Política de Privacidade

1. Controlador e encarregado

O controlador dos seus dados é a TECHLAB SOLUÇÕES DIGITAIS LTDA, CNPJ 57.243.879/0001-10, Rua São Cristóvão, 817, Sala 03, Zona 08, Maringá/PR, CEP 87050-490.

O canal do encarregado pelo tratamento de dados pessoais (DPO) é o e-mail [email protected]. Você também pode falar conosco pela Ajuda no aplicativo.

2. Dados que tratamos

• Conta: e-mail, o nome que você escolhe, nome de exibição, idioma e, se você entrar com Google ou Apple, o identificador e o e-mail fornecidos por essa conta.

• O que você faz no serviço: cafés favoritos, listas e listas que você segue, avaliações e fotos, check-ins (o café e o momento, nunca a sua posição), participação em eventos de carimbos, avisos de informação desatualizada, pedidos de ajuda e preferências de notificação.

• Aparelho e acesso: identificador para notificações push, endereço IP, agente do usuário (navegador ou aparelho), data e hora de acesso e registros técnicos de erros.

• Responsáveis por cafeterias: nome e e-mail de quem gerencia a página, função na equipe e registro das ações feitas no painel. Os dados de contato da cafeteria exibidos publicamente são dados comerciais.

Não pedimos dados sensíveis e pedimos que você não os inclua em avaliações ou pedidos de ajuda.

3. Para que usamos e com qual base legal

• Execução de contrato (art. 7º, V): criar e manter a sua conta, entrar com código por e-mail, salvar favoritos e listas, publicar avaliações, registrar check-ins e carimbos, responder aos seus pedidos de ajuda e enviar e-mails necessários ao serviço.

• Legítimo interesse (art. 7º, IX): segurança, prevenção a fraudes e abusos, limitação de requisições, moderação de conteúdo, estatísticas agregadas para as cafeterias e melhoria do serviço, inclusive a análise de uso do produto: no aplicativo, um identificador aleatório guardado no aparelho (nunca ligado à sua conta, ao seu nome ou ao seu e-mail) permite contar o uso que se repete; no site, nada é guardado. Você pode desligar a análise em Perfil › Análise de uso, ou se opor pela Ajuda.

• Consentimento (art. 7º, I): notificações push. Você pode retirar o consentimento a qualquer momento nas configurações do aparelho ou do aplicativo.

• Cumprimento de obrigação legal (art. 7º, II): guarda dos registros de acesso a aplicações por 6 meses, conforme o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014), e atendimento a ordens de autoridades.

4. Localização

Com a sua permissão, o aplicativo usa a localização do aparelho para mostrar cafés perto de você e para confirmar um check-in. No check-in, a posição é usada só naquele momento para verificar que você está perto do café e não é guardada.

Se você buscar por um endereço, o texto da busca é enviado ao Google para encontrar o local.

5. O que fica público e quem vê o quê

• Público: as suas avaliações e fotos, com o seu nome de exibição, e as listas que você tornar públicas (qualquer pessoa com o link pode vê-las e segui-las).

• Equipe da cafeteria: ao escanear o seu código QR em um evento, vê o seu nome ou as suas iniciais. Também vê os avisos de informação desatualizada sobre o próprio café.

• Nosso time: avisos de informação desatualizada, pedidos de ajuda e conteúdo retido pela moderação.

As cafeterias veem apenas números agregados de visualizações e toques por dia. Não guardamos um registro de quem viu cada página: para não contar a mesma pessoa duas vezes, usamos por 30 minutos, apenas em memória, um identificador cifrado (hash) que muda todo dia.

6. Moderação automatizada

Todo texto e toda foto pública (avaliações, respostas, nomes de listas, nomes de exibição e atualizações de cafés) é analisado antes da publicação por um modelo de inteligência artificial da Anthropic (Claude), que atua como operador. O conteúdo retido é revisado por uma pessoa do nosso time, e você pode pedir a revisão de uma decisão pela Ajuda (art. 20 da LGPD).

7. Com quem compartilhamos

Não vendemos dados pessoais e não exibimos anúncios de terceiros. Compartilhamos dados apenas com operadores que nos ajudam a prestar o serviço, sob contrato e só para essa finalidade:

• Oracle Cloud Infrastructure: hospedagem, banco de dados e armazenamento de arquivos, em São Paulo, Brasil.

