Política de Privacidade

O controlador dos dados é [PREENCHER: razão social completa], CNPJ [PREENCHER: CNPJ], com sede em [PREENCHER: endereço completo com CEP].

Encarregado pelo tratamento de dados pessoais (DPO): [PREENCHER: nome do encarregado de dados (DPO)] — privacidade@gadaiada.com.br.

Esta Política segue a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados) e o Marco Civil da Internet.

Quando você cria conta: nome, e-mail, senha (guardada criptografada, nunca em texto legível) e, se informar, telefone. Se entrar com o Google, recebemos do Google seu nome, e-mail e a confirmação de que o e-mail é verificado — nunca sua senha do Google.

Quando você vira vendedor: nome da loja, CPF ou CNPJ, nome do titular do documento, WhatsApp, e-mail de contato e endereço.

Na verificação: foto do documento de identificação e selfie.

Quando você anuncia: fotos, descrição, preço, cidade, estado e, se você informar, a localização aproximada do item.

Automaticamente, no uso do site: endereço IP, cidade e estado estimados a partir dele, tipo de dispositivo e navegador, páginas visitadas, categorias e anúncios que você abriu, data e hora dos acessos.

No seu próprio navegador: a região escolhida no filtro e o histórico recente de categorias e anúncios vistos ficam guardados no seu aparelho, para a página mostrar coisas da sua região. Esses dados não são enviados para nós e somem quando você limpa os dados do site.

A LGPD exige que cada uso tenha uma base legal. As nossas são:

• Manter sua conta e publicar seus anúncios — execução de contrato (art. 7º, V).
• Verificar documentos e liberar a publicação— execução de contrato e prevenção à fraude (art. 7º, V e art. 11, II, "g").
• Mostrar anúncios da sua região e do seu interesse — legítimo interesse (art. 7º, IX). Um mural rural sem filtro de distância é inútil: ninguém atravessa o estado para ver um bezerro.
• Entregar o contato do vendedor a quem clica no botão — execução de contrato, com registro de quem pediu por legítimo interesse de segurança.
• Prevenir fraude, golpe, raspagem de dados e uso automatizado — legítimo interesse (art. 7º, IX).
• Enviar e-mails do serviço (recuperação de senha, avisos da conta) — execução de contrato.
• Guardar registros de acesso — cumprimento de obrigação legal (art. 7º, II, c/c art. 15 do Marco Civil da Internet).
• Medir audiência com o Google Analytics — consentimento, revogável a qualquer momento (art. 7º, I).

Quando a base é legítimo interesse, você pode se opor. Escreva para o nosso encarregado e avaliaremos o pedido.

O número de WhatsApp do vendedor não é entregue junto com o anúncio. Para obtê-lo é preciso estar logado, e cada pedido é individual e limitado por hora. Registramos qual conta pediu o contato de qual anúncio, com data, hora e IP.

Isso existe para dificultar que alguém colete os telefones em massa e use para disparo. Não impede alguém obstinado de juntar contatos aos poucos, mas encarece a coleta e deixa rastro. Se identificarmos esse padrão, bloqueamos a conta.

Não vendemos seus dados. Não cedemos sua base de contatos para terceiros fazerem publicidade.

Compartilhamos apenas com quem é necessário para o site funcionar:

• Cloudflare — hospedagem do site, entrega de conteúdo e proteção. Recebe seu IP e a estimativa de cidade e estado.
• Railway — servidores da nossa API, do banco de dados e do armazenamento de imagens.
• Resend — envio dos e-mails do serviço. Recebe seu e-mail e o conteúdo da mensagem.
• Google — login com conta Google (se você usar) e medição de audiência.
• Z-API / WhatsApp — usado por nós para receber avisos internos de contas novas e pedidos de verificação. Nesses avisos, documentos vão mascarados.
• Autoridades públicas — quando houver ordem judicial, requisição legal ou investigação de crime.

Os mapas dos anúncios usam imagens do OpenStreetMap, mas passam pelos nossos servidores: o OpenStreetMap não recebe o seu IP nem sabe qual anúncio você abriu.

Quando você clica para falar com o vendedor, seu contato passa a ser conhecido dele pelo WhatsApp. A conversa acontece fora da Gadaiada e segue a política de privacidade do WhatsApp, não a nossa.

Cloudflare, Railway, Resend e Google mantêm servidores fora do território nacional. Isso significa que seus dados podem ser armazenados ou processados no exterior, o que a LGPD permite (art. 33) desde que o fornecedor ofereça garantias de proteção compatíveis com a lei brasileira, o que é assegurado pelos contratos firmados com esses fornecedores.

• Dados de cadastro e anúncios: enquanto a conta existir.
• Registros de acesso (IP, data e hora): no mínimo 6 meses, por exigência do art. 15 do Marco Civil da Internet, e até 12 meses.
• Registros de pedidos de contato: 12 meses, para apurar abuso.
• Documento e selfie: enquanto a conta de vendedor existir e por até 5 anos após o encerramento.
• Dados necessários para cumprir obrigação fiscal ou defender direito em processo: pelo prazo legal correspondente.

Encerrada a conta, apagamos ou anonimizamos o que não estiver coberto pelos prazos acima. Anúncios já encerrados podem permanecer em cópias de segurança por período limitado, até o ciclo de rotação delas.

Usamos armazenamento local do navegador para manter você conectado, lembrar a região escolhida e guardar o que você viu recentemente. Isso é essencial para o site funcionar e não depende de consentimento.

Usamos também o Google Analytics para saber quantas pessoas acessam e quais páginas são mais vistas. Esse uso depende do seu consentimento e pode ser recusado sem prejuízo ao funcionamento do site. Você pode bloquear cookies nas configurações do navegador.

O art. 18 da LGPD garante a você, a qualquer momento e sem custo:

• confirmar se tratamos dados seus e acessar esses dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• pedir a portabilidade dos dados a outro fornecedor;
• pedir a eliminação dos dados tratados com base no seu consentimento;
• saber com quem compartilhamos seus dados;
• ser informado sobre a possibilidade de não consentir e as consequências disso;
• revogar o consentimento;
• opor-se a tratamento feito com base em legítimo interesse.

Para exercer qualquer um deles, escreva para privacidade@gadaiada.com.br. Respondemos em até 15 dias. Podemos pedir uma confirmação de identidade antes de atender — é proteção sua, para ninguém pedir seus dados se passando por você.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Adotamos medidas técnicas e administrativas para proteger seus dados: conexão criptografada, senhas guardadas com algoritmo de hash, acesso restrito por perfil, limites contra uso automatizado e registro de acessos a dados sensíveis.

Nenhum sistema é totalmente imune. Se ocorrer incidente de segurança com risco relevante a você, comunicaremos você e a ANPD, conforme o art. 48 da LGPD.

A Gadaiada é para maiores de 18 anos e não coleta dados de menores de forma intencional. Se soubermos que criamos conta de menor, encerraremos e eliminaremos os dados. Responsáveis podem nos avisar pelo suporte.

Podemos atualizar esta Política. Mudanças relevantes serão avisadas no site ou por e-mail antes de entrar em vigor. A data da última atualização está no topo da página.