Política de Privacidade

Em resumo

O nGuard é o aplicativo, para Android e iPhone, do sistema de monitoramento de câmeras nGuard, operado pela NetForce. O app abre o sistema em https://nguard.com.br, e os dados ficam no servidor da própria NetForce.
Só entra quem tem uma conta criada pela administração do nGuard. O app não permite criar conta.
Tratamos os dados da sua conta e do seu perfil, os registros de acesso e de uso (inclusive quais câmeras você assistiu) e as imagens e o áudio das câmeras dos locais monitorados.
Alguns tratamentos são condição para usar o app: o registro das entradas e das sessões, com IP e aparelho; a auditoria do que a conta faz, inclusive quais câmeras assistiu; e o identificador do Firebase, criado na primeira abertura. Os seus direitos, e como exercê-los, estão na seção 10.
Usamos o Firebase Cloud Messaging, do Google (no iPhone, junto com o APNs, o serviço de notificações da Apple), para entregar as notificações, e o OpenStreetMap para desenhar os mapas. Não usamos análise de uso, publicidade, rastreamento nem inteligência artificial de terceiros, e não vendemos dados.
A localização do celular só é lida quando você toca em “Minha localização”, nunca em segundo plano.
No Android 10 ou mais novo, fotos e arquivos que você salva pelo app vão para pastas comuns do celular (Imagens/nGuard e Download/nGuard), que outros apps podem ver e que não somem quando você desinstala o nGuard. No iPhone, eles vão para a folha Compartilhar do iOS; o que você salvar nas Fotos ou em Arquivos fica lá e pode ir para o seu iCloud.
Para pedir a exclusão da conta e dos dados, veja a seção 8. Exclusão da conta e dos dados.

1. Quem somos e o que esta política cobre

O nGuard é o aplicativo para Android e iPhone do sistema de monitoramento de câmeras nGuard. O app abre o próprio sistema, em https://nguard.com.br, numa tela do Android chamada WebView, e acrescenta recursos do celular: notificações, desbloqueio por biometria e um botão de localização para marcar pontos no mapa. No iPhone, o app abre o sistema em https://nguard.com.br/m/cameras no WKWebView, o componente WebKit da Apple, com os mesmos recursos, e os links para fora do nGuard saem do app: abrem no navegador padrão do iPhone (o Safari, se você não o trocou) ou, quando há um app instalado que trata aquele link, nesse app (por exemplo, o Telegram, o Telefone ou o Mail).

Controladora dos dados: NETFORCE SERVIÇOS, COMÉRCIO E TELECOMUNICAÇÕES LTDA, CNPJ 07.200.797/0001-10, daqui em diante “NetForce” ou “nós”. A NetForce opera o nGuard, mantém o servidor em que os dados ficam e cria as contas de acesso. Para a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), ela é a controladora dos dados pessoais tratados pelo app e pelo sistema.
Onde ficam os dados: contas, vídeos, gravações e registros ficam no servidor da própria NetForce, em nguard.com.br, e não em nuvem de terceiros. Os serviços externos que recebem algum dado estão na seção 5.
Quem usa: pessoas com conta no nGuard, como clientes, pessoas da casa ou da empresa monitorada e a equipe da NetForce. As contas são criadas pela administração do nGuard; não há cadastro pelo app.
O que esta versão cobre: o app nGuard 1.0.0 para Android 7.0 ou mais novo (build 2) e para iPhone com iOS 15 ou mais novo (build 2), e o tratamento, no servidor do nGuard, dos dados das contas usadas nele. O mesmo sistema também pode ser aberto no navegador; os dados guardados no servidor são os mesmos.

As câmeras ficam nos locais monitorados (residências, empresas, condomínios) e podem filmar qualquer pessoa que passe por elas, inclusive quem não usa o app. Esta política também explica como essas imagens são tratadas.

2. Dados que tratamos

2.1 Conta e entrada

A administração do nGuard cria a sua conta com: nome, login (nome de usuário), CPF ou CNPJ (opcional; também serve para entrar), e-mail (opcional), as funções da conta e as câmeras que ela pode ver. Na ficha da conta, a administração também pode pôr até 20 etiquetas (os “Marcadores”), que só ela muda. A senha inicial é definida pela administração ou criada por você em “Primeiro acesso / Esqueci minha senha”.
Para entrar, você digita no campo “Login (CPF/CNPJ)” o seu nome de usuário ou o seu CPF/CNPJ, a senha e, se tiver ligado a verificação em duas etapas, o código de 6 dígitos do aplicativo autenticador. Tudo vai somente para o servidor do nGuard, por conexão criptografada.
O app não guarda a sua senha. No servidor fica só uma versão embaralhada e irreversível dela (hash). O Android pode oferecer para salvar o login e a senha no gerenciador de senhas do celular; isso é uma função do sistema, e salvar ou não é escolha sua. No iPhone, o sistema pode oferecer as senhas guardadas no app Senhas (no iOS 18 ou mais novo; antes, em Ajustes › Senhas) ou nas Chaves do iCloud; também é uma função do sistema, e usar ou não é escolha sua.
Verificação em duas etapas (opcional, ligada por você em Meu usuário › Acesso e segurança › Autenticação de dois fatores): o segredo do autenticador e os códigos de recuperação ficam no servidor, cifrados. O QR code é gerado no próprio celular, sem serviço externo.
Cada tentativa de entrada fica registrada com data e hora, IP, a identificação do navegador do aparelho (o User-Agent, que traz o modelo do celular e a versão do Android; no iPhone, “iPhone” e a versão do iOS) e o resultado. Numa tentativa que falha, o texto digitado no campo de login também é registrado: um CPF válido aparece mascarado; um CNPJ, por ser de empresa, aparece inteiro; qualquer outro texto fica como foi digitado. Por isso, nunca digite a sua senha no campo de login.
Depois de 5 erros seguidos (de senha ou de código), a conta fica bloqueada por um tempo que começa em 30 segundos e dobra a cada novo erro, até 1 hora.
“Primeiro acesso / Esqueci minha senha”: você informa o login, o e-mail ou o CPF/CNPJ. Se a conta existir e tiver e-mail, enviamos um link que vale 30 minutos e uma única vez (veja 2.12). O pedido fica registrado com o e-mail de destino, o IP e o aparelho de onde veio, e o que você digitou (o e-mail, o login, o CPF mascarado ou o CNPJ) vai para a auditoria mesmo quando não existe conta com ele.

2.2 Perfil (Meu usuário)

Em Meu usuário você pode preencher ou mudar: nome (obrigatório), e-mail, celular, foto, endereço (CEP, rua, número, complemento, bairro, cidade, UF e a posição no mapa) e até 10 outros contatos (número e descrição). O idioma e o tema escolhidos com a conta aberta também ficam gravados na conta. Login e CPF/CNPJ só a administração muda. Tudo isso fica no servidor, ligado à sua conta. A auditoria registra que o perfil foi alterado, mas não os valores.

Foto: você escolhe uma imagem pelo seletor de arquivos do Android. O app recebe só a imagem escolhida, sem acesso à galeria nem à câmera. Antes de enviar, o próprio celular recorta e reduz a imagem para 192 × 192 pixels e gera um arquivo novo, sem os metadados da original (como data, aparelho e localização GPS). “Remover” apaga a foto da conta. No iPhone, o seletor de arquivos do iOS oferece Fototeca, Tirar Foto ou Arquivos. A Fototeca usa o seletor do próprio sistema: o app recebe só a foto escolhida, sem acesso à sua galeria. “Tirar Foto” faz o iOS pedir, na hora, a permissão da câmera (veja a seção 3.2). A redução para 192 × 192 pixels, sem os metadados, é a mesma, feita pelo site no próprio celular.
CEP e endereço: quando você digita o CEP ou procura o endereço no mapa, o app pede ao servidor do nGuard que consulte o ViaCEP (só o CEP) ou o Nominatim, do OpenStreetMap (o endereço digitado, sem o seu nome); se a NetForce ligar o Google Maps, o endereço pode ir também ao Google. A consulta sai do servidor, nunca do seu celular. Quando a janela do mapa abre sem um ponto marcado, essa busca pelo endereço preenchido é feita sozinha.
A administração também pode preencher e alterar esses dados na ficha da sua conta.

2.3 O que fica guardado no celular

No armazenamento interno do app, uma área do Android que outros apps não conseguem ler, ficam:

A sessão: um código de renovação que mantém você conectado sem pedir a senha a cada abertura. O código de acesso usado em cada pedido dura 10 minutos e fica só na memória. Esses códigos não têm uma criptografia própria do app: a proteção vem do isolamento entre apps do Android (no iPhone, do iOS).
O login, só se você marcar “Lembrar login” (vem desmarcado): o app guarda o texto digitado no campo de login (nome de usuário ou CPF/CNPJ), que aparece preenchido para quem abrir o app. A senha nunca é guardada.
Preferências e estados de tela: idioma, tema, fundo da tela de entrada, a última câmera aberta, seleções e filtros das telas, o número interno da última conta que entrou, se a trava por biometria está ligada e o estado das permissões.
O identificador do Firebase e o token de notificações (veja 2.5).
O cache do WebView: cópias temporárias das partes fixas do site (as telas, o código do app, as fontes) e dos mapas do OpenStreetMap. O servidor pede ao WebView para não guardar o vídeo, ao vivo ou gravado, as exportações, as fotos das câmeras nem as respostas com dados da conta.

Os dados da sua conta que o app recebe ao entrar (perfil, permissões) ficam na memória e são descartados ao sair; o app não os grava, e o servidor pede ao WebView para não guardar as respostas que os trazem. O app desliga o backup automático do Android e a transferência para um celular novo: nada desta lista vai para o Google Drive nem para outro aparelho, e no celular novo você entra de novo com a senha. Os arquivos que você salva em Imagens e Download ficam fora dessa regra (veja 2.7).

No iPhone: a sessão (o código de renovação), o login lembrado e as preferências ficam no armazenamento do site dentro do app (a pasta Library/WebKit). Ao abrir, o app marca as pastas desse armazenamento (Library/WebKit e Library/Cookies) como fora do backup: elas não vão para o backup do iCloud nem para o do computador, e no iPhone novo você entra de novo com a senha. Nos ajustes do app (UserDefaults), o nGuard guarda só um sim/não: se a biometria está ligada. O que você salvar nas Fotos ou em Arquivos fica fora dessa regra (veja 2.7).

O que “Sair” faz: o app tira este celular das notificações (veja 2.5), encerra a sessão no servidor e apaga do celular a sessão guardada. O login lembrado e as preferências de tela continuam no celular; para apagar o login lembrado, desmarque “Lembrar login” e entre de novo. Sem internet, a sessão sai do celular na hora, mas o servidor só a considera encerrada quando ela vence (até 30 dias); para encerrá-la depois, use, de qualquer aparelho, Meu usuário › Acesso e segurança › Dispositivos › Sair de todas as sessões.

Desinstalar o app ou limpar os dados dele nos ajustes do Android apaga tudo o que está nesta seção. No iPhone, apagar o app remove o que ele guarda no aparelho, menos a cópia do identificador e do token do Firebase que o iOS pode manter no Keychain (veja 2.5).

2.4 Biometria

Opcional e só neste celular: Meu usuário › Aplicativo do celular › “Pedir digital ou rosto ao abrir o app”.
Quem confere é o próprio Android, pela digital, pelo rosto ou pelo PIN, padrão ou senha da tela. O app nunca recebe a digital, o rosto nem o PIN: recebe só “confirmado” ou “não confirmado”. Nada sobre a biometria vai para o servidor ou para terceiros. No iPhone, quem confere é o próprio iOS, pelo Face ID, pelo Touch ID ou pelo código do iPhone: o iOS oferece o código se a biometria falhar e pede só o código num iPhone sem Face ID nem Touch ID configurado ou em que o nGuard não tem permissão para usar o Face ID. O app também recebe só “confirmado” ou “não confirmado”, e nada vai para o servidor ou para terceiros.
Com a trava ligada, o app pede a confirmação ao abrir e ao voltar depois de 1 minuto fora, cobre a tela quando você sai dele e deixa em branco a miniatura do app na lista de apps recentes. No Android 7 a 12, a trava também impede capturas e gravações da tela do app; no Android 13 ou mais novo, a captura de tela continua possível. No iPhone, com a trava ligada, o app põe uma capa azul-marinho sobre a tela quando sai da frente (a miniatura no seletor de apps fica coberta) e, ao ir para o segundo plano, fecha a folha Compartilhar ou o que mais estiver aberto por cima da página; a captura e a gravação da tela não são impedidas. A tela de trava mostra o nome da sua conta.
A trava não esconde as notificações: o texto dos avisos continua aparecendo conforme os ajustes do Android (no iPhone, os do iOS; veja 2.5).

2.5 Notificações

Para entregar os avisos, o app usa o Firebase Cloud Messaging (FCM), serviço do Google. No iPhone, o FCM entrega os avisos pelo APNs (Apple Push Notification service), o serviço de notificações da Apple.

