Política de privacidade

1. Quem somos

Made in Club é um clube de assinaturas operado pelos sócios locais em São Miguel do Oeste/SC. Este documento descreve quais dados coletamos, como usamos, com quem compartilhamos e quais são seus direitos sob a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei 13.709/2018).

2. Idade mínima

O Made in Club é destinado a pessoas com 18 anos ou mais. Não coletamos dados de menores deliberadamente. Se você é responsável legal por menor que tenha cadastro, escreva para o e-mail acima e excluímos a conta.

3. Dados que coletamos

• Identificação: nome, e-mail, telefone, CPF.
• Pagamento: dados do cartão ou da chave Pix são processados diretamente por Mercado Pago e ONZ; nunca armazenamos o número do cartão no nosso servidor (apenas brand + 4 últimos dígitos para exibição).
• Uso: histórico de assinaturas, pagamentos, resgates de benefícios em estabelecimentos.
• Autenticação: timestamps de login, IP e user-agent — retidos por 90 dias para auditoria de segurança.
• Técnicos: cookies essenciais para sessão e proteção contra fraude (ver §10 abaixo).

4. Finalidades

• Executar o contrato de assinatura (cobrança, entrega do benefício).
• Atender obrigações legais e fiscais (emissão de recibo, retenção de 5 anos).
• Prevenir fraude e uso indevido (deduplicação de CPF, anti-replay de OTP).
• Comunicar sobre sua assinatura (cobrança, pausa de acesso por falha de pagamento, cancelamento, lembrete de renovação).
• Garantir segurança da operação (auditoria de acessos, MFA admin).

5. Base legal (art. 7 LGPD)

• Execução de contrato (art. 7, V) — assinatura, cobrança e resgate.
• Obrigação legal (art. 7, II) — retenção fiscal e auditoria.
• Legítimo interesse (art. 7, IX) — prevenção a fraude e segurança.
• Consentimento (art. 7, I) — comunicações de marketing (opcional, nunca padrão; revogável a qualquer momento).

6. Compartilhamento e subprocessors

Compartilhamos apenas dados estritamente necessários, com obrigações contratuais de confidencialidade. Nenhum dado é vendido a terceiros.

* Transferência internacional (art. 33 LGPD): contratamos esses provedores com cláusulas padrão de proteção de dados e DPAs (Data Processing Agreements). Eles atuam como atendentes e não usam seus dados para finalidades próprias.

7. Retenção e anonimização

Mantemos dados pelo tempo estritamente necessário para cada finalidade:

A anonimização é definitiva: não conseguimos restaurar nome, e-mail ou telefone após o processo. O CPF vira hash criptográfico (HMAC-SHA256 com salt dedicado) que permite apenas detectar duplicidade em cadastros futuros, mas não permite reconstruir o número original.

8. Seus direitos (art. 18 LGPD)

A qualquer momento você pode exercer os direitos abaixo. Os 3 primeiros são self-service em Meus dados; os demais por e-mail (resposta em até 15 dias):

• Confirmação e acesso (II): exportar seus dados em JSON aberto.
• Correção (III): corrigir e-mail e telefone diretamente no app; CPF via e-mail.
• Eliminação (VI): excluir sua conta com anonimização imediata.
• Portabilidade (V): o JSON exportado segue formato aberto (RFC 8259) e pode ser carregado por outras plataformas.
• Oposição (§2): se discordar de algum tratamento, escreva para nós.
• Revisão humana de decisões automatizadas (art. 20): se uma decisão automatizada (refund, cancelamento por inadimplência, anonimização) afetou você, podemos revisar manualmente. Solicite por e-mail.
• Reclamação à ANPD: você pode também reclamar diretamente à Autoridade Nacional de Proteção de Dados em gov.br/anpd.

9. Segurança

Aplicamos medidas técnicas e organizacionais proporcionais ao risco do tratamento:

• HTTPS em toda comunicação (TLS 1.2+).
• Criptografia em repouso no banco de dados (Supabase/AWS).
• MFA TOTP obrigatório para acesso administrativo.
• Auditoria de eventos sensíveis de acesso administrativo.
• HMAC-SHA256 com salt dedicado para hash de CPF anonimizado.
• Sem armazenamento de número de cartão (delegado ao Mercado Pago).
• Row-Level Security (RLS) no banco — isolamento de dados por usuário.
• Logs de PII redactados antes do armazenamento (CPF, e-mail, senha, tokens).

10. Cookies

Usamos apenas cookies essenciais ao funcionamento da plataforma. Não há cookies de rastreamento publicitário, analytics de terceiros ou perfilação para anúncios.

• Sessão Supabase (httpOnly, secure): mantém você autenticado.
• madein.mfa.td (admin only, httpOnly, secure): dispositivo confiável para MFA, válido por 30 dias.
• madein.last_merchant_slug (atendente only): última loja acessada, para conveniência de quem opera múltiplos comércios.
• madein.consent: registro do seu consentimento com esta política (controla a faixa de aviso na primeira visita).

Como todos são essenciais ao serviço, não solicitamos consentimento granular separado. Se você não concordar, não conseguirá usar a plataforma — nesse caso, não se cadastre.

11. Incidentes de segurança

Em caso de incidente envolvendo dados pessoais (vazamento, acesso indevido), notificamos a ANPD em até 72 horas (art. 48 LGPD) e os titulares afetados sem demora injustificada, descrevendo a natureza do incidente, dados afetados, medidas de mitigação e contato do DPO.

12. Alterações desta política

Quando a política mudar, publicamos a nova versão aqui e bumpamos o identificador. Se a mudança for material, avisamos por e-mail antes de entrar em vigor. Você pode consultar o histórico abaixo:

• v2026-05-01 — DPO nomeado, lista completa de subprocessors com transferência internacional, seção de cookies, política de retenção detalhada por categoria, direito a revisão humana (art. 20), tratamento de menores (≥18 anos).
• v2026-04-20 — Versão inicial pré-launch.