Política de privacidade

O Portal Carmelitano é operado pela CidadeViva, nome fantasia de LUIZ FERNANDO FERREIRA DE ALMEIDA, CNPJ 65.205.651/0001-63. Encarregado de dados (DPO) pode ser contatado pelos canais oficiais do portal.

• Dados de cadastro, login, perfil e preferências informadas pelo usuário.
• Dados enviados em formulários, classificados, newsletter, contato e solicitações.
• Dados públicos de entidades cadastradas: nome, slug, fotos, telefone comercial, site, endereço comercial e geolocalização.
• Dados técnicos de segurança e navegação: logs, dispositivo, navegador, sistema operacional, IP truncado e páginas acessadas.
• Dados de uso e interação: cliques em fichas de empresas, anúncios visualizados, buscas realizadas, rotas no mapa e métricas de conversão (ex.: clique em telefone, WhatsApp, site ou rota da ficha de um comércio).
• Interesses da home: o que você marcou em "o que você procura" e uma contagem de uso por área (turismo, delivery, agendamento, informações da cidade, comércio, comunidade) — sem guardar quais páginas você abriu. Serve só para ordenar a sua home; fica no aparelho e, com login, na sua conta. Dá para mudar em Preferências da home.

Usamos três categorias de cookies:

• Essenciais — necessários para login, sessão, segurança e preferências básicas (como os interesses que organizam a sua home). Não dependem de consentimento.
• Análise (analytics) — medem audiência, performance e navegação agregada. Ativados após consentimento. Usamos provedores que respeitam IP anonimizado quando disponível.
• Publicidade e conversão — medem visualizações e cliques em anúncios, e conversões em fichas de empresas (ex.: clique em telefone, WhatsApp, site, rota). Ativados após consentimento.

Você pode aceitar ou recusar análise e publicidade no banner exibido na primeira visita, e revisar sua escolha a qualquer momento limpando os cookies do navegador ou pelo painel quando disponível.

• Operar o portal, autenticar usuários e publicar conteúdos aprovados.
• Exibir fichas públicas de turismo, comércio, eventos, serviços e comunidade.
• Medir audiência e desempenho do portal por meio de estatísticas agregadas e anonimizadas.
• Exibir anúncios e patrocínios de empresas locais, medir suas visualizações e cliques, e fornecer relatórios de desempenho aos anunciantes — sempre em formato agregado, sem identificar visitantes individuais.
• Medir conversões em fichas de empresas (cliques em telefone, WhatsApp, site, rota, formulário de contato) para mostrar ao comerciante quanto tráfego o portal está gerando para o negócio dele.
• Enviar newsletters ou comunicados apenas quando houver base legal adequada.
• Prevenir fraude, abuso e violações dos termos de uso.

• Execução de contrato — para operar a conta e os serviços do portal.
• Legítimo interesse — para segurança, prevenção a fraude, métricas agregadas e para oferecer o portal a comércios com o contato que eles mesmos publicaram (veja Prévia para comércios).
• Consentimento — para cookies de análise, publicidade e conversão, e para comunicações de marketing.
• Cumprimento de obrigação legal — quando exigido por lei ou autoridade competente.

Não vendemos dados pessoais. Compartilhamos dados apenas com provedores necessários para operar o portal: hospedagem e banco de dados (Supabase), envio de email (Brevo), processamento de pagamentos Pix e assinaturas (Woovi), processamento de pagamentos com cartão de crédito (Stripe), mapas (OpenStreetMap/Maplibre), análise de audiência, redes de anúncios e provedores de IA — todos sob contrato e com finalidade específica. Para cobranças, compartilhamos com a Woovi apenas o necessário para emitir o Pix ou o Pix Automático (nome, CPF/CNPJ, e-mail, telefone e endereço do titular, além do valor). No pagamento com cartão, você informa os dados do cartão diretamente à Stripe, em ambiente seguro dela; recebemos apenas a confirmação do pagamento, a bandeira e os 4 últimos dígitos para identificar o cartão. Não armazenamos dados bancários nem números de cartão. Dados públicos de fichas aprovadas ficam visíveis aos visitantes. Quando você faz uma reserva (pousada, day use ou passeio), enviamos ao estabelecimento reservado apenas o necessário para atendê-la: nome, telefone, datas, número de pessoas e o recado que você escrever. O pagamento de sinal por Pix vai direto para a chave do estabelecimento; o portal não recebe esse valor. Anunciantes recebem apenas relatórios agregados, nunca dados pessoais identificáveis dos visitantes.