Identificador do Firebase: já na primeira abertura do app, antes do login e mesmo sem permissão de notificação, o Firebase cria um identificador desta instalação e um token de notificações e os registra no Google, com dados técnicos: marca e modelo do aparelho, versões do Android, do app e do Google Play services, e de onde o app foi instalado. Ao sair da conta, o token é apagado, mas o Firebase cria outro na abertura seguinte. O identificador só é apagado quando você desinstala o app ou limpa os dados dele. No iPhone, também desde a primeira abertura, o aparelho se registra no APNs e recebe da Apple um token do APNs, que o app repassa ao Firebase, e o Firebase cria o identificador e o token como no Android, com dados técnicos como o modelo do aparelho e a versão do iOS. Quando você apaga o app, o identificador e o token deixam de ser usados, mas o iOS pode manter uma cópia deles no Keychain, a área protegida do aparelho, que outros apps não leem; se você instalar o app de novo, o Firebase cria outros no lugar deles.
Registro do celular na sua conta: depois do login, o app envia ao servidor do nGuard o token, o sistema (Android), a versão do app e o modelo do aparelho. No Android 13 ou mais novo, isso só acontece se você permitir as notificações: o pedido aparece uma vez depois do login e, depois, fica em Meu usuário › Aplicativo do celular (“Ligar notificações” ou “Abrir ajustes do celular”). No Android 7 a 12 o registro é automático, a não ser que as notificações do nGuard estejam desligadas nos ajustes do Android. No iPhone, vão o token, o sistema (iOS), a versão do app e o modelo (“iPhone”), e o registro também só acontece se você permitir as notificações: o iOS pede a permissão uma vez, depois do login, e você pode mudá-la em Ajustes › Notificações › nGuard ou por Meu usuário › Aplicativo do celular. O registro se repete a cada login e sempre que você abre ou volta ao app, e guarda a data e a hora da última vez; assim, o servidor sabe quando o app foi aberto pela última vez em cada celular.
O que vai em cada aviso: o título é o nome da câmera ou do local (ou “NGuard”). O texto diz o que aconteceu, por exemplo “Tem alguém aqui agora…”, “Um carro apareceu…”, “Um animal apareceu…”, “O alarme disparou…”, “A câmera nome parou” ou “A pausa acabou — a casa voltou a ficar protegida”. Quando alguém desativa a proteção de um local, o texto é “nome de quem desativou desprotegeu a casa” para as outras pessoas que veem o local (para quem não o vê diretamente, “Alguém desprotegeu a casa”). Vão também dados internos: o tipo do aviso, os números internos do alarme, da câmera ou do local, a prioridade e o horário. Nenhuma imagem ou vídeo das câmeras vai na notificação.
Esse conteúdo sai do servidor do nGuard e passa pelo Google até chegar ao celular. A conexão é cifrada, mas o Google tem acesso ao texto para entregá-lo. No iPhone, ele passa também pela Apple (APNs), que da mesma forma tem acesso ao texto para entregá-lo. Os nomes de câmeras e de locais são escritos pela administração ou por quem instalou as câmeras e podem conter nomes de pessoas ou endereços.
Com o app fechado, o aviso é desenhado pelo Android em nome do nGuard (pelo Firebase ou pelo Google Play services); com o app aberto, o próprio app o mostra, com o mesmo conteúdo. Os avisos usam o canal “Alarmes e câmeras”. No iPhone, quem desenha o aviso é o iOS, com o app fechado e também com ele aberto, e os avisos do nGuard vão como “sensíveis ao tempo”: aparecem mesmo com um Foco ligado, e você pode desligar isso nos Ajustes do iPhone.
Tela bloqueada: o app não esconde o conteúdo dos avisos; o que aparece depende do ajuste de privacidade do seu Android. Se não quiser que o nome das câmeras apareça com o celular bloqueado, ative nos ajustes do Android a opção que oculta conteúdo sensível na tela de bloqueio. No iPhone, depende de Ajustes › Notificações › Mostrar pré-visualizações.
Suas escolhas: em Meu usuário › Aplicativo do celular você liga ou desliga “Receber avisos no celular” e os tipos de aviso (pessoa, veículo, animal, câmera parada por 5 minutos ou mais e alguém desativou a proteção de um local). As escolhas valem para todos os celulares da conta e ficam no servidor, com os ajustes de prioridade mínima e de horário de silêncio da conta. Só chegam avisos das câmeras que a sua conta pode ver. Você também pode bloquear as notificações nos ajustes do Android (no iPhone, em Ajustes › Notificações › nGuard). Recusar as notificações não impede o uso do app.
Registro de envios: o servidor guarda cada envio (data, tipo, câmera ou local, token do aparelho, sucesso ou erro) por 30 dias, para conferir se o aviso chegou.
Quando o registro do celular é apagado: ao tocar em Sair com internet (o app também pede ao Google que esqueça o token; sem internet, faz isso quando a conexão voltar), ao usar “Sair de todas as sessões”, quando a senha é trocada ou redefinida e quando a conta é excluída. Desinstalar o app, bloquear as notificações ou deixar a sessão vencer não apaga o registro na hora. Depois de desinstalar, o registro é marcado como inválido no primeiro envio que falhar e é apagado 30 dias depois. Um registro que o app não renova há 270 dias (o app renova a cada abertura) também é apagado. Com as notificações bloqueadas, o servidor continua enviando, mas o celular não mostra. Se a sessão vencer com o app fechado, os avisos podem continuar chegando até o app ser aberto de novo. Para apagar o registro na hora, toque em Sair antes. Numa conta desativada, o registro continua guardado, sem avisos, até completar 270 dias sem renovação; se a conta for reativada antes, os avisos voltam.

2.6 Localização e mapas

O app só lê a localização do celular quando você toca em “Minha localização” na janela “Marcar o ponto no mapa”. Essa janela existe no endereço de Meu usuário (para o seu próprio endereço) e, na área administrativa, nas fichas de câmeras, gravadores, Corporação e usuários.
Cada toque faz uma única leitura, com o app aberto na tela. Se a permissão ainda não tiver sido dada, o Android a pede na hora; você pode permitir só a localização aproximada (Android 12 ou mais novo), e o ponto fica menos preciso. No iPhone, o iOS pede a permissão na hora (“Permitir Uma Vez” ou “Permitir Durante o Uso do App”) e deixa você desligar a “Localização Precisa”, e aí o ponto também fica menos preciso. Não há leitura em segundo plano nem histórico de posições.
A coordenada só vai ao servidor do nGuard se você tocar em “Usar este ponto” e depois salvar; aí ela fica guardada como a posição daquele endereço, câmera, gravador ou cadastro (veja abaixo o que o serviço de mapas fica sabendo). Também dá para marcar o ponto sem a localização do celular: tocando no mapa, buscando pelo endereço ou digitando as coordenadas.
Mapas: sempre que um mapa aparece no app (aba Mapa, escolha de câmeras pelo mapa e “Marcar o ponto no mapa”), o celular baixa as imagens do mapa direto do servidor de mapas: por padrão, o do OpenStreetMap (tile.openstreetmap.org); o do Google Maps, só se a NetForce ligar essa opção no sistema. Esse serviço recebe o IP do celular, a identificação do navegador (com o modelo do aparelho) e quais pedaços do mapa foram pedidos, ou seja, a região exibida, onde ficam as câmeras. Depois de “Minha localização”, o mapa se aproxima do ponto em que você está; assim, o serviço de mapas fica sabendo, de forma aproximada (uma área de cerca de 150 metros), onde você estava, mesmo que você não salve nada.
O link “Google Maps” na janela do mapa abre o Google Maps fora do app, com as coordenadas do ponto, só se você tocar nele.

2.7 Fotos, planilhas e exportações

Foto: ao assistir uma câmera, o botão Foto salva o quadro que está na tela como imagem PNG, com o nome da câmera e a data e a hora no nome do arquivo. O app não envia essa imagem a lugar nenhum.
Planilhas (CSV): na área administrativa, listas do NOC, dos Relatórios e da Auditoria podem ser baixadas e podem conter dados pessoais, como nomes, ações e IPs.
Onde ficam: no Android 10 ou mais novo, as fotos vão para a pasta Imagens/nGuard e as planilhas para Download/nGuard. No Android 7 a 9, o app guarda o arquivo numa pasta interna e abre a tela Compartilhar do Android, para você escolher o destino. No iPhone, a Foto, as planilhas e as exportações de vídeo vão para a folha Compartilhar do iOS, onde você escolhe o destino: Salvar imagem, Salvar vídeo, Arquivos ou outro app. O app guarda o arquivo na pasta temporária dele, que o iOS limpa. Salvar nas Fotos faz o iOS pedir a permissão de só adicionar fotos (veja a seção 3.2).
Exportação de gravações: quem tem permissão pode pedir um trecho gravado de até 12 horas. O pedido exige uma finalidade (autoridade, seguradora, titular dos dados, uso interno ou divulgação pública) e aceita um detalhe livre, como o número de um ofício, e uma marca d'água opcional, gravada na imagem. O vídeo é montado no servidor e inclui o áudio da câmera, quando houver, a não ser que você desmarque “Áudio”. O arquivo fica no servidor por 48 horas e depois é apagado. O registro da exportação (nome, câmeras, período, finalidade, detalhe, marca d'água, a impressão digital SHA-256 do arquivo e quem pediu) é mantido como trilha de custódia, e o pedido e cada download ficam na auditoria.
Ao baixar uma exportação, o gerenciador de downloads do Android salva o arquivo em Download/nGuard (Android 10 ou mais novo) ou na pasta do app no armazenamento externo (Android 7 a 9) e mostra uma notificação com o nome do arquivo. O Android pode guardar esse nome e o link, que vale poucos minutos, no histórico de downloads. No iPhone, o próprio app baixa o arquivo para a pasta temporária dele e abre a folha Compartilhar, onde dá para escolher Salvar vídeo ou Arquivos.
Verificar autenticidade (área administrativa): o arquivo escolhido é lido no próprio celular, e só a impressão digital dele (SHA-256) vai ao servidor.
Na área administrativa também é possível enviar logotipos e planilhas de cadastro de câmeras, que vão para o servidor.

Atenção: Imagens/nGuard e Download/nGuard são pastas comuns do celular. Os arquivos aparecem na galeria e no app de arquivos, podem ser lidos por outros apps com acesso a fotos ou arquivos, podem entrar em backups que você tenha ligado (como o Google Fotos) e continuam no celular depois de desinstalar o nGuard. No Android 7 a 9, a pasta do app some ao desinstalar, mas, nessas versões, apps com permissão de armazenamento conseguem ler os arquivos dela. No iPhone, o que você salvar nas Fotos ou em Arquivos fica lá, mesmo depois de apagar o nGuard, e pode ir para o seu iCloud, se você o usar. Fotos e vídeos das câmeras podem mostrar outras pessoas: quem salva ou repassa esses arquivos responde pelo uso que faz deles.

O app não pede permissão de armazenamento: ele só grava os arquivos que você manda salvar. No iPhone, para salvar nas Fotos, o iOS pede a permissão de só adicionar; o app não lê a sua galeria.

2.8 Imagens e áudio das câmeras

O nGuard grava as câmeras dos locais monitorados. Por padrão, a gravação é contínua, 24 horas por dia. As imagens podem mostrar qualquer pessoa que esteja no campo de visão.
Quando a câmera tem microfone e envia áudio, o som do ambiente é gravado junto.
O vídeo vai das câmeras para o servidor do nGuard e do servidor direto para o seu celular, sem passar por serviços de terceiros. A gravação é feita no servidor; o celular só reproduz. Os únicos arquivos de imagem que o app salva nas pastas do celular são a Foto e as exportações que você pedir; o servidor pede ao WebView para não guardar o vídeo assistido, ao vivo ou gravado (veja 2.3).
Cada conta só vê as câmeras liberadas para ela, e o servidor confere essa permissão a cada pedido.
Para cada local e cada câmera, o servidor guarda o endereço e a posição no mapa (no caso de uma residência, o endereço da casa) e os contatos responsáveis cadastrados pela administração: nome, telefone, e-mail e observação (veja quem os vê na seção 6).
No Android, o app não usa a câmera nem o microfone do seu celular e não pede essas permissões. No iPhone, o iOS pede a câmera só se você escolher tirar uma foto ou gravar um vídeo num seletor de arquivos (na foto do perfil ou em Verificar autenticidade, por exemplo) e o microfone só se você gravar um vídeo num campo de arquivo que aceite vídeo (como o de Verificar autenticidade); fora isso, o app não usa a câmera nem o microfone.

2.9 Análise de vídeo

No próprio servidor do nGuard, um programa analisa as imagens para gerar os alarmes: detecta movimento, tentativas de violar a câmera e objetos como pessoas, veículos, animais, mochilas e bolsas; acompanha esses objetos entre os quadros e identifica cruzamento de linha, permanência num lugar e entrada em áreas marcadas, além de contar pessoas por zona.
Não há reconhecimento facial nem leitura de placas. O sistema não identifica quem é a pessoa.
As zonas de privacidade marcadas na câmera são cobertas antes da análise.
Para cada evento, o servidor guarda uma miniatura da imagem com a marcação do objeto detectado, pelo mesmo prazo das gravações daquela câmera (veja a seção 7).
Nenhuma imagem vai para serviços de inteligência artificial de terceiros, e as imagens não são usadas para treinar modelos.

2.10 Registros de acesso, de uso e auditoria

Para a segurança das contas e do sistema, o servidor registra automaticamente:

Sessões: a cada entrada e a cada renovação automática da sessão (ao abrir o app e a cada cerca de 10 minutos de uso), a data e a hora, o IP e a identificação do navegador do aparelho. Você vê as suas sessões ativas em Meu usuário › Acesso e segurança › Dispositivos. Cada registro é apagado 6 meses depois de substituído ou de a sessão terminar (veja a seção 7).
Auditoria: entradas e tentativas, “Sair de todas as sessões”, trocas e pedidos de senha, mudanças na verificação em duas etapas, alterações no perfil (só que houve mudança, não os valores), conexão com o Telegram, ativar e desativar a proteção de um local, reconhecimento e resolução de alarmes (com a nota), marcadores, exportações e downloads, acessos negados, as ações da administração sobre as contas e quais câmeras cada conta assistiu, ao vivo ou gravado, quando e de qual IP e aparelho (no máximo um registro por câmera e modo a cada 15 minutos). Cada linha guarda o IP e a identificação do aparelho e, conforme a ação, detalhes como o texto digitado numa entrada que falhou, o e-mail informado num pedido de nova senha, o número do chat do Telegram, a nota de um alarme ou a finalidade de uma exportação. A administração usa esses registros, inclusive para ver quem está assistindo cada câmera agora.
Eventos de entrada e saída (com o login e o IP) e de alarmes reconhecidos ou resolvidos (com o login e a nota) também entram no histórico de eventos do sistema.
Logs técnicos dos serviços: os pedidos ao servidor, com o endereço pedido e o IP (e, em alguns serviços, a identificação do navegador). Eles podem conter dados que estavam no pedido, como um CEP ou endereço pesquisado e links temporários de vídeo. Senhas e o código de acesso da sessão são retirados.

