Política de Privacidade

1. Introdução

Jynx ("nós", "nosso", "o aplicativo") é uma plataforma de gaming social que permite aos jogadores se conectarem, formarem equipes e jogarem juntos.

For the purposes of the LGPD, Jynx Group is the controller (controlador) of your personal data. Our Data Protection Officer acts as the encarregado (DPO) and may be reached at [email protected] for any request relating to the LGPD. Although Jynx qualifies as a pequeno agente de tratamento de dados pessoais (small-scale agent) under ANPD Resolution CD/ANPD nº 2/2022, which exempts Jynx from the obligatory appointment of an encarregado, Jynx voluntarily maintains this published communication channel.

Esta política de privacidade descreve como coletamos, usamos, compartilhamos e protegemos seus dados pessoais quando você usa nosso aplicativo.

2. Idade Mínima e Verificação

Nosso aplicativo é reservado para usuários com 18 anos ou mais.

Ao criar sua conta, pedimos que você forneça sua data de nascimento. Se você tiver menos de 18 anos, não poderá criar uma conta ou usar nossos serviços.

Marketing to minors. Jynx is restricted to users aged 18 and over and applies an automated age gate. If we subsequently identify that a user is under 18 (LGPD Art. 14; GDPR Art. 8), we will immediately terminate the account, exclude the user from all marketing, re-engagement, and survey communications, and delete the associated marketing data. We never knowingly collect marketing consent from a minor.

3. Dados Coletados

3.1. Dados de Registro e Perfil

Coletamos as seguintes informações ao criar e gerenciar sua conta:

Informações de Autenticação:

• Email (para contas email/senha)
• Nome de usuário/apelido
• Foto de perfil (opcional)
• Identificadores de login social (Google, Apple) se você usar esses métodos

Informações do Perfil:

• Data de nascimento (para verificação de idade)
• País e fuso horário
• Idiomas falados
• Biografia (opcional)
• Preferências de gaming e disponibilidade
• Identificador único (gerado automaticamente para descoberta privada de amigos)

3.2. Dados de Gaming

Para ajudá-lo a encontrar companheiros compatíveis, coletamos:

Perfis de Jogo:

• Jogos que você joga
• Níveis, ranks e estatísticas de jogo
• Campeões/personagens favoritos
• Estilo de jogo

Integração com Riot Games API:

Recuperamos da Riot Games API (com seu consentimento):

• Nome de invocador e Riot ID
• Rank e histórico de partidas (League of Legends, Valorant, etc.)
• Estatísticas de campeões
• Histórico de partidas recente

Razão da Coleta: Exibir seu perfil de jogador e melhorar a correspondência com outros jogadores.

3.3. Dados de Uso e Técnicos

Coletamos automaticamente certos dados técnicos:

Analytics e Desempenho:

• Firebase Performance Monitoring: Tempo de inicialização do app, fluidez da interface
• Sentry: Relatórios de erros e desempenho (com anonimização de dados pessoais)
• Firebase Crashlytics: Relatórios de falhas

Informações do Dispositivo:

• Tipo e modelo de dispositivo
• Versão do sistema operacional
• Versão do aplicativo
• Identificadores do dispositivo e sinais de integridade do dispositivo (ver §5.7)

Comportamento do Usuário:

• Telas visitadas e recursos usados
• Tempo gasto no aplicativo
• Interações com a interface

Você pode desabilitar a coleta de dados de analytics em Configurações > Privacidade > "Habilitar Analytics".

3.4. Dados de Comunicação

• Mensagens: Mensagens em chats de comunidade, mensagens privadas entre usuários, histórico de conversação
• Notificações: Tokens FCM (Firebase Cloud Messaging) para notificações push

3.5. Conteúdo Gerado pelo Usuário

• Fotos enviadas (fotos de perfil, fotos adicionais) e imagens compartilhadas em mensagens diretas
• Relatórios de segurança e moderação
• Preferências cosméticas (avatares, emblemas)

3.6. Dados de Áudio das Salas de Voz

O Jynx oferece salas de voz em tempo real que permitem conversar com os outros participantes enquanto você joga. O áudio da sala de voz é capturado do seu microfone somente após você conceder a permissão de microfone do sistema operacional e entrar explicitamente em uma sala; nenhum áudio é capturado antes de ambas essas etapas.