O assistente da cidade (Tormenta-IA), no site e no app, responde por inteligência artificial. A página Sobre o assistente explica o funcionamento em linguagem simples; esta seção é a versão da política.

• O que vai para o provedor de IA. A sua pergunta, as últimas mensagens da conversa e os dados do portal que a resposta usa (lojas, horários, eventos, serviços). Não enviamos por conta própria o seu nome, e-mail, localização, pedidos nem dados de cadastro (o que você escrever na pergunta vai junto, e o widget do site também envia o nome da página do portal em que você está). O provedor é externo, contratado por API, e entra na regra de provedores de IA da seção Compartilhamento. O portal não treina nem ajusta nenhum modelo com as conversas.
• O que fica no seu aparelho. O histórico das conversas fica salvo só no seu aparelho (app) ou navegador (site). Você apaga conversa por conversa, no histórico.
• O que fica no nosso servidor. Cada pergunta feita ao assistente é registrada com a resposta, as consultas feitas e o consumo, para controlar custos, evitar abuso e melhorar a qualidade. No site, com login, o registro fica ligado à sua conta. O acesso é restrito à equipe do portal e aos administradores. Apagar a conversa do aparelho não apaga esse registro; para pedir a exclusão, veja Seus direitos e a página /lgpd.
• Avaliações (👍 e 👎). Guardamos a nota, a pergunta, a resposta, as últimas mensagens da conversa e o comentário opcional (e a conta, no site, se você estiver conectado). Administradores da cidade leem para corrigir e melhorar o assistente.
• Cuidado. Não escreva CPF, senha, dados de cartão ou de saúde no chat. As respostas podem errar: confira preço, horário e informações importantes na fonte.

Quando um comércio ativa o Pix automático (plano de 3%), abrimos para ele uma conta na Woovi, no CNPJ do próprio comércio, ligada ao portal como empresa afiliada. Para isso, enviamos à Woovi o CNPJ, a razão social e o site do comércio e o nome, o e-mail, o celular e o CPF da pessoa responsável pela conta. A base legal é a execução do contrato pedido pelo próprio lojista. O CPF é usado só nesse envio e não fica guardado no portal. Guardamos o CNPJ, a razão social, o nome, o e-mail e o celular do responsável para dar suporte à conta; esses dados ficam visíveis apenas para quem administra o comércio e para a administração do portal. O dinheiro das vendas cai na conta Woovi do comércio, não na nossa, e a chave de acesso dessa conta fica cifrada nos nossos servidores.

Para cobrar a taxa do plano de 3%, registramos, para cada pedido ou reserva feito por clientes no comércio, o código, a data, o valor e a forma de pagamento (Pix online, dinheiro, cartão ou pagamento no local), o que foi descontado de cada Pix, o saldo e as faturas. Esse registro não tem o nome, o telefone nem o endereço de quem fez o pedido e só aparece para quem administra o comércio e para a administração do portal. Nos Pix online, a Woovi, operadora do Pix, repassa ao portal apenas a taxa; o restante fica com o comércio. O saldo que não for coberto pelos Pix vira uma fatura, paga por Pix para uma conta Woovi do portal. Guardamos esse registro financeiro por 5 anos, por obrigação legal e para prestar contas ao comércio.

Os pagamentos de academias, o Pix e o Pix Automático da mensalidade, são processados pela Woovi na conta da própria academia. Para criar a cobrança, enviamos à Woovi o nome, o CPF, o e-mail, o celular e o endereço do aluno, só nesse momento e pelo nosso servidor, com base na execução do contrato. O convite para autorizar o Pix Automático é um link pessoal, que vale 14 dias, e a página não mostra o CPF nem o endereço já cadastrados.

Você pode fazer um pedido de entrega ou retirada sem criar conta. Para barrar robôs que fazem pedidos em série, guardamos, para cada pedido feito sem login, a loja e um código embaralhado do seu IP (ip_hash, que não permite descobrir o IP e muda a cada dia). Ele serve só para contar quantos pedidos saem de uma mesma conexão por hora e por dia, e é apagado depois de 2 dias. O pedido em si (nome, telefone e endereço que você informar) segue as regras da loja que o recebe.

