Política de privacidade
Atualizada em 30 de outubro de 2026.
Quem cuida dos seus dados
O CodeMago é um produto da Alpha Developer Services LTDA, CNPJ 67.106.947/0001-52, com sede em Mogi das Cruzes, SP, Brasil. Ela é a controladora dos dados descritos aqui.
Para falar sobre privacidade, escreva para samuc2@gmail.com. Esse é também o canal do nosso encarregado de proteção de dados. Respondemos em até 15 dias.
Que dados guardamos
Da sua conta: e-mail, nome e o idioma que você usa. Se você paga por Pix, guardamos também CPF ou CNPJ e o celular, porque o Pagar.me exige esses dados para emitir a cobrança.
Do seu trabalho: os projetos, as mensagens do chat com a IA, as versões do código gerado e o registro de uso, com os tokens e os créditos consumidos.
Do pagamento: o plano contratado, o histórico de cobranças e a situação da assinatura. O número do seu cartão não fica com a gente: quem processa e guarda isso é o Stripe.
Do programa de afiliados, se você participar: o seu código de indicação, a chave Pix, o nome do titular e o CPF ou CNPJ que você informa para receber o saque, além das comissões e dos saques pedidos. Da pessoa que usou o seu código, guardamos a ligação com você e o valor da comissão — nunca os dados de pagamento dela.
A chave Pix e o CPF/CNPJ do titular servem para pagar o saque e para conferir se a indicação não é da própria pessoa: é essa conferência que impede o programa de virar um jeito de tirar dinheiro da plataforma. Se a conferência apontar coincidência, a comissão fica retida para análise e você é avisado por e-mail.
Para que usamos
Para criar e manter a sua conta, gerar os apps que você pede, publicar e servir esses apps, cobrar o plano, contar os créditos e aplicar os limites de uso.
Para avisar o que importa: recibo de pagamento, aviso de vencimento do Pix, mudança de preço ou destes documentos. Esses e-mails saem de nao-responda@codemago.dev.
Para achar e corrigir problemas, e para proteger o serviço contra abuso e fraude. Não vendemos nem alugamos os seus dados, e não mandamos propaganda de outras empresas.
Base legal
Conta, geração dos apps e cobrança: execução do contrato com você (LGPD, art. 7º, V; GDPR, art. 6(1)(b)).
Registros fiscais e guarda de logs de acesso: cumprimento de obrigação legal (LGPD, art. 7º, II; GDPR, art. 6(1)(c)). Segurança e prevenção a fraude: legítimo interesse (LGPD, art. 7º, IX; GDPR, art. 6(1)(f)).
Lista de espera e avisos de novidade: o seu consentimento (LGPD, art. 7º, I; GDPR, art. 6(1)(a)), que você pode retirar a qualquer momento.
O que você manda para a IA
Os seus pedidos e o código gerado são enviados a provedores de IA de terceiros: DeepSeek, Meta e Z.ai.
O modelo padrão, chamado “Equilibrado”, roda no tier Contributor do Muse Spark, da Meta. Nesse tier, a Meta pode usar os seus pedidos e as respostas para treinar os modelos dela. Ou seja: o que você escreve nesse modelo pode entrar num treinamento que não controlamos e não conseguimos desfazer.
Por isso, não escreva dado pessoal, dado sensível nem informação confidencial nos pedidos — nem seus, nem de clientes, nem de terceiros. Se você não aceita esse uso, escolha outro nível de modelo antes de escrever. No Plano Grátis o único modelo é o Muse Spark Contributor: para usar outro, é preciso ter crédito pago.
Com quem compartilhamos
Só com quem é necessário para o serviço funcionar: Hostinger (nosso servidor, no Brasil), Cloudflare (CDN, DNS e o motor de geração), Stripe (pagamento no cartão), Pagar.me (Pix), Google (login pelo Firebase e, medição pelo Google Analytics) e os provedores de IA citados acima.
Cada um recebe apenas o que precisa para a sua parte, e não pode usar os dados para outra finalidade.
Também podemos entregar dados a autoridades quando uma lei ou uma ordem judicial obrigar.
O site carrega as fontes de texto do Google Fonts. Nessa carga, o Google recebe o endereço IP de quem visita a página.
