Política de Privacidade — Onda Circular
DRAFT v0.3 — sujeito a revisão jurídica. Não publique sem revisão de advogado(a) qualificado(a) em LGPD. Veja README.md.
Alteração v0.2 → v0.3 (correção factual, pendente de nova revisão jurídica): o provedor de pagamento migrou de Mercado Pago para Pagar.me. Foram corrigidas as menções ao provedor em §3, §4.3, §5.4, §6, §9.1 (não há mais OAuth nem
public_key; o vendedor tem um recebedor recipient) e a descrição de segurança em §12 (o webhook do gateway usa autenticação própria, não HMAC). Razão social/CNPJ e a URL da política de privacidade do Pagar.me seguem como placeholder a confirmar.
Versão: 0.3 (rascunho — correção de provedor de pagamento MP → Pagar.me) Última atualização: [DATA DA PUBLICAÇÃO] Vigência: desta data até nova versão publicada
1. Quem somos e a quem se aplica esta Política
[RAZÃO SOCIAL DA EMPRESA], pessoa jurídica de direito privado, inscrita no CNPJ sob o nº [CNPJ], com sede em [ENDEREÇO COMPLETO], (doravante "Onda Circular", "nós", "nossa") opera o aplicativo e o site ondacircular.com.br, um marketplace digital para compra e venda de equipamentos esportivos usados entre pessoas (modelo C2C — consumer to consumer).
Esta Política de Privacidade explica quais dados pessoais coletamos, com qual finalidade, com qual base legal, com quem compartilhamos, por quanto tempo armazenamos e quais são os seus direitos quando você usa nossos serviços. Aplica-se a todas as pessoas naturais que se cadastrem, naveguem ou interajam com Onda Circular.
A Onda Circular é a controladora dos dados pessoais tratados conforme descrito nesta Política, na forma do art. 5º, VI, da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD).
2. Encarregado pelo tratamento de dados (DPO)
Em atendimento ao art. 41 da LGPD, designamos como Encarregado de Proteção de Dados Pessoais:
- Nome: [NOME DO ENCARREGADO]
- E-mail: dpo@ondacircular.com.br
- Endereço para correspondência: [ENDEREÇO]
O Encarregado é o canal de comunicação entre você, a Onda Circular e a Autoridade Nacional de Proteção de Dados (ANPD). Você pode entrar em contato com o Encarregado a qualquer momento para exercer seus direitos ou tirar dúvidas sobre o tratamento dos seus dados.
3. Definições
Para os fins desta Política, os termos abaixo têm os seguintes significados, consistentes com o art. 5º da LGPD:
- Dado pessoal — informação relacionada a pessoa natural identificada ou identificável.
- Dado pessoal sensível — dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dado referente à saúde ou à vida sexual, dado genético ou biométrico.
- Titular — pessoa natural a quem se referem os dados pessoais (geralmente, você).
- Tratamento — qualquer operação realizada com dados pessoais (coleta, uso, armazenamento, compartilhamento, eliminação etc.).
- Controlador — quem decide sobre o tratamento dos dados pessoais. No contexto desta Política, é a Onda Circular.
- Operador — quem realiza o tratamento em nome do controlador (ex.: Google Firebase, Pagar.me, Resend, Vercel).
- Consentimento — manifestação livre, informada e inequívoca do titular, concordando com o tratamento para uma finalidade determinada.