2.11 Conteúdo que você escreve

Marcadores nas gravações (título e observações), notas ao reconhecer ou resolver um alarme e o nome, a finalidade, o detalhe e a marca d'água das exportações ficam no servidor e podem ser vistos por outras contas com acesso às mesmas câmeras (veja a seção 6). Os mosaicos que você salva são só seus; a administração pode compartilhar mosaicos, e um mosaico compartilhado aparece para todas as contas, com o nome de quem o criou. Escreva nesses campos só o necessário.

2.12 E-mails e Telegram

E-mails da conta: o link de “Esqueci minha senha” e, depois de uma troca de senha feita por esse link, o aviso “Sua senha do NGuard foi trocada”. Os e-mails levam o seu nome, o login, a data, a hora e o IP de onde veio o pedido. O link vai para o e-mail da conta; nas contas de administração, para o e-mail principal do sistema. O aviso de troca vai para o e-mail da conta e, nas contas de administração, também para o e-mail principal do sistema. Eles saem pelo servidor de e-mail da própria NetForce e chegam ao provedor da sua caixa de entrada (por exemplo, Gmail ou Outlook). Não mandamos propaganda.
Telegram (opcional): em Meu usuário › Notificações, “Conectar Telegram” abre a conversa com o robô do nGuard. Quando você toca em Iniciar, o servidor guarda o número e o nome do chat (o seu @usuário ou o seu primeiro nome no Telegram). A partir daí, a cada 30 segundos, se houver novidade, o servidor manda ao Telegram um resumo com data e hora: câmera parada ou de volta, alarmes (com o nome da regra e a prioridade), falhas de gravação e, se você escolher, as tentativas de entrada que falharam com o seu nome de usuário, com o IP (as feitas pelo CPF/CNPJ não aparecem). Só entram as câmeras que a sua conta pode ver. As mensagens de confirmação e de teste levam o seu nome. Para parar, use “Desconectar” ou envie /sair ao robô.
Central da NetForce: a administração pode configurar chats do Telegram e até 50 endereços de e-mail para receber resumos dos eventos de todas as câmeras (câmera parada ou de volta, alarmes, falhas de gravação) e, se essa opção estiver ligada, das tentativas de entrada que falharam em qualquer conta, com o texto digitado no login e o IP.

2.13 O que o app não faz

Não tem ferramentas de análise de uso (como Google Analytics ou Firebase Analytics) nem de relatório de erros (como Crashlytics ou Sentry). Do Firebase, só usa o Cloud Messaging, para as notificações.
Não tem publicidade e não usa o identificador de publicidade do Android. No iPhone, não usa o identificador de publicidade (IDFA) nem pede permissão de rastreamento (ATT).
Não rastreia você em outros apps ou sites e não monta perfil de comportamento.
Não vende nem aluga dados.
Não envia dados nem imagens para serviços de inteligência artificial de terceiros.
Não usa a câmera, o microfone, os contatos, o telefone, as mensagens SMS nem o calendário do celular, não pede permissão de armazenamento e não usa a localização em segundo plano. No iPhone, as exceções são a câmera e o microfone, que o iOS pede só quando você escolhe tirar uma foto ou gravar um vídeo num seletor de arquivos, e a permissão de só adicionar às Fotos, que o iOS pede na primeira vez que você usa Salvar imagem ou Salvar vídeo; o app não lê a sua galeria (veja a seção 3.2).
Não permite criar conta.

3. Permissões do celular

3.1 Android

A lista abaixo é a do app publicado (versão 1.0.0, build 2). Você pode conferi-la na Play Store, em “Sobre este app”, e mudar as permissões nos ajustes do Android.

Permissão	Para que serve	Quando é concedida
Internet `INTERNET`	Abrir o nGuard e falar com o servidor	Na instalação
Notificações `POST_NOTIFICATIONS`	Mostrar os alarmes e avisos	Android 13 ou mais novo: o app pede uma vez, depois do login, e você pode mudar nos ajustes. Android 7 a 12: sem pedido
Biometria e digital `USE_BIOMETRIC`, `USE_FINGERPRINT`	A trava opcional por digital, rosto ou senha da tela	Na instalação; só é usada se você ligar a trava
Localização aproximada e precisa `ACCESS_COARSE_LOCATION`, `ACCESS_FINE_LOCATION`	O botão “Minha localização”, para marcar um ponto no mapa	Pedida quando você toca no botão; nunca em segundo plano
Estado da rede, manter o celular ativo e receber mensagens do Firebase `ACCESS_NETWORK_STATE`, `WAKE_LOCK`, `com.google.android.c2dm.permission.RECEIVE`	Exigidas pelo Firebase Cloud Messaging para receber as notificações	Na instalação
Permissão interna `br.com.nguard.app.DYNAMIC_RECEIVER_NOT_EXPORTED_PERMISSION`	Técnica, de uma biblioteca do Android; só o próprio app a usa, e ela não dá acesso a dados	Na instalação

No Android, o app não pede: câmera, microfone, contatos, telefone, SMS, calendário, armazenamento (fotos e arquivos), localização em segundo plano nem o identificador de publicidade.

3.2 iPhone

A lista abaixo é a do app para iPhone (versão 1.0.0, build 2). O iOS só mostra o pedido de uma permissão quando o app precisa dela, e você pode mudá-la depois nos Ajustes do iPhone.

Permissão	Para que serve	Quando é concedida
Notificações `aps-environment`	Mostrar os alarmes e avisos, entregues pelo APNs, da Apple, também com o app fechado	O registro no APNs (o token do aparelho) é automático, desde a primeira abertura, sem pedido (veja 2.5); para mostrar os avisos, o iOS pede a permissão uma vez, depois do login, e você pode mudar em Ajustes › Notificações › nGuard
Notificações em segundo plano `UIBackgroundModes: remote-notification`	Técnica: deixa o iOS acordar o app em segundo plano quando chega uma notificação silenciosa. Os avisos do nGuard aparecem sem isso, e o servidor do nGuard não manda notificações silenciosas	Vem com o app; não há pedido
Notificações sensíveis ao tempo `com.apple.developer.usernotifications.time-sensitive`	Fazer os avisos do nGuard aparecerem mesmo com um Foco ligado	Vem com a permissão de notificações; você pode desligar nos Ajustes do iPhone
Face ID e Touch ID `NSFaceIDUsageDescription`	A trava opcional por Face ID, Touch ID ou código do iPhone (o código vale se a biometria falhar, não estiver configurada ou se o Face ID não tiver permissão)	O iOS pergunta na primeira vez que o app usa o Face ID (o Touch ID não tem pedido); só é usada se você ligar a trava
Câmera `NSCameraUsageDescription`	“Tirar Foto” num seletor de arquivos do iOS, por exemplo para a foto do perfil (ou gravar um vídeo, num campo que aceite vídeo)	Pedida pelo iOS na hora em que você escolhe tirar a foto ou gravar o vídeo
Microfone `NSMicrophoneUsageDescription`	O som de um vídeo que você grave num campo de arquivo que aceite vídeo, como o de Verificar autenticidade	Pedida pelo iOS na hora em que você grava o vídeo
Localização ao usar o app `NSLocationWhenInUseUsageDescription`	O botão “Minha localização”, para marcar um ponto no mapa	Pedida quando você toca no botão (“Permitir Uma Vez” ou “Permitir Durante o Uso do App”); dá para desligar a “Localização Precisa”; nunca em segundo plano
Fotos, só adicionar `NSPhotoLibraryAddUsageDescription`	Salvar nas Fotos a imagem ou o vídeo que você mandar salvar pela folha Compartilhar; não dá acesso à sua galeria	Pedida pelo iOS na primeira vez que você usa Salvar imagem ou Salvar vídeo

No iPhone, o app não pede: contatos, calendário, leitura das suas fotos, localização em segundo plano nem permissão de rastreamento (ATT), e não usa o identificador de publicidade (IDFA).

4. Para que usamos os dados

Dado	Para quê	É obrigatório?
Login (nome de usuário ou CPF/CNPJ), senha e código de verificação	Entrar e proteger a conta	Login e senha, sim; o código, só se você ligar a verificação
Nome, e-mail, funções e câmeras da conta	Identificar a conta, liberar as câmeras certas, recuperar a senha e mandar avisos de segurança	Nome, sim; e-mail, não (sem ele não há recuperação de senha por e-mail)
Celular, foto, endereço e outros contatos do perfil	Cadastro e contato com você, e a posição do endereço no mapa	Não
Localização do celular	Marcar um ponto no mapa	Não
Identificador do Firebase, token de notificações (no iPhone, também o token do APNs), modelo do aparelho e versão do app	Entregar os avisos no celular certo	O identificador do Firebase é criado ao abrir o app; receber avisos é opcional
Preferências de aviso e conexão com o Telegram	Mandar só os avisos que você quer, pelo canal que escolher	Não
Registros de sessão, de acesso e de auditoria (inclusive câmeras assistidas), com IP e aparelho	Segurança, prevenção de fraudes e abusos, investigação de acessos indevidos, atendimento a autoridades e funções do sistema (sessões ativas, quem está assistindo)	Sim, são automáticos
Imagens e áudio das câmeras, detecções e miniaturas	A função principal: ver, gravar e analisar as câmeras para a segurança dos locais e gerar alarmes	Fazem parte do serviço
Marcadores, notas, exportações e mosaicos	Organizar e registrar o que foi visto, e entregar trechos gravados com a finalidade registrada	Não
Dados guardados só no celular (sessão, login lembrado, preferências)	Manter você conectado e lembrar as suas escolhas	A sessão, sim; o resto, não

Não usamos esses dados para publicidade, para montar perfil de comportamento, para treinar inteligência artificial nem para outras finalidades além destas.

Bases legais (LGPD, art. 7º):

Execução de contrato (inciso V), quando você é parte do contrato de monitoramento: os dados da conta e do perfil, o login, a senha e a verificação em duas etapas, as câmeras liberadas, as notificações, os recursos que você liga (localização, foto, endereço, contatos e Telegram) e os marcadores, notas, mosaicos e exportações que você faz.
Legítimo interesse (inciso IX): esses mesmos dados, quando a sua conta está ligada ao contrato de outra pessoa, como a residência, a empresa ou o condomínio, para dar a você o acesso ligado a esse contrato; e, para todas as contas, a segurança das contas, do sistema e dos locais monitorados: os registros de sessão e de auditoria (inclusive as câmeras assistidas), o identificador do Firebase criado na primeira abertura, a gravação das câmeras e a análise de vídeo de quem passa por elas.
Cumprimento de obrigação legal (inciso II): a guarda dos registros de acesso por 6 meses, exigida pelo Marco Civil da Internet (art. 15), e o atendimento a ordens de autoridades.
Exercício regular de direitos (inciso VI): a guarda da auditoria e dos registros de exportação que possam servir de prova em processos.

Os recursos opcionais (localização, foto, notificações, biometria e Telegram) podem ser recusados ou desligados quando você quiser, sem impedir o uso do restante do app. A biometria é conferida pelo próprio Android (no iPhone, pelo iOS), e o nGuard não recebe dado biométrico.

5. Com quem compartilhamos

Não vendemos dados. Além das pessoas com acesso descritas na seção 6 e dos casos listados logo abaixo da tabela (integrações configuradas pela administração, autoridades e o que você mesmo repassa), só os serviços desta tabela recebem dados do nGuard, e só o necessário para a função que prestam.

Serviço	O que recebe	Quando
Google — Firebase Cloud Messaging (privacidade)	O identificador da instalação, o token (no iPhone, também o token do APNs) e dados técnicos do aparelho (marca, modelo e versões); o título, o texto e os dados internos de cada aviso	Desde a primeira abertura do app e a cada aviso
Google — Google Play e Android (privacidade)	Os dados de instalação e de atualização pela loja. O nGuard é exibido pelo WebView do Android, um componente do Google que segue os ajustes do Google e do aparelho, como a Navegação segura e o envio de dados de uso e diagnóstico que você tiver autorizado no Android	No uso normal do celular
Apple — Apple Push Notification service (APNs), no iPhone (privacidade)	O token do APNs do aparelho; o título, o texto e os dados internos de cada aviso	No iPhone, desde a primeira abertura do app (o token) e a cada aviso
Apple — App Store e iOS (privacidade)	Os dados de instalação e de atualização pela loja. No iPhone, o nGuard é exibido pelo WKWebView, um componente da Apple que segue os ajustes do aparelho	No uso normal do iPhone
OpenStreetMap Foundation — mapas (privacidade)	O IP do celular, a identificação do navegador e a região do mapa exibida	Sempre que um mapa aparece no app (pedido feito direto pelo celular)
OpenStreetMap Foundation — Nominatim, busca de endereços	O endereço digitado (rua, número, bairro, cidade, UF e CEP), sem o seu nome	Quando um endereço é procurado no mapa (pedido feito pelo servidor do nGuard)
ViaCEP (viacep.com.br)	Só o CEP	Quando um CEP é digitado num endereço (pedido feito pelo servidor do nGuard)
Google Maps Platform	Nos mapas: o IP, a identificação do navegador e a região exibida; na busca de endereços: o endereço digitado	Só se a NetForce ligar o Google Maps no sistema; o padrão é o OpenStreetMap
Telegram (privacidade)	O texto dos avisos enviados ao chat: nomes de câmeras e de regras, horários, o seu nome nas mensagens de confirmação e de teste e, se você escolher, o IP das tentativas de entrada que falharam com o seu nome de usuário. Nos chats da central, se essa opção estiver ligada, também o texto digitado no login e o IP das tentativas que falharam, de qualquer conta	Só se você conectar o Telegram, ou para os chats da central da NetForce
O provedor de e-mail de quem recebe (por exemplo, Gmail ou Outlook)	Os e-mails da conta, enviados pelo servidor de e-mail da própria NetForce, com o seu nome, o login, a data e o IP do pedido; e os resumos da central, que podem trazer o texto digitado em entradas que falharam e o IP	Quando você pede uma nova senha ou a troca por esse link; os resumos, quando a central os manda para caixas de e-mail fora da NetForce

Links para fora: o link “Google Maps”, a página do Telegram e outros endereços externos abrem no navegador ou no app correspondente e seguem a política daquele serviço.
Integrações configuradas pela administração: uma regra de alarme pode ser configurada para avisar outro sistema (webhook), mandando os dados do alarme ao endereço escolhido. Nenhuma vem configurada por padrão.
Autoridades: entregamos dados quando há ordem judicial ou requisição de autoridade competente, nos limites da lei.
Você mesmo: os arquivos que você salva no celular e repassa seguem as regras do app ou do serviço para onde você os enviar.

