Política de Privacidade

1. Quem é o responsável (controlador)

O controlador dos seus dados pessoais, nos termos do art. 5º, VI, da LGPD, é o operador do BaZi.cards:

O encarregado pelo tratamento de dados pessoais (art. 41 da LGPD) pode ser contatado pelo e-mail support@bazi.cards. Toda solicitação relativa à privacidade é analisada pessoalmente pelo operador, sem intermediários.

2. Quais dados coletamos

Coletamos apenas o que o Serviço realmente precisa.

• Dados de cadastro — o seu endereço de e-mail, a senha em forma criptografada (hash; nunca temos acesso à senha em si), o idioma da interface e a data do cadastro.
• Dados de nascimento — data, hora e local de nascimento e, opcionalmente, o sexo. Você também pode informar os dados de nascimento de outra pessoa (por exemplo, para uma leitura de compatibilidade); nesse caso, você declara que está autorizado a compartilhá-los.
• Perguntas ao Oráculo — o texto das perguntas que você digita e as respostas geradas automaticamente, armazenados na sua conta para que você possa consultá-los novamente.
• Dados de compra — quais leituras você adquiriu, o valor, a moeda, a data e o identificador do pedido. Números de cartão e demais credenciais de pagamento são tratados exclusivamente pelo provedor de pagamento e jamais chegam aos nossos servidores. No pagamento por boleto, o CPF (ou CNPJ) e o endereço exigidos para emitir o boleto também são informados diretamente ao provedor de pagamento e não ficam armazenados nos nossos servidores.
• Dados da lista de espera — se você pedir para ser avisado quando uma leitura for liberada no seu idioma, coletamos o e-mail que você informar, a versão de idioma do site e o produto e o preço exibidos a você naquele momento.
• Dados do programa de indicação — se o programa de indicação estiver disponível na sua região e você participar dele (indicando alguém ou seguindo uma indicação), mantemos hashes com chave (HMAC) do endereço IP, da sua rede e do identificador do navegador, a fim de detectar autoindicação e abusos. Um hash não pode ser revertido para o endereço original; os hashes são mantidos por cerca de seis meses após a última visita. Base legal: nosso legítimo interesse em prevenir fraudes.
• Dados técnicos — endereço IP, tipo de navegador, tipo de dispositivo, página de origem, data e hora da requisição e registros de erro. São necessários para operar o site com segurança e protegê-lo contra abusos.
• Cookies e armazenamento local — veja a seção 9 e a Política de Cookies.

3. Dados de nascimento tratados como sensíveis

Uma data, uma hora exata e um local de nascimento, combinados com as perguntas que você faz, podem revelar muito sobre uma pessoa. Embora esses dados não constem expressamente do rol de dados pessoais sensíveis do art. 5º, II, da LGPD, nós, por decisão própria, os tratamos com o nível de proteção reservado aos dados sensíveis:

• tratamos esses dados exclusivamente para calcular e interpretar o seu mapa, nunca para publicidade ou para a formação de perfis em favor de terceiros;
• solicitamos o seu consentimento específico e destacado, nos moldes do art. 11, I, da LGPD, antes do primeiro cálculo;
• você pode excluí-los da sua conta a qualquer momento, e nós os eliminaremos dos nossos sistemas conforme descrito na seção 5;
• jamais vendemos, alugamos ou compartilhamos esses dados com corretores de dados.

4. Finalidades e bases legais (arts. 7º e 11 da LGPD)

Sempre que o tratamento se basear em consentimento, você poderá revogá-lo a qualquer momento (art. 8º, § 5º, da LGPD); a revogação não afeta a licitude do tratamento realizado anteriormente.

5. Por quanto tempo conservamos os dados

• Conta, dados de nascimento, leituras e histórico do Oráculo — enquanto a sua conta existir. Se você excluir a conta, são eliminados em até 30 dias; as cópias de segurança são sobrescritas em até 90 dias adicionais.
• Registros de compra — pelo prazo exigido pela legislação tributária e contábil aplicável ao operador (em geral, de 5 a 10 anos), em formato que não contém mais dados de nascimento.
• Registros técnicos (logs) — por até 90 dias, salvo se um incidente específico exigir conservação mais longa. Caso a legislação aplicável ao operador exija prazo maior para os registros de acesso a aplicações (como os 6 meses previstos no art. 15 do Marco Civil da Internet), guardamos apenas o conjunto mínimo exigido — data, hora e endereço IP —, sob sigilo e em ambiente controlado.
• Correspondência de suporte — por até 3 anos após a última mensagem.
• Registros da lista de espera — até que você solicite a remoção do seu endereço e, em qualquer caso, por, no máximo, 24 meses a partir da data em que você entrou na lista de espera.
• Consentimento para a newsletter — até que você cancele a inscrição.

