Política de Privacidade

1. Introdução

O Colo ("nós", "nosso") respeita sua privacidade e se compromete a proteger seus dados pessoais em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). Esta Política descreve como coletamos, usamos, armazenamos e protegemos suas informações.

O Colo é operado por pessoa jurídica inscrita no CNPJ sob o n.º 65.724.265/0001-88, com sede no Leblon — Rio de Janeiro/RJ.

2. Dados que Coletamos

Coletamos os seguintes tipos de dados:

2.1 Dados fornecidos por você

• Cadastro: nome, e-mail, senha (criptografada com BCrypt)
• Questionário de personalização: cidade (dado de geolocalização aproximada), data prevista do parto, tipo de moradia, amamentação, se é primeiro filho, se terá ajuda
• Eventos (chá de bebê, aniversário): dados do evento, lista de convidados, fotos enviadas
• Pagamentos: CPF (criptografado com AES-256-GCM) para operações de PIX e saque. Dados de cartão de crédito são processados diretamente pelo Pagar.me — não armazenamos números de cartão.
• Chat e consultora virtual: mensagens, legendas, fotos, áudios, transcrições e o contexto necessário do questionário e das listas para responder ao atendimento.

2.2 Dados coletados automaticamente

• Dados de uso: páginas visitadas, itens marcados, progresso nas listas
• Dados técnicos: tipo de dispositivo, navegador, sistema operacional
• Cookies: cookies essenciais para funcionamento e cookies analíticos (com seu consentimento)
• Dados operacionais da Victoria: modelo, duração, tokens, cache, ferramentas, tentativas e resultado técnico, sem o texto, a transcrição ou a foto.

3. Como Usamos seus Dados

Utilizamos seus dados para:

• Personalizar suas listas de enxoval e recomendações
• Gerenciar sua conta e autenticação
• Operar o sistema de eventos e processar pagamentos
• Enviar comunicações relevantes (com seu consentimento)
• Melhorar nossos serviços e experiência do usuário
• Monitorar erros e garantir a estabilidade da plataforma
• Cumprir obrigações legais
• Operar a Victoria e preservar o contexto da conversa
• Transcrever áudios enviados no chat
• Encaminhar reclamações e análises de reembolso à equipe humana

Consultora virtual e atendimento humano

A Victoria é uma consultora virtual automatizada. Quando você pede atendimento humano, reclama ou solicita análise de reembolso, ela deixa de responder. O atendimento humano permanece ativo até uma reativação manual. A Victoria não cancela compras, não executa estornos e não toma decisões financeiras.

4. Base Legal (LGPD)

O tratamento dos seus dados pessoais é fundamentado nas seguintes bases legais previstas na LGPD:

• Consentimento (Art. 7º, I): para cookies analíticos e comunicações de marketing
• Execução de contrato (Art. 7º, V): para prestação dos serviços do Aplicativo, processamento de pagamentos e gestão de eventos
• Legítimo interesse (Art. 7º, IX): para melhoria dos serviços, segurança e prevenção de fraudes
• Obrigação legal (Art. 7º, II): para cumprimento de determinações legais e regulatórias

Fotos e áudios do chat ficam em armazenamento privado no Vercel Blob e são servidos por uma rota interna que valida a titular da conta ou integrante autorizado da equipe.

5. Armazenamento e Segurança

Seus dados são armazenados em servidores seguros com criptografia. Dados do questionário e progresso das listas são armazenados localmente no seu dispositivo (localStorage) e, quando você possui conta, sincronizados com nosso banco de dados seguro (PostgreSQL hospedado no Supabase).

