Política de Privacidade

1. Quem somos e o que esta política cobre

O Borai é uma plataforma de venda de ingressos e experiência de eventos, operada por [RAZÃO SOCIAL], CNPJ [NÚMERO], com sede em [ENDEREÇO].

Esta política cobre tudo: o site borai.app.br, a aplicação web da plataforma, os aplicativos e as integrações que oferecemos a organizadores. Não é um documento sobre o formulário de contato - é sobre o serviço inteiro.

Para os fins da LGPD, o Borai atua em dois papéis diferentes, e a distinção importa para saber a quem recorrer:

• como controlador, quando decide sobre o tratamento - sua conta, sua autenticação, seu histórico de compras, a segurança da plataforma;
• como operador, quando trata dados por conta e ordem de um organizador (produtora, agência de excursão, casa de eventos) que usa a plataforma para gerir o evento dele. Nesses casos o organizador é o controlador dos dados dos participantes do evento dele, e responde pelas próprias decisões de tratamento.

Quando você compra um ingresso, os dois papéis convivem: o Borai é controlador da sua conta e da transação, e o organizador do evento é controlador da lista de participantes que recebe para fazer o evento acontecer.

2. Encarregado (DPO)

Nosso encarregado pelo tratamento de dados pessoais, nos termos do art. 41 da LGPD, é [NOME COMPLETO DO ENCARREGADO].

Canal de contato exclusivo para assuntos de privacidade e para o exercício dos seus direitos: privacidade@borai.app.br.

Este é o endereço certo para pedidos da LGPD. Ele existe separado do suporte comum justamente para que um pedido de titular não se perca numa fila de atendimento.

3. Quais dados tratamos

Nem todo mundo que usa o Borai gera todos estes dados. O que aparece aqui depende do que você faz na plataforma.

3.1. Para ter uma conta

• Nome completo, e-mail e nome de usuário;
• CPF ou CNPJ - exigido para emissão de ingresso nominal, conferência na portaria e obrigações fiscais;
• Data de nascimento - usada para verificar a idade mínima e, quando for o caso, direito a meia-entrada;
• Telefone (opcional);
• Senha, guardada apenas como hash criptográfico (argon2id). Não temos acesso à sua senha e não conseguimos recuperá-la - só redefini-la;
• Foto de perfil e biografia, se você optar por preenchê-las.

3.2. Ao acessar e usar a plataforma

• Registros de sessão: endereço IP, identificação do navegador ou aplicativo (user agent), data e hora de acesso;
• Aparelhos registrados para receber notificações, quando você autoriza;
• Registros de erro da aplicação, que podem conter seu identificador de usuário e o IP do momento da falha;
• Autenticação em duas etapas, se você a ativar.

3.3. Ao comprar ingressos

• Pedidos: itens, valores, meio de pagamento, cupons aplicados, situação da compra;
• Dados do titular de cada ingresso - nome e documento. Podem ser de outra pessoa, quando você compra para alguém: ver a seção 4;
• Registros de entrada no evento (check-in), quando o ingresso é validado na portaria;
• Dados de pagamento: os dados do seu cartão são enviados diretamente ao provedor de pagamento e não trafegam nem são armazenados pelo Borai. Guardamos apenas o identificador da cobrança, o valor, o meio e a situação.

3.4. Conforme o tipo de evento

• Excursões: dados dos passageiros - nome, documento (quando houver) e data de nascimento -, ponto de embarque e alocação em veículo;
• Certificados: nome e e-mail do destinatário, para emissão do documento;
• Networking: perfil profissional e dados de contato que você escolher publicar. É opcional e desligado por padrão - só existe se você ativar, evento a evento;
• Programas de conquistas e recompensas: quando o resgate exige presença física, registramos a localização que seu aparelho informa no momento do resgate. O IP correspondente é guardado apenas como impressão criptográfica (hash), que permite detectar fraude sem manter o endereço em si;
• Galeria de fotos: imagens produzidas no evento, que podem conter sua imagem. Não usamos reconhecimento facial nem qualquer identificação biométrica.

3.5. No site institucional

• Formulário de contato e lista de espera: o e-mail e as informações que você digitar;
• Estatísticas de navegação, apenas se você aceitar - ver a seção 8.

3.6. Ao demonstrar interesse em um evento ou seguir um organizador

Um evento pode aparecer como "Em breve" antes de as vendas abrirem. Se você entrar na lista de interesse dele, ou seguir um organizador, tratamos:

• seu nome, e-mail e - se você informar - telefone, que já estão na sua conta;
• a cidade de onde você pretende ir, quantos ingressos pretende comprar e o setor de interesse, quando o organizador perguntar;
• as respostas às perguntas que o organizador incluir no formulário (ele nunca pode pedir dado sensível ou documento);
• de onde você chegou à lista (um link de divulgação, de um promotor ou de um amigo que indicou) e se você usou o link do grupo do evento.

