Política de Privacidade

1. Quem é o controlador

• Controlador: Pietrahaus Desenvolvimento e Licenciamento de Programas de Computador Customizáveis LTDA, CNPJ 66.393.405/0001-45
• Encarregada(o) de proteção de dados (DPO): há encarregado(a) nomeado(a) por ato formal escrito, conforme art. 41 da LGPD e Resolução CD/ANPD nº 18/2024. Canal oficial pra exercício de direitos do titular (LGPD art. 18): [email protected]. Prazo de resposta: 15 dias úteis. Pra dúvidas gerais sobre privacidade que não sejam pedidos formais, escreva pra [email protected].
• Localização: Joinville / SC, Brasil

Para os dados do seu filho(a) cadastrados por você na plataforma, você é o controlador (responsável legal pela criança) e a Minido é a operadora: tratamos os dados em seu nome, conforme suas instruções e dentro dos limites desta política.

2. Quais dados coletamos

Dados da sua conta e família

• Nome e email do(s) responsável(eis)
• Senha (armazenada com hash forte, nunca em texto plano)
• Avatar opcional
• Configurações de preferência (modo BNCC, lembretes, etc.)

Dados da(s) criança(s)

• Nome, data de nascimento, sexo
• Foto de perfil opcional
• Conteúdo do baú: fotos, áudios, vídeos, cartas, textos do diário
• Marcos do desenvolvimento (Caderneta MS + puericultura), peso, altura, perímetro cefálico
• Calendário de vacinas, agendamentos, alertas e anotações da consulta
• Habilidades BNCC marcadas como atingidas, observações de aprendizado
• Rituais (carta dos pais, carimbo de mão, etc.)
• Indicação de perfil atípico (PCD), quando informada, para adequar janelas de marcos às Diretrizes do MS

Dados de cobrança

• Token de pagamento gerado pelo Stripe (não armazenamos número de cartão, validade ou CVV, que ficam no Stripe, certificado PCI DSS)
• Histórico de assinatura: plano, status, datas de cobrança, valores
• Dados fiscais para emissão de nota: nome completo do responsável pela cobrança, CPF/CNPJ e endereço, conforme legislação brasileira

Dados técnicos

• Logs de acesso (IP, agente do navegador, data e hora) para segurança e investigação de incidentes
• Eventos de uso agregados (quais páginas você visita, quais funcionalidades usa) para melhorar o produto
• Em caso de erro, rastros técnicos anônimos via GlitchTip self-hosted (sem PII no payload)

3. Por que coletamos cada um

• Conta e família: para autenticar você e separar o conteúdo da sua família dos demais.
• Dados da criança: para entregar o produto que você contratou (baú, marcos, curvas, calendário, BNCC, rituais).
• Cobrança: para processar pagamento, gerar nota fiscal e atender obrigação fiscal/tributária.
• Logs: para detectar fraude, abuso, falhas e cumprir obrigação legal de guarda de registros (Marco Civil da Internet).
• Eventos de uso: para entender o que funciona e o que não funciona, e priorizar melhorias.

4. Bases legais (LGPD Art. 7º)

• Execução de contrato: para entregar o serviço que você contratou (conta, baú, cobrança).
• Consentimento explícito: para tratamentos opcionais (newsletter, convite pra entrevistas, comunidade quando lançar).
• Cumprimento de obrigação legal: emissão de notas, retenção de logs prevista em lei.
• Legítimo interesse: segurança da plataforma, prevenção de fraude, melhoria do produto via dados agregados.

Você pode retirar o consentimento dos tratamentos opcionais a qualquer momento. Os tratamentos baseados em contrato/lei seguem enquanto a relação existir.

5. Onde os dados ficam

O Minido opera em arquitetura onde o conteúdo nasce e é cifrado no seu dispositivo, ponta a ponta. Isso muda completamente onde seus dados ficam e quem consegue ler:

• O seu dispositivo (celular ou computador) é a fonte da verdade. O conteúdo da família (fotos, áudios, vídeos, diário, marcos, peso/altura) fica armazenado lá, controlado pelo seu sistema operacional.
• Servidor principal no Brasil (Google Cloud Platform, São Paulo) hospeda o banco de dados PostgreSQL e o aplicativo. Armazena:
  • Email, senha hashada (Argon2id), status de assinatura
  • Catálogos públicos (BNCC oficial, marcos canônicos da Caderneta SBP, calendário de vacinas)
  • Blobs cifrados que servem pra sincronizar o conteúdo entre os dispositivos da mesma família. A chave fica no seu dispositivo, não no nosso servidor. Sem a chave, o blob é dado inútil.
• Armazenamento de mídia em Cloudflare R2: o R2 hoje não tem região na América do Sul, então o blob cifrado fica em data centers da Cloudflare nos Estados Unidos ou na União Europeia, conforme onde a Cloudflare aloca. O conteúdo já sai cifrado do seu dispositivo, e mantemos com a Cloudflare um contrato de processamento (DPA) com cláusulas-padrão de proteção (SCC) previstas no Art. 33, II da LGPD.
• Conexão sempre cifrada em trânsito (TLS 1.3). Discos de servidor usam criptografia padrão do provedor de nuvem (Google Cloud, AES-256 gerenciado).
• Backup off-site em Backblaze B2 (Estados Unidos), com retenção rolling de 30 dias. Idem o R2: como o conteúdo já está cifrado antes de sair do dispositivo, o backup também é blob inútil sem chave. Operado sob DPA com SCC.

