, propio de ese subdominio y sin relación con el identificador del player) y la variante sorteada, por 30 días, para que vea siempre la misma página (sección 12.9);
• registra en el Analytics Engine de Cloudflare los eventos del embudo: la visita y la primera visita del visitante, grabadas por el borde al entregar la página, y, enviados por la página, el play, el progreso del video (25, 50, 75 y 100%), la llegada al momento de la oferta y el clic hacia el checkout. Cada evento lleva la prueba, la variante, el evento, el identificador seudónimo, el país en dos letras, los parámetros de campaña utm_source, utm_campaign y utm_content (hasta 100 caracteres cada uno) y la categoría de dispositivo (celular o computadora); no lleva la dirección IP, el navegador completo (user agent) ni la página de origen. Esos eventos quedan 3 meses y los borra la propia Cloudflare;
• agrega a los enlaces de checkout de la página, en el campo de atribución que el cliente eligió, la prueba, la variante y el identificador seudónimo, con los parámetros de campaña (utm_*) de la dirección de la página, para que la plataforma de checkout devuelva la venta a la prueba. El script de la página entrega ese campo, con el identificador, a todo marco (iframe) de la página que lo pide: al player de Kreon View, que pone el mismo campo en sus enlaces y avisa a la página del play, del progreso, de la llegada al momento de la oferta y del clic, y también a otros marcos que el sitio del cliente ponga en la página.

La prueba no mide cuando está pausada, finalizada o con ganador, ni, con "Medir solo después del consentimiento del visitante" activado, antes de que el visitante consienta: nada va al Analytics Engine, el campo no va a los enlaces y las cookies que el borde graba en ese caso (kv_id y kvt_<prueba>) duran solo hasta que se cierra el navegador. La página de la prueba graba el consentimiento en una cookie (kv_ok) cuando el banner del sitio del cliente llama a window.__KV.ok(), y esa cookie dura 30 días en cualquier estado de la prueba, hasta que el visitante retire el consentimiento (cláusula 4.13); en el siguiente acceso con la prueba midiendo, las cookies del borde pasan a durar 30 días y el visitante cuenta como nuevo.

5. Para qué usamos los datos y con qué base legal

5.1 Como controlador (datos de quien tiene cuenta). La Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018, Ley General de Protección de Datos de Brasil) exige una base legal (un motivo previsto en la ley) para cada uso. Estas son las nuestras:

• Ejecución del contrato (LGPD, art. 7º, V): crear y mantener tu cuenta; autenticarte, incluso por verificación en dos pasos; gestionar equipo, roles e invitaciones; recibir, guardar y entregar tus videos e imágenes; publicar la configuración del player; registrar, resumir y mostrar estadísticas, ventas y Tiempo real; mostrar avisos en el panel; registrar la aceptación de los Términos; crear en tu proveedor de DNS, cuando lo pides, el registro de la prueba A/B de páginas (cláusula 3.13); y, cuando exista, cobrar la suscripción y el excedente de plays.
• Legítimo interés (art. 7º, IX): mantener el servicio seguro y evitar fraude y abuso (seudónimo de la IP; descarte de eventos de dominios no autorizados; registro de quién borró qué; copia de seguridad de lo borrado); medir y mejorar el servicio (conteo de plays, diagnóstico de errores); y defender nuestros derechos. Lo hacemos con el mínimo de datos y de forma seudonimizada siempre que sea posible. Puedes oponerte por el e-mail de contacto (ver sección 10).
• Cumplimiento de obligación legal (art. 7º, II): guardar datos fiscales y de cobro por el plazo que exija la legislación tributaria, cuando exista el cobro; guardar registros cuando la ley lo exija; atender órdenes de autoridades competentes.
• Consentimiento (art. 7º, I): participar en el Ranking de plays. El texto del consentimiento se muestra antes de entrar, y la fecha queda registrada. Puedes revocar el consentimiento en cualquier momento por el e-mail de contacto: tu cuenta deja de alimentar el marcador y tu apodo es sustituido por un seudónimo neutro, también en los meses ya cerrados. Los totales de plays ya computados siguen en el historial, sin nada que identifique la cuenta, porque los marcadores cerrados son inmutables para las otras cuentas participantes (ver 10.6).
• Ejercicio regular de derechos (art. 7º, VI): usar registros en un proceso judicial, administrativo o arbitral, cuando sea necesario.

5.2 Como operador (datos de visitantes). Tratamos los datos del visitante para ejecutar las funciones que el cliente contrató y configuró:

• contar visualizaciones y plays, medir retención y clics;
• aplicar pruebas A/B, incluida la prueba A/B de páginas, y sortear las variantes de Kreon Autoplay, Textos en pantalla y Aceleración;
• recordar la posición en Retomar donde lo dejó y los botones ya mostrados;
• aplicar el Filtro de visitantes y la protección por dominio;
• mostrar el Tiempo real;
• vincular ventas con plays;
• alimentar, de forma agregada, el Ranking del cliente.

La base legal de ese tratamiento la define el cliente, que es el controlador, en el aviso de privacidad de su sitio. Nuestra parte es tratar solo lo necesario y de forma seudonimizada. Para seguridad y combate al tráfico artificial, y para medir la cuota de plays del plan, somos controladores. La base legal es nuestro legítimo interés (art. 7º, IX) y la ejecución del contrato con el cliente (art. 7º, V). El identificador seudónimo es único por navegador y puede acompañar al visitante en sitios de clientes diferentes (ver 4.3); esa es una elección técnica nuestra, y cada cliente solo ve los registros de su propia cuenta.

5.3 Decisiones automatizadas. El servidor rechaza automáticamente los eventos fuera de formato o de páginas que no están en la lista de sitios autorizados del cliente: no se graban ni se cuentan. No hay tope de conteo por origen, por cuenta ni por día. Esto afecta solo al conteo estadístico y, cuando exista, al cobro del cliente; no produce efecto jurídico para el visitante ni le impide ver el video.

5.4 Lo que no hacemos. No vendemos ni alquilamos datos personales. No usamos datos de visitantes para publicidad propia ni para armar perfiles entre sitios. No cruzamos datos de clientes diferentes. No usamos datos personales para entrenar modelos de inteligencia artificial.

6. Con quién compartimos

6.1 Compartimos datos solo con quien los necesita para que el servicio funcione. Nuestros operadores (proveedores que tratan datos en nuestro nombre, bajo contrato e instrucciones nuestras) son:

• Supabase: base de datos, autenticación (contraseñas, sesiones, verificación en dos pasos) y, hoy, el envío de los e-mails de confirmación de registro y de recuperación de contraseña por el servicio integrado. Proyecto alojado en la región de São Paulo, Brasil.
• Cloudflare: alojamiento del sitio, del panel y del player; la API; almacenamiento y entrega de los archivos de video e imagen; DNS (el servicio que apunta nuestras direcciones a los servidores correctos); y la red de borde que recibe las solicitudes, informa el país y el estado o región del visitante y mantiene sus propios registros de acceso. En la prueba A/B de páginas, también el borde que entrega las páginas en el subdominio del cliente; el Analytics Engine, que guarda los eventos del embudo por 3 meses; Cloudflare for SaaS, por el que una autoridad certificadora asociada a Cloudflare (Let's Encrypt, Google Trust Services o SSL.com) emite el certificado HTTPS del subdominio del cliente; y el DNS over HTTPS de Cloudflare, por el que el borde consulta en el DNS público el registro CNAME de ese subdominio y los registros públicos del dominio, para la configuración automática del DNS y para mostrar el proveedor en el paso a paso manual (cláusula 3.13). Como todo certificado HTTPS público, el del subdominio queda en los registros públicos de transparencia de certificados (Certificate Transparency), con el nombre del subdominio. Red global, con puntos de presencia en varios países.
• Proveedor de e-mail transaccional: cuando contratemos un proveedor dedicado para los e-mails del servicio, recibirá tu e-mail y el contenido de los mensajes, y esta Política será actualizada. Hasta entonces, los e-mails salen por el servicio integrado de Supabase.

6.2 Terceros que reciben datos por cuenta propia. Google recibe la dirección IP de quien descarga una fuente de Google Fonts: siempre en el sitio y en el panel; en el player, solo cuando el cliente elige una fuente. Trata ese dato según su propia política de privacidad, sin instrucciones nuestras. Cuando exista el cobro, Stripe recibirá los datos de pago directamente de ti, en su checkout, como responsable propio de esos datos, y nos informará solamente el estado de la suscripción. No recibiremos el número de la tarjeta. El proveedor de DNS de tu dominio (por ejemplo Hostinger, o Cloudflare cuando es ella quien gestiona tu DNS) recibe el nombre del dominio cuando la pantalla Dominios de las páginas muestra un dominio pendiente y, cuando usas la configuración automática del DNS (cláusula 3.13), también recibe de ti, en su sitio, el inicio de sesión y la autorización y, por tu navegador y por nuestro borde, el subdominio y el destino del registro CNAME. En ese papel, es proveedor tuyo, no nuestro, y trata esos datos según su propia política de privacidad.

6.3 Destinos que el cliente configura. No enviamos datos de visitantes a nadie por cuenta propia. Tres cosas ocurren solo por configuración del cliente. Primera: cuando el visitante hace clic en un Botón de oferta, en el botón de la Pantalla de pausa o, con el seguimiento de conversiones activado, en cualquier enlace de la página, el identificador seudónimo va en la dirección de destino, por su navegador; en la prueba A/B de páginas, lo mismo vale para los enlaces de checkout de la página, que llevan el identificador de la prueba, y para los marcos (iframes) de la página que lo piden (cláusula 4.15). Segunda: la plataforma de checkout del cliente nos envía avisos de venta; ella es la remitente, y nosotros no le enviamos nada. Tercera: los Píxeles de Meta, de Google o de otras plataformas se ejecutan en el navegador del visitante con el identificador de píxel del cliente y recolectan lo que sus políticas describen.

6.4 Dentro de tu cuenta. Los miembros ven el perfil unos de otros (ver 3.6), los videos, las estadísticas, las ventas y los datos de facturación. El dueño y los administradores ven también la lista de invitaciones, la dirección secreta del webhook de venta y la clave de origen de la prueba A/B de páginas.

6.5 Otras cuentas, en el Ranking. Si participas, las demás cuentas participantes ven tu apodo, tu posición y tu total mensual de plays cuando estés entre los 10 primeros.

6.6 Autoridades. Entregamos datos cuando la ley lo exija, por orden judicial o solicitud de autoridad competente, o cuando sea necesario para proteger derechos, seguridad o propiedad nuestra, de clientes o de terceros, siempre en el límite de lo que sea exigido.

6.7 Reorganización societaria. Si Kreon View es vendido, incorporado o reorganizado, los datos podrán transferirse al sucesor, que quedará vinculado a esta Política. Te avisaremos antes, por el panel o por e-mail.

7. Transferencia internacional

7.1 Parte de los datos sale de Brasil. La base de datos y la autenticación quedan en el país (Supabase, región de São Paulo). Dos proveedores procesan datos fuera de él. Cloudflare, cuya red global entrega el sitio, el panel, el player, la API, los archivos y las páginas de la prueba A/B de páginas desde el punto de presencia más cercano a quien accede, guarda también en su infraestructura los archivos de video, los eventos del embudo de la prueba A/B de páginas, las copias de las páginas de la prueba (por hasta 30 días, cláusula 4.15), los subdominios de la prueba dados de alta en ella, con los certificados, y la configuración publicada de cada prueba y de cada dominio. Google, cuyos servidores de fuentes están fuera de Brasil, recibe la dirección IP de quien descarga una fuente.

