Versão 1.24

Aviso de Privacidade da Timeline

Este aviso explica quais dados pessoais a Timeline trata, para quê, com quem, por quanto tempo e como você exerce seus direitos, conforme a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).

Resumo:

Pedimos só o necessário: nome, e-mail, senha e data de nascimento.
O que você posta é público, a não ser que você escolha "Só seguidores" ou "Só eu" ao postar; quem você segue e quem segue você são públicos. O resto não aparece para ninguém.
Para ordenar a timeline "Para você", olhamos o que você lê e com o que interage. Você pode desligar isso.
Não vendemos dados. Não usamos rastreadores nem anúncios de terceiros. GIFs e figurinhas da GIPHY vêm dos servidores dela (veja a seção 5).
Os servidores ficam no Brasil. Fotos e vídeos ficam num serviço de armazenamento que pode estar fora do país, com proteção contratual.
Você pode pedir acesso, correção, cópia e exclusão dos seus dados a qualquer momento.

1. Quem cuida dos seus dados

Controladora: SIPE Sistemas Ltda - ME, CNPJ 34.486.128/0001-29, com sede em Mossoró, RN.
Encarregado de dados (DPO): Italo Alan, pelo e-mail [email protected].
Contato geral: [email protected]

2. Quais dados tratamos e para quê

Cadastro: nome, e-mail, senha e data de nascimento. Usamos para criar e proteger sua conta, confirmar seu e-mail e verificar que você tem 18 anos ou mais. A senha é guardada só como um código irreversível; ninguém da equipe consegue lê-la. A data de nascimento nunca aparece para outras pessoas.
Entrar com o Google (opcional): se você escolher "Continuar com Google", o Google nos envia o nome, o e-mail (já confirmado pelo Google) e o identificador da sua conta Google. O nome só preenche o campo do cadastro, que você pode mudar; a foto da conta Google não é usada. Guardamos a ligação entre as contas (o identificador, o e-mail daquele momento e quando foi feita), para você entrar com o Google das próximas vezes. Ao desligar o Google em Configurações → Conta, a ligação é apagada; ao apagar a conta, ela deixa de valer na hora e é apagada junto com a conta.
Perfil: nome de usuário (@), nome exibido, foto e biografia. São públicos, como os posts públicos.
@ anteriores: se você trocar o @ (em Configurações → Conta, uma vez a cada 30 dias), guardamos cada @ que a conta já teve e a data da troca. Nos 30 dias seguintes à troca, o @ antigo fica reservado para você e o endereço antigo do perfil leva ao novo; depois disso, outra pessoa pode usar aquele @ e o endereço antigo deixa de levar ao seu perfil. O histórico continua guardado para a moderação e as ordens judiciais saberem quais @ a conta usou e para contar o prazo da próxima troca.
Menções: quando um post menciona um @, guardamos a qual conta a menção se refere no momento em que o post é escrito ou editado. Assim a menção continua levando ao perfil dessa conta mesmo se ela trocar o @ e outra pessoa passar a usar o antigo.
Quem você segue: as contas que você segue e as que seguem você. As duas listas e os números aparecem no seu perfil, para todos. Usamos para montar a aba "Seguindo", o "Para você" e as sugestões de quem seguir (contas que seguem você e contas seguidas por quem você segue). Também contamos, sem mostrar a ninguém de fora da equipe, as contas que ganham muitos seguidores de repente, para perceber contas falsas.
O que você publica: posts, respostas, citações, reposts, curtidas, fotos, vídeos, GIFs e figurinhas. São públicos, a não ser que, ao postar, você escolha quem pode ver: "Só seguidores" (você e quem segue você) ou "Só eu" (só você). Esses posts não aparecem na busca, nos tópicos, nos Trends nem no "Para você", não podem ser repostados nem citados, e as respostas a eles seguem a mesma escolha. Guardamos a escolha junto com o post. Na página "Ver atividade" de um post, todos que podem ver o post veem quem curtiu, repostou, citou ou respondeu (menos contas bloqueadas por você ou que bloquearam você). Também guardamos as versões anteriores de um post editado, só para moderação (nunca são mostradas).
Quem você bloqueou: a lista das contas que você bloqueou, para esconder os posts de um do outro e impedir que se sigam. Só você vê a lista (em Configurações → Bloqueados); a outra conta não fica sabendo. Apagamos a linha quando você desbloqueia ou quando uma das contas é apagada.
Fotos e vídeos: são convertidos ao serem enviados. Nesse processo, apagamos dados escondidos do arquivo, como a localização (GPS) e o modelo da câmera.
Personalização do feed: quais posts você abre, lê por alguns segundos, curte, responde ou reposta, e quando marca "Tenho interesse" ou "Não tenho interesse". Com isso calculamos os assuntos e as pessoas de que você mais gosta (veja "Seus interesses" nas configurações). As curtidas, respostas, reposts e citações também servem para sugerir quem seguir: só para você, nunca para outra pessoa.
Preferências: idioma, tema, escolha da timeline, contas silenciadas, palavras ocultas, assuntos sem interesse e ajustes de conteúdo sensível e político. Servem para mostrar a Timeline do jeito que você escolheu. Também guardamos se você já abriu o app instalado (pelo ícone na tela de início), para não sugerir de novo que você o instale.
Atividades e notificações: quem respondeu, citou, mencionou, curtiu ou repostou o que é seu, e quem começou a seguir você (se a pessoa deixar de seguir, a atividade some). Se você ativar as notificações no aparelho, guardamos o endereço de entrega que o seu navegador nos passa.
Denúncias: o motivo e o texto que você escreve ao denunciar. Usamos para moderar. Quem denuncia não é identificado para o autor. Para perceber denúncias usadas para derrubar alguém (ECA Digital, art. 32), a equipe vê, junto de cada denúncia, quantas denúncias da mesma pessoa foram rejeitadas no último ano (sem ver quem é).
