Política de privacidade

Este é um modelo. Substituir por texto revisado por advogado/DPO antes de ir ao ar.

A FAVE respeita sua privacidade e cumpre a Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018). Esta política descreve quais dados coletamos, por que coletamos e como você exerce seus direitos.

1. Dados coletados

1.1 De todos os usuários

• Email, username, senha (hash argon2id), data de cadastro.
• IP, user-agent, idioma do navegador (para anti-fraude e analytics agregado).
• Histórico de assinaturas, presentes e compras.
• Mensagens enviadas via chat dentro da plataforma.

1.2 Adicional para criadores (KYC)

• Nome completo, CPF, data de nascimento.
• Chave Pix para recebimento de saques.
• Documento de identidade (foto frente/verso).

CPF e chave Pix são armazenados criptografados (AES-256-GCM). Documentos de identidade ficam em storage segregado, acessível apenas ao time de moderação para fins de aprovação.

2. Finalidades do tratamento

• Autenticar acesso e prevenir fraude.
• Processar pagamentos via gateway PIX.
• Cumprir obrigações fiscais (emissão de relatórios fiscais).
• Comunicar eventos importantes da conta (recuperação de senha, confirmações).
• Moderar conteúdo e investigar violações dos Termos.
• Melhorar a plataforma via analytics agregado (sem dados pessoais individuais).

3. Compartilhamento com terceiros

Compartilhamos dados apenas com:

• Provedores de pagamento (C6 Bank, PagBank, Mercado Pago, Asaas, etc): nome, email, valor e identificador da cobrança. Mínimo necessário para processar a transação.
• Provedores de email transacional (SMTP): email e conteúdo da mensagem específica.
• Storage de mídia (S3 / R2 / MinIO): arquivos enviados pelos criadores. Acesso protegido por URLs assinadas.
• Autoridades públicas: somente mediante ordem judicial ou requerimento legal válido.

Não vendemos seus dados para marketing de terceiros.

4. Retenção

• Conta ativa: enquanto durar a relação.
• Conta encerrada: 5 anos para cumprimento de obrigações fiscais.
• Logs de acesso e auditoria: 6 meses.
• Mídia removida: 30 dias para recuperação, depois deletada.

5. Direitos do titular (LGPD Art. 18)

Você tem direito a:

• Confirmar a existência de tratamento dos seus dados.
• Acessar e corrigir seus dados.
• Solicitar anonimização, bloqueio ou eliminação.
• Solicitar portabilidade.
• Revogar consentimento.
• Opor-se a tratamento baseado em interesse legítimo.

Para exercer qualquer direito, envie email para dpo@favefans.com. Respondemos em até 15 dias.

6. Cookies

• Essenciais: sessão NextAuth (JWT, 30 dias), aceitação de termos. Não podem ser desativados.
• Analytics: fingerprint anonimizado (não pessoal) para medir uso agregado. Pode ser desativado em Perfil > Configurações > Privacidade.

Detalhes completos na Política de cookies.

7. Segurança

• Senhas armazenadas via argon2id (resistente a brute-force).
• Dados sensíveis (CPF, Pix) encriptados em repouso com AES-256-GCM.
• Acesso a dados restrito por RBAC granular (audit log de toda mutação).
• Conexão protegida por TLS 1.3.
• Rate limit em endpoints de autenticação.

Em caso de incidente de segurança que afete dados pessoais, notificaremos a ANPD e os titulares afetados em até 72h.

8. Transferência internacional

Os dados podem ser armazenados em provedores fora do Brasil (ex.: AWS S3 regiões EUA/Europa). Estes provedores oferecem garantias contratuais de proteção equivalentes à LGPD.

9. Encarregado (DPO)

Encarregado pelo tratamento de dados: dpo@favefans.com.

10. Alterações

Esta política pode ser atualizada. Mudanças materiais serão comunicadas com 30 dias de antecedência por email.