Política de privacidade.

Esta política explica, em linguagem simples, o que fazemos com os dados de quem organiza, apoia ou visita o Caixinha do Bem, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018).

Quem é responsável

O Caixinha do Bem (caixinhadobem.com) é operado por CODEMART SERVICOS LTDA, inscrita no CNPJ sob o nº 56.028.695/0001-74, com sede na Avenida Paulista, 726, conjunto 1202, Bela Vista, São Paulo/SP, CEP 01310-910. É ela a controladora dos dados pessoais tratados no site, conforme o art. 5º, VI da LGPD.

O canal para assuntos de privacidade é contato@caixinhadobem.com. É por ele que você fala com o encarregado pelo tratamento de dados pessoais, que recebe e responde às solicitações de titulares e à comunicação da autoridade nacional (LGPD, art. 41).

Quais dados coletamos

Se você cria uma conta ou uma campanha

• E-mail: para entrar (link mágico) e para falarmos com você sobre a sua conta, a sua campanha ou um apoio quando for necessário. Hoje não enviamos avisos automáticos por e-mail.
• Conteúdo da campanha: título, história, fotos, cidade, meta, categoria, nome público do organizador, links de redes sociais e recompensas. Tudo isso é público depois da aprovação.
• Dados para o saque: nesta fase o site não tem campo de chave Pix. A conta de destino é combinada com a nossa equipe por e-mail quando você pede o saque, e usamos essa informação apenas para fazer o repasse.
• Documentos: apenas se a moderação pedir, para confirmar identidade ou o vínculo com o beneficiário. São enviados por e-mail para contato@caixinhadobem.com, ficam restritos à equipe e são apagados depois da análise.

Se você apoia uma campanha

• Nome, e-mail e mensagem que você escolher informar. Nome e mensagem aparecem na página da campanha; o e-mail nunca é público e serve para identificarmos o seu apoio se você precisar falar com a gente.
• Apoio anônimo: você pode ocultar o nome. O organizador vê o valor, mas não quem apoiou.
• Contato para a recompensa: quando o seu apoio alcança uma recompensa e você marca a caixa de consentimento na hora de apoiar, o organizador daquela campanha passa a ver o seu e-mail e, se você informar, o seu @ do Instagram, só para entregar a recompensa. Sem a caixa marcada, ele vê o valor e a recompensa devida, mas nenhum contato. Você pode retirar esse consentimento pelo canal de privacidade abaixo.
• Pagamento: o Pix e o cartão são processados pelo nosso meio de pagamento. Guardamos o valor, a data, a taxa, a forma de pagamento e o identificador da transação; não vemos nem armazenamos dados bancários ou de cartão.
• CPF: só no Pix. O meio de pagamento exige o CPF de quem paga para emitir a cobrança (art. 7º, V da LGPD). Repassamos e não guardamos: ele não entra em nenhum registro nosso. No cartão, quem pede o documento é a página do meio de pagamento.

De todo mundo que visita

• Endereço IP e registros técnicos (data, hora, navegador, páginas acessadas): para segurança, limite de requisições e apuração de abusos.
• Cookies estritamente necessários: apenas os que mantêm a sua sessão. Não usamos cookies de publicidade ou de rastreamento.
• CAPTCHA: os formulários públicos usam o Cloudflare Turnstile, que analisa sinais do navegador para separar pessoas de robôs.
• Preferências locais: causas salvas e rascunhos ficam no armazenamento do seu navegador e não saem dele até você publicar.

Para que usamos e com qual base legal

• Execução do serviço (art. 7º, V): criar sua conta, publicar a campanha, registrar apoios, processar pagamentos e saques, exibir nome e mensagem de quem apoia.
• Obrigação legal (art. 7º, II): guardar registros de pagamentos e de acesso pelo prazo exigido por lei (Marco Civil da Internet, legislação fiscal e de prevenção a fraudes).
• Legítimo interesse (art. 7º, IX): segurança do site, prevenção a fraudes, moderação de campanhas, limite de requisições e apuração de denúncias.
• Consentimento (art. 7º, I): entrar com a sua conta Google, se você escolher esse caminho. Você pode retirar o consentimento a qualquer momento, e dizer não só significa que o login será pelo link mágico no e-mail.

