Politica de Privacidade

1. Dados que coletamos

• Cadastro: nome, email, telefone, CPF/CNPJ
• Autenticacao: hash bcrypt da senha, segredo 2FA criptografado AES-256
• Pagamento: processado pelo Asaas - nao armazenamos dados de cartao
• Tecnicos: IP, user agent, timestamps de login, browser fingerprint
• Comportamento: historico de buscas, produtos visualizados, compras

2. Como usamos

• Operar a plataforma (login, vendas, downloads, suporte)
• Prevenir fraude (Fail2Ban, spike detection, audit log)
• Calcular reputacao de vendedores
• Recomendar produtos (search log, trending)
• Enviar comunicacoes transacionais (pedidos, disputas, SLA)
• Cumprir obrigacoes legais e fiscais

3. Bases legais (LGPD Art. 7)

• Execucao de contrato: operacao do marketplace
• Consentimento: marketing e analytics
• Legitimo interesse: seguranca + prevencao a fraude
• Cumprimento legal: dados fiscais e LGPD/Marco Civil

4. Compartilhamento

Compartilhamos dados apenas com:

• Asaas: processamento de pagamentos (PIX/Cartao/Boleto)
• Provedores LLM (OpenAI/Gemini/Groq): apenas conteudo do produto submetido para QA, nunca dados pessoais
• Provedor de email (Gmail SMTP): apenas seu email + conteudo da mensagem transacional
• Autoridades: mediante ordem judicial

Nao vendemos dados pessoais a terceiros.

5. Seguranca

• Senhas: bcrypt cost 12
• 2FA TOTP: AES-256-GCM no banco
• API keys de terceiros (cofre): AES-256-GCM
• JWT duplo: access 15min + refresh 7d HTTP-only Secure
• Fail2Ban: 5 falhas = ban 15min
• HTTPS obrigatorio (Lets Encrypt auto-renew)
• Helmet CSP estrito + sanitizacao anti-XSS
• Audit log imutavel para acoes sensiveis
• Backup pg_dump a cada 6h com retencao 7 dias

6. Seus direitos (LGPD Art. 18)

Voce pode solicitar a qualquer momento via email:

• Confirmacao de existencia de tratamento
• Acesso aos seus dados
• Correcao de dados incompletos/desatualizados
• Anonimizacao, bloqueio ou eliminacao de dados desnecessarios
• Portabilidade dos dados
• Revogacao de consentimento
• Informacao sobre compartilhamento

7. Retencao

• Dados cadastrais: enquanto a conta estiver ativa + 5 anos (obrigacao fiscal)
• Metrics e logs: 30 dias
• Search log: 30 dias
• Vault keys revogadas: 90 dias
• Backups: 7 dias rotativos

8. Cookies

Usamos cookies essenciais:

• cas_rt: refresh token (HttpOnly, Secure, SameSite=Lax, 7d)
• cas_auth (localStorage): access token (15min)

Nao usamos cookies de tracking de terceiros.

9. Contato DPO

Encarregado de Dados: Inovare AI Ecosystem
Email: fabricadeautomacoes0@gmail.com