Política de privacidade

O que coletamos

• Dados da verificação. A marca e a categoria que você informa, as 5 perguntas de compra geradas, as respostas da IA e a sua pontuação. É isso que alimenta os seus resultados e qualquer link compartilhável que você criar.
• Um endereço IP com hash. Aplicamos hash (SHA-256) ao seu endereço IP antes de guardá-lo e o usamos apenas para aplicar o limite de rajada por minuto e o teto global diário de verificações. Nunca guardamos o seu endereço IP em texto puro.
• Um e-mail salvo com o resultado de uma verificação, somente se você o fornecer. Se você deixar seu endereço junto ao resultado de uma verificação, guardamos o endereço de e-mail que você informar e, opcionalmente, uma referência à verificação a que ele se refere. Fora isso, sua conta e o formulário de contato, não coletamos endereços de e-mail.
• O que você envia pelo formulário de contato. Seu nome, endereço de e-mail, o campo opcional de empresa, o assunto e a sua mensagem são enviados por e-mail para nós para podermos responder. Eles não são gravados no nosso banco de dados; o e-mail na nossa caixa de entrada é a única cópia que guardamos.
• Análise de uso. Usamos o Google Tag Manager para carregar tags de análise que nos dizem quais páginas são visitadas e como as pessoas encontram o site. Também contamos duas coisas que você faz: que uma verificação terminou e que um e-mail foi salvo. Essas duas contagens não carregam nenhum detalhe sobre você — o evento de verificação inclui apenas uma faixa aproximada da pontuação (nenhuma, algumas, a maioria ou todas as 5 perguntas), e nenhuma das duas carrega sua marca, sua categoria, seu endereço de e-mail, seu link de resultado ou qualquer resposta da IA. Isso não afeta os dados descritos acima — suas verificações, o IP com hash e qualquer e-mail são tratados do mesmo jeito em qualquer caso.
• De onde você veio, se um link nos disse. Se você chegar por um link com uma etiqueta de origem (por exemplo, de um parceiro como a Hire Alvin, com valores ref ou utm_ no endereço), guardamos essas etiquetas e o caminho da página em que você entrou em um cookie próprio chamado mnt_ref por até 30 dias. O cookie contém apenas essas etiquetas curtas, nada sobre você, e os scripts do seu navegador não conseguem lê-lo. Nossos próprios botões de cadastro e “Faça uma verificação grátis” também levam uma etiqueta, indicando apenas onde o botão está (como nav ou footer); clicar em um guarda essa etiqueta e o caminho da página deste site de onde você clicou, no mesmo cookie, a menos que a etiqueta de um parceiro já esteja lá. Se você criar uma conta enquanto o cookie existir, salvamos as etiquetas com a sua conta para sabermos quais parceiros e quais dos nossos botões levam pessoas à Mentioned. Se você não chegar por um link com etiqueta nem clicar em um desses botões, nada é definido e nada é salvo.
• Sua conta. Fazer uma verificação exige uma. Guardamos seu endereço de e-mail e sua senha — a senha somente como hash argon2id com um salt aleatório por conta, a partir do qual não há caminho de volta ao que você digitou. Contas criadas antes do argon2id são verificadas contra o hash PBKDF2-SHA256 mais antigo e migradas para argon2id no seu próximo login. Uma sessão de login é um token aleatório em um cookie; guardamos apenas o SHA-256 dele, então uma cópia do nosso banco de dados não pode ser reutilizada como login.
