Privacidade

Versão 1.16.0. Vale a partir de 10 de outubro de 2026.

O que é coletado hoje

A conta é criada com o Google. Com ela, entra o que segue.

O e-mail da conta Google com que você entrou. O seu nome não é guardado: o cadastro grava o e-mail e nada mais da sua conta Google.
Sua data de nascimento, obrigatória. O produto é para maiores de 18 anos e o banco recusa data que não alcance essa idade. A data é guardada, e não a idade, porque idade gravada uma vez fica errada no dia seguinte ao seu aniversário.
Suas medidas, em centímetros. A altura é obrigatória. Busto, cintura e quadril são opcionais, e o produto oferece estimá-los a partir da altura se você preferir não medir. São números sobre o seu corpo, e ficam guardados enquanto a sua conta existir.
O retrato do seu corpo em palavras, montado a partir do que você escolhe no cadastro: formato do corpo, tom de pele, cabelo e mais alguns, junto com as medidas acima. Não vem de foto. Desde a versão 1.11.0 ele NÃO sai daqui: ele fica no nosso banco e não é enviado a ninguém. Até a versão 1.10.0 ele ia à Cloudflare em toda geração, porque a imagem era desenhada a partir dele; hoje toda imagem nasce de uma foto sua, e é a foto que vai, o retrato ficou para o que você lê e edita aqui dentro.
O que você digita ao pedir um look, quando você escreve algo. É uma frase opcional que acompanha a foto, e ela vai junto com a foto para quem gera a imagem. Antes disso, ela passa por uma conferência automática no Google; se o Google não responder, desde a versão 1.14.0 a mesma frase pode ir à Cloudflare, só ela, para a mesma conferência.
As imagens geradas, e a data em que cada uma foi feita. A que você não guarda é apagada em 30 dias.
Sua resposta à pergunta "ficou parecido com o seu corpo?", sim ou não. Responder é opcional, nada no produto depende disso, e você pode retirar a resposta tocando de novo no botão. Ela serve para medirmos se o produto acerta, e não muda a sua próxima imagem.
Uma foto sua, só se você enviar uma. Existe um endereço para enviar a foto do seu corpo e a foto de uma roupa, e ele só aceita depois de você marcar uma caixa separada, que diz exatamente isso. Recusar essa caixa deixa você usar a conta, mas sem gerar looks: desde a versão 1.11.0 todo look nasce de uma foto. O que chega é reescrito antes de ser guardado: os dados escondidos que o celular grava dentro do arquivo (localização, modelo do aparelho, data e hora, miniatura original) são descartados, e a imagem é reduzida a 1024 pixels no lado maior. As duas fotos não ficam guardadas pelo mesmo tempo: a foto de uma ROUPA que ainda não gerou nada fica até 24 horas; a que gerou um look fica guardada enquanto esse look existir, e é apagada junto com ele quando você apaga o look, porque ela aparece embaixo do resultado para você ver o que entrou. A foto DO SEU CORPO fica guardada até você trocá-la por outra ou apagá-la, sem prazo.
As peças do seu guarda-roupa, se você cadastrar alguma. Desde 12 de setembro de 2026 dá para fotografar uma peça de roupa sua e guardá-la aqui, com uma categoria (parte de cima, calçado, e por aí). A peça fica até você apagar, porque o ponto dela é ser usada em vários looks sem você fotografar de novo. Ela passa pela mesma conferência automática das outras fotos, e sai, com arquivo e registro, quando você toca em Apagar ou quando você apaga a conta.
Toda foto enviada é conferida por um programa antes de ser guardada, e isso acontece fora daqui. No momento do envio, antes de o arquivo existir no nosso armazenamento, a foto já reduzida e sem os dados escondidos é enviada à Cloudflare, que responde a três perguntas sobre ela: se há uma pessoa na imagem, se essa pessoa aparenta ser menor de 18 anos, e se há nudez explícita. Nenhuma pessoa nossa olha a sua foto nesse passo, e o que guardamos da conferência é a data e hora dela e o nome do programa que respondeu. Desde a versão 1.13.0, a foto vai também à Sightengine, uma segunda empresa, fora do Brasil, e só para a pergunta da idade. A foto do seu corpo e a de um look vão sempre; a foto de uma peça solta só vai quando a conferência da Cloudflare acha uma pessoa nela, porque peça sem ninguém não tem rosto para conferir. Ela procura rostos na imagem e devolve um número entre 0 e 1 para cada um, dizendo o quanto aquele rosto parece ser de menor de 18 anos. Ela não recebe nome, e-mail, medida nem qualquer outro dado seu, e não recebe as outras duas perguntas, que continuam na Cloudflare. O que guardamos dela é o mesmo de antes: a data e hora da conferência e o nome do programa.
Se a conferência acusar, a foto é recusada na hora e não chega a ser guardada aqui. Se o programa não responder, o envio também é recusado, e você vê um pedido para tentar de novo: preferimos recusar uma foto boa a guardar uma que ninguém conferiu. Em qualquer dos dois casos, a foto já passou pela Cloudflare, porque é lá que a conferência acontece.
O áudio, quando você toca o microfone na conversa. Ele serve a uma coisa só: virar texto, para você não precisar digitar. A gravação só começa quando você toca o botão, e para quando você toca de novo. Nada é gravado antes disso, e o site não escuta em segundo plano. O áudio vai para a Cloudflare, fora do Brasil, para ser transcrito, e não é guardado: nem por nós, nem em banco, nem em arquivo. O que sobra é o texto, e ele aparece no campo, para você ler e corrigir antes de enviar; ele não é enviado sozinho. Se você apagar o texto e não enviar, não fica nada. A transcrição é automática e às vezes erra (inclusive inventando palavras quando o áudio não tem fala), e é por isso que quem lê antes de enviar é você.
Sinais do seu navegador, quando você envia a foto do seu corpo ou de um look, busca uma foto por link ou pede um look. Desde a versão 1.14.0, antes desses pedidos, uma conferência da Cloudflare (o Cloudflare Turnstile) confere se é uma pessoa, e não um programa, que está pedindo. Na maior parte das vezes ela é invisível. Ela lê sinais do navegador, como o tipo de navegador e o jeito que a página foi usada, e o nosso servidor manda a ela o seu endereço de IP junto com a resposta, para ela conferir. Nós não guardamos nada disso.
O link de um pin, só se você usar "De um link". Desde a versão 1.14.0, no "Novo look", dá para colar o link de um pin do Pinterest em vez de escolher uma foto da galeria. O link vai para a Firecrawl, uma empresa fora do Brasil, que abre a página do pin e nos diz qual é a foto dele. Vai só o link, e nada da sua conta no Mileto. Nós tiramos a parte do fim do link, que diz quem compartilhou o pin. Mas, se você colar um link curto do Pinterest (os que começam com pin.it), a Firecrawl abre o link inteiro, e ele pode dizer qual conta do Pinterest compartilhou o pin, muitas vezes a sua. A foto que volta segue exatamente o caminho de uma foto da galeria, com a mesma conferência e o mesmo prazo.
O que você faz no app, contado por um código. Desde a versão 1.14.0 contamos cinco momentos: entrar (e se é a primeira vez), enviar uma foto, enviar uma peça, pedir um look e o look ficar pronto. A contagem vai para o PostHog, na Europa, ligada a um código que nós calculamos a partir da sua conta e que, sozinho, não diz quem você é. Não vai o seu nome, o seu e-mail, o seu IP, nenhuma foto nem nada que você escreve. Não há gravação da tela, não há cookie de terceiro e nada é lido no seu navegador: a contagem sai do nosso servidor.
O extrato de créditos e o registro dos aceites, com data, versão do documento, endereço de IP e navegador. O aceite é a prova que a lei exige de quem trata seu dado.

