Política de Privacidade.

01O princípio

A Caravela trabalha com dado público sobre território e economia — não com o perfil de pessoas. Os únicos dados pessoais que tratamos são os necessários para você ter uma conta, uma assinatura e um produto calibrado ao seu negócio.

Não vendemos dados pessoais. Não compramos listas. Não usamos os seus dados para treinar modelos de IA.

Esta política vale para o site, as ferramentas e as áreas logadas operadas por Caravela Dados e Estatísticas.

02Que dados coletamos

Dados de conta, informados por você no cadastro ou vindos do login Google: nome, e-mail e, quando o login é social, o identificador da conta Google.

Dados de perfil, informados por você na cabine de Insights: nome da empresa (opcional), setor de atuação (CNAE), com qual perfil você se identifica, as cidades que você acompanha e as suas preferências de aviso — temas, frequência, canais e, quando você liga o canal de e-mail, o endereço para onde enviar.

Dados de assinatura: plano contratado, status e identificadores da Stripe. Os dados do cartão são coletados e guardados pela Stripe, não por nós — a Caravela nunca vê o número completo do seu cartão.

Dados de uso: páginas visitadas e métricas de audiência (Vercel Analytics e Google Analytics), além de registros técnicos de servidor, como endereço IP, data e hora e tipo de navegador, usados para segurança e diagnóstico.

Conteúdo que você envia: as perguntas escritas nas ferramentas de IA, os endereços consultados na análise de ponto comercial e os parâmetros das pesquisas de mercado que você gera.

Não coletamos dados sensíveis na acepção da LGPD (origem racial, convicção religiosa, opinião política, saúde, biometria, entre outros) e pedimos que você também não os inclua em campos livres.

03Por que tratamos cada dado (bases legais)

Execução de contrato (art. 7º, V da LGPD): conta, perfil, cidades salvas, assinatura e entrega das ferramentas. Sem esses dados, não há produto.

Cumprimento de obrigação legal (art. 7º, II): registros fiscais e contábeis da assinatura e os registros de acesso que o Marco Civil da Internet exige guardar.

Legítimo interesse (art. 7º, IX): segurança da plataforma, prevenção a fraude e abuso, diagnóstico técnico e métricas agregadas de audiência para melhorar o produto.

Consentimento (art. 7º, I): envio de avisos por e-mail. Você liga esse canal por conta própria na cabine de Insights e pode desligá-lo a qualquer momento, sem afetar o restante do serviço.

04Avisos por e-mail

Os avisos aparecem sempre no portal. O e-mail é opcional: só sai se você ligar o canal e informar para onde enviar.

O endereço informado é usado exclusivamente para entregar os avisos que você escolheu. Não vai para lista de marketing, não é compartilhado com anunciantes e pode ser apagado desligando o canal na cabine de Insights.

Todo e-mail de aviso traz um link de descadastro.

05Com quem compartilhamos

Compartilhamos o mínimo necessário, com operadores que tratam os dados por nossa conta e sob contrato:

• Supabase — banco de dados e autenticação (conta, perfil, cidades salvas, assinaturas);
• Stripe — processamento de pagamento e gestão da assinatura;
• Vercel — hospedagem da aplicação e métricas agregadas de audiência;
• Google Analytics — medição de audiência do site: quantas pessoas chegam, por onde chegaram e quais páginas usam;
• Google Cloud — provedor do modelo de IA que gera as respostas e das APIs de mapa e geocodificação usadas nas ferramentas de território;
• Google (BigQuery) — processamento das bases públicas, que não contêm dados pessoais de usuários.

Também podemos compartilhar dados quando houver ordem judicial ou requisição de autoridade competente, e no caso de reorganização societária — situação em que o adquirente fica sujeito a esta mesma política.

Parte desses serviços fica fora do Brasil. A transferência internacional segue o art. 33 da LGPD, amparada na execução do contrato e em cláusulas contratuais com os operadores.

06Por quanto tempo guardamos

Dados de conta e perfil: enquanto a conta existir. Apagada a conta, removemos os dados em até 30 dias, salvo o que a lei obrigar a manter.

Dados de assinatura e registros fiscais: pelo prazo legal aplicável, contado do fim da relação.

Registros de acesso: seis meses, conforme o Marco Civil da Internet.

Perguntas enviadas à IA: guardadas de forma transitória para gerar a resposta e diagnosticar falhas, e descartadas em seguida. Elas não são usadas para treinar modelos.

Métricas de audiência: sem identificar você individualmente. Os dados de evento do Google Analytics ficam retidos por 14 meses, o prazo máximo que a ferramenta permite configurar, e depois são apagados por ela.

07Cookies e tecnologias similares

Usamos cookies estritamente necessários para manter você logado e proteger a sessão — sem eles a área de assinante não funciona.

As métricas de audiência da Vercel são agregadas e não usam cookies.

O Google Analytics grava cookies próprios do nosso domínio (_ga e similares) para distinguir uma visita nova de um retorno e saber por onde você chegou ao site. Eles medem audiência, não publicidade: desligamos no Google Analytics os recursos de anúncio — Google Signals, personalização de anúncios e uso dos dados para públicos semelhantes —, de modo que a sua navegação aqui não alimenta segmentação publicitária. O tratamento se apoia em legítimo interesse (art. 7º, IX da LGPD) e você pode se opor.

Não usamos cookies de publicidade, pixels de rede social nem qualquer rastreador que siga você por outros sites.

Para recusar só a medição de audiência, instale o complemento oficial de desativação do Google Analytics ou bloqueie o domínio googletagmanager.com no navegador — o site continua funcionando normalmente. Você também pode bloquear todos os cookies, mas nesse caso o login e as áreas logadas deixam de funcionar.

08Segurança

O acesso ao banco é protegido por Row Level Security: cada usuário só enxerga as próprias linhas, regra aplicada no banco e não apenas na aplicação.

Todo o tráfego é criptografado em trânsito (HTTPS), as senhas são guardadas com hash pelo provedor de autenticação e as chaves de integração ficam em variáveis de ambiente do servidor, fora do código enviado ao navegador.

Nenhum sistema é infalível. Se ocorrer incidente de segurança com risco relevante a você, comunicaremos você e a ANPD nos prazos da LGPD.

09Seus direitos

Você pode confirmar o tratamento, acessar, corrigir, anonimizar, portar ou eliminar seus dados, revogar consentimento e se opor a tratamentos feitos com base em legítimo interesse.

A página de LGPD explica cada direito e mostra como exercer — boa parte deles você resolve sozinho, direto na cabine de Insights.

Para pedidos, escreva para contato@caravela.info. Respondemos em até 15 dias.

10Crianças e adolescentes

A plataforma é destinada a maiores de 18 anos e não é dirigida a crianças ou adolescentes. Se identificarmos conta criada por menor sem o consentimento previsto em lei, ela será removida.

11Mudanças nesta política

Esta política pode ser atualizada. A data da última revisão fica no topo da página, e mudanças relevantes são avisadas por e-mail ou dentro da plataforma antes de passarem a valer.