Responsabilidades: a NetForce é a controladora: decide como os dados das contas, os registros e as imagens são tratados no nGuard e responde por isso. No Firebase Cloud Messaging, o Google trata os dados por conta da NetForce, só para entregar os avisos; no iPhone, o mesmo vale para a Apple, no APNs. Os demais serviços da tabela (Google Play e Android, App Store e iOS, OpenStreetMap, ViaCEP, Google Maps Platform, Telegram e os provedores de e-mail) prestam a função descrita conforme as próprias políticas de privacidade e respondem pelo que fazem com os dados. Todos os serviços da tabela, menos o provedor de e-mail (que é o da caixa de entrada de quem recebe a mensagem, escolhido por essa pessoa), dão aos dados que recebem proteção igual ou equivalente à descrita nesta política e à exigida pela LGPD. Quem aparece nas imagens das câmeras, mesmo sem ter conta, pode exercer os seus direitos sobre elas pelo e-mail contato@nguard.com.br, informando o local, a data e o horário.

Transferência internacional: o Google (inclusive a Google Maps Platform, se a NetForce a ligar), a Apple (no iPhone), a OpenStreetMap Foundation e o Telegram podem tratar dados em servidores fora do Brasil, nos países indicados nas políticas de cada um. Isso acontece só para prestar as funções descritas acima (notificações, mapas, busca de endereços e avisos pelo Telegram), conforme o art. 33 da LGPD.

6. Quem vê os seus dados no nGuard

Você: o seu perfil, as permissões e os grupos de acesso da sua conta e as suas sessões ativas (aparelho, IP e horário da última renovação, e validade).
A administração do nGuard (a equipe autorizada da NetForce e quem receber dela uma função de administração): a ficha das contas (nome, login, e-mail, CPF/CNPJ, celular, foto, endereço com a posição e contatos), a auditoria com IP, os eventos de entrada com IP, quem está assistindo cada câmera agora e quantas sessões estão abertas por tipo de aparelho. Esses dados são usados para administrar o serviço, dar suporte e investigar problemas de segurança.
Outras contas com acesso às mesmas câmeras ou ao mesmo local (por exemplo, pessoas da mesma casa ou empresa, ou clientes do mesmo grupo de acesso) podem ver: o seu nome, quando você desativa a proteção de um local (no aviso e no histórico); quem reconheceu um alarme e a nota; os seus marcadores; e as exportações dessas câmeras (nome, período, finalidade, detalhe e quem pediu), que elas também podem baixar enquanto o arquivo existir, se tiverem permissão de exportar.
Contatos responsáveis por uma câmera: o nome, o telefone, o e-mail e a observação cadastrados para uma câmera podem ser vistos por quem tem acesso a ela.
Dados técnicos das câmeras (endereço de rede, portas, número de série, fabricante, modelo, firmware e o endereço do vídeo na câmera): só quem tem permissão para configurar a câmera. As outras contas com acesso a ela recebem a câmera sem esses dados, inclusive nos avisos de câmera parada e nos alarmes.

7. Por quanto tempo guardamos

Alguns dados têm prazo automático; outros ficam enquanto a conta existir; e alguns ficam por tempo indeterminado, porque hoje o sistema não tem prazo de exclusão para eles. A tabela mostra como é de fato. Você pode pedir a exclusão a qualquer momento (seção 8).

Dado	Por quanto tempo
Conta e perfil (nome, login, CPF/CNPJ, e-mail, celular, foto, endereço, contatos, etiquetas da ficha e preferências)	Enquanto a conta existir. Uma conta desativada guarda os dados até ser excluída. O que você apaga ou muda sai do sistema na hora, mas continua nas cópias de segurança por até 7 dias.
Sessões e o histórico de cada uma (data, IP e aparelho de cada entrada e renovação)	Cada registro de entrada e de renovação fica 6 meses depois de substituído ou de a sessão terminar (ao sair, vencer ou ser encerrada), como registro de acesso (Marco Civil da Internet, Lei 12.965/2014); todos saem antes se a conta for excluída. A sessão vence depois de 30 dias sem uso, e o código de acesso vale 10 minutos.
Pedidos de nova senha (e-mail de destino, IP e aparelho)	O link vale 30 minutos; o registro do pedido é apagado 30 dias depois (ou antes, com a conta).
Auditoria (entradas e tentativas, ações e câmeras assistidas), com o IP e o aparelho e, conforme o registro, o login ou o nome, o texto digitado em entradas que falharam, o e-mail ou o CPF/CNPJ informado em pedidos de nova senha, os e-mails que receberam avisos de senha, o número do chat do Telegram, notas de alarmes, títulos de marcadores e o nome, a finalidade e o detalhe de exportações	1 ano, o que cobre os 6 meses que o Marco Civil da Internet (Lei 12.965/2014) exige para os registros de acesso. A limpeza é feita em blocos semanais, então um registro fica de 1 ano a 1 ano e 7 dias. Os registros continuam depois da exclusão da conta, até completarem o prazo.
Eventos do sistema com o seu login: entradas e saídas (com o IP) e alarmes reconhecidos ou resolvidos (com a nota)	90 dias. Uma fila técnica do sistema também guarda os eventos mais recentes; ela é limitada por quantidade, não por tempo, e por isso uma cópia pode durar mais.
Registro do celular para notificações	Até você tocar em Sair com internet, usar “Sair de todas as sessões”, trocar ou redefinir a senha ou a conta ser excluída. Nos outros casos (desinstalar o app, sessão vencida ou encerrada de outro jeito, Sair sem internet), fica até o primeiro envio que falhar e, marcado como inválido, é apagado 30 dias depois. Um registro que o app não renova há 270 dias também é apagado. Numa conta desativada, continua guardado, sem envios, até completar os 270 dias.
Registro de envios de notificações	30 dias. Se a conta for excluída antes, o registro fica sem o vínculo com ela (o token do aparelho continua nele) até completar os 30 dias.
Preferências de aviso	Enquanto a conta existir.
Telegram	O número e o nome do chat ficam na conta até você desconectar; o número também fica no registro de auditoria da conexão, pelo prazo da auditoria (1 ano). A lista de avisos escolhidos fica enquanto a conta existir.
Gravações das câmeras (com áudio, quando houver)	O prazo de cada câmera: 14 dias por padrão; a administração pode ajustar de 1 a 3.650 dias. Se o espaço acabar, as gravações mais antigas podem ser apagadas antes. Trechos travados como prova ficam até serem liberados. As gravações de uma câmera excluída sem apagar as gravações deixam de seguir esse prazo e ficam até faltar espaço ou a administração apagá-las.
Detecções da análise de vídeo	30 dias. As contagens por hora, que não têm dado pessoal, ficam 180 dias.
Miniaturas dos eventos	O prazo das gravações da câmera (14 dias por padrão). A limpeza apaga um dia inteiro de cada vez, depois que o dia todo passou do prazo, então uma miniatura pode durar até um dia a mais. São apagadas quando a câmera é excluída junto com as gravações; numa câmera excluída sem apagar as gravações, o prazo passa a ser de 48 horas.
Alarmes (com as notas e quem os reconheceu), marcadores e histórico de ativar e desativar a proteção	Por tempo indeterminado: hoje não há prazo de exclusão.
Exportações	O arquivo, 48 horas no servidor. O registro (quem pediu, câmeras, período, finalidade, detalhe e SHA-256) é mantido como trilha de custódia, por tempo indeterminado.
Logs técnicos dos serviços	Substituídos automaticamente conforme o volume (até 5 arquivos de 20 MB por serviço); o tempo que isso cobre depende do uso.
Cópias de segurança do banco do sistema	7 dias, no próprio servidor da NetForce.
No seu celular	A sessão, até você tocar em Sair. O login lembrado, até você desmarcar a opção. As preferências e o identificador do Firebase, até você limpar os dados ou desinstalar o app. O cache do WebView, até o próprio WebView substituí-lo ou até você limpar os dados ou desinstalar o app. Os arquivos em Imagens/nGuard e Download/nGuard, até você apagá-los, mesmo depois de desinstalar. No iPhone, em vez de limpar os dados ou desinstalar, vale apagar o app, que remove o que ele guarda no aparelho, menos a cópia do identificador e do token do Firebase que o iOS pode manter no Keychain (veja 2.5); os arquivos que passaram pela folha Compartilhar ficam na pasta temporária do app até o iOS limpá-la, e o que você salvou nas Fotos ou em Arquivos, até você apagar por lá.
No Google, no Telegram e nos outros serviços da seção 5	Conforme a política de cada um.

8. Exclusão da conta e dos dados

Esta seção explica como pedir a exclusão da sua conta do nGuard e dos dados ligados a ela. O pedido é atendido pela NETFORCE SERVIÇOS, COMÉRCIO E TELECOMUNICAÇÕES LTDA (NetForce), responsável pelo app e pelo sistema. Como o app não tem cadastro, a conta é excluída pela NetForce, a seu pedido, e não por um botão no app.

Como pedir

Envie um e-mail para contato@nguard.com.br com o assunto “Exclusão de conta nGuard”.
Informe o seu nome e o login que você usa no app (nome de usuário ou CPF/CNPJ). Se puder, escreva do e-mail cadastrado na conta.
Diga se quer excluir a conta inteira ou só alguns dados (por exemplo, a foto, o endereço ou o registro de um celular).
Para proteger você, podemos pedir uma confirmação de que a conta é sua antes de excluir. Respondemos pelo mesmo e-mail em até 15 dias e avisamos quando a exclusão estiver concluída. O pedido é gratuito.

O que você mesmo pode apagar, sem pedir

A foto (Meu usuário › Remover) e os dados opcionais do perfil (celular, endereço e outros contatos).
O registro deste celular para notificações e a sessão dele: toque em Sair, com internet. De todos os celulares da conta, junto com todas as sessões: Meu usuário › Acesso e segurança › Dispositivos › Sair de todas as sessões.
A conexão com o Telegram: Meu usuário › Notificações › Desconectar, ou /sair no robô (o número do chat continua no registro de auditoria da conexão).
O login lembrado: desmarque “Lembrar login” e entre de novo.
Tudo o que o app guarda no celular, inclusive o identificador do Firebase: desinstale o app ou limpe os dados dele nos ajustes do Android. Fotos e arquivos em Imagens/nGuard e Download/nGuard você apaga pela galeria ou pelo app de arquivos. No iPhone, apagar o app remove o que ele guarda no aparelho, menos a cópia do identificador e do token do Firebase que o iOS pode manter no Keychain, sem uso (veja 2.5); o que estiver nas Fotos ou em Arquivos você apaga por lá.

O que é excluído com a conta

Da ficha da conta: login, nome, e-mail, CPF/CNPJ, as etiquetas, a senha guardada (hash) e a verificação em duas etapas.
O perfil: celular, foto, endereço e posição, outros contatos, idioma e tema.
As sessões e o histórico de IP e aparelho de cada uma.
Os celulares registrados para notificações e as preferências de aviso.
A conexão com o Telegram.
Os pedidos de nova senha.
As funções da conta, a participação em grupos de acesso, as câmeras liberadas individualmente para ela e os mosaicos e favoritos da conta.

Cópias de parte desses dados continuam em registros que ficam guardados, como a auditoria e o histórico de eventos (veja a tabela abaixo), e nas cópias de segurança por até 7 dias.

O que continua guardado, e por quanto tempo

O que fica	Por quê	Por quanto tempo
Registros de auditoria (entradas e tentativas, ações e câmeras assistidas), com o IP e o aparelho e, conforme o registro: o login ou o nome; o texto digitado em entradas que falharam (CPF mascarado, CNPJ inteiro, outros textos como foram digitados); o e-mail, o login ou o CPF/CNPJ informado em pedidos de nova senha; os e-mails que receberam avisos de senha; o número do chat do Telegram; notas e resoluções de alarmes; títulos de marcadores; e o nome, a finalidade e o detalhe de exportações. A própria exclusão também é registrada, com o login	Segurança, cumprimento da lei e defesa de direitos	1 ano (até 1 ano e 7 dias), o que cobre os 6 meses que o Marco Civil da Internet exige para os registros de acesso. Se você pedir, apagamos ou tornamos anônimo antes o que não precisarmos guardar por lei ou para a defesa de direitos.
Eventos do sistema com o seu login: entradas e saídas (com o IP) e alarmes que você reconheceu ou resolveu (com a nota)	Histórico de segurança do sistema	Até 90 dias; uma cópia na fila técnica do sistema, limitada por quantidade e não por tempo, pode durar mais
Alarmes que você reconheceu ou resolveu (com a nota), marcadores, histórico de ativar e desativar a proteção e registros de exportação	Fazem parte do histórico das câmeras e dos locais; as exportações, da trilha de custódia	Deixam de apontar para a conta, mas o conteúdo, inclusive o que você escreveu, fica por tempo indeterminado (hoje não há prazo de exclusão). Se você pedir, apagamos ou tornamos anônimo o que você escreveu (notas e marcadores); o registro de exportação pode ser mantido enquanto servir de prova (trilha de custódia).
Registro de envios de notificações	Diagnóstico das entregas	Fica sem o vínculo com a conta, com o token do aparelho, até completar 30 dias do envio; apagamos antes, a pedido
Se você também for contato responsável de uma câmera: o nome, o telefone, o e-mail e a observação cadastrados nela	Fazem parte do cadastro da câmera, não da conta	Enquanto a câmera existir; removemos a pedido
Gravações das câmeras (com áudio, quando houver)	São dos locais monitorados, não da conta	O prazo de cada câmera: 14 dias por padrão (a administração pode ajustar de 1 a 3.650 dias). Trechos travados como prova ficam até serem liberados
Miniaturas dos eventos da análise de vídeo	São dos locais monitorados, não da conta	O prazo das gravações da câmera (14 dias por padrão), com até um dia a mais; são apagadas antes quando a câmera é excluída junto com as gravações dela
Cópias de segurança do banco do sistema	Recuperação em caso de falha	Até 7 dias
Logs técnicos dos serviços	Funcionamento e segurança	Até serem substituídos pela rotação automática
Fora do servidor: o identificador do Firebase no celular, os e-mails e as mensagens do Telegram que você já recebeu e os arquivos salvos no celular	Estão no seu aparelho (no iPhone, o que você salvou nas Fotos ou em Arquivos pode estar também no seu iCloud) ou nas suas contas de e-mail e de Telegram	Até você apagá-los; o identificador do Firebase some ao desinstalar o app ou limpar os dados dele (no iPhone, ao apagar o app ele deixa de ser usado, mas o iOS pode manter uma cópia no Keychain; no Google, conforme a política do Firebase)

Se houver obrigação legal, ordem de autoridade ou investigação em andamento, alguns dados podem ser guardados por mais tempo; nesse caso, informamos o motivo.