O Jynx não ativa os recursos de gravação, transcrição, Agent Insights ou Egress do LiveKit. O áudio das salas de voz é roteado em tempo real pelo SFU (Selective Forwarding Unit) do LiveKit e não é gravado, armazenado nem persistido pelo Jynx ou pelo LiveKit.

Quando você fala em uma sala de voz, o seu áudio é transmitido em tempo real aos outros participantes daquela sala, de forma semelhante ao funcionamento da voz em outros aplicativos de chat por voz.

O áudio das salas de voz é tratado com o seu consentimento: você concede a permissão de microfone e entra explicitamente em uma sala antes de qualquer captura de áudio. Você pode retirar o seu consentimento a qualquer momento saindo da sala ou revogando a permissão de microfone nas configurações do seu dispositivo.

4. Serviços de Terceiros e Compartilhamento de Dados

4.1. Serviços Firebase (Google)

Usamos os seguintes serviços Firebase, todos em conformidade com GDPR:

• Firebase Authentication: Gerenciamento seguro de contas de usuário
• Cloud Firestore: Armazenamento de seu perfil e dados de jogo
• Firebase Storage: Hospedagem de suas imagens de perfil
• Cloud Functions: Execução segura de lógica backend
• Firebase Cloud Messaging: Notificações push
• Firebase App Check: Proteção contra abuso e bots
• Firebase Performance Monitoring: Monitoramento de desempenho do app
• Firebase Crashlytics: Relatórios de falhas

Política de Privacidade Firebase: https://firebase.google.com/support/privacy

4.2. Sentry (Monitoramento de Erros)

Usamos Sentry para rastreamento de erros e desempenho. Os dados coletados incluem:

• Rastreamentos de erros
• Contexto técnico (SO, versão do app)

Política de Privacidade Sentry: https://sentry.io/privacy/

4.3. Riot Games API

Quando você vincula sua conta Riot Games, recuperamos suas estatísticas de jogo via API oficial da Riot Games. Estes dados são usados apenas para exibir seu perfil e melhorar a correspondência.

Política de Privacidade Riot Games: https://www.riotgames.com/en/privacy-notice

4.4. Email Service Provider (Marketing & Survey Communications)

To deliver the marketing, re-engagement, and uninstall/churn-survey emails described in §5.6, Jynx uses a third-party email service provider (ESP) acting as a processor (GDPR Art. 28; LGPD Art. 39 — operador). The ESP processes your email address and minimal delivery data (e.g., send/bounce status) solely on Jynx's documented instructions, under a signed Data Processing Agreement.

• ESP identity, role, and location: Brevo (Brevo SAS, Paris, France) — our Email Service Provider and data processor under a signed Data Processing Agreement. Brevo Privacy Policy: https://www.brevo.com/legal/privacypolicy/
• Sub-processors: Brevo's current list of sub-processors is published in its Data Processing Agreement (Terms of Use): https://www.brevo.com/legal/termsofuse/
• International transfer basis: See §9. Brevo is headquartered in France (EU). Transfers to Brevo therefore benefit from the EU's protection regime under GDPR and, for Brazilian users, the ANPD adequacy decision for the EU (Resolution nº 32/2026) — no SCCs or additional mechanism are required.

We do not sell your personal data. No tracking pixels or hidden analytics are embedded in marketing emails without a separate legal basis disclosed in §5.6.

4.5. LiveKit Cloud (Voz em Tempo Real)

O Jynx utiliza o LiveKit Cloud como operador (GDPR Art. 28; LGPD Art. 39 — operador) por meio de um Acordo de Tratamento de Dados assinado, para operar a infraestrutura de mídia em tempo real que roteia o áudio das salas de voz entre os participantes. O LiveKit executa a SFU (Selective Forwarding Unit), que encaminha o fluxo de áudio de cada participante aos demais em tempo real.

