Privacidade de QR Code: Seus Dados

A maioria dos geradores de QR code publica uma política de privacidade escrita por advogados para advogados. Em algum lugar do documento diz "levamos sua privacidade a sério", e é mais ou menos tudo o que você consegue em termos de especificidade. Você fica adivinhando quais dados eles realmente coletam, quem os vê e o que acontece quando você exclui sua conta. Este post é diferente. Vamos te contar exatamente o que o QR Nova coleta, o que não coletamos, como anonimizamos os dados de leitura e quais são seus direitos, em linguagem simples, sem enrolação jurídica.

Quais dados o QR nova coleta (e o que não coleta)

Há dois lados dos dados de QR code: o que sabemos sobre você (a pessoa criando códigos) e o que sabemos sobre os scanners (as pessoas que escaneiam seus códigos). São coisas muito diferentes, e a maioria das plataformas de QR code borra a linha entre elas.

O que armazenamos sobre você (titulares de conta)

Quando você cria uma conta, armazenamos seu endereço de e-mail, seu nome (se você o fornecer via login do Google) e suas configurações de workspace. É isso. Não pedimos seu número de telefone, endereço físico, nome da empresa ou nenhuma informação demográfica. Não construímos um perfil seu além do necessário para executar o serviço.

Seus QR codes, seus destinos, suas configurações de design e seu histórico de leituras são armazenados e associados à sua conta. Se você excluir sua conta, tudo isso vai junto.

O que armazenamos sobre os scanners (pessoas que escaneiam seus códigos)

É aqui que fica importante, porque é onde a maioria dos geradores de QR code é vaga. Veja o que acontece quando alguém escaneia um dos seus QR codes dinâmicos:

Dado	O que armazenamos	O que não armazenamos
Endereço IP	Hash SHA-256 (irreversível)	O endereço IP bruto, nunca
Localização	País e cidade (derivados do IP antes do hash)	Endereço, coordenadas GPS ou localização precisa
Dispositivo	Categoria do dispositivo (celular, desktop, tablet)	Modelo do dispositivo, número de série ou identificadores únicos
Sistema operacional	Nome do SO (ex.: iOS, Android, Windows)	Versão do SO ou detalhes do kernel
Navegador	Nome do navegador (ex.: Chrome, Safari) e preferência de idioma	String completa de user agent, fingerprint do navegador ou cookies
Timestamp	Quando a leitura ocorreu	—
Parâmetros UTM	Tags de campanha se presentes na URL	—
URL de referência	URL de referência quando presente	Histórico completo de navegação
Identidade	Nada	Nome, e-mail, telefone, informações de conta ou qualquer identificador pessoal

O propósito das análises de leitura é te dizer quantas pessoas escanearam seu código, de onde aproximadamente e em que tipo de dispositivo. É uma visão agregada, não rastreamento individual. Não conseguimos te dizer quem escaneou seu código. Não conseguimos reverter um hash de IP para descobrir. Isso é por design.

QR codes estáticos: zero dados por design

Se você gerar um QR code estático no QR Nova, a situação é ainda mais simples: não coletamos nada. Códigos estáticos são gerados inteiramente no seu navegador. A URL de destino é codificada diretamente no padrão QR. Nenhum redirecionamento passa pelos nossos servidores. Nenhuma leitura é registrada. Nenhuma análise existe. Literalmente não sabemos que o código foi criado.

Isso importa para casos de uso onde a privacidade é inegociável: informações médicas, links corporativos internos, dados de contato pessoal ou qualquer coisa onde mesmo o rastreamento anonimizado é indesejado. Um QR code estático do QR Nova é tão privado quanto escrever uma URL num pedaço de papel.

Como anonimizamos os dados de leitura

A frase "anonimizamos seus dados" perdeu o significado pelo uso excessivo. Toda empresa diz isso. Poucas explicam o que querem dizer. Veja exatamente o que fazemos.

Quando um evento de leitura chega, o endereço IP do scanner passa pelo SHA-256, uma função hash criptográfica. Isso converte o IP em uma string de caracteres de comprimento fixo. A propriedade crítica do SHA-256 é que é uma função unidirecional: você pode ir de IP para hash, mas não pode ir de hash de volta para IP. Não há chave, não há descriptografia, não há como reverter.

Usamos o hash para dois propósitos: deduplicação (para que uma pessoa escaneando o mesmo código cinco vezes seguidas conte como uma leitura, não cinco) e análises agregadas (contagens de leitura por região). Após o hashing, o IP bruto é descartado. Ele nunca é gravado no nosso banco de dados. O mesmo se aplica aos registros de auditoria de segurança (tentativas de login, operações com chaves de API) — esses registros também armazenam apenas o IP com hash, nunca o original.

