1. Quem somos (Controlador)
O Ervatório (ervatorio.com.br) é uma plataforma de curadoria botânica: enciclopédia de ervas, ferramentas de preparo e recomendação, conta pessoal e, quando aberta, uma loja curada de chás. O controlador dos dados pessoais tratados aqui é a pessoa jurídica inscrita no CNPJ 20.507.723/0001-99, com endereço na Alameda Campinas, 696 — São Paulo/SP, que opera a plataforma sob a marca Ervatório.
2. Encarregado (DPO)
Encarregado pelo tratamento de dados pessoais: Fabiano Sannino — fsannino@collabz.com.br. Use este canal para qualquer pedido sobre os seus dados; respondemos em até 15 dias.
3. Quais dados tratamos, para quê e com que base legal
O princípio é a minimização: pedimos só o que a funcionalidade usa, e cada linha abaixo existe no sistema hoje.
| Dados | Quando | Finalidade | Base legal (LGPD) |
|---|---|---|---|
| Conta: nome e e-mail | Criação de conta | Entrar, sincronizar sua estante e suas preferências entre aparelhos, comunicação sobre a conta | Execução de contrato (art. 7º, V) |
| Preferências e uso: sabores e momentos preferidos, ervas salvas na estante, blends salvos, progresso da jornada e histórico da roda de sabores | Uso do app com conta | Funcionalidades do produto; sem conta, tudo isso fica só no seu aparelho (seção 5) | Execução de contrato (art. 7º, V) |
| Diário de infusões: erva, horário e uma sensação de lista fechada («relaxei», «dormi bem», «energia», «foco», «digestão», «sem efeito», «não gostei») | Só quando o recurso estiver ativo e você registrar | Seu próprio registro. Não há campo de texto livre, de propósito: um campo aberto é onde uma condição de saúde entraria sem consentimento | Execução de contrato (art. 7º, V) |
| Saúde e restrições (dado sensível): condições de uma lista fechada — gestante, amamentando, hipertensão, uso de anticoagulante, criança, diabetes, alergia a asteráceas | Só se você marcar, no Perfil, o consentimento próprio para isso | Uma única finalidade: esconder ervas com contraindicação para você nas recomendações e nas fichas. Não usamos para nada mais, não cruzamos com outros dados e não compartilhamos | Consentimento específico e destacado para finalidade específica (art. 11, I). Retirar o consentimento apaga o dado na hora |
| Restrições informadas sem conta no «Encontre seu chá» | Ao escolher chips como «gestante» ou «hipertensão» no passo 2 | Filtrar o resultado daquela busca | Não são enviadas ao servidor nem gravadas no aparelho: valem só naquela sessão do navegador |
| E-mail para a Pausa e avisos: e-mail, origem do formulário (Pausa, loja, clube, ficha, receita…), idioma e data do envio | Quando você deixa o e-mail num formulário do site | Enviar a newsletter Pausa e avisar da abertura do que você pediu (loja, clube) | Consentimento (art. 7º, I), revogável a qualquer momento. A data registrada é a do envio do formulário; ainda não há confirmação por e-mail (double opt-in) |
| Pedidos: nome, endereço e telefone para entrega, itens e valores | Compra na loja | Processar, faturar e entregar; obrigações fiscais e de consumo | Execução de contrato (art. 7º, V) e obrigação legal (art. 7º, II). A loja está fechada hoje e não aceita pedidos novos |
| Pagamento | Checkout, quando a loja abrir | Processado por um operador de pagamento; o Ervatório não coleta nem armazena números de cartão | Execução de contrato (art. 7º, V). O operador será nomeado nesta política antes da abertura da loja |
| Indicação de parceiros: ao clicar em «comprar no parceiro» registramos o produto e a data/hora do clique | Clique num link de indicação | Medir o volume encaminhado a cada parceiro (recebemos comissão) | Não identifica você: sem IP, sem sessão, sem conta. A partir do clique vale a política do parceiro |
| Medição de uso e marketing: Google Tag Manager/GA4, Microsoft Clarity e Meta Pixel | Somente após o seu aceite no banner de cookies | Entender o uso do site e melhorar o produto; remarketing só com a categoria «marketing» aceita | Consentimento (art. 7º, I). Nenhuma dessas ferramentas está ativa no momento; quando ativarmos, continuará valendo só com consentimento |
| Registros técnicos: contadores de limite de requisições e logs das funções do servidor | Uso do site | Segurança e prevenção de abuso | Legítimo interesse (art. 7º, IX), com retenção curta (seção 6) |
Contas criadas antes de 15 de setembro de 2026 podem ter informado telefone, cidade e país no cadastro. Esses campos não são mais pedidos; se você os informou, eles aparecem no seu export e saem com a exclusão da conta.
