Política de Privacidade

Esta Política de Privacidade descreve como a QuantoVale.SP trata dados pessoais coletados em razão do uso da plataforma https://www.quantovalesp.com.br(“Plataforma”). Aplica-se a todos os usuários da Plataforma e constitui parte integrante dos Termos de Uso.

Tratamos seus dados em conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor (Lei nº 8.078/1990).

1. Controlador dos Dados

Para fins do art. 5º, VI, da LGPD, o controlador dos dados pessoais coletados pela Plataforma é:

• Razão social: DAVID K DESENVOLVIMENTO DE SOFTWARE LTDA
• CNPJ: 53.982.479/0001-75
• Sede: Avenida Paulista, 1106, 16º andar, São Paulo - SP, CEP 01310-914
• Contato: oi@quantovalesp.com.br

2. Encarregado pelo Tratamento (DPO)

Em conformidade com o art. 41 da LGPD, o canal único de comunicação com o Encarregado é oi@quantovalesp.com.br. Mensagens com assunto contendo “LGPD” ou “Dados Pessoais” têm tratamento priorizado. Para detalhes sobre como exercer seus direitos, consulte a página de Direitos do Titular (LGPD).

3. Dados Pessoais que Coletamos

Coletamos exclusivamente os dados estritamente necessários para a prestação do serviço:

3.1 Dados fornecidos pelo Usuário

• E-mail: para identificação, entrega do Relatório, suporte e comunicação sobre o endereço consultado;
• Endereço do imóvel (logradouro, número, bairro): para geocodificação e resolução do imóvel-alvo na base ITBI;
• CEP (opcional): para auxiliar na geocodificação quando o endereço textual é ambíguo;
• Área útil (m²): para enquadramento do imóvel-alvo em comparáveis com área similar;
• Preço pedido: para cálculo do percentil do preço informado em relação a transações comparáveis. Este dado é estatístico, não identifica contrapartes nem cria histórico de negociações específicas.
• E-mail de assinatura do boletim (opcional): para envio da publicação mensal descrita no item 4, junto com o registro do consentimento — endereço IP, user-agent, página de origem e data da confirmação.

3.2 Dados coletados automaticamente

• Identificadores de pedido: UUIDs internos para rastrear o ciclo de vida do pedido (pagamento, geração, entrega);
• Endereço IP (somente em logs operacionais por curto prazo, para segurança e detecção de fraude);
• Dados técnicos do dispositivo: user-agent, idioma e dados básicos de requisição HTTP, processados pela CDN (Vercel) para fins de entrega de conteúdo.
• Identificadores de medição publicitária (somente se você aceitar os cookies de medição): os identificadores pseudônimos _fbp e _fbc, gravados pelo Meta Pixel, além do endereço IP e do user-agent associados ao pedido. Detalhes no item 8.

3.3 Dados não coletados

A QuantoVale.SP não coleta: CPF, RG, data de nascimento, nome completo, dados bancários ou de cartão de crédito (estes são tratados diretamente pela Mercado Pago), nem dados sensíveis (art. 5º, II, LGPD).

4. Bases Legais para o Tratamento

Cada tratamento é fundamentado em uma das bases legais previstas no art. 7º da LGPD:

• Execução do contrato (art. 7º, V): coleta e uso de endereço, área, preço pedido e e-mail para gerar e entregar o Relatório solicitado;
• Cumprimento de obrigação legal (art. 7º, II): retenção de registros de pagamento e dados fiscais pelo prazo exigido pela legislação tributária e Marco Civil da Internet;
• Legítimo interesse (art. 7º, IX): logs operacionais de curto prazo para detecção de fraude, segurança da Plataforma e prevenção de abuso, sempre observados os direitos e liberdades fundamentais do titular; e o envio de até dois e-mails de acompanhamento sobre o endereço que o próprio titular consultou, com link de cancelamento de um clique em cada mensagem;
• Consentimento (art. 7º, I): cookies de medição publicitária (Meta Pixel); o boletim mensal — uma publicação por mês de ITBI divulgado pela Prefeitura, enviada apenas a quem assinou e confirmou o e-mail (dupla confirmação), com link para sair da lista em cada edição; e qualquer outra comunicação de marketing ou uso fora das finalidades descritas acima. O consentimento é sempre solicitado de forma livre, informada e inequívoca, e revogável a qualquer momento. A base do boletim é distinta da dos acompanhamentos de consulta: aquela é legítimo interesse sobre uma pergunta que o próprio titular fez; esta é consentimento para uma publicação que o titular pediu.

