Política de Privacidade

1. Controlador dos dados

Larconex — operada por Bruno Freiberger e equipe. Sede em Curitiba/PR, Brasil. CNPJ em processo de emissão; será publicado nesta política após a conclusão da verificação empresarial.

2. Encarregado pelo Tratamento (DPO)

Contato direto do DPO: dpo@larconex.com. Use este endereço para solicitações de exercício de direitos LGPD, dúvidas sobre tratamento de dados, ou para reportar incidentes envolvendo dados pessoais.

3. Dados pessoais que coletamos

Coletamos quatro categorias: (1) Identidade e contato — nome, e-mail, telefone, CPF (somente quando obrigatório por lei ou requerido por compliance fiscal), CRECI para corretores. (2) Conta e autenticação — credenciais de acesso (senhas armazenadas como hash), tokens de sessão, dados do provedor OAuth (Google). (3) Conteúdo da plataforma — solicitações de imóvel, propostas, mensagens em chat, imagens enviadas. (4) Telemetria e cookies — logs de acesso, métricas de uso, identificadores de dispositivo para notificações push (somente com consentimento explícito).

4. Base legal para o tratamento

Identidade e conta: execução de contrato (Art. 7, V LGPD) — você precisa ter conta para usar a plataforma. Conteúdo da plataforma: execução de contrato e legítimo interesse (Art. 7, IX LGPD) para conectar clientes a corretores. Telemetria de análise: consentimento (Art. 7, I LGPD) — pode ser revogado a qualquer momento via banner de cookies. Notificações push: consentimento (Art. 7, I LGPD). Comunicações transacionais (recibos, confirmações): obrigação legal e execução de contrato (Art. 7, II e V LGPD).

5. Operadores e sub-operadores

Compartilhamos dados estritamente o necessário com os seguintes operadores. Cada um opera sob contrato e está sujeito a obrigações de confidencialidade compatíveis com a LGPD:

• Supabase (banco de dados) — região sa-east-1 (São Paulo). Dados armazenados: todos os dados estruturados da conta.
• Vercel (hospedagem do site) — região global, com edge em São Paulo. Dados em trânsito; metadados de requisição.
• Fly.io (hospedagem da API) — região gru (São Paulo). Dados em trânsito durante chamadas de API.
• Upstash (Redis) — região sa-east-1. Sessões em cache, filas de jobs.
• AWS S3 (armazenamento de arquivos) — região sa-east-1. Imagens de perfil, fotos de imóveis, anexos.
• Stripe (cobrança) — global (EUA). Dados de pagamento processados pelo Stripe sob seus próprios termos; não armazenamos números de cartão.
• Resend (e-mail transacional) — global (EUA). E-mails de verificação, recuperação de senha, notificações.
• Firebase / FCM (notificações push) — global (EUA). Identificador de dispositivo (token FCM) e payload da notificação.
• Sentry (monitoramento de erros) — global. Stack traces, IDs de usuário e tenant para diagnóstico.
• Cloudflare (DNS + CAPTCHA Turnstile) — global. Dados em trânsito e prova de não-automação no cadastro.

6. Transferências internacionais (LGPD Art. 33)

Stripe, Resend, Firebase, Sentry e Cloudflare operam fora do Brasil. As transferências ocorrem com base em (i) execução do contrato com você, (ii) compromissos contratuais firmados com cada operador e (iii) padrões internacionais aceitos para proteção de dados. Mantemos um inventário interno de tratamentos para fins de prestação de contas.

7. Retenção de dados

Dados de conta: enquanto a conta existir. Cadastro fiscal (CPF, dados de imóveis transacionados): pelo prazo legal de obrigações tributárias (5 anos). Mensagens de chat: enquanto a conversa estiver associada a uma negociação ativa ou pelo prazo de prescrição contratual. Logs de acesso: 90 dias para fins de segurança. Após exclusão da conta (LGPD Art. 18, VI), dados pessoais são purgados em até 30 dias; alguns metadados podem ser mantidos em forma anonimizada para auditoria.

8. Seus direitos LGPD (Art. 18)

Você tem direito a: (I) confirmação de tratamento; (II) acesso aos dados — baixe um arquivo JSON com tudo que mantemos em Configurações → Privacidade → Baixar meus dados; (III) correção de dados incompletos ou desatualizados — via Configurações → Cadastro; (IV) anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; (V) portabilidade — o JSON exportado é portável; (VI) eliminação — solicitada em Configurações → Privacidade → Excluir minha conta (executada após 30 dias de carência); (VII) informações sobre compartilhamento; (VIII) informação sobre a possibilidade de não fornecer consentimento; (IX) revogação do consentimento.

9. Cookies e armazenamento local

Usamos um número mínimo de cookies essenciais (autenticação Better Auth, idioma, preferências da unidade ativa) e armazenamento local (Zustand para estado da UI, consentimento de cookies). Cookies de análise e identificadores de notificação push só são ativados após consentimento explícito via banner de cookies. Você pode revisar ou alterar seu consentimento a qualquer momento limpando o item localStorage `larconex_cookie_consent` (Configurações → Privacidade no futuro próximo).

10. Incidentes de segurança

Caso ocorra um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados no prazo razoável previsto pela legislação. Contato direto para reporte: dpo@larconex.com.

11. Atualizações desta política

Esta política pode ser atualizada. Mudanças materiais serão comunicadas por e-mail e/ou por aviso destacado na plataforma com antecedência razoável. A data da última atualização aparece no topo desta página.

12. Contato

Para qualquer assunto envolvendo seus dados pessoais, escreva para dpo@larconex.com. Para outras dúvidas operacionais, use os canais de suporte.