Política de Privacidade

1. Quem somos (controlador dos dados)

A BlogAI é operada por GG Digital (CNPJ 60.700.363/0001-61), com sede em Maringá/PR — Brasil. Somos responsáveis pelo tratamento dos seus dados pessoais nos termos da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) e temos um Encarregado de Dados disponível por e-mail (dpo@blogai.digital).

2. Dados que coletamos

• Dados de cadastro: nome, e-mail, número de WhatsApp, nome da empresa e nicho de atuação (preenchidos no formulário de captura).
• Dados técnicos: endereço IP e dados mínimos de navegador para segurança e prevenção de abuso; com a sua permissão aplicável, identificadores de campanha (UTM_*, fbp, fbc e equivalentes).
• Dados de uso: após opt-in analítico, páginas visitadas, respostas e etapa do funil. Sem esse opt-in, a jornada continua funcional, mas não criamos visitor ID nem eventos comportamentais opcionais.
• Estado mínimo do checkout: referência opaca da intenção, plano e ciclo escolhidos, registro de que a oferta anual foi exibida (annual_offer_view), decisão final e horários. E-mail e vínculo do navegador são representados nesse ledger efêmero somente por HMACs pseudonimizados; não armazenamos o e-mail em texto aberto. Esse estado evita pular ou repetir etapas e continua estritamente necessário mesmo quando Analytics foi recusado; ele não cria perfil comportamental.
• Interações com recursos de IA: quando você solicita o concierge ou uma recomendação gerada, enviamos a mensagem e o contexto necessário para produzir a resposta.
• Dados financeiros: processados pela Cakto (não armazenamos dados de cartão).

3. Bases legais e finalidades

• Consentimento (art. 7º, I): tracking analítico, mensuração de marketing e envio de comunicações opcionais. Você pode revogar a qualquer momento.
• Execução de contrato (art. 7º, V): procedimentos preliminares de contratação solicitados pelo titular, preservação idempotente da jornada de checkout, publicação de conteúdo no seu site, faturamento e suporte técnico.
• Legítimo interesse (art. 7º, IX): segurança, prevenção de fraude e abuso e métricas estritamente operacionais que não substituem o consentimento de tracking.
• Cumprimento de obrigação legal (art. 7º, II): emissão de notas fiscais e atendimento a autoridades.

Entregar uma prévia, responder a uma solicitação ou concluir o checkout não autoriza comunicações comerciais futuras. E-mail, WhatsApp promocional e cadências de outbound dependem do opt-in opcional de marketing, separado do aceite operacional.

4. Sub-processadores

Compartilhamos dados estritamente necessários com prestadores que atuam sob nossas instruções:

• Supabase Inc. (banco de dados PostgreSQL e autenticação)
• Vercel Inc. (hospedagem da aplicação)
• Cakto (processamento de pagamentos) — Brasil
• Meta Platforms, Inc. (Facebook/Instagram Ads, Pixel, Conversions API)
• Google LLC (Google Analytics 4, Google Ads, Google Tag Manager)
• OpenAI, L.L.C. (processamento das respostas solicitadas em recursos de IA, quando habilitados)

Provedores de integrações opcionais, como Meta, Google e OpenAI, só recebem os dados necessários quando o recurso correspondente está habilitado e a base legal aplicável foi atendida. A lista e os mecanismos de transferência internacional acompanham os contratos e a configuração vigentes.

5. Cookies e tecnologias similares

Usamos três categorias de cookies — você controla cada uma na primeira visita e pode revisar a qualquer momento clicando em Gerenciar preferências de cookies aqui ou no rodapé.

• Essenciais (sempre ativos): autenticação, segurança, preferência de cookies, capacidade temporária da sessão de checkout e o estado mínimo que comprova a exibição única da oferta anual antes da escolha mensal ou anual.
• Analíticos (opt-in): Google Analytics 4, eventos first-party da jornada e identificador de teste A/B para entender o funil agregado. Sem esse opt-in, não criamos atribuição experimental persistente nem a cópia analítica do evento annual_offer_viewed. O estado essencial annual_offer_view descrito acima permanece apenas para integridade do checkout.
• Marketing (opt-in): Meta Pixel para mensurar e otimizar campanhas. Bloqueado até consentimento.

Respeitamos o sinal Global Privacy Control (GPC) do navegador quando recebido — equivale a recusar Marketing e Analíticos.

6. Seus direitos (LGPD art. 18)

Você tem direito a, sobre seus dados, gratuitamente:

• Confirmar a existência de tratamento
• Acessar uma cópia (export em JSON)
• Corrigir dados incompletos, inexatos ou desatualizados
• Anonimizar, bloquear ou eliminar dados desnecessários
• Portar para outro fornecedor
• Eliminar dados tratados com seu consentimento
• Revogar consentimento a qualquer momento
• Ser informado sobre compartilhamento

Para exercer qualquer direito, escreva para dpo@blogai.digital. Atendemos em até 15 dias corridos. Em requisições de exclusão, dados estritamente necessários para obrigação legal (ex: nota fiscal) podem ser retidos pelo prazo legal mínimo.

7. Tempo de retenção

• Leads sem conversão: 730 dias a partir da captura registrada nesta plataforma. Após esse prazo, removemos automaticamente os identificadores diretos e interrompemos novos envios de marketing. Registros pseudonimizados e trilhas técnicas ou comerciais estritamente necessárias podem ser mantidos, com acesso restrito e prazos próprios, para segurança, auditoria e obrigações legais.
• Intenção efêmera de checkout e estado annual_offer_view: a capacidade de continuar a compra expira em 2 horas. O ledger minimizado é conservado durante uma janela operacional de até 30 dias após o vencimento, exclusivamente para idempotência e reconciliação; se ainda houver entrega transacional pendente ao fim dela, a eliminação aguarda o estado terminal. Guardamos apenas referências opacas, HMACs, plano/ciclo e horários — nunca o e-mail em texto aberto.
• Clientes ativos: enquanto durar o contrato + 5 anos (obrigação fiscal).
• Logs técnicos (acessos, IP): 90 dias.
• Eventos de e-mail (open, click, bounce): 90 dias.

8. Segurança e incidentes

Adotamos controles proporcionais ao risco, incluindo TLS em trânsito, recursos de proteção em repouso oferecidos pela infraestrutura, autenticação multifator para acesso administrativo e controle de acesso baseado em papéis. Backup e recuperação seguem a configuração e o plano contratados dos provedores de infraestrutura. Em caso de incidente que represente risco aos titulares, a ANPD e os afetados serão notificados conforme os requisitos aplicáveis do art. 48 da LGPD.

9. Crianças e adolescentes

Os serviços da BlogAI destinam-se a profissionais e empresas. Não coletamos dados de menores de 18 anos deliberadamente. Se você é responsável legal e identificou dados de um menor, escreva para dpo@blogai.digital para remoção imediata.

10. Atualizações desta política

Esta política pode ser atualizada para refletir mudanças regulatórias ou de produto. A data acima sempre refletirá a versão vigente. Mudanças relevantes serão comunicadas por e-mail aos titulares ativos.