Abuso sexual de crianças e adolescentes: quando a equipe confirma um caso, o post sai do ar junto com todo post que mostre o mesmo arquivo (inclusive cópias de figurinhas e GIFs guardados), o arquivo sai de "Minhas figurinhas e GIFs" de quem o tinha guardado e a conta do autor é suspensa sem prazo. Guardamos, de forma restrita, o número do protocolo da comunicação à SaferNet Brasil ou à Polícia Federal e o tamanho e o código SHA-256 (uma espécie de impressão digital) de cada arquivo do post, para essa comunicação, junto com os registros da moderação. A equipe não vê a imagem.
Avisos da equipe e contestações: quando a moderação decide algo sobre um post seu ou sobre uma denúncia sua, deixamos um aviso em Atividades (e, se um post seu for removido ou sua conta for suspensa, mandamos também um e-mail). O aviso diz a regra, se a decisão foi de uma pessoa ou automática e como contestar. Se você contestar, guardamos o texto que escreveu, para uma pessoa da equipe rever o caso, e a resposta dela, que chega a você no aviso e por e-mail. O aviso sobre uma denúncia sua diz o resultado, sem mostrar de novo o post denunciado. Se sua conta for suspensa, guardamos até quando vale a suspensão; enquanto ela dura, seu perfil diz que a conta está suspensa e seus posts não aparecem.
Respostas aos nossos e-mails: quando você responde a um e-mail nosso, a resposta chega à caixa de contato ([email protected]) e guardamos a mensagem e o seu endereço só para responder.
Aceite destes documentos: qual versão você aceitou, quando, e um resumo do navegador usado. Serve para provar o aceite.
Segurança da conta: sessões abertas (com data e um resumo do navegador, como "Firefox no Android"), para você saber onde está conectado e para impedir acessos indevidos. Configurações → Conta mostra quantas sessões a conta tem abertas, e "Sair dos outros aparelhos" encerra todas menos a do aparelho em que você está. Trocar a senha e ligar ou desligar a verificação em duas etapas também encerram as outras sessões.
Senhas erradas e código de entrada: para frear quem tenta adivinhar senhas, cada servidor conta, só na memória e por até um dia, as senhas erradas de cada conta e de cada rede (a parte do endereço IP comum a um bairro ou provedor, não o seu IP inteiro). Nada disso é gravado. Se a conta ou a rede passarem do limite, entrar num aparelho em que a conta ainda não entrou pede, além da senha certa, um código de 8 números que mandamos para o e-mail da conta. O código não é guardado (é calculado a partir da conta, da hora e de um número da conta que muda quando um código é usado e quando a senha muda) e vale uma vez só, por 15 a 30 minutos; depois de trocar a senha, os códigos já enviados deixam de valer. Nos aparelhos em que você já entrou ele não é pedido, e "Esqueci minha senha" continua funcionando sempre.
Esqueci minha senha: quando você pede um link para criar uma senha nova, guardamos só um código irreversível do link e quando ele foi pedido, para que valha por 1 hora e uma vez só, e para não mandar mais de um e-mail a cada poucos minutos. Ao salvar a senha nova, encerramos todas as sessões abertas da conta e mandamos para o seu e-mail o aviso "Sua senha foi trocada".
Verificação em duas etapas (opcional): se você ligar (em Configurações → Conta), guardamos a chave do aplicativo autenticador cifrada (ninguém da equipe consegue lê-la), os 10 códigos de recuperação só como código irreversível (e quais já foram usados), o último código aceito (para o mesmo código não valer duas vezes) e as tentativas erradas recentes (para frear quem tenta adivinhar). O código é pedido depois da senha, depois de entrar com o Google e depois de criar uma senha nova. Mandamos um e-mail quando a verificação é ligada, quando é desligada e quando um código de recuperação é usado.
Sinais de robô ao postar: para frear contas automáticas, cada servidor lembra, só na memória e por 1 hora, quando cada conta postou, uma impressão do texto (um código que não permite refazer o texto) e se o post tinha link. Nada disso é gravado. Se o ritmo, a repetição do mesmo texto ou os links parecerem automáticos, postar pede a mesma confirmação de que é uma pessoa do cadastro (o navegador resolve uma conta sozinho, ou, sem JavaScript, você espera alguns segundos), e o post vai para a fila de revisão da equipe com o motivo "robô", onde uma pessoa decide. Só conta como repetição um texto com link ou menção a alguém, ou com 20 caracteres ou mais e alguma letra ou número: um "bom dia", um "kkk" ou um emoji repetidos nunca contam. Nesses casos a conta também fica marcada: guardamos na conta quais desses sinais apareceram e quando. Um sinal sozinho só marca a conta para a equipe olhar, sem limite. Se aparecerem dois sinais diferentes no mesmo post, ou os sinais voltarem uma hora ou mais depois da primeira marca, por 1 hora a conta posta menos (2 posts seguidos e depois 6 por hora); a página de postar avisa antes, com os minutos que faltam, e um post recusado diz o motivo. A equipe vê as contas marcadas e pode limpar a marca, o que tira o limite na hora e fica registrado no histórico de ações da equipe (guardamos também quando a marca foi limpa).
Registros de acesso: endereço IP, porta, data e hora de cada acesso. A lei (Marco Civil da Internet, art. 15) nos obriga a guardar esses registros, sob sigilo, e só os entregamos por ordem judicial.
Visualizações: contamos quantas vezes um post foi visto sem guardar quem viu.
Registros técnicos (logs) e relatórios de erro: para achar e corrigir falhas, os servidores anotam cada pedido: o endereço da página como modelo (por exemplo, "a página de um post", sem o endereço completo nem o conteúdo), se deu certo, quanto tempo levou, o número interno da sua conta e um código do pedido. Esse código aparece para você como "Código do erro" quando algo falha, para você nos passar se quiser ajuda. Esses registros não guardam sua senha, códigos de acesso, cookies, seu e-mail inteiro, o texto dos seus posts nem seu IP. Quando um erro acontece, um relatório com essas mesmas informações vai para o nosso sistema de relatórios de erro.

