Política de privacidade

1. Quem é o responsável pelos dados

O controlador dos dados é:

• Responsável: Cleyr Santos de Carvalho (pessoa física), Campo Grande/MS
• Encarregado pelo tratamento de dados (contato para a LGPD): cleyrsantos@gmail.com

2. Quais dados coletamos

Que você informa:

• Cadastro: nome, e-mail, senha (o login a guarda de forma protegida; não a vemos), telefone com DDD, tipo (particular ou loja) e a data em que você aceitou os termos. Para loja, também o CNPJ, o nome e o endereço da loja, e o resultado da consulta ao CNPJ (razão social, situação cadastral e se a loja foi aprovada ou rejeitada, com o motivo).
• Anúncios: título, descrição, preço, categoria, marca, modelo, características, bairro, estado de conservação, fotos e a opção de mostrar ou não o telefone. Também ficam o status do anúncio e, se rejeitado, o motivo.
• Favoritos que você marca.
• Denúncias que você faz: anúncio, motivo, detalhes que você escrever e data.
• Perguntas e respostas: o texto das perguntas que você faz em um anúncio, a data e o primeiro nome do seu cadastro; se você é o vendedor, o texto das suas respostas. Para avisar o vendedor e avisar você da resposta, usamos o seu e-mail (veja a seção 3).
• Novidades por e-mail: a sua escolha (opcional) de receber novidades e a data em que você a fez.
• Mensagens pelo formulário "Enviar mensagem": seu nome, e-mail e o texto. Elas são enviadas por e-mail ao vendedor e não ficam gravadas no BikeAVenda.

Que coletamos ao você usar o site:

• Eventos de uso: visualização de anúncio, favorito, clique no WhatsApp, criação e venda de anúncio, cadastro, denúncia, pergunta e resposta. Cada evento guarda o tipo, o anúncio, a data e a hora, e o seu usuário quando você está logado. Não guardamos o IP nem textos digitados nos eventos. Visualizações feitas pelo dono do anúncio e pela administração não contam.
• Dados técnicos: o IP e o navegador são usados na hora para proteger o site (por exemplo, limitar tentativas de login). Os provedores de hospedagem e de login podem manter registros técnicos de segurança, com IP e dispositivo, pelo prazo das políticas deles.
• Cookies e armazenamento do navegador (veja a seção 7).

Consulta ao CEP (lojas): ao digitar o CEP do endereço da loja, o nosso servidor consulta esse número na BrasilAPI para preencher rua, cidade e bairro. É um dado público de endereço; a consulta leva só o CEP.

Consulta ao CNPJ (lojas): quando você informa o CNPJ da loja, o nosso servidor consulta esse número na BrasilAPI, um serviço gratuito que reúne os dados públicos de empresas da Receita Federal, para confirmar que a empresa existe e está ativa. É um dado público da empresa. A consulta leva só o número do CNPJ, não o seu nome nem o seu e-mail, e o servidor guarda o resultado (razão social, nome fantasia, endereço, situação, atividade e data de abertura). Nas empresas individuais (MEI), a razão social pode conter o nome do titular. A administração compara esse resultado com o que você informou para aprovar a loja. O CNPJ e esse resultado não aparecem na página pública da loja nem nos anúncios: só você e a administração os veem.

Se o login com Google for ativado, receberemos do Google seu nome e e-mail para criar a conta.

3. Para que usamos e em que base legal

• Criar e manter sua conta, e permitir o login: execução do contrato (art. 7º, V, da LGPD).
• Publicar, moderar e exibir seus anúncios; permitir o contato com o vendedor: execução do contrato.
• Mostrar seu telefone no anúncio: seu consentimento (art. 7º, I), dado ao marcar a opção ao criar o anúncio. Sem ela, o telefone não aparece.
• Segurança, prevenção a golpes e a bicicletas roubadas, denúncias, moderação e registro das ações da administração: legítimo interesse (art. 7º, IX) e, quando necessário, exercício regular de direitos.
• Conferir o CNPJ da loja e aprovar a loja: execução do contrato e legítimo interesse (art. 7º, IX), para evitar que alguém se passe por loja.
• Entender o uso do site e melhorar o serviço (contagem de visualizações, favoritos e contatos): legítimo interesse, com eventos sem IP.
• E-mails do serviço (confirmação de conta, recuperação de senha, mensagens de interessados, aviso ao vendedor quando alguém pergunta em um anúncio dele e aviso a quem perguntou quando o vendedor responde): execução do contrato. Esses avisos não levam o e-mail de uma pessoa à outra.
• Perguntas e respostas nos anúncios: execução do contrato. A pergunta só fica pública depois que o vendedor responde, e aparece com o seu primeiro nome, a data e o texto (nunca o e-mail, o telefone ou o sobrenome). Elas saem do ar junto com o anúncio e são apagadas com ele ou com a conta de quem perguntou. Não escreva dados pessoais no texto: telefone, e-mail e links são bloqueados.
• Novidades por e-mail: seu consentimento (art. 7º, I), opcional e desmarcado por padrão, dado ao marcar a caixa no cadastro ou em Meu cadastro. Você pode revogar quando quiser, desmarcando a caixa em Meu cadastro, e todo e-mail de novidades terá um link para sair. O envio de novidades ainda não está ativo; sem o seu consentimento, não enviamos propaganda.
• Cumprir ordem de autoridade ou obrigação legal: obrigação legal (art. 7º, II).