• Entrar com o Google, somente se você usar. “Continuar com o Google” pede ao Google os escopos openid email profile e nada além. Da resposta assinada do Google, usamos seu endereço de e-mail verificado, para encontrar ou criar sua conta, e o ID estável que o Google dá à sua conta Google, que guardamos vinculado à sua conta da Mentioned com as datas de vinculação e do último uso. Não guardamos seu nome nem sua foto de perfil e não mantemos nenhuma autorização de acesso do Google: esse login não dá à Mentioned acesso aos seus dados do Google e é separado da conexão com Analytics e Search Console descrita abaixo. Só vinculamos o Google a uma conta existente quando tanto o Google quanto a Mentioned verificaram o endereço. Uma conta criada assim não tem senha até você definir uma com um link de redefinição.
• Passkeys, somente se você adicionar uma. Para cada passkey guardamos o ID da credencial, a chave pública, um contador de assinatura, as dicas de transporte que o seu navegador informa (como “internal” ou “usb”), o nome que você dá a ela e quando foi adicionada e usada pela última vez. A chave privada nunca sai do seu dispositivo ou gerenciador de senhas, e a verificação de digital, rosto ou PIN acontece no seu dispositivo: nunca recebemos dados biométricos. Cada login ou configuração usa um desafio de uso único que guardamos por no máximo cinco minutos.
• Chaves de API de provedores, somente as que você salvar deliberadamente. Se você salvar uma chave na página de Configurações, nós a guardamos criptografada. Veja a seção abaixo para saber exatamente contra o que isso protege você e contra o que não protege.
• Uma conexão com o Google, somente se você conectar uma. Se você conectar o Google Analytics e o Search Console, guardamos uma autorização de acesso do Google criptografada e a propriedade e o site que você escolheu. Os dados de análise em si não são guardados. Veja Dados de usuário do Google abaixo.
• Uma chave do Bing Webmaster Tools, somente se você salvar uma. Ela é criptografada do mesmo jeito que uma chave de provedor salva, mantendo legíveis apenas os últimos quatro caracteres para que a página mostre qual chave está salva. Nenhum relatório a lê ainda. Removê-la em Configurações a exclui.
• Apps que você conecta à sua conta. Se você conectar o Claude ou outro cliente MCP, com um token de API ou aprovando-o na nossa tela de consentimento, guardamos o hash SHA-256 do token em vez do token em si, o nome que você deu a ele ou o nome e o endereço de retorno do app, e quando foi criado (e, para um token feito por você, quando foi usado pela última vez). Veja Apps conectados abaixo para saber o que um app assim pode fazer.
• Cookies de preferência. mnt_theme lembra claro ou escuro por um ano, e os scripts do próprio site o leem para que toda página abra no tema que você escolheu. mnt_rail lembra se você recolheu a barra lateral do app, e mnt_ws qual workspace você abriu por último. Cookies de curta duração também levam uma tentativa de login ou conexão entre etapas e expiram em minutos. Nenhum deles é usado para publicidade ou rastreamento.
• As ferramentas gratuitas. O verificador de crawlers de IA, o validador de llms.txt e o verificador de dados estruturados buscam o endereço que você informa a partir do nosso servidor e mostram o que encontraram. Não guardamos o endereço, a página nem o resultado. Cada requisição conta em um limite de taxa de curto prazo baseado no seu endereço IP, mantido no limitador de taxa da Cloudflare e não no nosso banco de dados, e qualquer requisição que busca uma página passa antes por uma verificação do Turnstile. O texto que você cola no validador de llms.txt é verificado e descartado. O gerador de llms.txt e o gerador de perguntas de compra rodam inteiramente no seu navegador e não enviam nada para nós.