7.2 Esas transferencias se apoyan en las hipótesis del art. 33 de la LGPD, en especial en cláusulas contractuales y garantías ofrecidas por esos proveedores, que se comprometen con estándares de protección compatibles con la ley brasileña. Puedes pedir más información por el e-mail de contacto.

7.3 Para el visitante, lo que viaja por la red de Cloudflare es, como máximo, lo descrito en la sección 4. La dirección IP la usa el borde para entregar el contenido e informar el país y el estado o región, y nosotros no la grabamos.

8. Por cuánto tiempo guardamos

8.1 Guardamos cada dato solo por el tiempo en que sirve a su finalidad, y después por el plazo que la ley exija. Los plazos de eventos, orígenes, contadores y resúmenes los aplica automáticamente el servidor, todas las madrugadas; el del Tiempo real, cada minuto, como el de las pruebas automáticas. Los demás siguen la regla indicada en cada ítem: la Papelera la vacía el panel cuando lo abres; las invitaciones cerradas se eliminan cuando alguien crea una nueva invitación en la cuenta.

• Eventos de reproducción individuales (uno por acción del visitante): 90 días, después de que existe el resumen del día; como máximo 100 días.
• Tiempo real (quién está viendo, con el estado o región): hasta 10 minutos sin señal, o de inmediato al pausar o terminar.
• Orígenes (seudónimo de la IP, por cuenta y día): ya no se graban; los que existían se borran en 30 días.
• Contadores diarios de plays y de ventas por cuenta: 400 días.
• Resúmenes estadísticos por hora: 180 días.
• Resúmenes estadísticos diarios: 400 días.
• Pruebas automáticas (identificador seudónimo, variante y marcas de cada visitante de la prueba, y los días en que dio play y en que llegó al momento de la oferta): mientras la prueba está en curso, también después de los 90 días de los eventos; el servidor las borra en minutos cuando la prueba termina, se reinicia, se borran las estadísticas del video o se elimina el video.
• Registros de venta (valor, moneda, estado, fecha de aprobación, transacción, visitante, video y el segmento y la prueba A/B de la visita que compró, sin los identificadores de clic): mientras la cuenta exista, también después de que se borren los eventos individuales de los que salió el segmento. No se borran cuando borras el video, borras las estadísticas o desconectas la plataforma.
• Eventos del embudo de la prueba A/B de páginas (en el Analytics Engine de Cloudflare): 3 meses, borrados por la propia Cloudflare.
• Datos de la cuenta, perfil, equipo, configuraciones, videos, carpetas y pruebas: mientras la cuenta exista y, después, por el plazo necesario para cumplir obligaciones legales y defender derechos.
• Dominios de la prueba A/B de páginas (subdominio, destino del CNAME, identificador del subdominio en Cloudflare y estado de la verificación): hasta que el dominio se quite o la cuenta se cierre. Quitar un dominio borra también el subdominio dado de alta en Cloudflare y su certificado. El registro público de Certificate Transparency de cada certificado (con el nombre del subdominio y las fechas) queda para siempre y nadie lo borra (cláusula 6.1). Un subdominio suspendido o sacado del borde por nosotros queda en una lista de suspendidos, con el motivo, mientras dure la suspensión, también después de que se quite el dominio o se cierre la cuenta.
• Pedidos de alta de subdominio en Cloudflare (la cuenta y la hora de cada pedido, para limitar cuántos subdominios da de alta cada cuenta por día): 2 días; el servidor los borra en minutos después de ese plazo, también después de que se cierre la cuenta.
• Configuración automática del DNS (cláusula 3.13): el acceso temporal a la cuenta de Hostinger y la lista de registros del dominio no se guardan; el acceso se cancela justo después de usarlo. La respuesta del proveedor solo vale por 20 minutos; queda en tu navegador (cláusula 12.3), y nuestro borde la usa sin guardarla.
• Copias de las páginas de la prueba A/B de páginas (en la caché de Cloudflare): hasta 30 días después de la última vez que se obtuvieron con éxito del servidor del cliente; desaparecen solas en un plazo de hasta 30 días después de que se borre la prueba, se quite el dominio o se cierre la cuenta (cláusula 4.15).
• Invitaciones: abiertas, 7 días de validez; después cuentan como vencidas. Cerradas (usadas, revocadas, rechazadas o vencidas): quedan por lo menos 30 días y se eliminan la primera vez que alguien crea una nueva invitación en la cuenta después de ese plazo; no hay tarea programada, así que pueden permanecer más tiempo en cuentas que no crean invitaciones.
• Videos en la Papelera: 30 días; la primera vez que el panel se abra después de ese plazo, borra el video, sus eventos y los archivos de video e imagen que solo él usaba, lo mismo que "Eliminar definitivamente" hace al instante. La eliminación del archivo se hace en régimen de mejor esfuerzo: si falla, el archivo queda en v.kreonview.com hasta una solicitud al e-mail de contacto.
• Archivo anterior de un video después de "Cambiar archivo": 30 días, para que las páginas con el código completo (que lleva la dirección del archivo) sigan reproduciendo hasta que el código se copie de nuevo; la primera vez que el panel se abra después de ese plazo, borra el archivo anterior, si ningún otro video lo usa. La eliminación se hace con el mejor esfuerzo, como en la Papelera.
• Copia de seguridad de videos, carpetas y pruebas borrados: mientras la cuenta exista, sin plazo propio; recuperación por solicitud.
• Archivos de video e imagen y el estado de la suscripción: hoy no existe cobro ni cancelación, y ningún archivo se elimina a causa del estado de la suscripción. Cuando exista el cobro, esta Política será actualizada con el plazo de conservación después de la cancelación (el previsto es 30 días después del fin del ciclo pagado, para reactivación).
• Ranking (apodo y totales diarios y mensuales): mientras la cuenta exista o hasta que revoques el consentimiento; después quedan solo los totales, sin apodo.
• Datos de facturación (nombre para la factura, CPF o CNPJ y dirección): mientras la cuenta exista. Registros de cobro, cuando exista el cobro: por el plazo exigido por la legislación fiscal.
• Registros de autenticación y de acceso (Supabase, Cloudflare): por los plazos estándar de esos proveedores; no mantenemos copia propia de esos registros.
• Almacenamiento local y cookies en el navegador: conforme a la sección 12.

8.2 Acciones que tú mismo controlas. "Borrar estadísticas" borra, también en el servidor, los eventos, el Tiempo real y los resúmenes de ese video, y reinicia desde cero sus pruebas automáticas. Borrar un video borra sus eventos. Las ventas quedan en los dos casos, con el segmento y la prueba A/B copiados de los eventos (cláusula 4.10): son el historial financiero de la cuenta.

8.3 Fin de la cuenta. Cuando el dueño cierra la cuenta en el panel o se elimina a solicitud (ver 10.4), eliminamos o anonimizamos sus datos, incluido el historial en el Ranking y la copia de seguridad de videos, carpetas y pruebas borrados (cláusula 3.9). Los archivos de video e imagen, las copias de seguridad de la configuración de los códigos de inserción y la configuración publicada en el borde por la prueba A/B de páginas (direcciones de las páginas y clave de origen) se quitan en la medida de lo posible; lo que no se quite en el momento queda anotado en el registro del cierre, y el soporte quita todo lo que quede de la cuenta en el almacenamiento a partir de ese registro. Los dominios de la prueba A/B de páginas salen del borde, y el propio borde borra en Cloudflare los subdominios dados de alta y sus certificados, por lo general en minutos; hasta entonces, quedan anotados solo el subdominio, la cuenta y el identificador del subdominio en Cloudflare. El registro público de Certificate Transparency de cada certificado (con el nombre del subdominio y las fechas) queda para siempre y nadie lo borra (cláusula 6.1). Los pedidos de alta de subdominio en Cloudflare (la cuenta y la hora de cada uno) quedan hasta cumplir 2 días (cláusula 8.1). Las copias de las páginas en la caché de Cloudflare (cláusula 4.15) desaparecen solas en un plazo de hasta 30 días. Los eventos del embudo de la prueba A/B de páginas quedan en el Analytics Engine de Cloudflare, donde no pueden borrarse y desaparecen solos en un plazo de hasta 3 meses (cláusula 10.7). Guardamos el registro del cierre — identificador y nombre de la cuenta, e-mail de quien cerró, fecha, las cantidades de lo que salió y la lista de archivos pendientes — por el plazo necesario para concluir la remoción de los archivos y para el ejercicio regular de derechos. Queda también lo que la ley nos obligue a guardar, como registros fiscales. Los resúmenes agregados que no identifican a nadie pueden conservarse.

9. Cómo protegemos

9.1 Protegemos los datos con medidas técnicas y administrativas proporcionales al servicio. Entre ellas:

• Cifrado en tránsito: todas nuestras direcciones usan HTTPS (conexión cifrada entre el navegador y el servidor).
• Aislamiento por cuenta: la base de datos aplica reglas de acceso por fila; cada cuenta solo lee y modifica sus propios datos, y las funciones de lectura verifican si quien pide es miembro.
• Solo clave pública: nuestra API usa solo la clave pública de la base de datos y no guarda clave de servicio; los secretos quedan en un área de la base de datos que ninguna ruta pública alcanza.
• Verificación en dos pasos: quien la activa solo lee o graba datos con la sesión confirmada por el código de la aplicación; la base de datos rechaza lo que no pasó por el segundo factor.
• Contraseñas: solo el proveedor de login las recibe y las guarda en hash; nosotros no las vemos.
• IP nunca en claro: solo un seudónimo irreversible, mezclado con un secreto guardado en un área privada de la base de datos (ver 4.5).
• Invitaciones y webhook: el código de la invitación se guarda en la tabla de invitaciones solo como hash, aparece una vez y se elimina de la dirección del navegador en cuanto entras; la dirección del webhook de venta es un secreto generado por la base de datos y mostrado solo al dueño y a los administradores.
• Panel: fuera de los buscadores e impedido de abrirse dentro de otros sitios.

9.2 Límites que necesitas conocer. Los archivos de video e imagen quedan en direcciones públicas, protegidas solo por ser imposibles de adivinar: quien tenga el enlace accede. El identificador del visitante puede ser falsificado y sirve para conteo, no para prueba. La protección por dominio verifica la dirección informada por la página y vale contra la copia del código de inserción, no contra quien llama a la API directamente.

9.3 Tu parte. Usa una contraseña fuerte y única. Activa la verificación en dos pasos. Guarda la clave de recuperación, la dirección del webhook, la clave de origen de la prueba A/B de páginas y los enlaces de invitación como contraseñas. Usa "Cerrar en todos" si sospechas de un acceso indebido. Invita solo a personas de confianza y con el rol correcto: quien entra en la cuenta ve sus videos, pruebas, estadísticas y ventas.

9.4 Incidentes. Si ocurre un incidente de seguridad que pueda causar riesgo o daño relevante para ti, comunicaremos a la ANPD y a los titulares afectados, en los términos del art. 48 de la LGPD. Informaremos lo que ocurrió, los datos involucrados y las medidas tomadas.

9.5 Ningún sistema es infalible: no existe seguridad absoluta contra todo tipo de ataque o fallo. Eso no reduce nuestra responsabilidad legal. Si algo ocurre, actuamos como se describe en 9.4.