5. Finalidades do Tratamento

• Geração e entrega do Relatório solicitado;
• Processamento de pagamento e emissão de comprovantes;
• Comunicação operacional sobre o pedido (confirmação, link de acesso, expiração);
• Acompanhamento da consulta gratuita: até dois e-mails sobre o endereço consultado, interrompidos a qualquer momento pelo link de cancelamento presente em ambos. Quem compra o Relatório não recebe nenhum deles;
• Envio do boletim mensal a quem assinou e confirmou. Sair da lista do boletim não afeta a entrega de um Relatório comprado, e cancelar os acompanhamentos de consulta não retira do boletim: são duas listas, dois links, e cada e-mail diz de qual ele é;
• Atendimento de suporte e resposta a solicitações via canal de e-mail;
• Segurança da Plataforma e prevenção de fraude;
• Cumprimento de obrigações legais, regulatórias ou judiciais aplicáveis;
• Análise estatística agregada e anonimizada para aprimoramento do serviço, sem re-identificação do titular;
• Aferição da eficácia da divulgação: saber quais campanhas originam pedidos, para não gastar em canais que não funcionam. Nunca altera o conteúdo do Relatório entregue.

6. Compartilhamento com Terceiros (Operadores)

Não vendemos nem alugamos seus dados. Compartilhamos com operadores estritamente necessários à prestação do serviço, sob acordos de tratamento de dados (DPAs):

• Mercado Pago Instituição de Pagamento Ltda. (CNPJ 10.573.521/0001-91) — processamento do pagamento via Pix. Recebe o e-mail e o valor do pedido. Não recebe endereço do imóvel.
• Resend, Inc. (Estados Unidos) — entrega dos e-mails transacionais com link do Relatório, dos acompanhamentos de consulta e do boletim mensal. Recebe o e-mail do destinatário e o conteúdo da mensagem.
• Vercel, Inc. (Estados Unidos) — hospedagem da Plataforma, CDN e execução das funções serverless. Logs operacionais de requisição.
• Neon, Inc. (Estados Unidos) — banco de dados gerenciado para armazenamento dos dados de pedido e geração do Relatório.
• Nominatim / OpenStreetMap Foundation (Reino Unido) — serviço público de geocodificação. Recebe o endereço textual informado para resolução de coordenadas.
• ViaCEP (Brasil) — serviço público de consulta de CEP. Recebe o CEP informado quando o Usuário opta por fornecê-lo.
• Meta Platforms, Inc. (Estados Unidos) — medição de campanhas publicitárias. Recebe eventos de navegação (somente mediante seu consentimento aos cookies de medição) e, na conclusão de uma compra, o valor pago, a moeda e o seu e-mail em forma de hash SHA-256. O e-mail em texto claro, o endereço do imóvel, a área e o preço pedido não são transmitidos. Ver itens 8.2 e 8.3.
• Prefeitura Municipal de São Paulo — fornecedor da base pública de ITBI (sem fluxo de dados de Usuário; apenas consumo unidirecional dos dados públicos municipais por nós).

7. Transferência Internacional

Alguns operadores (Vercel, Neon, Resend) processam dados em servidores localizados nos Estados Unidos. Realizamos essa transferência com base no art. 33, IX, da LGPD (transferência necessária à execução de contrato do qual seja parte o titular), exigindo contratualmente desses operadores níveis de proteção de dados adequados e cláusulas compatíveis com a LGPD.

A transferência para a Meta Platforms, Inc. (Estados Unidos) tem base distinta: os dados de navegação apoiam-se no seu consentimento (art. 33, VIII, c/c art. 7º, I), e o registro de conversão enviado pelo servidor apoia-se no legítimo interesse descrito no item 8.3.

8. Cookies e Tecnologias Similares

A Plataforma utiliza dois grupos de cookies, com bases legais distintas.

8.1 Cookies necessários (não dependem de consentimento)

• Cookie de sessão (assinado, HttpOnly): mantém a autenticação de usuários de pacotes que acessam o painel via link mágico. Validade de 30 dias.
• Cookie de preferência (qv_consent): registra se você aceitou ou recusou os cookies de medição, para que o aviso não seja repetido a cada visita. Validade de 180 dias.

8.2 Cookies de medição (somente com o seu consentimento)

Se, e somente se, você aceitar no aviso exibido na primeira visita, carregamos o Meta Pixel, que grava dois identificadores pseudônimos no seu navegador:

• _fbp: identificador de navegador gerado pelo próprio Meta Pixel. Validade de 90 dias.
• _fbc: registra o identificador do anúncio pelo qual você chegou à Plataforma, quando houver. Validade de 90 dias.

A finalidade é uma só: saber quais campanhas originam pedidos. Esses identificadores não alteram o conteúdo do Relatório nem o preço que você paga, e não são usados para perfilamento dentro da Plataforma.

Se você recusar, o Meta Pixel não é carregado e nenhum desses cookies é gravado — o serviço funciona integralmente. Para revogar um consentimento já dado, apague os cookies deste site nas configurações do seu navegador; o aviso volta a ser exibido na visita seguinte.

