Política de Privacidade

Esta Política de Privacidade descreve como o Guia de Buffets coleta, usa, compartilha e protege dados pessoais dos seus usuários, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD).

1. Quem somos (Controlador dos Dados)

O Guia de Buffets é operado pela Tecna, com sede em São Paulo/SP. O CNPJ e endereço fiscal completos serão informados aqui após a constituição formal da empresa. O portal está disponível em guiadebuffets.com.br.

2. Dados que coletamos

Coletamos dados pessoais organizados em quatro categorias:

• Cadastro: nome, e-mail, telefone, WhatsApp, CPF (opcional). Anunciantes fornecem ainda CNPJ, razão social, nome fantasia e endereço fiscal.
• Navegação: páginas visitadas, cliques, dispositivo, navegador, cidade inferida por IP. Cookies de analytics e marketing apenas com consentimento explícito.
• Contratual: dados de eventos cadastrados, cotações enviadas, mensagens trocadas, avaliações deixadas, fotos enviadas.
• Pagamentos: dados fiscais para emissão de NFSe e os últimos quatro dígitos do cartão. O número completo e o CVV nunca trafegam pelos nossos servidores — são processados diretamente pelo gateway (PCI compliant).

3. Finalidades e bases legais

A LGPD exige que cada tratamento de dado tenha uma base legal específica. As nossas são:

• Cadastro e autenticação — execução de contrato (art. 7º, V).
• Envio de cotações entre você e anunciantes — execução de contrato pré-contratual + legítimo interesse (art. 7º, V e IX).
• Pagamentos e emissão fiscal — execução de contrato + cumprimento de obrigação legal (art. 7º, II e V).
• Marketing direto (e-mails promocionais) — consentimento (art. 7º, I) — opt-in explícito, revogável a qualquer momento.
• Cálculo de reputação e proteção da comunidade — legítimo interesse (art. 7º, IX).
• Logs de auditoria e prevenção a fraude — legítimo interesse (art. 7º, IX).
• Cookies de analytics e marketing — consentimento (art. 7º, I).

4. Com quem compartilhamos

Compartilhamos dados pessoais apenas com os operadores listados abaixo, todos contratados com cláusulas de proteção de dados conformes à LGPD:

• Anunciantes — recebem somente os dados da cotação que você direcionou a eles, no momento em que você autoriza a revelação (ADR de cotações).
• Amazon Web Services (AWS) — hospedagem em região sa-east-1 (São Paulo): Cognito (autenticação), RDS (banco), S3 (fotos), Lambda (computação), SES (e-mails) e CloudFront (CDN).
• Asaas — gateway de pagamento PIX e boleto e emissão de NFSe.
• Rede — gateway de pagamento para cartão de crédito.
• Google AdSense — exibição de anúncios, somente quando você consente com cookies de marketing.
• Cloudflare — análise de tráfego agregado, sem cookies por padrão.
• Sentry — registro de erros, sem cookies por padrão.

5. Tempo de retenção

• Cadastro: mantemos enquanto sua conta estiver ativa. Após exclusão, anonimizamos imediatamente e removemos hard em até 30 dias (período de arrependimento).
• Pagamentos e dados fiscais: 5 anos, conforme exigência legal e fiscal.
• Logs de auditoria: 12 meses.
• Backups: rotação de 30 dias.
• Cotações, mensagens e avaliações: preservados após exclusão (com anonimização do autor) para integridade das avaliações dos anunciantes.

6. Transferência internacional de dados

Mantemos infraestrutura principal no Brasil (AWS sa-east-1). Alguns serviços operam fora do país:

• Google AdSense (Estados Unidos) — base legal: consentimento + cláusulas contratuais padrão Google.

Ao consentir com cookies de marketing, você autoriza essa transferência. Você pode revogar o consentimento a qualquer momento, e o Google AdSense deixa de ser carregado.

7. Seus direitos LGPD

A LGPD garante a você nove direitos. Os nossos canais para exercê-los:

• Confirmação e acesso aos seus dados — disponíveis em /perfil.
• Correção de dados incompletos, inexatos ou desatualizados — também em /perfil.
• Anonimização ou bloqueio de dados desnecessários, excessivos ou tratados em desconformidade.
• Portabilidade — exporte seus dados em formato JSON pelo botão "Exportar meus dados" em /perfil.
• Eliminação dos dados tratados com seu consentimento (excluir conta).
• Informação sobre os operadores com quem compartilhamos — vide seção 4.
• Revogação do consentimento — você pode revogar opt-ins de marketing e cookies a qualquer momento.
• Oposição ao tratamento por legítimo interesse — escreva ao DPO.
• Revisão de decisões automatizadas — atualmente não usamos.

8. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados: senhas armazenadas com hash bcrypt (no Cognito), HTTPS em todo o site, banco com TLS obrigatório, criptografia em repouso (AWS KMS), princípio do menor privilégio em acessos internos, autenticação multifator para o painel administrativo e revisão regular de logs.

9. Encarregado pelo Tratamento de Dados (DPO)

DPO: Rafael, fundador da Tecna.
E-mail: dpo@guiadebuffets.com.br
Prazo de resposta: 15 dias corridos.

Para dúvidas, reclamações, exercício dos seus direitos ou notificação de incidentes, entre em contato pelo e-mail acima.

10. Alterações nesta política

Atualizações nesta política são comunicadas com pelo menos 30 dias de antecedência por e-mail e por banner no site. A versão vigente sempre traz a data de atualização no topo.