Transferência internacional
Com exceção do servidor principal, que fica no Brasil, os fornecedores acima processam dados fora do país. Parte dos seus dados, portanto, sai do Brasil.
Fazemos essa transferência porque ela é necessária para executar o contrato com você. Exigimos dos fornecedores garantias contratuais de proteção compatíveis com a LGPD e com o GDPR.
Os dados dos apps que você publica
Enquanto você não liga o banco de dados, o app guarda tudo no navegador de quem usa: nada disso passa por nós.
Ligando o banco na aba Dados, o app passa a gravar num banco nosso — um por projeto, na borda da Cloudflare (fora do Brasil, portanto). Ali fica o que o app registra: itens de catálogo, pedidos, cadastros, o que o seu app fizer.
Nesses dados, o controlador é você e nós somos o operador: guardamos e servimos por sua conta, do jeito que você configurou. Não usamos o conteúdo do seu app para nada nosso e não o entregamos a ninguém, salvo ordem legal.
Quem lê o quê é escolha sua, no modo de cada coleção: catálogo (todos leem, só você escreve), caixa de entrada (todos enviam, só você lê), aberta (todos leem e escrevem), privado (cada pessoa que entrou vê só o que é dela) e equipe (só os e-mails que você listar). Coleção nova nasce aberta e o painel avisa — escolher o modo certo é o que protege o que os seus visitantes mandam.
Se o seu app pede login do visitante (Google ou Firebase), nós conferimos o token na borda e guardamos, junto de cada item, o identificador de quem o criou. É isso que faz o modo privado funcionar.
Quando o seu crédito acaba, o banco pausa e o app continua no ar. Os dados ficam 30 dias, com dois avisos por e-mail, e depois são apagados.
Você é o controlador dos dados que o seu app coleta de outras pessoas. Informar essas pessoas e cumprir a lei com elas é responsabilidade sua — inclusive ter a sua própria política de privacidade quando a lei exigir.
Por quanto tempo guardamos
Conta, projetos, chats com a IA e versões do código: enquanto a sua conta existir.
Quando você exclui a conta, apagamos os dados pessoais — e-mail, nome, CPF ou CNPJ e telefone são anonimizados — e os apps saem do ar. Do afiliado, a chave Pix, o titular e o CPF/CNPJ também são apagados e o código para de funcionar; o extrato das comissões e dos saques fica registrado, sem os seus dados, como registro financeiro.
Registros fiscais das cobranças: pelo prazo que a lei obriga, mesmo depois da exclusão. Logs de acesso: pelo prazo previsto no Marco Civil da Internet.
Seus direitos
Você pode pedir acesso aos seus dados, correção do que estiver errado, exclusão, portabilidade, informação sobre com quem compartilhamos e a retirada do consentimento onde ele for a base legal.
Boa parte disso você resolve sozinho no painel: mudar nome e idioma, baixar os seus projetos e excluir a conta.
Para o resto, escreva para samuc2@gmail.com do mesmo e-mail da sua conta. Respondemos em até 15 dias. Se não ficar satisfeito, você pode reclamar à ANPD, a autoridade brasileira de proteção de dados.
Se você está na Europa ou no Reino Unido
Valem os mesmos direitos, pelo GDPR: acesso, correção, exclusão, portabilidade, limitação do tratamento, oposição e retirada do consentimento.
As bases legais são as da seção acima, e o contato é o mesmo: samuc2@gmail.com.
Você também pode reclamar à autoridade de proteção de dados do seu país.
Medição do app de mesa
O aplicativo para macOS e Windows manda estatísticas de uso e nós as guardamos junto da sua conta. É assim que sabemos quantas instalações usam o app, em que versão, e onde ele trava.
O que sai do seu computador: o nome do evento (por exemplo, “o app abriu”, “um turno terminou com erro”), a versão do app, o sistema, o nível de modelo usado, a duração e um código de erro. Nada de conteúdo: nenhum texto da sua conversa, nome de projeto, caminho de arquivo ou e-mail sai no evento — e o nosso servidor descarta qualquer campo fora dessa lista.
Junto do evento vai um identificador aleatório da instalação, criado no próprio app (não é o seu e-mail, nem o número de série da máquina). Ele serve para contar instalações diferentes, não pessoas.
A medição vem ligada e você desliga quando quiser em Máquina, no app, no interruptor “Enviar estatísticas de uso”. Desligado, o app para de mandar e apaga o que ainda estava na fila.
