Política de Privacidade

1. Identificação do controlador

O ConferePlaca é controlado por [Razão Social — preencher após constituição da PJ], CNPJ [a definir], com sede em [endereço]. Atuamos como controlador (Art. 5º, VI da LGPD) dos dados que coletamos diretamente de você. Para dúvidas, requisições e exercício de direitos, fale com nosso encarregado de proteção de dados (DPO): dpo@confereplaca.com.br.

2. Dados que coletamos

2.1 Dados que você fornece

• Cadastro: nome, email e senha (armazenada apenas como hash bcrypt).
• Login social: identificador, email e foto pública do provedor (atualmente Google).
• Pagamento: nome, CPF/CNPJ, dados de cobrança Pix e identificadores de transação repassados pelo gateway.
• Veículos salvos na garagem e apelidos definidos por você.
• Conteúdo de suporte: mensagens enviadas pelos canais de contato.

2.2 Dados coletados automaticamente

• Endereço IP, identificador de sessão, user agent, idioma e referência de origem.
• Logs de auditoria de autenticação (login, logout, falhas, recuperação de senha, ativação de 2FA).
• Termos de busca e placas consultadas, sempre armazenados como hash criptográfico (não em texto puro).
• Cookies essenciais de sessão e CSRF; cookies analíticos quando autorizados.

2.3 Dados retornados nas consultas pagas

Quando você compra uma consulta paga, podemos receber e armazenar dados sobre o veículo consultado retornados pelos parceiros (FIPE, débitos, leilão, gravame, sinistro, recall, histórico de KM). Estes dados são armazenados de forma criptografada e vinculados ao pedido apenas para fins de consulta posterior pelo titular do pagamento.

3. Finalidades do tratamento

• Criar e manter sua conta e oferecer as funcionalidades contratadas;
• Processar pagamentos e emitir comprovantes;
• Executar as consultas veiculares solicitadas e entregar relatórios;
• Prevenir fraude, abuso, ataque automatizado e violação destes termos;
• Cumprir obrigações legais e regulatórias (fiscais, de combate à lavagem, de retenção contábil);
• Atender suporte, dúvidas e exercer direitos do titular;
• Melhorar o produto via análises agregadas e anonimizadas.

4. Bases legais (Art. 7º LGPD)

• Execução de contrato (Art. 7º, V): cadastro, autenticação, processamento da consulta paga, garagem e atendimento.
• Cumprimento de obrigação legal ou regulatória (Art. 7º, II): retenção de dados fiscais por 5 anos (Lei 8.846/94), atendimento a ordens judiciais, atendimento a requisições de autoridades competentes.
• Legítimo interesse (Art. 7º, IX e Art. 10): segurança da plataforma, prevenção a fraude, registro de logs de auditoria e análises agregadas, sempre balanceando os direitos do titular.
• Consentimento (Art. 7º, I): cookies analíticos não essenciais e comunicações de marketing (quando aplicável). O consentimento pode ser revogado a qualquer momento.
• Exercício regular de direitos (Art. 7º, VI): defesa em processos administrativos, judiciais ou arbitrais.

5. Compartilhamento de dados

Compartilhamos dados pessoais apenas com operadores e parceiros estritamente necessários à operação do serviço, sempre sob contrato ou política de proteção compatível com a LGPD:

• Provedores de consulta veicular (APIBrasil e similares): recebem o termo de busca (placa hash, modelo) para retornar os dados solicitados;
• Gateway de pagamento Pix (Banco Inter S.A.): recebe os dados mínimos necessários para gerar a cobrança e processar a confirmação;
• Provedor de email transacional: recebe seu email e o conteúdo das mensagens transacionais (verificação, recuperação de senha, recibos);
• Provedor de hospedagem e CDN (Cloudflare): processa requisições e cache; vê metadados de acesso (IP, user agent);
• Login social (Google): apenas se você optar por autenticar via OAuth — o Google nos repassa identificador, email e foto pública;
• Autoridades competentes: quando obrigatório por lei, ordem judicial ou requisição administrativa válida.

Não vendemos seus dados pessoais. Não compartilhamos dados pessoais para fins de publicidade direcionada de terceiros sem consentimento explícito.

6. Cookies e tecnologias similares

Usamos cookies essenciais (sessão, CSRF, autenticação) que não exigem consentimento por serem necessários ao funcionamento do site. Cookies analíticos e de performance só são ativados mediante seu consentimento na primeira visita. Você pode gerenciar preferências de cookies a qualquer momento no rodapé do site ou nas configurações do navegador.

