Política de privacidade

1. Quem trata seus dados

O controlador dos dados pessoais tratados na plataforma é o BoraMaisUm, responsável por decidir o que é coletado e para quê, nos termos do art. 5º, VI, da Lei nº 13.709/2018 (LGPD).

Contato do encarregado pelo tratamento de dados pessoais (DPO): privacidade@boramaisum.com.br.

Esta política se aplica ao site e ao aplicativo do BoraMaisUm. Ela não se aplica ao que acontece fora daqui — no grupo de WhatsApp que vocês criam, por exemplo, ou no site de terceiro que você acessar por um link publicado por outro usuário.

2. Que dados a gente coleta

Que você fornece

Cadastro

Nome e e-mail. A senha é guardada apenas como hash criptográfico (bcrypt) — nem nós conseguimos lê-la.

Perfil (opcional)

Foto (endereço de imagem), cidade, estado, país, uma bio e seu perfil no Instagram. Tudo isso é opcional e você escolhe o que expor.

Rolês que você cria

Título, descrição, categoria, destino, data, custo informativo, número de vagas, imagem de capa e o link do canal externo (WhatsApp) que você indicar.

Conversas

Perguntas abertas, mensagens do mural interno do rolê e mensagens privadas trocadas na plataforma.

Avaliações

A nota, o comentário e o “viajaria de novo” que você dá a outro participante depois do rolê.

Denúncias

O motivo e a descrição que você escreve ao denunciar um perfil, rolê, comentário ou mensagem.

Acompanhantes

Nome e idade das pessoas que você inclui na sua reserva. São dados de terceiros — leia a seção sobre isso mais abaixo.

Que a plataforma gera

• datas de criação e atualização da conta e dos conteúdos;
• status da conta (ativa, suspensa, banida) e confirmação de e-mail;
• sua participação em cada rolê (pendente, aprovado, na espera, recusado) e quando ela mudou;
• registros de moderação: qual denúncia, quem analisou, quando e qual foi a decisão;
• tokens temporários de verificação de e-mail e de redefinição de senha, que expiram.

Técnicos

A infraestrutura que hospeda o serviço registra dados de acesso à aplicação — endereço IP, data e hora — como qualquer servidor na internet. Esses registros existem por segurança e por exigência do art. 15 do Marco Civil da Internet, e não são usados para traçar perfil de comportamento nem para publicidade.

3. O que a gente não coleta

Não pedimos, não guardamos e não queremos:

• dados financeiros — cartão, conta bancária, chave Pix, CPF ou comprovante de pagamento. A plataforma não movimenta dinheiro;
• documentos de identificação — RG, CNH, passaporte, selfie com documento;
• geolocalização precisa — a cidade do perfil é digitada por você, não capturada do aparelho;
• dados pessoais sensíveis (art. 5º, II, da LGPD): origem racial, convicção religiosa, opinião política, filiação sindical, dado de saúde, vida sexual, dado genético ou biométrico.

4. Para que usamos, e com que base legal

Criar e manter sua conta, autenticar o acesso, recuperar senha

Execução de contrato (art. 7º, V, LGPD).

Exibir seu perfil público e permitir que outras pessoas decidam se querem viajar com você

Execução de contrato (art. 7º, V) — é a função central do produto.

Publicar rolês, processar pedidos de participação e revelar o contato do grupo a quem foi aprovado

Execução de contrato (art. 7º, V).

Enviar e-mails do serviço: verificação, novo pedido, aprovação, recusa, grupo formado, vaga aberta

Execução de contrato (art. 7º, V). Não enviamos marketing.

Moderar conteúdo, apurar denúncias, prevenir fraude, golpe e abuso

Legítimo interesse (art. 7º, IX) e proteção da vida e da segurança de terceiros. É o que permite manter um ambiente onde estranhos se encontram.

Manter o serviço no ar, corrigir erros e proteger a infraestrutura

Legítimo interesse (art. 7º, IX).