9. Segurança

Toda a comunicação entre o app e o servidor do nGuard é criptografada (HTTPS/TLS), e o servidor exige conexão segura (HSTS). O app não aceita conexão sem criptografia nem conteúdo misto. O vídeo ao vivo vai do servidor ao celular por WebRTC cifrado (DTLS-SRTP), sem servidores intermediários de terceiros.
O trajeto entre as câmeras e o servidor usa os protocolos das próprias câmeras (RTSP e RTMP), sem criptografia; a proteção desse trecho depende da rede de cada local.
A senha fica no servidor só como hash Argon2id, e o app não a guarda. O segredo da verificação em duas etapas fica cifrado (AES-256-GCM).
Depois de 5 erros seguidos, a conta é bloqueada por um tempo que começa em 30 segundos e dobra a cada erro, até 1 hora; cada IP pode fazer até 20 tentativas de entrada por minuto.
O código de acesso vale 10 minutos e fica só na memória. O código de renovação fica no armazenamento interno do app, fora do backup, e o servidor guarda só uma versão embaralhada (hash) dele. Cada renovação troca o código; usar de novo um código já trocado (passados 20 segundos da troca, uma tolerância para abas abertas ao mesmo tempo) ou renovar a partir de outro aparelho ou navegador encerra a sessão.
As permissões são conferidas no servidor a cada pedido: uma câmera que a sua conta não pode ver não é entregue ao seu celular. Os links de vídeo, de miniaturas e de download valem por pouco tempo: por padrão, de 2 a 15 minutos, conforme o tipo.
A versão da loja não permite inspecionar o conteúdo do app com ferramentas de depuração.

Se perder o celular ou suspeitar de acesso indevido: em outro aparelho, use Meu usuário › Acesso e segurança › Dispositivos › Sair de todas as sessões, que também desliga as notificações em todos os celulares da conta, e troque a senha em Meu usuário › Acesso e segurança › Alterar senha (a troca também encerra todas as sessões). Se não conseguir entrar, escreva para contato@nguard.com.br. Recomendamos uma senha longa, que você não use em outros serviços, e a verificação em duas etapas ligada.

Nenhum sistema é invulnerável. Se houver um incidente de segurança que possa causar risco ou dano relevante a você, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), como manda a LGPD.

10. Seus direitos

A LGPD garante a você, entre outros, o direito de:

confirmar se tratamos os seus dados e ter acesso a eles;
corrigir dados incompletos, inexatos ou desatualizados;
pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
pedir a portabilidade dos dados;
pedir a eliminação dos dados tratados com o seu consentimento;
saber com quem compartilhamos os dados;
ser informado sobre a possibilidade de não dar consentimento e sobre as consequências disso, e revogar o consentimento quando ele for a base do tratamento;
opor-se a um tratamento feito em desacordo com a lei.

Como exercer: boa parte você faz no próprio app, em Meu usuário (ver e corrigir o perfil, remover a foto, encerrar sessões, desligar as notificações e o Telegram). Para o resto, escreva para contato@nguard.com.br. O atendimento é gratuito, e respondemos em até 15 dias. Podemos pedir que você confirme a sua identidade, para não entregar dados à pessoa errada.

Um limite importante: imagens de câmeras de segurança fazem parte da segurança do local monitorado. Pode haver casos em que a eliminação imediata não é possível, por exemplo quando as imagens são prova numa investigação ou há obrigação legal de guarda. Nesses casos, explicaremos o motivo e a base legal.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em www.gov.br/anpd.

11. Crianças e adolescentes

O nGuard não é dirigido a crianças nem a adolescentes. É uma ferramenta de monitoramento de segurança para adultos (18 anos ou mais), com contas criadas pela administração. Não criamos contas para menores de forma consciente, e o app não tem recursos sociais, conversas nem conteúdo público. Se você souber de uma conta criada para um menor por engano, escreva para contato@nguard.com.br para que a excluamos.

As câmeras podem filmar qualquer pessoa no local, inclusive crianças. Essas imagens seguem as mesmas regras e prazos das demais gravações e só são tratadas para a segurança do local.

12. Contato e encarregado

Controladora: NETFORCE SERVIÇOS, COMÉRCIO E TELECOMUNICAÇÕES LTDA — CNPJ 07.200.797/0001-10
Endereço: Av. Monteiro Lobato, 1868, Sala B, Vila Virgínia, Ribeirão Preto/SP, CEP 14030-520
E-mail: contato@nguard.com.br
Encarregado pelo tratamento de dados pessoais (DPO): atendimento pelo e-mail contato@nguard.com.br

13. Mudanças nesta política

Cada nova versão será publicada em https://nguard.com.br/privacy, com a data de vigência e o número da versão, antes de entrar em vigor. Quando a mudança for relevante, como um dado novo, um novo serviço de terceiros ou um novo uso dos dados, avisaremos também pelo e-mail cadastrado na conta, quando houver. O link para esta política fica na tela de entrada do app.

English translation, provided for convenience. If the two versions differ, the Brazilian Portuguese version prevails.

In short

nGuard is the app, for Android and iPhone, of the nGuard camera-monitoring system, operated by NetForce. The app opens the system at https://nguard.com.br, and the data stays on NetForce’s own server.
Only people with an account created by the nGuard administration can sign in. Accounts cannot be created in the app.
We process your account and profile data, access and usage records (including which cameras you watched) and the images and audio of the cameras at the monitored places.
Some processing is a condition for using the app: the record of sign-ins and sessions, with IP address and device; the audit log of what the account does, including which cameras it watched; and the Firebase identifier, created the first time the app opens. Your rights, and how to exercise them, are in section 10.
We use Google’s Firebase Cloud Messaging (on iPhone, together with APNs, Apple’s notification service) to deliver notifications and OpenStreetMap to draw maps. We use no usage analytics, advertising, tracking or third-party artificial intelligence, and we do not sell data.
The phone’s location is read only when you tap “My location”, never in the background.
On Android 10 or later, photos and files you save through the app go to ordinary phone folders (Pictures/nGuard and Download/nGuard), which other apps can see and which stay when you uninstall nGuard. On iPhone, they go to the iOS share sheet; what you save to Photos or Files stays there and may go to your iCloud.
To request deletion of your account and data, see section 8. Account and data deletion.

1. Who we are and what this policy covers

nGuard is the Android and iPhone app of the nGuard camera-monitoring system. The app opens the system itself, at https://nguard.com.br, in an Android component called WebView, and adds phone features: notifications, biometric unlock and a location button for marking points on the map. On iPhone, the app opens the system at https://nguard.com.br/m/cameras in WKWebView, Apple’s WebKit component, with the same features, and links outside nGuard leave the app: they open in the iPhone’s default browser (Safari, unless you changed it) or, when an installed app handles that link, in that app (for example Telegram, Phone or Mail).

Data controller: NETFORCE SERVIÇOS, COMÉRCIO E TELECOMUNICAÇÕES LTDA, CNPJ 07.200.797/0001-10, hereafter “NetForce” or “we”. NetForce operates nGuard, runs the server where the data is kept and creates the user accounts. Under Brazil’s General Data Protection Law (LGPD, Law 13,709/2018), it is the controller of the personal data processed by the app and the system.
Where the data is: accounts, video, recordings and records are kept on NetForce’s own server at nguard.com.br, not in a third-party cloud. The outside services that receive any data are listed in section 5.
Who uses it: people with an nGuard account, such as customers, members of the monitored household or company, and NetForce staff. Accounts are created by the nGuard administration; there is no sign-up in the app.
What this version covers: the nGuard 1.0.0 app for Android 7.0 or later (build 2) and for iPhone with iOS 15 or later (build 2), and the processing, on the nGuard server, of the data of the accounts used in it. The same system can also be opened in a web browser; the data kept on the server is the same.

Cameras are installed at the monitored places (homes, companies, condominiums) and may film anyone who passes them, including people who do not use the app. This policy also explains how those images are handled.

2. Data we process

2.1 Account and sign-in

The nGuard administration creates your account with: name, login (username), CPF or CNPJ (Brazilian individual or company taxpayer number; optional, also used to sign in), e-mail (optional), the account’s roles and the cameras it may view. In the account record, the administration can also add up to 20 tags (the “Marcadores”), which only it can change. The initial password is set by the administration or created by you through “First access / Forgot my password”.
To sign in, you type your username or your CPF/CNPJ in the “Login (CPF/CNPJ)” field, your password and, if you turned on two-step verification, the 6-digit code from your authenticator app. All of this goes only to the nGuard server, over an encrypted connection.
The app does not store your password. The server keeps only a scrambled, irreversible version of it (a hash). Android may offer to save the login and password in the phone’s password manager; that is a system feature, and saving them is your choice. On iPhone, the system may offer passwords saved in the Passwords app (iOS 18 or later; before that, in Settings › Passwords) or in iCloud Keychain; that is also a system feature, and using them is your choice.
Two-step verification (optional, turned on by you in My user › Access and security › Two-factor authentication): the authenticator secret and the recovery codes are stored encrypted on the server. The QR code is generated on the phone itself, without any outside service.
Every sign-in attempt is recorded with date and time, IP address, the identification of the device’s browser (the User-Agent, which includes the phone model and Android version; on iPhone, “iPhone” and the iOS version) and the result. When an attempt fails, the text typed in the login field is also recorded: a valid CPF is masked; a CNPJ, being a company number, is kept in full; any other text is kept as typed. So never type your password in the login field.
After 5 consecutive errors (password or code), the account is locked for a period that starts at 30 seconds and doubles with each new error, up to 1 hour.
“First access / Forgot my password”: you enter your login, e-mail or CPF/CNPJ. If the account exists and has an e-mail address, we send a link valid for 30 minutes and for a single use (see 2.12). The request is recorded with the destination e-mail, the IP address and the device it came from, and what you typed (the e-mail, the login, the masked CPF or the CNPJ) goes into the audit log even when no account matches it.

2.2 Profile (My user)

In My user you can fill in or change: name (required), e-mail, mobile number, photo, address (postcode/CEP, street, number, complement, neighbourhood, city, state and the position on the map) and up to 10 other contacts (number and description). The language and theme you choose while signed in are also stored in the account. Only the administration can change the login and the CPF/CNPJ. All of this is stored on the server, linked to your account. The audit log records that the profile changed, but not the values.

Photo: you pick an image through Android’s file picker. The app receives only the chosen image, with no access to your gallery or camera. Before sending it, the phone itself crops and shrinks the image to 192 × 192 pixels and creates a new file without the original’s metadata (such as date, device and GPS location). “Remove” deletes the photo from the account. On iPhone, the iOS file picker offers Photo Library, Take Photo or Files. Photo Library uses the system’s own picker: the app receives only the chosen photo, with no access to your library. “Take Photo” makes iOS ask, right then, for camera permission (see section 3.2). The reduction to 192 × 192 pixels, without metadata, is the same, done by the site on the phone itself.
Postcode and address: when you type a CEP or search for the address on the map, the app asks the nGuard server to look it up in ViaCEP (only the CEP) or in OpenStreetMap’s Nominatim (the address typed, without your name); if NetForce turns Google Maps on, the address may also go to Google. The lookup is made by the server, never by your phone. When the map window opens with no point marked, this search for the address already filled in runs by itself.
The administration can also fill in and change these data in your account record.

2.3 What is stored on the phone

In the app’s internal storage, an Android area that other apps cannot read, the app keeps:

The session: a renewal code that keeps you signed in without asking for the password every time. The access code used in each request lasts 10 minutes and is kept in memory only. These codes have no encryption of the app’s own: protection comes from Android’s isolation between apps (on iPhone, from the same isolation in iOS).
Your login, only if you tick “Remember login” (off by default): the app keeps the text typed in the login field (username or CPF/CNPJ), which then appears pre-filled for anyone who opens the app. The password is never stored.
Preferences and screen state: language, theme, sign-in background, the last camera opened, screen selections and filters, the internal number of the last account that signed in, whether the biometric lock is on, and the state of permissions.
The Firebase identifier and the notification token (see 2.5).
The WebView cache: temporary copies of the fixed parts of the site (the screens, the app’s code, the fonts) and of the OpenStreetMap maps. The server asks the WebView not to keep video, live or recorded, exports, camera snapshots or responses with account data.

The account data the app receives at sign-in (profile, permissions) is kept in memory and discarded when you sign out; the app does not write it to storage, and the server asks the WebView not to keep the responses that carry it. The app turns off Android’s automatic backup and transfer to a new phone: nothing in this list goes to Google Drive or to another device, and on a new phone you sign in again with your password. Files you save in Pictures and Download are outside this rule (see 2.7).

On iPhone: the session (the renewal code), the remembered login and the preferences are kept in the site’s storage inside the app (the Library/WebKit folder). When it opens, the app marks the folders of that storage (Library/WebKit and Library/Cookies) as excluded from backup: they do not go into iCloud backups or computer backups, and on a new iPhone you sign in again with your password. In the app’s settings (UserDefaults), nGuard keeps only a yes/no: whether biometrics are on. What you save to Photos or Files is outside this rule (see 2.7).

