Política de privacidade · em vigor desde 1 de novembro de 2026
O AutoFile envia o texto extraído de um documento — ou a imagem da primeira página, quando não há texto para ler — e a árvore das suas pastas de arquivamento, tanto as que você mostrou a ele quanto as que ele mesmo criou. Esses caminhos trazem os nomes que você deu a eles: os do seu banco, dos seus médicos, do seu empregador. O documento que você compartilha com o AutoFile vai diretamente para um Drive que você vinculou ao AutoFile. Já um arquivo criado com uma ferramenta do aplicativo pode, além disso, ser enviado por você para onde quiser.
| O quê | Para onde | Por quê | Retenção |
|---|---|---|---|
| O texto extraído do documento (cerca dos primeiros 6.000 caracteres) — ou, quando o documento é uma digitalização ou uma foto sem texto para ler, apenas a imagem da primeira página, em escala de cinza. Nunca as páginas seguintes, nunca o arquivo em si. Uma imagem criada a partir de uma página de PDF com uma ferramenta, e depois arquivada, é um documento por si só: é lida e enviada como qualquer outro documento, e esta regra vale para cada uma | Servidor do AutoFile, depois o provedor de IA | Para propor um nome de arquivo e uma pasta | Não conservado pelo AutoFile |
| O nome do arquivo original — o que o documento tinha quando você o compartilhou, que pode ser revelador por si só | Servidor do AutoFile, depois o provedor de IA | Muitas vezes traz uma data ou um remetente que o texto não dá, e é isso que permite nomear um documento que a leitura sozinha não bastou para identificar | Não conservado pelo AutoFile |
| A árvore das suas pastas de arquivamento: até 150 caminhos, ou 6.000 caracteres, sem os níveis de ano e mês. Esses caminhos contêm os nomes que você deu às suas pastas. Junto com ela viaja apenas um sim ou não: se a sua árvore de pastas precisou ser cortada para caber nesse limite — nunca o número de pastas que você realmente tem | Servidor do AutoFile, depois o provedor de IA | Para que o modelo arquive em uma pasta que já existe, em vez de fazer com que seja criada mais uma com um nome ligeiramente diferente | Não conservado pelo AutoFile |
| Na falta de uma árvore de pastas — quando o AutoFile não conseguiu lê-la, ou quando esse envio está desativado — o nome e o caminho de até 10 pastas, escolhidas entre as que ele conhece | Servidor do AutoFile, depois o provedor de IA | Para que o modelo escolha entre as suas pastas, em vez de inventar uma | Não conservado pelo AutoFile |
| Até 60 nomes de organizações para as quais você já arquivou um documento, cada uma com seu domínio e o último tipo usado | Servidor do AutoFile, depois o provedor de IA | Para que a mesma empresa seja escrita de uma única forma e arquivada no mesmo lugar, em vez de acabar em três pastas diferentes | Não conservado pelo AutoFile |
| O idioma do aplicativo | Servidor do AutoFile | Para redigir um título alternativo quando o modelo não propõe nada utilizável | Não conservado pelo AutoFile |
| Um identificador aleatório, próprio da instalação | Servidor do AutoFile | Um limite diário, para que um único dispositivo não consuma todo o orçamento de análise | Um contador, apagado após 48 horas |
| O arquivo de um documento que você compartilha | Um Drive que você vinculou ao AutoFile, do dispositivo para o Google | É a própria finalidade do aplicativo | Nesse Drive, sob o controle do titular |
| Um arquivo criado por uma ferramenta: PDF, imagens, arquivo ZIP | Para onde você mesmo o enviar, pelo compartilhamento do telefone; ou um Drive que você vinculou ao AutoFile, se você o arquivar | É você quem decide enviá-lo, e para onde | No destinatário que você escolheu, segundo as regras dele; no Drive em que você o arquivou, sob o controle do titular |
| A lista de documentos já arquivados, uma por conta vinculada: para cada um, uma impressão digital dos seus bytes (tamanho e MD5), a data do arquivamento e a pasta do Drive para onde foi (o identificador e o caminho exibido). Nunca o nome do documento, nunca o seu conteúdo. Ela leva o identificador da conta Google em questão e tem no máximo 20.000 entradas. Quando você move um documento de um perfil para outro, a lista da conta de origem anota também a impressão digital e a data da retirada, para que ele deixe de contar como arquivado ali (a tabela de retiradas) |
O Drive de cada conta Google a que você dá acesso, do dispositivo para um arquivo
.autofile-filed.json que o AutoFile cria na raiz de «Meu Drive» dessa
conta, nunca em uma pasta compartilhada. Nem o servidor do AutoFile, nem o provedor