O que não coletamos

• Nenhum endereço IP em texto puro — apenas a forma com hash descrita acima.
• Nenhuma senha em forma legível — veja acima.
• Nenhuma chave de API de uma verificação avulsa. Se você colar a sua própria chave de ChatGPT, Gemini, DeepSeek, Groq ou Perplexity no verificador da página inicial, ela é enviada com aquela verificação, usada para fazer as perguntas e descartada quando a requisição termina. Nunca é gravada no nosso banco de dados nem em log, em nenhum nível, incluindo logs de erro. Isso não mudou. As chaves que você salva deliberadamente em Configurações são outra coisa, opcional, descrita a seguir.

Provedores com traga sua própria chave

A verificação gratuita roda no Claude usando a nossa própria chave da Anthropic, no ChatGPT pela nossa própria conta da OpenRouter e no Gemini pela nossa própria conta da OpenRouter (ou pela nossa própria chave do Google quando a OpenRouter não está disponível). Você pode, opcionalmente, adicionar a sua própria chave de API de outro provedor para comparar respostas. Quando você faz isso:

• A chave viaja com aquela única verificação por HTTPS, é usada como cabeçalho de autorização nas requisições a esse provedor e é descartada. Não guardamos nada sobre ela — nem a chave, nem um hash dela, nem uma impressão digital.
• Se você marcar “Lembrar estas chaves neste navegador”, as chaves são salvas no armazenamento local do seu próprio navegador, no seu dispositivo, para você não precisar colá-las toda vez. É uma conveniência com uma troca real: qualquer coisa rodando nesse navegador pode lê-las. A caixa vem desmarcada por padrão, e “Esquecer chaves salvas” as apaga.
• Sua marca, categoria e as perguntas geradas são enviadas aos provedores que você selecionar. Para um provedor cuja chave você forneceu, essa requisição é processada sob os termos de API dele e a sua própria conta com ele. Para Claude, ChatGPT e Gemini em uma verificação gratuita, ela é processada sob as nossas contas — veja a nota sobre o Google abaixo.

Chaves que você salva em Configurações

Se você tem uma conta, pode salvar uma chave de API de um provedor para não precisar colá-la toda vez. Isso é opcional, não é exigido para nada e toda execução semanal funciona sem ela. Veja exatamente o que acontece com uma chave salva:

• Ela é criptografada (AES-256-GCM) antes de ser gravada no nosso banco de dados, com uma chave que não fica nesse banco de dados. Assim, uma cópia do banco de dados sozinha não contém nenhuma chave utilizável.
• O limite disso, dito com clareza: este site consegue descriptografar o que guarda, porque precisa disso para usar a chave. Então a criptografia protege você se o nosso banco de dados vazar. Ela não protege você de nós, e não vamos afirmar o contrário. Se essa não é uma troca que você quer, não salve uma chave — colar uma em uma verificação avulsa continua funcionando e não guarda nada.
• Mantemos os últimos quatro caracteres sem criptografia para a página dizer qual chave está salva. Nunca exibimos a chave de novo e nunca a devolvemos por nenhuma API.
• Uma chave salva é usada para duas coisas apenas: uma execução que você inicia explicitamente nas suas chaves a partir da página de uma palavra-chave e toda execução de uma palavra-chave que você definiu como diária. As duas gastam o seu orçamento com esse provedor. Uma execução semanal nunca toca nela — essa roda na nossa chave, como sempre rodou — e ela nunca é usada para a verificação de ninguém mais.
• OpenRouter. Se você salvar uma chave da OpenRouter e listar modelos, uma execução em um deles envia suas perguntas à OpenRouter, que as repassa à empresa por trás do modelo escolhido — OpenAI, xAI, Meta, Mistral e assim por diante — sob a sua conta da OpenRouter e os termos dela. A lista de modelos que você salva é guardada como texto simples; é uma lista de nomes de modelos, não um segredo.
• Remover uma chave na página de Configurações exclui a linha guardada.

Dados de usuário do Google

Conectar o Google é opcional. Se você conectar, em Configurações, veja exatamente o que a Mentioned faz com o acesso que você concede.