10. Tus derechos

10.1 La LGPD (art. 18) te garantiza, como titular, estos derechos, que atendemos sin costo:

• confirmar si tratamos datos tuyos y acceder a ellos;
• corregir datos incompletos, inexactos o desactualizados;
• pedir la anonimización, el bloqueo o la eliminación de datos innecesarios, excesivos o tratados fuera de la ley;
• pedir la portabilidad (copia en formato abierto) a otro proveedor;
• pedir la eliminación de los datos tratados con base en tu consentimiento;
• saber con quién compartimos tus datos;
• ser informado sobre la posibilidad de no dar consentimiento y sobre sus consecuencias;
• revocar el consentimiento;
• oponerte a un tratamiento hecho con base en el legítimo interés;
• pedir la revisión de decisiones tomadas solo de forma automatizada (ver 5.3).

10.2 Cómo pedir. Escribe a privacidade@kreonview.com, preferiblemente desde el e-mail registrado en tu cuenta. Para protegerte, podemos pedir confirmación de tu identidad antes de atender. Respondemos a la confirmación de tratamiento y al acceso de inmediato, en formato simplificado, o en un plazo de hasta 15 días, en declaración completa (LGPD, art. 19). Las demás solicitudes también se atienden en un plazo de hasta 15 días; el cierre de la cuenta desde el panel (10.4) vale al instante, sin solicitud. Si necesitamos más tiempo, avisamos dentro de ese plazo, con el motivo y la nueva fecha. Cuando no podamos atender, por ejemplo por obligación legal de guardar el dato, explicaremos el motivo.

10.3 Lo que ya haces por el panel.

• editar nombre, teléfono, foto y preferencias;
• exportar las estadísticas de cada pantalla en CSV (hoja de cálculo) y un archivo JSON (texto estructurado) con los datos guardados en tu navegador;
• cerrar todas las sesiones;
• borrar las estadísticas de un video;
• mover videos a la Papelera y borrarlos definitivamente;
• quitar miembros o salir de una cuenta en la que participas;
• cambiar el apodo del Ranking (hasta tres veces).

10.4 Cierre y eliminación de la cuenta. El dueño cierra la cuenta desde el panel, en Configuración, Plan y facturación, "Cerrar esta cuenta", con la verificación en dos pasos confirmada y escribiendo el nombre de la cuenta. El efecto es inmediato en el acceso y en los videos: los códigos de inserción dejan de responder y los demás miembros pierden el acceso a esa cuenta; videos, carpetas, pruebas, estadísticas, ventas, equipo, invitaciones, configuraciones, el historial en el Ranking y la copia de seguridad de elementos borrados se eliminan a continuación mediante una rutina automática de nuestro servidor, por lo general en minutos. Los eventos del embudo de la prueba A/B de páginas quedan en el Analytics Engine de Cloudflare, donde no pueden borrarse y desaparecen solos en un plazo de hasta 3 meses. Los archivos de video e imagen, y las copias de seguridad de la configuración de los códigos de inserción, se quitan en la medida de lo posible apenas comienza el cierre; lo que no se quite queda en el registro del cierre y lo quita el soporte, sin nueva solicitud (cláusula 8.3). El login (e-mail, contraseña, app autenticadora) y el perfil siguen, con tus otras cuentas, si las hay; si esa era tu única cuenta, recibes una cuenta nueva, en blanco. Para eliminar el login y el perfil, escribe al e-mail de contacto, y atendemos en el plazo del punto 10.2; la solicitud por e-mail también vale para cerrar la cuenta, si lo prefieres. Un miembro que quiera solamente salir de una cuenta lo hace por el panel.

10.5 Exportación completa. La exportación disponible en el panel cubre las estadísticas y lo que está en tu navegador. Una copia completa de los datos de tu cuenta guardados en el servidor (perfil, cuenta, equipo, ventas) puede pedirse por el e-mail de contacto.

10.6 Ranking. Para dejar de ser reconocido en el marcador, cambia el apodo por uno neutro: el nuevo sustituye al antiguo también en los marcadores pasados. Para salir, pídelo por el e-mail de contacto. En ese caso dejamos de sumar tus plays, cambiamos el apodo por un seudónimo neutro, aunque los tres cambios se hayan agotado, y registramos la revocación. Los totales ya computados permanecen en el historial, de forma anónima, porque los marcadores cerrados son inmutables para las otras cuentas participantes.

10.7 Si eres visitante. Dirige tu solicitud al sitio que visitaste (donde viste el video o abriste la página de la prueba), que es el controlador de tus datos; ese cliente nos contacta, y nosotros lo ayudamos a atenderte. Somos transparentes sobre el límite: como no guardamos nombre, e-mail, teléfono ni IP de visitantes, solo podemos localizar registros a partir del identificador seudónimo que queda en tu navegador. No siempre es posible vincular una solicitud con un registro. Si el cliente nos envía ese identificador, borramos manualmente, por solicitud, los eventos de reproducción y la fila de Tiempo real vinculados a él; no hay herramienta automática para eso. Si hay un registro de venta con ese identificador, le quitamos el identificador, el segmento y la prueba A/B de la visita, y mantenemos solo valor, moneda, estado, fecha de aprobación, transacción y video, que son el historial financiero del cliente. Los resúmenes estadísticos ya generados no contienen el identificador; la copia que el panel guarda en el navegador del cliente queda bajo su custodia (ver 12.8). Tú mismo borras el identificador limpiando los datos del sitio app.kreonview.com en tu navegador; los eventos ya registrados se borran automáticamente a los 90 días. En la prueba A/B de páginas, el identificador queda en una cookie del sitio del cliente (kv_id): borrar las cookies de ese sitio hace que el siguiente acceso cuente como visitante nuevo. Los eventos del embudo no pueden borrarse uno por uno en el Analytics Engine; desaparecen solos a los 3 meses. Para los Píxeles, dirígete al cliente y a las políticas de Meta, de Google o de la plataforma que él configuró.

10.8 Reclamo ante la autoridad. Si entiendes que tus derechos no fueron atendidos, puedes reclamar ante la Autoridade Nacional de Proteção de Dados (ANPD), en gov.br/anpd, y ante los organismos de defensa del consumidor. Te pedimos que hables primero con nosotros: la mayoría de las solicitudes se resuelve por el e-mail de contacto.

11. Niños y adolescentes

11.1 Kreon View es un servicio profesional, para mayores de 18 años y empresas. No está dirigido a niños ni adolescentes y no recolectamos conscientemente datos de menores de 18 años para crear cuentas. Si sabemos que una cuenta fue creada por un menor sin la autorización exigida por ley, la cerraremos.

11.2 El player no recolecta edad ni ningún dato que permita saber si el visitante es menor. El cliente, como controlador del sitio donde se ejecuta el player, responde por el público al que dirige el contenido y por el cumplimiento de las reglas de la LGPD sobre niños y adolescentes (art. 14) en ese sitio.

12. Cookies y almacenamiento en el navegador

12.1 El sitio, el panel, el player y el código de inserción no graban ni leen cookies: usan el almacenamiento local del navegador (localStorage y sessionStorage), que queda solo en el dispositivo de quien accede y no se envía por sí solo a los servidores. La excepción es el borde de la prueba A/B de páginas, que graba y lee cookies en el subdominio del cliente donde él activa la prueba (12.9). "Sin plazo" significa que el ítem queda hasta que limpies los datos del sitio en el navegador.

12.2 Sitio kreonview.com

• kv_site_lang: recordar el idioma elegido (portugués, español o inglés). Duración: sin plazo.

12.3 Panel app.kreonview.com (en el navegador del cliente)

• kv-auth: sesión de login (token del proveedor de autenticación). Duración: hasta salir o hasta que la sesión expire.
• kv_conta: recordar la última cuenta abierta, cuando participas en más de una. Duración: sin plazo.
• vsl_auth_email: recordar el último e-mail escrito en la pantalla de ingreso. Duración: sin plazo.
• vsl_ui_last: tema e idioma elegidos antes de entrar. Duración: sin plazo.
• vsl_events_v1, vsl_play_counts: copia local de eventos y conteos del player, usada en la vista previa y en el modo local. Duración: sin plazo.
• vsl_img_*: imágenes grandes del editor, para la vista previa local. Duración: sin plazo.
• vsl_web_check_v4: resultado de la verificación de los videos ya enviados (si el archivo está optimizado para la web y en qué formato), por dirección del archivo, para no leer el mismo archivo de nuevo. Duración: sin plazo.
• kv-conv-* (disco del navegador, OPFS): partes temporales del video mientras se convierte a H.264 y se envía. Nada de esto sale de tu computadora además del envío del propio video. Duración: cada parte se borra en cuanto se sube, y lo que quede se borra al cancelar, cuando la conversión falla o la próxima vez que se abre el panel.
• kv_dns_pendente, kv_dns_volta: el pedido de configuración automática del DNS (la cuenta, el dominio, el proveedor y el código del pedido) y la respuesta del proveedor a la vuelta (el código que devuelve Hostinger, que por sí solo no da acceso a nada, o el aviso de cancelación), para que el panel termine la configuración (cláusula 3.13). Duración: hasta que el panel los use, una sola vez, o un pedido nuevo los reemplace; después de 20 minutos ya no sirven.
• kv_dns_aba (sessionStorage): un identificador aleatorio de la pestaña que pidió la configuración automática del DNS, para que solo ella termine la vuelta (cláusula 3.13). Duración: hasta que se cierre la pestaña.

12.4 Player (origen app.kreonview.com, en el navegador del visitante)

• vsl_kvid: identificador seudónimo del visitante, para contar plays únicos y vincular venta con play. Duración: 30 días.
• vsl_ab_<prueba>: variante sorteada de la prueba A/B, para que el visitante vea siempre la misma. Duración: 30 días.
• vsl_pos_<video>: posición en segundos, para Retomar donde lo dejó (grabada solo después de que se activa el sonido). Duración: sin plazo.
• vsl_cta_<video>, vsl_ctax_<video>_<n>: recordar que un Botón de oferta ya fue mostrado, cuando el cliente elige mantenerlo en visitas futuras. Duración: sin plazo.
• vsl_apv_<video>: variante sorteada de Kreon Autoplay. Duración: sin plazo.
• vsl_hlv_<video>: variante sorteada de los Textos en pantalla. Duración: sin plazo.
• vsl_spd_<video>: velocidad sorteada de la Aceleración. Duración: sin plazo.
• vsl_events_v1: copia local de los eventos enviados (hasta 20.000 registros). Duración: sin plazo.
• vsl_play_counts: conteo local de plays por video. Duración: sin plazo.
• vsl_live_<video>: última señal de reproducción, idioma y dispositivo, para el Tiempo real. Duración: entradas eliminadas después de 30 segundos.
• vsl_cfg_<id>: copia de la última configuración publicada del video o de la prueba A/B que este navegador recibió, con el dominio aprobado, para que el video siga reproduciéndose si nuestro servidor de configuración falla. No identifica al visitante. Duración: 30 días.
• kv_cfg_<id> (sessionStorage): atajo de la configuración de las variantes de prueba A/B. Duración: 30 segundos, o hasta cerrar la pestaña.

12.5 Página del cliente (origen del sitio del cliente, grabado por el código de inserción)

• vsl_reveal_<segundos>|<selector>: recordar que elementos ocultos de la página ya fueron revelados en cierto punto del video. Duración: sin plazo.
• vsl_reveal_btn_<video>|<selector>: recordar que un botón de la página ya fue revelado, para mostrarlo de nuevo en la próxima visita. Duración: sin plazo.

12.6 Terceros. Los Píxeles de Meta y de Google y el código personalizado se ejecutan dentro del player y pueden grabar cookies u otros datos propios, según las políticas de Meta, de Google o de la plataforma elegida. Corresponde al cliente informarlo en su sitio. Google Fonts, cuando se usa, recibe la dirección IP para entregar la fuente. La red de Cloudflare, que entrega nuestras direcciones y las páginas de la prueba A/B de páginas, puede grabar cookies propias de seguridad, por ejemplo para distinguir robots de personas; nosotros no las leemos. Nada de eso es grabado ni leído por Kreon View.