7. Segurança da informação

• Conexões em HTTPS/TLS com HSTS preload e Content-Security-Policy;
• Senhas armazenadas com bcrypt (cost 12) e segredo TOTP de 2FA criptografado em repouso;
• Placas e termos sensíveis armazenados como hash SHA-256, não em texto puro;
• Payload de relatórios pagos com PII criptografado no banco;
• Throttling em endpoints de autenticação e cadastro contra brute-force e enumeration;
• Logs de auditoria de eventos sensíveis (login, alteração de papel, cancelamento de assinatura, exclusão de conta);
• Ambientes de desenvolvimento, homologação e produção segregados.

8. Período de retenção

• Conta ativa: dados mantidos enquanto a conta estiver em uso ou conforme necessário às finalidades descritas;
• Conta excluída: dados pessoais (nome, email, identidades sociais) são anonimizados imediatamente após a solicitação. Pedidos pagos têm sua relação com o usuário rompida (user_id e email zerados) e o conteúdo PII do relatório (CPF, nome do proprietário, placa em texto, documento, endereço, telefone) é purgado;
• Pedidos pagos (estrutura mínima): retidos por 5 anos para atender ao Art. 174 do CTN e à Lei 8.846/94 sobre guarda fiscal — sem identificação pessoal após anonimização;
• Endereços IP: automaticamente anonimizados (substituídos por 0.0.0.0) após 90 dias em searches, orders e auth_events, em respeito ao princípio da minimização (Art. 6º, III LGPD);
• Logs de auditoria: mantidos pelo prazo necessário ao monitoramento de segurança e no máximo até a anonimização da conta;
• Backups: criptografados e rotacionados em ciclo de 30 dias.

9. Seus direitos como titular (Art. 18 LGPD)

Você pode, a qualquer momento, solicitar:

• Confirmação da existência de tratamento de dados pessoais;
• Acesso aos dados que mantemos sobre você — exportável em JSON em /minha-conta/exportar-dados;
• Correção de dados incompletos, inexatos ou desatualizados — disponível em /settings/profile;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade — exclusão de conta autônoma em /settings/profile;
• Portabilidade dos dados a outro fornecedor de serviço — atendida pelo export JSON;
• Revogação do consentimento, quando o tratamento for baseado em consentimento;
• Informação sobre compartilhamentos realizados com entidades públicas e privadas;
• Oposição a tratamento realizado com base em legítimo interesse, quando houver descumprimento da LGPD.

Solicitações que não possam ser atendidas pelo painel da conta podem ser direcionadas ao nosso DPO em dpo@confereplaca.com.br, com resposta em até 15 dias.

10. Dados de terceiros nas consultas

Quando uma consulta paga retorna dados de um veículo, esses dados podem incluir informações relativas ao proprietário registrado (parcial ou totalmente, conforme o que a fonte disponibilize). O ConferePlaca atua como operador nessa hipótese, repassando ao usuário consultante o resultado fornecido pelos terceiros, e não como fonte primária. O usuário consultante se responsabiliza por usar essa informação apenas para fins legítimos previstos nestes Termos e na legislação vigente, sem prejuízo da responsabilidade do controlador originário (ex.: DETRAN, parceiros de dados).

11. Transferência internacional

Alguns dos nossos parceiros operacionais (CDN, email transacional, login social) podem armazenar ou processar dados em data centers fora do Brasil. Garantimos que essas transferências ocorrem apenas para países com nível adequado de proteção ou sob garantias contratuais compatíveis com a LGPD (Art. 33).

12. Crianças e adolescentes

O ConferePlaca não é destinado a menores de 18 anos. Não coletamos intencionalmente dados de menores. Se identificarmos que dados de menor foram tratados sem o consentimento dos responsáveis, agiremos para anonimizar ou excluir essas informações.

13. Alterações desta política

Esta política pode ser atualizada para refletir mudanças no produto, na legislação ou nas operações. Mudanças relevantes serão comunicadas por email aos usuários cadastrados e publicadas com antecedência mínima de 7 dias. A data da última atualização aparece no topo deste documento.

14. Canal do encarregado (DPO)

Para qualquer dúvida sobre privacidade, requisições do Art. 18 LGPD ou denúncias de incidentes: dpo@confereplaca.com.br. Você também pode reportar diretamente à Autoridade Nacional de Proteção de Dados (ANPD).