O compartilhamento desses dados com o organizador depende de um consentimento específico, pedido no momento em que você entra na lista ou segue - veja as seções 6 e 7.

3.7. O que NÃO tratamos

O Borai não trata dados pessoais sensíveis (art. 5º, II da LGPD): não coletamos dados de saúde, biometria, religião, opinião política, filiação sindical, origem racial ou étnica, nem dados sobre vida sexual. Também não fazemos reconhecimento facial nem geramos assinaturas biométricas a partir das fotos dos eventos.

Se um organizador precisar tratar dado sensível para um evento específico - uma condição de acessibilidade, por exemplo -, isso é decisão e responsabilidade dele, sob a política de privacidade dele, não desta.

4. Quando você informa dados de outra pessoa

A plataforma permite comprar ingresso para outra pessoa e cadastrar passageiros de excursão. Ao informar o nome, o documento ou a data de nascimento de terceiro, você declara que tem autorização dessa pessoa para isso e assume a responsabilidade de informá-la sobre este tratamento e sobre esta política.

Usamos esses dados apenas para emitir o ingresso, validar a entrada, organizar o embarque e cumprir obrigações legais. A pessoa cujos dados foram informados tem todos os direitos da seção 9 e pode exercê-los diretamente conosco pelo privacidade@borai.app.br, sem precisar passar por quem fez a compra.

5. Crianças e adolescentes

A criação de conta no Borai exige idade mínima de 16 anos. O sistema recusa cadastros abaixo disso.

Adolescentes de 16 e 17 anos podem ter conta própria. O tratamento dos dados deles é feito no melhor interesse do adolescente, nos termos do art. 14 da LGPD, e limitado ao necessário para usar a plataforma. Atos que dependam de capacidade civil plena - como certas contratações - podem exigir assistência dos responsáveis, conforme a lei civil.

Crianças e adolescentes com menos de 16 anos não criam conta. Elas podem, ainda assim, aparecer na plataforma como titulares de ingresso ou passageiras de excursão, quando um adulto responsável informa seus dados - situação em que valem as regras da seção 4, e o adulto responde pelo consentimento e pela veracidade do que informou.

Se você é responsável por uma criança ou adolescente e quer saber quais dados dela tratamos, corrigi-los ou pedir sua eliminação, escreva para privacidade@borai.app.br. Atendemos esses pedidos com prioridade.

6. Por que tratamos cada dado (bases legais)

A LGPD exige uma base legal para cada finalidade. As nossas são estas:

• Execução de contrato (art. 7º, V) - criar e manter sua conta, processar pedidos, emitir e validar ingressos, emitir certificados, organizar excursões, dar suporte. Sem esses dados o serviço simplesmente não acontece;
• Cumprimento de obrigação legal (art. 7º, II) - guarda de registros de acesso pelo prazo do Marco Civil da Internet (Lei nº 12.965/2014, art. 15), retenção fiscal e contábil das transações, conferência de meia-entrada quando aplicável (Lei nº 12.933/2013);
• Legítimo interesse (art. 7º, IX) - prevenção a fraude e abuso, segurança das contas, limitação de tentativas de acesso, apuração de incidentes e melhoria do produto a partir de dados agregados. Você pode se opor a tratamentos baseados nesta hipótese (art. 18, § 2º);
• Consentimento (art. 7º, I) - comunicações de marketing, estatísticas de navegação, o perfil de networking e o compartilhamento dos seus dados de contato com um organizador quando você entra na lista de interesse de um evento ou segue esse organizador. Esse consentimento é dado evento a evento (ou organizador a organizador), com o texto exibido ao lado da opção, e vale só para aquilo que ele descreve. São opcionais, nunca condição para usar a plataforma, e você pode revogá-los a qualquer momento sem perder acesso a nada que não dependa deles;
• Proteção ao crédito e exercício de direitos (art. 7º, VI) - quando necessário para cobrança, contestação de pagamento ou defesa em processo.

Registramos seu aceite. Quando você cria a conta, gravamos qual versão dos Termos de Uso e desta Política você aceitou, com data, hora, endereço IP e identificação do navegador. Você pode consultar esse histórico a qualquer momento nas configurações da sua conta. Se publicarmos uma versão nova, pediremos um novo aceite - o anterior não é apagado.

7. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos o mínimo necessário, com estas categorias:

• Organizadores do evento (produtoras, casas de eventos, agências de excursão) - recebem os dados dos participantes do evento deles, para realizar o evento, controlar a entrada e cumprir as próprias obrigações. Eles são controladores dos dados que recebem;
• Organizadores de eventos "Em breve" e organizadores que você segue - recebem seu nome, e-mail, telefone (se informado) e as respostas que você deu, somente se você consentir, no momento de entrar na lista de interesse ou de seguir. A partir daí o organizador é controlador desses dados e está obrigado, pelos Termos do Organizador que aceitou, a usá-los apenas para a finalidade que você autorizou (avisos e convite daquele evento, ou avisos de novos eventos dele), a não vendê-los nem repassá-los, e a deixar de usá-los e excluí-los quando você revogar.
  Para revogar, basta sair da lista ou deixar de seguir: o Borai para de compartilhar na hora e avisa o organizador. Cópias que ele já tenha feito são responsabilidade dele - você pode exercer seus direitos diretamente com ele, e nós ajudamos a encaminhar o pedido;
• Grupos de mensagem do organizador - o link de grupo (WhatsApp, Telegram e semelhantes) leva para um serviço de terceiro que o Borai não opera. Ao entrar num grupo, seu número e seu perfil ficam visíveis aos demais participantes, e vale a política de privacidade daquele serviço;
• Provedores de pagamento - processam a cobrança e a antifraude. Recebem os dados necessários à transação diretamente, sem que o Borai armazene dados de cartão;
• Provedores de infraestrutura - hospedagem, armazenamento de arquivos, rede de distribuição de conteúdo, envio de e-mails transacionais e monitoramento. Atuam como operadores, sob contrato, apenas conforme nossas instruções;
• Autoridades públicas - quando houver ordem judicial, requisição legal ou dever legal de informar.

Em caso de reorganização societária (fusão, aquisição, incorporação), os dados podem ser transferidos ao sucessor, que fica vinculado a esta política até que publique uma nova e comunique você.

7.1. Transferência internacional

Parte da nossa infraestrutura - armazenamento de arquivos, rede de distribuição de conteúdo, envio de e-mails e estatísticas de navegação - é operada por empresas com servidores fora do Brasil. Isso significa que alguns dados podem ser tratados no exterior.

Essas transferências são feitas nos termos do Capítulo V da LGPD, com cláusulas contratuais que garantem grau de proteção compatível com o da lei brasileira, conforme a Resolução CD/ANPD nº 19/2024. Você pode pedir detalhes sobre as garantias aplicáveis pelo privacidade@borai.app.br.

8. Cookies e estatísticas de navegação

Usamos duas categorias de cookies e tecnologias equivalentes:

• Necessários - mantêm você autenticado, guardam sua preferência de cookies e protegem contra abuso. Sem eles a plataforma não funciona, e por isso não dependem de consentimento;
• Estatísticos - medem uso agregado das páginas para orientar melhorias. Só são ativados se você aceitar. Enquanto você não aceita, o script de estatísticas nem chega a ser carregado - não é um cookie que fica inativo, é um recurso que não é sequer requisitado. Quando ativado, o endereço IP é anonimizado.

Você pode mudar sua escolha a qualquer momento pelo aviso de cookies, e o navegador permite bloquear ou apagar cookies pelas próprias configurações.

Não fazemos publicidade comportamental nem rastreamento entre sites de terceiros.

9. Seus direitos

O art. 18 da LGPD garante a você, gratuitamente, o direito de:

• Confirmar que tratamos seus dados e acessá-los;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• Pedir a portabilidade dos seus dados a outro fornecedor;
• Eliminar os dados tratados com base no seu consentimento;
• Saber com quem compartilhamos seus dados;
• Ser informado sobre a possibilidade de não consentir e as consequências disso;
• Revogar o consentimento a qualquer momento;
• Opor-se a tratamento feito com base em legítimo interesse.

Na prática, você faz o seguinte sem precisar falar com ninguém:

• Ver e corrigir seus dados nas configurações da conta;
• Baixar uma cópia dos seus dados em formato legível por máquina, pela opção de exportação de dados. O arquivo é gerado em segundo plano e fica disponível por prazo limitado, num link privado;
• Excluir sua conta. A exclusão anonimiza seus dados de identificação em vez de apenas marcá-los como removidos: nome, e-mail, documento, telefone, data de nascimento, foto de perfil e biografia são sobrescritos e não podem ser recuperados. Seu nome de usuário antigo continua reservado, e por isso não volta a circular: reciclá-lo permitiria a outra pessoa herdar a identidade pública que foi sua. Ele deixa de abrir qualquer perfil e não é exibido em lugar nenhum, mas também não é apagado;
• Revisar seu histórico de consentimentos e ligar ou desligar as finalidades opcionais.