O Jynx não ativa os recursos de gravação, transcrição, Agent Insights ou Egress do LiveKit. O áudio das salas de voz é roteado em tempo real pelo SFU (Selective Forwarding Unit) do LiveKit e não é gravado, armazenado nem persistido pelo Jynx ou pelo LiveKit.

O LiveKit retém metadados operacionais da sessão — como identidades dos participantes, identificadores de sala, horários de conexão e métricas de qualidade — para fins de faturamento, prevenção de abusos e operação, conforme o seu Aditivo de Tratamento de Dados. Esses metadados não são usados para identificá-lo fora da plataforma nem para publicidade.

4.6. App Store / Google Play (In-App Purchases and Subscriptions)

Jynx+ subscriptions and Founder Packs are sold in-app through Apple's App Store and Google Play, which act as the merchant of record for these purchases (see the Terms of Service, Section 8). Payment instrument data (e.g., card details) is collected and processed solely by Apple/Google under their respective privacy policies; Jynx does not collect, receive, or store any payment instrument data.

Via our billing provider RevenueCat (a processor acting under a signed Data Processing Agreement; GDPR Art. 28; LGPD Art. 39 — operador), Jynx receives only the information necessary to deliver what you purchased: your subscription and entitlement status (e.g., whether Jynx+ is active and its renewal date), the Founder Pack tier purchased, and transaction identifiers. This data is retained for as long as necessary to provide the Service and to meet accounting and record-keeping obligations (§6), and is used solely to grant and maintain your entitlements and to prevent fraud. RevenueCat is established in the United States; transfers of personal data to RevenueCat rely on the EU-US Data Privacy Framework (for RevenueCat entities self-certified under the DPF) or on standard contractual clauses where the DPF does not apply. The applicable transfer mechanism for Brazilian users' data is confirmed in our Records of Processing Activities (see §9).

• Apple Privacy Policy: https://www.apple.com/legal/privacy/
• Google Privacy Policy: https://policies.google.com/privacy
• RevenueCat Privacy Policy: https://www.revenuecat.com/privacy

4.7. Provedores Especializados de Tecnologia de Proteção Infantil

Para ajudar a detectar material conhecido de abuso sexual infantil (ver §5.8), a Jynx trabalha com provedores especializados em tecnologia de proteção infantil que atuam como operadores (GDPR Art. 28; LGPD Art. 39 — operador). Esses provedores recebem apenas hashes irreversíveis derivados das imagens — nunca as imagens em si — e realizam a correspondência de hashes na região da UE, exclusivamente para a detecção voltada à proteção infantil, conforme as instruções documentadas da Jynx. A derivação do hash a partir da imagem acontece dentro da própria infraestrutura da Jynx no Google Cloud (ver §9).

4.8. Provedor de Moderação de Imagens em Nuvem (AWS)

Para manter a plataforma segura, fotos de perfil e fotos da galeria são triadas por um serviço automatizado de classificação de imagens — o Amazon Rekognition, fornecido pela Amazon Web Services (AWS), atuando como operador (GDPR Art. 28; LGPD Art. 39 — operador). Para essa finalidade, a imagem é transmitida à AWS e analisada por aprendizado de máquina em busca de conteúdo inadequado (por exemplo, nudez ou material explícito); o resultado é um rótulo gerado por máquina com um grau de confiança, tratado pelo nosso processo de moderação (ver a Política de Proteção Infantil). Esse processamento é usado exclusivamente para moderação de conteúdo e segurança — nunca para criação de perfis, publicidade ou qualquer outra finalidade. A AWS processa esses dados na região da AWS configurada para o serviço (atualmente São Paulo, Brasil); as salvaguardas de transferência do §9 aplicam-se. Como no restante do Serviço, a imagem é tratada pela própria infraestrutura da Jynx no Google Cloud antes de ser encaminhada à AWS (ver §9).

5. Uso de Dados

Usamos seus dados para:

1. Fornecer Nossos Serviços:

• Criar e gerenciar sua conta
• Permitir que você se conecte com outros jogadores
• Facilitar criação de equipes e organização de sessões de jogo

2. Personalização:

• Recomendar companheiros compatíveis (correspondência baseada em jogo, rank, estilo)
• Exibir conteúdo relevante

3. Comunicação:

• Enviar notificações importantes (correspondências encontradas, mensagens recebidas)

Marketing, re-engagement, and uninstall/churn-survey emails are described separately in §5.6 Marketing Communications and are not covered by this transactional category.

