1. Quem somos e o que esta política cobre
O Borai é uma plataforma de venda de ingressos e experiência de eventos, operada por [RAZÃO SOCIAL], CNPJ [NÚMERO], com sede em [ENDEREÇO].
Esta política cobre tudo: o site borai.app.br, a aplicação web da plataforma, os aplicativos e as integrações que oferecemos a organizadores. Não é um documento sobre o formulário de contato - é sobre o serviço inteiro.
Para os fins da LGPD, o Borai atua em dois papéis diferentes, e a distinção importa para saber a quem recorrer:
- como controlador, quando decide sobre o tratamento - sua conta, sua autenticação, seu histórico de compras, a segurança da plataforma;
- como operador, quando trata dados por conta e ordem de um organizador (produtora, agência de excursão, casa de eventos) que usa a plataforma para gerir o evento dele. Nesses casos o organizador é o controlador dos dados dos participantes do evento dele, e responde pelas próprias decisões de tratamento.
Quando você compra um ingresso, os dois papéis convivem: o Borai é controlador da sua conta e da transação, e o organizador do evento é controlador da lista de participantes que recebe para fazer o evento acontecer.
2. Encarregado (DPO)
Nosso encarregado pelo tratamento de dados pessoais, nos termos do art. 41 da LGPD, é [NOME COMPLETO DO ENCARREGADO].
Canal de contato exclusivo para assuntos de privacidade e para o exercício dos seus direitos: privacidade@borai.app.br.
Este é o endereço certo para pedidos da LGPD. Ele existe separado do suporte comum justamente para que um pedido de titular não se perca numa fila de atendimento.
3. Quais dados tratamos
Nem todo mundo que usa o Borai gera todos estes dados. O que aparece aqui depende do que você faz na plataforma.
<h3 id="dados-conta">3.1. Para ter uma conta</h3>
<ul>
<li><strong>Nome completo</strong>, <strong>e-mail</strong> e <strong>nome de usuário</strong>;</li>
<li><strong>CPF ou CNPJ</strong> - exigido para emissão de ingresso nominal, conferência na portaria e obrigações fiscais;</li>
<li><strong>Data de nascimento</strong> - usada para verificar a idade mínima e, quando for o caso, direito a meia-entrada;</li>
<li><strong>Telefone</strong> (opcional);</li>
<li><strong>Senha</strong>, guardada apenas como hash criptográfico (argon2id). Não temos acesso à sua senha e não conseguimos recuperá-la - só redefini-la;</li>
<li><strong>Foto de perfil e biografia</strong>, se você optar por preenchê-las.</li>
</ul>
<h3 id="dados-acesso">3.2. Ao acessar e usar a plataforma</h3>
<ul>
<li><strong>Registros de sessão</strong>: endereço IP, identificação do navegador ou aplicativo (user agent), data e hora de acesso;</li>
<li><strong>Aparelhos registrados</strong> para receber notificações, quando você autoriza;</li>
<li><strong>Registros de erro</strong> da aplicação, que podem conter seu identificador de usuário e o IP do momento da falha;</li>
<li><strong>Autenticação em duas etapas</strong>, se você a ativar.</li>
</ul>
<h3 id="dados-compra">3.3. Ao comprar ingressos</h3>
<ul>
<li><strong>Pedidos</strong>: itens, valores, meio de pagamento, cupons aplicados, situação da compra;</li>
<li><strong>Dados do titular de cada ingresso</strong> - nome e documento. Podem ser <strong>de outra pessoa</strong>, quando você compra para alguém: ver a seção 4;</li>
<li><strong>Registros de entrada</strong> no evento (check-in), quando o ingresso é validado na portaria;</li>
<li><strong>Dados de pagamento</strong>: os dados do seu cartão são enviados <strong>diretamente ao provedor de pagamento</strong> e <strong>não trafegam nem são armazenados pelo Borai</strong>. Guardamos apenas o identificador da cobrança, o valor, o meio e a situação.</li>
</ul>
<h3 id="dados-eventos">3.4. Conforme o tipo de evento</h3>
<ul>
<li><strong>Excursões</strong>: dados dos passageiros - nome, documento (quando houver) e data de nascimento -, ponto de embarque e alocação em veículo;</li>
<li><strong>Certificados</strong>: nome e e-mail do destinatário, para emissão do documento;</li>
<li><strong>Networking</strong>: perfil profissional e dados de contato que você escolher publicar. É <strong>opcional e desligado por padrão</strong> - só existe se você ativar, evento a evento;</li>