3.1. Anúncio cadastrado pela equipe a pedido do vendedor

Se você pediu à equipe do BikeAVenda (pelo WhatsApp, pessoalmente ou por outro meio) para cadastrar a sua bike, a equipe cria o anúncio por você e envia um link para você assumi-lo ou pedir a retirada.

• O que guardamos: o nome e o telefone que a equipe digitou, os dados e as fotos do anúncio, a data e o canal em que você autorizou o cadastro e o primeiro nome de quem da equipe cadastrou. Não guardamos o conteúdo da conversa nem anexos.
• Base legal: seu consentimento (art. 7º, I), dado à equipe antes do cadastro. A equipe registra a data e o canal em que você autorizou.
• Como aparece: o anúncio mostra o nome informado como vendedor particular, sem endereço, e o botão de WhatsApp leva ao telefone informado. Perguntas feitas no anúncio, enquanto ele não é seu, chegam por e-mail à equipe.
• Assumir: pelo link, com login (é preciso conta e aceite dos Termos), os anúncios passam para a sua conta. Nesse momento apagamos o nome e o telefone que a equipe tinha digitado e o contato do anúncio passa a ser o do seu cadastro.
• Retirar: pelo mesmo link, sem conta e com confirmação, ou pedindo à equipe. Apagamos o anúncio, as fotos, o nome e o telefone. Ficam só a data e o canal da autorização e a data da decisão, sem nenhum dado de contato, para provar que o tratamento foi autorizado.
• O link: é pessoal, de uso único e vale por 30 dias (a equipe pode gerar outro). Guardamos só uma impressão digital dele, nunca o link em si.
• Se ninguém assumir: o anúncio segue no ar e a equipe pode pausá-lo, marcá-lo como vendido ou apagá-lo, pelos prazos da seção 5. Quando o último anúncio do vendedor sai do sistema sem ele ter assumido, o nome e o telefone são apagados no dia seguinte.

Você pode revogar o consentimento a qualquer momento pelo link ou por e-mail para cleyrsantos@gmail.com (seção 6).

4. Com quem compartilhamos

Não vendemos seus dados. Eles são vistos ou tratados por:

• Público do site: título, descrição, preço, fotos e bairro do anúncio; primeiro nome (particular) ou nome da loja (e endereço da loja, só depois de a loja ser aprovada); o telefone só se você autorizar; as perguntas respondidas e as respostas, com o primeiro nome de quem perguntou. Seu e-mail e o CNPJ nunca aparecem.
• BrasilAPI: recebe o número do CNPJ da loja e, se você usar o preenchimento automático do endereço, o CEP digitado (dado público de endereço), sempre pelo nosso servidor. Não recebe outros dados seus.
• Supabase: banco de dados e login.
• Cloudflare: hospedagem do site, proteção contra abuso e armazenamento das fotos (R2).
• Cloudflare Workers AI: preenchimento com IA. O texto que você digita ou cola na ferramenta de preenchimento do anúncio é enviado a ele apenas para extrair os campos do formulário. Orientamos não incluir dados pessoais (telefone, e-mail, CPF, endereço). Não usamos esse texto para outra finalidade.
• Resend: envio de e-mails do serviço.
• WhatsApp (Meta): só quando você clica em "Tenho interesse — WhatsApp": você sai do BikeAVenda e vai para wa.me, e a conversa segue nas regras do WhatsApp.
• Google: o link "ver no mapa" da loja só abre o Google Maps se você clicar.
• Mercado Pago: hoje não usamos. Se houver cobrança no futuro, ele processará os pagamentos e esta política será atualizada antes.
• Autoridades: quando a lei ou uma ordem judicial exigir.

Alguns desses provedores podem tratar dados em servidores fora do Brasil. O banco de dados fica na região de São Paulo (Brasil); as fotos e o site rodam na rede global da Cloudflare.