4. Melhoria do Serviço:

• Analisar uso para melhorar recursos
• Identificar e corrigir bugs
• Otimizar desempenho

5. Segurança e Conformidade:

• Prevenir fraude e abuso
• Fazer cumprir nossos termos de uso
• Cumprir obrigações legais

5.6. Marketing Communications

In addition to the operational notifications described in §5.3, we may send you marketing and re-engagement communications by email, including: product updates and feature announcements about the Jynx app; newsletters; re-engagement messages inviting you back to the app; and short uninstall or churn feedback surveys (e.g., "Why did you stop using Jynx?"). These communications are distinct from transactional/service notifications.

Legal basis — European Union / EEA users (GDPR + ePrivacy). Marketing and re-engagement emails to EU/EEA users are sent on the basis of your prior explicit opt-in consent (ePrivacy Directive Art. 13(1), transposed in France by Article L. 34-5 of the Code des postes et des communications électroniques; GDPR Art. 6(1)(a) and Art. 7). Following the launch of paid subscriptions (Jynx+) and one-time in-app purchases (Founder Packs), the Service is now a remunerated service, and those purchases constitute a "sale" within the meaning of the CJEU judgment C-654/23 (13 Nov 2025). The "soft opt-in" exception of ePrivacy Art. 13(2) is therefore in principle available to us for similar products and services to existing customers. As a conservative posture, however, we continue to rely on your prior explicit opt-in consent; we will only begin to rely on the soft-opt-in basis following a documented reassessment recorded in our Records of Processing Activities and an updated notice to you.

Legal basis — Brazilian users (LGPD). For Brazilian users, marketing and re-engagement communications rely on two alternative legal bases:

1. Consent (LGPD Art. 7, I and Art. 8) — captured as a separate, un-ticked, purpose-specific opt-in at signup or in-app, recorded with date, form version, and language; you may withdraw it at any time, free of charge, without losing access to the Service (Art. 8 §5). Consent is the basis used for any communication to prospects, cold outreach, or cross-sell/partner offers beyond the core Jynx app.
2. Legitimate interest (LGPD Art. 7, IX, elaborated by Art. 10) — used only for existing or recently-lapsed users receiving re-engagement messages, product updates about the same Jynx app, or a single short churn/uninstall feedback survey. Before relying on this basis, Jynx conducts and documents a Legitimate Interests Assessment (LIA) following the three-phase test of the ANPD Legitimate Interest Guide (2 Feb 2024): (i) purpose, (ii) necessity, and (iii) balancing and safeguards. The LIA records the prior relationship, the user's reasonable expectations, the purpose, the least-intrusive means chosen, and the opt-out channel. Legitimate interest is not used for cold/unsolicited email, unrelated cross-sell, purchased lists, or persistent messaging to departed users after the relationship has clearly ended.

Right to object / opt-out. Brazilian users may at any time oppose this processing and opt out via the mechanisms in §7.5 and §7.6 (one-click unsubscribe in every email, or the in-app communications-preferences toggle), without cost and without terminating the account. We honor opt-out requests in real time. The Brazilian Consumer Defense Code (CDC, Law 8.078/90, in particular Art. 39 III) prohibits unsolicited or abusive commercial messaging; we therefore strictly respect opt-outs and apply frequency caps, since persistent or ignored-opt-out sending may be treated as an abusive practice.

Uninstall / churn surveys. Wherever operationally feasible we ask uninstall/churn questions in-app at the uninstall moment (no email retention required). Where an email survey is sent, the survey contains no promotional or re-engagement content; we send a maximum of one (1) survey per user within approximately 60 days of account deletion or uninstall; the email address is then deleted or anonymized in accordance with §6; and users who have submitted an erasure / right-to-be-forgotten request (§7.3) are never re-contacted and are placed on a permanent suppression list (see §6 and the Terms of Service §7.2).

