Política de Privacidade

1. Controlador dos Dados

O controlador responsável pelo tratamento dos seus dados pessoais é:

• Empresa: Expresso Assinatura
• Endereço: Brasil
• Encarregado / DPO: Encarregado de Dados — privacidade@expresso.marketing

Para usuários localizados na União Europeia, o controlador de dados é a mesma entidade acima. Caso necessário, indicaremos um representante na UE nos termos do Art. 27 do GDPR.

2. Dados Coletados

Coletamos os seguintes tipos de dados pessoais:

• Cadastro: nome, endereço de email, senha (armazenada com hash bcrypt — nunca em texto plano)
• Assinaturas de email: nome, cargo, empresa, telefone, endereço, links de redes sociais, foto, logotipo — fornecidos voluntariamente pelo usuário
• Dados de pagamento: histórico de transações (sem armazenar dados de cartão — processados por gateway terceiro certificado PCI-DSS)
• Logs de acesso: endereço IP, user agent, data/hora de acesso e ações realizadas (fins de segurança e auditoria)
• Consentimento de cookies: registro de preferências e data do consentimento conforme exigido pela LGPD e GDPR
• Cookies: conforme seu consentimento — veja nossa Política de Cookies

3. Finalidade e Bases Legais

Nos termos do Art. 7 da LGPD e do Art. 6 do GDPR, cada atividade de tratamento possui uma base legal específica:

4. Compartilhamento de Dados

Não vendemos seus dados. Compartilhamos apenas com fornecedores necessários à prestação do serviço, todos vinculados contratualmente por cláusulas de proteção de dados:

• Infraestrutura e hospedagem: servidores de hospedagem e banco de dados necessários para operar a plataforma
• Gateway de pagamento: para processar transações financeiras de forma segura (certificado PCI-DSS)
• Serviço de email transacional (ZeptoMail): para envio de notificações, confirmações e comunicações relacionadas ao serviço

Para clientes empresariais (B2B) que utilizam nossa plataforma para processar dados de seus próprios colaboradores, atuamos como operador de dados nos termos do Art. 39 da LGPD e Art. 28 do GDPR. Um Acordo de Processamento de Dados (DPA) está disponível sob solicitação em privacidade@expresso.marketing.

5. Transferências Internacionais de Dados

Alguns de nossos fornecedores podem processar dados em servidores localizados fora do Brasil. Quando isso ocorre, garantimos que as transferências são protegidas por mecanismos adequados:

• Cláusulas Contratuais Padrão (Standard Contractual Clauses — SCCs) aprovadas pela Comissão Europeia, nos termos do Art. 46(2)(c) do GDPR
• Decisões de adequação da Comissão Europeia onde aplicável
• Contratos específicos de transferência conforme Art. 33 da LGPD e regulamentação da ANPD

6. Retenção de Dados

• Dados de conta: pelo período em que a conta estiver ativa + 5 anos após o encerramento
• Logs de auditoria: 2 anos
• Dados de pagamento: 5 anos (obrigação fiscal)
• Cookies analíticos: 12 meses
• Registros de consentimento de cookies: 5 anos (comprovação de conformidade)
• Solicitações LGPD/GDPR: 5 anos após conclusão

Após os períodos acima, os dados são eliminados de forma segura ou anonimizados de modo irreversível.

7. Seus Direitos

Nos termos do Art. 18 da LGPD e dos Arts. 15 a 22 do GDPR, você tem direito a:

• Acesso: confirmar se tratamos seus dados e obter uma cópia
• Correção: corrigir dados incompletos, inexatos ou desatualizados
• Exclusão / Esquecimento: solicitar a eliminação dos seus dados pessoais (salvo obrigações legais)
• Portabilidade: receber seus dados em formato estruturado e legível por máquina
• Restrição: limitar o uso dos seus dados em determinadas situações
• Oposição: opor-se ao tratamento baseado em legítimo interesse
• Revogação do consentimento: retirar o consentimento a qualquer momento, sem afetar a licitude do tratamento anterior
• Reclamação à autoridade: direito de registrar reclamação perante a ANPD (Brasil) ou a autoridade de proteção de dados do seu país

Prazo de resposta: LGPD — 15 dias úteis; GDPR — 1 mês civil. Exercite seus direitos em nosso Portal LGPD.

8. Decisões Automatizadas e Elaboração de Perfis

Não realizamos tomada de decisão exclusivamente automatizada que produza efeitos legais ou significativos sobre você (conforme Art. 20 do GDPR e Art. 20 da LGPD).

9. Notificação de Incidentes de Segurança

Em caso de incidente de segurança que possa afetar seus dados pessoais:

• GDPR (Art. 33 e 34): notificação à autoridade supervisora competente em até 72 horas
• LGPD (Art. 48): comunicação à ANPD e aos titulares afetados em prazo razoável

10. Segurança da Informação

Adotamos medidas técnicas e organizacionais proporcionais ao risco, incluindo: senhas com hash bcrypt, comunicações via HTTPS/TLS, controle de acesso baseado em papéis (RBAC), autenticação com verificação de email, logs de auditoria, e monitoramento de atividades suspeitas.

11. Cookies

Para informações detalhadas sobre os cookies utilizados, consulte nossa Política de Cookies.

12. Registro de Atividades de Tratamento

Mantemos um Registro das Atividades de Tratamento (ROPA) conforme exigido pelo Art. 30 do GDPR. O registro está disponível para a autoridade supervisora sob solicitação.

13. Contato e DPO

Para exercer seus direitos, tirar dúvidas ou registrar uma reclamação:

• Encarregado / DPO: Encarregado de Dados
• Email: privacidade@expresso.marketing
• Portal de Solicitações: assinatura.expresso.marketing/lgpd