Ao abrir o QR Code ou a tag NFC de uma mesa, balcão ou quarto, você pode pedir e chamar a equipe sem fazer login. Guardamos só o nome que você quiser informar (opcional, até 40 caracteres), um código aleatório do seu celular, que não identifica você, e, se estiver logado, a ligação com a sua conta. Não coletamos telefone, endereço nem localização. A conta é da mesa: quem está na mesma mesa vê os pedidos e os nomes informados, e o estabelecimento vê tudo o que foi pedido. O nome é apagado 90 dias depois do fechamento da conta.

No suporte do painel do comércio, quem gerencia o comércio conversa com um assistente de inteligência artificial e pode abrir um chamado para a equipe do portal. Guardamos as mensagens ligadas ao comércio, a tela de onde o suporte foi aberto e, para a resposta, o assistente lê o plano, a cobrança e como está a página do comércio (nunca dados de clientes, chave Pix ou CPF). Leem a conversa as pessoas que gerenciam o comércio e os administradores da cidade; moderadores não. Para melhorar os tutoriais, o assistente anota o tema e um resumo curto de cada dúvida, sem nome nem contato. Se você pedir a exclusão da conta, o texto das mensagens que você escreveu e o resumo delas são apagados, o assunto dos chamados que você abriu também, e nenhuma mensagem ou conversa continua ligada a você. Fica só o tema da dúvida e o que outras pessoas escreveram na conversa (o assistente, a equipe do portal e outros gestores do comércio).

Quando você usa o botão Algo errado?, guardamos o que você escreveu, o endereço da página (só o caminho, sem o que vem depois de "?"), o modelo do navegador e do aparelho (user-agent), o tamanho da tela, os últimos erros técnicos do navegador (com e-mails, telefones, documentos e senhas removidos antes de guardar) e, se você deixar marcado, um print da tela. Se você estiver logado, o relato fica ligado à sua conta e à cidade. Guardamos também um código embaralhado do seu IP (ip_hash, que não permite descobrir o IP), usado só para limitar o número de envios por hora. Campos de senha não entram no print, e você pode desmarcar o print antes de enviar. O print pode mostrar o que estava na tela, inclusive dados de terceiros: se for o caso, desmarque.

• Para quê. Só para entender e corrigir falhas. Não usamos para publicidade nem para outro fim.
• Quem vê. A administração do portal e quem corrige o sistema. O print fica num armazenamento privado. Uma cópia do texto, da página, das informações técnicas e um link temporário do print (vale 7 dias) segue para uma lista de tarefas interna, num repositório privado. Dela não vão o seu nome, e-mail, telefone nem o ip_hash: só um código curto da conta e o papel.
• Por quanto tempo. Apagamos o relato e o print 180 dias depois de ele ser resolvido ou descartado e, se ninguém mexer, 180 dias depois do último movimento. A cópia na lista interna fica enquanto o problema está sendo acompanhado, e o link do print nela vale só 7 dias.
• Como apagar. Logado, vá em Perfil e privacidade e use "Apagar" em Relatos de problemas: o texto e o print saem na hora (e o texto na lista interna, em até algumas horas: ela é fechada, o texto e os comentários são removidos e fica só um código do relato). Relatos enviados sem login não ficam ligados a você: peça pela página /lgpd e diga o que escreveu. Se você apagar a conta, os relatos ligados a ela e os prints são apagados, e o texto na lista interna é removido do mesmo jeito. O GitHub, que hospeda essa lista, pode manter o histórico de edições do texto antigo, visível só a quem administra o repositório privado; quando a configuração permite, apagamos a tarefa inteira.
• Base legal. Legítimo interesse (LGPD, art. 7º, IX): manter o serviço funcionando e seguro.

O portal exibe apenas dados de entidades e conteúdos destinados a publicação: atrativos, hospedagens, restaurantes, comércios, eventos e serviços. Localização residencial completa, documentos pessoais (CPF, RG) e dados sensíveis (saúde, religião, biometria) não são publicados.