Isso significa que mesmo se nosso banco de dados fosse comprometido de alguma forma, um atacante encontraria strings com hash, não endereços IP. E até nós, como operadores da plataforma, não conseguimos identificar scanners individuais a partir dos nossos próprios dados.

Segurança da conta

Privacidade e segurança são coisas diferentes, mas dependem uma da outra. Dados que são privados mas mal protegidos não são realmente privados. Veja como protegemos o acesso à sua conta.

Autenticação sem senha

Nosso método primário de login é magic links sem senha. Quando você faz login, enviamos um link de uso único para o seu e-mail. Esse link usa um token criptograficamente aleatório com alta entropia, e o token é hasheado antes de ser armazenado, então até nosso próprio banco de dados nunca contém um token de login utilizável. Cada link expira em 15 minutos e pode ser usado apenas uma vez. Após o uso, é excluído.

Também suportamos Google OAuth para usuários que preferem. Ambos os métodos evitam a maior vulnerabilidade de autenticação: senhas reutilizadas.

Proteção contra bots

Nossa página de login inclui proteção baseada em desafio contra stuffing automatizado de credenciais e ataques de força bruta. Também mantemos uma lista de bloqueio com mais de 3.000 domínios de e-mail descartáveis para evitar abuso com contas descartáveis.

Segurança de chaves de API

Se você usa a API do QR Nova, suas chaves de API são hasheadas antes do armazenamento usando HMAC com um segredo do lado do servidor. Não conseguimos ler sua chave de API após ela ser criada, você a vê uma vez, e então ela existe apenas como um hash irreversível do nosso lado. Se sua chave for comprometida, você a revoga e gera uma nova.

Rate limiting

Cada endpoint, páginas públicas, autenticação e chamadas de API, tem limite de taxa. Usuários do plano gratuito têm limites de burst mais baixos; planos pagos escalam. Isso evita abuso, ataques de força bruta e tentativas de negação de serviço. Os limites de taxa são aplicados na borda antes que as requisições cheguem ao nosso aplicativo.

Conformidade com a lgpd — não é só uma caixa para marcar

A conformidade com a LGPD (Lei Geral de Proteção de Dados) não é um certificado que você pendura na parede. É um conjunto de comportamentos que acontecem no seu código ou não. Veja como os nossos funcionam.

Negado por padrão

Quando você visita o QR Nova pela primeira vez, todo rastreamento não essencial é negado. Cookies de análise, cookies de marketing e tags de publicidade são bloqueados. Nada dispara até que você faça uma escolha explícita. Isso não é uma tecnicidade, nosso sistema de consentimento se integra com o Consent Mode v2 do Google, o que significa que as tags do Google Analytics e do Google Ads literalmente não podem ser ativadas até que o consentimento seja concedido.

Esse sistema de consentimento se aplica ao rastreamento de visitantes do site. As análises de leitura de QR code funcionam de forma diferente: quando alguém escaneia um QR code dinâmico, o redirecionamento passa pelos nossos servidores antes que o scanner carregue qualquer página no navegador. Esse evento no servidor é o que registra a leitura — ele opera independentemente de qualquer banner de cookies. Os scanners não estão interagindo com nosso site de marketing; eles estão usando um serviço de redirecionamento. A proteção de privacidade aqui vem da minimização de dados e do hash de IP, não de barreiras de consentimento.

Escolha genuína

Nosso banner de consentimento de cookies apresenta "Aceitar" e "Recusar" com o mesmo peso visual. Sem dark patterns. Sem truques de cor para tornar "Aceitar" mais proeminente. Sem toggles de "interesse legítimo" enterrados em um submenu. Você também pode personalizar quais categorias (análises, marketing) você aceita ou recusa individualmente.

Registros de consentimento auditáveis

Cada decisão de consentimento, aceitar, recusar ou personalizado, é registrada com um timestamp, um identificador anônimo (não sua conta, não seu IP) e as escolhas específicas feitas. Esse registro existe para que, se um regulador perguntar "você consegue provar que este usuário consentiu com o rastreamento analítico?", possamos responder com um registro com timestamp. O endereço IP no registro de consentimento é hasheado, assim como os dados de leitura.

Direito à exclusão

Você pode excluir sua conta nas configurações do painel. Sem ticket de suporte. Sem "por favor envie um e-mail e aguarde 30 dias úteis". A exclusão é processada automaticamente após um breve período de carência (caso você mude de ideia). Depois que essa janela fechar, sua conta, QR codes, dados de leitura e registros de consentimento são permanentemente removidos.