O que fica só no seu aparelho (não vem para os nossos servidores): os rascunhos (inclusive as fotos deles), a menos que você ligue "Sincronizar rascunhos com a conta", e as buscas recentes. Cada conta conectada no navegador tem os seus: uma conta não vê os rascunhos nem as buscas de outra. "Sair" apaga do aparelho os dados da conta que saiu; "Sair de todas as contas" apaga os de todas.

Rascunhos na conta (opcional, desligado de início): se você ligar "Sincronizar rascunhos com a conta" (em Configurações ou na lista de rascunhos), guardamos na sua conta cada rascunho: o texto, as partes do fio, as fotos com as descrições delas, a figurinha ou o GIF escolhido (de "Minhas figurinhas e GIFs", só a referência a ele; da GIPHY, só o código dele na GIPHY, o tamanho e a descrição) e se é conteúdo sensível. Assim o mesmo rascunho abre em qualquer aparelho em que você entrar. As fotos dos rascunhos só abrem para você. Ao desligar, apagamos da conta os rascunhos e as fotos deles; o aparelho em que você desligou fica com uma cópia. Sair da conta apaga a cópia do aparelho; os rascunhos da conta continuam lá. Os rascunhos da conta entram em "Baixar meus dados" e são apagados junto com a conta (seção 9).

