Política de Privacidade

1. Controlador e encarregado

O controlador dos dados é a Suipump Inc., sociedade constituída no estado de Delaware, Estados Unidos (C-Corp, file number 10637185), que opera a plataforma sob a marca Palmo. A empresa não possui, neste momento, inscrição no CNPJ brasileiro.

Ainda que sediada fora do Brasil, a atividade de tratamento é dirigida a pessoas no território nacional e, por isso, submete-se à LGPD, nos termos do art. 3º, II e III, da lei.

Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD). Canal para dúvidas, pedidos e reclamações: privacidade@palmo.lat.

2. Dados que coletamos, por categoria e origem

Coletamos apenas o necessário para conectar dono e produtor com segurança:

• Cadastro e login: nome, endereço de e-mail e foto de perfil, fornecidos pelo Google quando você entra com a conta Google.
• Verificação de identidade (KYC): nome completo, CPF (pessoa física) ou CNPJ e dados do responsável (pessoa jurídica), data de nascimento e os arquivos de documentos que você envia.
• Anúncios: município e UF, área, finalidade, cultura, presença de água, preço pretendido, número do CAR, matrícula, descrição e fotos que você publica.
• Mensagens e propostas: o conteúdo das conversas na plataforma, as propostas (preço, prazo e mensagem) e o status do negócio.
• Contratos: os blocos da minuta, comentários, propostas de redação e aprovações registradas na Sala do Contrato.
• Aceites legais: documento aceito, versão, data e hora, ENDEREÇO IP e USER AGENT do dispositivo, e o contexto do aceite (o anúncio ou o negócio a que ele se refere, quando houver), coletados como prova dos aceites feitos no cadastro, ao publicar um anúncio, ao enviar uma proposta e no fechamento.
• Uso e registros de acesso: data, hora, endereço IP e user agent das requisições, registrados pela infraestrutura de hospedagem e de banco de dados (Marco Civil, art. 15).
• Audiência: métricas agregadas de visitação, sem cookies e sem identificação individual.

Não coletamos dados pessoais sensíveis (art. 5º, II, da LGPD) e pedimos que você não os inclua em campos livres, como a descrição do anúncio ou as mensagens.

3. Cookies e armazenamento local

Usamos o mínimo necessário para o site funcionar. Esta é a lista completa:

• palmo-lang (cookie funcional, validade de 12 meses): guarda o idioma que você escolheu. É lido no servidor para que a página já chegue no idioma certo, sem piscar.
• Cookies de sessão do Supabase (essenciais): mantêm você autenticado entre as páginas e são renovados a cada requisição. Sem eles, não é possível entrar na conta.
• Armazenamento local (localStorage) palmo-lang e palmo-global-lang: cópia da preferência de idioma, guardada no seu navegador.
• Medição de audiência (Vercel Web Analytics): não utiliza cookies. As visitas são contabilizadas de forma agregada pelo provedor de hospedagem.

Não usamos cookies de publicidade, de perfilamento comportamental ou de rastreamento entre sites. Você pode bloquear ou apagar cookies nas configurações do navegador. Bloqueando os essenciais, a área logada deixa de funcionar.

4. Finalidades e bases legais

Cada tratamento tem uma finalidade e uma base legal da LGPD:

• Criar e manter sua conta e autenticar seu acesso: execução de contrato (art. 7º, V).
• Publicar anúncios, viabilizar mensagens, propostas e a Sala do Contrato: execução de contrato (art. 7º, V).
• Verificar identidade com documentos (KYC): execução de contrato (art. 7º, V) e legítimo interesse na prevenção a fraudes (art. 7º, IX); quando exigido por lei, cumprimento de obrigação legal (art. 7º, II).
• Liberar os dados de contato à contraparte no fechamento do negócio: execução de contrato (art. 7º, V).
• Calcular e cobrar a Taxa devida à Palmo no fechamento: execução de contrato (art. 7º, V) e exercício regular de direitos (art. 7º, VI).
• Registrar o aceite dos documentos legais, com IP e user agent: cumprimento de obrigação legal e exercício regular de direitos (art. 7º, II e VI).
• Segurança, prevenção a fraude e apuração de infrações às regras de conduta, inclusive as cláusulas 3.1 e 3.3 dos Termos: legítimo interesse (art. 7º, IX) e exercício regular de direitos (art. 7º, VI).
• Guardar registros de acesso: cumprimento de obrigação legal (art. 7º, II, c/c Marco Civil, art. 15).
• Medir audiência de forma agregada para melhorar o produto: legítimo interesse (art. 7º, IX).
• Enviar comunicações operacionais sobre negociações e conta: execução de contrato (art. 7º, V). Comunicações de marketing, quando houver, dependem do seu consentimento (art. 7º, I), revogável a qualquer tempo.

5. Com quem compartilhamos

Com a CONTRAPARTE, no fechamento: quando o negócio é fechado, seu nome, telefone e e-mail são liberados à outra parte daquela negociação, e os dela, a você. Antes do fechamento, esses dados não são acessíveis à contraparte nem a terceiros: o bloqueio é técnico, aplicado no próprio banco de dados.