<li><strong>Programas de conquistas e recompensas</strong>: quando o resgate exige presença física, registramos a <strong>localização aproximada</strong> do resgate. O IP correspondente é guardado apenas como <strong>impressão criptográfica (hash)</strong>, que permite detectar fraude sem manter o endereço em si;</li>
<li><strong>Galeria de fotos</strong>: imagens produzidas no evento, que podem conter sua imagem. Não usamos reconhecimento facial nem qualquer identificação biométrica.</li>
</ul>
<h3 id="dados-site">3.5. No site institucional</h3>
<ul>
<li><strong>Formulário de contato e lista de espera</strong>: o e-mail e as informações que você digitar;</li>
<li><strong>Estatísticas de navegação</strong>, apenas se você aceitar - ver a seção 8.</li>
</ul>
<h3 id="dados-sensiveis">3.6. O que NÃO tratamos</h3>
<p>
O Borai <strong>não trata dados pessoais sensíveis</strong> (art. 5º,
II da LGPD): não coletamos dados de saúde, biometria, religião,
opinião política, filiação sindical, origem racial ou étnica, nem
dados sobre vida sexual. Também <strong>não fazemos reconhecimento
facial</strong> nem geramos assinaturas biométricas a partir das
fotos dos eventos.
</p>
<p>
Se um organizador precisar tratar dado sensível para um evento
específico - uma condição de acessibilidade, por exemplo -, isso é
decisão e responsabilidade dele, sob a política de privacidade
dele, não desta.
</p>4. Quando você informa dados de outra pessoa
A plataforma permite comprar ingresso para outra pessoa e cadastrar passageiros de excursão. Ao informar o nome, o documento ou a data de nascimento de terceiro, você declara que tem autorização dessa pessoa para isso e assume a responsabilidade de informá-la sobre este tratamento e sobre esta política.
Usamos esses dados apenas para emitir o ingresso, validar a entrada, organizar o embarque e cumprir obrigações legais. A pessoa cujos dados foram informados tem todos os direitos da seção 9 e pode exercê-los diretamente conosco pelo privacidade@borai.app.br, sem precisar passar por quem fez a compra.
5. Crianças e adolescentes
A criação de conta no Borai exige idade mínima de 16 anos. O sistema recusa cadastros abaixo disso.
Adolescentes de 16 e 17 anos podem ter conta própria. O tratamento dos dados deles é feito no melhor interesse do adolescente, nos termos do art. 14 da LGPD, e limitado ao necessário para usar a plataforma. Atos que dependam de capacidade civil plena - como certas contratações - podem exigir assistência dos responsáveis, conforme a lei civil.
Crianças e adolescentes com menos de 16 anos não criam conta. Elas podem, ainda assim, aparecer na plataforma como titulares de ingresso ou passageiras de excursão, quando um adulto responsável informa seus dados - situação em que valem as regras da seção 4, e o adulto responde pelo consentimento e pela veracidade do que informou.
Se você é responsável por uma criança ou adolescente e quer saber quais dados dela tratamos, corrigi-los ou pedir sua eliminação, escreva para privacidade@borai.app.br. Atendemos esses pedidos com prioridade.
6. Por que tratamos cada dado (bases legais)
A LGPD exige uma base legal para cada finalidade. As nossas são estas:
- Execução de contrato (art. 7º, V) - criar e manter sua conta, processar pedidos, emitir e validar ingressos, emitir certificados, organizar excursões, dar suporte. Sem esses dados o serviço simplesmente não acontece;
- Cumprimento de obrigação legal (art. 7º, II) - guarda de registros de acesso pelo prazo do Marco Civil da Internet (Lei nº 12.965/2014, art. 15), retenção fiscal e contábil das transações, conferência de meia-entrada quando aplicável (Lei nº 12.933/2013);
- Legítimo interesse (art. 7º, IX) - prevenção a fraude e abuso, segurança das contas, limitação de tentativas de acesso, apuração de incidentes e melhoria do produto a partir de dados agregados. Você pode se opor a tratamentos baseados nesta hipótese (art. 18, § 2º);
- Consentimento (art. 7º, I) - comunicações de marketing, estatísticas de navegação e o perfil de networking. São opcionais, nunca condição para usar a plataforma, e você pode revogá-los a qualquer momento sem perder acesso a nada que não dependa deles;
- Proteção ao crédito e exercício de direitos (art. 7º, VI) - quando necessário para cobrança, contestação de pagamento ou defesa em processo.