Email tracking. Marketing emails do not embed tracking pixels or hidden analytics that process personal data without a separate legal basis. Where any open/click tracking is introduced, it will be disclosed here and based on consent (LGPD Art. 8; ePrivacy Art. 5(3)), consistent with the ANPD guidance on tracking technologies (18 Oct 2022).

Frequency. Marketing emails are subject to internal frequency caps; you can reduce or turn them off at any time via the in-app communications-preferences toggle or by clicking unsubscribe in any message.

5.7. Segurança da comunidade e evasão de banimento

Para ajudar a proteger nossa comunidade contra abusos, utilizamos identificadores do dispositivo e sinais de integridade do dispositivo para detectar e impedir tentativas de contornar uma suspensão ou banimento. Se associarmos um dispositivo a uma conta banida, esse dispositivo poderá ser impedido de criar novas contas ou fazer login. Se você acredita que isso ocorreu por engano, pode recorrer entrando em contato com [email protected].

5.8. Análise de Imagens para Proteção Infantil

Para ajudar a proteger crianças e cumprir nossos deveres legais de denúncia, a Jynx utiliza sistemas automatizados para analisar as imagens compartilhadas em mensagens diretas, comparando hashes derivados dessas imagens com bancos de dados de material conhecido de abuso sexual infantil. Para essa análise, as imagens em si não são transmitidas a terceiros — apenas hashes irreversíveis o são (ver §4.7). As fotos de perfil são triadas separadamente, pelo processamento de moderação de imagens descrito no §4.8. Essa análise existe exclusivamente para a detecção voltada à proteção infantil e para nossos deveres legais de denúncia; ela não é usada para criação de perfis, publicidade ou qualquer outra finalidade. As correspondências são tratadas conforme descrito em nossa Política de Proteção Infantil.

6. Retenção de Dados

6.1. Períodos de Retenção

• Dados de Perfil: Retidos enquanto sua conta estiver ativa
• Registros e Analytics: Firebase Analytics: 14 meses (política Firebase)
• Marketing email addresses (consent-based): Retained for as long as you have not opted out or deleted your account, plus a hashed record on the suppression list (see below) to ensure we do not re-contact you
• Uninstall / churn survey email addresses: Retained for a maximum of 60 days after the survey is sent (or, if no survey is sent, 60 days after uninstall/deletion), after which the address is deleted or irreversibly anonymized. No more than one (1) survey email is sent per user
• Re-engagement of recently-lapsed accounts (LGPD legitimate-interest basis, Brazilian users only): Consistent with CNIL guidance and the reasonable-expectations test, Jynx may use the email address of a recently-lapsed (non-erasure) account for re-engagement for up to 3 years after the last meaningful interaction, after which it is deleted or anonymized

6.2. Exclusão de Dados

Você pode solicitar a exclusão de sua conta a qualquer momento (veja Seção 7).

Retenção Legal: Alguns dados podem ser retidos por mais tempo para cumprir nossas obrigações legais (ex: relatórios de segurança, transações financeiras).

When you delete your account, we purge your email address from our marketing CRM and email service provider. If you exercise the right to erasure (§7.3 / GDPR Art. 17 / LGPD Art. 18(VI) for consent-based data), your email address is added to a permanent hashed suppression list so that it is never re-used for marketing, re-engagement, or surveys — including protection against re-import via any third-party or purchased list. Note: under the LGPD, Art. 18(VI) deletion applies to data processed on the basis of consent; data processed on the basis of legitimate interest (Art. 7 IX) is instead governed by the purpose-limitation principle (Art. 6 II and §2) and your right to request cessation of processing (Art. 18 §2).

7. Seus Direitos (GDPR)

Sob o GDPR, você tem os seguintes direitos:

7.1. Direito de Acesso

Você pode solicitar uma cópia de todos os dados que temos sobre você.

Como exercer este direito: Configurações > Privacidade > "Exportar Meus Dados"

O processo gera um arquivo JSON contendo todos os seus dados (perfil, mensagens, estatísticas, etc.). O link de download é válido por 7 dias.

7.2. Direito de Retificação

Você pode modificar as informações do seu perfil a qualquer momento pelo aplicativo (nome de usuário, biografia, preferências, etc.).