Cumprir obrigação legal e responder a autoridade competente

Cumprimento de obrigação legal ou regulatória (art. 7º, II).

Exercer direitos em processo judicial, administrativo ou arbitral

Art. 7º, VI, da LGPD.

Onde a base é o legítimo interesse, avaliamos que o tratamento é o mínimo necessário e que a expectativa de quem usa o serviço é compatível com ele. Você pode se opor a esse tratamento pelos canais do fim desta página.

5. Quem vê o quê

Esta é a parte que mais importa na prática. A regra é aplicada no servidor, não só na tela: quem não tem permissão simplesmente não recebe o dado.

Qualquer pessoa, sem conta

Na vitrine pública de rolês aparecem título, descrição, categoria, destino, data, custo informativo, vagas, status e o nome de quem organiza — o card diz “organizado por…”, e é essa a informação que dá confiança para clicar. Não aparece e-mail, lista de participantes nem link de WhatsApp.

Qualquer pessoa com conta

Vê seu perfil público — nome, foto, cidade, bio, Instagram, data de entrada e as avaliações que você recebeu — e as perguntas abertas de um rolê, que são o canal de quem ainda não entrou. Seu e-mail não está aqui.

Só quem organiza e quem foi aprovado no mesmo rolê

Veem a lista nominal de participantes, os acompanhantes informados, o e-mail dos integrantes, o mural interno do rolê e o link do canal externo depois que o grupo é formado. Quem está com pedido pendente, na lista de espera ou não faz parte do rolê não alcança nada disso.

Só você e quem você escolheu

Mensagem privada é lida por quem enviou e por quem recebeu. Denúncia é lida pela equipe de moderação: a pessoa denunciada não fica sabendo quem denunciou nem lê o que você escreveu.

Ninguém, nunca

Sua senha. Ela é guardada como hash e não é retornada por nenhuma parte do sistema, nem para você.

6. Cookies e o que fica no seu navegador

Não usamos cookies de rastreamento, publicidade ou análise de audiência. Não há Google Analytics, pixel de rede social nem qualquer script de terceiro observando sua navegação.

Ficam guardadas no seu próprio navegador (armazenamento local) duas coisas:

Seu token de sessão

É o que mantém você logado. Some quando você sai da conta, e vence sozinho depois de alguns dias.

Sua preferência de tema

Claro ou escuro. É só isso — não identifica você.

Nenhum dos dois é enviado a terceiros. Limpar os dados do navegador apaga os dois e desconecta você.

7. Com quem compartilhamos

A gente não vende, não aluga e não troca seus dados. Não há publicidade na plataforma, e por isso não há a quem vender.

Seus dados chegam a terceiros apenas nestas situações:

Outros usuários

Na medida exata da seção “Quem vê o quê”. Esse compartilhamento é o produto: sem ele, ninguém se encontra.

Infraestrutura

Provedor de hospedagem e de banco de dados, que armazenam os dados para que o serviço funcione, como operadores (art. 5º, VII, LGPD).

Provedor de e-mail

Serviço de envio (SMTP) usado para as mensagens transacionais. Recebe seu e-mail e o texto da notificação.

Autoridades

Polícia, Ministério Público e Judiciário, mediante requisição legal válida. Cumprimos o que a lei exige — e nada além.

Se a infraestrutura estiver localizada fora do Brasil, a transferência internacional observa o art. 33 da LGPD, com garantias contratuais de proteção equivalentes.

8. Por quanto tempo guardamos

Conta ativa

Enquanto ela existir.

Depois que você apaga a conta

Excluímos ou anonimizamos seus dados pessoais. O que sobra não identifica mais você.

Conteúdo que envolve outras pessoas

Uma avaliação que você escreveu, uma mensagem que outra pessoa recebeu ou o histórico de um rolê podem permanecer, sem sua identificação, porque também dizem respeito a quem ficou.