4. Quais dados pessoais tratamos
4.1. Dados que você nos fornece diretamente
| Dado | Quando coletamos |
|---|---|
| Nome (ou nome de exibição) | Cadastro / login com Google |
| Cadastro / login | |
| Foto de perfil | Opcional — login com Google ou upload manual |
| Telefone celular | Opcional — para verificação de conta de vendedor (futuro) |
| Cidade / CEP | Opcional — para localização de anúncios e cálculo de frete |
| Esportes de interesse | Opcional — para personalização da home |
| Bio / descrição do perfil | Opcional |
| Conteúdo de mensagens no chat | Quando você envia mensagens entre comprador e vendedor |
| Conteúdo dos anúncios (título, descrição, preço, fotos) | Quando você publica um listing |
| Avaliações e comentários (reviews) | Após uma transação concluída |
| Denúncias / reports | Quando você reporta um anúncio ou usuário |
4.2. Dados coletados automaticamente
| Dado | Origem |
|---|---|
| Endereço IP | Logs do servidor (Vercel) |
| Identificadores de dispositivo / navegador | Cookies técnicos, FCM token |
| Data e hora de acesso, páginas visitadas | Logs de aplicação |
| Erros e diagnósticos técnicos | Sentry (somente em produção) |
| Localização aproximada (cidade) | Inferida do IP / informada pelo titular |
4.3. Dados que recebemos de terceiros
| Dado | Origem |
|---|---|
| Identificador Google + e-mail + foto | Quando você usa "Entrar com Google" |
| Identificador de recebedor (recipient) Pagar.me + status do cadastro | Quando você conclui o cadastro de recebimento como vendedor |
| Status de pagamento, IDs de transação/pedido | Webhooks do Pagar.me após cobrança |
4.4. Dados sensíveis
A Onda Circular não coleta intencionalmente dados pessoais sensíveis. Pedimos que você não inclua dados sensíveis em mensagens, descrições de anúncios ou no perfil. Se identificarmos esse tipo de dado, poderemos remover o conteúdo conforme nossos Termos de Uso.
4.5. Dados de crianças e adolescentes
A Onda Circular destina-se a maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes. Se tomarmos conhecimento de que coletamos dados de menor sem o consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal (art. 14, §1º da LGPD), excluiremos esses dados imediatamente. Pais e responsáveis podem nos contatar pelo e-mail dpo@ondacircular.com.br para solicitar a exclusão.
5. Para que finalidades tratamos seus dados — bases legais
Em atendimento aos arts. 7º e 9º da LGPD, mapeamos cada finalidade à sua respectiva base legal:
5.1. Cadastro, autenticação e operação da conta
- Dados: nome, e-mail, foto, identificador Google, senha (não temos acesso — autenticação via Firebase)
- Finalidade: permitir que você crie e use sua conta na plataforma
- Base legal: execução de contrato (art. 7º, V) — sem esses dados, não conseguimos prestar o serviço
5.2. Publicação e exibição de anúncios
- Dados: título, descrição, fotos, preço, categoria, localização aproximada (cidade) do anúncio
- Finalidade: exibir o anúncio para potenciais compradores
- Base legal: execução de contrato (art. 7º, V)
- Observação: o nome de exibição e a foto de perfil do vendedor aparecem publicamente associados ao anúncio.
5.3. Comunicação por chat entre comprador e vendedor
- Dados: mensagens trocadas, identificadores das partes, data/hora
- Finalidade: viabilizar a negociação dentro da plataforma
- Base legal: execução de contrato (art. 7º, V)
- Importante: mantemos as mensagens armazenadas para finalidades de segurança, prova em disputas e auditoria, conforme retenção descrita abaixo.
5.4. Processamento de pagamentos
- Dados: valor da transação, IDs do pedido e do anúncio, e-mail do comprador (quando exigido pelo Pagar.me), identificador do recebedor (recipient) Pagar.me do vendedor
- Finalidade: intermediar o pagamento e o repasse ao vendedor
- Base legal: execução de contrato (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II) — guarda fiscal e prevenção à lavagem de dinheiro
- Importante: o Pagar.me é um controlador independente dos dados financeiros (cartões, conta bancária, dados fiscais). Veja a Política de Privacidade do Pagar.me [URL a confirmar].
5.5. Notificações push e e-mails transacionais
- Dados: FCM token (push), e-mail
- Finalidade: avisar você sobre novas mensagens, pedidos pagos, vendas realizadas, atualizações de envio
- Base legal: execução de contrato (art. 7º, V) para mensagens estritamente transacionais; consentimento (art. 7º, I) para comunicações de marketing — você pode revogar a qualquer momento
5.6. Segurança da plataforma e prevenção a fraudes
- Dados: IP, identificadores de dispositivo, padrões de uso, conteúdo de mensagens (análise client-side de tentativas de evasão para fora da plataforma), tentativas de login falhas
- Finalidade: detectar contas falsas, fraudes, tentativas de phishing, bots, e proteger compradores e vendedores
- Base legal principal: proteção do crédito (art. 7º, X) e legítimo interesse (art. 7º, IX), considerando o teste de balanceamento entre o legítimo interesse do controlador e os direitos do titular, conforme registro próprio (LIA — Legitimate Interest Assessment) mantido pela Onda Circular.