12.7 Cómo borrar. Limpia los datos del sitio correspondiente (kreonview.com, app.kreonview.com o el sitio del cliente) en la configuración de tu navegador. En el panel, eso cierra la sesión; en el player, crea un identificador nuevo en la próxima visita y olvida lo que dependía de esos recuerdos (como Retomar donde lo dejó); en la prueba A/B de páginas, el siguiente acceso cuenta como visitante nuevo y puede caer en la otra variante.

12.8 Datos del visitante en el navegador del cliente. El panel guarda una copia de los eventos del player también en el navegador del cliente, para la vista previa y el modo local. Esa copia tiene los mismos datos seudonimizados de la sección 4 y queda bajo la custodia del cliente, en su computadora.

12.9 Prueba A/B de páginas (cookies en el subdominio del cliente, grabadas y leídas por el borde)

• kv_id: identificador seudónimo del visitante en la prueba, para contar visitantes únicos y vincular la venta con la variante. Duración: 30 días; si se graba mientras la prueba no mide (pausada, finalizada, con ganador o a la espera del consentimiento del visitante), o se vuelve a grabar después de que el visitante retira el consentimiento, solo hasta que se cierra el navegador.
• kvt_<prueba>: variante sorteada de la prueba, para que el visitante vea siempre la misma página. Duración: como kv_id; después de que el visitante retira el consentimiento, la de otra prueba del subdominio puede durar hasta el fin de su plazo (cláusula 4.13).
• kv_p: marca de que el consentimiento del visitante ya se aplicó, solo con "Medir solo después del consentimiento del visitante" activado. Duración: 30 días; el borde la borra en el primer acceso, sin kv_ok, a una prueba con la opción activada (por ejemplo, después de que el visitante retira el consentimiento).
• kv_ok: consentimiento del visitante, grabado por la propia página cuando el banner de consentimiento del sitio del cliente llama a window.__KV.ok() y borrado por ella cuando el banner llama a window.__KV.nao(); el borde solo lo lee. Duración: 30 días.

Las cuatro valen solo en el subdominio de la prueba y solo viajan por HTTPS. kv_id y kv_ok son del subdominio, no de una prueba ni de una cuenta: valen para todas sus pruebas, también si el subdominio pasa a otra cuenta de Kreon View, cuyas pruebas pasan a usar el mismo identificador y el mismo consentimiento. kv_id, kvt_<prueba> y kv_p son HttpOnly: el JavaScript de la página no lee esas cookies. Pero el borde pone el identificador del visitante y la variante en la propia página, en window.__KV, para el script de medición; allí, cualquier script de la página los lee, también cuando la prueba no mide (pausada, finalizada, con ganador o a la espera del consentimiento del visitante). Con la prueba midiendo, el script de medición entrega también el identificador a los marcos (iframes) de la página que lo piden (cláusula 4.15).

13. Cambios, versión e idioma

13.1 La versión de esta Política es la fecha que aparece en la parte superior. La versión vigente está publicada en kreonview.com/privacidade.

13.2 Todo cambio de esta Política recibe una nueva fecha en la parte superior y se publica en kreonview.com/privacidade; la versión anterior puede pedirse por el e-mail de contacto. Cuando el cambio amplíe el tratamiento de datos, cambie una base legal o reduzca un derecho tuyo, avisamos a quien tiene cuenta por el panel, y por e-mail cuando haya proveedor, con al menos 15 días de anticipación. El cambio solo vale para ti después de ese aviso y, cuando la ley lo exija, de tu nuevo consentimiento. El panel muestra un botón para registrar la nueva aceptación, y la versión aceptada y la fecha quedan en tu perfil. Como solo la última aceptación se guarda, te recomendamos guardar una copia de la versión que aceptaste.

13.3 Esta Política está escrita en portugués de Brasil. Las traducciones a otros idiomas son una cortesía, para facilitar la lectura; en caso de divergencia, prevalece la versión en portugués.

13.4 Esta Política sigue las leyes de Brasil, en especial la Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018), el Marco Civil da Internet (Lei 12.965/2014, Ley del Marco Civil de Internet) y, cuando sea aplicable, el Código de Defesa do Consumidor (Código de Defensa del Consumidor).

14. Contacto

14.1 Quien responde por el tratamiento (controlador para quien tiene cuenta; operador para visitantes, excepto en las finalidades propias indicadas en 2.2) y el encargado de protección de datos están descritos en 1.1 y 1.2; el canal es privacidade@kreonview.com. Si eres cliente, escribe desde el e-mail de la cuenta; eso acelera la respuesta. Si eres visitante, habla primero con el sitio que visitaste (donde viste el video o abriste la página de la prueba; ver 10.7); si necesitas nuestra ayuda, informa el sitio y la fecha aproximada.

Privacy Policy

This translation is provided as a courtesy. If there is any conflict, the Portuguese version prevails.

Version of November 8, 2026

1. Who is responsible and how to contact us

1.1 Kreon View is a player for video sales letters (VSL) offered under the Kreon View brand, referred to here as "Kreon View" or "we". This Policy explains how we process personal data and supplements the Terms of Use.

1.2 The data protection officer is the person who acts as the bridge between you, us and the Autoridade Nacional de Proteção de Dados (ANPD, Brazil's National Data Protection Authority). Our data protection officer can be reached at privacidade@kreonview.com. Use that channel for questions, requests and complaints about data. In this Policy, "contact email" always means that address.

1.3 The service is made up of these parts, all under the Kreon View brand:

• the website kreonview.com, where we present the service;
• the dashboard at app.kreonview.com, where the customer creates the account, uploads videos, configures the player and views statistics;
• the player, which runs inside a frame (iframe) on the customer's site and is served from app.kreonview.com;
• the embed code (embed.js), which the customer pastes into their page and which creates that frame;
• the API at api.kreonview.com, which delivers the player configuration, receives the playback events and the sale notices, and receives the video and image files the customer uploads through the dashboard;
• the address v.kreonview.com, from which the video and image files are served;
• the page A/B test edge, which serves the dashboard at edge.kreonview.com and delivers each test's pages on the subdomain the customer points to it, always at the customer's own address; that subdomain's CNAME record points to the target the dashboard shows, on a domain of ours used only for this and without the Kreon View brand.

1.4 In this Policy, "customer" or "you" is whoever has an account on the dashboard or takes part in an account as a member; "account" is the space that gathers videos, members and statistics; "visitor" is whoever watches a video on a customer's site or opens a page of the customer's page A/B test.

2. Who this Policy applies to: two roles

2.1 For those who have an account, and for those who visit the website kreonview.com, Kreon View is the controller (the one who decides how and why the data is processed). We are the ones who define which data the account needs, what it is used for and how long it is kept, and we answer directly to you.

2.2 For the visitor, Kreon View is the operator (the one who processes data on behalf of another) and the customer is the controller. It is the customer who decides to place the player on their site, which videos to display and which checkout platform to connect. It is also the customer who chooses which functions to turn on: for example Pixels, Visitor filter, Offer buttons, Resume where they left off, conversion tracking, domain protection and the page A/B test (including whether its measurement waits for the visitor's consent). We process the visitor's data according to those choices, within what this Policy describes. For two purposes we are the controllers, because the decision is ours: protecting the service against bots and artificial traffic (rejecting events from pages outside the list of sites) and measuring the play allowance of the customer's plan. For those two we use only pseudonymized and aggregated data (see 5.2).

2.3 If you are a visitor, the privacy notice that applies to your situation is the one of the site you visited (where you watched the video or opened the test page). It is that site, not Kreon View, that knows who you are, if it knows at all: we do not have your name, email, phone number or IP address in the clear. When the customer receives a request from you, we help them fulfill it (see 10.7).

2.4 The Pixels (Meta, Google and custom code) and any HTML or JavaScript written by the customer that the player executes are the customer's processing with those third parties, not ours. We only load that code when the customer sets it up (see 4.11).

2.5 This Policy does not cover the sites the visitor is taken to (such as the customer's checkout page) or the external address where the customer hosts a video imported by public URL. Each of them has its own policy.

3. Data we process about those who have an account

3.1 We collect what the account needs to work. Almost everything comes from you, typed into the dashboard.

3.2 Registration, login and access security.

• Full name, email and password. The password goes directly to the login provider (Supabase), which stores it as a hash (an irreversible transformation); we never see it in the clear.
• The invitation code, when you sign up by invitation. In our invitations table only a cryptographic digest of it is kept; the code itself travels along with the registration and is stored, together with the rest of your user data, at the login provider. Once used, the invitation gives access to nothing.
• The version of the Terms of Use and of this Policy that you accepted and the date and time of acceptance. Only the latest acceptance is kept.
• Registration confirmation and password recovery emails. The recovery link is valid for 1 hour.
• Two-step verification, if you turn it on: the secret of your authenticator app is kept at the login provider. The QR code is generated in your browser, without going through an external service. The recovery key you can download contains your email, the date and that secret: keep it as you would a password.
• Session: the login token is kept in your browser's local storage. In "Connected devices", "Sign out everywhere" ends your sessions on all devices.

3.3 Profile. First and last name; phone number with country code (optional); photo, downsized in your browser before upload; and preferences (theme, language, time zone, statistics currency and dismissed notices). Only you edit your profile. Changing the login email does not yet exist on the dashboard: request it through the contact email.

3.4 Account and settings. Account name, plan, cycle start, subscription status, list of allowed domains (Protection screen), connected checkout platforms and the sales webhook address (the secret address the checkout platform calls to notify us of each sale, see 4.10) and, in the page A/B test, the domains (for each one, the CNAME record target the dashboard shows, the subdomain's identifier at Cloudflare and the verification status: what the public DNS and Cloudflare answered and when we last checked), the page addresses of each test and the account origin key (the key your server requires from our edge to deliver the page, in the .htaccess file the test screen provides). Settings are read by all members and changed by the owner and the administrators, with three exceptions. Only the owner and the administrators see the sales webhook address and the page A/B test origin key, and only they publish, pause, finish or delete a page test. Only the owner changes the account name (see 3.5).

3.5 Billing.

• Billing details, if you fill in "Billing details": name for the invoice, CPF or CNPJ and address. Any member of the account can read them, but only the owner changes them; saving also changes the account name to the billing name.
• Card: we do not receive or store your card number. Once billing exists, the card will be registered at the checkout of the payment processor (Stripe), which will inform us only of the subscription status and what is needed to record the charge.
• Today every account is on a courtesy basis, with no billing: there is no invoice, card or payment history.

3.6 Team and invitations.

• To invite someone, the owner or an administrator enters the person's name and email and chooses the role (administrator or member). It is not possible to invite someone as owner: each account has a single owner, who only changes when the owner themselves transfers the account to a member (Terms, item 3.9); of that transfer we keep who transferred, to whom and when, for as long as the account exists. At the transfer, the previous owner's billing details are erased from the account. We keep the email and name entered, the role, who created the invitation and the dates of creation, expiration (7 days), use, revocation or refusal. In our invitations table, only a cryptographic digest of the code is kept (see 3.2); the link is shown once, to whoever created it.
• We do not send the invitation by email: the inviter copies the link and delivers it however they prefer. Anyone who already has an account with that email sees the invitation on the dashboard, with the account name, the role and who invited them. Before joining, whoever has the code sees the account name, the role, the name entered and the invitee's email with part of it hidden. The invitation is only accepted by the account whose email matches the invitation's.
• Anyone who shares an account with you sees your name, email, role, join date and whether your email is confirmed, and can access your phone number, your photo and your preferences. Only the owner and the administrators see the list of invitations.
• Removing a member does not delete what they created. A record is kept of who created and who used each invitation.