3. Bases legais

Execução do contrato (LGPD, art. 7º, V): cadastro, conta, publicação, Atividades, preferências e envio dos e-mails da conta.
Cumprimento de obrigação legal (art. 7º, II): registros de acesso, guarda dos aceites e atendimento a ordens judiciais.
Legítimo interesse (art. 7º, IX): personalização do feed, segurança, prevenção de fraude e spam, e moderação. Avaliamos que esses usos são esperados por quem usa uma rede social. Mesmo assim, você pode desligar a personalização quando quiser.
Consentimento (art. 7º, I): notificações no aparelho e rascunhos guardados na conta, que você liga e desliga nas configurações.

4. Decisões automáticas

A ordem da timeline "Para você" é calculada automaticamente a partir dos sinais da seção 2.
Como sair dela: você pode escolher a timeline "Recentes" (só ordem de publicação) e desligar a personalização em Configurações → Personalização do feed. Desligar apaga o que foi aprendido.
Revisão: você também pode pedir explicações ou revisão de uma decisão automática pelo e-mail do encarregado (LGPD, art. 20).
Moderação: decisões de moderação sobre posts e contas são revistas por uma pessoa da equipe quando você contesta.
Sinais de robô: a confirmação de que é uma pessoa ao postar é pedida automaticamente (seção 2). Ela não apaga nem esconde o post; a revisão dele na fila da equipe é sempre feita por uma pessoa. A marca de sinais de automação na conta também é automática: ela só diminui por 1 hora quantos posts a conta faz, e só com dois sinais diferentes ou com sinais que voltam uma hora depois, não apaga nem esconde nada, e uma pessoa da equipe pode limpá-la.

5. Com quem compartilhamos

Não vendemos nem alugamos seus dados. Compartilhamos só o necessário com estes fornecedores, que tratam os dados em nosso nome e sob contrato:

Hospedagem dos servidores e do banco de dados: data center da EVEO, em Fortaleza (CE), no Brasil.
Armazenamento de fotos, vídeos e cópias de segurança: Cloudflare (serviço R2). Os arquivos podem ficar fora do Brasil. Você não acessa a Cloudflare diretamente: tudo passa pelos nossos servidores.
Envio de e-mails (confirmação de conta, troca de e-mail e avisos): um provedor de envio de e-mails recebe seu endereço e a mensagem.
Notificações no aparelho: o serviço de notificações do seu navegador (Google, Mozilla ou Apple) entrega o aviso. O conteúdo vai cifrado; esse serviço não consegue lê-lo.
YouTube (Google): um vídeo do YouTube num post só é carregado quando você toca para assistir, pelo modo de privacidade reforçada (youtube-nocookie.com). A partir daí, o YouTube recebe seu IP e segue a política dele.
Entrar com o Google, se você usar: você entra na página do próprio Google, que recebe o que o login dele precisa (o seu IP e o pedido da Timeline) e segue a política de privacidade dele (policies.google.com/privacy). Não enviamos ao Google nenhum outro dado seu.
Biblioteca de GIFs e figurinhas (GIPHY), quando disponível: se você usar a busca da GIPHY, o seu navegador acessa a GIPHY diretamente, sem cookie, e ela recebe o seu IP, o que você buscou e as contagens que pede a quem usa a biblioteca (um resultado mostrado, escolhido ou postado). Num post com GIF ou figurinha da GIPHY, guardamos só o código dele na GIPHY, o tamanho e a descrição; o arquivo continua na GIPHY e é carregado dos servidores dela por quem vê o post, que assim recebem o IP de quem vê. A GIPHY segue a política de privacidade dela (giphy.com/privacy).
Registros técnicos e relatórios de erro: ficam no nosso próprio sistema de monitoramento e no nosso sistema de relatórios de erro, em servidores no Brasil. Não vão para empresas de fora.
Prévia de links: quando um post tem link, é o nosso servidor que visita o site para montar a prévia. O site não recebe dados seus. No primeiro dia de uma conta, os links dela vão sem prévia e o servidor não visita o site.
Autoridades: entregamos dados quando a lei ou uma ordem judicial exigir.
Compartilhar por apps: se você tocar em compartilhar e escolher WhatsApp, Telegram, X ou e-mail, o app escolhido recebe o link.

