Política de Privacidade

1. Quem controla os dados

O Cantos do Litoral é o responsável pelas decisões sobre o tratamento descrito nesta política. Dúvidas e solicitações podem ser enviadas para contato@cantosdolitoral.com.br. O projeto está sediado em Palhoça, Santa Catarina.

2. Dados tratados

Podemos tratar: nome, email e credenciais dos responsáveis por estabelecimentos; vínculo com o estabelecimento; preferências de comunicação e registros de consentimento; dados comerciais, textos, links, horários, imagens, cardápios e arquivos de rota enviados ao portal; registros técnicos de autenticação, segurança e funcionamento; e dados de navegação e interação, como página visitada, data, horário, origem aproximada, navegador, dispositivo e eventos de cliques.

Se você ativar notificações, armazenamos o endpoint anônimo fornecido pelo navegador, as chaves técnicas necessárias ao Web Push, as categorias escolhidas, informações gerais do navegador e registros de entrega. A assinatura identifica uma instalação ou navegador, não exige conta e não contém seu nome, email ou localização precisa.

Quando o responsável conecta o Instagram, tratamos o identificador e nome de usuário da conta profissional, tipo e imagem do perfil, autorização de acesso, datas e estado da sincronização, além do conteúdo disponibilizado pela Meta: identificadores de mídia, posts, stories, imagens, vídeos, thumbnails, carrosséis, legendas, links e datas de publicação. Não acessamos mensagens privadas, lista de seguidores, comentários, insights nem publicamos conteúdo.

Itens marcados como salvos, o controle de stories vistos, um histórico limitado de conteúdos visitados e até 30 mensagens da conversa com o assistente ficam somente no armazenamento local do navegador. Ao usar o assistente, a pergunta atual e até seis mensagens recentes necessárias ao contexto são enviadas ao nosso servidor e podem ser processadas pela API Gemini do Google. Não envie dados pessoais ou sensíveis nessas mensagens.

3. Finalidades e bases legais

Usamos os dados para autenticar usuários, administrar contas e estabelecimentos, publicar e manter o conteúdo do guia, sincronizar e exibir o conteúdo profissional autorizado do Instagram, oferecer busca e respostas do assistente, proteger o serviço, prestar suporte e cumprir obrigações legais ou regulatórias. Esses tratamentos se apoiam, conforme o caso, na execução de contrato ou de procedimentos relacionados, no legítimo interesse, no cumprimento de obrigação legal e no exercício regular de direitos. A conexão do Instagram e o uso do assistente são opcionais.

O envio de novidades, roteiros e destaques por email depende de consentimento separado e opcional. A opção pode ser desmarcada no primeiro acesso e o consentimento pode ser revogado a qualquer momento pelo link de cancelamento dos emails ou pelo nosso contato.

As notificações Web Push também são opcionais. A permissão é solicitada somente após uma ação sua, e cada envio respeita as categorias selecionadas. Você pode alterar os assuntos ou desativar a assinatura na página de notificações e também nas configurações do navegador ou aparelho.

4. Analytics, cookies, recomendações, embeds e armazenamento local

O site público usa o PostHog para métricas de audiência e interação. A configuração atual desativa gravação de sessão e captura automática; as áreas administrativa, de autenticação e do portal não enviam pageviews. No assistente registramos somente eventos técnicos, como abertura, envio, resposta, erro, duração, rota e quantidade de fontes. O texto das perguntas e respostas não é enviado ao PostHog. O PostHog pode usar cookie e armazenamento local para manter identificadores técnicos. Também usamos cookies estritamente necessários do Supabase para sessão e segurança.

Favoritos, o estado visto/não visto dos stories, o histórico local de descoberta e a conversa do assistente ficam no armazenamento local do dispositivo e podem ser apagados no próprio recurso ou nas configurações do navegador. As recomendações combinam contexto da página, região do conteúdo, afinidade calculada neste dispositivo, relevância editorial, popularidade agregada, novidade e rotação. Não solicitamos GPS para essa finalidade.

Quando a Meta não disponibiliza a URL direta de um Reel, podemos usar o embed oficial do Instagram; nesse caso o navegador se comunica diretamente com a Meta, que poderá tratar endereço IP, identificadores técnicos, cookies e interações conforme suas próprias políticas e configurações de privacidade.