- Base legal complementar para dados sensíveis (caso venham a ser identificados em mensagens, mesmo que involuntariamente): garantia da prevenção à fraude e à segurança do titular (art. 11, II, "g").
- Importante: as decisões automatizadas tomadas com base nessa análise podem ser revisadas por uma pessoa natural a seu pedido (art. 20 da LGPD; veja seção 11 abaixo).
5.7. Atendimento, suporte e resolução de disputas
- Dados: dados da conta, conteúdo da disputa, mensagens, dados transacionais
- Finalidade: responder solicitações, mediar disputas, processar reembolsos
- Base legal: execução de contrato (art. 7º, V) e exercício regular de direitos (art. 7º, VI)
5.8. Cumprimento de ordens judiciais e obrigações legais
- Dados: quaisquer dados solicitados em ordem judicial, requisição do Ministério Público, autoridade fiscal etc.
- Base legal: cumprimento de obrigação legal ou regulatória (art. 7º, II) e exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI)
5.9. Análise estatística e melhoria do produto
- Dados: dados agregados e anonimizados de uso (páginas visitadas, cliques, tempo de sessão)
- Finalidade: entender como a plataforma é usada e priorizar melhorias
- Base legal: legítimo interesse (art. 7º, IX), com teste de balanceamento documentado em LIA mantido pela Onda Circular. Quando possível, trabalhamos com dados anonimizados (que deixam de ser dados pessoais conforme art. 5º, III).
- Direito de oposição: você pode se opor a esse tratamento por meio do Encarregado (dpo@ondacircular.com.br) sem prejuízo do uso da plataforma.
5.10. Guarda de registros de acesso (Marco Civil da Internet)
Em cumprimento aos arts. 13, 14 e 15 da Lei nº 12.965/2014 (Marco Civil da Internet), guardamos pelo prazo legal mínimo de 6 (seis) meses os registros de acesso a aplicações de internet (logs com IP e timestamp). Os registros são mantidos sob sigilo e somente são compartilhados mediante ordem judicial ou requisição fundamentada de autoridade competente.
6. Com quem compartilhamos seus dados
Compartilhamos dados pessoais apenas com operadores (nossos prestadores técnicos) e quando necessário para as finalidades descritas. Cada operador está sujeito a obrigações contratuais de proteção de dados consistentes com a LGPD.
| Operador / parceiro | Papel LGPD | Função | País sede | Dados compartilhados |
|---|---|---|---|---|
| Google LLC (Firebase Authentication) | Operador | Autenticação de usuários | EUA | E-mail, nome, foto, identificador Google |
| Google LLC (Firestore + Firebase Cloud Messaging) | Operador | Banco de dados + push | EUA | Todo o conteúdo do app |
| Vercel Inc. | Operador | Hospedagem do site / aplicação | EUA | Logs de servidor, IP, requisições |
| Vercel Inc. (Blob) | Operador | Armazenamento de imagens dos anúncios | EUA | Imagens enviadas |
| Pagar.me [razão social e CNPJ a confirmar] | Controlador independente | Processamento de pagamentos | Brasil | Valor, IDs, e-mail do pagador, recebedor (recipient) do vendedor |
| Resend Inc. | Operador | Envio de e-mails transacionais | EUA | Nome do destinatário, e-mail, dados do pedido |
| Functional Software, Inc. (Sentry) | Operador | Monitoramento de erros (apenas em produção) | EUA | Stack traces, IP, identificador anônimo do usuário |
| Google LLC (Maps / Places API) | Operador | Autocomplete de endereços e localização | EUA | Texto digitado em campos de endereço |
| Melhor Envio Ltda. (planejado) | Operador | Cotação e rastreamento de frete | Brasil | CEP de origem e destino, dimensões, peso |
Responsabilidades dos operadores (art. 9º, VI da LGPD): cada operador acima atua sob nossas instruções e está sujeito a contrato (DPA — Data Processing Agreement) que estabelece, no mínimo:
- finalidades específicas do tratamento autorizado;
- proibição de uso para finalidade diversa;
- obrigações de segurança equivalentes às nossas;
- subcontratações somente com nossa autorização prévia;
- assistência ao controlador no atendimento aos direitos do titular;
- comunicação imediata de incidentes de segurança;
- devolução ou eliminação dos dados ao fim do contrato.
O Pagar.me é controlador independente dos dados financeiros (cartões, conta bancária, dados fiscais e de prevenção à lavagem de dinheiro) e responde diretamente por esses tratamentos perante você. Veja a Política de Privacidade do Pagar.me [URL a confirmar].