Serviços de terceiros e o que eles veem

Nenhum aplicativo web funciona em completo isolamento. Usamos um pequeno número de serviços de terceiros, e aqui está exatamente o que cada um vê:

Serviço	Finalidade	O que recebem	Condição
Processador de pagamento	Cobrança de assinatura	E-mail, método de pagamento, histórico de cobrança	Somente se você assinar um plano pago
Serviço de e-mail	E-mails transacionais (magic links, boas-vindas, recibos)	Seu endereço de e-mail	Somente quando precisamos te enviar um e-mail
Analytics	Entender como os visitantes usam nosso site	Dados de uso anonimizados	Somente se você conceder consentimento para análises
Monitoramento de erros	Detectar e corrigir bugs	Contexto de erro (sem dados pessoais)	Automático, dados mínimos

Essa é a lista completa. Sem redes de publicidade. Sem serviços de enriquecimento de dados. Sem "parceiros" que compram acesso às análises de leitura. Não monetizamos seus dados porque monetizamos o produto. Nosso modelo de negócio é baseado em assinaturas, não em vigilância.

Estático vs. dinâmico: uma comparação de privacidade

O perfil de privacidade de um QR code depende inteiramente de ser estático ou dinâmico. Essa distinção vale ser repetida porque é a decisão de privacidade mais importante que você toma ao criar um QR code.

Recurso	QR code estático	QR code dinâmico
Gerado onde	Seu navegador (client-side)	Nossos servidores
Dados enviados ao QR Nova	Nenhum	URL de destino e configurações de design
Rastreamento de leituras	Nenhum, impossível	Análises anonimizadas (IP com hash, país, cidade, dispositivo, SO, nome do navegador, idioma, referência)
Editável após impressão	Não	Sim, mude o destino sem reimprimir
Conta necessária	Não	Sim
Melhor para privacidade	Sim, zero pegada de dados	Bom, anonimizado, mas os dados existem

Se o seu caso de uso não precisa de editabilidade ou análises de leitura, um QR code estático dá a você a melhor privacidade possível: literalmente zero coleta de dados. Para casos onde você precisa rastrear desempenho ou atualizar destinos, os códigos dinâmicos oferecem análises com proteções de privacidade significativas incorporadas.

Para uma análise mais detalhada das diferenças funcionais, veja nosso guia de QR codes estáticos vs. dinâmicos.

O que te diríamos mesmo se fosse desconfortável

Transparência funciona nos dois sentidos. Aqui estão coisas que achamos que você deve saber, mesmo que não sejam amigáveis ao marketing:

• QR codes dinâmicos envolvem um redirecionamento pelos nossos servidores. É assim que as análises de leitura funcionam. O redirecionamento acontece no servidor, antes que qualquer página seja carregada no navegador do scanner, portanto não está sujeito ao consentimento de cookies. A proteção de privacidade para os scanners depende da minimização de dados (coletamos apenas o que está listado na tabela) e do hash irreversível de IP, não de consentimento opt-in. Se a ideia de qualquer coleta de dados te incomoda, use um código estático.
• Dados de localização em nível de país e cidade são derivados de endereços IP antes do hashing. Isso significa que extraímos informações geográficas do IP do seu scanner, depois descartamos o IP. Os dados de localização em si são aproximados, no melhor dos casos, precisão de cidade, mas eles existem no seu painel de análises.
• Não temos nenhuma certificação de segurança (ainda). Não buscamos ISO 27001 ou SOC 2. O que temos é um conjunto de práticas de segurança concretas documentadas nesta página. Preferimos te mostrar o que realmente fazemos do que exibir um certificado que não te conta nada específico.
• Se formos obrigados por força de lei a produzir dados, só podemos produzir o que temos. Para eventos de leitura, são IPs com hash e localizações aproximadas. Para contas, são endereços de e-mail e configurações de QR code. Não podemos produzir IPs brutos porque não os temos.

Resumindo

A privacidade no setor de QR code está no nível mais baixo. A maioria dos geradores ou não a aborda ou a aborda com linguagem jurídica vaga que protege a empresa, não o usuário. Construímos o QR Nova com uma premissa diferente: quanto menos dados armazenamos, menos pode dar errado, para você e para nós.

Códigos estáticos não coletam nada. Códigos dinâmicos coletam análises anonimizadas (IP com hash, país, cidade, dispositivo, SO, nome do navegador, idioma, referência). IPs são hasheados antes do armazenamento — tanto nos registros de leitura quanto nos registros de segurança. O rastreamento de visitantes do site requer consentimento explícito. A exclusão é self-service. O compartilhamento de dados com terceiros não existe.

Se você tiver perguntas sobre qualquer coisa aqui, nossa Política de Privacidade, Termos de Serviço e Política de Cookies contêm as versões juridicamente vinculantes. Este post é a versão legível por humanos.