Política de Privacidade

1. Quem somos

O controlador dos dados pessoais tratados nesta plataforma é:

• Razão social: INSTITUTO COLONIA ESPERANCA

• CNPJ: 31.228.697/0001-86

• Endereço: Estrada Municipal Ferreiras, s/n, Bairro dos Ferreiras, Pouso Alegre/MG, CEP 37550-000

• E-mail de contato: icoloniaesperanca@gmail.com

2. Encarregado pelo Tratamento de Dados Pessoais (DPO)

Conforme Art. 41 da LGPD, designamos como Encarregado:

• Nome: Leon Rissato

• E-mail: lnr3dcontato@gmail.com

• Telefone: +55 (11) 95599-9813

Você pode contatar o Encarregado para qualquer questão envolvendo seus dados pessoais, incluindo o exercício dos direitos do titular previstos no Art. 18.

3. Quais dados coletamos

3.1. No cadastro

• Identificação: nome completo, e-mail, telefone

• Documento: CPF ou número de passaporte (para emissão de ingresso nominal e nota fiscal)

• Credencial: senha (armazenada em hash bcrypt, nunca em texto claro)

3.2. Na compra de ingressos

• Snapshot dos dados de identificação do comprador (necessário para fins fiscais)

• Dados dos demais participantes (nome, e-mail, CPF) quando o pedido é nominal

• Histórico de pedidos, pagamentos e ingressos

• Parâmetros UTM (origem de marketing) quando aplicável

3.3. No pagamento

• Não armazenamos número de cartão. O pagamento é processado pelo Mercado Pago via tokenização cliente-side.

• Armazenamos: bandeira, últimos 4 dígitos, número de parcelas e identificador da cobrança.

3.4. Durante o uso da plataforma

• Endereço IP, User-Agent e timestamp para fins de auditoria de segurança (Art. 7, IX — legítimo interesse)

• Logs de check-in (IP, gate, operador) para auditoria de eventos

• Cookies de sessão (httpOnly, sameSite=lax, secure em produção)

3.5. Cookies e analytics

Utilizamos apenas cookies estritamente necessários para o funcionamento da aplicação por padrão. Cookies de analytics (Google Analytics 4) só são ativados após consentimento explícito por meio do banner exibido no primeiro acesso.

4. Para que usamos seus dados (finalidades e bases legais)

FinalidadeBase legal (Art. 7) Criar e manter sua contaV — Execução de contrato Emitir e validar ingressosV — Execução de contrato Emitir nota fiscalII — Cumprimento de obrigação legal Processar pagamentoV — Execução de contrato Enviar comunicações sobre o evento adquirido (lembretes, alterações)V — Execução de contrato Enviar marketing por e-mailI — Consentimento (opt-in explícito) Auditoria de segurança e prevenção de fraudeIX — Legítimo interesse Atendimento ao titular dos dadosVI — Exercício regular de direitos

5. Com quem compartilhamos

Operadores que recebem dados pessoais para nos prestar serviços:

OperadorFinalidadePaís / transferência internacional Mercado Pago Brasil LtdaProcessamento de pagamentoBrasil Resend Inc.Entrega de e-mails transacionaisEstados Unidos — transferência internacional, cláusulas-padrão Sentry (auto-hospedado em infraestrutura interna)Monitoramento de erros (PII suprimida via scrubbing)Próprio controlador — sem transferência internacional Google LLC (Google Analytics 4)Métricas de uso (apenas após consentimento)Estados Unidos — transferência internacional, cláusulas-padrão Umami (auto-hospedado)Métricas agregadas cookieless (sem PII individual)Próprio controlador (mesma infraestrutura) Amazon Web Services (AWS)Hospedagem da infraestrutura (EC2 e S3)Brasil — região sa-east-1 (São Paulo)

Bases legais para transferência internacional: Art. 33, I (país com nível adequado), II (cláusulas-padrão) ou VIII (consentimento), conforme aplicável.

6. Por quanto tempo guardamos

Tipo de dadoPrazo de retenção Conta ativaEnquanto durar a relação contratual Conta inativa (sem pedidos há 24 meses)Anonimização automática Histórico de pedidos pagos5 anos (obrigação fiscal — Decreto-Lei 486/1969) Logs de auditoria24 meses, com IP anonimizado após 90 dias Solicitações LGPD3 anos (Art. 16, II — exercício regular de direitos)

7. Seus direitos (Art. 18)

Você pode, a qualquer momento, exercer os seguintes direitos:

1. Confirmação e acesso — consultar quais dados temos

2. Correção — corrigir dados incompletos, inexatos ou desatualizados

3. Anonimização ou eliminação — solicitar que seus dados sejam apagados

4. Portabilidade — receber seus dados em formato estruturado (JSON)

5. Informação sobre compartilhamento — saber com quem compartilhamos

6. Revogação do consentimento — desligar marketing ou outros usos não obrigatórios

7. Oposição ao tratamento feito com base em legítimo interesse

8. Revisão de decisões automatizadas (não aplicável atualmente — não tomamos decisões automatizadas com efeitos jurídicos)

Como exercer

• Pela plataforma: acesse /conta/perfil → "Solicitar cópia dos meus dados" ou "Solicitar exclusão da conta". O sistema cria uma solicitação rastreada.

• Por e-mail: envie pedido para o DPO no endereço acima, com assunto "LGPD — [tipo da solicitação]".

Responderemos em até 15 dias úteis da data da solicitação, conforme prazo razoável adotado.

8. Segurança

Adotamos medidas técnicas e administrativas para proteger seus dados (Art. 46):

• Senhas armazenadas com bcrypt (12 rounds)

• Autenticação de dois fatores (TOTP) disponível para administradores

• Comunicação criptografada em trânsito (HTTPS com HSTS de 2 anos)

• Headers de segurança fortes (CSP, X-Frame-Options, Referrer-Policy)

• Rate limiting de login e bloqueio temporário após falhas sucessivas

• Tokenização de cartão de crédito no lado do cliente (servidor nunca recebe PAN)

• Logs de auditoria de ações críticas

• Política formal de resposta a incidentes (Art. 48)

9. Comunicação de incidentes

Caso ocorra incidente de segurança que possa acarretar risco ou dano relevante aos titulares, notificaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, na forma do Art. 48.

10. Alterações nesta política

Mudanças materiais nesta política serão comunicadas por e-mail aos clientes cadastrados, com pelo menos 15 dias de antecedência, e exigirão novo consentimento quando aplicável.

A versão deste documento e a data de vigência aparecem no topo. Versões anteriores ficam acessíveis sob demanda ao DPO.

11. Foro

Fica eleito o foro da comarca de Pouso Alegre/MG para dirimir quaisquer controvérsias relacionadas a esta Política, sem prejuízo do direito do titular de buscar a ANPD ou o juízo de seu domicílio.

Versão: 2024-01 — vigência a partir de 13/08/2026.