Política de Privacidade
Esta Política descreve como o shelf.coffee trata seus dados pessoais conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD) e o Regulamento Geral de Proteção de Dados europeu (GDPR), quando aplicável.
1. Controlador
O controlador dos seus dados é o shelf.coffee ("Controlador"), serviço operado a partir do Brasil. Contato: privacy@shelf.coffee.
2. Dados que coletamos
- Conta: e-mail, nome e foto de perfil fornecidos pelo provedor OAuth (Google).
- Uso: histórico de preparos, catálogo de cafés, equipamentos e notas que você cadastra.
- Pagamento: dados de cartão e cobrança são tratados diretamente pela Paddle; nós não armazenamos dados de cartão. Recebemos apenas identificadores opacos (paddle_customer_id, paddle_subscription_id) e metadados de transação (data, valor, status). Não coletamos nem armazenamos endereços físicos de entrega, pois o Serviço é estritamente uma plataforma de software digital, sem qualquer cumprimento físico.
- Telemetria: páginas visitadas, eventos de uso (preparos iniciados, métodos selecionados) via Google Analytics 4.
- Técnico: endereço IP e User-Agent registrados em logs do Cloudflare e Supabase para segurança e diagnóstico.
3. Por que coletamos (base legal)
- Execução de contrato (LGPD Art. 7º, V): autenticação, armazenamento de preparos, processamento de assinatura.
- Legítimo interesse (Art. 7º, IX): segurança, prevenção de fraude, melhoria do produto via telemetria agregada.
- Cumprimento de obrigação legal (Art. 7º, II): retenção de registros fiscais via Paddle.
- Consentimento (Art. 7º, I): cookies não-essenciais (analytics) — quando aplicável.
4. Compartilhamento
Compartilhamos dados apenas com operadores que prestam serviços essenciais ao funcionamento:
- Supabase (operador) — banco de dados e autenticação, com servidores localizados nos Estados Unidos.
- Cloudflare (operador) — hospedagem e CDN.
- Paddle (controlador independente para fins de pagamento) — processa pagamentos como Merchant of Record e é responsável pela transação financeira da assinatura digital. O acesso às funcionalidades SaaS é concedido imediatamente após a confirmação da Paddle. Política da Paddle: paddle.com/legal/privacy.
- Google — autenticação OAuth e Google Analytics 4 (telemetria pseudonimizada).
Não vendemos seus dados nem compartilhamos para fins de marketing de terceiros.
5. Cookies e tecnologias similares
- Sessão: cookies do Supabase mantém você logado entre visitas.
- Preferências: tema (claro/escuro), idioma e unidades em
localStorage. - Analytics: Google Analytics 4 com IP anonimizado.
6. Retenção
- Dados de uso do software (receitas, preparos e preferências da conta): enquanto a conta estiver ativa. Após exclusão, removemos em até 30 dias (logs de backup mantidos por mais 30 dias antes de purga definitiva).
- Registros de pagamento: mantidos pela Paddle conforme exigências fiscais (5 anos no Brasil).
- Logs técnicos: 90 dias.
- Eventos de webhook: 1 ano (auditoria interna).
7. Seus direitos
Conforme LGPD Art. 18, você pode solicitar:
- Confirmação de existência de tratamento
- Acesso aos seus dados (via
/me→ Exportar JSON) - Correção de dados incompletos ou desatualizados
- Anonimização, bloqueio ou eliminação de dados desnecessários
- Portabilidade dos dados (export JSON cobre)
- Eliminação de dados tratados com consentimento
- Informação sobre compartilhamento
- Revogação de consentimento
Para exercer qualquer direito: privacy@shelf.coffee. Respondemos em até 15 dias úteis.
8. Segurança
Adotamos controles técnicos razoáveis: HTTPS obrigatório, criptografia de senhas (delegada ao OAuth), Row Level Security no banco de dados, segredos de servidor (chaves de API) isolados do cliente, verificação HMAC com proteção contra replay nos webhooks de pagamento. Nenhum sistema é 100% seguro — em caso de incidente que envolva dados pessoais, comunicaremos a ANPD e os titulares afetados nos termos da LGPD.
9. Transferência internacional
Alguns operadores (Supabase, Cloudflare, Paddle, Google) processam dados em servidores fora do Brasil. Garantimos que esses operadores oferecem nível adequado de proteção via cláusulas contratuais padrão e certificações reconhecidas.
10. Crianças
O Serviço não é direcionado a menores de 13 anos. Não coletamos intencionalmente dados de crianças. Se você é responsável legal e identificou que uma criança forneceu dados, contate-nos para remoção.
11. Alterações
Esta Política pode ser atualizada. Notificaremos mudanças materiais via interface do Serviço. A data no topo desta página indica a versão vigente.
12. Encarregado (DPO)
O canal para questões de proteção de dados é privacy@shelf.coffee. Contato: privacy@shelf.coffee.