8.3 Medição pelo servidor (Conversions API)

Independentemente da escolha acima, quando um pagamento é confirmado enviamos ao Meta, a partir do nosso servidor, um registro da conversão contendo o valor pago, a moeda e o seu e-mail em forma de hash SHA-256 — função irreversível, de modo que o e-mail em texto claro nunca é transmitido. Quando você consentiu com os cookies de medição, esse envio inclui também os identificadores _fbp e _fbc, o endereço IP e o user-agent do pedido.

A base legal é o legítimo interesse (art. 7º, IX) na aferição da eficácia da divulgação, restrito ao dado de uma compra já concluída e sem qualquer decisão automatizada sobre o titular. Você pode se opor a esse tratamento a qualquer momento pelo canal indicado no item 14.

9. Segurança

Adotamos medidas técnicas e administrativas adequadas para proteger seus dados, conforme art. 46 da LGPD, incluindo:

• Tráfego cifrado em TLS 1.2+ em todas as conexões com a Plataforma;
• Banco de dados gerenciado com acesso restrito por token e auditoria de queries pelo operador;
• Tokens de acesso aos Relatórios assinados criptograficamente (HMAC-SHA256), com expiração e revogação por ID único;
• Princípio do mínimo privilégio nas credenciais de aplicação;
• Pseudonimização do endereço completo dos comparáveis exibidos no Relatório;
• Logs de webhook e tentativas de autenticação com retenção limitada, conforme item 10 abaixo.

Apesar dos esforços de segurança, nenhum sistema é absolutamente imune. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em prazo razoável, nos termos do art. 48 da LGPD.

10. Retenção de Dados

Mantemos os dados pelo menor tempo necessário a cada finalidade:

• E-mail, endereço, área e preço pedido: pelo prazo de validade dos Créditos (12 meses) ou pelo período necessário para resolução de eventual disputa, o que for maior;
• Relatório gerado: 12 meses após a geração, alinhado ao prazo de validade dos Créditos;
• Registros de pagamento: 5 (cinco) anos, conforme legislação tributária e contábil aplicável;
• Webhooks de pagamento (Mercado Pago): 30 dias após o processamento, para fins de auditoria de duplicidade;
• Tokens mágicos consumidos: 30 dias após o consumo;
• Logs de tentativas de autenticação: 1 hora, para detecção de abuso;
• Assinatura do boletim: enquanto a assinatura estiver ativa. Um pedido de assinatura não confirmado é apagado em 30 dias. O registro do consentimento (IP, user-agent, origem e data da confirmação) acompanha a assinatura pelo mesmo prazo, porque é a prova de que o titular pediu. Quem sai da lista fica registrado como descadastrado, para que não voltemos a enviar;
• Registro de cancelamento (e-mail descadastrado dos acompanhamentos): mantido por prazo indeterminado, exclusivamente para garantir que não voltemos a escrever. Apagá-lo reativaria os envios. Este registro e o de quem saiu da lista do boletim são os dois únicos itens desta lista sem prazo de expurgo, pelo mesmo motivo;
• Logs de aplicação (Vercel): conforme política do operador (atualmente até 7 dias para plano padrão);
• Identificadores de medição associados ao pedido (_fbp, _fbc, IP e user-agent): pelo mesmo prazo do registro de pagamento a que se referem. No Meta, a retenção segue a política do operador.

Findos esses prazos, os dados são eliminados ou, quando estritamente necessária a manutenção por obrigação legal, anonimizados para fins estatísticos sem possibilidade de re-identificação.

11. Direitos do Titular

Em conformidade com o art. 18 da LGPD, você tem direito a: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD; portabilidade; eliminação dos dados tratados com base no consentimento; informação sobre compartilhamento; informação sobre a possibilidade de não consentir; revogação do consentimento; e revisão de decisões tomadas unicamente com base em tratamento automatizado.

Para detalhes sobre o exercício desses direitos, prazos de resposta e canal de atendimento, consulte a página dedicada de Direitos do Titular (LGPD).

12. Crianças e Adolescentes

A Plataforma é destinada a maiores de 18 anos. Não direcionamos o serviço a crianças ou adolescentes e não solicitamos conscientemente dados de menores. Caso identifiquemos coleta inadvertida, removeremos os dados imediatamente. Pais ou responsáveis legais que identifiquem tal situação devem entrar em contato em oi@quantovalesp.com.br.

13. Alterações desta Política

Esta Política pode ser revisada periodicamente. A versão vigente está sempre disponível em /privacidade, com a data de “Última atualização” no topo. Alterações substanciais serão comunicadas aos Usuários com Créditos válidos por e-mail com antecedência razoável.

14. Contato

Para qualquer questão relativa a esta Política ou ao tratamento de seus dados, escreva para oi@quantovalesp.com.br. Para o exercício de direitos, consulte a página Direitos do Titular (LGPD).