6. Dados fora do Brasil

Alguns fornecedores (Cloudflare, o serviço de notificações do navegador, o provedor de e-mail e, se você usar, a GIPHY, o YouTube e o login com o Google) podem tratar dados em outros países, como os Estados Unidos. Essas transferências seguem a LGPD (art. 33): usamos cláusulas contratuais e as garantias de proteção oferecidas por esses fornecedores.

7. Cookies e armazenamento no aparelho

Usamos só cookies necessários. Não usamos cookies de publicidade nem de análise de terceiros.

Sessão (tl_session): mantém você conectado por 30 dias, renovados enquanto você usa.
Outras contas neste navegador (tl_contas): só existe quando há mais de uma conta conectada neste navegador — ao usar "Trocar de conta" ou ao entrar em outra conta sem sair da que está em uso. Guarda as sessões das contas que continuam conectadas aqui enquanto você usa outra (até 4 além da que está em uso), para voltar a cada uma sem digitar a senha. Dura 30 dias. "Sair" encerra a sessão da conta em uso e passa para a próxima conta conectada, se houver; "Sair de todas as contas" apaga o cookie e encerra todas essas sessões. Se as 5 já estiverem conectadas, entrar em mais uma encerra a sessão da que está em uso (a página de entrada avisa antes).
Proteção de formulários (tl_pre): impede que outro site envie formulários em seu nome; dura 30 dias.
Aparelho conhecido (tl_dev): lembra que sua conta já entrou neste aparelho, para que alguém tentando senhas na sua conta de outro lugar não atrapalhe a sua entrada aqui (neste aparelho não pedimos o código por e-mail). Guarda só o número da sua conta, um nome sorteado para o aparelho e a data da última entrada, assinados por nós; fica no aparelho mesmo depois de sair da conta (é para isso que serve) e dura 1 ano desde a última entrada. Para apagá-lo, limpe os cookies do site no navegador.
Idioma e tema (tl_lang, tl_lang_pick e tl_theme): lembram suas escolhas por até 1 ano.
Abertura e aceite (tl_open e tl_aceite): evitam repetir a animação de abertura (até fechar o navegador) e o pedido de aceite logo depois de aceitar (15 segundos).
Entrar com o Google (tl_google e tl_google_id): só se você usar. Guardam, cifrados, o pedido feito ao Google (10 minutos) e, até você terminar o cadastro ou a ligação com a conta que já tem, o que o Google respondeu (30 minutos).
Área da equipe (tl_admin): só para quem é da equipe. Mantém a sessão da área administrativa por até 8 horas, só nos endereços dela.
Verificação em duas etapas (tl_2fa e tl_2fa_trust): só se você ligar. O primeiro lembra, por 10 minutos, que a senha já foi conferida enquanto você digita o código. O segundo só existe se você marcar "Lembrar este aparelho por 30 dias": guarda o número da sua conta e datas, assinados por nós, e deixa de valer quando a verificação é desligada e ligada de novo.

O aparelho também guarda os rascunhos, as buscas recentes, os posts já lidos no dia (para não contar a mesma leitura duas vezes), o estado das notificações e se o app está instalado ou se você tocou em "Agora não" na sugestão de instalar (só até fechar o navegador). Para quem é da equipe, guarda ainda se a explicação "Como funciona" da área administrativa fica aberta ou fechada (tl-admin-how). Esses dados ficam no seu navegador e você pode apagá-los quando quiser nas configurações dele.