Os mesmos eventos vão para o nosso Google Analytics pelo nosso servidor: a chave de escrita nunca fica no aplicativo, e o Google recebe o identificador da instalação — não o seu e-mail.
Base legal: o nosso legítimo interesse em entender e melhorar o aplicativo (LGPD, art. 7º, IX; GDPR, art. 6(1)(f)).
Medição do site
Usamos o Google Analytics para contar visitas e entender quais páginas e quais passos funcionam. A medição vem ligada: a tag do Google carrega quando a página abre.
O que o Google recebe: páginas visitadas, idioma, país aproximado, tipo de aparelho e de navegador, e um identificador aleatório guardado em cookie. Não mandamos o seu nome, o seu e-mail nem o conteúdo dos seus projetos.
Base legal: o nosso legítimo interesse em entender e melhorar o serviço (LGPD, art. 7º, IX; GDPR, art. 6(1)(f)). A medição não alimenta propaganda: o consentimento de anúncio fica sempre negado.
Você pode se opor quando quiser, no link “Escolha de medição” do rodapé, respondendo “não medir”. A partir daí nenhum dado de medição sai do seu navegador e apagamos os cookies do Analytics dele.
Medição e selo nos apps que você publica
Todo app publicado leva, no canto de baixo, um selo “Feito com CodeMago” com link para o nosso site, e a mesma medição do nosso site.
É o mesmo Google Analytics, na nossa conta, ligado quando a página do app abre. Ele nos diz quantas visitas os apps feitos na plataforma recebem e o que funciona neles.
O que o Google recebe é o mesmo do site: endereço da página, idioma, país aproximado, tipo de aparelho e de navegador, e um identificador aleatório guardado em cookie. Nada do que a pessoa digita dentro do app é enviado.
Quem responde por essa medição somos nós, não você. Ela não vira relatório por app nem aparece no seu painel.
Se você pedir à IA o seu próprio Google Analytics, ele segue a mesma regra e a mesma escolha de quem visita. Pelos dados medidos com o SEU identificador, quem responde é você — inclusive por informar os seus visitantes.
Base legal: o nosso legítimo interesse (LGPD, art. 7º, IX; GDPR, art. 6(1)(f)). Quem visita pode se opor acrescentando #cm-medicao ao endereço do app e respondendo “não medir”.
Cookies e o que fica no navegador
Por padrão, usamos apenas o necessário para o serviço funcionar: manter você conectado, lembrar o idioma e o tema claro ou escuro, e guardar preferências da própria página.
O Google Analytics também grava cookies próprios (_ga) para reconhecer visitas repetidas. Eles são apagados se você responder “não medir”.
Para medir a NOSSA publicidade no Facebook e no Instagram, o Pixel do Meta grava cookies próprios (_fbp e _fbc) e guarda neste navegador, por 90 dias, o código do clique que trouxe você (fbclid). Ao responder “não medir”, esses cookies são apagados e nada é enviado. Quando uma compra se confirma, o nosso servidor manda ao Meta o valor e a moeda do plano, o mesmo identificador do navegador e o seu e-mail em forma embaralhada (hash, que não pode ser lido de volta). Base legal: o nosso legítimo interesse em medir a nossa própria publicidade (LGPD, art. 7º, IX), com direito de oposição a qualquer momento; na União Europeia, no Reino Unido e na Suíça a medição de anúncio só acontece depois do seu “sim”. Não vendemos perfis nem dados a ninguém.
Você pode apagar esses dados nas configurações do seu navegador. Se apagar, precisará entrar de novo e escolher o tema outra vez.
A sua sessão fica guardada no armazenamento do próprio navegador (localStorage), não num cookie. A Cloudflare, que protege o site, pode gravar cookies próprios de segurança.
Segurança
O acesso à sua conta é protegido por senha ou pelo login do Google. O tráfego do site e dos apps usa conexão criptografada.
Nenhum sistema é totalmente seguro. Se houver um incidente com risco para você, avisamos você e a ANPD, como a lei manda.
Mudanças nesta política
Podemos atualizar este texto quando o serviço mudar ou quando a lei mudar. A data da última atualização fica no topo desta página.
Quando a mudança for relevante, avisamos por e-mail antes de ela valer.