Política de privacidade

Esta política explica quais dados pessoais o TopLuxo ([razão social], CNPJ [00.000.000/0001-00]) trata, para quê, por quanto tempo e como você exerce seus direitos, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018).

1. Quem é o controlador

[razão social]. Encarregado(a) pelo tratamento de dados (DPO): [nome], [e-mail do encarregado].

2. Quais dados tratamos e por quê

Visitante (sem conta)

• Cookie de confirmação de idade (age_verified), por 1 ano — base legal: cumprimento de obrigação legal (conteúdo adulto).
• Endereço IP, de forma transitória, para limitar abuso em rotas públicas (contato e denúncia) — base legal: legítimo interesse. Guardamos um hash do IP na denúncia, nunca o IP.
• Contagem de visualizações e cliques por anúncio, sem identificar quem visitou.

Cliente

• E-mail, senha (armazenada com hash), nome e WhatsApp — base legal: execução de contrato.
• Favoritos — base legal: execução de contrato.

Anunciante

• Dados da conta (e-mail, senha com hash, nome, WhatsApp) — execução de contrato.
• Conteúdo do anúncio (nome artístico, idade, medidas, descrição, fotos, vídeos, stories, valores, contato) — publicado por decisão da própria anunciante, que é responsável por ele.
• Documento de identidade para verificação — base legal: obrigação legal (maioridade). Fica em área privada, acessível apenas à própria titular e à equipe de moderação.
• Dados de cobrança (CPF, endereço, cartão) são coletados e guardados pelo processador de pagamento Pagar.me; o TopLuxo recebe apenas identificadores e o resultado da cobrança. O número do cartão nunca chega aos nossos servidores.

3. Com quem compartilhamos

• Pagar.me — processamento de pagamentos de planos.
• Provedor de hospedagem e armazenamento — [nome do provedor].
• Autoridades, quando houver ordem legal ou denúncia envolvendo menores.
• Não vendemos dados. Não há publicidade de terceiros com base nos seus dados.

4. Por quanto tempo guardamos

• Conta e anúncio: enquanto a conta existir.
• Imagens do documento de identidade: 30 dias após a decisão da verificação, depois apagadas do armazenamento. No mesmo prazo, o número do CPF é substituído por um código irreversível (serve só para reconhecer documento repetido). Permanecem a data da decisão, quem decidiu e a data de nascimento — é a prova de maioridade.
• Registros de pagamento: 5 anos (obrigação fiscal), desvinculados de dados pessoais após a exclusão da conta.
• Denúncias: [prazo]. Guardamos um código derivado do IP, nunca o IP.
• Registros de acesso (Marco Civil da Internet, art. 15): 6 meses. Registramos entrada na conta e cadastro — data, hora, IP e navegador. Não registramos a navegação de quem não entrou na conta.
• Tentativas de login: 30 dias (proteção contra ataque de senha).
• Registro de ações da equipe no painel: 24 meses (prova de quem moderou o quê, incluindo a exclusão de contas).

5. Seus direitos

Você pode, a qualquer momento: confirmar se tratamos seus dados, acessá-los, corrigi-los, pedir anonimização ou exclusão, e revogar consentimento. A exclusão da conta é feita por você mesma, na área logada, sem pedir a ninguém; para os demais pedidos, escreva ao encarregado. Respondemos em até 15 dias.

6. Segurança

• Senhas guardadas com hash (bcrypt). Sessões com cookie httpOnly.
• Mídia e documentos servidos apenas pela aplicação, com verificação de acesso — nunca por link público.
• O contato de WhatsApp de uma anunciante não aparece em listagens; só é resolvido no clique, com limite por endereço.
• Painel administrativo com segundo fator (TOTP) obrigatório e registro de auditoria de cada ação da equipe.

7. Cookies

Ver a Política de cookies.

8. Alterações

A versão vigente é a publicada nesta página, com a data no topo.