Política de Privacidade
1. Quem trata os seus dados
- Controladora: J.F. Serviços e Alimentação Ltda (nome fantasia Nutrichek), CNPJ 06.238.578/0001-67, que decide para que os seus dados são usados.
- Operadora da plataforma: Origami (63.292.602 YURI DE SOUZA CORDEIRO ALCANTARA, CNPJ 63.292.602/0001-80), que mantém o aplicativo e os sistemas por conta da controladora.
- Encarregado pelo tratamento de dados (DPO): Matheus de Almeida, da Nutrichek, matheus@nutrichek.com.br, +55 49 98816-3922.
2. Que dados tratamos, para quê e com que base legal
| Dado | Para que usamos | Base legal (LGPD) |
|---|---|---|
| Cadastro: nome, CPF, e-mail, telefone e data de nascimento | Identificar você e prestar o serviço do benefício | Execução de contrato (art. 7, V) |
| Verificação de identidade: selfie, foto do documento e prova de vida | Prevenir fraude e cumprir a prevenção à lavagem de dinheiro. As imagens ficam com o fornecedor de verificação (Sumsub); nós guardamos apenas o resultado | Obrigação legal e prevenção à fraude (art. 11, II, "a" e "g") |
| Biometria de login (digital ou rosto do aparelho) | Entrar sem senha. Fica só no seu aparelho; o servidor guarda apenas uma chave pública | Prevenção à fraude na autenticação (art. 11, II, "g") |
| Cartão: últimos 4 dígitos, validade e a referência do cartão na processadora | Vincular e usar o cartão. Não guardamos o número completo nem o CVV | Execução de contrato (art. 7, V) |
| Transferências entre bolsas, pedidos de reembolso (com comprovantes) e contestações | Realizar e comprovar as operações | Execução de contrato e obrigação legal (art. 7, V e II) |
| Aparelho, endereço IP e sessões de acesso | Segurança da conta e prevenção à fraude | Legítimo interesse em segurança e prevenção à fraude (art. 7, IX) |
| Notificações (push, e-mail e SMS) e códigos de acesso (OTP) | Avisar você, confirmar operações e proteger a conta | Execução de contrato e prevenção à fraude (art. 7, V e IX) |
| Preferências e consentimentos | Registrar o que você aceitou, quando e em que versão | Cumprimento de obrigação de prova (art. 8, §2º e art. 37) |
| Dados técnicos do aplicativo (erros e métricas de uso) | Manter o aplicativo estável. As métricas de uso só são coletadas se você consentir | Legítimo interesse (erros) e consentimento (métricas) |
Mensagens de marketing por push só chegam a você com o seu consentimento, que você pode retirar a qualquer momento. Avisos de segurança e de operações não dependem dele.
Não coletamos intencionalmente dados de crianças e adolescentes.
3. Com quem compartilhamos
| Quem | Para quê | País |
|---|---|---|
| Processadora de cartão (Infox e Resomaq/Rede Compras) | Guardar e processar o cartão e as transações | Brasil |
| Sumsub | Verificação de identidade | União Europeia e Reino Unido |
| Amazon Web Services (AWS) | Hospedagem, banco de dados, e-mail e SMS de códigos de acesso | Brasil |
| Cloudflare | Entrega segura do aplicativo (proteção de rede) | Global |
| Google Firebase Cloud Messaging | Envio de notificações push | Estados Unidos |
| Sentry e Google Analytics 4 | Erros e métricas do aplicativo (o Analytics só com consentimento) | Estados Unidos e União Europeia |
| Autoridades | Quando a lei ou ordem judicial exigir | Brasil |
Transferência internacional: quando os dados vão para fora do Brasil, usamos as cláusulas-padrão aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), incorporadas aos contratos desses fornecedores. Não vendemos os seus dados.
4. Quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Cadastro | Enquanto a conta existir. Ao pedir a exclusão, o acesso é bloqueado na hora e o cadastro é anonimizado em 30 dias |
| Endereço IP das sessões | 180 dias sem atividade, depois é apagado do registro |
| Eventos de segurança e registros de acesso a dados pessoais | 365 dias |
| Notificações | Segurança: 90 dias; transacionais: 30 dias; informativas: 15 dias |
| Pedidos de exportação de dados | 30 dias depois de o link expirar (o link vale 48 horas) |
| Movimentos financeiros, reembolsos e contestações | 5 anos do fato, para cumprir obrigações legais e fiscais, sem ligação com o titular depois da exclusão da conta |
| Saldo diário por bolsa e registro das transferências entre bolsas | 5 anos do fato, para conciliar os valores com a processadora e cumprir obrigações legais |
| Verificação de identidade (imagens no Sumsub) | 5 anos após o fim da sua relação com o benefício; se a regulação aplicável ao emissor exigir prazo maior (até 10 anos), vale o maior. Ao fim do prazo, a eliminação é pedida por escrito ao fornecedor |
| Consentimentos | Enquanto a conta existir mais 5 anos, como prova |
Mesmo depois de pedir a exclusão, alguns dados precisam ser mantidos pelo prazo que a lei exige. Nesse caso, ficam restritos a esse uso.
5. Como protegemos os seus dados
- Conexão protegida (TLS 1.2 ou superior) entre o aplicativo e os nossos servidores, e entre os servidores e o banco de dados.
- Banco de dados, discos e arquivos cifrados em repouso.
- Número completo do cartão e CVV não são armazenados; não aparecem em registros do sistema.
- Login com verificação em aparelho novo, confirmação extra para operações sensíveis (ver CVV, desbloquear cartão, movimentar dinheiro) e bloqueio de captura de tela nas telas sensíveis.
- Os registros do sistema não guardam dados pessoais, e o acesso dos operadores é limitado por papel e fica registrado.
- Plano de resposta a incidentes: se houver um incidente que possa causar risco ou dano relevante a você, comunicamos você e a Autoridade Nacional de Proteção de Dados (ANPD) nos prazos da lei.
Nenhum sistema é totalmente imune a riscos. Se você notar algo estranho na sua conta, fale com a gente pelo Encarregado.
6. Seus direitos (art. 18 da LGPD)
Você pode, a qualquer momento, pedir: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre com quem compartilhamos; eliminação dos dados tratados com consentimento; e a revogação do consentimento.
Como pedir: pela Central de privacidade do aplicativo (exportar e excluir dados) ou pelo Encarregado: matheus@nutrichek.com.br. Prazo: confirmamos o seu pedido de imediato e entregamos o relatório completo em até 15 dias (art. 19).
Se achar que não respeitamos seus direitos, você pode reclamar à ANPD (gov.br/anpd).
7. Mudanças nesta política
Quando mudarmos esta política de forma relevante, avisamos você no aplicativo e registramos a nova versão e a data de vigência no topo. Esta é a versão 1; não há versões anteriores.