Para qualquer outro pedido, escreva para privacidade@borai.app.br. Respondemos em até 15 dias. Podemos pedir informações adicionais para confirmar que você é mesmo o titular - é uma proteção contra alguém pedir seus dados se passando por você.

Você também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD), nos termos do art. 18, § 1º.

O que a exclusão não apaga: registros que a lei nos obriga a manter - transações financeiras, notas fiscais e registros de acesso - permanecem pelos prazos legais, desvinculados do seu perfil sempre que possível. Isso é exceção prevista no art. 16 da LGPD, não uma escolha comercial nossa.

10. Por quanto tempo guardamos

Guardamos cada dado apenas enquanto ele serve à finalidade que o justificou, e depois pelo prazo em que a lei exige:

• Dados da conta - enquanto a conta existir. Excluída a conta, são anonimizados;
• Pedidos, pagamentos e ingressos - 5 anos após a transação, para fins fiscais, contábeis e de defesa em eventual disputa;
• Registros de acesso e de sessão - 6 meses, conforme o art. 15 do Marco Civil da Internet, ou mais quando houver requisição judicial. Na prática: o endereço IP é apagado de qualquer sessão passados 6 meses do login, e a sessão já encerrada tem o registro apagado por inteiro no mesmo prazo. A identificação do navegador (user agent) permanece enquanto a sessão estiver ativa - é o que faz a lista de aparelhos conectados ser legível para você ("Chrome no Windows") - e vai embora com ela;
• Registros de entrada em eventos (check-in) - 12 meses;
• Registros de erro da aplicação - 30 dias;
• Avisos recebidos do provedor de pagamento (as notificações que ele nos envia sobre o andamento de uma cobrança) - 90 dias;
• Arquivos de exportação de dados - prazo curto, definido no momento da geração, após o qual o arquivo é apagado;
• Lista de interesse de um evento - enquanto o evento estiver em breve ou à venda e por até 30 dias após a data dele, ou até você sair da lista. Depois disso, os dados que identificam você são excluídos e só ficam números agregados;
• Organizadores que você segue - enquanto você seguir;
• Registros de consentimento - enquanto a conta existir e pelo prazo em que possam ser necessários como prova;
• Cópias de segurança - por período limitado e rotativo. Um dado excluído pode permanecer em backup até o ciclo de rotação alcançá-lo, e nesse intervalo não é usado para nenhuma outra finalidade.

11. Segurança

Adotamos medidas técnicas e administrativas para proteger seus dados (art. 46 da LGPD). Entre elas:

• tráfego cifrado ponta a ponta (HTTPS) em toda a plataforma;
• senhas guardadas apenas como hash com algoritmo moderno (argon2id) - nunca em texto legível;
• credenciais e segredos de integração cifrados em repouso, com rotação de chaves;
• autenticação em duas etapas disponível a todos e obrigatória para quem tem acesso administrativo;
• controle de acesso por permissões granulares, com registro de auditoria das ações administrativas;
• limitação de tentativas de acesso e de cadastro, contra ataques automatizados;
• arquivos privados (documentos, exportações) em armazenamento segregado, acessível apenas por links assinados e temporários;
• cópias de segurança periódicas e monitoramento de falhas.

Nenhum sistema é infalível. Se ocorrer um incidente de segurança com risco relevante aos seus direitos, comunicaremos você e a ANPD nos prazos e na forma da Resolução CD/ANPD nº 15/2024.

12. Decisões automatizadas

Usamos processos automatizados para detectar fraude, abuso e uso irregular de ingressos - por exemplo, tentativas repetidas de validação de um mesmo código, ou resgates de recompensa em padrão suspeito. Essas verificações podem bloquear uma operação preventivamente.

Não fazemos perfilamento para publicidade nem decisões automatizadas que afetem seu crédito. Se uma decisão automatizada afetar seus interesses, você pode pedir revisão pelo privacidade@borai.app.br, nos termos do art. 20 da LGPD.

13. Alterações desta política

Esta política pode mudar conforme a plataforma evolui ou a regulamentação muda. Toda versão traz a data e o número de versão no topo.

Quando a mudança for relevante, avisaremos com destaque e pediremos um novo aceite antes de continuar. O aceite anterior não é apagado: fica no seu histórico de consentimentos, junto com a versão a que se referia.

14. Contato

Assuntos de privacidade e exercício de direitos: privacidade@borai.app.br

Demais assuntos: contato@borai.app.br

Encarregado: [NOME COMPLETO DO ENCARREGADO]