A carteirinha é um QR que muda a cada 30 segundos e identifica você na academia e, nas cidades em que o clube de vantagens estiver ativo, no balcão das lojas participantes. O que tratamos:

• Passe (código e segredo da carteirinha): para o serviço funcionar, enquanto a sua conta existir. O segredo só é entregue a você.
• Leituras do QR (data, hora, loja e leitor): para segurança e antifraude, por 90 dias. Ninguém consulta esse registro pelo aplicativo.
• Validações de desconto (loja, data e valor da compra que a loja informa): para o seu histórico e para os relatórios agregados da loja, enquanto você participar do clube. Ao apagar a conta ou sair do clube, o histórico deixa de apontar para você e fica só nos números agregados da loja.
• Selos, pontos e presenças em eventos: o cartão de selos e o saldo de pontos de cada loja (valem só naquela loja, sem valor em dinheiro, com a validade que a loja definiu) e as presenças que o organizador de um evento registra ao ler a sua carteirinha (o organizador vê só o seu primeiro nome e a contagem de presentes). Servem para você consultar o que ganhou e para os relatórios da loja. Ao sair do clube, os cartões e os pontos são apagados e as presenças ficam anônimas.
• Aceite do regulamento (versão, data e uma assinatura do IP, nunca o IP em claro): como prova do consentimento, enquanto a conta existir e por até 5 anos depois.

O que a loja vê: o seu primeiro nome, no momento da leitura, e a quantidade de visitas que você fez nela. Ela não vê sobrenome, foto, telefone, e-mail, CPF nem o que você comprou em outras lojas. A participação no clube é para maiores de 18 anos, por declaração sua no aceite (guardamos só a declaração e a data dela; não pedimos nem guardamos a sua data de nascimento para isso). A participação é opcional: você sai a qualquer momento em /painel/perfil/privacidade ("Sair do clube"), e a carteirinha continua valendo na academia.

Montamos, para comércios da cidade que ainda não estão no portal, uma prévia privada de como a página deles ficaria. Se você recebeu um link de prévia, é por isso. Aqui está o que fazemos com os dados:

• Quais dados. Só os que o próprio comércio publicou: nome, categoria, bairro, endereço comercial, telefone, WhatsApp, Instagram, site e horário de funcionamento. Não usamos fotos, logotipos nem textos de terceiros na prévia, e não mostramos CPF, e-mail pessoal nem dado de pessoa física. Guardamos também a situação do contato (por exemplo, "prévia enviada"), a data do último contato, anotações da equipe e a quantidade de vezes e a hora em que o link foi aberto, sem identificar quem abriu. Quando o link é aberto, a equipe recebe um aviso para retomar o contato. Se você conversar com a nossa equipe, guardamos o histórico desses contatos (dia, canal, o que foi combinado e o próximo retorno) e, se você informar, o nome e a função de quem atende pelo comércio, um WhatsApp direto e o melhor horário para falar. Esses dados ficam só com a equipe da cidade, nunca aparecem na prévia nem na página do comércio e são apagados junto com o resto se você pedir para sair da lista.
• De onde vêm. De guias comerciais e listas públicas da internet, como o Cliquei Achei, dos dados abertos do CNPJ publicados pela Receita Federal (nome, ramo, endereço e contato comercial de empresas ativas da cidade; de MEI, sem o CPF e sem dados de sócios), do perfil público do Instagram do próprio comércio e de cadastros feitos por nossa equipe. Um telefone que a equipe confere fica marcado como "funciona" ou "não funciona".
• Para quê. Mostrar ao responsável pelo comércio como a página ficaria e convidá-lo a assumi-la. O contato é feito por uma pessoa da nossa equipe, por visita ou pelo WhatsApp dela. O sistema não envia mensagem, SMS nem e-mail automático aos comércios. Para ajudar a escrever a mensagem, a equipe pode usar um serviço de inteligência artificial, que recebe só o nome, a categoria e o bairro do comércio, o primeiro nome de quem atende (se a equipe tiver anotado) e, se a pessoa da equipe quiser, uma observação curta dela, nunca telefone, endereço nem o link da prévia. A mensagem é revisada e enviada por uma pessoa. Quem assume a página ganha 30 dias grátis, uma vez por comércio.
• Página pronta pelo Instagram. Para alguns comércios, a equipe monta a página a partir do perfil público do Instagram do próprio comércio: nome, bio, site, contato comercial publicado, fotos e legendas das publicações. As fotos são copiadas para o nosso servidor de imagens e um serviço de inteligência artificial recebe esses mesmos dados públicos (e uma observação curta da equipe) para escrever o texto da página. Criamos também uma conta de acesso com um e-mail interno do portal e uma senha provisória, que a equipe envia ao comércio pelo WhatsApp; a senha vale 14 dias. A página fica em rascunho, fora do ar, até o responsável entrar, vincular a conta Google dele e confirmar um WhatsApp: só então ela é publicada, com 30 dias grátis. Se não houver interesse, é só avisar a equipe: apagamos a página, as fotos copiadas e a conta de acesso. Se ninguém ativar a página em 60 dias, ela é apagada sozinha, com as fotos e os vídeos copiados.
• Avisos da equipe no Telegram. A equipe da cidade recebe num grupo privado do Telegram o resumo do dia (só números), avisos como "o comércio abriu a prévia" e as páginas prontas que montou. Ali aparecem o nome do comércio e o contato comercial dele, nunca dados de clientes do portal; o e-mail e a senha de acesso de uma página pronta vão só na conversa privada da pessoa da equipe que a criou.
• Base legal. Legítimo interesse (LGPD, art. 7º, IX, e art. 10): apresentar o serviço a comércios usando o contato comercial que eles já tornaram público.
• Quem vê a prévia. Só quem tem o link secreto. Ela não aparece no Google, não usa análise de audiência nem conteúdo de terceiros e o link vale por 60 dias; um link novo cancela o anterior. A prévia não é uma página pública do portal: só vai ao ar se o responsável assumir o comércio e a equipe confirmar.
• Por quanto tempo. Se o comércio não responder, apagamos os contatos e arquivamos o cadastro depois de 12 meses. Quem assume o comércio passa a ter conta no portal e segue as regras desta política para lojistas.
• Como sair da lista. Na própria prévia, toque em "Não é meu / não tenho interesse": é imediato, sem login. Apagamos telefone, WhatsApp, e-mail, endereço, CNPJ, site, redes sociais, descrição, fotos e as anotações da equipe sobre o comércio, e arquivamos o cadastro. Fica apenas o nome do comércio, o bairro e a identificação dele no guia de origem, para o cadastro não ser recriado. Se já houver um pedido de alguém para assumir o comércio, a equipe decide o que fazer. Você também pode pedir pelos canais da seção "Seus direitos" ou pela página /lgpd; respondemos em até 15 dias.

Você pode solicitar acesso, correção, exclusão, portabilidade, anonimização, informações sobre compartilhamento, revogação de consentimento ou oposição ao tratamento. Pedidos podem ser enviados pelos canais de contato do portal, pela página /lgpd ou pelo painel quando disponível. Para excluir sua conta, acesse /excluir-conta. Respondemos em até 15 dias.

Mantemos dados pelo tempo necessário para operar o serviço, cumprir obrigações legais e prevenir abuso. Usamos controle de acesso, RLS no banco de dados, criptografia em trânsito (HTTPS), provedores reconhecidos e revisões técnicas para reduzir riscos. Métricas de audiência e conversão são retidas em formato agregado por até 24 meses.

O portal separa consentimentos opcionais por finalidade: análise de audiência, medição de publicidade local, newsletter, push notifications, processamento por IA e publicação de conteúdo enviado pelo usuário. Cookies essenciais de login, segurança e contexto de cidade continuam ativos porque são necessários para o serviço funcionar.

Se o portal for distribuído como aplicativo iOS, as informações desta política serão usadas para preencher os rótulos de privacidade da App Store. Permissões como notificações, localização, fotos, câmera e rastreamento só serão pedidas quando forem necessárias para uma funcionalidade clara. A exclusão de conta continuará disponível pelo app e pela página /excluir-conta.

O portal não é direcionado a menores de 13 anos. Conteúdo enviado por adolescentes entre 13 e 18 anos deve ter ciência dos responsáveis.

Esta política pode ser atualizada para refletir mudanças no portal ou na legislação. A data da última revisão fica registrada abaixo. Mudanças relevantes serão comunicadas pelo portal.

Última revisão: 20/10/2026.