Política de Privacidade

O que coletamos

• Identidade: e-mail, senha (guardada como derivação criptográfica) e data de nascimento.
• Perfil: nome de exibição e localidade — cidade, subdivisão quando o país a usa e o país. Pronomes, apresentação, área de atuação, idiomas, interesses e região aproximada são opcionais. Não pedimos rua, CEP nem localização do aparelho.
• Preferências: intenção declarada, faixa etária desejada, visibilidade e regras de contato.
• Perfil escolhido no cadastro: Sugar Daddy ou Sugar Baby, só se você escolher informar. Serve para encontrar perfis compatíveis e mostrar a cada membro a porta certa do CERTO. Base legal: consentimento específico e destacado (LGPD, art. 11, I), dado no próprio cadastro, em caixa separada e não pré-marcada. Você pode revogá-lo a qualquer momento em Privacidade, na sua conta: a revogação apaga o perfil escolhido, o horário e a versão do consentimento.
• Uso: conexões, conversas, denúncias e registros de auditoria dos seus próprios atos.
• Sessões: rótulo do dispositivo e região aproximada de acesso.
• Registros de acesso: data, hora e endereço IP de cada entrada e do cadastro, de todos os membros, guardados por 6 meses, como exige o Marco Civil da Internet (art. 15). Ao fim do prazo, são apagados.
• Cliques nas portas da página inicial: só a contagem agregada por dia, porta, idioma e campanha; a origem é guardada apenas como código irreversível. Serve para medir quais campanhas trazem visitantes, sem identificar ninguém. Base legal: legítimo interesse (LGPD, art. 7º, IX).

O que não coletamos

• Localização precisa — apenas região declarada por você.
• Renda, patrimônio ou qualquer dado financeiro de titularidade sua além do vínculo com o processador de pagamento.
• Metadados das suas fotografias: o EXIF é removido antes do armazenamento — GPS, número de série da câmera e horário não chegam ao disco. Uma imagem que não pudermos limpar é recusada.
• Dados sensíveis inferidos. O que você não declarou, não é deduzido.

Quem vê o quê

Sua data de nascimento não é visível para nenhum outro membro: o produto expõe apenas a idade em anos. Sua localização aparece como região. Fotografias privadas só abrem para quem você autorizou individualmente, e fecham no instante da revogação.

Pessoas da operação não têm leitura livre do banco. Cada consulta administrativa a dado de membro passa por uma função que registra quem consultou, o que consultou e quando.

Seus direitos

• Acesso e portabilidade: exportação completa em Configurações.
• Correção: edição direta do perfil e das preferências.
• Exclusão: pedido em Configurações, com confirmação explícita. Você fica invisível para os outros membros na hora e tem 7 dias para cancelar; depois, a exclusão é executada automaticamente.
• Oposição: saída da curadoria sem sair da plataforma.
• Contato sobre seus dados: privacidade@certo.club, para qualquer pedido sobre dados pessoais (acesso, correção, exclusão, dúvidas). Denúncias vão para denuncias@certo.club.

A exportação traz apenas as mensagens que você escreveu: entregar a fala da outra pessoa seria expor dado pessoal de terceiro.

Conversa com a Lia

A Lia é uma assistente de inteligência artificial, não uma pessoa. Para gerar uma resposta, a pergunta é enviada ao provedor do modelo de linguagem (Anthropic), junto com textos públicos da casa e, no caso de membros, os últimos turnos da conversa — nunca perfil, fotos, contatos ou dados de verificação. E-mail, telefone e CPF são retirados antes do envio; na vitrine, uma pergunta que contenha esses dados não é processada.

Visitantes sem conta: não guardamos a pergunta nem a resposta — a conversa existe só na página aberta. Para os limites de uso (6 perguntas por visita e 20 por origem por dia), guardamos um cookie com a contagem do dia e, na memória do servidor, uma impressão cifrada da origem, descartada a cada dia. Do custo de cada resposta ficam só o instante, o modelo, a quantidade de tokens e o valor, sem pergunta, resposta ou endereço.

Membros: a conversa com a Lia fica guardada na conta e é apagada na exclusão (ver Retenção).

O provedor pode reter por prazo limitado o que recebe, conforme os termos dele para a API. Por isso: não peça nem envie dados pessoais na conversa com a Lia.

Retenção

Executada a exclusão, apagamos perfil, fotos, concessões, localidade, verificação, preferências, pedidos à casa, feedback, a conversa com a Lia e as sessões. As mensagens que você já enviou continuam com a outra pessoa como «Membro removido», sem nome nem foto.

Ficam só os registros que a lei exige ou que protegem outros membros: os registros de acesso (data, hora, IP e ações na conta), por 6 meses, como exige o Marco Civil da Internet (art. 15), apagados ao fim do prazo; e os registros de moderação (denúncias, bloqueios, banimentos e recursos), sem dados de perfil. Para impedir a reentrada de quem saiu com uma medida de moderação, guardamos uma impressão cifrada do e-mail (HMAC, calculada com uma chave secreta da casa). Ela não mostra o endereço, mas permite reconhecê-lo se ele for usado de novo num cadastro; por isso continua sendo um dado pessoal, usado só para esse fim.

Cópias de segurança: para recuperar o serviço em caso de falha, guardamos cópias do estado do serviço por até 30 dias; depois disso, elas são apagadas automaticamente. Uma conta excluída pode continuar nessas cópias até o fim desse prazo. Se uma cópia for usada numa recuperação, as exclusões feitas depois dela são mantidas.

Registros de cobrança de demonstração: este ambiente não cobra ninguém. Depois da exclusão, os registros da assinatura simulada continuam apenas com o identificador interno da conta excluída, o plano e as datas do ciclo, sem nome, e-mail ou dado de pagamento.