Minuta para revisão jurídica. Os campos entre colchetes devem ser preenchidos antes da publicação definitiva.
1. Controlador e encarregado
1.1. O controlador dos dados pessoais é [RAZÃO SOCIAL], CNPJ [CNPJ] ("PONCI").
1.2. Encarregado pelo tratamento de dados (DPO): [NOME DO ENCARREGADO], e-mail [E-MAIL DO ENCARREGADO].
2. Dados que tratamos
- Cadastro: nome, e-mail, cidade, linguagem artística ou interesse, biografia.
- Identificação (KYC): nome completo ou razão social, CPF ou CNPJ, data de nascimento, telefone, endereço, ocupação e declaração de pessoa politicamente exposta.
- Operações: obras cadastradas, propostas, mensagens de negociação, reservas, contratos, assinaturas eletrônicas, valores, etapas de pagamento e entrega.
- Evidências de aceite e assinatura: data, hora, endereço IP, navegador e hash do documento.
- Registros de acesso: data, hora e IP de acesso à aplicação.
- Cookies: apenas cookies essenciais de sessão, necessários para manter você conectado. Não usamos cookies de publicidade.
3. Para que usamos e com qual base legal
| Finalidade | Base legal (LGPD, art. 7º) |
|---|---|
| Criar e manter sua conta, intermediar negociações e executar contratos | Execução de contrato (V) |
| Identificar membros, guardar registros e comunicar operações ao COAF/IPHAN | Cumprimento de obrigação legal (II) |
| Guardar registros de acesso por 6 meses (Marco Civil da Internet, art. 15) | Cumprimento de obrigação legal (II) |
| Provar aceites e assinaturas, prevenir fraudes e defender direitos | Exercício regular de direitos (VI) e legítimo interesse (IX) |
| Curadoria e segurança da rede | Legítimo interesse (IX) |
4. Com quem compartilhamos
- A outra parte de uma venda: durante a negociação, o colecionador aparece apenas por um código de membro e pela cidade. Após a reserva, as partes veem o nome uma da outra e o documento de identificação parcialmente mascarado no contrato.
- Operadores que nos prestam serviço: hospedagem de banco de dados e autenticação (Supabase), hospedagem e entrega da aplicação (Cloudflare), envio de e-mails (SendGrid), instituição de pagamento parceira, transportadora e seguradora.
- Autoridades: COAF, IPHAN, Receita Federal e autoridades judiciais, quando exigido por lei.
Não vendemos dados pessoais.
5. Transferência internacional
Alguns operadores armazenam dados fora do Brasil, inclusive nos Estados Unidos. Essas transferências são feitas com fornecedores que adotam cláusulas contratuais e medidas de segurança compatíveis com a LGPD (art. 33).
6. Por quanto tempo guardamos
- Dados de cadastro: enquanto a conta estiver ativa.
- Dados de identificação e registros de operações: 5 anos após o encerramento da conta ou da última operação (Lei 9.613/98).
- Contratos, aceites e assinaturas: até o fim do prazo prescricional aplicável.
- Registros de acesso: 6 meses.
Pedidos de exclusão são atendidos respeitando esses prazos legais; o que não puder ser apagado fica bloqueado para qualquer outro uso.
7. Seus direitos
Você pode, a qualquer momento (LGPD, art. 18): confirmar o tratamento e acessar seus dados; corrigir dados incompletos ou desatualizados; pedir anonimização, bloqueio ou eliminação de dados desnecessários; pedir a portabilidade; saber com quem compartilhamos; revogar consentimentos; e reclamar à ANPD.
Para exercer seus direitos, use Minha conta → Privacidade na plataforma, onde também é possível baixar uma cópia dos seus dados, ou escreva para o encarregado.
8. Segurança
Usamos conexão criptografada, controle de acesso por linha no banco de dados, trilha de auditoria imutável e acesso administrativo restrito. Nenhum sistema é totalmente imune a incidentes; se ocorrer um incidente relevante, comunicaremos os titulares afetados e a ANPD.
9. Alterações
Esta política pode ser atualizada. Cada versão é numerada e publicada na plataforma.