4. Com quem compartilhamos
Seus dados são processados apenas por operadores necessários à operação:
- Supabase — banco de dados, autenticação e funções do servidor (infraestrutura nos Estados Unidos);
- Vercel — hospedagem do site (Estados Unidos);
- Resend — envio de e-mails (a Pausa e, quando a loja operar, confirmações de pedido);
- Operador de pagamento — a ser nomeado nesta política antes da abertura da loja;
- Transportadoras e Correios — entrega de pedidos (nome, endereço e telefone), quando houver pedidos;
- Parceiros de indicação (lojas de terceiros) — recebem só o clique; nenhum dado seu sai do Ervatório para eles.
Não vendemos dados pessoais nem os compartilhamos para publicidade de terceiros. O dado de saúde não é compartilhado com ninguém. Operadores fora do Brasil estão sujeitos às salvaguardas de transferência internacional da LGPD (art. 33).
5. Cookies e o que fica no seu aparelho
Cookies e armazenamento local necessários, que não dependem de consentimento: a sessão de login (Supabase), idioma e tema, a escolha que você fez no banner de cookies (erv_consent_v1), e — para quem usa o app sem conta — estante, blend em construção, blends salvos, carrinho e um cache do catálogo. O monitor de cafeína e o resultado do teste de um minuto ficam só no aparelho e nunca são enviados ao servidor.
Cookies de medição e marketing só entram com o seu aceite no banner, por categoria. Você altera ou revoga a escolha quando quiser:
O dado de saúde nunca fica no aparelho: é carregado do servidor a cada sessão e some ao sair.
6. Por quanto tempo guardamos (retenção)
- Conta, preferências, estante, blends, jornada e diário: enquanto a conta existir; apagados com ela.
- Saúde e restrições: enquanto o consentimento durar. Retirar o consentimento no Perfil apaga o dado imediatamente; a exclusão da conta também o apaga.
- E-mail da Pausa e avisos: até o descadastro, ou 24 meses sem interação.
- Pedidos e documentos fiscais: 5 anos (obrigações fiscais e de consumo). Ao excluir a conta, o pedido fica anonimizado: sem vínculo com você, endereço reduzido a cidade/UF/país, nome substituído por «excluído a pedido do titular».
- Cliques de indicação: não identificam ninguém e são mantidos como estatística.
- Registros técnicos: contadores de requisição por cerca de um dia; logs do servidor pela retenção curta da plataforma.
- Backups: a exclusão não apaga cópias de segurança já feitas; elas expiram com a janela do plano (dias). Se você pedir, informamos essa janela na resposta.
A tabela operacional completa, por tabela do banco, está no repositório do projeto (docs/compliance/retencao.md) e muda junto com o código.
7. Seus direitos (LGPD art. 18) e como exercer
Você pode, a qualquer momento, pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento, revogação de consentimento e exclusão. Os caminhos que existem hoje:
- Baixar meus dados — em Meu Ervatório › Perfil › Seus dados. Gera um arquivo com tudo o que é seu, inclusive saúde, diário e pedidos.
- Excluir meus dados — no mesmo lugar. Apaga a conta e tudo o que é seu; pedidos ficam anonimizados pelo prazo fiscal (seção 6).
- Retirar o consentimento de saúde — desmarcar no Perfil; o dado é apagado na hora, e o app continua funcionando por inteiro sem ele.
- Sair da Pausa — todo e-mail traz um link de descadastro; um clique e você sai na hora. Sem o e-mail à mão, escreva para o canal da seção 2 e removemos em até 15 dias.
- Cookies — pelo botão da seção 5.
- Qualquer outro pedido — pelo canal da seção 2, em até 15 dias.
8. Segurança
Criptografia em trânsito (HTTPS); controle de acesso por linha no banco de dados (RLS), de modo que cada pessoa só alcança o que é seu; dado de saúde em tabela separada, sem acesso anônimo; privilégios revogados por padrão em toda tabela nova; segredos fora do código; autenticação de dois fatores para administradores; limite de requisições nas funções do servidor; e um roteiro de resposta a incidentes. Em caso de incidente com risco relevante, comunicaremos os afetados e a ANPD (art. 48).
9. Crianças e adolescentes
A plataforma não é direcionada a menores de 18 anos e não coletamos intencionalmente dados de crianças. «Criança» na lista de restrições de saúde refere-se a quem prepara chá para uma criança, não a um cadastro infantil.
10. Alterações desta política
Novas versões são publicadas nesta página, com data e número. Mudanças relevantes serão comunicadas por e-mail ou aviso no site.
- 1.3 — 14 de setembro de 2026: descadastro da newsletter por link no próprio e-mail, em vez de pedido ao encarregado.
- 1.2 — 14 de setembro de 2026: identificação do controlador (CNPJ e endereço) e do encarregado preenchidas; não há mais campos pendentes de definição.
- 1.1 — 14 de setembro de 2026: dado de saúde com consentimento próprio (art. 11, I) e restrições de sessão; diário de infusões; indicação de parceiros; cadastro reduzido a nome e e-mail; retenção por tipo de dado; caminhos de exercício de direitos pelo app; processador de pagamento anterior retirado do texto (não será usado; o operador será nomeado antes da abertura da loja); ferramentas de medição nomeadas.
- 1.0 — 16 de julho de 2026: versão inicial.