Registramos seu aceite. Quando você cria a conta, gravamos qual versão dos Termos de Uso e desta Política você aceitou, com data, hora, endereço IP e identificação do navegador. Você pode consultar esse histórico a qualquer momento nas configurações da sua conta. Se publicarmos uma versão nova, pediremos um novo aceite - o anterior não é apagado.
7. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos o mínimo necessário, com estas categorias:
- Organizadores do evento (produtoras, casas de eventos, agências de excursão) - recebem os dados dos participantes do evento deles, para realizar o evento, controlar a entrada e cumprir as próprias obrigações. Eles são controladores dos dados que recebem;
- Provedores de pagamento - processam a cobrança e a antifraude. Recebem os dados necessários à transação diretamente, sem que o Borai armazene dados de cartão;
- Provedores de infraestrutura - hospedagem, armazenamento de arquivos, rede de distribuição de conteúdo, envio de e-mails transacionais e monitoramento. Atuam como operadores, sob contrato, apenas conforme nossas instruções;
- Autoridades públicas - quando houver ordem judicial, requisição legal ou dever legal de informar.
Em caso de reorganização societária (fusão, aquisição, incorporação), os dados podem ser transferidos ao sucessor, que fica vinculado a esta política até que publique uma nova e comunique você.
<h3 id="transferencia-internacional">7.1. Transferência internacional</h3>
<p>
Parte da nossa infraestrutura - armazenamento de arquivos, rede de
distribuição de conteúdo, envio de e-mails e estatísticas de
navegação - é operada por empresas com servidores <strong>fora do
Brasil</strong>. Isso significa que alguns dados podem ser tratados
no exterior.
</p>
<p>
Essas transferências são feitas nos termos do Capítulo V da LGPD,
com <strong>cláusulas contratuais</strong> que garantem grau de
proteção compatível com o da lei brasileira, conforme a Resolução
CD/ANPD nº 19/2024. Você pode pedir detalhes sobre as garantias
aplicáveis pelo
<a href="mailto:privacidade@borai.app.br">privacidade@borai.app.br</a>.
</p>8. Cookies e estatísticas de navegação
Usamos duas categorias de cookies e tecnologias equivalentes:
- Necessários - mantêm você autenticado, guardam sua preferência de cookies e protegem contra abuso. Sem eles a plataforma não funciona, e por isso não dependem de consentimento;
- Estatísticos - medem uso agregado das páginas para orientar melhorias. Só são ativados se você aceitar. Enquanto você não aceita, o script de estatísticas nem chega a ser carregado - não é um cookie que fica inativo, é um recurso que não é sequer requisitado. Quando ativado, o endereço IP é anonimizado.
Você pode mudar sua escolha a qualquer momento pelo aviso de cookies, e o navegador permite bloquear ou apagar cookies pelas próprias configurações.
Não fazemos publicidade comportamental nem rastreamento entre sites de terceiros.
9. Seus direitos
O art. 18 da LGPD garante a você, gratuitamente, o direito de:
- Confirmar que tratamos seus dados e acessá-los;
- Corrigir dados incompletos, inexatos ou desatualizados;
- Solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- Pedir a portabilidade dos seus dados a outro fornecedor;
- Eliminar os dados tratados com base no seu consentimento;
- Saber com quem compartilhamos seus dados;
- Ser informado sobre a possibilidade de não consentir e as consequências disso;
- Revogar o consentimento a qualquer momento;
- Opor-se a tratamento feito com base em legítimo interesse.