Em situações específicas, podemos também compartilhar dados:
- com autoridades públicas quando exigido por lei, ordem judicial ou pedido fundamentado de autoridade competente;
- em casos de reorganização societária (fusão, aquisição, venda de ativos), com sucessores legais, mediante notificação prévia a você quando exigido por lei;
- com outros usuários da plataforma quando isso é parte do serviço (por exemplo, o vendedor vê o nome do comprador no chat).
7. Transferência internacional de dados
Vários dos operadores listados acima estão sediados nos Estados Unidos. Conforme art. 33 da LGPD e da Resolução CD/ANPD nº 19/2024, transferimos dados pessoais para esses operadores com base em cláusulas-padrão contratuais (CPC) ou em garantias contratuais específicas equivalentes homologadas pela ANPD:
- Google LLC — cláusulas-padrão contratuais e DPA (Data Processing Addendum) padrão Google Cloud
- Vercel Inc. — DPA com cláusulas-padrão integradas
- Resend Inc. — DPA com cláusulas-padrão
- Functional Software, Inc. (Sentry) — DPA com cláusulas-padrão
As transferências ocorrem somente para as finalidades descritas nesta Política e estão limitadas aos dados estritamente necessários. Você pode solicitar cópia das garantias firmadas pelo Encarregado em dpo@ondacircular.com.br.
8. Por quanto tempo guardamos seus dados (retenção)
Mantemos seus dados pelo tempo necessário às finalidades para as quais foram coletados, observando os prazos legais aplicáveis e os seguintes parâmetros gerais:
| Categoria | Prazo de retenção |
|---|---|
| Dados de cadastro (conta ativa) | Enquanto sua conta estiver ativa |
| Dados de cadastro após exclusão | Até 6 meses para investigação de incidentes; após, anonimização ou eliminação |
| Mensagens de chat | 3 anos a partir da última atividade — base: Marco Civil arts. 13-15 (registros de aplicação) + prazo prescricional do CDC art. 27 (reparação por fato do serviço) + legítimo interesse de prevenção a fraude |
| Anúncios encerrados | 5 anos — prazo de guarda comercial geral |
| Transações (pedidos, pagamentos, recibos) | 5 anos a partir da conclusão — obrigação fiscal (Lei nº 8.846/1994) |
| Reviews (avaliações) | Permanecem associadas ao perfil enquanto a conta estiver ativa; após exclusão da conta, são anonimizadas (sem o nome e identificador do autor) e mantidas como informação reputacional histórica do destinatário, em base agregada |
| Logs de acesso (Marco Civil) | 6 meses (mínimo legal — art. 15 da Lei nº 12.965/2014) |
| Logs técnicos / Sentry | 30 dias |
| Backups | Conforme política de backup do operador (geralmente 30-90 dias) |
Nota para revisão jurídica: os prazos acima são estimativas conservadoras. Devem ser confirmados em conjunto com o ROPA e ajustados conforme o porte do negócio e a natureza efetiva dos dados.
Após o decurso dos prazos, eliminamos ou anonimizamos os dados de forma segura, ressalvadas as hipóteses de retenção autorizadas pelo art. 16 da LGPD (cumprimento de obrigação legal, transferência a terceiro ou uso exclusivo do controlador desde que anonimizados).
9. Cookies e tecnologias semelhantes
Usamos cookies e armazenamento local do navegador para o funcionamento da plataforma. Categorizamos da seguinte forma:
9.1. Cookies estritamente necessários
Sem esses cookies, o serviço não funciona. Não exigem consentimento (art. 7º, V, LGPD — execução de contrato).
| Nome | Origem | Finalidade |
|---|---|---|
__session |
Onda Circular | Manter você autenticado |
| Cookies do Firebase Authentication | Sessão de login | |
| Cookies do provedor de pagamento (quando aplicável) | Pagar.me | Tokenização/checkout de pagamento |
9.2. Cookies de desempenho / analytics
Usamos para entender como o site é utilizado, em base agregada e anonimizada. Quando habilitados, têm como base legal o legítimo interesse.
9.3. Cookies de marketing
Não usamos cookies de marketing nem trackers de redes publicitárias na versão atual da plataforma. Caso isso mude, você será solicitado(a) a dar consentimento prévio.