7.3. Direito ao Esquecimento ("Direito de Ser Esquecido")

Você pode solicitar a exclusão de sua conta.

Como exercer este direito: Configurações > Zona de Perigo > "Excluir Minha Conta"

Processo de Exclusão Automatizado:

1. Confirmação em duas etapas para prevenir exclusões acidentais
2. Anonimização imediata de seus dados pessoais (Firestore)
3. Exclusão de sua conta Firebase Authentication (revoga automaticamente todos os tokens OAuth)
4. Um ID anonimizado é fornecido como referência
5. Opção para excluir suas mensagens e conteúdo gerado

Importante: A exclusão é irreversível. Alguns dados anonimizados podem ser retidos para fins estatísticos (em conformidade com GDPR).

Solicitações de Exclusão Manual: Para solicitações de exclusão de dados específicos (ex: excluir apenas mensagens de uma comunidade específica, excluir imagens do Storage, ou outros casos especiais), entre em contato com nosso Oficial de Proteção de Dados em [email protected]. Processaremos solicitações manuais dentro de 30 dias conforme exigido pelo GDPR.

7.4. Direito à Portabilidade de Dados

A exportação de dados (Seção 7.1) permite que você recupere seus dados em formato estruturado e legível por máquina (JSON).

7.5. Direito de Objeção

Você pode se opor ao processamento de seus dados para fins de marketing direto.

• One-click unsubscribe: every marketing email includes a one-click unsubscribe link (RFC 8058 List-Unsubscribe-Post) honored in real time
• In-app toggle: Settings > Privacy > Communications Preferences
• Email: [email protected]

7.6. Direito de Retirar Consentimento

Você pode retirar seu consentimento para:

• Analytics: Configurações > Privacidade > Desabilitar "Habilitar Analytics"
• Notificações Push: Configurações do dispositivo
• Marketing Communications: Newsletter, product updates, re-engagement, and uninstall/churn surveys — withdrawable via one-click unsubscribe, the in-app communications-preferences toggle, or [email protected], without terminating your account

Nota: Tokens OAuth (Google, Apple) são automaticamente revogados quando você exclui sua conta (Seção 7.3).

Withdrawal does not affect the lawfulness of processing carried out before withdrawal (GDPR Art. 7(3); LGPD Art. 8 §5), and withdrawing consent never requires you to delete your account.

7.7. Additional LGPD Rights (Brazilian Users)

In addition to the rights above, data subjects located in Brazil have the following rights under LGPD Art. 18: confirmation of the existence of processing; access to the data; correction of incomplete, inaccurate, or out-of-date data; anonymization, blocking, or deletion of unnecessary or excessive data (Art. 18(VI) applies to data processed on the basis of consent); portability to another service or product provider, upon request; deletion of personal data processed with consent; and information about the possibility of denying consent and the consequences of doing so.

You may exercise these rights via Settings > Privacy or by contacting the encarregado at [email protected]. You may also lodge a complaint with the Brazilian data protection authority — the Autoridade Nacional de Proteção de Dados (ANPD) — at https://www.gov.br/anpd.

8. Segurança de Dados

Implementamos medidas de segurança técnicas e organizacionais para proteger seus dados:

• Criptografia: Comunicação segura via HTTPS
• Regras de Segurança Firebase: Controle de acesso rigoroso aos dados do Firestore
• Autenticação: Gerenciamento seguro de sessão via Firebase Auth
• Validação de Entrada: Prevenção de injeção XSS via SecureTextInput
• Limitação de Taxa: Proteção contra abuso (mensagens spam, ações automatizadas)
• Moderação: Sistema de relatório de conteúdo e moderação
• Real-time voice: Voice-room media is encrypted in transit using WebRTC DTLS-SRTP, the same standard used by mainstream voice apps; signaling between the app and our servers is over HTTPS/TLS.

Nenhum sistema é 100% seguro. Em caso de violação de dados, notificaremos você em conformidade com GDPR (dentro de 72 horas).