8. Por quanto tempo guardamos

Conta, perfil e posts: enquanto a conta existir ou até você apagar.
@ anteriores: enquanto a conta existir. O @ antigo fica reservado para você só nos 30 dias depois da troca; depois disso, outra pessoa pode usá-lo.
Menções: enquanto o texto do post estiver guardado (veja "Post apagado" abaixo). Uma edição que tira a menção apaga o registro dela.
Post apagado: sai do ar na hora. Os arquivos são apagados em até 31 dias. O texto pode ser guardado de forma restrita por até 6 meses, para apurar abusos e atender ordens judiciais. Se o post tinha sido tirado do ar pela moderação, o texto e os arquivos ficam guardados de forma restrita por 5 anos, como prova da decisão, mesmo que você o apague.
Fila de processamento: o que você posta, as suas ações (curtidas, reposts, edições e exclusões) e as leituras usadas na personalização passam por uma fila no nosso banco de dados antes de serem gravados, e por isso também aparecem nas cópias de segurança dele. Normalmente saem da fila em alguns minutos (cerca de 2 a 3). Se o processamento parar, ficam até 7 dias (as leituras, até 1 dia); o que não puder ser processado fica guardado à parte por até 30 dias, para a equipe corrigir e processar de novo. Se a conta for apagada, o que ela ainda tinha na fila não publica nada nem ensina nada à personalização: é descartado ao chegar a vez dele e some da fila nos prazos acima. Só o que apaga ou desfaz (apagar um post, tirar uma curtida ou um repost) ainda é aplicado.
Leituras usadas na personalização e "Tenho interesse": até 14 dias. Os interesses calculados perdem força com o tempo (metade a cada 14 dias) e são apagados quando você desliga a personalização ou apaga a conta.
"Não tenho interesse": vale por 60 dias e depois é apagado.
Sessões: até 30 dias depois do último uso.
Verificação em duas etapas: a chave e os códigos de recuperação ficam enquanto a verificação estiver ligada e são apagados ao desligar ou ao apagar a conta.
Sinais de robô ao postar: só na memória do servidor, por 1 hora. A denúncia "robô" na fila da equipe segue o prazo das outras denúncias. A marca na conta (quais sinais e quando) fica até a equipe limpá-la; o limite dura 1 hora. A data em que a equipe limpou a marca fica enquanto existir a conta. Tudo isso é apagado junto com a conta.
Links de "Esqueci minha senha": apagados poucos minutos depois de usados ou de vencerem (valem 1 hora).
Registros de acesso: 6 meses, como exige o Marco Civil da Internet. Depois disso são apagados, a menos que uma ordem judicial ou um pedido da autoridade (Marco Civil, art. 15, § 2º) peça para guardar os de uma conta: aí ficam guardados, de forma restrita, pelo prazo pedido, junto com o texto e os arquivos dos posts que a conta já apagou ou vier a apagar e a foto de perfil dela.
Entrega por ordem judicial: quando uma ordem judicial pede os dados de uma conta, só os responsáveis pela Timeline (quem é dono da área administrativa) conseguem reuni-los, e cada entrega fica registrada, com o motivo.
Registros técnicos (logs): até 30 dias; o caminho de cada pedido pelos servidores (para achar lentidão), até 7 dias; relatórios de erro, até 90 dias.
Aceites destes documentos: sem data para apagar, de forma restrita, como prova do que foi aceito e quando, inclusive depois de você apagar a conta.
Registros da moderação e da administração (as decisões da equipe e o que ela fez na área administrativa, as denúncias, as contestações e os pedidos sobre seus dados): sem data para apagar, de forma restrita, só a equipe vê. Servem para defender a Timeline e as pessoas envolvidas em processos e para atender a autoridades e ordens judiciais (LGPD, art. 7º, VI, e art. 16).
Rascunhos na conta (só com a sincronização ligada): até você postar ou apagar o rascunho, desligar a sincronização ou apagar a conta, ou depois de 1 ano sem mudanças. Um rascunho apagado pode ser trazido de volta por 10 minutos; depois disso o conteúdo e as fotos dele são apagados, e só o identificador fica por 30 dias, para que um aparelho que estava sem internet não o traga de volta sem avisar. Se uma ordem judicial ou um pedido da autoridade mandar guardar os dados da conta (veja "Registros de acesso"), os rascunhos dela também ficam guardados, de forma restrita, pelo prazo pedido.
Avisos da equipe: 1 ano. As decisões e as contestações ficam como registros da moderação (sem data para apagar, veja acima).
Pagamentos (se houver assinatura no futuro): pelo prazo exigido pela lei fiscal.

9. Seus direitos

Pela LGPD (art. 18), você pode:

confirmar se tratamos seus dados e ter acesso a eles;
corrigir dados incompletos ou errados;
receber uma cópia dos seus dados num formato que outro serviço possa ler (portabilidade);
pedir a exclusão dos seus dados, exceto o que a lei nos obriga a guardar (seção 8);
saber com quem compartilhamos (seção 5);
se opor a um tratamento feito por legítimo interesse, como a personalização;
revogar o consentimento das notificações;
pedir revisão de decisões automáticas (seção 4).