3.7 Content you upload.

• Videos and images (covers, Pause screen, On-screen text), folders, A/B tests and all the settings of each video: Colors and style, Pause screen, Captions, Kreon Autoplay, Accelerated progress bar, Speed-up, Resume where they left off, Player behavior, Offer buttons (texts and links), On-screen text, Retention hooks, Visitor filter and Pixels (pixel identifiers and custom code). Also custom metrics, groups, favorites and read notifications.
• The video and image files are kept at public addresses on v.kreonview.com, formed by a random code that is impossible to guess and that contains your account's identifier. Anyone who has the link can access the file, even outside the player and even if you have restricted the player to certain domains. Do not upload content that cannot be seen by anyone who has the link.
• Videos imported by public URL remain hosted where you indicated; we do not copy the file.

3.8 Statistics and sales. The playback events of your site's visitors and the sale notices from your checkout platform are kept in your account and read by its members. Section 4 describes that data.

3.9 Usage and security records.

• A backup copy of each deleted video, folder or test, with who deleted it and when. It does not appear on the dashboard; recovery is done by request to the contact email.
• Authentication records (sign-ins, confirmation and recovery emails), kept by the login provider.
• Access records (logs) of the website, the dashboard, the player, the API, the page A/B test edge and the files stay with Cloudflare, for the periods and under the conditions of its service; we do not keep our own copy. Our own API's records store the name of the function called, the response code and the error stack in case of failure; never the content of the events.
• Notices of events the server did not record (invalid event, or a video that no longer exists or belongs to another account), with no visitor data.

3.10 Plays ranking (optional). If the owner or an administrator decides to take part, we keep the nickname chosen, the date of consent, the number of nickname changes and the account's daily and monthly total of unique plays. Other participating accounts see your nickname, your position and your monthly total when you are in the top 10; never name, email, plan, video titles or revenue. The nickname is a pseudonym seen by other customers: do not use your name or your brand if you do not want to be identified by them. The leaderboard is a history: closed months do not change their numbers, but you can leave at any time (see 10.6). The nickname can be changed three times, and the change also applies to months already closed.

3.11 Website kreonview.com. The website stores only the chosen language, in your browser. There is no audience analytics tool or third-party tracker on the website or the dashboard.

3.12 Where this data comes from.

• from you, when you sign up, fill in your profile, configure the account and upload content;
• from whoever invites you;
• from the use of the service itself, which generates records;
• from your site's visitors, through the player and the page A/B test edge;
• from your checkout platform, through the sale notices;
• from your domain's DNS provider, when the Page domains screen shows a pending domain and when you use the automatic DNS setup (clause 3.13);
• once billing exists, from the payment processor.

3.13 Automatic DNS setup (page A/B test). For a domain that is still waiting for the CNAME record (clause 3.4), the dashboard may offer the owner and the administrators "Set up automatically". To find out whether that is possible, when the Page domains screen shows a pending domain, our edge looks up the domain's public records in the public DNS (who answers for it, the name servers and, if it exists, the _domainconnect record) and finds out which provider manages the DNS. This also serves to show that provider's step-by-step guide when the record is created by hand, even without the automatic setup. If that provider uses Domain Connect, the edge asks it, giving only the domain name, whether it accepts our record template. You always authorize on the provider's own site, with your account there:

• Domain Connect (an open protocol adopted by DNS providers such as Cloudflare): the dashboard opens your provider's site with the record to be created; you sign in, review and confirm, and the provider itself creates the record, following its own rules: it may delete or change a record that already exists with that name. Before confirming, check on the provider's site whether a record with that name already exists. We do not receive your password or access to your account: on the way back, the provider only tells us whether you confirmed or cancelled.
• Hostinger: you sign in on Hostinger's site and authorize Kreon View. Hostinger does not offer an authorization limited to DNS: it gives us temporary access that covers your whole account. We use it only to read the domain's DNS records and create in it the CNAME record the dashboard shows. If any record with that name already exists, we do not touch it: we never delete or change an existing record. Here too, we do not receive your password. The access is not stored anywhere: right after it is used, even when something goes wrong, we ask Hostinger to revoke it. The domain's record list is read only during the request and is not stored either.

The provider's answer is only valid for 20 minutes and is only used by an owner or administrator of the account, with a session open in the dashboard. Meanwhile, the dashboard keeps the request and the answer in your browser (clause 12.3); none of this goes to our database. If the provider does not accept the automatic setup, or if you prefer, the record can still be created by hand.

4. Data we process about visitors

4.1 From the visitor, the player records what happens with the video, never who they are. We do not collect name, email, phone number, ID document, IP address in the clear, city, coordinates, screen resolution or the full browser identification string (user agent). We do not fingerprint the device beyond the three categories in clause 4.4. Only the members of the customer's account read that data.

4.2 How the player reaches the visitor. The customer pastes a tag and a script into their page. The script creates a frame (iframe) with the player, served from app.kreonview.com. The player asks our API for the video's configuration, reporting the address (host) of the page that displays it. The visitor's browser downloads the video file from v.kreonview.com or, if the customer imported it by public URL, from the address the customer indicated. As in any access to a website, the visitor's IP address reaches the servers that deliver the page, the player, the file and the API; Cloudflare receives it to deliver the content. We do not record it (see 4.5).

4.3 Visitor's pseudonymous identifier.

• The player generates a code formed by the instant of creation and by random letters and numbers (in the format "kv-" followed by letters and numbers) and stores it in the browser's local storage, on the app.kreonview.com origin, for 30 days. When that period ends, it generates another. If the browser blocks storage, the player uses a fixed value that does not distinguish visitors.
• It contains no name, email, IP or any identity data. It is used to count unique plays, group the events of the same visitor on the same video and day (for example the furthest point watched), display Real time and match a sale to a play. The A/B test variant and the position for Resume where they left off are kept in separate local storage items (section 12) and do not depend on this identifier. It can be deleted or forged by the visitor; that is why it serves for counting, not as proof.
• Since the player is always served from app.kreonview.com, the same identifier may follow the visitor across different customers' sites during those 30 days, in browsers that do not separate the player's storage by the site visited; in those that do, each site receives its own identifier. Each customer, however, only sees the records of their own account.
• The visitor deletes it by clearing the site data for app.kreonview.com in the browser. A new one will be generated on the next visit.

4.4 Playback events. During the visit, the player sends our API events such as: player opened, click to turn on the sound, play, pause, end, reaching the offer moment and click on a button. It also sends a progress record (one per visitor, video and day, with the furthest point and the time watched with sound, which measures engagement) and a periodic signal while the video is playing. Each event carries:

• the type and instant of the event, the pseudonymous identifier, the video identifier and, when it makes sense, the second and the percentage watched;
• the browser language, cut to 5 characters (for example "pt-BR"), and the playback speed;
• the referring page (referrer): the address of the customer's page that displays the player, up to 120 characters, to the extent the browser and the customer's page allow it to be reported; and the domain (host) of that page, checked against the customer's list of allowed domains;
• three categories inferred from the browser: device (computer, phone or tablet), system (Windows, Android, iOS, macOS, Linux or other) and browser (Chrome, Safari, Firefox, Edge, Opera or other);
• campaign parameters and click identifiers present in the address of the customer's page (utm_*, fbclid, gclid, ttclid), which the embed code reads and passes on to the player, up to 12 parameters;
• the A/B test variant and the Kreon Autoplay, On-screen text and Speed-up variants randomly assigned to the visitor.

4.5 What our edge adds: country, state or region, and IP pseudonym.

• The visitor's country, in two letters, and the state or region (for example, "SC"), reported by Cloudflare's network from the IP address. The country goes with the events; the state or region is shown only while the person is watching and is deleted within 10 minutes (see 4.6). No city, no coordinates, no address.
• An IP pseudonym: our API computes a truncated cryptographic digest (hash) of the address and discards the address. The database receives that digest along with the events and does not store it: we do not count events or plays per origin and apply no cap per origin. Not even we can go back from the pseudonym to the IP. The IP in the clear is not a column in any of our tables.

4.6 Real time. While the visitor watches, we keep a row with the pseudonymous identifier, the language, the device category, the country, the state or region and the last signal, to show the customer who is watching right now. It is deleted on pause, at the end or within 10 minutes without a signal. The state or region exists only in that row: it does not go into the events or the summaries.

4.7 Statistical summaries. Every hour and when the day ends, the events are consolidated into summaries per account, video, day, hour and segment (country, device, system, browser, A/B variant and the campaign parameters utm_source, utm_medium, utm_campaign, utm_term and utm_content), with counts, a retention histogram and a histogram of days since the same visitor's previous visit to the same video (only the count, to give the unique visitors of any period). Campaign parameters enter only as the value of each one, added up: up to 1,000 values per video, day and parameter, and the rest in an "others" group, with the list of those values. The summaries do not contain the visitor identifier, the referring page or the click identifiers (fbclid, gclid, ttclid). They are what survives the cleanup of individual events. Automatic tests. While one of the customer's automatic tests is running (On-screen text, Kreon Autoplay or Speed-up), the server keeps, for each visitor who goes through it, the pseudonymous identifier, the variant they received (the text, the notice or the speed), marks of what they did with it (viewed, played, clicked the notice, reached the offer moment) and the days on which they played and on which they reached the offer moment. It is used to count distinct people since the start of the test and to find who bought; none of it goes into the summaries, and only the numbers per variant appear in the dashboard. These rows are deleted within minutes when the test ends, restarts, the video's statistics are reset or the video is deleted.

4.8 Functions that decide in the visitor's browser. Visitor filter: compares the language and the device category with the customer's rules and checks whether the page carries the key or token required in the address. The blocked visitor sees an unavailability message or a redirect video. There is no blocking by country or by proxy or VPN detection, and no external service is consulted. Resume where they left off: stores the position after the sound is turned on. Kreon Autoplay: the embed code detects the first interaction on the page only to release the sound, and then stops observing. The click that releases the sound in Kreon Autoplay and the randomly assigned variant go into the events of clause 4.4. The key and the token of the Visitor filter are read from the page address and passed on to the player, without going to the server.

4.9 Identifier in the URL of the customer's checkout. When the visitor clicks an Offer button or the Pause screen button, the player appends the pseudonymous identifier ("kvid" parameter) to the destination link set up by the customer. If the customer has turned on conversion tracking, a conversion key goes instead, in the parameter the customer chose. That key combines the pseudonymous identifier, the video identifier, the second watched and, when applicable, the randomly assigned variants. In that case, the embed code appends the key to any link the visitor clicks on the customer's page, including buttons made by the customer. On a page of a page A/B test whose attribution field is the same parameter as the key, the embed code does not append the key to the page's links: the test field applies, which only goes into checkout links and only while the test is measuring (clause 4.15). There is only one purpose: the checkout platform returns that value in the sale notice and that is how we match the sale to the play. The destination belongs to the customer; from there on, the customer's privacy notice and the checkout platform's apply.

