Política de Privacidade

1. Quem somos

O Clube GINGA é o programa de fidelidade da GINGA Salvador, vila gastronômica realizada em Salvador/BA. Operamos este aplicativo para que você acumule pontos por consumo no evento e os troque por benefícios.

A controladora dos seus dados pessoais, responsável pelas decisões sobre o tratamento, é a Produtora responsável pela GINGA Salvador (referida nesta Política como a Produtora ou nós). Identificamo-nos como a Produtora responsável pelo evento.

O canal oficial e único para assuntos de privacidade e contato com a controladora é o WhatsApp oficial da Produtora: +55 (71) 99951-9010. Seus dados primários são armazenados em servidores localizados no Brasil (Supabase, região São Paulo — sa-east-1). Parte do processamento técnico da aplicação pode ocorrer em infraestrutura de borda fora do Brasil (Vercel), hipótese em que adotamos salvaguardas contratuais de proteção de dados compatíveis com a LGPD.

2. Idade mínima — programa para maiores de 18 anos

O Clube GINGA é destinado exclusivamente a pessoas maiores de 18 anos, pois a vila gastronômica e parte dos benefícios envolvem bebidas alcoólicas. Ao se cadastrar, você declara ter 18 anos ou mais.

O programa não é direcionado a menores de 18 anos e não solicitamos intencionalmente seus dados. A verificação de idade ocorre por declaração no momento do cadastro e pela conferência de documento de identidade no balcão para a retirada de bebidas alcoólicas. Caso identifiquemos cadastro de menor de 18 anos, a conta será encerrada e os dados pessoais serão eliminados ou anonimizados. Se você é responsável legal e identificou o cadastro de um menor, entre em contato pelo WhatsApp da Produtora para remoção imediata.

3. Quais dados coletamos

• CPF (obrigatório) — usado como identificador único e para vincular o consumo registrado pelo nosso sistema de cobrança. É o identificador que liga o consumo registrado no cartão da vila à sua conta de pontos; sem ele não conseguimos atribuir os pontos a você.
• Nome completo (obrigatório) — para identificação no ranking e no atendimento.
• Email (opcional) — para contato em caso de premiação.
• Data de nascimento (opcional) — utilizada para o bônus de aniversário.
• Senha — armazenada de forma criptografada (hash bcrypt) pela Supabase Auth.
• Histórico de consumo e resgates — registrado a cada movimentação para apurar o saldo de pontos.
• Dados técnicos e de uso (endereço IP, identificadores de dispositivo e registros de acesso) — coletados automaticamente para segurança, prevenção a fraude, rate limiting e registro de auditoria.

4. Para que usamos seus dados

• Operar o programa de fidelidade (apuração de saldo, ranking e resgates).
• Confirmar a entrega de benefícios via QR Code no balcão ou mensagem no WhatsApp da Produtora.
• Comunicar bônus, novidades do evento e status de resgates — somente mediante seu consentimento, que pode ser revogado a qualquer momento.
• Prevenir fraudes e garantir a segurança do programa.
• Cumprir obrigações fiscais, contábeis e de auditoria.

5. Base legal (LGPD)

Tratamos seus dados conforme as bases legais da LGPD, vinculadas a cada finalidade específica:

• Operar o programa, apurar pontos, processar e confirmar resgates e vincular o consumo via CPF — execução de contrato do qual você é parte (Art. 7, V).
• Comunicações de bônus, novidades e marketing — consentimento específico e revogável (Art. 7, I), que você pode retirar a qualquer momento, sem prejuízo do uso do programa.
• Auditoria interna, prevenção a fraude e segurança — legítimo interesse da Produtora (Art. 7, IX).
• Obrigações fiscais, contábeis e de auditoria (retenção de registros de consumo) — cumprimento de obrigação legal e regulatória (Art. 7, II).

Para usuários que tiveram consumo registrado pelo sistema de cobrança, mas ainda não se cadastraram no app (conta preexistente), a base legal é a execução do contrato comercial preexistente com a GINGA Salvador (Art. 7, V), somada ao legítimo interesse na correta apuração do consumo (Art. 7, IX).

Não tratamos dados pessoais sensíveis (Art. 11 da LGPD). Caso isso venha a mudar, exigiremos consentimento específico e destacado.

6. Com quem compartilhamos

Não vendemos seus dados. Compartilhamos apenas com operadores essenciais à operação do programa, que tratam dados sob nossas instruções e sob acordos de tratamento de dados (Art. 39 da LGPD):

• Supabase — banco de dados e autenticação, com armazenamento primário no Brasil (região São Paulo — sa-east-1).
• Vercel — hospedagem da aplicação, podendo haver processamento de borda fora do Brasil.
• Resend — envio de emails transacionais, quando você fornece email.