Quando algo mudar no que é coletado, esta política muda junto e o aceite é pedido de novo. A versão acima é o que registra qual documento você aceitou.

Para que

O retrato e as medidas: para você ler e editar o seu perfil aqui dentro. Desde a versão 1.11.0 eles não entram na geração da imagem: quem mostra o seu corpo é a sua foto.

Sua resposta à pergunta "ficou parecido?": para medirmos se o produto funciona. É a única medida de precisão que temos, porque é a única feita por quem tem o corpo.

A foto, se você enviar: para vestir uma roupa em você mesma. É a única coisa que o provador faz com ela, e ele faz isso fora daqui: ver o item da Kie.ai abaixo. A foto do seu corpo fica guardada para o próximo look não pedir a mesma foto de novo, e essa é a única razão de ela ficar: ela não treina modelo nenhum e não serve para te reconhecer em lugar nenhum.

A conferência automática da foto: para não guardarmos imagem de menor de idade nem nudez explícita, nem por engano nem de propósito. É o único uso: o resultado não alimenta nenhum modelo, não muda a sua próxima imagem e não vira estatística sobre você.

A data de nascimento: para conferir os 18 anos, e só.

Os sinais do navegador: para impedir que um programa gaste as gerações, que custam dinheiro, no lugar de uma pessoa. É o único uso.

O link do pin: para achar a foto do look que você quer vestir, e só.

A contagem do que você faz no app: para sabermos em que passo as pessoas desistem, e consertar esse passo. Ela não serve para publicidade, não é vendida e não monta perfil sobre você.

O extrato e os aceites: para você conferir o que gastou, e para provarmos o que a lei exige que provemos.

Nada disso é vendido, repassado para publicidade ou colocado em lista de terceiro. As empresas listadas abaixo veem o que está escrito lá, e nenhuma delas recebe o seu dado para usar por conta própria.

Onde ele fica, e quem mais vê

Supabase (banco de dados), na região de São Paulo. É onde a sua conta, as suas medidas e o registro das gerações moram. O ARQUIVO das imagens saiu daqui em 12 de setembro de 2026 e passou a ficar na Cloudflare, abaixo.
Vercel (hospedagem do site), com servidores fora do Brasil. Ela vê o tráfego, não o conteúdo do banco.
Sightengine (a pergunta da idade na conferência da foto), fora do Brasil, desde a versão 1.13.0. Ela recebe a foto que você acabou de enviar, no momento do envio (a de uma peça solta, só quando há uma pessoa nela), e devolve um número por rosto encontrado, dizendo o quanto aquele rosto parece ser de menor de 18 anos. Ela não recebe mais nada: nem o seu nome, nem o seu e-mail, nem as suas medidas, nem a conversa, nem as outras duas perguntas da conferência, que continuam na Cloudflare. Por que uma segunda empresa para uma pergunta só: porque medimos, e a que já estava aqui errava. Em 13 fotos de adultos, o programa da Cloudflare apontou 2 como menores de idade. Cada um desses erros é uma pessoa adulta impedida de usar o produto. A Sightengine não apontou nenhum. Trocar quem responde essa pergunta não é preferência técnica: é a diferença entre barrar uma adulta a cada sete e não barrar.
Sentry (relatório de erro), fora do Brasil. Ele recebe erro técnico, e o corpo das requisições, os cookies e a query das URLs são apagados antes de o relatório sair do nosso servidor.