5. Por quanto tempo guardamos

• Conta e perfil: até você excluir a conta.
• Anúncio aprovado: enquanto estiver no ar e a conta existir.
• Anúncio rejeitado: apagado (com as fotos) 15 dias depois da rejeição.
• Anúncio pausado: apagado (com as fotos) 30 dias depois de pausado.
• Anúncio vendido: fica 3 dias no ar. Depois, o anúncio e as fotos são apagados e fica só um registro anônimo (categoria, preço, bairro, data da venda e onde vendeu), sem ligação com você.
• Anúncios que você começou e não concluiu: apagados em até 2 dias.
• Eventos de uso: guardados por 6 meses; depois são apagados e sobram só os totais por dia, sem dado pessoal. Ao excluir a conta, os eventos permanecem, sem ligação com você.
• Denúncias: as feitas contra um anúncio somem com ele. As que você fez ficam sem a sua identificação quando você exclui a conta.
• Perguntas e respostas: enquanto o anúncio estiver no ar. Saem com ele (quando é apagado, pelos prazos acima) e são apagadas junto com a conta de quem perguntou e com a do vendedor.
• Registro das ações da administração (aprovações, rejeições, bloqueios): mantido para segurança e auditoria, sem dados de contato.
• Cópias de segurança: podem conter dados de uma conta excluída até o fim da rotação das cópias: até 90 dias (cópias diárias guardadas por 7 dias, semanais por 4 semanas e mensais por 3 meses)

Podemos guardar dados por mais tempo quando a lei exigir ou para nos defender em processo (art. 16 da LGPD).

6. Seus direitos (art. 18 da LGPD)

Você pode pedir, a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, errados ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
• portabilidade dos dados;
• eliminação dos dados tratados com seu consentimento, e revogação desse consentimento;
• informação sobre com quem compartilhamos os dados e sobre as consequências de não consentir;
• oposição a um tratamento feito sem seu consentimento.

Como exercer:

• Corrigir nome, telefone e tipo: em Meu cadastro.
• Ligar ou desligar as novidades por e-mail: em Meu cadastro, a qualquer momento.
• Excluir a conta e os dados: em Excluir minha conta, na hora, com confirmação pela senha. Vale também para conta bloqueada. Apagamos o perfil, os anúncios, as fotos e os favoritos. Os eventos de uso ficam sem ligação com você.
• Os demais pedidos: e-mail para cleyrsantos@gmail.com. Respondemos em até 15 dias.

Se achar que seus direitos não foram respeitados, você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

7. Cookies e armazenamento no navegador

Usamos só o necessário para o site funcionar. Não usamos cookies de publicidade nem ferramentas de análise ou rastreadores de terceiros.

• sb-…-auth-token (login): mantém você conectado. Fica no navegador até você sair da conta, por até 400 dias sem renovação (e é renovado enquanto você usa o site). Só o servidor consegue ler (HttpOnly).
• bav_vistos: guarda só os números dos anúncios que você abriu, por 30 minutos, para não contarmos a mesma visualização várias vezes. Só o servidor consegue ler (HttpOnly). Não identifica você e não guarda IP.
• bav_zap: guarda só os números dos anúncios em cujo botão de WhatsApp você tocou, por 30 minutos, para não contarmos o mesmo clique várias vezes. Só o servidor consegue ler (HttpOnly). Não identifica você e não guarda IP.
• Rascunho de "Novo anúncio"(sessionStorage): guarda os textos do formulário só nesta aba, para não perdê-los se a página recarregar. É apagado ao fechar a aba.

Ao abrir uma página, não há conexão com serviços de terceiros de publicidade ou estatística. As fontes de letra são servidas pelo próprio site.

8. Segurança

• A conexão com o site usa HTTPS.
• Cada usuário só acessa os próprios dados: as regras ficam no banco de dados (RLS), não só na tela.
• Telefone e e-mail de quem anuncia só saem do servidor em casos controlados (clique no WhatsApp autorizado e envio de mensagem).
• O acesso da administração é restrito e as ações ficam registradas.
• Há limites contra tentativas em excesso (login, cadastro, contato).

Nenhum sistema é totalmente seguro. Em caso de incidente que possa causar risco a você, avisaremos você e a ANPD, como a lei determina.

9. Crianças e adolescentes

O BikeAVenda não é voltado a menores de 18 anos e não coleta dados de menores de propósito. Se descobrirmos uma conta de menor sem autorização do responsável, vamos excluí-la.

10. Mudanças nesta política

Podemos atualizar esta política. A versão e a data ficam no topo da página, e mudanças importantes serão avisadas no site ou por e-mail.

11. Fale conosco

Dúvidas e pedidos sobre seus dados: cleyrsantos@gmail.com.