A equipe da Produtora tem acesso ao seu CPF e ao benefício resgatado apenas para confirmar a entrega. Esses operadores podem utilizar suboperadores, sempre sujeitos às mesmas obrigações de proteção de dados. Não compartilhamos seus dados com patrocinadores para fins de marketing sem o seu consentimento.

Onde armazenamos e tratamos seus dados: seus dados primários ficam armazenados no Brasil, em servidores da Supabase na região sa-east-1 (São Paulo). A aplicação é hospedada na Vercel, que pode realizar processamento em borda (edge) em servidores fora do Brasil; nesses casos ocorre transferência internacional de dados, fundamentada em garantias contratuais específicas firmadas com os operadores — incluindo cláusulas contratuais de proteção de dados que asseguram nível de proteção equivalente ao da LGPD (Art. 33, VIII e IX) —, enquanto não houver decisão de adequação aplicável da ANPD. Os emails transacionais (quando você fornece email) são enviados pelo serviço Resend, que também pode processar dados fora do Brasil, sob as mesmas salvaguardas.

7. Seus direitos (Art. 18 LGPD)

• Confirmação e acesso — confirmar se tratamos seus dados e acessá-los em minha conta.
• Correção — entre em contato com a Produtora pelo WhatsApp da Produtora para atualizar nome ou email.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei.
• Exclusão — disponível na sua conta; ao excluir, iniciamos imediatamente a anonimização do seu CPF e nome (concluída de forma irreversível em até 90 dias, inclusive em cópias de segurança), e o histórico de consumo permanece para a integridade do programa, desvinculado da sua identidade.
• Portabilidade — solicite pelo WhatsApp da Produtora; entregamos um arquivo JSON com seus dados em até 15 dias.
• Revogação de consentimento — pode revogar a qualquer momento; os dados de consumo já registrados permanecem para fins fiscais.
• Informação sobre compartilhamento — saber com quais entidades compartilhamos seus dados (consulte a seção “Com quem compartilhamos”).
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da recusa.
• Oposição a tratamento fundado em legítimo interesse, em caso de descumprimento da lei.
• Reclamação à ANPD — você pode peticionar à Autoridade Nacional de Proteção de Dados (www.gov.br/anpd) caso entenda que seus direitos não foram atendidos.

Todas as solicitações que não estiverem disponíveis diretamente na sua conta são feitas pelo WhatsApp da Produtora. Responderemos dentro dos prazos previstos na LGPD.

8. Retenção e eliminação

Mantemos seus dados pessoais enquanto sua conta estiver ativa e enquanto necessários às finalidades informadas. Ao solicitar exclusão, a anonimização do seu CPF e nome é iniciada imediatamente e concluída de forma irreversível em até 90 dias (incluindo cópias de segurança); o histórico de consumo é mantido de forma desvinculada da sua identidade, para a integridade do programa e o cumprimento de obrigações fiscais.

Registros fiscais e contábeis são conservados por 5 anos, conforme exigência legal (Art. 16, I, da LGPD). Encerrado o prazo legal e cessadas as finalidades, os dados são eliminados ou permanecem anonimizados de forma irreversível.

9. Segurança e incidentes

Adotamos medidas técnicas e administrativas de segurança: criptografia em trânsito (HTTPS/HSTS), criptografia em repouso, Content Security Policy restritiva, rate limiting em endpoints sensíveis, autenticação com senha armazenada em hash (bcrypt), Row Level Security no banco de dados, registro de auditoria (log) das operações sensíveis e anonimização de dados pessoais quando aplicável.

Apesar disso, nenhum sistema é totalmente imune. Em caso de incidente de segurança que possa acarretar risco ou dano relevante a você, comunicaremos o ocorrido e as medidas tomadas pelo WhatsApp da Produtora e/ou pelo email cadastrado, e notificaremos a ANPD em prazo razoável, conforme o Art. 48 da LGPD.

10. Contato e Encarregado (DPO)

Para questões de privacidade, exercício de seus direitos como titular ou contato com nosso Encarregado de Proteção de Dados (DPO), fale conosco exclusivamente pelo WhatsApp oficial da Produtora: +55 (71) 99951-9010. Este é o canal único e oficial de atendimento (SAC) do Clube GINGA.

O Encarregado de Proteção de Dados é a pessoa indicada pela Produtora para atuar como canal de comunicação entre você, a Produtora e a Autoridade Nacional de Proteção de Dados (ANPD). Este WhatsApp é o canal oficial e dedicado do Encarregado, por onde recebemos e processamos as solicitações de titulares e a interlocução com a ANPD.

11. Atualizações desta Política

Esta Política pode ser atualizada. Mudanças relevantes são comunicadas no app antes de entrarem em vigor. Registramos a data e a versão aceitas no seu cadastro para fins de transparência e comprovação.