Transferimos parte dos dados pra fora do Brasil, sempre com salvaguardas previstas em lei. Os parceiros internacionais (Cloudflare R2, Backblaze B2, Stripe, provedor de email transacional) operam sob contratos com cláusulas-padrão de proteção (Art. 33, II da LGPD). O conteúdo sensível da sua família vai criptografado de ponta a ponta antes de sair do seu dispositivo, então o que sai do país é dado opaco que nem nós conseguimos ler. Caso a lista de parceiros mude (ex: substituir um provedor), comunicamos com pelo menos 30 dias de antecedência e você pode cancelar antes da mudança.

6. Quem acessa o conteúdo

• Você e o outro responsável da família com plenos direitos de leitura e escrita.
• Pessoas convidadas (avós, padrinhos, babás) apenas com permissão de leitura. Nunca conseguem editar nem apagar.
• Equipe Minido: não consegue ler o conteúdo da sua família, por arquitetura. O conteúdo (fotos, áudios, vídeos, diário, marcos) fica cifrado no seu dispositivo com chave que está só no seu dispositivo. Os blobs que tocam nossos servidores são inúteis sem a chave. Mesmo se a equipe quisesse acessar, não conseguiria, porque não temos a chave. O painel administrativo expõe somente metadados necessários pra operar a plataforma (email do responsável, status da assinatura, contagens, telemetria agregada). A única hipótese em que a equipe lê conteúdo da sua família é se você compartilhar voluntariamente (por exemplo, anexando uma foto num ticket de suporte). Mesmo por ordem judicial, o que conseguimos entregar é o blob cifrado, não o conteúdo decifrado.
• A própria criança no futuro: pretendemos oferecer transferência de titularidade quando ela atingir maioridade, mediante consentimento dela e do(s) responsável(is).

7. Sub-operadores que processam dados

Para entregar o serviço, contratamos parceiros que tratam parte dos dados em nosso nome, todos sob acordo formal e dentro dos padrões da LGPD:

• Stripe (Stripe, Inc., Estados Unidos, operando no Brasil via Stripe Payments do Brasil): cobrança recorrente e armazenamento seguro do meio de pagamento. Não recebe dados da criança. Transferência internacional sob DPA com SCC.
• Cloudflare R2 (Cloudflare, Inc., Estados Unidos ou União Europeia conforme alocação): armazenamento de mídia (foto, áudio, vídeo), sempre cifrada de ponta a ponta antes de sair do seu dispositivo. Transferência internacional sob DPA com SCC.
• Resend (Estados Unidos): provedor de email transacional, usado pra enviar emails de cadastro, magic-link de recuperação de senha e notificação de cobrança. Recebe apenas seu email e o conteúdo do email. Transferência internacional sob DPA com SCC.
• Backblaze B2 (Estados Unidos): backup off-site cifrado, com retenção rolling de 30 dias. Operado sob DPA com SCC.
• Infraestrutura de servidor (Google Cloud Platform, São Paulo / Brasil): execução do banco e da aplicação. Dado plaintext (email, hash de senha, status de assinatura) fica aqui, no Brasil.

Lista atualizada disponível mediante solicitação em [email protected].

8. Cookies e armazenamento local

• Cookies de sessão (HttpOnly, Secure, SameSite=Lax): obrigatórios para manter você logada. Não rastreiam você fora do Minido.
• IndexedDB local: usado pelo PWA (aplicativo web instalável) pra deixar o Minido funcionar offline. Conteúdo da sua família fica em cache no seu próprio dispositivo até a sincronização ou o logout.
• Sem cookies de publicidade, sem pixel de mídia social, sem rastreio entre sites.

9. Quanto tempo guardamos

• Conta ativa: enquanto a assinatura estiver ativa, mantemos seu conteúdo disponível.
• Após cancelamento: 30 dias com acesso de leitura e exportação. Depois, os dados pessoais e o conteúdo da família são apagados em definitivo.
• Backups: rolling de 30 dias. Após a purga principal, o conteúdo expira nos backups em até 30 dias adicionais.
• Logs de acesso: 6 meses (Marco Civil da Internet).
• Documentos fiscais: 5 anos (legislação tributária).

Se você pedir exclusão imediata antes desses prazos, a gente apaga o que pode (conteúdo, conta, histórico de uso) e mantém apenas o mínimo legalmente exigido (fiscal, log legal), de forma isolada e fora do acesso da equipe regular.