de IA, nem o Sentry recebem nada dele
|
Reconhecer um documento compartilhado pela segunda vez antes que ele seja lido, analisado ou descontado, e avisar «Já arquivado», com a data e a pasta — inclusive depois de reinstalar, e em cada telefone da conta | No Drive de cada conta, até você apagá-lo: «Excluir meus dados», ou pelo Google Drive (veja «Exclusão») |
| A movimentação de um documento de um perfil para outro: um pedido ao Google Drive para mudar o arquivo de pasta, ou para pôr o original na lixeira. Nunca o seu conteúdo | O Drive da conta onde está o original, do dispositivo para o Google, só com o acesso dessa conta | Arquivar o documento no outro perfil sem ficar com duas cópias | Na lixeira do Drive, onde o Google guarda o arquivo por 30 dias antes de apagá-lo; você pode tirá-lo de lá antes |
| O identificador da sua conta Google (o «sub», um número) | Servidor do AutoFile, e RevenueCat; e o Google, para um vídeo que recarrega documentos (ver «Publicidade») | Para manter o seu saldo de documentos e reconhecer uma assinatura. É isso que faz o seu saldo e a sua assinatura seguirem a sua conta, e não o seu telefone | Até a exclusão da conta |
| O seu saldo de documentos | Servidor do AutoFile | Para saber quantos documentos ainda restam a você | Até a exclusão da conta |
| O dia da sua última análise bem-sucedida: uma data, sem hora, em tempo universal | Servidor do AutoFile, junto ao seu saldo | Contar as contas ativas do dia e dos últimos 30 dias, sem manter nenhuma lista de contas. Os contadores só recebem a passagem de um dia para o outro: guardam totais, sem nenhum identificador | Substituído no próximo dia de uso; apagado por «Excluir meus dados». Você pode se opor (ver «Os seus direitos») |
| Duas medições de uso, e nada mais: um vídeo publicitário exibido, e se foi fechado antes do fim (recarga ou ferramenta); uma sugestão de nome e pasta salva como está, ou modificada. Nunca um documento, um nome de arquivo ou uma pasta | Servidor do AutoFile. Nem o Google, nem nenhum terceiro | Saber quantos vídeos são abandonados e se as sugestões acertam. A requisição leva o token da sua conta, que serve apenas para recusar uma conta bloqueada ou para não contar uma conta que se opôs: ele não é registrado nem guardado. Sem relação com o consentimento de publicidade | Um total por dia, sem identificador |
| O tipo do seu telefone (Android ou iPhone), enviado com cada requisição, e o primeiro acesso da sua conta | Servidor do AutoFile. Nem o Google, nem nenhum terceiro | Repartir os documentos arquivados por tipo de telefone, e contar as contas que entram pela primeira vez, por hora e por tipo de telefone. Os contadores só recebem a hora e o tipo de telefone: guardam totais, sem nenhum identificador | Um total por hora, sem identificador. Você pode se opor à contagem do seu primeiro acesso (ver «Os seus direitos») |
| O identificador de publicidade do dispositivo | Google, através do SDK Google Mobile Ads | Para exibir e medir o vídeo com recompensa, quer recarregue documentos, quer sirva para uma ferramenta | Conforme definido pelo Google. Pode ser redefinido nas configurações do telefone |
| O identificador da sua conta Google (o «sub»), apenas para um vídeo que recarrega documentos | Google, através do SDK Google Mobile Ads, que o devolve ao servidor do AutoFile depois de o vídeo ser assistido | Para verificar que o vídeo foi assistido até o fim antes de creditar os seus documentos. Um vídeo de ferramenta não o envia | Conforme definido pelo Google |
| Relatórios de falhas | Sentry | Para saber quando o aplicativo trava | No máximo 90 dias |
| Status da assinatura e histórico de compras | RevenueCat | Para saber qual plano e quais direitos estão ativos | Conforme definido pela RevenueCat |
| Identificadores das compras já creditadas | Servidor da AutoFile | Para impedir que uma compra seja creditada duas vezes | Enquanto a AutoFile for oferecida, inclusive depois da exclusão da conta, sem nada que identifique você |
| Marca dos documentos de boas-vindas já concedidos | Servidor da AutoFile | Impedir que sejam obtidos de novo ao recriar a conta (prevenção de fraude, interesse legítimo) | Enquanto a AutoFile for oferecida, inclusive depois da exclusão da conta; uma impressão digital cifrada do identificador da conta, nada mais |
Avaliar o aplicativo. Quando o aplicativo pede uma avaliação, a janela é a da loja (Google Play ou App Store): a avaliação e o comentário vão diretamente para a loja, e o AutoFile não os recebe.