4.10 Sale notices (checkout platform webhook).

• The customer connects their checkout platform (Hotmart, Kiwify, Monetizze and others) to a secret address of our API. The platform then sends us a notice for each sale, refusal, pending payment or refund.
• A checkout notice usually carries the buyer's name, email and ID document. We do not store the body of the notice: we read from it only what we need and discard the rest.
• From the notice we keep: amount, currency, status (approved, refused, pending or other), transaction identifier on the platform, the visitor's pseudonymous identifier and the video (when there is a match), platform name, second of the video and variants at the moment of the click, playback speed, an IP pseudonym of the caller (the platform, not the buyer), the names of the fields received (up to 60 names, not the values), the status text reported by the platform (up to 120 characters), the content type of the notice, the transaction category (main purchase, order bump, upsell, downsell or renewal), the approval date provided by the checkout and an indication of that date's source. When the platform does not provide a valid, unambiguous date, the time of the first approved notice is used as a fallback. When the sale matches a visitor, we also keep, copied from their playback events on that video: the country, device type, system, browser and campaign parameters (utm_*) of the last visit with a play (without a play, of the last visit; the country, if missing there, from another visit by the same visitor to the video) and the last A/B test through which they reached that video. Click identifiers (fbclid, gclid, ttclid) are not copied to the sale: they stay only in the events, deleted after 90 days.
• The same transaction is a single row; a resend updates the row and a refund marks it as not counted.

4.11 Pixels (customer's processing with third parties). When the customer sets up the Pixels function, the player loads, inside the frame and in the visitor's browser, the Meta script (connect.facebook.net) and/or the Google script (googletagmanager.com), with the customer's pixel identifier. When the player loads, the pixel script is downloaded and records the page view (PageView, on Meta; tag configuration, on Google), even before the sound is turned on. From then on those third parties may set cookies and collect data according to their policies. The other events (progress every 5% of the video, reaching the offer moment and conversion) only fire after the visitor turns on the sound. Nothing is loaded or fired during the preview on the dashboard. The custom code option executes JavaScript written by the customer, for pixels from other platforms. Kreon View does not receive that data or decide how it is used. The HTML of the Offer buttons is also written by the customer and executed in the visitor's browser; the customer is responsible for that content.

4.12 Google Fonts in the player. Only when the customer chooses, for buttons or texts, a font other than the default one, the visitor's browser downloads that font from Google's servers, which receive the visitor's IP address as in any download.

4.13 Notice to the visitor and browser signals. The player and the page A/B test edge do not display a cookie notice or read browser refusal signals (such as Do Not Track). As controller, it is up to the customer to inform the visitor about the use of the player and the test and, when the law requires it, obtain their consent, including for the Pixels they set up. In the page A/B test, the customer can turn on "Measure only after the visitor consents": then the test measures nothing until the consent banner of their site calls window.__KV.ok() (clause 4.15). It is off by default. The option applies only to the test: the Kreon View player on the page follows its own clauses (4.1 to 4.12 and 4.14) and also measures before the visitor accepts; it is up to the customer to load the player only after acceptance when the law requires it. With that option on, the banner must call window.__KV.nao() when the visitor withdraws consent; when it does, the test stops measuring right away and, from the next access on, the test field does not go into the links. On the first access after that to a test on the subdomain with the option on, the edge deletes kv_p and sets kv_id and that test's kvt_<test> again to last only until the browser is closed; the kvt_ of another test on the subdomain, which holds only the variant's letter, may last until its own period of up to 30 days ends (clause 12.9).

4.14 What stays in the visitor's browser. The player and the embed code do not use cookies. The player writes to the local storage of the app.kreonview.com origin: the pseudonymous identifier (30 days), the A/B test variant (30 days), the position for Resume where they left off, the randomly assigned variants, the buttons already displayed, a local copy of the events and a copy of the video's last configuration (30 days), used if our configuration server fails. The embed code writes, on the customer's site origin, which page elements have already been revealed. In the dashboard preview no event is sent and nothing is written other than the pseudonymous identifier, which in that case stays in the customer's own browser. In the page A/B test, the edge sets cookies on the customer's subdomain (clause 4.15). Section 12 lists each item with name, purpose and duration.

4.15 Page A/B test (on the customer's subdomain). In this function, the customer points a subdomain of theirs to our edge, with a CNAME record, and the edge delivers at that address page A or page B of each test, fetched from the customer's server. A copy of each page is kept in Cloudflare's cache for up to 30 days, to be delivered when the customer's server fails or does not deliver the page (down, with an error or with the page deleted); to take the page offline, the test has to be finished and deleted, and the copy disappears on its own within 30 days after the test is deleted, the domain removed or the account closed. The visitor always sees the customer's address. As in any access, their IP address reaches Cloudflare's network, which delivers the page; the edge does not record the IP. While the test is measuring, the edge:

• sets on the customer's subdomain a pseudonymous visitor identifier (the letter "v" followed by 10 random letters and numbers, specific to that subdomain and unrelated to the player's identifier) and the randomly assigned variant, for 30 days, so the visitor always sees the same page (section 12.9);
• records in Cloudflare's Analytics Engine the funnel events: the visit and the visitor's first visit, recorded by the edge when it delivers the page, and, sent by the page, the play, the video's progress (25, 50, 75 and 100%), reaching the offer moment and the click to the checkout. Each event carries the test, the variant, the event, the pseudonymous identifier, the two-letter country, the campaign parameters utm_source, utm_campaign and utm_content (up to 100 characters each) and the device category (mobile or computer); it does not carry the IP address, the full browser string (user agent) or the referring page. These events are kept for 3 months and are deleted by Cloudflare itself;
• adds to the page's checkout links, in the attribution field the customer chose, the test, the variant and the pseudonymous identifier, along with the campaign parameters (utm_*) of the page address, so the checkout platform can bring the sale back to the test. The page script hands that field, with the identifier, to every frame (iframe) on the page that asks for it: to the Kreon View player, which puts the same field in its links and tells the page about the play, the progress, reaching the offer moment and the click, and also to other frames the customer's site places on the page.

The test does not measure when it is paused, finished or has a winner, nor, with "Measure only after the visitor consents" turned on, before the visitor consents: nothing goes to the Analytics Engine, the field does not go into the links and the cookies the edge sets in that case (kv_id and kvt_<test>) last only until the browser is closed. The test page records the consent in a cookie (kv_ok) when the customer's site banner calls window.__KV.ok(), and that cookie lasts 30 days whatever the test's state, until the visitor withdraws consent (clause 4.13); on the next access with the test measuring, the edge's cookies start lasting 30 days and the visitor counts as new.

5. What we use the data for and on what legal basis

5.1 As controller (data of those who have an account). The Lei Geral de Proteção de Dados Pessoais (LGPD, Law 13,709/2018, Brazil's General Data Protection Law) requires a legal basis (a ground provided for by law) for each use. These are ours:

• Performance of the contract (LGPD, art. 7, V): creating and maintaining your account; authenticating you, including by two-step verification; managing team, roles and invitations; receiving, storing and delivering your videos and images; publishing the player configuration; recording, summarizing and displaying statistics, sales and Real time; displaying notices on the dashboard; recording the acceptance of the Terms; creating at your DNS provider, when you ask, the page A/B test record (clause 3.13); and, once it exists, charging the subscription and the play overage.
• Legitimate interest (art. 7, IX): keeping the service secure and preventing fraud and abuse (IP pseudonym; discarding events from unauthorized domains; recording who deleted what; backup copy of what was deleted); measuring and improving the service (play counting, error diagnostics); and defending our rights. We do this with the minimum of data and in pseudonymized form whenever possible. You can object through the contact email (see section 10).
• Compliance with a legal obligation (art. 7, II): keeping tax and billing data for the period required by tax legislation, once billing exists; keeping records when the law requires it; complying with orders from competent authorities.
• Consent (art. 7, I): taking part in the Plays ranking. The consent text is shown before joining, and the date is recorded. You can withdraw consent at any time through the contact email: your account stops feeding the leaderboard and your nickname is replaced by a neutral pseudonym, also in months already closed. The play totals already computed remain in the history, with nothing that identifies the account, because closed leaderboards are immutable for the other participating accounts (see 10.6).
• Regular exercise of rights (art. 7, VI): using records in judicial, administrative or arbitration proceedings, when necessary.

5.2 As operator (visitor data). We process the visitor's data to perform the functions the customer contracted and configured:

• counting views and plays, measuring retention and clicks;
• applying A/B tests, including the page A/B test, and randomly assigning the Kreon Autoplay, On-screen text and Speed-up variants;
• remembering the position in Resume where they left off and the buttons already displayed;
• applying the Visitor filter and domain protection;
• displaying Real time;
• matching sales to plays;
• feeding, in aggregate form, the customer's Ranking.

The legal basis for that processing is defined by the customer, who is the controller, in the privacy notice of their site. Our part is to process only what is necessary and in pseudonymized form. For security and fighting artificial traffic, and for measuring the plan's play allowance, we are controllers. The legal basis is our legitimate interest (art. 7, IX) and the performance of the contract with the customer (art. 7, V). The pseudonymous identifier is unique per browser and may follow the visitor across different customers' sites (see 4.3); that is a technical choice of ours, and each customer only sees the records of their own account.

5.3 Automated decisions. The server automatically rejects events that are malformed or come from pages outside the customer's list of authorized sites: they are neither recorded nor counted. There is no counting cap per origin, per account or per day. This affects only the statistical count and, once it exists, the customer's billing; it produces no legal effect for the visitor and does not prevent them from watching.

5.4 What we do not do. We do not sell or rent personal data. We do not use visitor data for our own advertising or to build cross-site profiles. We do not cross-reference data from different customers. We do not use personal data to train artificial intelligence models.

6. Who we share with

6.1 We share data only with those who need it for the service to work. Our operators (suppliers that process data on our behalf, under contract and our instructions) are:

• Supabase: database, authentication (passwords, sessions, two-step verification) and, today, the sending of registration confirmation and password recovery emails through its built-in service. Project hosted in the São Paulo region, Brazil.
• Cloudflare: hosting of the website, the dashboard and the player; the API; storage and delivery of the video and image files; DNS (the service that points our addresses to the right servers); and the edge network that receives the requests, reports the visitor's country and state or region and keeps its own access records. In the page A/B test, also the edge that delivers the pages on the customer's subdomain; the Analytics Engine, which keeps the funnel events for 3 months; Cloudflare for SaaS, through which a certificate authority partnering with Cloudflare (Let's Encrypt, Google Trust Services or SSL.com) issues the HTTPS certificate for the customer's subdomain; and Cloudflare's DNS over HTTPS, through which the edge looks up that subdomain's CNAME record in the public DNS and the domain's public records, for the automatic DNS setup and to show the provider in the manual step-by-step guide (clause 3.13). Like every public HTTPS certificate, the subdomain's certificate is listed in the public Certificate Transparency logs, with the subdomain's name. Global network, with points of presence in several countries.
• Transactional email provider: when we contract a dedicated provider for the service's emails, it will receive your email and the content of the messages, and this Policy will be updated. Until then, emails go out through Supabase's built-in service.

6.2 Third parties that receive data on their own account. Google receives the IP address of anyone who downloads a font from Google Fonts: always on the website and the dashboard; in the player, only when the customer chooses a font. It processes that data according to its own privacy policy, without instructions from us. Once billing exists, Stripe will receive the payment data directly from you, at its checkout, as the party responsible in its own right for that data, and will inform us only of the subscription status. We will not receive the card number. Your domain's DNS provider (for example Hostinger, or Cloudflare when it manages your DNS) receives the domain name when the Page domains screen shows a pending domain and, when you use the automatic DNS setup (clause 3.13), also receives from you, on its own site, your sign-in and authorization and, through your browser and our edge, the subdomain and the CNAME record target. In that role, it is your provider, not ours, and processes that data according to its own privacy policy.

