Política de Privacidade

1. Introdução

Esta Política de Privacidade descreve como o Allocta ("nós", "nosso"), CNPJ 38.612.264/0001-79, controlador dos dados, coleta, utiliza, armazena e protege os dados pessoais dos usuários ("você"), em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD) e demais normas aplicáveis.

Esta Política é parte integrante dos Termos de Uso do Serviço.

2. Dados Coletados

Coletamos os seguintes dados pessoais:

• Dados de identificação: nome completo e endereço de email, obtidos automaticamente via autenticação Google OAuth
• Dados financeiros: informações sobre ativos, transações, posições, metas de alocação e valores de investimentos, inseridos voluntariamente pelo usuário, e o perfil de aporte opcional (valor mensal e dia do aporte)
• Dados de uso: registros de acesso (logs do servidor), preferências de configuração (moeda padrão, modo claro/escuro), e métricas anônimas agregadas de navegação e performance coletadas via Vercel Web Analytics e Speed Insights (sem identificação pessoal — vide seção 10.1), e relatórios técnicos de erro (página, navegador e sistema, sem nome nem email)

Não coletamos: dados bancários, senhas, CPF, número de contas em corretoras, dados biométricos, ou qualquer informação que permita movimentar seus investimentos. Dados de pagamento (cartão de crédito, Pix) são processados exclusivamente pela Stripe, Inc. e não são armazenados em nossos servidores.

Menores de idade: O Serviço não é destinado a menores de 18 anos e não coletamos intencionalmente dados de menores, em conformidade com o Art. 14 da LGPD. Caso identifiquemos dados de menores, estes serão excluídos imediatamente.

3. Base Legal para o Tratamento

O tratamento dos seus dados pessoais se fundamenta nas seguintes bases legais previstas no Art. 7º da LGPD:

• Execução de contrato (Art. 7º, V): necessário para a prestação do Serviço conforme os Termos de Uso aceitos pelo usuário
• Legítimo interesse (Art. 7º, IX): para manutenção da segurança do Serviço, prevenção de fraudes e melhorias técnicas, resguardados seus direitos e liberdades fundamentais
• Cumprimento de obrigação legal (Art. 7º, II): quando necessário para atender exigências legais ou regulatórias

4. Finalidade do Tratamento

Seus dados são utilizados exclusivamente para:

• Fornecer e manter o funcionamento do Serviço
• Autenticar seu acesso à plataforma
• Processar cálculos de alocação e aporte
• Exibir os dados da carteira e o histórico de transações
• Registrar erros técnicos para corrigi-los
• Enviar comunicações operacionais estritamente relacionadas ao Serviço (se aplicável)
• Garantir a segurança e prevenir uso indevido da plataforma
• Processar pagamentos e gerenciar assinaturas (via Stripe)

Não utilizamos seus dados para criação de perfil comportamental, publicidade direcionada, ou qualquer finalidade não prevista nesta Política.

5. Compartilhamento de Dados

Seus dados podem ser compartilhados com os seguintes prestadores de serviço (operadores), estritamente para o funcionamento da plataforma:

• Supabase Inc.: infraestrutura de banco de dados e autenticação (servidores nos EUA)
• Vercel Inc.: hospedagem, processamento da aplicação, e coleta de métricas anônimas de uso e performance via Vercel Web Analytics e Speed Insights (servidores nos EUA)
• Google LLC: autenticação OAuth (somente nome e email)
• Stripe Inc.: processamento de pagamentos (quando aplicável — apenas dados estritamente necessários para cobrança)
• Functional Software, Inc. (Sentry): registro de erros técnicos da aplicação, sem nome nem email (servidores nos EUA)

Esses operadores possuem políticas de privacidade próprias e são contratualmente obrigados a tratar seus dados apenas conforme nossas instruções e para as finalidades aqui descritas.

Não vendemos, alugamos ou compartilhamos seus dados pessoais ou financeiros com terceiros para fins de marketing, análise comercial, publicidade ou qualquer outra finalidade além da operação do Serviço.

6. Armazenamento e Segurança

Seus dados são armazenados em servidores seguros da Supabase (PostgreSQL) com criptografia em trânsito (TLS 1.2+) e em repouso (AES-256). Toda consulta aos dados é restrita à conta autenticada, garantindo que cada usuário acessa exclusivamente seus próprios dados.

Adotamos medidas técnicas e organizacionais adequadas para proteger seus dados contra acesso não autorizado, perda acidental, alteração ou destruição, incluindo:

• Autenticação segura via OAuth 2.0 (sem armazenamento de senhas)
• Comunicação exclusivamente via HTTPS
• Isolamento de dados por usuário em todas as consultas
• Acesso administrativo restrito

7. Retenção de Dados

Seus dados pessoais são mantidos enquanto sua conta estiver ativa e pelo período necessário para cumprir as finalidades descritas nesta Política. Ao excluir a conta, todos os dados são apagados na hora do nosso banco de dados, incluindo:

• Ativos, posições e transações
• Classes de ativos e metas de alocação
• Histórico de transações e perfil de aporte
• Dados da assinatura (a assinatura ativa é cancelada na Stripe)
• Conta de autenticação (Supabase Auth)

A Stripe mantém os registros de cobrança pelo prazo exigido pela legislação fiscal. Dados anonimizados ou agregados (que não permitam identificação) poderão ser mantidos para fins estatísticos.