Cloudflare (conferência da foto, nome da peça, transcrição do áudio e, desde 12 de setembro de 2026, o armazenamento das imagens e das fotos), fora do Brasil. Ela guarda o arquivo em balde privado, que só abre por um link com prazo. Até a versão 1.7.0 o arquivo era guardado em São Paulo, e desde a 1.8.0 ele é guardado fora do Brasil. Não há região no Brasil neste serviço. Ela recebe a sua foto no momento em que você a envia, para a conferência automática descrita acima, e a foto de uma peça também para descrevê-la e dar um nome a ela no seu guarda-roupa. Desde a versão 1.11.0 ela não recebe mais o retrato do seu corpo em palavras, e nunca recebeu o seu e-mail, o seu nome ou a sua data de nascimento. E, desde a versão 1.10.0, ela recebe o áudio que você grava no microfone, para transcrevê-lo. Desde a versão 1.14.0 ela pode receber também a frase que você escreve junto com a foto, só quando o Google não responde à conferência dela. O áudio não é guardado por nós em lugar nenhum: ele é enviado, vira texto e some do nosso lado na mesma requisição. O que a Cloudflare faz com o que recebe está nos termos dela, e o link fica aqui quando o texto definitivo entrar.
Google, em três papéis, fora do Brasil. É por onde você entra (login), recebe a frase que você escreve junto com a foto, QUANDO você escreve alguma, para conferir se o pedido é aceitável antes de gastarmos a geração (nessa conferência vai só o texto que você escreveu: o retrato do seu corpo não entra, e desde a versão 1.11.0 ele não sai daqui para lugar nenhum; se o Google não responder, a frase pode ir, só ela, à Cloudflare, para a mesma conferência), e é o dono do modelo que desenha a roupa sobre a sua foto no provador, que chega a ele pela Kie.ai, abaixo. Sem frase, não há conferência de texto: não há texto.
Kie.ai (o provador), fora do Brasil. Quando você toca "Vestir", a sua foto e a roupa que você escolheu vão para a Kie.ai, que as entrega ao modelo do Google e devolve a imagem de você vestida. A roupa pode ser a foto de um look, enviada para AQUELA geração, ou as peças do seu guarda-roupa, e o que acontece com cada uma depois é diferente: a foto de um look FICA GUARDADA enquanto o look que ela gerou existir, e é apagada junto com ele quando você apaga o look, ela aparece embaixo do resultado, para você ver e mostrar o que entrou; as peças do guarda-roupa também NÃO são apagadas. Elas ficam até você apagar, e voltam a sair do Brasil, para a Kie.ai e para o Google, a cada look que usar elas. A foto do SEU CORPO fica guardada, para você pedir outro look sem enviar tudo de novo, e sai quando você trocar ou apagar. O que fica do lado deles: a imagem gerada é guardada pela Kie.ai por cerca de duas semanas, num endereço que abre para quem tiver o link, e nós não temos como apagá-la antes. Nós baixamos a imagem na hora e a guardamos aqui; o link deles não é mostrado nem guardado por nós. O que a Kie.ai e o Google fazem com o que recebem está nos termos deles.
Cloudflare Turnstile (a conferência de que é uma pessoa pedindo), fora do Brasil, desde a versão 1.14.0. É a mesma empresa do item acima, com outra finalidade, e por isso tem linha própria: ela recebe os sinais do seu navegador e o seu IP quando você envia a foto do seu corpo ou de um look, busca uma foto por link ou pede um look, e responde se passou. O que ela faz com isso está nos termos dela.
Firecrawl (o "De um link"), fora do Brasil, desde a versão 1.14.0. Ela recebe só o link do pin que você colou, e só quando você usa "De um link". Não recebe foto, nome, e-mail, IP nem nada da sua conta no Mileto. No link curto do Pinterest (pin.it), ela abre o endereço inteiro, que pode trazer a conta do Pinterest que compartilhou o pin.
PostHog (a contagem do que você faz no app), na Europa, desde a versão 1.14.0. Ele recebe o código no lugar da sua conta e os cinco momentos descritos acima, com a hora. Não recebe foto, nome, e-mail, IP nem texto, e a localização pelo IP vai desligada.
Upstash (a contagem de pedidos por hora, que barra quem pede demais), em São Paulo, desde a versão 1.14.0. Ele recebe só números, e a identificação de cada contagem é embaralhada antes de sair daqui: ele não vê o seu nome, o seu e-mail, o código da sua conta nem o seu IP.