Adotamos as seguintes medidas de segurança:

• Senhas criptografadas com BCrypt (12 rounds de salt)
• CPF criptografado com AES-256-GCM (chave de 256 bits com IV aleatório por registro)
• Conexões HTTPS em toda a plataforma (certificado SSL)
• Autenticação via JWT com sessões de 24 horas
• Rate limiting para prevenção de ataques de força bruta

6. Compartilhamento de Dados

Não vendemos seus dados pessoais. Podemos compartilhar dados com os seguintes provedores de serviço, sob contratos de proteção de dados:

• Vercel — hospedagem e armazenamento privado de fotos e áudios enviados no chat (EUA)
• Supabase — banco de dados PostgreSQL (EUA)
• Pagar.me — processamento de pagamentos de eventos e do Premium: PIX, cartão de crédito e boleto (Brasil). Instituição de Pagamento autorizada pelo Banco Central do Brasil.
• Resend — envio de e-mails transacionais (EUA)
• Google Analytics 4 — análise de uso do aplicativo (EUA). Ativado somente com seu consentimento via banner de cookies.
• Sentry — monitoramento de erros e estabilidade da plataforma (EUA)
• Google OAuth — autenticação via conta Google, quando você escolhe esse método de login (EUA)
• Anthropic — geração das respostas da Victoria (EUA)
• OpenAI — transcrição dos áudios do chat (EUA)

Não enviamos senhas, CPF, número de cartão ou identificadores do meio de pagamento à Anthropic ou à OpenAI.

Também podemos compartilhar dados:

• Página pública do evento: somente os dados que você escolhe exibir publicamente
• Obrigações legais: quando exigido por lei ou ordem judicial

7. Transferência Internacional de Dados

Alguns dos nossos provedores de serviço (Vercel, Supabase, Resend, Google Analytics, Sentry, Anthropic e OpenAI) possuem servidores localizados nos Estados Unidos. Isso significa que seus dados pessoais podem ser transferidos e processados fora do Brasil.

Essas transferências seguem os mecanismos previstos na LGPD e as medidas contratuais e técnicas aplicáveis a cada fornecedor.

8. Cookies

Utilizamos os seguintes tipos de cookies:

• Essenciais: necessários para o funcionamento do Aplicativo (autenticação, preferências de tema). Não requerem consentimento.
• Analíticos (Google Analytics 4): ajudam a entender como o Aplicativo é utilizado. Requerem seu consentimento e só são ativados após aceite no banner de cookies.

Você pode gerenciar suas preferências de cookies a qualquer momento pelo banner de consentimento.

9. Seus Direitos (LGPD)

Conforme a LGPD, você tem os seguintes direitos sobre seus dados pessoais:

• Confirmação da existência de tratamento
• Acesso aos seus dados
• Correção de dados incompletos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários
• Portabilidade dos dados
• Eliminação dos dados tratados com consentimento
• Informação sobre compartilhamento com entidades públicas e privadas
• Revogação do consentimento

Você pode excluir sua conta e todos os seus dados diretamente pelo app, em Perfil → Conta → Excluir conta.

Para exercer qualquer desses direitos, entre em contato pelo e-mail suporte@colo.com.vc. Responderemos em até 15 dias úteis.

10. Retenção de Dados

Mensagens, transcrições, estado da conversa e arquivos privados são mantidos enquanto a conta estiver ativa. Na exclusão, o chat e as mídias privadas são removidos no mesmo fluxo. Métricas operacionais podem permanecer sem conteúdo e desvinculadas da conta. Permanecem apenas registros exigidos por lei ou necessários ao exercício regular de direitos.

11. Menores de Idade

O Colo não é direcionado a menores de 18 anos. Não coletamos intencionalmente dados de menores. Se identificarmos dados de menores, eles serão excluídos.

12. Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o Colo comunicará à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados em prazo razoável, conforme o Art. 48 da LGPD, informando:

• A natureza dos dados pessoais afetados
• Os titulares envolvidos
• As medidas técnicas e de segurança adotadas
• Os riscos relacionados ao incidente
• As medidas adotadas para reverter ou mitigar os efeitos

13. Alterações nesta Política

Podemos atualizar esta Política periodicamente. Alterações significativas serão comunicadas por meio do Aplicativo e/ou por e-mail. A data da última atualização é sempre indicada no topo desta página.

14. Encarregado de Dados (DPO)

Para questões relacionadas à proteção de dados pessoais, entre em contato com nosso Encarregado de Dados pelo e-mail: suporte@colo.com.vc

15. Contato

Para dúvidas gerais sobre esta Política de Privacidade: suporte@colo.com.vc