6.3 Destinations the customer configures. We do not send visitor data to anyone on our own initiative. Three things happen only by the customer's configuration. First: when the visitor clicks an Offer button, the Pause screen button or, with conversion tracking turned on, any link on the page, the pseudonymous identifier goes in the destination address, through their browser; in the page A/B test, the same applies to the page's checkout links, which carry the test identifier, and to the page's frames (iframes) that ask for it (clause 4.15). Second: the customer's checkout platform sends us sale notices; it is the sender, and we send nothing to it. Third: the Pixels from Meta, Google or other platforms run in the visitor's browser with the customer's pixel identifier and collect what their policies describe.

6.4 Within your account. Members see each other's profiles (see 3.6), the videos, the statistics, the sales and the billing details. The owner and the administrators also see the list of invitations, the secret address of the sales webhook and the origin key of the page A/B test.

6.5 Other accounts, in the Ranking. If you take part, the other participating accounts see your nickname, your position and your monthly total of plays when you are in the top 10.

6.6 Authorities. We hand over data when the law requires it, by court order or request from a competent authority, or when necessary to protect rights, safety or property of ours, of customers or of third parties, always within the limit of what is required.

6.7 Corporate reorganization. If Kreon View is sold, merged or reorganized, the data may be transferred to the successor, which will be bound by this Policy. We will notify you beforehand, through the dashboard or by email.

7. International transfer

7.1 Part of the data leaves Brazil. The database and authentication stay in the country (Supabase, São Paulo region). Two suppliers process data outside it. Cloudflare, whose global network delivers the website, the dashboard, the player, the API, the files and the page A/B test pages from the point of presence closest to whoever is accessing, also stores on its infrastructure the video files, the page A/B test funnel events, the copies of the test's pages (for up to 30 days, clause 4.15), the test's subdomains registered with it, with their certificates, and the published configuration of each test and of each domain. Google, whose font servers are located outside Brazil, receives the IP address of anyone who downloads a font.

7.2 These transfers rely on the grounds of art. 33 of the LGPD, in particular on contractual clauses and guarantees offered by those suppliers, which commit to protection standards compatible with Brazilian law. You can request more information through the contact email.

7.3 For the visitor, what travels through Cloudflare's network is, at most, what is described in section 4. The IP address is used by the edge to deliver the content and report the country and the state or region, and is not recorded by us.

8. How long we keep data

8.1 We keep each piece of data only for as long as it serves its purpose, and then for the period the law requires. The retention periods for events, origins, counters and summaries are applied automatically by the server, every night; the one for Real time, every minute, like the one for automatic tests. The others follow the rule stated in each item: the Trash is emptied by the dashboard when you open it; closed invitations are removed when someone creates a new invitation in the account.

• Individual playback events (one per visitor action): 90 days, after the day's summary exists; at most 100 days.
• Real time (who is watching, with the state or region): up to 10 minutes without a signal, or immediately on pause or end.
• Origins (IP pseudonym, per account and day): no longer recorded; existing ones are deleted within 30 days.
• Daily counters of plays and sales per account: 400 days.
• Hourly statistical summaries: 180 days.
• Daily statistical summaries: 400 days.
• Automatic tests (pseudonymous identifier, variant and marks of each visitor in the test, and the days on which they played and on which they reached the offer moment): while the test is running, also beyond the 90 days of the events; deleted by the server within minutes when the test ends, restarts, the video's statistics are reset or the video is deleted.
• Sale records (amount, currency, status, approval date, transaction, visitor, video, and the segment and A/B test of the visit that bought, without the click identifiers): for as long as the account exists, including after the individual events the segment came from are deleted. They are not deleted when you delete the video, reset the statistics or disconnect the platform.
• Page A/B test funnel events (in Cloudflare's Analytics Engine): 3 months, deleted by Cloudflare itself.
• Account, profile, team, settings, video, folder and test data: for as long as the account exists and, afterwards, for the period necessary to comply with legal obligations and defend rights.
• Page A/B test domains (subdomain, CNAME target, the subdomain's identifier at Cloudflare and verification status): until the domain is removed or the account is closed. Removing a domain also deletes the subdomain registered at Cloudflare and its certificate. The public Certificate Transparency record of each certificate (with the subdomain's name and the dates) stays forever and no one deletes it (clause 6.1). A subdomain we suspend or remove from the edge stays on a list of suspended subdomains, with the reason, for as long as the suspension lasts, also after the domain is removed or the account is closed.
• Subdomain registration requests to Cloudflare (the account and the time of each request, to limit how many subdomains each account registers per day): 2 days; the server deletes them within minutes after that period, also after the account is closed.
• Automatic DNS setup (clause 3.13): the temporary access to the Hostinger account and the domain's record list are not stored; the access is revoked right after it is used. The provider's answer is only valid for 20 minutes; it stays in your browser (clause 12.3), and our edge uses it without storing it.
• Page A/B test page copies (in Cloudflare's cache): up to 30 days after the last successful fetch from the customer's server; they disappear on their own within 30 days after the test is deleted, the domain removed or the account closed (clause 4.15).
• Invitations: open, valid for 7 days; after that they count as expired. Closed (used, revoked, refused or expired): they stay for at least 30 days and are removed the first time someone creates a new invitation in the account after that period; there is no scheduled task, so they may remain longer in accounts that do not create invitations.
• Videos in the Trash: 30 days; the first time the dashboard is opened after that period, it deletes the video, its events and the video and image files that only it used, the same thing "Permanently delete" does immediately. File removal is done on a best-effort basis: if it fails, the file stays on v.kreonview.com until a request to the contact email.
• A video's previous file after "Replace file": 30 days, so that pages with the full code (which carries the file's address) keep playing until the code is copied again; the first time the dashboard is opened after that period, it deletes the previous file, if no other video uses it. Removal is best effort, as in the Trash.
• Backup copy of deleted videos, folders and tests: for as long as the account exists, with no period of its own; recovery by request.
• Video and image files and the subscription status: today there is no billing or cancellation, and no file is removed because of the subscription status. Once billing exists, this Policy will be updated with the retention period after cancellation (the planned one is 30 days after the end of the paid cycle, for reactivation).
• Ranking (nickname and daily and monthly totals): for as long as the account exists or until you withdraw consent; afterwards only the totals remain, without the nickname.
• Billing details (name for the invoice, CPF or CNPJ and address): for as long as the account exists. Billing records, once billing exists: for the period required by tax legislation.
• Authentication and access records (Supabase, Cloudflare): for those suppliers' standard periods; we do not keep our own copy of those records.
• Local storage and cookies in the browser: as per section 12.

8.2 Actions you control yourself. "Reset statistics" deletes, also on the server, the events, the Real time and the summaries of that video, and starts its automatic tests over from zero. Deleting a video deletes its events. Sales remain in both cases, with the segment and A/B test copied from the events (clause 4.10): they are the account's financial history.

8.3 End of the account. When the owner closes the account in the dashboard or it is deleted by request (see 10.4), we erase or anonymize its data, including the Ranking history and the backup copy of deleted videos, folders and tests (clause 3.9). The video and image files, the backup copies of the embed codes' settings and the configuration published at the edge by the page A/B test (page addresses and origin key) are removed on a best-effort basis; whatever is not removed at the time is noted in the closure record, and support removes whatever remains of the account in storage based on that record. The page A/B test domains leave the edge, and the edge itself deletes at Cloudflare the registered subdomains and their certificates, usually within minutes; until then, only the subdomain, the account and the subdomain's identifier at Cloudflare are noted. The public Certificate Transparency record of each certificate (with the subdomain's name and the dates) stays forever and no one deletes it (clause 6.1). The subdomain registration requests to Cloudflare (the account and the time of each one) stay until they are 2 days old (clause 8.1). The copies of the pages in Cloudflare's cache (clause 4.15) disappear on their own within 30 days. The page A/B test funnel events stay in Cloudflare's Analytics Engine, where they cannot be deleted and disappear on their own within 3 months (clause 10.7). We keep the closure record — account identifier and name, email of the person who closed it, date, the counts of what was removed and the list of pending files — for as long as necessary to finish removing the files and for the regular exercise of rights. What the law obliges us to keep, such as tax records, also remains. Aggregated summaries that identify no one may be kept.

9. How we protect data

9.1 We protect data with technical and administrative measures proportional to the service. Among them:

• Encryption in transit: all our addresses use HTTPS (encrypted connection between the browser and the server).
• Isolation per account: the database applies row-level access rules; each account only reads and changes its own data, and the read functions check that whoever is asking is a member.
• Public key only: our API uses only the database's public key and does not store a service key; the secrets are kept in an area of the database that no public route reaches.
• Two-step verification: whoever turns it on only reads or writes data with the session confirmed by the app's code; the database refuses what did not pass the second factor.
• Passwords: only the login provider receives them and stores them as a hash; we do not see them.
• IP never in the clear: only an irreversible pseudonym, mixed with a secret kept in a private area of the database (see 4.5).
• Invitations and webhook: the invitation code is stored in the invitations table only as a hash, is shown once and is removed from the browser's address as soon as you join; the sales webhook address is a secret generated by the database and shown only to the owner and the administrators.
• Dashboard: kept out of search engines and prevented from opening inside other sites.

9.2 Limits you need to know. The video and image files are kept at public addresses, protected only by being impossible to guess: anyone who has the link can access them. The visitor identifier can be forged and serves for counting, not for proof. Domain protection checks the address reported by the page and works against copying of the embed code, not against someone who calls the API directly.

9.3 Your part. Use a strong, unique password. Turn on two-step verification. Keep the recovery key, the webhook address, the page A/B test origin key and the invitation links as you would passwords. Use "Sign out everywhere" if you suspect unauthorized access. Invite only people you trust and with the right role: whoever joins the account sees its videos, tests, statistics and sales.

9.4 Incidents. If a security incident occurs that may cause relevant risk or harm to you, we will notify the ANPD and the affected data subjects, under art. 48 of the LGPD. We will report what happened, the data involved and the measures taken.

9.5 No system is infallible: there is no absolute security against every kind of attack or failure. This does not reduce our legal liability. If something happens, we act as described in 9.4.

10. Your rights

10.1 The LGPD (art. 18) guarantees you, as a data subject, these rights, which we fulfill free of charge:

• confirm whether we process data about you and access it;
• correct incomplete, inaccurate or outdated data;
• request the anonymization, blocking or erasure of data that is unnecessary, excessive or processed unlawfully;
• request portability (a copy in an open format) to another supplier;
• request the erasure of data processed on the basis of your consent;
• know who we share your data with;
• be informed about the possibility of not giving consent and about the consequences of that;
• withdraw consent;
• object to processing carried out on the basis of legitimate interest;
• request review of decisions made solely in an automated way (see 5.3).

10.2 How to request. Write to privacidade@kreonview.com, preferably from the email registered to your account. To protect you, we may ask for confirmation of your identity before fulfilling the request. We respond to confirmation of processing and access immediately, in simplified form, or within 15 days, in a complete statement (LGPD, art. 19). The other requests are also fulfilled within 15 days; closing the account from the dashboard (10.4) takes effect immediately, with no request. If we need more time, we let you know within that period, with the reason and the new date. When we cannot fulfill a request, for example because of a legal obligation to keep the data, we will explain why.

10.3 What you already do through the dashboard.

• edit name, phone number, photo and preferences;
• export the statistics of each screen as CSV (spreadsheet) and a JSON file (structured text) with the data stored in your browser;
• end all sessions;
• reset a video's statistics;
• move videos to the Trash and delete them permanently;
• remove members or leave an account you take part in;
• change the Ranking nickname (up to three times).

