Política de Privacidade

1. Controlador

Quem Tem Boca Investe — CNPJ [placeholder], endereço [placeholder].

2. Encarregado de Dados (DPO)

Contato do Encarregado para assuntos relativos a dados pessoais: [placeholder — email do DPO].

3. Dados coletados

• Cadastro: email (obrigatório) e preferências de notificação (opcionais — gestoras seguidas, conceitos da watchlist, frequência de email).
• Uso do Serviço: pageviews e métricas agregadas via Vercel Analytics, apenas mediante opt-in no banner de cookies.
• Feedback e sugestões: dados fornecidos voluntariamente em formulários (/sugestoes, /parcerias, reporte de erro), incluindo eventualmente email e texto livre.
• Diagnóstico técnico: logs de erro via Sentry (sem dados pessoais identificáveis intencionalmente coletados).

4. Finalidades

• Prover acesso autenticado ao Serviço e suas funcionalidades pessoais.
• Enviar comunicações operacionais (magic link de login, alertas configurados, mudanças de Termos).
• Análise agregada e anonimizada de uso para evolução do produto.
• Tratamento de reportes, sugestões e contato.

5. Bases legais (LGPD art. 7º)

• Execução de contrato (inc. V): cadastro e fornecimento do Serviço.
• Consentimento (inc. I): cookies de analytics e comunicações não operacionais.
• Legítimo interesse (inc. IX): segurança, prevenção a fraude e abuso, integridade técnica.
• Cumprimento de obrigação legal (inc. II): retenção mínima para fins fiscais e regulatórios.

6. Compartilhamento e operadores

Operam como operadores de dados, sob contrato e padrões de segurança equivalentes:

• Supabase — banco de dados, autenticação e armazenamento.
• Vercel — hospedagem e analytics.
• Sentry — monitoramento de erros.
• Anthropic — processamento por modelo de linguagem apenas do conteúdo público das cartas das gestoras; dados pessoais do usuário não são enviados para a Anthropic.

Não há comercialização de dados pessoais a terceiros.

7. Transferência internacional

Os operadores acima podem armazenar e processar dados em regiões fora do Brasil (notadamente Estados Unidos). As transferências observam salvaguardas contratuais e os provedores aderem a padrões reconhecidos (LGPD, GDPR, SOC 2).

8. Direitos do titular (LGPD art. 18)

O titular pode, a qualquer tempo, exercer os direitos de:

• confirmação de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação;
• portabilidade;
• eliminação dos dados tratados com consentimento;
• informação sobre compartilhamentos;
• revogação do consentimento;
• oposição a tratamento.

Solicitações pelo email do Encarregado (seção 2). Resposta em até 15 dias.

9. Retenção

• Dados de cadastro: mantidos enquanto a conta estiver ativa.
• Após exclusão da conta: retenção mínima de 6 meses para cumprimento de obrigações legais e regulatórias, depois eliminados.
• Métricas agregadas e anonimizadas: mantidas indefinidamente, sem possibilidade de re-identificação.

10. Cookies

• Essenciais (sessão Supabase Auth): sempre ativos, indispensáveis ao funcionamento. Sem opt-in.
• Analytics (Vercel Analytics): ativados apenas após aceite no banner de cookies. Recusa = sem coleta.

11. Segurança

Medidas técnicas e administrativas razoáveis para proteger os dados (TLS em trânsito, criptografia em repouso, controle de acesso, logs de auditoria do dashboard admin).

12. Atualizações

Esta Política pode ser revista periodicamente. Alterações materiais são comunicadas por email aos usuários cadastrados.

13. Contato

Dúvidas e exercício de direitos: [placeholder — email do DPO].