What “Sign out” does: the app removes this phone from notifications (see 2.5), ends the session on the server and deletes the stored session from the phone. The remembered login and the screen preferences stay on the phone; to delete the remembered login, untick “Remember login” and sign in again. Without an internet connection, the session leaves the phone at once, but the server only treats it as ended when it expires (up to 30 days); to end it later, use, from any device, My user › Access and security › Devices › Sign out everywhere.

Uninstalling the app or clearing its data in Android settings deletes everything in this section. On iPhone, deleting the app removes what it keeps on the device, except the copy of the Firebase identifier and token that iOS may keep in the Keychain (see 2.5).

2.4 Biometrics

Optional and for this phone only: My user › Mobile app › “Ask for fingerprint or face when opening the app”.
Android itself does the check, with your fingerprint, face or screen PIN, pattern or password. The app never receives your fingerprint, face or PIN: it only gets “confirmed” or “not confirmed”. Nothing about biometrics goes to the server or to third parties. On iPhone, iOS itself does the check, with Face ID, Touch ID or the iPhone passcode: iOS offers the passcode if biometrics fail and asks only for the passcode on an iPhone with no Face ID or Touch ID set up, or where nGuard is not allowed to use Face ID. The app likewise only gets “confirmed” or “not confirmed”, and nothing goes to the server or to third parties.
With the lock on, the app asks for confirmation when it opens and when you return after 1 minute away, covers the screen when you leave it and blanks its thumbnail in the recent-apps list. On Android 7 to 12 the lock also blocks screenshots and screen recordings of the app; on Android 13 or later, screenshots remain possible. On iPhone, with the lock on, the app puts a navy-blue cover over the screen when it leaves the foreground (its thumbnail in the app switcher is covered) and, when it goes to the background, closes the share sheet or anything else open over the page; screenshots and screen recordings are not blocked. The lock screen shows your account name.
The lock does not hide notifications: the alert text keeps appearing according to your Android settings (on iPhone, your iOS settings; see 2.5).

2.5 Notifications

To deliver alerts, the app uses Firebase Cloud Messaging (FCM), a Google service. On iPhone, FCM delivers the alerts through APNs (Apple Push Notification service), Apple’s notification service.

Firebase identifier: from the first time the app opens, before sign-in and even without notification permission, Firebase creates an identifier for this installation and a notification token and registers them with Google, together with technical data: device brand and model, the versions of Android, the app and Google Play services, and where the app was installed from. When you sign out, the token is deleted, but Firebase creates a new one the next time the app opens. The identifier is only deleted when you uninstall the app or clear its data. On iPhone, also from the first time the app opens, the device registers with APNs and gets an APNs token from Apple, which the app passes on to Firebase, and Firebase creates the identifier and the token as on Android, with technical data such as the device model and the iOS version. When you delete the app, the identifier and the token are no longer used, but iOS may keep a copy of them in the Keychain, the device’s protected storage, which other apps cannot read; if you install the app again, Firebase creates new ones in their place.
Registering the phone in your account: after sign-in, the app sends the nGuard server the token, the system (Android), the app version and the device model. On Android 13 or later this only happens if you allow notifications: the request appears once after sign-in and is then available in My user › Mobile app (“Turn on notifications” or “Open phone settings”). On Android 7 to 12 the registration is automatic, unless nGuard notifications are turned off in Android settings. On iPhone, it sends the token, the system (iOS), the app version and the model (“iPhone”), and the registration also only happens if you allow notifications: iOS asks for permission once, after sign-in, and you can change it in Settings › Notifications › nGuard or through My user › Mobile app. The registration is repeated at every sign-in and whenever you open or return to the app, and it stores the date and time of the last one; so the server knows when the app was last opened on each phone.
What each alert contains: the title is the name of the camera or site (or “NGuard”). The text, in Portuguese, says what happened, for example “Tem alguém aqui agora…” (someone is here now), “Um carro apareceu…” (a car appeared), “Um animal apareceu…” (an animal appeared), “O alarme disparou…” (the alarm went off), “A câmera name parou” (camera name stopped) or “A pausa acabou — a casa voltou a ficar protegida” (the pause is over; the home is protected again). When someone turns off a site’s protection, the text is “name of that person desprotegeu a casa” (turned off the home’s protection) for the other people who see the site (for those who do not see it directly, “Alguém desprotegeu a casa”, someone turned off the home’s protection). Internal data also goes along: the alert type, the internal numbers of the alarm, camera or site, the priority and the time. No camera image or video goes in the notification.
This content leaves the nGuard server and passes through Google to reach the phone. The connection is encrypted, but Google has access to the text in order to deliver it. On iPhone, it also passes through Apple (APNs), which likewise has access to the text in order to deliver it. Camera and site names are written by the administration or by whoever installed the cameras and may contain people’s names or addresses.
With the app closed, the alert is drawn by Android on nGuard’s behalf (by Firebase or by Google Play services); with the app open, the app itself shows it, with the same content. Alerts use the “Alarmes e câmeras” (alarms and cameras) channel. On iPhone, iOS draws the alert, with the app closed and also with it open, and nGuard alerts are sent as “time-sensitive”: they appear even with a Focus on, and you can turn this off in the iPhone’s Settings.
Lock screen: the app does not hide alert content; what appears depends on your Android privacy setting. If you do not want camera names to appear while the phone is locked, turn on Android’s option that hides sensitive content on the lock screen. On iPhone, it depends on Settings › Notifications › Show Previews.
Your choices: in My user › Mobile app you turn “Get alerts on the phone” and the alert types (person, vehicle, animal, camera stopped for 5 minutes or more, and someone turned off a site’s protection) on or off. The choices apply to every phone on the account and are stored on the server, together with the account’s minimum-priority and quiet-hours settings. You only get alerts from cameras your account can see. You can also block notifications in Android settings (on iPhone, in Settings › Notifications › nGuard). Declining notifications does not stop you from using the app.
Delivery log: the server records every delivery (date, type, camera or site, device token, success or error) for 30 days, to check whether the alert arrived.
When the phone’s registration is deleted: when you tap Sign out with an internet connection (the app also asks Google to forget the token; without a connection, it does so when the connection returns), when you use “Sign out everywhere”, when the password is changed or reset, and when the account is deleted. Uninstalling the app, blocking notifications or letting the session expire does not delete the registration right away. After uninstalling, the registration is marked invalid at the first failed delivery and is deleted 30 days later. A registration the app has not renewed for 270 days (the app renews it every time it opens) is also deleted. With notifications blocked, the server keeps sending, but the phone does not show them. If the session expires while the app is closed, alerts may keep arriving until the app is opened again. To delete the registration right away, tap Sign out first. On a deactivated account, the registration stays stored, with no alerts, until it reaches 270 days without renewal; if the account is reactivated before that, alerts resume.

2.6 Location and maps

The app reads the phone’s location only when you tap “My location” in the “Mark the spot on the map” window. That window exists in the address part of My user (for your own address) and, in the administration area, in the records of cameras, recorders, the Corporation and users.
Each tap takes a single reading, with the app open on screen. If permission has not been given yet, Android asks for it right then; you can allow approximate location only (Android 12 or later), and the point will be less precise. On iPhone, iOS asks for permission right then (“Allow Once” or “Allow While Using App”) and lets you turn off “Precise Location”, which also makes the point less precise. There is no background reading and no location history.
The coordinates go to the nGuard server only if you tap “Use this point” and then save; they are then stored as the position of that address, camera, recorder or record (see below what the map service learns). You can also mark the point without the phone’s location: by tapping the map, searching by address or typing the coordinates.
Maps: whenever a map appears in the app (the Map tab, choosing cameras on the map and “Mark the spot on the map”), the phone downloads the map images directly from the map server: by default OpenStreetMap’s (tile.openstreetmap.org); Google Maps’, only if NetForce turns that option on in the system. That service receives the phone’s IP address, the browser identification (with the device model) and which pieces of the map were requested, that is, the area shown, where the cameras are. After “My location”, the map zooms in on where you are, so the map service learns roughly (an area of about 150 metres) where you were, even if you save nothing.
The “Google Maps” link in the map window opens Google Maps outside the app, with the point’s coordinates, only if you tap it.

2.7 Photos, spreadsheets and exports

Photo: while you watch a camera, the Photo button saves the frame on screen as a PNG image, with the camera name and the date and time in the file name. The app does not send this image anywhere.
Spreadsheets (CSV): in the administration area, lists from the NOC, Reports and Audit screens can be downloaded and may contain personal data, such as names, actions and IP addresses.
Where they go: on Android 10 or later, photos go to the Pictures/nGuard folder and spreadsheets to Download/nGuard. On Android 7 to 9, the app keeps the file in an internal folder and opens Android’s Share screen so you can choose where it goes. On iPhone, the Photo, spreadsheets and video exports go to the iOS share sheet, where you choose where they go: Save Image, Save Video, Files or another app. The app keeps the file in its temporary folder, which iOS clears. Saving to Photos makes iOS ask for add-only permission (see section 3.2).
Exporting recordings: users with permission can request a recorded segment of up to 12 hours. The request requires a purpose (authority, insurer, data subject, internal use or public release) and accepts a free-text detail, such as the number of an official letter, and an optional watermark burned into the image. The video is assembled on the server and includes the camera’s audio, if any, unless you untick “Audio”. The file stays on the server for 48 hours and is then deleted. The export record (name, cameras, period, purpose, detail, watermark, the file’s SHA-256 fingerprint and who requested it) is kept as a chain-of-custody trail, and the request and each download are recorded in the audit log.
When you download an export, Android’s download manager saves the file to Download/nGuard (Android 10 or later) or to the app’s folder in external storage (Android 7 to 9) and shows a notification with the file name. Android may keep that name and the link, which is valid for a few minutes, in its download history. On iPhone, the app itself downloads the file to its temporary folder and opens the share sheet, where you can choose Save Video or Files.
Verify authenticity (administration area): the chosen file is read on the phone itself, and only its fingerprint (SHA-256) goes to the server.
In the administration area it is also possible to upload logos and camera-registration spreadsheets, which go to the server.

Note: Pictures/nGuard and Download/nGuard are ordinary phone folders. Files there appear in the gallery and the files app, can be read by other apps with access to photos or files, may be included in backups you have turned on (such as Google Photos) and stay on the phone after you uninstall nGuard. On Android 7 to 9, the app’s folder is removed on uninstall, but on those versions apps with storage permission can read its files. On iPhone, what you save to Photos or Files stays there, even after you delete nGuard, and may go to your iCloud, if you use it. Camera photos and videos may show other people: whoever saves or shares these files is responsible for how they use them.

The app does not request storage permission: it only writes the files you ask it to save. On iPhone, to save to Photos, iOS asks for add-only permission; the app does not read your library.

2.8 Camera images and audio

nGuard records the cameras at the monitored places. By default, recording is continuous, 24 hours a day. Images may show anyone in the camera’s field of view.
When a camera has a microphone and sends audio, the ambient sound is recorded too.
Video goes from the cameras to the nGuard server and from the server straight to your phone, without passing through third-party services. Recording happens on the server; the phone only plays it back. The only image files the app saves in the phone’s folders are the Photos and the exports you ask for; the server asks the WebView not to keep the video you watch, live or recorded (see 2.3).
Each account sees only the cameras released to it, and the server checks that permission on every request.
For each site and each camera, the server keeps the address and the position on the map (for a home, the home’s address) and the responsible contacts registered by the administration: name, phone number, e-mail and note (see who sees them in section 6).
On Android, the app does not use your phone’s camera or microphone and does not request those permissions. On iPhone, iOS asks for the camera only if you choose to take a photo or record a video in a file picker (for the profile photo or in Verify authenticity, for example) and for the microphone only if you record a video in a file field that accepts video (such as the one in Verify authenticity); apart from that, the app does not use the camera or the microphone.

2.9 Video analysis

On the nGuard server itself, a program analyses the images to generate alarms: it detects motion, attempts to tamper with the camera and objects such as people, vehicles, animals, backpacks and bags; it follows these objects across frames and identifies line crossing, lingering in a place and entry into marked areas, and counts people per zone.
There is no facial recognition and no licence-plate reading. The system does not identify who a person is.
Privacy zones marked on the camera are masked before analysis.
For each event, the server keeps a thumbnail of the image with the detected object marked, for the same period as that camera’s recordings (see section 7).
No image is sent to third-party artificial-intelligence services, and images are not used to train models.

2.10 Access, usage and audit records

For the security of accounts and of the system, the server automatically records:

Sessions: at every sign-in and every automatic session renewal (when the app opens and about every 10 minutes of use), the date and time, the IP address and the device’s browser identification. You can see your active sessions in My user › Access and security › Devices. Each record is deleted 6 months after it is replaced or the session ends (see section 7).
Audit log: sign-ins and attempts, “Sign out everywhere”, password changes and requests, two-step verification changes, profile changes (only that something changed, not the values), Telegram connection, turning a site’s protection on and off, acknowledging and resolving alarms (with the note), bookmarks, exports and downloads, denied access, administration actions on accounts and which cameras each account watched, live or recorded, when and from which IP address and device (at most one record per camera and mode every 15 minutes). Each line keeps the IP address and the device identification and, depending on the action, details such as the text typed in a failed sign-in, the e-mail entered in a new-password request, the Telegram chat number, an alarm note or the purpose of an export. The administration uses these records, including to see who is watching each camera right now.
Events of signing in and out (with the login and IP address) and of alarms acknowledged or resolved (with the login and the note) also go into the system’s event history.
Technical logs of the services: requests to the server, with the address requested and the IP address (and, in some services, the browser identification). They may contain data that was in the request, such as a CEP or address searched and temporary video links. Passwords and the session access code are removed.

2.11 Content you write

Bookmarks on recordings (title and notes), notes when acknowledging or resolving an alarm and the name, purpose, detail and watermark of exports are stored on the server and may be seen by other accounts with access to the same cameras (see section 6). The mosaics you save are yours alone; the administration can share mosaics, and a shared mosaic appears to every account, with the name of whoever created it. Write only what is needed in these fields.