9. Transferências Internacionais de Dados

Seus dados podem ser transferidos e armazenados em servidores localizados fora da União Europeia, incluindo:

• Google Cloud / Firebase: Infraestrutura global (incluindo o Google Analytics no site, ver §10), sob cláusulas contratuais padrão do GDPR e salvaguardas equivalentes
• Amazon Web Services (moderação de imagens): O processamento de moderação de imagens descrito no §4.8 é executado na região de São Paulo da AWS (Brasil); as transferências da UE/EEE apoiam-se no contrato de processamento de dados da AWS, que incorpora as cláusulas contratuais padrão da Comissão Europeia, junto com as garantias gerais abaixo. A imagem é encaminhada à AWS por meio da infraestrutura da Jynx no Google Cloud (perna Google Cloud / Firebase acima)
• Sentry: Servidores baseados nos EUA com conformidade Privacy Shield
• Email Service Provider (ESP): Used to deliver the marketing, re-engagement, and survey communications described in §5.6. The ESP is named in §4.4 and acts as a processor under a signed Data Processing Agreement
• LiveKit (real-time voice): LiveKit is our processor for voice-room audio under a signed Data Processing Agreement (see §4.5). As described in §3.6 and §4.5, voice-room audio is routed in real time and is not recorded, stored, or persisted by Jynx or by LiveKit. The applicable international-transfer mechanism for LiveKit will be confirmed before the voice feature is enabled for users. Accordingly, the general EU/EEA and Brazilian transfer guarantees set out below do not yet extend to LiveKit; they will be updated to reflect the confirmed mechanism before voice launches.

Guarantees (GDPR, EU/EEA). All transfers from the EU/EEA are covered by an adequacy decision, the EU-US Data Privacy Framework, or standard contractual clauses, together with supplementary measures where required.

Guarantees (LGPD, Brazil). Transfers of Brazilian users' personal data are governed by LGPD Art. 33:

• To Jynx Group in France (controller): Lawful under LGPD Art. 33(I) by virtue of ANPD Resolution CD/ANPD nº 32/2026 (in force 26 January 2026), which recognizes the European Union — including France — as providing an adequate level of protection. No additional transfer mechanism is required for this leg. (This adequacy decision is subject to reassessment by the ANPD within four years; if suspended, Jynx will implement an alternative Art. 33 mechanism such as the ANPD standard contractual clauses.)
• To Brevo in France (email ESP, processor): Lawful under LGPD Art. 33(I) by virtue of the same ANPD Resolution CD/ANPD nº 32/2026 (in force 26 January 2026), which recognizes the European Union — including France — as providing an adequate level of protection. No additional transfer mechanism is required for this leg. (Subject to the same ANPD reassessment described above; if the adequacy decision is suspended, Jynx will implement an alternative Art. 33 mechanism such as the ANPD standard contractual clauses with Brevo.)
• Para provedores de tecnologia de proteção infantil na UE (correspondência de hashes, operadores): Coberto pela mesma decisão de adequação da UE da Resolução CD/ANPD nº 32/2026 citada nas pernas acima — os provedores recebem apenas hashes irreversíveis e realizam a correspondência na região da UE (§4.7)
• Para a AWS no Brasil (moderação de imagens, operador): O trecho da AWS Rekognition permanece no país — é executado na região de São Paulo da AWS (§4.8). A imagem é primeiro transmitida pela infraestrutura da Jynx no Google Cloud, coberta pelos termos gerais de transferência do Google Cloud / Firebase acima

Historical note: the one-year grace period for adapting existing contracts to the ANPD SCCs ended on 23 August 2025; new processor relationships such as the ESP execute the SCCs at onboarding.

10. Cookies e Tecnologias Similares

Nosso aplicativo móvel não usa cookies no sentido tradicional, mas usa:

• Tokens de Autenticação: Armazenados localmente de forma segura
• Cache Local: Para melhorar desempenho (dados de perfil, mensagens recentes)

Site. O site da Jynx (jynx.app) utiliza o Google Analytics 4 (fornecido pelo Google) com o Consent Mode v2 para entender como o site é usado. O armazenamento de analytics é negado por padrão: até você aceitar o banner de cookies, o Google Analytics funciona sem cookies ou armazenamento local, e o Google recebe apenas sinais sem cookies e sem identificadores; se você aceitar, a medição completa é ativada. Sua escolha — aceitar ou recusar — fica armazenada localmente no seu dispositivo (localStorage do navegador, chave "jynx-analytics-consent"). Limpar o armazenamento do navegador para o jynx.app faz o banner aparecer novamente, para que você possa alterar sua escolha. O Google atua como destinatário dos dados de analytics resultantes (ver §9); consulte o §4 para os demais operadores e o §7 para seus direitos.

