Política de Privacidade

A Love Changes é a controladora dos dados pessoais descritos aqui e decide por que e como eles são tratados.

Solicitações e dúvidas sobre proteção de dados chegam pelo formulário de contato do site, escolhendo o assunto "Privacidade ou meus dados". Todo pedido recebido por esse canal é respondido, inclusive de acesso, correção e exclusão.

Coletamos apenas o que uma finalidade específica exige:

• Dados da doação: nome, e-mail, telefone opcional, valor, moeda, frequência, status da doação e código de referência.
• Dados de pagamento: tratados diretamente pela Stripe. Não vemos nem armazenamos o número completo do cartão — guardamos apenas os identificadores devolvidos pela Stripe.
• Dados de contato: nome, e-mail e mensagem digitados no formulário de contato.
• Dados técnicos: endereço IP, informações de navegador e dispositivo, páginas acessadas e registros de erro e segurança gerados automaticamente pelos servidores.
• Registros de consentimento: a versão deste aviso que você aceitou, com data e hora da aceitação.

Cada categoria serve a uma finalidade declarada:

• processar doações, emitir recibos e administrar contribuições recorrentes;
• enviar e-mails transacionais como confirmações de doação, códigos de referência e avisos de falha de pagamento;
• responder às mensagens que você nos envia;
• manter o serviço seguro: prevenção a fraudes, limitação de requisições, apuração de abusos e resposta a incidentes;
• cumprir obrigações contábeis, fiscais e de prestação de contas do terceiro setor;
• produzir estatísticas agregadas sobre nosso trabalho, que nunca identificam um doador individualmente.

Segundo o GDPR (art. 6) e a LGPD (art. 7), utilizamos: execução de contrato, para processar a doação e prestar os serviços associados; cumprimento de obrigação legal, para a guarda contábil e fiscal; legítimo interesse, para segurança, prevenção a fraudes e melhoria do serviço; e consentimento, para o que é opcional, como cookies não essenciais.

Quando a base é o consentimento, você pode revogá-lo a qualquer momento; a revogação não afeta o tratamento já realizado.

Não vendemos, alugamos nem negociamos dados pessoais, e não os compartilhamos para publicidade comportamental. Compartilhamos o mínimo necessário com operadores vinculados por contrato:

• Stripe, Inc. — processamento de pagamentos e tratamento de dados de cartão (certificada PCI DSS).
• Resend — entrega de e-mails transacionais.
• Nosso provedor de hospedagem — execução da aplicação e do banco PostgreSQL, incluindo backups criptografados.
• Monitoramento de erros — relatórios de diagnóstico sobre falhas da aplicação, com identificadores pessoais removidos antes do envio.

Nossos fornecedores operam servidores fora do Brasil e fora do Espaço Econômico Europeu, principalmente nos Estados Unidos e na União Europeia. As transferências são amparadas por cláusulas contratuais padrão e pelas garantias equivalentes exigidas pelo art. 33 da LGPD.

Excluímos ou anonimizamos os dados assim que a finalidade se encerra:

• Registros de doação e recibo: mantidos pelo prazo exigido pelas normas fiscais e contábeis, atualmente sete anos após a doação.
• Mensagens de contato: até 24 meses após o encerramento da conversa.
• Registros de segurança, acesso e erro: até 12 meses.
• Registros de consentimento: enquanto durar o tratamento relacionado, mais o prazo prescricional aplicável.

O tráfego é criptografado com TLS; as credenciais administrativas são guardadas como hashes scrypt; as sessões administrativas expiram e são registradas; os endpoints da API têm limite de requisições; os backups do banco são diários e guardados com acesso restrito.

Nenhum sistema é totalmente imune. Se um incidente puder gerar risco aos seus direitos, comunicaremos você e a autoridade competente nos prazos previstos na legislação aplicável.

Conforme o país em que você vive, é possível exercer gratuitamente os seguintes direitos:

• confirmação de que tratamos seus dados e acesso a uma cópia deles;
• correção de dados incompletos, inexatos ou desatualizados;
• eliminação dos dados tratados com base no consentimento ou que não sejam mais necessários;
• anonimização ou bloqueio de dados desnecessários ou excessivos;
• portabilidade dos dados a outro fornecedor em formato legível por máquina;
• oposição ao tratamento baseado em legítimo interesse e revogação do consentimento;
• informação sobre as entidades públicas e privadas com as quais compartilhamos dados;
• para residentes da Califórnia: direito de saber, excluir, corrigir e recusar a venda ou o compartilhamento — que não praticamos — sem sofrer discriminação por exercê-los.

Envie seu pedido pelo formulário de contato do site, escolhendo o assunto "Privacidade ou meus dados", usando o e-mail vinculado aos seus dados. Podemos pedir informações adicionais para confirmar sua identidade antes de atender.

Respondemos em até 15 dias os pedidos fundamentados na LGPD e em até 30 dias os fundamentados no GDPR e na CCPA. Em casos complexos, o prazo pode ser prorrogado uma vez, com justificativa.

O site não é direcionado a crianças. Não coletamos conscientemente dados de menores de 18 anos sem o consentimento de pai, mãe ou responsável legal. Se você acredita que uma criança nos enviou dados pessoais, escreva para nós e faremos a exclusão.

Usamos o menor conjunto possível de cookies, e os não essenciais só são gravados depois que você aceita. A Política de Cookies lista cada cookie, sua finalidade e sua duração.

Se a nossa resposta não for satisfatória, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), à autoridade supervisora do seu Estado-membro europeu ou ao órgão competente no seu país de residência.

Quando este aviso mudar, atualizamos a data de revisão exibida no topo da página e, em mudanças relevantes, anunciamos no site antes de a nova versão entrar em vigor.