8. Direitos do Titular (LGPD)

Conforme os Arts. 17 a 22 da LGPD, você tem direito a:

• Confirmação e acesso: saber se tratamos seus dados e obter cópia dos mesmos
• Correção: solicitar a correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade
• Portabilidade: solicitar a transferência dos dados a outro fornecedor (enviamos seus dados em formato estruturado, mediante solicitação)
• Eliminação: solicitar a exclusão dos dados tratados com base no consentimento
• Informação sobre compartilhamento: saber com quais entidades seus dados são compartilhados
• Revogação do consentimento: retirar o consentimento a qualquer momento, sem prejuízo da licitude do tratamento realizado anteriormente
• Oposição: opor-se ao tratamento quando baseado em legítimo interesse, caso demonstre que seus direitos prevalecem

Prazo de atendimento: Suas solicitações serão respondidas em até 15 (quinze) dias, contados da data do requerimento, conforme o Art. 19, II da LGPD.

Para exercer qualquer destes direitos, entre em contato pelo email indicado na seção "Encarregado" abaixo ou utilize a funcionalidade "Excluir conta" nas Configurações do Serviço.

9. Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, conforme Art. 48 da LGPD, informando:

• A natureza dos dados pessoais afetados
• Os titulares envolvidos
• As medidas técnicas e de segurança adotadas
• Os riscos relacionados ao incidente
• As medidas adotadas para reverter ou mitigar os efeitos

10. Cookies e Tecnologias Similares

Utilizamos apenas cookies e armazenamento local estritamente necessários para o funcionamento do Serviço:

• Cookies de sessão (Supabase Auth): necessários para manter sua autenticação. Base legal: execução de contrato. Duração: sessão do navegador ou até logout.
• Idioma (cookie ALLOCTA_LOCALE): guarda o idioma escolhido. Base legal: legítimo interesse (funcionalidade do serviço). Duração: 1 ano.
• Preferências de interface (localStorage): modo claro/escuro, avisos que você dispensou e a simulação de aporte em andamento, guardados só no seu navegador. Base legal: legítimo interesse (funcionalidade do serviço). Duração: até você limpar os dados do navegador.

Não utilizamos cookies de rastreamento, cookies publicitários, pixels de rastreamento ou qualquer tecnologia de profiling.

Por utilizar apenas cookies estritamente necessários, estes dispensam consentimento prévio, conforme orientação da ANPD (Guia de Cookies e Proteção de Dados Pessoais, outubro de 2022) e o princípio do legítimo interesse.

Você pode bloquear cookies através das configurações do seu navegador, porém isso impedirá o funcionamento da autenticação e, consequentemente, o uso do Serviço.

10.1. Métricas de Uso Anônimas (Vercel Web Analytics e Speed Insights)

Utilizamos o Vercel Web Analytics e o Vercel Speed Insights para coletar métricas agregadas sobre páginas visitadas e desempenho de carregamento. Essas ferramentas:

• Não utilizam cookies de nenhum tipo (first-party ou third-party)
• Não coletam dados pessoais identificáveis — não registram endereço IP, email, nome ou qualquer identificador que permita associar um evento a uma pessoa específica
• Não rastreiam usuários entre sessões, páginas de diferentes sites, ou dispositivos
• Não permitem reconstruir sessões individuais de navegação
• Geram apenas dados estatísticos agregados (ex.: número de visualizações por página, país de origem, sistema operacional, navegador, e métricas de performance como Core Web Vitals)

Base legal: legítimo interesse do controlador (Art. 7º, IX da LGPD) para manutenção, melhoria técnica e compreensão do uso agregado do Serviço. As métricas coletadas são anonimizadas e não constituem dados pessoais, nos termos do Art. 12 da LGPD. Ainda assim, informamos de forma transparente sobre sua existência.

Finalidade: identificar páginas mais acessadas, detectar problemas de performance, e priorizar melhorias no Serviço. Não utilizamos essas métricas para publicidade, segmentação comportamental ou qualquer forma de profiling.

Operador: Vercel Inc. (EUA). Os dados agregados ficam disponíveis apenas ao administrador do Serviço via painel da Vercel. Para mais informações, consulte a Política de Privacidade do Vercel Analytics.

11. Transferência Internacional

Seus dados podem ser transferidos e armazenados em servidores localizados nos Estados Unidos (Supabase, Vercel, Google, Stripe, Sentry). Essa transferência é necessária para a prestação do Serviço e está amparada pelo Art. 33, IX, combinado com o Art. 7º, V da LGPD (necessária para a execução do contrato) e pelas políticas de proteção de dados desses fornecedores, que adotam padrões equivalentes de segurança.

12. Encarregado pelo Tratamento de Dados (DPO)

O encarregado pelo tratamento de dados pessoais, nos termos do Art. 41 da LGPD, pode ser contatado pelo email:

privacidade@allocta.app

Este canal está disponível para: exercício de direitos do titular, dúvidas sobre tratamento de dados, comunicação de incidentes, e solicitações da ANPD.

13. Alterações nesta Política

Esta Política pode ser atualizada periodicamente para refletir mudanças no Serviço ou na legislação aplicável. Alterações significativas serão comunicadas por meio do Serviço com pelo menos 15 (quinze) dias de antecedência. Recomendamos a consulta periódica desta página. A data da última atualização consta no topo deste documento.