• A que temos acesso. Dois escopos do Google somente leitura, solicitados juntos em uma única tela de consentimento: https://www.googleapis.com/auth/analytics.readonly (Google Analytics 4) e https://www.googleapis.com/auth/webmasters.readonly (Google Search Console). Com eles, lemos a lista de propriedades do GA4 e sites do Search Console que a sua conta Google pode ver, para você escolher uma de cada. Depois, para a propriedade e o site que você escolheu, lemos os últimos 28 dias de cliques, impressões, taxa de cliques, posição média e principais consultas de busca do Search Console, e sessões e usuários do GA4, incluindo sessões cuja origem é um assistente de IA como chatgpt.com ou perplexity.ai. Não podemos alterar nada na sua conta Google. Esses escopos são somente leitura.
• Como usamos. Apenas para mostrar esses dados de volta a você, na página Busca & tráfego da sua própria conta, ao lado dos números de visibilidade em IA que a Mentioned já monitora para você. Eles são buscados no Google toda vez que você abre essa página e não são guardados no nosso banco de dados. Para identificar consultas que mencionam a sua marca, comparamos o texto da consulta com os nomes das marcas que você monitora. É uma correspondência de texto simples no nosso servidor, não um modelo de IA.
• Não compartilhados, vendidos nem transferidos. Não vendemos dados de usuário do Google, não os compartilhamos nem os transferimos a mais ninguém e não os usamos para publicidade, retargeting ou qualquer tipo de criação de perfil. Outros usuários da Mentioned, incluindo colegas em um workspace compartilhado, não podem ver os seus dados do Google.
• Não enviados a provedores de IA e não usados para treinar modelos. Dados do Google Analytics e do Search Console nunca são enviados à Anthropic (Claude), ao Google Gemini ou a qualquer outro provedor de IA, nunca são incluídos em um prompt e nunca são usados para desenvolver, melhorar ou treinar nenhum modelo de IA ou aprendizado de máquina, nosso ou de qualquer outra pessoa.
• Como são protegidos. O que guardamos é a autorização de acesso de longa duração que o Google emite (um refresh token), mais o ID da propriedade, o nome da propriedade e a URL do site que você escolheu. O refresh token é criptografado com AES-256-GCM antes de ser gravado no nosso banco de dados, com uma chave que não fica nesse banco de dados, e nunca é mostrado a você nem a ninguém, nunca é devolvido por nenhuma API e nunca é gravado em log. Os limites dessa criptografia são os mesmos descritos para as chaves de API salvas acima. Todo o tráfego para o Google e para este site usa HTTPS.
• Retenção e exclusão. A conexão é mantida somente até você desconectá-la. Desconectar o Google em Configurações revoga a autorização no Google e exclui a conexão guardada. Excluir sua conta faz o mesmo: revoga a autorização no Google e exclui a conexão guardada. Você também pode remover o acesso da Mentioned a qualquer momento na sua conta Google em https://myaccount.google.com/permissions. Depois disso, o relatório para de funcionar e pede que você reconecte. Como os dados de análise são buscados ao vivo e não guardados, não há mais nada deles para excluir.

Uso Limitado. O uso e a transferência a qualquer outro app de informações recebidas das APIs do Google pela Mentioned seguirão a Política de Dados do Usuário dos Serviços de API do Google (https://developers.google.com/terms/api-services-user-data-policy), incluindo os requisitos de Uso Limitado.

Apps conectados

Conectar o Claude ou outro cliente MCP é opcional, e só você pode fazer isso. Um app conectado pode ler os dados da sua conta: palavras-chave monitoradas, pontuações e tendências, e as perguntas, concorrentes, modelos, fontes e respostas guardadas por trás delas. Quando você pede, ele também pode reexecutar uma palavra-chave monitorada, o que gasta uma execução da sua cota diária, ou adicionar uma palavra-chave para monitorar, dentro dos limites do seu plano. Ele não pode ler sua senha nem suas chaves de API guardadas. O que ele lê é enviado a esse app e ao provedor de IA por trás dele, sob o seu próprio acordo com eles, não o nosso. Você pode revogar um token ou desconectar um app a qualquer momento em Conectar o Claude em Configurações, e ele para de funcionar imediatamente.