• Cloudflare: entrega e proteção do site e da API (todo acesso passa por ela, inclusive o endereço IP), com servidores em vários países.

• Resend: envio de e-mails transacionais, Estados Unidos.

• Expo, Apple e Google: entrega de notificações push, Estados Unidos.

• Google: mapas e busca de endereços, Estados Unidos.

• Anthropic: moderação de conteúdo, Estados Unidos.

• Sentry: monitoramento de erros, com dados pessoais removidos, União Europeia.

• PostHog: análise de uso do produto, em servidores na União Europeia: sem capturar o que é digitado em campos, sem perfis de pessoas, sem localização pelo IP. No aplicativo, um identificador aleatório que não é ligado à sua conta; no site, nenhum identificador guardado. No painel das cafeterias, a equipe da cafeteria é identificada (pelo número interno da conta) para melhorarmos a ferramenta.

Também podemos compartilhar dados quando a lei exigir ou por ordem de autoridade competente, e para defender direitos em processos.

8. Transferência internacional

Alguns operadores tratam dados fora do Brasil, principalmente nos Estados Unidos e na União Europeia. Essas transferências seguem os mecanismos do art. 33 da LGPD, como cláusulas contratuais padrão, e exigimos desses operadores um nível de proteção compatível com a lei brasileira.

9. Cookies e armazenamento no aparelho

No site, usamos um cookie de sessão necessário para manter você conectado. No aplicativo, a sessão fica guardada no armazenamento seguro do aparelho.

Não usamos cookies de publicidade nem de rastreamento entre sites.

10. Por quanto tempo guardamos

• Dados da conta: enquanto a conta existir. Depois do pedido de exclusão, a conta fica desativada por 30 dias e então é apagada.

• Mensagens da caixa de entrada: 90 dias.

• Arquivo de “Baixar meus dados”: 7 dias.

• Pedidos de ajuda: até a exclusão da conta.

• Registros de acesso (cada entrada na conta, com IP, aparelho e horário): 6 meses, por obrigação legal, mesmo que a conta seja apagada antes. Registros de segurança de ações das equipes de cafeterias e do nosso time podem ser guardados por mais tempo, enquanto necessários à segurança e à defesa de direitos.

• Registros técnicos das requisições (o conteúdo de cada pedido ao serviço e da resposta, para investigar falhas): 30 dias, sem senhas, códigos ou chaves, sem a sua localização, e com nome, e-mail e telefone ocultos. Para atender um pedido de ajuda seu, esses dados podem ficar visíveis por até 3 dias, com registro de quem pediu e por quê.

• Estatísticas agregadas das cafeterias: mantidas, pois não identificam pessoas.

• Cópias de segurança (backups): guardadas por até 365 dias, na Oracle Cloud em São Paulo; dados apagados saem delas ao fim desse prazo e não são restaurados nesse meio-tempo.

Avaliações de uma conta apagada são excluídas ou mantidas de forma anonimizada, conforme a sua escolha ao excluir a conta.

11. Seus direitos

Pelo art. 18 da LGPD, você, como titular, pode pedir: confirmação de que tratamos seus dados; acesso; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir; e revogação do consentimento.

No aplicativo você mesmo pode baixar seus dados (“Baixar meus dados”, que envia por e-mail um link válido por 7 dias para um arquivo JSON), editar seu nome, ajustar as notificações e excluir a conta. Para os demais pedidos, escreva para [email protected] ou use a Ajuda. Podemos confirmar a sua identidade antes de atender.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

12. Segurança

Usamos conexões criptografadas, controle de acesso, autenticação em duas etapas para o nosso time, registros de auditoria e armazenamento privado para arquivos que não são públicos. Removemos dados de localização (EXIF) das fotos enviadas. Nenhum sistema é totalmente seguro: se ocorrer um incidente que possa trazer risco ou dano relevante, avisaremos você e a ANPD, como manda a lei.

13. Menores de idade

O Café Map não é destinado a menores de 18 anos, e não criamos contas para eles de forma consciente. Se soubermos que uma conta pertence a um menor, ela será excluída.

14. Alterações desta Política

Esta Política tem versão. Quando mudar de forma relevante, o aplicativo pedirá que você leia e aceite a nova versão antes de continuar.