Na prática, você faz o seguinte sem precisar falar com ninguém:
- Ver e corrigir seus dados nas configurações da conta;
- Baixar uma cópia dos seus dados em formato legível por máquina, pela opção de exportação de dados. O arquivo é gerado em segundo plano e fica disponível por prazo limitado, num link privado;
- Excluir sua conta. A exclusão anonimiza seus dados de identificação em vez de apenas marcá-los como removidos: nome, e-mail, documento, telefone e data de nascimento são sobrescritos e não podem ser recuperados;
- Revisar seu histórico de consentimentos e ligar ou desligar as finalidades opcionais.
Para qualquer outro pedido, escreva para privacidade@borai.app.br. Respondemos em até 15 dias. Podemos pedir informações adicionais para confirmar que você é mesmo o titular - é uma proteção contra alguém pedir seus dados se passando por você.
Você também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD), nos termos do art. 18, § 1º.
O que a exclusão não apaga: registros que a lei nos obriga a manter - transações financeiras, notas fiscais e registros de acesso - permanecem pelos prazos legais, desvinculados do seu perfil sempre que possível. Isso é exceção prevista no art. 16 da LGPD, não uma escolha comercial nossa.
10. Por quanto tempo guardamos
Guardamos cada dado apenas enquanto ele serve à finalidade que o justificou, e depois pelo prazo em que a lei exige:
- Dados da conta - enquanto a conta existir. Excluída a conta, são anonimizados;
- Pedidos, pagamentos e ingressos - 5 anos após a transação, para fins fiscais, contábeis e de defesa em eventual disputa;
- Registros de acesso e de sessão - 6 meses, conforme o art. 15 do Marco Civil da Internet, ou mais quando houver requisição judicial;
- Registros de entrada em eventos (check-in) - 12 meses;
- Registros de erro da aplicação - 30 dias;
- Arquivos de exportação de dados - prazo curto, definido no momento da geração, após o qual o arquivo é apagado;
- Registros de consentimento - enquanto a conta existir e pelo prazo em que possam ser necessários como prova;
- Cópias de segurança - por período limitado e rotativo. Um dado excluído pode permanecer em backup até o ciclo de rotação alcançá-lo, e nesse intervalo não é usado para nenhuma outra finalidade.
11. Segurança
Adotamos medidas técnicas e administrativas para proteger seus dados (art. 46 da LGPD). Entre elas:
- tráfego cifrado ponta a ponta (HTTPS) em toda a plataforma;
- senhas guardadas apenas como hash com algoritmo moderno (argon2id) - nunca em texto legível;
- credenciais e segredos de integração cifrados em repouso, com rotação de chaves;
- autenticação em duas etapas disponível a todos e obrigatória para quem tem acesso administrativo;
- controle de acesso por permissões granulares, com registro de auditoria das ações administrativas;
- limitação de tentativas de acesso e de cadastro, contra ataques automatizados;
- arquivos privados (documentos, exportações) em armazenamento segregado, acessível apenas por links assinados e temporários;
- cópias de segurança periódicas e monitoramento de falhas.
Nenhum sistema é infalível. Se ocorrer um incidente de segurança com risco relevante aos seus direitos, comunicaremos você e a ANPD nos prazos e na forma da Resolução CD/ANPD nº 15/2024.
12. Decisões automatizadas
Usamos processos automatizados para detectar fraude, abuso e uso irregular de ingressos - por exemplo, tentativas repetidas de validação de um mesmo código, ou resgates de recompensa em padrão suspeito. Essas verificações podem bloquear uma operação preventivamente.
Não fazemos perfilamento para publicidade nem decisões automatizadas que afetem seu crédito. Se uma decisão automatizada afetar seus interesses, você pode pedir revisão pelo privacidade@borai.app.br, nos termos do art. 20 da LGPD.
13. Alterações desta política
Esta política pode mudar conforme a plataforma evolui ou a regulamentação muda. Toda versão traz a data e o número de versão no topo.
Quando a mudança for relevante, avisaremos com destaque e pediremos um novo aceite antes de continuar. O aceite anterior não é apagado: fica no seu histórico de consentimentos, junto com a versão a que se referia.
14. Contato
Assuntos de privacidade e exercício de direitos: privacidade@borai.app.br
Demais assuntos: contato@borai.app.br
Encarregado: [NOME COMPLETO DO ENCARREGADO]