As oito de fora do Brasil são transferência internacional de dado (Vercel, Sentry, Cloudflare, Sightengine, Google, Kie.ai, Firecrawl e PostHog), e por isso pedimos um aceite separado para ela, como manda o Art. 33 da LGPD. Desde a versão 1.15.0 esse aceite é pedido na primeira vez que você envia uma foto, e não mais no cadastro: antes dele, nenhuma foto sua sai do Brasil. Quem já tinha aceitado no cadastro não precisa aceitar de novo. Desde a versão 1.14.0 há duas empresas a mais nessa lista, a Firecrawl e o PostHog, e uma finalidade nova da Cloudflare, a conferência de que é uma pessoa pedindo. A Firecrawl só recebe algo se você usar "De um link"; o PostHog recebe a contagem descrita acima; a Cloudflare Turnstile recebe os sinais do navegador em cada um dos três pedidos descritos acima. Não há como separar: recusar esta transferência é recusar o envio de foto e o pedido de look, e sem eles o produto não funciona. Preferimos escrever isso do que esconder atrás de um aceite que não muda nada.

A transferência para a Cloudflare inclui o ÁUDIO que você grava no microfone, desde a versão 1.10.0, além do ARQUIVO guardado das suas imagens e fotos. O Supabase e o Upstash, que ficam em São Paulo, guardam aqui o banco de dados e as contagens de pedidos.