10.4 Closing and deleting the account. The owner closes the account from the dashboard, in Settings, Plan and billing, "Close this account", with two-step verification confirmed and by typing the account name. The effect on access and on the videos is immediate: the embed codes stop responding and the other members lose access to that account; videos, folders, tests, statistics, sales, team, invites, settings, the Ranking history and the backup copy of deleted items are then erased by an automatic routine on our server, usually within minutes. The page A/B test funnel events stay in Cloudflare's Analytics Engine, where they cannot be deleted and disappear on their own within 3 months. The video and image files, and the backup copies of the embed codes' settings, are removed on a best-effort basis as soon as closing starts; whatever is not removed stays in the closure record and is removed by support, with no new request (clause 8.3). The login (email, password, authenticator app) and the profile remain, with your other accounts, if any; if that was your only account, you receive a new, blank account. To delete the login and the profile, write to the contact email, and we fulfill it within the period in item 10.2; the request by email is also valid for closing the account, if you prefer. A member who only wants to leave an account does so through the dashboard.

10.5 Full export. The export available on the dashboard covers the statistics and what is in your browser. A complete copy of your account's data stored on the server (profile, account, team, sales) can be requested through the contact email.

10.6 Ranking. To stop being recognized on the leaderboard, change the nickname to a neutral one: the new one replaces the old one also on past leaderboards. To leave, request it through the contact email. In that case we stop adding up your plays, change the nickname to a neutral pseudonym, even if the three changes have been used up, and record the withdrawal. The totals already computed remain in the history, anonymously, because closed leaderboards are immutable for the other participating accounts.

10.7 If you are a visitor. Direct your request to the site you visited (where you watched the video or opened the test page), which is the controller of your data; that customer contacts us, and we help them fulfill your request. We are transparent about the limit: since we do not store visitors' name, email, phone number or IP, we can only locate records from the pseudonymous identifier that stays in your browser. It is not always possible to link a request to a record. If the customer sends us that identifier, we manually delete, by request, the playback events and the Real time row linked to it; there is no automatic tool for that. If there is a sale record with that identifier, we remove from it the identifier, the segment and the A/B test of the visit, and keep only amount, currency, status, approval date, transaction and video, which are the customer's financial history. The statistical summaries already generated do not contain the identifier; the copy the dashboard keeps in the customer's browser is under the customer's custody (see 12.8). You delete the identifier yourself by clearing the site data for app.kreonview.com in your browser; the events already recorded are automatically deleted after 90 days. In the page A/B test, the identifier is kept in a cookie of the customer's site (kv_id): deleting that site's cookies makes the next access count as a new visitor. The funnel events cannot be deleted one by one in the Analytics Engine; they disappear on their own after 3 months. For the Pixels, turn to the customer and to the policies of Meta, Google or the platform they set up.

10.8 Complaint to the authority. If you believe your rights have not been honored, you can complain to the Autoridade Nacional de Proteção de Dados (ANPD), at gov.br/anpd, and to consumer protection agencies. We ask that you talk to us first: most requests are resolved through the contact email.

11. Children and adolescents

11.1 Kreon View is a professional service, for people aged 18 or over and for companies. It is not directed at children or adolescents and we do not knowingly collect data from people under 18 to create accounts. If we learn that an account was created by a minor without the authorization required by law, we will close it.

11.2 The player does not collect age or any data that would make it possible to know whether the visitor is a minor. The customer, as controller of the site where the player runs, is responsible for the audience to which they direct the content and for compliance with the LGPD rules on children and adolescents (art. 14) on that site.

12. Cookies and browser storage

12.1 The website, the dashboard, the player and the embed code do not write or read cookies: they use the browser's local storage (localStorage and sessionStorage), which stays only on the device of whoever is accessing and is not sent to the servers on its own. The exception is the page A/B test edge, which writes and reads cookies on the customer's subdomain where they turn the test on (12.9). "No expiration" means the item stays until you clear the site data in your browser.

12.2 Website kreonview.com

• kv_site_lang: remember the chosen language (Portuguese, Spanish or English). Duration: no expiration.

12.3 Dashboard app.kreonview.com (in the customer's browser)

• kv-auth: login session (authentication provider token). Duration: until you sign out or the session expires.
• kv_conta: remember the last account opened, when you take part in more than one. Duration: no expiration.
• vsl_auth_email: remember the last email typed on the sign-in screen. Duration: no expiration.
• vsl_ui_last: theme and language chosen before signing in. Duration: no expiration.
• vsl_events_v1, vsl_play_counts: local copy of player events and counts, used in the preview and in local mode. Duration: no expiration.
• vsl_img_*: large editor images, for the local preview. Duration: no expiration.
• vsl_web_check_v4: result of the check of videos already uploaded (whether the file is optimized for the web and in which format), by file address, so the same file is not read again. Duration: no expiration.
• kv-conv-* (browser disk, OPFS): temporary pieces of the video while it is converted to H.264 and uploaded. None of this leaves your computer other than the upload of the video itself. Duration: each piece is deleted as soon as it is uploaded, and anything left is deleted on cancel, when the conversion fails or the next time the dashboard is opened.
• kv_dns_pendente, kv_dns_volta: the automatic DNS setup request (the account, the domain, the provider and the request code) and the provider's answer on the way back (the code Hostinger returns, which on its own gives access to nothing, or the cancellation notice), so the dashboard can finish the setup (clause 3.13). Duration: until the dashboard uses them, only once, or a new request takes their place; after 20 minutes they are no longer valid.
• kv_dns_aba (sessionStorage): a random identifier of the tab that requested the automatic DNS setup, so only that tab finishes the return (clause 3.13). Duration: until the tab is closed.

12.4 Player (app.kreonview.com origin, in the visitor's browser)

• vsl_kvid: visitor's pseudonymous identifier, to count unique plays and match a sale to a play. Duration: 30 days.
• vsl_ab_<test>: randomly assigned A/B test variant, so the visitor always sees the same one. Duration: 30 days.
• vsl_pos_<video>: position in seconds, for Resume where they left off (written only after the sound is turned on). Duration: no expiration.
• vsl_cta_<video>, vsl_ctax_<video>_<n>: remember that an Offer button has already been displayed, when the customer chooses to keep it on future visits. Duration: no expiration.
• vsl_apv_<video>: randomly assigned Kreon Autoplay variant. Duration: no expiration.
• vsl_hlv_<video>: randomly assigned On-screen text variant. Duration: no expiration.
• vsl_spd_<video>: randomly assigned Speed-up speed. Duration: no expiration.
• vsl_events_v1: local copy of the events sent (up to 20,000 records). Duration: no expiration.
• vsl_play_counts: local count of plays per video. Duration: no expiration.
• vsl_live_<video>: last playback signal, language and device, for Real time. Duration: entries removed after 30 seconds.
• vsl_cfg_<id>: copy of the last published configuration of the video or A/B test this browser received, with the approved domain, so the video keeps playing if our configuration server fails. It does not identify the visitor. Duration: 30 days.
• kv_cfg_<id> (sessionStorage): shortcut to the configuration of the A/B test variants. Duration: 30 seconds, or until the tab is closed.

12.5 Customer's page (customer's site origin, written by the embed code)

• vsl_reveal_<seconds>|<selector>: remember that hidden page elements have already been revealed at a certain point of the video. Duration: no expiration.
• vsl_reveal_btn_<video>|<selector>: remember that a page button has already been revealed, to display it again on the next visit. Duration: no expiration.

12.6 Third parties. The Meta and Google Pixels and the custom code run inside the player and may set cookies or other data of their own, according to the policies of Meta, Google or the chosen platform. It is up to the customer to disclose that on their site. Google Fonts, when used, receives the IP address to deliver the font. Cloudflare's network, which delivers our addresses and the page A/B test pages, may set its own security cookies, for example to distinguish bots from people; we do not read them. None of this is written or read by Kreon View.

12.7 How to delete. Clear the data for the corresponding site (kreonview.com, app.kreonview.com or the customer's site) in your browser settings. On the dashboard, this ends the session; in the player, it creates a new identifier on the next visit and forgets what depended on those memories (such as Resume where they left off); in the page A/B test, the next access counts as a new visitor and may land on the other variant.

12.8 Visitor data in the customer's browser. The dashboard also keeps a copy of the player events in the customer's browser, for the preview and local mode. That copy has the same pseudonymized data described in section 4 and is under the customer's custody, on their computer.

12.9 Page A/B test (cookies on the customer's subdomain, set and read by the edge)

• kv_id: the visitor's pseudonymous identifier in the test, to count unique visitors and link the sale to the variant. Duration: 30 days; if set while the test is not measuring (paused, finished, with a winner or waiting for the visitor's consent), or set again by the edge after the visitor withdraws consent, only until the browser is closed.
• kvt_<test>: the test's randomly assigned variant, so the visitor always sees the same page. Duration: same as kv_id; after the visitor withdraws consent, another test's kvt_ on the subdomain may last until its own period ends (clause 4.13).
• kv_p: marker that the visitor's consent has already been applied, only with "Measure only after the visitor consents" turned on. Duration: 30 days; the edge deletes it on the first access, without kv_ok, to a test with the option on (for example, after the visitor withdraws consent).
• kv_ok: the visitor's consent, set by the page itself when the consent banner of the customer's site calls window.__KV.ok() and deleted by it when the banner calls window.__KV.nao(); the edge only reads it. Duration: 30 days.

All four apply only on the test's subdomain and only travel over HTTPS. kv_id and kv_ok belong to the subdomain, not to a test or an account: they apply to all its tests, also if the subdomain moves to another Kreon View account, whose tests then use the same identifier and the same consent. kv_id, kvt_<test> and kv_p are HttpOnly: the page's JavaScript cannot read these cookies. But the edge puts the visitor's identifier and the variant into the page itself, in window.__KV, for the measurement script; there, any script on the page can read them, also while the test is not measuring (paused, finished, with a winner or waiting for the visitor's consent). While the test is measuring, the measurement script also hands the identifier to the page's frames (iframes) that ask for it (clause 4.15).

13. Changes, version and language

13.1 The version of this Policy is the date shown at the top. The version in force is published at kreonview.com/privacidade.

13.2 Every change to this Policy gets a new date at the top and is published at kreonview.com/privacidade; the previous version can be requested through the contact email. When the change expands data processing, changes a legal basis or reduces a right of yours, we notify those who have an account through the dashboard, and by email once there is a provider, at least 15 days in advance. The change only applies to you after that notice and, when the law requires it, after your new consent. The dashboard shows a button to record the new acceptance, and the accepted version and date are kept in your profile. Since only the latest acceptance is kept, we recommend that you keep a copy of the version you accepted.

13.3 This Policy is written in Brazilian Portuguese. Translations into other languages are a courtesy, to make reading easier; in case of discrepancy, the Portuguese version prevails.

13.4 This Policy follows the laws of Brazil, in particular the Lei Geral de Proteção de Dados Pessoais (LGPD, Law 13,709/2018, Brazil's General Data Protection Law), the Marco Civil da Internet (Law 12,965/2014, Brazil's Internet Civil Framework) and, where applicable, the Código de Defesa do Consumidor (Law 8,078/1990, Brazil's Consumer Protection Code).

14. Contact

14.1 The party responsible for the processing (controller for those who have an account; operator for visitors, except for our own purposes indicated in 2.2) and the data protection officer are described in 1.1 and 1.2; the channel is privacidade@kreonview.com. If you are a customer, write from the account's email; that speeds up the response. If you are a visitor, first talk to the site you visited (where you watched the video or opened the test page; see 10.7); if you need our help, tell us the site and the approximate date.