Este é um modelo. Substituir por texto revisado por advogado/DPO antes de ir ao ar.
A FAVE respeita sua privacidade e cumpre a Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018). Esta política descreve quais dados coletamos, por que coletamos e como você exerce seus direitos.
1. Dados coletados
1.1 De todos os usuários
Email, username, senha (hash argon2id), data de cadastro.
IP, user-agent, idioma do navegador (para anti-fraude e analytics agregado).
Histórico de assinaturas, presentes e compras.
Mensagens enviadas via chat dentro da plataforma.
1.2 Adicional para criadores (KYC)
Nome completo, CPF, data de nascimento.
Chave Pix para recebimento de saques.
Documento de identidade (foto frente/verso).
CPF e chave Pix são armazenados criptografados (AES-256-GCM). Documentos de identidade ficam em storage segregado, acessível apenas ao time de moderação para fins de aprovação.
2. Finalidades do tratamento
Autenticar acesso e prevenir fraude.
Processar pagamentos via gateway PIX.
Cumprir obrigações fiscais (emissão de relatórios fiscais).
Comunicar eventos importantes da conta (recuperação de senha, confirmações).
Moderar conteúdo e investigar violações dos Termos.
Melhorar a plataforma via analytics agregado (sem dados pessoais individuais).
3. Compartilhamento com terceiros
Compartilhamos dados apenas com:
Provedores de pagamento (PagBank, Mercado Pago, Asaas, etc): nome, email, valor e identificador da cobrança. Mínimo necessário para processar a transação.
Provedores de email transacional (SMTP): email e conteúdo da mensagem específica.
Storage de mídia (S3 / R2 / MinIO): arquivos enviados pelos criadores. Acesso protegido por URLs assinadas.
Autoridades públicas: somente mediante ordem judicial ou requerimento legal válido.
Não vendemos seus dados para marketing de terceiros.
4. Retenção
Conta ativa: enquanto durar a relação.
Conta encerrada: 5 anos para cumprimento de obrigações fiscais.
Logs de acesso e auditoria: 6 meses.
Mídia removida: 30 dias para recuperação, depois deletada.
5. Direitos do titular (LGPD Art. 18)
Você tem direito a:
Confirmar a existência de tratamento dos seus dados.
Acessar e corrigir seus dados.
Solicitar anonimização, bloqueio ou eliminação.
Solicitar portabilidade.
Revogar consentimento.
Opor-se a tratamento baseado em interesse legítimo.
Para exercer qualquer direito, envie email para dpo@xclusive.clubfans.com. Respondemos em até 15 dias.
6. Cookies
Essenciais: sessão NextAuth (JWT, 30 dias), aceitação de termos. Não podem ser desativados.
Analytics: fingerprint anonimizado (não pessoal) para medir uso agregado. Pode ser desativado em Perfil > Configurações > Privacidade.
Senhas armazenadas via argon2id (resistente a brute-force).
Dados sensíveis (CPF, Pix) encriptados em repouso com AES-256-GCM.
Acesso a dados restrito por RBAC granular (audit log de toda mutação).
Conexão protegida por TLS 1.3.
Rate limit em endpoints de autenticação.
Em caso de incidente de segurança que afete dados pessoais, notificaremos a ANPD e os titulares afetados em até 72h.
8. Transferência internacional
Os dados podem ser armazenados em provedores fora do Brasil (ex.: AWS S3 regiões EUA/Europa). Estes provedores oferecem garantias contratuais de proteção equivalentes à LGPD.