Não vendemos dados pessoais nem usamos ferramentas de publicidade ou rastreamento analítico de terceiros.

Com quem compartilhamos

Só com quem precisamos para o serviço funcionar, e apenas o necessário:

• Supabase: banco de dados, autenticação e armazenamento de fotos.
• Mercado Pago, nosso meio de pagamento: processa os apoios por Pix e cartão. Recebe os dados necessários para gerar e confirmar a cobrança, incluindo o CPF de quem paga no Pix.
• Cloudflare: CAPTCHA (Turnstile) nos formulários públicos.
• Vercel: hospedagem do site e logs técnicos.
• Google: apenas se você escolher entrar com Google, e apenas para autenticação.
• O organizador da campanha: só com o seu consentimento, e só quando o seu apoio alcança uma recompensa. Ele recebe o seu e-mail e, se você informar, o seu @ do Instagram, para entregar a recompensa — nada além disso.
• Autoridades: quando houver ordem legal ou para apurar fraude.

Alguns desses fornecedores operam fora do Brasil. Nesses casos a transferência segue o art. 33 da LGPD, com cláusulas contratuais e medidas de segurança adequadas.

Por quanto tempo guardamos

• Conta e campanhas: enquanto a conta existir. Campanhas encerradas saem do ar, mas continuam no seu painel até você pedir a remoção.
• Registros de apoios, taxas e saques: 5 anos após o pagamento, pelo prazo legal de guarda de registros financeiros.
• CPF de quem paga no Pix: não guardamos. Ele atravessa a requisição que gera a cobrança e não é gravado.
• Logs de acesso (IP, data e hora): 6 meses, conforme o Marco Civil da Internet.
• Mensagens de suporte e denúncias: até 2 anos após o encerramento do caso.
• Documentos enviados à moderação por e-mail: apagados em até 90 dias após a análise, salvo investigação em curso.

Seus direitos

A LGPD garante a você, entre outros, o direito de:

• confirmar se tratamos seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• pedir a portabilidade dos seus dados;
• saber com quem compartilhamos;
• opor-se a um tratamento que fazemos com base em legítimo interesse;
• saber que você pode não dar um consentimento e o que muda se não der;
• revogar um consentimento e pedir a exclusão da conta;
• reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Como exercer

Escreva para contato@caixinhadobem.com a partir do e-mail cadastrado, dizendo o que deseja. Respondemos em até 15 dias. Alguns dados não podem ser apagados de imediato por obrigação legal (por exemplo, registros de pagamentos); nesse caso explicamos o motivo e o prazo.

Nome e mensagem de um apoio já publicado podem ser ocultados a pedido do doador. A exclusão de uma campanha com apoios recebidos preserva os registros financeiros, mas remove o conteúdo público.

Se acontecer um incidente de segurança

Se houver um incidente com risco relevante aos seus dados, comunicamos você e a Autoridade Nacional de Proteção de Dados, contando o que aconteceu, quais dados foram afetados e o que estamos fazendo.

Crianças e adolescentes

Só maiores de 18 anos podem criar conta. Campanhas sobre menores de idade devem ser criadas por um responsável legal, que responde pelo conteúdo e pelo uso do dinheiro. Publique apenas o necessário sobre a criança e evite documentos, endereço e escola no texto público.

Mudanças nesta política

Podemos atualizar esta política. A nova versão passa a valer quando é publicada aqui; a data da última atualização fica no fim desta página. O uso do site depois disso significa que você leu a nova versão. Leia também os Termos de uso e a página de Segurança.