Política de Privacidade

1. Dados pessoais que coletamos

Coletamos apenas o necessário para fornecer o serviço:

• Dados de cadastro: endereço de e-mail e senha. A senha é armazenada apenas de forma cifrada (hash bcrypt) — nunca temos acesso à senha em texto puro.
• Dados de acesso e segurança: endereço IP, data e hora dos acessos, e identificação do navegador/dispositivo (user agent) das sessões ativas.
• Dados de uso: ativos favoritados (watchlist) e listas/carteiras que você cria na plataforma.

Não coletamos dados pessoais sensíveis nem dados de menores de idade. A plataforma destina-se a maiores de 18 anos.

2. Finalidades e bases legais do tratamento

Tratamos seus dados para as seguintes finalidades e com as seguintes bases legais (art. 7º da LGPD):

• Criar e manter sua conta e prestar o serviço — execução de contrato (art. 7º, V).
• Autenticação, prevenção a fraudes e abuso (ex.: limitação de tentativas de login) — legítimo interesse (art. 7º, IX).
• Guarda de registros de acesso — cumprimento de obrigação legal (art. 7º, II, c/c art. 15 do Marco Civil da Internet).
• Registro do aceite dos Termos e desta Política — cumprimento de obrigação legal e exercício regular de direitos.

3. Cookies e tecnologias semelhantes

Utilizamos apenas cookies estritamente necessários ao funcionamento da plataforma. Hoje há um único cookie:

• refresh_token (essencial): cookie de sessão do tipo HttpOnly (inacessível a JavaScript), usado exclusivamente para manter você autenticado e renovar sua sessão com segurança. É indispensável ao login e, por isso, dispensa consentimento prévio.

Não utilizamos cookies de publicidade, rastreamento de terceiros ou analytics no momento. Caso venhamos a adotar cookies de analytics (medição de audiência) ou outras finalidades não essenciais, eles só serão ativados mediante o seu consentimento prévio, solicitado por meio de um aviso (banner) na plataforma, que poderá ser revisto ou revogado a qualquer momento. Você também pode gerenciar cookies nas configurações do seu navegador.

4. Compartilhamento e operadores

Não vendemos seus dados. Eles podem ser tratados por operadores que nos prestam serviços de infraestrutura, sempre sob nossa instrução:

• Supabase (banco de dados PostgreSQL gerenciado e hospedagem), com criptografia em repouso gerenciada pela plataforma.
• Provedores de infraestrutura/CDN responsáveis pela entrega da aplicação, com criptografia em trânsito (TLS).

Esses serviços podem armazenar dados em servidores fora do Brasil. Nesse caso, a transferência internacional observa o art. 33 da LGPD.

Também poderemos compartilhar dados para cumprir ordem judicial ou requisição de autoridade competente.

5. Contas corporativas (plano Team)

No plano Team, uma organização (empresa contratante) provisiona assentos (seats) e designa um administrador. Esse administrador tem acesso, no painel da organização, à lista de membros vinculados — incluindo o endereço de e-mail, o status (administrador ou membro) e a data de entrada de cada assento. Esse acesso é restrito ao administrador da própria organização e destina-se exclusivamente à gestão dos assentos contratados.

Papéis das partes. Para esse tratamento no âmbito da organização, a organização contratante atua como controladora dos dados dos seus membros (é ela quem decide quem recebe assento e para qual finalidade), e a Ceres atua como operadora (art. 5º, VII, da LGPD), tratando esses dados sob instrução da organização. A Ceres permanece controladora quanto aos tratamentos próprios da plataforma (criação de conta, autenticação, segurança e cobrança). Essa divisão de responsabilidades e as obrigações da operadora estão detalhadas no nosso Adendo de Tratamento de Dados (DPA).

Se você recebe um assento de uma organização, seus dados de conta poderão ser visíveis ao administrador dela conforme descrito acima. Dúvidas sobre o uso desses dados pela organização devem ser dirigidas ao administrador/controlador dela.

6. Retenção e eliminação

Mantemos os dados de cadastro enquanto sua conta existir. Os registros de acesso (incluindo IP) são mantidos por 6 (seis) meses, conforme o art. 15 do Marco Civil da Internet, e depois eliminados. Sessões expiradas ou revogadas são expurgadas periodicamente.

Ao excluir sua conta, seus dados pessoais são eliminados de forma definitiva, ressalvadas as hipóteses de guarda obrigatória previstas em lei.

7. Seus direitos como titular

Nos termos do art. 18 da LGPD, você pode, a qualquer momento:

• confirmar a existência de tratamento e acessar seus dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• solicitar a portabilidade e a exportação dos seus dados (disponível em Minha conta → Privacidade e dados);
• solicitar a eliminação dos dados e a exclusão da conta (também disponível em Minha conta → Privacidade e dados);
• obter informações sobre compartilhamento e revogar consentimento.

Você pode exercer esses direitos diretamente na plataforma ou pelos canais indicados na seção 9.

8. Segurança da informação

Adotamos medidas técnicas e administrativas para proteger seus dados: senhas armazenadas com hash bcrypt, tokens de sessão guardados apenas como hash, criptografia em trânsito (TLS) e em repouso, limitação de tentativas de login e controle de acesso. Nenhum sistema é totalmente imune a incidentes; em caso de incidente de segurança relevante, comunicaremos os titulares e a ANPD conforme exigido pela LGPD.

9. Encarregado (DPO) e contato

Para exercer seus direitos ou esclarecer dúvidas sobre o tratamento de dados, contate nosso Encarregado pelo Tratamento de Dados Pessoais:

[NOME DO ENCARREGADO]
E-mail: [E-MAIL DO ENCARREGADO]

10. Alterações desta Política

Podemos atualizar esta Política periodicamente. A versão vigente fica sempre disponível nesta página, com a data da última atualização. Caso a mudança seja significativa, poderemos solicitar novo aceite.