Quem mais vê esses dados

Fazer uma verificação exige enviar sua marca, categoria e as perguntas geradas à Anthropic (criadora do Claude) e ao Google (criador do Gemini) para obter as respostas da IA — esse é o núcleo do produto. Nossas requisições ao Claude e ao Gemini podem passar pela OpenRouter, que as encaminha à Anthropic ou ao Google e devolve a resposta; a verificação gratuita também consulta a OpenAI (criadora do ChatGPT), pela OpenRouter do mesmo jeito. Cada uma processa essa requisição sob os próprios termos de API. O site em si roda na Cloudflare (Workers, banco de dados D1 e Turnstile para proteção contra bots), que processa o tráfego e guarda dados em nosso nome como nosso provedor de infraestrutura. As mensagens do formulário de contato e os e-mails da conta, como redefinições de senha, são entregues pela Resend, que os trata apenas para enviá-los.

Se você assinar um plano pago, o Stripe processa o pagamento. Os dados do seu cartão vão direto para o Stripe e nunca chegam aos nossos servidores — guardamos apenas os identificadores de cliente e de assinatura que o Stripe nos devolve, que é o que diz ao app em qual plano você está. Não conseguimos ver o número do seu cartão e nunca cobramos uma conta gratuita.

O Google é diferente dos outros, e você deve saber como. Nossa chave do Gemini está no plano gratuito do Google, e o Google afirma que o conteúdo enviado nesse plano é usado para melhorar os produtos deles. Os termos de API da Anthropic não fazem isso. Então uma verificação gratuita envia sua marca e categoria a duas empresas com dois acordos diferentes: a Anthropic processa para responder e nada mais, enquanto o Google também pode aprender com isso. Se isso importa para você, adicione a sua própria chave de API do Gemini em Configurações — uma verificação na sua chave roda sob a sua conta e os seus termos com o Google, não os nossos.

Não vendemos dados e não os compartilhamos com mais ninguém para fins de publicidade ou marketing.

Por que guardamos os resultados das verificações

Guardar cada verificação é o que faz funcionar os links "Copiar veredito" / "Compartilhar no X" e a página de resultados /r/<id> — se não mantivéssemos o registro, um link compartilhado não teria nada para carregar. Isso também nos permite aplicar limites de uso justo.

Por quanto tempo guardamos

Os registros de verificações e os IPs com hash são mantidos para operar o produto (páginas de resultados, limitação de requisições e prevenção de abuso). Se você quiser que uma verificação ou um e-mail guardado seja removido, fale com a gente — veja abaixo.

Suas escolhas

Fazer uma verificação exige uma conta gratuita, então guardamos o endereço de e-mail com que você se cadastra e as formas pelas quais você entra: uma senha que só guardamos como hash argon2id (hashes PBKDF2 mais antigos são substituídos no seu próximo login), um vínculo com a sua conta Google e as passkeys que você adicionar. Você pode remover uma passkey na página de Segurança a qualquer momento.

Você mesmo pode excluir sua conta, em Configurações. Isso remove sua conta, cada consulta monitorada e seu histórico de execuções, cada verificação que você fez, as chaves de provedores salvas, suas conexões com Google e Bing, seu vínculo de login com o Google e passkeys, seus tokens de API e apps conectados. Os links de resultados compartilhados deixam de funcionar, porque as respostas por trás deles fazem parte do que é excluído. Se você tem um plano pago, ele é cancelado primeiro no Stripe, e se esse cancelamento falhar nada é excluído — não vamos deixar você sendo cobrado por uma conta em que não consegue mais entrar. Mantemos uma coisa: o registro de que o Stripe nos enviou um evento de cobrança, com o identificador da sua conta removido.

Se você só quer que um endereço de e-mail seja removido, ou que um único resultado compartilhado seja retirado sem excluir a conta, envie-nos uma mensagem pelo formulário de contato e cuidaremos disso.

Alterações nesta política

Se o que guardamos mudar, esta página será atualizada primeiro, e a data de "última atualização" no topo refletirá isso.

Faça uma verificação grátis