2.12 E-mails and Telegram

Account e-mails: the “Forgot my password” link and, after a password change made through that link, the notice “Sua senha do NGuard foi trocada” (your NGuard password was changed). The e-mails include your name, login, date, time and the IP address the request came from. The link goes to the account e-mail; for administration accounts, to the system’s main e-mail. The change notice goes to the account e-mail and, for administration accounts, also to the system’s main e-mail. They are sent by NetForce’s own e-mail server and reach your mailbox provider (for example Gmail or Outlook). We do not send marketing.
Telegram (optional): in My user › Notifications, “Connect Telegram” opens a chat with the nGuard bot. When you tap Start, the server stores the chat number and name (your @username or first name on Telegram). From then on, every 30 seconds, if there is news, the server sends Telegram a summary with date and time: camera stopped or back, alarms (with the rule name and priority), recording failures and, if you choose, failed sign-in attempts made with your username, with the IP address (attempts made with the CPF/CNPJ are not included). Only cameras your account can see are included. The confirmation and test messages include your name. To stop, use “Disconnect” or send /sair to the bot.
NetForce monitoring centre: the administration can set up Telegram chats and up to 50 e-mail addresses to receive summaries of the events of all cameras (camera stopped or back, alarms, recording failures) and, if that option is on, of failed sign-in attempts on any account, with the text typed as login and the IP address.

2.13 What the app does not do

No usage analytics (such as Google Analytics or Firebase Analytics) and no crash reporting (such as Crashlytics or Sentry). From Firebase, it only uses Cloud Messaging, for notifications.
No advertising, and it does not use Android’s advertising ID. On iPhone, it does not use the advertising identifier (IDFA) or ask for tracking permission (ATT).
No tracking across other apps or websites, and no behavioural profiling.
No selling or renting of data.
No sending of data or images to third-party artificial-intelligence services.
It does not use the phone’s camera, microphone, contacts, phone, SMS or calendar, does not request storage permission and does not use location in the background. On iPhone, the exceptions are the camera and the microphone, which iOS asks for only when you choose to take a photo or record a video in a file picker, and the add-only Photos permission, which iOS asks for the first time you use Save Image or Save Video; the app does not read your library (see section 3.2).
It does not allow creating accounts.

3. Phone permissions

3.1 Android

The list below is that of the published app (version 1.0.0, build 2). You can check it on the Play Store under “About this app” and change permissions in Android settings.

Permission	What it is for	When it is granted
Internet `INTERNET`	Open nGuard and talk to the server	At install
Notifications `POST_NOTIFICATIONS`	Show alarms and alerts	Android 13 or later: the app asks once, after sign-in, and you can change it in settings. Android 7 to 12: no prompt
Biometrics and fingerprint `USE_BIOMETRIC`, `USE_FINGERPRINT`	The optional lock by fingerprint, face or screen lock	At install; used only if you turn the lock on
Approximate and precise location `ACCESS_COARSE_LOCATION`, `ACCESS_FINE_LOCATION`	The “My location” button, to mark a point on the map	Asked when you tap the button; never in the background
Network state, keep the phone awake and receive Firebase messages `ACCESS_NETWORK_STATE`, `WAKE_LOCK`, `com.google.android.c2dm.permission.RECEIVE`	Required by Firebase Cloud Messaging to receive notifications	At install
Internal permission `br.com.nguard.app.DYNAMIC_RECEIVER_NOT_EXPORTED_PERMISSION`	Technical, from an Android library; only the app itself uses it, and it gives no access to data	At install

On Android, the app does not request: camera, microphone, contacts, phone, SMS, calendar, storage (photos and files), background location or the advertising ID.

3.2 iPhone

The list below is that of the iPhone app (version 1.0.0, build 2). iOS only shows the request for a permission when the app needs it, and you can change it later in the iPhone’s Settings.

Permission	What it is for	When it is granted
Notifications `aps-environment`	Show alarms and alerts, delivered through Apple’s APNs, also with the app closed	Registration with APNs (the device token) is automatic, from the first time the app opens, with no prompt (see 2.5); to show alerts, iOS asks for permission once, after sign-in, and you can change it in Settings › Notifications › nGuard
Background notifications `UIBackgroundModes: remote-notification`	Technical: lets iOS wake the app in the background when a silent notification arrives. nGuard alerts appear without it, and the nGuard server sends no silent notifications	Comes with the app; there is no prompt
Time-sensitive notifications `com.apple.developer.usernotifications.time-sensitive`	Make nGuard alerts appear even with a Focus on	Comes with the notification permission; you can turn it off in the iPhone’s Settings
Face ID and Touch ID `NSFaceIDUsageDescription`	The optional lock by Face ID, Touch ID or the iPhone passcode (the passcode applies if biometrics fail or are not set up, or if Face ID is not allowed)	iOS asks the first time the app uses Face ID (Touch ID has no prompt); used only if you turn the lock on
Camera `NSCameraUsageDescription`	“Take Photo” in an iOS file picker, for example for the profile photo (or recording a video, in a field that accepts video)	Asked by iOS at the moment you choose to take the photo or record the video
Microphone `NSMicrophoneUsageDescription`	The sound of a video you record in a file field that accepts video, such as the one in Verify authenticity	Asked by iOS at the moment you record the video
Location while using the app `NSLocationWhenInUseUsageDescription`	The “My location” button, to mark a point on the map	Asked when you tap the button (“Allow Once” or “Allow While Using App”); you can turn off “Precise Location”; never in the background
Photos, add only `NSPhotoLibraryAddUsageDescription`	Save to Photos the image or video you choose to save from the share sheet; gives no access to your library	Asked by iOS the first time you use Save Image or Save Video

On iPhone, the app does not request: contacts, calendar, read access to your photos, background location or tracking permission (ATT), and it does not use the advertising identifier (IDFA).

4. What we use the data for

Data	Purpose	Required?
Login (username or CPF/CNPJ), password and verification code	Sign in and protect the account	Login and password, yes; the code, only if you turn verification on
Name, e-mail, roles and cameras of the account	Identify the account, release the right cameras, recover the password and send security notices	Name, yes; e-mail, no (without it there is no password recovery by e-mail)
Mobile number, photo, address and other profile contacts	Registration and contact with you, and the address position on the map	No
Phone location	Mark a point on the map	No
Firebase identifier, notification token (on iPhone, also the APNs token), device model and app version	Deliver alerts to the right phone	The Firebase identifier is created when the app opens; receiving alerts is optional
Alert preferences and Telegram connection	Send only the alerts you want, through the channel you choose	No
Session, access and audit records (including cameras watched), with IP address and device	Security, prevention of fraud and abuse, investigation of improper access, compliance with requests from authorities and system features (active sessions, who is watching)	Yes, they are automatic
Camera images and audio, detections and thumbnails	The core function: viewing, recording and analysing the cameras for the security of the places and generating alarms	Part of the service
Bookmarks, notes, exports and mosaics	Organise and record what was seen, and deliver recorded segments with a recorded purpose	No
Data kept only on the phone (session, remembered login, preferences)	Keep you signed in and remember your choices	The session, yes; the rest, no

We do not use these data for advertising, behavioural profiling, training artificial intelligence or any purpose other than these.

Legal bases (LGPD, art. 7):

Performance of a contract (item V), when you are a party to the monitoring contract: the account and profile data, the login, password and two-step verification, the cameras released, notifications, the features you turn on (location, photo, address, contacts and Telegram) and the bookmarks, notes, mosaics and exports you make.
Legitimate interest (item IX): those same data, when your account is linked to someone else’s contract, such as the household’s, the company’s or the condominium’s, to give you the access linked to that contract; and, for every account, the security of the accounts, the system and the monitored places: session and audit records (including cameras watched), the Firebase identifier created the first time the app opens, camera recording and the video analysis of people who pass in front of the cameras.
Compliance with a legal obligation (item II): keeping access records for 6 months, as required by Brazil’s Internet Civil Framework (Marco Civil da Internet, art. 15), and complying with orders from authorities.
Regular exercise of rights (item VI): keeping the audit log and export records that may serve as evidence in legal proceedings.

Optional features (location, photo, notifications, biometrics and Telegram) can be declined or turned off whenever you want, without preventing the use of the rest of the app. Biometrics are checked by Android itself (on iPhone, by iOS), and nGuard receives no biometric data.

We do not sell data. Apart from the people with access described in section 6 and the cases listed just below the table (integrations set up by the administration, authorities and what you pass on yourself), only the services in this table receive data from nGuard, and only what is needed for the function they perform.

Service	What it receives	When
Google — Firebase Cloud Messaging (privacy)	The installation identifier, the token (on iPhone, also the APNs token) and technical device data (brand, model and versions); the title, text and internal data of each alert	From the first time the app opens, and with each alert
Google — Google Play and Android (privacy)	Installation and update data from the store. nGuard is displayed by Android’s WebView, a Google component that follows Google’s and the device’s settings, such as Safe Browsing and the sending of usage and diagnostics data you may have allowed in Android	In normal use of the phone
Apple — Apple Push Notification service (APNs), on iPhone (privacy)	The device’s APNs token; the title, text and internal data of each alert	On iPhone, from the first time the app opens (the token), and with each alert
Apple — App Store and iOS (privacy)	Installation and update data from the store. On iPhone, nGuard is displayed by WKWebView, an Apple component that follows the device’s settings	In normal use of the iPhone
OpenStreetMap Foundation — maps (privacy)	The phone’s IP address, the browser identification and the map area shown	Whenever a map appears in the app (requested directly by the phone)
OpenStreetMap Foundation — Nominatim, address search	The address typed (street, number, neighbourhood, city, state and CEP), without your name	When an address is searched on the map (requested by the nGuard server)
ViaCEP (viacep.com.br)	Only the CEP	When a CEP is typed in an address (requested by the nGuard server)
Google Maps Platform	On maps: the IP address, browser identification and area shown; in address search: the address typed	Only if NetForce turns Google Maps on in the system; the default is OpenStreetMap
Telegram (privacy)	The text of the alerts sent to the chat: camera and rule names, times, your name in the confirmation and test messages and, if you choose, the IP address of failed sign-in attempts made with your username. In the monitoring centre’s chats, if that option is on, also the text typed as login and the IP address of failed attempts on any account	Only if you connect Telegram, or for the NetForce monitoring centre’s chats
The recipient’s e-mail provider (for example Gmail or Outlook)	Account e-mails, sent by NetForce’s own e-mail server, with your name, login, date and the IP address of the request; and the monitoring centre’s summaries, which may include the text typed in failed sign-ins and the IP address	When you request a new password or change it through that link; the summaries, when the monitoring centre sends them to mailboxes outside NetForce

Outside links: the “Google Maps” link, the Telegram page and other external addresses open in the browser or in the corresponding app and follow that service’s policy.
Integrations set up by the administration: an alarm rule can be set up to notify another system (webhook), sending the alarm data to the chosen address. None is set up by default.
Authorities: we hand over data when there is a court order or a request from a competent authority, within the limits of the law.
You: files you save on the phone and pass on follow the rules of the app or service you send them to.

Responsibilities: NetForce is the controller: it decides how account data, records and images are processed in nGuard and is accountable for it. In Firebase Cloud Messaging, Google processes the data on NetForce’s behalf, only to deliver the alerts; on iPhone, the same applies to Apple, in APNs. The other services in the table (Google Play and Android, App Store and iOS, OpenStreetMap, ViaCEP, Google Maps Platform, Telegram and e-mail providers) perform the function described under their own privacy policies and are responsible for what they do with the data. All the services in the table except the e-mail provider (which is that of the recipient’s mailbox, chosen by that person) give the data they receive the same or equal protection as stated in this policy and required by the LGPD. Anyone who appears in camera images, even without an account, can exercise their rights over those images by e-mail at contato@nguard.com.br, stating the place, date and time.

International transfer: Google (including Google Maps Platform, if NetForce turns it on), Apple (on iPhone), the OpenStreetMap Foundation and Telegram may process data on servers outside Brazil, in the countries stated in each one’s policy. This happens only to provide the functions described above (notifications, maps, address search and Telegram alerts), as provided in art. 33 of the LGPD.

6. Who sees your data within nGuard

You: your profile, your account’s permissions and access groups and your active sessions (device, IP address and time of the last renewal, and expiry).
The nGuard administration (authorised NetForce staff and anyone given an administration role by NetForce): the account records (name, login, e-mail, CPF/CNPJ, mobile number, photo, address with its position and contacts), the audit log with IP addresses, sign-in events with IP addresses, who is watching each camera right now and how many sessions are open per type of device. These data are used to run the service, provide support and investigate security problems.
Other accounts with access to the same cameras or site (for example, people in the same home or company, or customers in the same access group) may see: your name, when you turn off a site’s protection (in the alert and in the history); who acknowledged an alarm and the note; your bookmarks; and the exports of those cameras (name, period, purpose, detail and who requested them), which they can also download while the file exists, if they have export permission.
Contacts responsible for a camera: the name, phone number, e-mail and note registered for a camera may be seen by anyone with access to it.
Technical data of the cameras (network address, ports, serial number, manufacturer, model, firmware and the video address on the camera): only those allowed to configure the camera. The other accounts with access to it receive the camera without these data, including in camera-stopped notices and in alarms.

7. How long we keep data

Some data have an automatic deadline; others stay while the account exists; and some are kept indefinitely, because the system currently has no deletion period for them. The table shows how it actually works. You can request deletion at any time (section 8).