| O quê | Onde | Apagado quando |
|---|---|---|
| A cópia de um documento compartilhado | Diretório de trabalho do aplicativo | 2 dias depois de arquivado, exceto enquanto o original de uma movimentação ainda estiver para ser retirado; 30 dias depois de uma falha que ninguém pode repetir |
| A lista dos seus perfis (o nome e a conta de cada um) e, para cada perfil, a memória das pastas e as decisões de arquivamento | Diretório de documentos do aplicativo | Ao sair da conta, ao excluir o perfil ou ao desinstalar |
| As listas de documentos já arquivados, uma por conta vinculada (impressão digital, data, pasta) | Diretório de documentos do aplicativo | Ao sair da conta, ao excluir o perfil cuja conta deixou de ser usada, ou ao desinstalar. A cópia delas no Drive de cada conta, por outro lado, é mantida, a menos que você escolha apagá-la ao excluir o perfil |
| A nota «original a retirar»: a conta, a pasta e a impressão digital do original de um documento movido. Nunca o seu nome | Diretório de documentos do aplicativo | Assim que o original está na lixeira ou foi deixado onde estava, ou ao sair da conta. Enquanto ela existir, a cópia do documento também fica no telefone |
| As cópias dos arquivos escolhidos numa ferramenta, e os PDFs, imagens e arquivos ZIP que ela cria | Diretório de cache do aplicativo | Na próxima abertura de uma ferramenta, ao iniciar o aplicativo, e com «Excluir meus dados». Um arquivo que você escolhe arquivar é primeiro copiado para a lista de documentos em espera, e segue então essa linha |
| Tokens do Google — entre eles um token de renovação por conta vinculada pelo navegador —, endereço de cada conta vinculada e identificador de instalação | Cofre do sistema (Keystore) | Ao sair da conta, ao excluir o perfil cuja conta deixou de ser usada, ou ao desinstalar |
Perfis bloqueados. Se a assinatura terminar, os perfis posteriores ao mais antigo ficam bloqueados: o AutoFile não arquiva mais nada neles, mas guarda no telefone o nome, a memória das pastas e as listas deles, sem limite de tempo, até você sair da conta ou excluir o perfil. Eles voltam a poder ser usados com uma assinatura ou o acesso vitalício.
O AutoFile chama o Google Gemini através do seu próprio servidor. Três consequências, ditas com clareza:
O AutoFile exibe uma única forma de publicidade: um vídeo com recompensa, que você mesmo solicita — para recarregar o seu saldo de documentos, ou para usar uma ferramenta da aba Ferramentas sem assinatura. Um vídeo de ferramenta não recarrega nenhum documento. Não há banner nem intersticial, e nenhum anúncio aparece enquanto você está arquivando um documento.
Ele é servido pelo Google Mobile Ads, que lê o identificador de publicidade do seu dispositivo para escolher o anúncio e medir a sua exibição. Esse identificador pertence ao telefone, não a você: você pode redefini-lo, ou solicitar anúncios não personalizados, nas configurações do Android — Configurações, Google, Anúncios.
Para um vídeo que recarrega documentos, o Google recebe também o identificador da sua conta Google (o «sub», um número — não o seu endereço de e-mail), além do identificador de publicidade: é assim que o Google confirma ao servidor do AutoFile que o vídeo foi assistido até o fim, antes de creditar os seus documentos. Um vídeo de ferramenta não envia nem esse identificador nem nada além do que o SDK do Google exige para servir o anúncio.
A assinatura remove a publicidade por completo: uma conta assinante nunca carrega um anúncio e, portanto, nunca transmite um identificador de publicidade.
Nenhum conteúdo dos seus documentos é transmitido à rede de publicidade. O texto lido vai para o provedor de IA e para nenhum outro lugar; o anúncio, por sua vez, não sabe nada sobre o documento que você estava arquivando, nem sobre os arquivos que você passa por uma ferramenta: nem o nome, nem o número de páginas.
O AutoFile solicita uma única permissão do Google Drive, e nada mais:
drive.file.
A permissão drive.file só dá acesso aos arquivos que o AutoFile criou, mais os
que você entrega a ele explicitamente através do seletor do Google. Por isso, o AutoFile
não consegue ler o seu Drive, listar as suas pastas, nem abrir um documento
que ele mesmo não colocou ali.
A lista de documentos já arquivados é um desses arquivos: .autofile-filed.json,
que o AutoFile cria na raiz de «Meu Drive», nunca em uma pasta compartilhada. Ele é visível
no Drive, só é lido pelo AutoFile e por você, e se exclui como qualquer outro arquivo. Serve
para reconhecer um documento que você compartilha pela segunda vez, mesmo depois de
reinstalar ou em outro telefone.