9.4. Como controlar cookies
Você pode bloquear ou apagar cookies a qualquer momento pelas configurações do seu navegador. Bloquear cookies estritamente necessários impede o uso da plataforma.
10. Seus direitos como titular
A LGPD (art. 18) garante a você os seguintes direitos, que podem ser exercidos a qualquer momento, gratuitamente, mediante requisição ao Encarregado (dpo@ondacircular.com.br):
- Confirmação da existência de tratamento dos seus dados
- Acesso aos dados pessoais que tratamos
- Correção de dados incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD
- Portabilidade dos seus dados a outro fornecedor de serviço, mediante requisição expressa
- Eliminação dos dados pessoais tratados com base em consentimento, ressalvadas as hipóteses do art. 16 da LGPD
- Informação sobre as entidades públicas e privadas com quais compartilhamos seus dados
- Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa
- Revogação do consentimento quando esta for a base legal do tratamento
Responderemos sua solicitação em até 15 dias (art. 19, §1º), exceto quando a complexidade exigir prazo maior — sempre justificadamente.
Você também pode fazer reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em https://www.gov.br/anpd.
11. Decisões automatizadas
Conforme o art. 20 da LGPD, você tem direito a solicitar revisão humana de decisões tomadas unicamente por meios automatizados que afetem seus interesses. Em Onda Circular, decisões automatizadas relevantes incluem:
- Detecção de tentativa de comunicação fora da plataforma no chat: hoje feita exclusivamente no navegador (cliente), sem armazenamento ou decisão servidor-side. A análise mostra um aviso, mas você decide se envia a mensagem.
- Bloqueio temporário por excesso de tentativas (rate limiting) em rotas de pagamento e upload: limite por usuário por minuto.
- Validação automatizada de formato de e-mail e domínio no cadastro.
Para qualquer dessas decisões, você pode solicitar revisão humana por dpo@ondacircular.com.br.
12. Como protegemos seus dados (segurança)
Adotamos medidas técnicas e administrativas adequadas, em atendimento aos arts. 6º, VII (segurança), 46, 47, 49 e 50 da LGPD:
- Criptografia em trânsito (HTTPS/TLS) em todas as comunicações
- Pseudonimização dos identificadores em logs e em monitoramento de erros (Sentry usa identificador anônimo, não o e-mail)
- Controle de acesso baseado em funções (admins, usuários)
- Autenticação via provedores reconhecidos (Google Firebase)
- Validação server-side de pagamentos com autenticação dos webhooks do provedor (o webhook do gateway de pagamento usa autenticação própria)
- Rate limiting em rotas sensíveis
- Validação de tipo MIME e tamanho em uploads de imagem
- Regras Firestore restringindo o que cada usuário pode ler e escrever
- Logs e monitoramento de erros (Sentry, em produção)
- Princípio do menor privilégio para operadores e prestadores
- Revisão periódica das medidas de segurança ao menos uma vez ao ano e sempre que houver alteração relevante no tratamento de dados
Apesar desses esforços, nenhum sistema é 100% imune a incidentes. Caso ocorra um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em prazo razoável, conforme art. 48 da LGPD.
13. Encarregamento de menor — sem coleta intencional
Veja seção 4.5.
14. Alterações nesta Política
Podemos atualizar esta Política a qualquer momento. Toda atualização relevante será comunicada por e-mail e/ou aviso na plataforma com antecedência mínima de 15 dias antes da entrada em vigor, exceto quando a alteração for puramente editorial ou exigida por lei.
A versão atual e o histórico de versões ficam disponíveis em /politica-de-privacidade e em docs/legal/CHANGELOG.md (a ser criado).
15. Lei aplicável e foro
Esta Política é regida pela legislação brasileira, especialmente pela Lei nº 13.709/2018 (LGPD) e pelo Código de Defesa do Consumidor (Lei nº 8.078/1990) quando aplicável. Fica eleito o foro da comarca de [CIDADE/UF] para dirimir quaisquer controvérsias, sem prejuízo de foros privilegiados do consumidor.
16. Contato
- Encarregado de Dados (DPO): dpo@ondacircular.com.br
- Atendimento geral: contato@ondacircular.com.br
- Endereço postal: [ENDEREÇO COMPLETO]
Versão 0.3 — DRAFT — não publicar sem revisão jurídica.
Última atualização: 17 de setembro de 2026 · Versão v0.3-draft