Data	How long
Account and profile (name, login, CPF/CNPJ, e-mail, mobile number, photo, address, contacts, record tags and preferences)	While the account exists. A deactivated account keeps its data until it is deleted. What you delete or change leaves the system at once, but remains in the backups for up to 7 days.
Sessions and their history (date, IP address and device of each sign-in and renewal)	Each sign-in and renewal record stays for 6 months after it is replaced or the session ends (signed out, expired or ended), as an access record (Marco Civil da Internet, Law 12,965/2014); all of them are deleted earlier if the account is deleted. The session expires after 30 days without use, and the access code is valid for 10 minutes.
New-password requests (destination e-mail, IP address and device)	The link is valid for 30 minutes; the record of the request is deleted 30 days later (or earlier, with the account).
Audit log (sign-ins and attempts, actions and cameras watched), with the IP address and device and, depending on the record, the login or the name, the text typed in failed sign-ins, the e-mail or CPF/CNPJ entered in new-password requests, the e-mail addresses that received password notices, the Telegram chat number, alarm notes, bookmark titles and the name, purpose and detail of exports	1 year, which covers the 6 months the Marco Civil da Internet (Law 12,965/2014) requires for access records. Deletion happens in weekly blocks, so a record stays from 1 year to 1 year and 7 days. The records remain after the account is deleted, until they reach that period.
System events with your login: signing in and out (with the IP address) and alarms acknowledged or resolved (with the note)	90 days. A technical queue in the system also keeps the most recent events; it is limited by number, not by time, so a copy may last longer.
The phone’s registration for notifications	Until you tap Sign out with an internet connection, use “Sign out everywhere”, change or reset the password or the account is deleted. In other cases (uninstalling the app, a session that expired or ended some other way, signing out offline), it stays until the first failed delivery and, marked invalid, is deleted 30 days later. A registration the app has not renewed for 270 days is also deleted. On a deactivated account, it stays stored, with no deliveries, until it reaches the 270 days.
Notification delivery log	30 days. If the account is deleted earlier, the record stays without the link to it (the device token remains in it) until it reaches the 30 days.
Alert preferences	While the account exists.
Telegram	The chat number and name stay in the account until you disconnect; the number also stays in the audit record of the connection, for the audit period (1 year). The list of alerts chosen stays while the account exists.
Camera recordings (with audio, if any)	Each camera’s period: 14 days by default; the administration can set from 1 to 3,650 days. If storage runs out, the oldest recordings may be deleted earlier. Segments locked as evidence stay until they are released. Recordings of a camera deleted without deleting its recordings no longer follow that period and stay until storage runs short or the administration deletes them.
Video-analysis detections	30 days. Hourly counts, which contain no personal data, stay for 180 days.
Event thumbnails	The period of the camera’s recordings (14 days by default). Deletion removes one whole day at a time, once the entire day is past the period, so a thumbnail may last up to one day longer. They are deleted when the camera is deleted together with its recordings; for a camera deleted without deleting its recordings, the period becomes 48 hours.
Alarms (with notes and who acknowledged them), bookmarks and the history of turning protection on and off	Kept indefinitely: there is currently no deletion period.
Exports	The file, 48 hours on the server. The record (who requested it, cameras, period, purpose, detail and SHA-256) is kept as a chain-of-custody trail, indefinitely.
Technical logs of the services	Overwritten automatically according to volume (up to 5 files of 20 MB per service); how long that covers depends on use.
Backups of the system database	7 days, on NetForce’s own server.
On your phone	The session, until you tap Sign out. The remembered login, until you untick the option. Preferences and the Firebase identifier, until you clear the data or uninstall the app. The WebView cache, until the WebView itself replaces it or until you clear the data or uninstall the app. Files in Pictures/nGuard and Download/nGuard, until you delete them, even after uninstalling. On iPhone, instead of clearing the data or uninstalling, deleting the app removes what it keeps on the device, except the copy of the Firebase identifier and token that iOS may keep in the Keychain (see 2.5); files that went through the share sheet stay in the app’s temporary folder until iOS clears it, and what you saved to Photos or Files stays until you delete it there.
At Google, Telegram and the other services in section 5	Under each one’s policy.

8. Account and data deletion

This section explains how to request deletion of your nGuard account and of the data linked to it. Requests are handled by NETFORCE SERVIÇOS, COMÉRCIO E TELECOMUNICAÇÕES LTDA (NetForce), which is responsible for the app and the system. Because there is no sign-up in the app, the account is deleted by NetForce at your request, not by a button in the app.

How to request

Send an e-mail to contato@nguard.com.br with the subject “Exclusão de conta nGuard” (nGuard account deletion).
Give your name and the login you use in the app (username or CPF/CNPJ). If you can, write from the e-mail address registered in the account.
Say whether you want to delete the whole account or only some data (for example, the photo, the address or a phone’s registration).
To protect you, we may ask you to confirm that the account is yours before deleting it. We reply by the same e-mail within 15 days and let you know when the deletion is complete. The request is free of charge.

What you can delete yourself, without asking

The photo (My user › Remove) and the optional profile data (mobile number, address and other contacts).
This phone’s registration for notifications and its session: tap Sign out, with an internet connection. All of the account’s phones, together with all sessions: My user › Access and security › Devices › Sign out everywhere.
The Telegram connection: My user › Notifications › Disconnect, or /sair in the bot (the chat number remains in the audit record of the connection).
The remembered login: untick “Remember login” and sign in again.
Everything the app keeps on the phone, including the Firebase identifier: uninstall the app or clear its data in Android settings. Photos and files in Pictures/nGuard and Download/nGuard are deleted through the gallery or the files app. On iPhone, deleting the app removes what it keeps on the device, except the copy of the Firebase identifier and token that iOS may keep, unused, in the Keychain (see 2.5); anything in Photos or Files you delete there.

What is deleted with the account

From the account record: login, name, e-mail, CPF/CNPJ, the tags, the stored password (hash) and two-step verification.
The profile: mobile number, photo, address and position, other contacts, language and theme.
The sessions and the IP address and device history of each.
The phones registered for notifications and the alert preferences.
The Telegram connection.
New-password requests.
The account’s roles, its membership in access groups, the cameras released individually to it and its mosaics and favourites.

Copies of some of these data remain in records that stay stored, such as the audit log and the event history (see the table below), and in the backups for up to 7 days.

What remains stored, and for how long

What remains	Why	For how long
Audit records (sign-ins and attempts, actions and cameras watched), with the IP address and device and, depending on the record: the login or the name; the text typed in failed sign-ins (CPF masked, CNPJ in full, other text as typed); the e-mail, login or CPF/CNPJ entered in new-password requests; the e-mail addresses that received password notices; the Telegram chat number; alarm notes and resolutions; bookmark titles; and the name, purpose and detail of exports. The deletion itself is also recorded, with the login	Security, compliance with the law and defence of rights	1 year (up to 1 year and 7 days), which covers the 6 months the Marco Civil da Internet requires for access records. If you ask, we delete or anonymise earlier what we do not need to keep by law or for the defence of rights.
System events with your login: signing in and out (with the IP address) and alarms you acknowledged or resolved (with the note)	The system’s security history	Up to 90 days; a copy in the system’s technical queue, limited by number and not by time, may last longer
Alarms you acknowledged or resolved (with the note), bookmarks, the history of turning protection on and off and export records	They are part of the history of the cameras and places; exports, of the chain of custody	They no longer point to the account, but the content, including what you wrote, is kept indefinitely (there is currently no deletion period). If you ask, we delete or anonymise what you wrote (notes and bookmarks); the export record may be kept while it can serve as evidence (chain of custody).
Notification delivery log	Diagnosis of deliveries	Stays without the link to the account, with the device token, until 30 days after the delivery; we delete it earlier on request
If you are also a responsible contact for a camera: the name, phone number, e-mail and note registered for it	They belong to the camera’s record, not to the account	While the camera exists; we remove them on request
Camera recordings (with audio, if any)	They belong to the monitored places, not to the account	Each camera’s period: 14 days by default (the administration can set from 1 to 3,650 days). Segments locked as evidence stay until they are released
Video-analysis event thumbnails	They belong to the monitored places, not to the account	The period of the camera’s recordings (14 days by default), with up to one day more; they are deleted earlier when the camera is deleted together with its recordings
Backups of the system database	Recovery in case of failure	Up to 7 days
Technical logs of the services	Operation and security	Until overwritten by automatic rotation
Outside the server: the Firebase identifier on the phone, e-mails and Telegram messages you have already received and files saved on the phone	They are on your device (on iPhone, what you saved to Photos or Files may also be in your iCloud) or in your e-mail and Telegram accounts	Until you delete them; the Firebase identifier goes away when you uninstall the app or clear its data (on iPhone, it is no longer used once you delete the app, but iOS may keep a copy in the Keychain; at Google, under Firebase’s policy)

If there is a legal obligation, an order from an authority or an ongoing investigation, some data may be kept longer; in that case, we tell you why.

9. Security

All communication between the app and the nGuard server is encrypted (HTTPS/TLS), and the server requires a secure connection (HSTS). The app accepts neither unencrypted connections nor mixed content. Live video goes from the server to the phone over encrypted WebRTC (DTLS-SRTP), with no third-party relay servers.
The path between the cameras and the server uses the cameras’ own protocols (RTSP and RTMP), without encryption; protection of that leg depends on each place’s network.
The password is kept on the server only as an Argon2id hash, and the app does not store it. The two-step verification secret is stored encrypted (AES-256-GCM).
After 5 consecutive errors, the account is locked for a period that starts at 30 seconds and doubles with each error, up to 1 hour; each IP address can make up to 20 sign-in attempts per minute.
The access code is valid for 10 minutes and kept in memory only. The renewal code is kept in the app’s internal storage, outside backups, and the server keeps only a scrambled version (hash) of it. Each renewal replaces the code; reusing a code that was already replaced (more than 20 seconds after the replacement, a tolerance for tabs open at the same time) or renewing from another device or browser ends the session.
Permissions are checked on the server on every request: a camera your account may not view is not delivered to your phone. Video, thumbnail and download links are valid for a short time: by default, from 2 to 15 minutes, depending on the type.
The store version does not allow inspecting the app’s content with debugging tools.

If you lose your phone or suspect improper access: on another device, use My user › Access and security › Devices › Sign out everywhere, which also turns off notifications on all the account’s phones, and change your password in My user › Access and security › Change password (changing it also ends all sessions). If you cannot sign in, write to contato@nguard.com.br. We recommend a long password that you do not use for other services, and keeping two-step verification on.

No system is invulnerable. If there is a security incident that may cause you relevant risk or harm, we will notify you and Brazil’s National Data Protection Authority (ANPD), as the LGPD requires.

10. Your rights

The LGPD gives you, among others, the right to:

confirm whether we process your data and access it;
correct incomplete, inaccurate or outdated data;
request anonymisation, blocking or deletion of data that is unnecessary, excessive or processed in breach of the law;
request data portability;
request deletion of data processed with your consent;
know who we share data with;
be told about the possibility of not giving consent and its consequences, and withdraw consent where consent is the basis for processing;
object to processing carried out in breach of the law.

How to exercise them: much of it you can do in the app itself, in My user (view and correct the profile, remove the photo, end sessions, turn off notifications and Telegram). For the rest, write to contato@nguard.com.br. This is free of charge, and we reply within 15 days. We may ask you to confirm your identity, so that we do not hand data to the wrong person.

An important limit: security-camera images are part of the monitored place’s security. There may be cases where immediate deletion is not possible, for example when the images are evidence in an investigation or there is a legal duty to keep them. In those cases, we will explain the reason and the legal basis.

You may also lodge a complaint with Brazil’s National Data Protection Authority (ANPD), at www.gov.br/anpd.

11. Children and teenagers

nGuard is not directed to children or teenagers. It is a security-monitoring tool for adults (18 or over), with accounts created by the administration. We do not knowingly create accounts for minors, and the app has no social features, chats or public content. If you know of an account created for a minor by mistake, write to contato@nguard.com.br so that we can delete it.

The cameras may film anyone at the place, including children. Those images follow the same rules and periods as all other recordings and are processed only for the security of the place.

12. Contact and data protection officer

Controller: NETFORCE SERVIÇOS, COMÉRCIO E TELECOMUNICAÇÕES LTDA — CNPJ 07.200.797/0001-10
Address: Av. Monteiro Lobato, 1868, Sala B, Vila Virgínia, Ribeirão Preto/SP, CEP 14030-520, Brazil
E-mail: contato@nguard.com.br
Data protection officer (DPO): contact through contato@nguard.com.br

13. Changes to this policy

Each new version will be published at https://nguard.com.br/privacy, with its effective date and version number, before it takes effect. When the change is relevant, such as new data, a new third-party service or a new use of the data, we will also give notice by the e-mail registered in the account, if there is one. The link to this policy is on the app’s sign-in screen.

1. Quem somos e o que esta política cobre

2. Dados que tratamos

2.1 Conta e entrada

2.2 Perfil (Meu usuário)

2.3 O que fica guardado no celular

2.4 Biometria

2.5 Notificações

2.6 Localização e mapas

2.7 Fotos, planilhas e exportações

2.8 Imagens e áudio das câmeras

2.9 Análise de vídeo

2.10 Registros de acesso, de uso e auditoria

2.11 Conteúdo que você escreve

2.12 E-mails e Telegram

2.13 O que o app não faz

3. Permissões do celular

3.1 Android

3.2 iPhone

4. Para que usamos os dados

5. Com quem compartilhamos

6. Quem vê os seus dados no nGuard

7. Por quanto tempo guardamos

8. Exclusão da conta e dos dados

Como pedir

O que você mesmo pode apagar, sem pedir

O que é excluído com a conta

O que continua guardado, e por quanto tempo

9. Segurança

10. Seus direitos

11. Crianças e adolescentes

12. Contato e encarregado

13. Mudanças nesta política

1. Who we are and what this policy covers

2. Data we process

2.1 Account and sign-in

2.2 Profile (My user)

2.3 What is stored on the phone

2.4 Biometrics

2.5 Notifications

2.6 Location and maps

2.7 Photos, spreadsheets and exports

2.8 Camera images and audio

2.9 Video analysis

2.10 Access, usage and audit records

2.11 Content you write

2.12 E-mails and Telegram

2.13 What the app does not do

3. Phone permissions

3.1 Android

3.2 iPhone

4. What we use the data for

5. Who we share data with

6. Who sees your data within nGuard

7. How long we keep data

8. Account and data deletion

How to request

What you can delete yourself, without asking

What is deleted with the account

What remains stored, and for how long

9. Security

10. Your rights

11. Children and teenagers

12. Contact and data protection officer

13. Changes to this policy