Registros de moderação e de banimento

Mantidos pelo tempo necessário para impedir reincidência e para defesa em eventual processo.

Registros de acesso à aplicação

Seis meses, na forma do art. 15 do Marco Civil da Internet.

Obrigação legal ou processo em curso

Pelo prazo exigido pela lei ou até o fim do processo.

9. Seus direitos, e como exercer

O art. 18 da LGPD garante a você o direito de pedir, a qualquer momento:

• confirmação de que tratamos seus dados, e acesso a eles;
• correção de dado incompleto, inexato ou desatualizado;
• anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade com a lei;
• portabilidade a outro fornecedor, mediante requisição expressa;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não consentir, e o que acontece se não;
• revogação do consentimento;
• oposição a tratamento feito com base em legítimo interesse.

Escreva para privacidade@boramaisum.com.br a partir do e-mail cadastrado na conta — é assim que confirmamos que é você, sem precisar pedir documento. Respondemos em até 15 dias os pedidos de confirmação e acesso, e no menor prazo possível os demais.

Alguns pedidos têm limite legal: não conseguimos apagar o que a lei manda guardar, nem o que é necessário para a defesa de direitos em processo. Quando for o caso, explicamos exatamente o que ficou e por quê.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), mas fale com a gente antes — costuma ser mais rápido.

10. Dados de crianças e adolescentes

O tratamento de dados de crianças e adolescentes observa o art. 14 da LGPD e é feito sempre no melhor interesse deles. Menores de 18 anos só devem usar a plataforma com consentimento e supervisão do responsável legal, e só participam de rolê acompanhados do responsável, no mesmo grupo (ver Termos de Uso).

Quando um menor é incluído como acompanhante, o responsável informa nome e idade — o mínimo para que o grupo saiba quem vai. Não pedimos foto, documento nem escola.

Se você é responsável legal e identificou dados de uma criança ou adolescente sob sua guarda publicados sem sua autorização, escreva para privacidade@boramaisum.com.br que removemos com prioridade.

11. Dados de outras pessoas que você publica

Ao cadastrar um acompanhante, citar alguém numa mensagem ou publicar a foto de um grupo, você está tratando dado pessoal de terceiro. Nesse ponto, a responsabilidade é sua: você declara ter autorização para informar aquele dado e para que ele apareça, na plataforma, a quem tem acesso ao rolê.

Se alguém pedir a remoção de um dado seu publicado por outro usuário, avaliamos o pedido e podemos remover o conteúdo. Escreva para privacidade@boramaisum.com.br.

12. Como a gente protege

• Senha nunca em texto claro — apenas hash com bcrypt, que não é reversível.
• Acesso autenticado e verificado por dono: cada rota que devolve dado de usuário confere se quem pede tem direito àquele dado, e não apenas se está logado.
• Projeção por permissão: quando você não pode ver um campo, ele não é escondido na tela — ele não sai do servidor.
• Tráfego criptografado (HTTPS) e segredos fora do código.
• Registro das ações de moderação, para que decisões sobre contas sejam auditáveis.

Nenhum sistema é 100% seguro, e quem promete isso está mentindo. Se ocorrer incidente de segurança com risco relevante aos seus direitos, comunicaremos você e a ANPD, na forma do art. 48 da LGPD.

Você também protege a sua parte: senha exclusiva, cuidado com link estranho, e desconfiança de qualquer mensagem pedindo sua senha ou código — nós nunca pedimos isso.

13. Alterações desta política

Esta política pode mudar quando o produto ou a lei mudarem. A versão vigente é sempre a publicada aqui, com data e número de versão no topo. Mudança relevante é avisada com antecedência razoável, por e-mail ou dentro da plataforma.

14. Fale com o encarregado

Dúvida, pedido ou reclamação sobre dados pessoais: privacidade@boramaisum.com.br.

Assuntos gerais: contato@boramaisum.com.br. Denúncia de abuso ou golpe: denuncia@boramaisum.com.br.