11. Mudanças nesta Política

Podemos atualizar esta política de privacidade. Em caso de mudanças importantes, notificaremos você:

• Via notificação no aplicativo
• Por email no endereço associado à sua conta

12. Entre em Contato

Para quaisquer perguntas sobre esta política de privacidade ou para exercer seus direitos:

• Email: [email protected]

Autoridade Supervisora: If you believe your rights have not been respected, you may lodge a complaint:

• EU/EEA users: with the CNIL (Commission Nationale de l'Informatique et des Libertés), France — https://www.cnil.fr
• Brazilian users: with the ANPD (Autoridade Nacional de Proteção de Dados), Brazil — https://www.gov.br/anpd

Filing a complaint with a supervisory authority does not prejudice your right to seek other judicial remedies available to you, including the mandatory consumer protections that apply in your jurisdiction (e.g., the Brazilian Consumer Defense Code, Law 8.078/90).

13. Consentimento

We process your personal data only where we have a lawful basis. The lawful bases we rely on, and where each is described in this Policy, are:

• Performance of a contract / provision of the Service (GDPR Art. 6(1)(b); LGPD Art. 7, V) — account, matching, and messaging (§5.1–5.3)
• Legitimate interests (GDPR Art. 6(1)(f); LGPD Art. 7, IX and Art. 10) — security, fraud prevention, service improvement, and (for Brazilian users) marketing/re-engagement/survey communications to existing or recently-lapsed users as described in §5.6, each supported by a documented balancing assessment
• Legal obligation (GDPR Art. 6(1)(c); LGPD Art. 7, II) — retention for legal purposes (§6)
• Obrigação legal e interesses legítimos (GDPR Art. 6(1)(c) e 6(1)(f); LGPD Art. 7, II e IX) — detecção de conteúdo ilegal e violador de políticas, incluindo a análise de imagens para proteção infantil descrita no §5.8 e o processamento de moderação de imagens do §4.8, prevenção a abusos e evasão de banimento (§5.7) e cumprimento de deveres legais de denúncia. Para a análise de imagens compartilhadas em mensagens diretas, a Jynx também se apoia na detecção voluntária de abuso sexual infantil on-line permitida pelo Regulamento (UE) 2021/1232 (derrogação ao ePrivacy, vigente conforme aplicável).
• Consent (GDPR Art. 6(1)(a); LGPD Art. 7, I and Art. 8) — analytics where you have enabled them, push notifications, and (for EU/EEA users and for Brazilian prospects/cold/cross-sell sends) marketing communications per §5.6
• Voice-room audio is processed on the basis of your consent (GDPR Art. 6(1)(a); LGPD Art. 7, I and Art. 8) when you grant microphone permission and explicitly join a room (see §3.6); you may withdraw it at any time by leaving the room or by revoking microphone permission in your device settings.

Consent must be specific and informed. Where we rely on your consent, it is given by a clear affirmative act, refers to specified purposes, and is captured separately from your acceptance of these terms (LGPD Art. 8 §1 — cláusula destacada). Generic or bundled authorizations are void under LGPD Art. 8 §4 and invalid under GDPR Art. 4(11) and Art. 7. Using Jynx does not by itself constitute consent to marketing. The burden of proving valid consent rests with Jynx (LGPD Art. 8 §2; GDPR Art. 7(1)); we therefore record the date, form version, language, and scope of each consent we collect.

Withdrawal. You may withdraw any consent at any time, through a procedure that is as easy as giving it and that does not require you to delete your account (LGPD Art. 8 §5; GDPR Art. 7(3)) — see §7.5 and §7.6. Withdrawal does not affect the lawfulness of processing carried out before withdrawal. Deleting your account (§7.3) remains available at any time but is not the mechanism for withdrawing a specific consent.