O que nunca é público
Prompt associado a pessoa, IP completo, e-mail, telefone, identificador de reserva e nome de hóspede não entram no registro público. Dados brutos de cliente permanecem fora do laboratório aberto.
Hotel, pseudônimo e consentimento
A identidade do hotel fica pseudonimizada até existir consentimento específico e verificável para case nominal. Consentimento de pesquisa, analytics, publicação anonimizada e case com nome são decisões separadas.
Agregação mínima
Agregados de hotel exigem k ≥ 5. Grupos menores são combinados, suprimidos ou mantidos privados. A regra não é contornada trocando o nome por um rótulo fácil de reidentificar.
Snapshots e origem
Cada evidência pública declara origem, momento de captura e SHA-256 do arquivo. Correção gera nova versão; não reescreve silenciosamente a série histórica nem o pré-registro.
Retenção operacional
- Logs operacionais brutos: até 90 dias, antes de agregação ou exclusão.
- Evidência pseudonimizada de pesquisa: até 24 meses após conclusão.
- Agregado público: enquanto o registro existir, com versões preservadas.
- Pedido de exclusão verificado: tratamento operacional em até 30 dias.
Esses prazos são escolhas operacionais do programa e precisam ser implementados e auditados em cada pipeline; não são apresentados como prazo legal universal.
Resultado nulo continua existindo
Resultado nulo, negativo, invalidado e falha de replicação permanecem no índice público. Ausência de medição não vira zero; origem desconhecida não vira referral atribuído.
Versão de máquina
Ler a política em JSON · Schema GEO-EXP v1 · Dicionário de métricas v1