É uma decisão de produto, não uma limitação técnica. As permissões que dariam acesso a um Drive inteiro são classificadas como «restritas» pelo Google. O AutoFile não vai solicitá-las.
Cada perfil pode arquivar em outra conta Google, que você mesmo vincula. O AutoFile pede a
essa conta a mesma permissão, drive.file, e nada mais: nem identidade, nem
leitura dos outros arquivos dela. O endereço da conta é lido no Drive para verificar que é
mesmo a conta desejada; ele fica no cofre do seu telefone.
Conforme o dispositivo, a conta é vinculada pelas telas do Google integradas ao telefone ou pelo navegador. No segundo caso, o AutoFile guarda no cofre do telefone um token de renovação próprio dessa conta, para recuperar o acesso ao Drive sem mostrar de novo a tela do Google. Ele serve só para essa conta, nunca é enviado ao servidor do AutoFile e é apagado ao sair da conta ou quando nenhum perfil usa mais essa conta.
Um arquivo .autofile-filed.json é criado na raiz de «Meu Drive» de cada conta
Google a que você dá acesso, e somente ali. Dois perfis que compartilham uma conta
compartilham esse arquivo.
Se você compartilha, a partir do Google Drive, um documento já arquivado em outro perfil, o AutoFile propõe movê-lo. Ele o arquiva no perfil escolhido como um documento novo e, somente se encontrar o original com certeza na conta de origem, o coloca na lixeira dessa conta, só com o acesso dessa conta. O Google guarda a lixeira por 30 dias; o AutoFile nunca apaga definitivamente. Dentro da mesma conta, ele muda o arquivo de pasta, sem cópia. Se a conta de origem deixar de responder, o documento fica arquivado, o original permanece onde estava e o AutoFile tenta de novo assim que a conta for conectada outra vez.
Arquivar na conta de um familiar só é permitido se você tiver o acordo dele ou o poder de
representá-lo (veja os termos de uso). O AutoFile deposita então
arquivos, entre eles .autofile-filed.json, nessa conta, onde o titular os vê.
Nada dessa conta serve ao seu saldo ou à sua assinatura, que continuam sendo os da conta de
login.
.autofile-filed.json na raiz de «Meu Drive», como qualquer outro arquivo. O
editor não tem acesso a esse arquivo, então um pedido por e-mail não consegue apagá-lo.
Com várias contas vinculadas. Sair da conta retira a permissão de cada
conta distinta e depois apaga a lista de perfis, os dados de cada perfil e os endereços
guardados; se uma retirada falhar, o aplicativo avisa, para essa conta. «Excluir meus dados»
apaga primeiro a lista de documentos já arquivados de cada conta e depois retira a permissão
de cada uma. Se uma conta vinculada deixou de estar acessível — o titular retirou o acesso
—, todo o resto é apagado e o aplicativo diz qual arquivo
.autofile-filed.json você deve excluir à mão, e em qual conta. Uma falha
passageira, como a falta de rede, interrompe tudo e não apaga nada: tentar de novo mais
tarde não faz perder nada. Excluir um perfil apaga os dados dele no telefone; se nenhum
outro perfil usa a conta dele, o aplicativo propõe apagar também a lista dessa conta e
depois retira a permissão dela.
Um original colocado na lixeira por uma movimentação fica lá até o Google apagá-lo, 30 dias depois; excluir seus dados não o restaura nem o apaga. Para tirá-lo de lá ou excluí-lo antes, use o Google Drive.
Este site, autofile.bencs.app, é hospedado pela Cloudflare, Inc., nos Estados Unidos. A cada visita, o seu navegador transmite a ela o que qualquer página web recebe: o seu endereço IP, a página solicitada, a página de onde você vem e o seu navegador. A Cloudflare precisa disso para lhe entregar a página.
As fontes tipográficas do site são carregadas do Google Fonts (Google LLC, Estados Unidos): o seu navegador transmite, portanto, também ao Google o seu endereço IP e o endereço da página.
Medição de audiência. O site usa o Cloudflare Web Analytics. Ele não grava nenhum cookie, não escreve nada no armazenamento local do seu navegador e não lhe atribui nenhum identificador persistente. Produz apenas estatísticas agregadas, consultadas somente pelo editor: páginas vistas, páginas de origem, país, tipo de dispositivo. Serve para saber quais páginas são lidas e como as pessoas chegam ao site.
Qualquer alteração nesta política será publicada nesta página, com uma nova data de entrada em vigor. A versão em vigor é a que aparece aqui.
1 de novembro de 2026: inclusão da seção “O site” (hospedagem e medição de audiência do site) e de um esclarecimento sobre a avaliação que o aplicativo pede.