Política de Privacidade.

O Domos é uma plataforma operada por SELVAGEN DESIGN E ARQUITETURA LTDA, inscrita no CNPJ sob o nº 31.104.552/0001-73, com sede na Rua Domingos José Martins, 75, Sala 107, Bairro do Recife, Recife/PE, CEP 50.030-200, na qualidade de **controladora** dos dados pessoais tratados neste serviço.

Contato geral para questões de privacidade: privacidade@selvagen.com

Encarregado pelo Tratamento de Dados Pessoais (DPO / Encarregado nos termos do art. 41 da LGPD): **Paulo Roberto Dutra Carvalho**, Fundador da SELVAGEN. Contato direto: `privacidade@selvagen.com`.

Coletamos as seguintes categorias de dados:

- **Dados de conta:** e-mail (obrigatório), nome (opcional), foto de avatar (opcional), idioma preferido.

- **Dados de uso:** projetos de domo criados, parâmetros utilizados, exports realizados, plano ativo, histórico de assinatura.

- **Dados de pagamento:** **não** armazenamos dados de cartão de crédito. O processamento é feito integralmente pela Stripe. Recebemos apenas confirmação de transação e últimos 4 dígitos do cartão para identificação na fatura.

- **Dados técnicos:** endereço IP, tipo de navegador, sistema operacional, timestamps de acesso (mantidos como logs de segurança).

Não coletamos dados sensíveis (art. 5º, II da LGPD e Art. 9 do GDPR) — origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, dados genéticos ou biométricos, dados de vida sexual — no âmbito do funcionamento da plataforma.

Usamos seus dados para:

- **Operar a plataforma:** autenticação, salvar projetos, exportar arquivos.

- **Processar pagamentos** via Stripe.

- **Enviar comunicações operacionais** (confirmação de cadastro, faturas, mudanças materiais no serviço, avisos de segurança).

- **Enviar comunicações de marketing**, somente mediante seu opt-in específico e granular, com opção de descadastro em cada mensagem (Cláusula 8).

- **Melhorar o produto** a partir de análises **agregadas e anonimizadas** — sem identificação individual.

- **Cumprir obrigações legais e fiscais**, inclusive emissão de nota fiscal e conservação contábil.

- **Prevenir fraude e garantir segurança** da infraestrutura.

Não realizamos decisões automatizadas com efeitos jurídicos ou de impacto relevante sobre o usuário (art. 20 da LGPD; Art. 22 do GDPR). Toda funcionalidade da plataforma decorre de parâmetros conscientemente configurados pelo usuário.

4.1 Sob a LGPD (art. 7º)

- **Execução de contrato** — para fornecer o serviço que você contratou.

- **Cumprimento de obrigação legal ou regulatória** — emissão de nota fiscal, conservação contábil, atendimento a requisições de autoridade.

- **Legítimo interesse** — prevenção de fraude, segurança da plataforma, melhoria do produto, sempre precedido de análise de proporcionalidade e transparência.

- **Consentimento** — para comunicações de marketing e para tratamentos que exijam expressamente essa base (opt-in específico e revogável).

4.2 Sob o GDPR (Art. 6) — quando aplicável a titular na UE/UK

- **Contract performance** — Art. 6(1)(b): para prestação do serviço.

- **Legal obligation** — Art. 6(1)(c): obrigações fiscais e regulatórias.

- **Legitimate interests** — Art. 6(1)(f): segurança, prevenção de fraude, melhoria de produto, após balancing test.

- **Consent** — Art. 6(1)(a): marketing e outros tratamentos específicos, revogável a qualquer tempo.

Compartilhamos dados apenas com os operadores estritamente necessários à operação do serviço:

- **Supabase Inc.** (banco de dados e autenticação) — armazena dados de conta e projetos. Sede: Estados Unidos.

- **Stripe Inc.** (processamento de pagamento) — recebe e-mail, nome e dados de transação. Sede: Estados Unidos.

- **Provedor de hospedagem da aplicação** — recebe logs técnicos.

- **Provedor de envio de e-mail transacional** — recebe e-mail e nome para entregar mensagens operacionais.

A lista completa e atualizada de sub-processadores, com finalidade, dados tratados, localização e salvaguardas jurídicas de transferência internacional, está disponível em `gendome.selvagen.com/subprocessors`.

**Não vendemos, alugamos ou comercializamos** seus dados pessoais com terceiros para fins de marketing.

Usamos as seguintes categorias de cookies:

- **Sessão (essenciais):** manter você autenticado durante o uso.

- **Preferências (essenciais):** idioma, tema, configurações de interface.

No momento, **não** utilizamos cookies de analytics ou marketing de terceiros. Se isso mudar no futuro, atualizaremos esta Política e solicitaremos consentimento prévio nos termos exigidos pela legislação aplicável, com granularidade (aceite por categoria) e mecanismo de fácil revogação.

