Política de Privacidade

1. Controlador dos dados

O Arbitr{IA} (arbitria.online) é operado por Pant Marketing, com sede no Brasil. Na qualidade de controlador (LGPD Art. 5º, VI), determinamos as finalidades e os meios do tratamento dos seus dados pessoais.

Encarregado (DPO) de contato: privacidade@arbitria.online

2. Base legal do tratamento (LGPD Art. 7º)

• Execução de contrato (inciso V): dados de conta, workspace e integrações OAuth são necessários para prestar o serviço contratado.
• Legítimo interesse (inciso IX): logs de uso e diagnóstico, limitados ao mínimo necessário para segurança e estabilidade da plataforma.
• Cumprimento de obrigação legal (inciso II): dados de faturamento retidos conforme exigência fiscal.

Não tratamos dados com base em consentimento isolado. A base legal é sempre execução de contrato ou legítimo interesse, o que significa que você não pode revogar o tratamento sem encerrar a conta — mas pode exercer todos os demais direitos abaixo.

3. Dados que coletamos

• Dados de conta: e-mail, nome de exibição e foto de perfil fornecidos via Google Sign-In ou cadastro por e-mail/senha.
• Dados de workspace: nome do workspace, membros convidados (e-mail + papel), configurações de campanha e diretivas de IA.
• Tokens OAuth: tokens de acesso e atualização para Google Ads, Google Ad Manager e Meta Ads — armazenados criptografados, usados exclusivamente para buscar métricas das suas campanhas.
• Métricas de campanha (leitura): custo, receita, impressões, cliques e conversões dos seus grupos de anúncios. Nunca criamos, pausamos ou modificamos campanhas sem aprovação explícita.
• Logs de auditoria: ações realizadas na plataforma (ex.: pausar campanha, alteração de orçamento), com identificação do ator, para fins de rastreabilidade e segurança.
• Dados de faturamento: informações de pagamento processadas pelo Stripe (não armazenamos número do cartão).

Não coletamos dados sensíveis (LGPD Art. 5º, II) nem dados de usuários finais das plataformas de anúncios — apenas as métricas agregadas visíveis no painel do Google Ads / Meta Ads que você administra.

4. Finalidades do tratamento

• Exibir métricas e relatórios no dashboard.
• Gerar análises de IA com recomendações de otimização de campanhas.
• Enviar notificações via WhatsApp (opcional e configurável pelo usuário).
• Controlar faturamento e limites de uso do serviço.
• Garantir segurança, rastreabilidade de ações e integridade dos dados.

Jamais vendemos seus dados nem os usamos para publicidade de terceiros.

5. Integração com Meta (Facebook)

Ao conectar o Meta Ads, recebemos um token OAuth com escopo ads_read. Esse token é usado apenas para consultar métricas de desempenho das suas contas de anúncios. Não armazenamos dados pessoais de usuários finais do Facebook.

Você pode revogar o acesso a qualquer momento em Configurações do Facebook › Apps e sites ou na tela de Integrações do Arbitr{IA}. Para solicitar exclusão dos dados Meta armazenados, acesse nossa página de exclusão de dados.

6. Subprocessadores e transferência internacional

Seus dados são processados pelos fornecedores abaixo. Todos os contratos incluem cláusulas de proteção de dados compatíveis com a LGPD:

Nenhum dado é compartilhado com terceiros além dos listados acima.

7. Prazo de retenção

• Métricas de campanha e logs de auditoria: 90 dias a partir da data do registro. Registros mais antigos são automaticamente excluídos por rotina agendada.
• Dados de conta e workspace: retidos enquanto a conta estiver ativa.
• Dados de faturamento: retidos por 5 anos conforme obrigação fiscal (Lei nº 9.430/1996).
• Encerramento de conta: todos os dados pessoais são excluídos imediatamente após a solicitação confirmada (ver seção 8).

8. Seus direitos (LGPD Art. 18)

Você pode exercer os seguintes direitos a qualquer momento, sem custo:

Prazo de resposta: respondemos todas as solicitações de dados (DSAR) em até 15 dias corridos a partir do recebimento confirmado, conforme LGPD Art. 18, §3º. Em casos complexos, podemos estender por mais 15 dias com aviso prévio.

9. Segurança

• Todos os dados em trânsito são protegidos por TLS 1.2+.
• Tokens OAuth são armazenados criptografados no Firestore (AES-256-GCM via FIELD_ENCRYPTION_KEY).
• Acesso ao banco de dados restrito por regras Firestore e autenticação server-side (Firebase Admin SDK).
• Rate limiting distribuído em todas as rotas de API.
• Sessões expiram automaticamente após 8 horas de inatividade ou 3 dias desde o último login.

Em caso de incidente de segurança que afete dados pessoais, notificaremos a ANPD e os titulares afetados em até 72 horas após a ciência do incidente, conforme LGPD Art. 48.

10. Cookies e armazenamento local

Utilizamos localStorage exclusivamente para controlar o timeout de sessão por inatividade. Não utilizamos cookies de rastreamento nem pixels de terceiros para fins publicitários.

11. Alterações nesta política

Alterações materiais serão comunicadas por e-mail com antecedência mínima de 15 dias. A data de "última atualização" no topo desta página sempre reflete a versão vigente.

12. Contato e canal DSAR

Para exercer seus direitos ou tirar dúvidas sobre esta política:

• E-mail: privacidade@arbitria.online (canal oficial DSAR — prazo de resposta: 15 dias)
• Exclusão de dados Meta: arbitria.online/privacidade/exclusao-de-dados

Se você não estiver satisfeito com nossa resposta, pode registrar reclamação na Autoridade Nacional de Proteção de Dados (ANPD).