Com OPERADORES que tratam dados em nosso nome e sob nossas instruções (art. 39 da LGPD): Supabase (banco de dados, autenticação e armazenamento de arquivos), Vercel (hospedagem da aplicação) e Google (login OAuth). Eles não usam seus dados para finalidades próprias.

Com AUTORIDADES, mediante requisição fundamentada ou ordem judicial, e para exercer ou defender direitos em processo. O uso compartilhado de dados pessoais pelo Poder Público observa a LGPD, inclusive o art. 26.

Não vendemos dados pessoais e não os compartilhamos com anunciantes.

6. Transferência internacional de dados

O controlador está sediado nos Estados Unidos e os operadores citados na seção 5 processam dados fora do Brasil, principalmente em território norte-americano. Isso significa que seus dados são transferidos internacionalmente.

A transferência tem por fundamento o art. 33 da LGPD: inciso V, por ser necessária à execução do contrato do qual você é parte, e inciso II, pelas garantias de cumprimento dos princípios e direitos da LGPD assumidas nos instrumentos de proteção de dados firmados com os operadores.

Independentemente do país onde os dados estejam, a LGPD continua sendo aplicada a este tratamento e você mantém todos os direitos descritos na seção 8.

7. Por quanto tempo guardamos

• Conta, perfil e anúncios: enquanto sua conta existir.
• Mensagens, propostas e contratos: enquanto a conta existir e, após o encerramento, pelo prazo necessário ao exercício regular de direitos, inclusive para apurar infrações às cláusulas 3.1 e 3.3 dos Termos.
• Documentos de verificação de identidade: pelo tempo necessário à finalidade da verificação e aos prazos legais aplicáveis.
• Aceites legais (documento, versão, data, IP e user agent): enquanto durar a relação e pelos prazos de prescrição aplicáveis, por serem a prova do consentimento contratual.
• Registros de acesso (data, hora, IP e user agent das requisições): hoje não mantemos base própria desses registros. Eles existem nos logs da nossa infraestrutura de hospedagem e de banco de dados e ficam disponíveis pelo período técnico de retenção praticado por esses provedores. Quando a guarda for exigida, ela se dá com fundamento no art. 15 do Marco Civil da Internet e alcança os registros que estiverem sob nossa custódia, podendo ser estendida por determinação judicial.
• Registros de eventos relevantes (cadastro, aceites legais, propostas e fechamentos): ficam na nossa base de dados enquanto a conta existir e pelo prazo necessário ao cumprimento de obrigações legais e ao exercício regular de direitos.

Preferimos dizer o que de fato praticamos: não prometemos um prazo de guarda de registros de acesso maior do que a infraestrutura atual entrega. Se passarmos a manter uma base própria com prazo fixo, esta Política será atualizada antes.

Encerrados os prazos, os dados são eliminados ou anonimizados, ressalvadas as hipóteses do art. 16 da LGPD.

8. Seus direitos e como exercê-los

A LGPD garante a você, a qualquer momento e gratuitamente (art. 18):

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade a outro fornecedor, mediante requisição expressa;
• eliminação dos dados tratados com base no consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não consentir e as consequências da negativa;
• revogação do consentimento;
• oposição a tratamento fundado em legítimo interesse, quando houver descumprimento da lei.

Para exercer qualquer desses direitos, escreva para privacidade@palmo.lat. Responderemos em até 15 (quinze) dias, prazo do art. 19, II, da LGPD, podendo antes disso enviar uma resposta em formato simplificado. Podemos pedir informações adicionais para confirmar sua identidade antes de atender ao pedido.

Alguns pedidos podem ser recusados quando houver obrigação legal de guarda ou necessidade de exercício regular de direitos. Nesses casos, explicamos o motivo. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

9. Segurança

Adotamos medidas técnicas e administrativas para proteger seus dados, entre elas:

• segurança em nível de linha no banco de dados (Row-Level Security): cada usuário só alcança os próprios dados e o que é público;
• gate de contato aplicado no banco: os dados de contato da contraparte só são devolvidos por uma função de segurança quando o negócio está com status de fechado. Nem mesmo o acesso técnico direto à API contorna essa regra;
• criptografia em trânsito (HTTPS/TLS) em toda a plataforma;
• armazenamento dos documentos de verificação em área privada, com acesso restrito à pasta do próprio usuário;
• autenticação delegada ao Google, sem que a Palmo armazene sua senha.

Nenhum sistema é totalmente imune. Se ocorrer incidente de segurança com risco relevante aos seus direitos, comunicaremos você e a ANPD, na forma do art. 48 da LGPD.

10. Crianças e adolescentes

A plataforma não é destinada a menores de 18 anos e não coletamos intencionalmente dados de crianças e adolescentes. Se identificarmos uma conta criada por menor, ela será encerrada e os dados, eliminados. Responsáveis que identificarem esse uso podem escrever para privacidade@palmo.lat.

11. Alterações e histórico de versões

Esta Política pode ser atualizada para refletir mudanças na plataforma ou na legislação. A versão vigente e sua data estão sempre no topo desta página. Alterações materiais serão comunicadas e exigirão nova aceitação no seu próximo acesso.

• Versão 1.0: versão inicial, publicada com a abertura do marketplace ao público.