Retemos seus dados pelos seguintes períodos:

- **Dados de conta e projetos:** enquanto a conta estiver ativa + 30 dias após encerramento, para permitir reativação.

- **Logs de autenticação e segurança:** até 12 meses, com base em legítimo interesse de prevenção de fraude e investigação de incidentes.

- **Dados fiscais** (faturas, comprovantes de pagamento): pelo prazo legal mínimo (5 anos, conforme legislação brasileira, ou equivalente na jurisdição do usuário).

- **Registros de comunicações de suporte:** até 24 meses, para atendimento e histórico.

Após esses prazos, os dados são removidos definitivamente ou anonimizados, nos termos do art. 12 da LGPD.

Como titular dos dados, você tem direito a:

- **Confirmação** da existência de tratamento dos seus dados.

- **Acesso** aos seus dados.

- **Correção** de dados incompletos, inexatos ou desatualizados.

- **Anonimização, bloqueio ou eliminação** de dados desnecessários, excessivos ou tratados em desconformidade.

- **Portabilidade** dos dados para outro fornecedor.

- **Eliminação** dos dados tratados com base em consentimento.

- **Informação** sobre uso compartilhado de seus dados.

- **Informação** sobre a possibilidade de não fornecer consentimento e sobre as consequências dessa negativa.

- **Revogação do consentimento**, a qualquer tempo, tão facilmente quanto foi concedido.

- **Oposição ao tratamento** realizado com base em hipóteses distintas do consentimento, em caso de descumprimento da LGPD (art. 18, § 2º).

- **Revisão de decisão automatizada** que afete seus interesses (art. 20 LGPD; Art. 22 GDPR).

- **Reclamação perante autoridade competente** — Autoridade Nacional de Proteção de Dados (ANPD, no Brasil), ou autoridade supervisora do Estado-Membro competente (na UE/UK), ou autoridade estadual americana equivalente quando aplicável.

Para exercer qualquer destes direitos, envie solicitação a `privacidade@selvagen.com`. Respondemos em até 15 (quinze) dias corridos, prorrogáveis por igual período em caso de complexidade justificada.

Implementamos as seguintes medidas técnicas e organizacionais:

- Criptografia em trânsito (HTTPS/TLS) em todas as comunicações.

- Criptografia em repouso no banco de dados (recurso nativo do Supabase).

- Senhas armazenadas apenas em formato de hash, nunca em texto claro.

- Controle de acesso ao banco via Row Level Security (RLS).

- Acesso administrativo restrito por princípio de mínimo privilégio.

- Registro de logs de acesso e alterações críticas.

- Política interna de resposta a incidentes.

Nenhum sistema é 100% seguro. Em caso de incidente que possa gerar risco relevante aos direitos e liberdades dos titulares:

- **LGPD (art. 48):** comunicaremos a ANPD e os titulares afetados em prazo razoável, conforme regulamentação da autoridade.

- **GDPR (Art. 33 e 34):** notificaremos a autoridade supervisora competente em até 72 (setenta e duas) horas do conhecimento do incidente, e comunicaremos os titulares sem demora indevida quando o incidente representar alto risco.

Parte da infraestrutura que opera o Domos (Supabase, Stripe, hospedagem) está localizada fora do Brasil, notadamente nos Estados Unidos.

Nestes casos, os provedores garantem nível adequado de proteção conforme o art. 33 da LGPD, por meio de:

- **Cláusulas contratuais padrão** (Standard Contractual Clauses / SCC) aprovadas pela Comissão Europeia, complementadas por Transfer Impact Assessment (TIA) quando a transferência envolver titulares na UE/UK, em observância ao entendimento firmado no caso *Schrems II* (C-311/18).

- **Certificações internacionais** relevantes dos operadores (SOC 2 Type II, ISO 27001, quando aplicáveis).

- **Salvaguardas adicionais** técnicas e organizacionais, incluindo criptografia em trânsito e em repouso.

A relação atualizada de sub-processadores e as bases jurídicas aplicáveis a cada transferência estão disponíveis em `gendome.selvagen.com/subprocessors`.

O serviço é destinado a maiores de 18 (dezoito) anos. Não coletamos intencionalmente dados pessoais de crianças ou adolescentes.

Se identificarmos dados de menor coletados sem autorização do responsável, removeremos imediatamente. Solicitações de responsáveis legais podem ser enviadas a `privacidade@selvagen.com`.

Podemos atualizar esta Política periodicamente. Alterações materiais serão comunicadas por e-mail e por aviso na plataforma com pelo menos 30 (trinta) dias de antecedência.

A data da última atualização é sempre informada no topo deste documento.