Por quanto tempo

O áudio do microfone: nada. Ele não é guardado em momento nenhum, não há prazo porque não há arquivo. Ele é enviado para virar texto e some do nosso lado na mesma requisição. O que sobra é o texto que aparece no campo, e ele só existe enquanto você não o apagar ou enviar.

Os sinais do navegador e o link do pin: nada, do nosso lado. Nós não guardamos nenhum dos dois. O que a Cloudflare e a Firecrawl fazem com o que recebem está nos termos delas.

A contagem do que você faz no app: até 1 ano no PostHog, e depois ela some. Ela fica ligada só ao código, e não à sua conta: quando você apaga a conta, some daqui o único jeito de ligar o código a você.

As contagens de pedidos: até 2 horas no Upstash, e até 2 dias no nosso banco, quando ele conta no lugar do Upstash (a limpeza passa uma vez por dia).

As imagens que você não guarda: 30 dias. Depois disso o arquivo é apagado do armazenamento. Guardar uma imagem a segura por tempo indeterminado, até você apagar.

A foto de uma roupa enviada para UM look: 24 horas enquanto nenhum look tiver sido gerado com ela. Assim que ela gera um look, o prazo sai: ela fica guardada enquanto esse look existir, e é apagada junto com ele quando você apaga o look. Em nenhum dos dois casos o arquivo fica guardado escondido depois do fim.

A peça do seu guarda-roupa: até você apagar, sem prazo. A diferença para a linha acima é o que você pediu: a foto de um look serve a uma geração, e a peça é uma coisa sua, cadastrada para ser usada de novo. Arquivar uma peça só a tira da sua grade; o arquivo sai quando você toca em Apagar, e apagar a conta leva todas.

A foto do seu corpo: até você trocar ou apagar, sem prazo. Ela fica porque é a mesma foto em todo look que você pedir, e sem ela guardada cada pedido começaria por um envio novo. Enviar outra no lugar apaga a anterior na hora. Na página da conta dá para apagar sem enviar nada, e apagar a conta apaga as fotos junto.

A foto que a conferência recusar: nada. Ela não chega a ser guardada, então não há prazo nem arquivo a apagar. O que fica é o registro técnico de que um envio foi recusado, sem a imagem.

Da foto que passar, fica também a data e a hora da conferência e o nome do programa que respondeu, ao lado da foto, e os dois somem com ela.

O retrato, as medidas e a data de nascimento: enquanto a sua conta existir. Apagar a conta apaga tudo isso.

Um código do seu e-mail, se você ganhou os créditos de boas-vindas: fica mesmo depois de você apagar a conta. É um código irreversível, que não deixa voltar ao endereço, e serve só para a mesma pessoa não ganhar os créditos de boas-vindas de novo ao apagar e criar a conta outra vez (prevenção a fraude).

O registro de que uma geração existiu continua depois de você apagar a imagem, sem o texto do retrato: o extrato de créditos aponta para ele, e apagar a linha apagaria a explicação de uma cobrança que aconteceu. E o que sobra é o registro, não a imagem.

Sua resposta à pergunta "ficou parecido?" sobrevive a você apagar a imagem, e isso é proposital: quem apaga um resultado costuma ser quem não gostou dele, e limpar a resposta junto apagaria os "não" primeiro, a nossa medida de precisão melhoraria toda vez que o produto te decepcionasse. Você pode retirar a resposta quando quiser, tocando de novo no botão, e aí ela some de verdade.

O que você pode pedir

Confirmação de que há tratamento, acesso, correção, eliminação, portabilidade e informação sobre compartilhamento (Art. 18 da LGPD).

Se você tem conta, duas delas são imediatas e suas: na página da conta há um botão que baixa tudo que temos sobre você num arquivo, e um que apaga a conta inteira. Nenhum dos dois pede justificativa, e o segundo não pede senha nem confirmação por e-mail: apagar é um direito, e não um pedido. A contagem do PostHog não entra no arquivo: lá ela está ligada só ao código, e não à sua conta.

As outras são pedidas por e-mail, e a resposta sai em até 15 dias.

Encarregado de dados: suporteclothingchat@gmail.com