10. Seus direitos (LGPD Art. 18)

Você pode pedir, a qualquer momento:

• Confirmação de que tratamos seus dados
• Acesso aos dados que temos
• Correção de dados incompletos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados
• Portabilidade dos dados pra outro serviço
• Informação sobre os sub-operadores e parceiros com quem compartilhamos
• Revogação do consentimento dos tratamentos opcionais

A maior parte desses direitos pode ser exercida diretamente na conta (em /app/configuracoes), inclusive a exportação completa em ZIP+JSON e a exclusão da família. Para o que não estiver disponível na UI, escreva pra [email protected] e respondemos em até 15 dias, conforme prevê a LGPD.

11. Crianças e adolescentes

O Minido trata dados de crianças e adolescentes porque o produto existe pra isso. Esse tratamento acontece sempre no melhor interesse da criança, em conformidade com o Art. 14 da LGPD, com o Estatuto da Criança e do Adolescente (Lei 8.069/1990) e com a Lei 15.211/2025 (ECA Digital).

• Consentimento específico e em destaque: ao cadastrar a primeira criança, você assinala um consentimento separado do aceite dos Termos de Uso, listando as finalidades específicas (baú, marcos, curvas OMS, calendário SBP, BNCC). Esse consentimento pode ser revogado a qualquer momento, com consequente eliminação dos dados.
• Verificação razoável de responsabilidade: na forma do Art. 14 §5º da LGPD, exigimos confirmação de email, vínculo com método de pagamento titularizado em nome do adulto e log das declarações feitas no cadastro.
• Apenas pais, mães, responsáveis legais ou tutores podem cadastrar dados de uma criança. Em caso de conflito entre responsáveis sobre o tratamento dos dados, o Minido se baseia no que estiver registrado em juízo, quando aplicável.
• Sem profiling para publicidade: não construímos perfil comportamental da criança, nem usamos os dados dela para qualquer forma de direcionamento publicitário, em qualquer hipótese.
• Sem condicionamento: campos opcionais (foto, peso/altura, BNCC) não são requisito para acesso ao produto, conforme Art. 14 §4º da LGPD.
• O conteúdo da criança nunca é exibido publicamente nem usado em comunicações de marketing sem autorização específica e por escrito.
• Nada do que você cadastra sobre seu filho(a) é usado para treinar modelos generalistas de inteligência artificial.
• Quando o(a) filho(a) atingir maioridade, oferecemos transferência de titularidade da conta para ele(a), preservando todo o conteúdo curado pela família.
• Página pública em linguagem simples: os tipos de dados, finalidades e direitos estão também disponíveis em /privacidade/criancas, conforme Art. 14 §2º e §6º da LGPD.

12. Comunidade (futuro)

Quando a comunidade entrar no ar, será uma funcionalidade opt-in: você escolhe se entra, escolhe o que publicar e pode sair a qualquer momento. Antes do primeiro post, mostramos um aviso explicando o que vira público e o que continua privado, e você precisa marcar concordância. Detalhes específicos de privacidade da comunidade serão publicados aqui na ocasião.

13. Nino IA (futuro)

O assistente Nino, parte dos planos Família e superiores quando lançarem, processa dados da sua família apenas para te responder e gerar relatórios. Princípios:

• Sem treinamento: o conteúdo da sua família não é usado para treinar modelos generalistas de inteligência artificial. Caso o produto venha a oferecer modelos próprios treinados com dados anonimizados ou agregados, isso só ocorrerá mediante consentimento específico, em destaque, separado do aceite desta política.
• Não-retenção contratual: os modelos de terceiros usados para inferência operam sob acordo de não-retenção do payload.
• Opt-in explícito: você liga e desliga o Nino quando quiser.
• Auditoria: log das interações com o Nino fica disponível pra você dentro da conta.

Termos específicos serão apresentados antes do primeiro uso do Nino.

14. Segurança

• Criptografia em repouso e em trânsito
• Senhas com hash Argon2 (não-reversível)
• Row-level security no banco: cada família só consegue ler/escrever os próprios dados, garantido em nível de SQL
• Princípio do menor privilégio em toda a stack (acesso de runtime sem privilégio de superuser)
• Testes adversariais aplicados em features críticas (auth, RLS, upload, pagamento) antes de subir pra produção
• Em caso de incidente de segurança envolvendo dados pessoais que possa acarretar risco ou dano relevante, notificamos a ANPD e os titulares em até 3 dias úteis, conforme Art. 48 da LGPD e Resolução CD/ANPD nº 15/2024
• Mantemos um Registro de Operações de Tratamento (ROPA), descrevendo finalidade, base legal, retenção e sub-operadores envolvidos em cada operação, conforme Art. 37 da LGPD. O documento é disponibilizado à ANPD quando solicitado.

15. Como exercer seus direitos

• Pela própria conta: a maior parte (exportar, apagar conta, cancelar assinatura) está em /app/configuracoes
• Por email: [email protected], prazo de resposta de até 15 dias
• Reclamação: se entender que algo está errado e não foi resolvido por nós, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd/pt-br

16. Alterações desta política

Esta política pode ser atualizada conforme o produto evoluir ou a legislação mudar. Mudanças relevantes (novas categorias de dados, novos sub-operadores, alterações em compartilhamento) são comunicadas por email com pelo menos 14 dias de antecedência. Versões anteriores ficam disponíveis sob solicitação.