Como pedir: muitas coisas você faz direto nas configurações (corrigir nome, bio, e-mail e preferências; desligar a personalização; ver e esquecer interesses; desligar notificações; baixar uma cópia dos seus dados; apagar a conta). Para o resto, escreva para [email protected] com o e-mail da sua conta. Respondemos em até 15 dias. Podemos pedir uma confirmação de que o pedido é seu.

Baixar meus dados: em Configurações → Seus dados, o botão "Baixar meus dados" entrega na hora um arquivo (JSON, que outro serviço pode ler) com tudo o que guardamos da sua conta: cadastro, perfil, @ anteriores, quem você segue e quem segue você, posts, curtidas, reposts, rascunhos guardados na conta (o texto e a referência às fotos, à figurinha ou ao GIF de cada um, inclusive os apagados que ainda podem ser trazidos de volta), preferências, contas silenciadas e bloqueadas, figurinhas e GIFs guardados, Atividades, avisos da equipe, interesses calculados, posts lidos e marcados "Tenho interesse" ou "Não tenho interesse", sessões, aparelhos com notificações ligadas (só o serviço de notificações e desde quando; nunca o endereço de entrega nem as chaves dele), aceites, ligação com o login do Google, registros de acesso, decisões da moderação sobre você e seus posts, seus pedidos de revisão, as denúncias que você fez, se a verificação em duas etapas está ligada (desde quando e quantos códigos de recuperação restam; nunca a chave) e a marca de sinais de automação, se houver (quais sinais, quando, até quando vale o limite e quando a equipe limpou). Com a conta suspensa, o mesmo arquivo sai pelo botão da página que explica a suspensão (aparece depois de você digitar a senha certa ao entrar). Cada cópia pedida fica registrada.

Apagar a conta: em Configurações → Seus dados, confirmando com a sua senha (ou, numa conta sem senha, que entra com o Google, digitando o seu @) e, com a verificação em duas etapas ligada, também com um código do aplicativo ou de recuperação. Quem é da equipe precisa sair dela antes, e uma conta suspensa só pode ser apagada depois que a suspensão acabar. Ao apagar:

seus posts saem do ar na hora, como se você apagasse cada um (os prazos de "Post apagado" na seção 8 valem para eles);
suas curtidas e seus reposts são desfeitos e os números dos posts voltam ao que eram;
quem você segue e quem segue você deixam de existir, e as contas silenciadas e bloqueadas, as Atividades, as notificações no aparelho, os rascunhos, as figurinhas e GIFs guardados e tudo o que a personalização aprendeu são apagados;
todas as sessões acabam, em todos os aparelhos, e a ligação com o Google e a verificação em duas etapas são apagadas;
o perfil (nome, foto e biografia) e a data de nascimento são apagados e o seu e-mail fica livre para uma conta nova. O @ nunca é liberado: ele continua reservado, para ninguém se passar por você.

O que fica, só pelo que a lei exige e pelos prazos da seção 8: os aceites destes documentos, os registros de acesso (6 meses), os registros da moderação, as denúncias, as contestações e os pedidos sobre seus dados. Se uma ordem judicial ou um pedido da autoridade mandar guardar os dados da conta, fica guardado, de forma restrita e pelo prazo pedido, também o que ela cobre: e-mail, nome, foto, biografia, data de nascimento, a ligação com o Google, as sessões (já encerradas), os rascunhos e as curtidas e os reposts (desfeitos, sem aparecer).

Se não ficar satisfeito com a resposta, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD, gov.br/anpd).

10. Segurança

Como protegemos: usamos conexão cifrada (HTTPS), senhas guardadas com código irreversível (Argon2), acesso restrito da equipe com verificação em duas etapas, verificação em duas etapas opcional para todas as contas, limites contra tentativas em massa e cópias de segurança.
Incidentes: se acontecer um incidente de segurança que possa causar risco ou dano relevante a você, avisaremos você e a ANPD no prazo da lei, explicando o que aconteceu e o que fazer.

11. Menores de idade

A Timeline é só para maiores de 18 anos e não é feita para crianças nem adolescentes. Se soubermos que uma conta é de alguém com menos de 18 anos, a conta é suspensa e os dados são apagados. Pais ou responsáveis podem nos avisar por [email protected].

Quem lê sem conta não é perfilado: não guardamos o que um visitante lê.

12. Mudanças neste aviso

Quando este aviso mudar, publicamos a nova versão com número e data. Se a mudança for importante, pedimos que você leia e aceite a nova versão antes de continuar postando.