5. Compartilhamento e transferências

Dados podem ser processados por fornecedores necessários à operação: Supabase (banco de dados, autenticação, funções e arquivos), Vercel (hospedagem), PostHog (analytics), Resend (emails transacionais e newsletter), Meta/Instagram (autorização, API, mídias e conteúdo incorporado) e Google Gemini (processamento das mensagens necessárias ao assistente). No nível gratuito da Gemini, o Google informa que o conteúdo enviado pode ser usado para melhorar seus produtos. Também poderemos compartilhar informações para cumprir lei, ordem de autoridade ou proteger direitos e segurança. Alguns fornecedores podem processar dados fora do Brasil; nesses casos buscamos salvaguardas compatíveis com a LGPD. Não vendemos dados pessoais.

6. Conteúdo público

Informações comerciais publicadas no guia — como nome do negócio, descrição, localização, contatos, redes sociais, preços, horários e imagens — ficam acessíveis a qualquer pessoa e podem ser indexadas por mecanismos de busca. O responsável pelo estabelecimento deve enviar apenas conteúdo que esteja autorizado a tornar público e evitar dados pessoais desnecessários.

7. Retenção e segurança

Conservamos os dados pelo tempo necessário às finalidades informadas, à manutenção da conta e do conteúdo, ao cumprimento de obrigações legais e ao exercício de direitos. Depois disso, eles serão eliminados ou anonimizados quando aplicável. Detalhes de entrega de notificações são mantidos por até 90 dias; depois permanecem somente totais agregados. Assinaturas removidas pelo usuário são eliminadas, e endpoints expirados são desativados automaticamente.

As mensagens do assistente não são armazenadas no servidor do Cantos do Litoral. Até 30 mensagens permanecem no dispositivo até você limpar a conversa ou os dados do navegador. Mantemos apenas métricas técnicas sem conteúdo por até 30 dias e hashes HMAC temporários de sessão e rede para limitar abuso, sem guardar o endereço IP bruto.

O token do Instagram é armazenado de forma criptografada e acessível apenas por processos server-side autorizados. Posts e metadados são mantidos como cache enquanto a conexão estiver ativa; stories deixam de ser exibidos após sua validade e são removidos nas sincronizações. A sincronização ocorre periodicamente e renova as URLs temporárias das mídias. Ao desconectar, apagamos a credencial e o cache associado do Cantos do Litoral e tentamos revogar a autorização na Meta; o conteúdo original permanece no Instagram.

Adotamos ainda autenticação, validação de propriedade do estabelecimento, autorização de uso único no OAuth, restrições de acesso e políticas de segurança em nível de banco. Apesar dessas medidas, nenhum sistema é completamente imune a incidentes.

8. Seus direitos

Nos termos da LGPD, você pode pedir confirmação e acesso, correção, anonimização, bloqueio ou eliminação de dados inadequados ou excessivos, portabilidade quando regulamentada, informação sobre compartilhamentos, revisão das decisões automatizadas aplicáveis, oposição, revogação do consentimento e eliminação de dados tratados com base nele, observadas as hipóteses legais de conservação. A solicitação é gratuita e pode exigir confirmação de identidade.

9. Crianças e adolescentes

O portal de gestão é destinado a pessoas com capacidade para representar um estabelecimento e não é direcionado a crianças. Se identificarmos tratamento indevido de dados de criança ou adolescente, adotaremos as medidas cabíveis.

10. Conexão, revogação e solicitações sobre o Instagram

O responsável pode desconectar o Instagram a qualquer momento na área de gestão. Também pode revogar o acesso nas configurações da própria conta Meta/Instagram. Solicitações de exclusão ou dúvidas sobre dados mantidos pelo Cantos do Litoral podem ser enviadas para contato@cantosdolitoral.com.br, com informações suficientes para verificarmos a identidade e o vínculo com o estabelecimento.

11. Alterações

Esta política pode ser atualizada para refletir mudanças no serviço ou na legislação. A versão vigente será publicada nesta página com sua data. Quando a alteração for relevante, poderemos comunicar os usuários e solicitar nova aceitação.