6. Quem mais tem acesso aos dados (operadores)

Não vendemos dados pessoais nem os compartilhamos com anunciantes. Para operar o Serviço, contamos com um número reduzido de operadores (art. 5º, VII, da LGPD), que atuam segundo as nossas instruções e sob contrato escrito:

• Hospedagem — servidores localizados na União Europeia (Finlândia); é lá que ficam o banco de dados, os cálculos dos mapas e o armazenamento da sua conta, das suas leituras e do histórico do Oráculo.
• Nomes de domínio e proteção de formulários — Cloudflare, Inc. (Estados Unidos). A Cloudflare opera o DNS dos nossos domínios e, nos formulários de login e de cálculo do mapa, a verificação Cloudflare Turnstile, que confere se uma pessoa real está usando o formulário; para essa verificação ela trata o seu endereço IP e dados técnicos do navegador. O site em si é servido diretamente pelos nossos servidores na Finlândia, não pela rede da Cloudflare. A Cloudflare atua sob nossas instruções, nos termos do seu aditivo de tratamento de dados.
• Geração de texto — o texto das respostas do Oráculo e das leituras pagas é produzido com o auxílio de um provedor externo de um serviço de geração de texto localizado nos Estados Unidos. A cada solicitação, esse provedor recebe apenas o texto da sua pergunta ou da seção que está sendo redigida e os dados calculados do mapa necessários para isso (os pilares, os elementos, indicadores relacionados do mapa e as regras da tradição selecionadas para ela). Ele não recebe o seu e-mail, a sua senha nem os seus dados de pagamento. O provedor atua segundo as nossas instruções, sob um contrato de tratamento de dados; conforme os seus termos comerciais, os dados não são usados para treinar os seus modelos e podem ser conservados por prazo limitado (até 30 dias) para detecção de abusos, antes de serem eliminados.
• Envio de e-mails — Brevo (Sendinblue SAS, França) envia as mensagens de confirmação, redefinição de senha e, com o seu consentimento, a newsletter. A Brevo recebe o seu endereço de e-mail e o conteúdo da mensagem.
• Processamento de pagamentos — Stripe (no Brasil, Stripe Brasil Soluções de Pagamento – Instituição de Pagamento Ltda.; para o tratamento de dados pessoais, também a Stripe, LLC, e outras empresas do grupo Stripe, nos Estados Unidos). A Stripe processa os pagamentos feitos na página de pagamento do site. No cartão, os dados do cartão são digitados diretamente no formulário seguro da Stripe e jamais chegam aos nossos servidores. No boleto, a Stripe recebe o seu nome, e-mail, CPF (ou CNPJ) e endereço, exigidos para emitir o boleto e, se houver reembolso, para devolver o valor por transferência bancária. Enviamos à Stripe o seu e-mail, o valor, a moeda e o identificador do pedido; dela recebemos apenas a situação do pagamento. A Stripe atua como operadora no processamento do pagamento e, para as suas próprias finalidades legais — como prevenção a fraudes e cumprimento de obrigações regulatórias —, como controladora independente, nos termos da sua própria política de privacidade. Ao abrir a página de pagamento, a Stripe grava seus cookies e coleta sinais técnicos do dispositivo e do navegador para prevenir fraudes no pagamento (veja a Política de Cookies).
• Telegram — se você utilizar o nosso bot @Bazinterbot, a Telegram Messenger Inc. tratará as suas mensagens conforme a sua própria política de privacidade; nós recebemos o seu identificador do Telegram e as mensagens que você envia ao bot.
• Lista de espera — os endereços informados no formulário da lista de espera ficam armazenados em nosso próprio banco de dados, nos mesmos servidores na União Europeia, e não são repassados a mais ninguém.

Também poderemos divulgar dados quando a lei o exigir — por exemplo, em resposta a ordem judicial ou a requisição legítima de autoridade competente, nos limites do Marco Civil da Internet — ou para o exercício regular de direitos em processo judicial, administrativo ou arbitral.

7. Transferência internacional de dados

Os nossos servidores ficam na União Europeia (Finlândia); é lá que ficam armazenados a sua conta, os seus dados de nascimento, as suas leituras e o histórico do Oráculo. Alguns dos operadores mencionados na seção 6 tratam dados fora do seu país, o que caracteriza transferência internacional de dados pessoais nos termos do art. 33 da LGPD:

• Estados Unidos — serviço de geração de texto. Quando você faz uma pergunta ao Oráculo (ou quando uma leitura escrita é preparada para você), o texto da pergunta e os dados calculados do mapa descritos na seção 6 são enviados por conexão criptografada ao provedor situado nos Estados Unidos, que devolve o texto da resposta. O seu e-mail, a sua senha e os seus dados de pagamento não são enviados. Essa transferência tem fundamento nas cláusulas-padrão contratuais (art. 33, II, da LGPD), que integram o contrato de tratamento de dados firmado com o provedor. A transferência é necessária para responder à sua pergunta; se você não quiser que ela ocorra, não utilize o Oráculo.
• Estados Unidos — proteção de formulários (Cloudflare Turnstile). A Cloudflare pode tratar o seu endereço IP e os dados técnicos da solicitação nos Estados Unidos e em outros países onde a sua rede opera. Essa transferência tem fundamento nas cláusulas-padrão contratuais (art. 33, II, da LGPD), que integram o aditivo de tratamento de dados da Cloudflare.
• Estados Unidos — processamento de pagamentos. A Stripe pode tratar os dados do pagamento (inclusive, no boleto, o CPF e o endereço) nos Estados Unidos e em outros países onde o grupo Stripe opera. Essa transferência é necessária para executar a compra que você solicitou (art. 33, IX, c/c art. 7º, V, da LGPD).
• Telegram e envio de e-mails. Se você utilizar o nosso bot do Telegram, a Telegram Messenger Inc. trata as suas mensagens conforme a sua própria política; a Brevo envia os nossos e-mails a partir da União Europeia.

Limitamos os dados transferidos ao que cada operador realmente precisa para prestar o seu serviço, e jamais vendemos dados pessoais.

8. Os seus direitos (art. 18 da LGPD)

Independentemente do lugar em que você mora, garantimos a todos os usuários os direitos previstos no art. 18 da LGPD:

• Confirmação e acesso — saber se tratamos dados seus e receber uma cópia deles;
• Correção — corrigir dados incompletos, inexatos ou desatualizados (os dados de nascimento podem ser editados na sua conta);
• Anonimização, bloqueio ou eliminação — de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• Eliminação — dos dados tratados com base no seu consentimento, incluindo a exclusão completa da conta;
• Portabilidade — receber os seus dados em formato estruturado e legível por máquina;
• Informação — sobre com quem compartilhamos os seus dados e sobre a possibilidade de não fornecer consentimento e as consequências da negativa;
• Revogação do consentimento — a qualquer momento, para a newsletter e o tratamento dos dados de nascimento;
• Oposição — ao tratamento fundado em legítimo interesse, quando houver descumprimento da lei;
• Petição à ANPD — você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (art. 18, § 1º) e, se preferir, aos órgãos de defesa do consumidor. Usuários da União Europeia e do Reino Unido podem recorrer à autoridade de proteção de dados do seu país de residência.

Para exercer qualquer direito, escreva para support@bazi.cards a partir do e-mail vinculado à sua conta. Respondemos às solicitações em até 15 dias, prazo do art. 19, II, da LGPD; em casos excepcionalmente complexos, em até 30 dias, e explicaremos o motivo. O exercício dos seus direitos é gratuito.

9. Cookies e análise estatística

O site utiliza um pequeno número de cookies estritamente necessários e tecnologias semelhantes: bazi_uid — identificador anônimo que mantém vinculados os seus cálculos, leituras gratuitas e compras antes de você entrar na conta (400 dias); bazi_session_… — mantém você conectado à sua conta (30 dias); bazi_lang — a sua preferência de idioma (até 1 ano); além de alguns itens no armazenamento local do seu navegador — a sua escolha sobre cookies, o último mapa calculado e os mapas que você salvou, um identificador anônimo e, se você o informou, o e-mail usado para recibos e avisos. O armazenamento local permanece no seu dispositivo até que você o apague. A lista completa está na Política de Cookies.

Para entender como o site é utilizado, usamos a nossa própria análise estatística (de origem, first-party), hospedada neste site. Ela registra dados de uso anônimos — páginas visitadas, origem de acesso, cliques, profundidade de rolagem, tempo na página, tipo de dispositivo e largura da tela — por meio de um script que nós mesmos fornecemos, sem cookies e sem armazenamento no navegador e sem identificar você pessoalmente. Não utilizamos nenhum serviço de análise estatística de terceiros (como Google Analytics ou Yandex Metrica), não instalamos cookies de análise ou de publicidade e não utilizamos pixels de redes sociais. Uma medição básica de páginas vistas é executada a cada visita; a medição mais detalhada (mapas de cliques e acompanhamento de rolagem) só é carregada depois que você clica em “Aceitar todos” no aviso de cookies. Os detalhes estão na Política de Cookies.

Gravação de sessão. Somente depois que você clica em “Aceitar todos”, a medição detalhada também registra em que ponto da tela você clica e guarda uma gravação anônima da sua visita à página — mudanças na página, movimentos do cursor, cliques e rolagem — para que possamos encontrar e corrigir erros do site. Tudo o que você digita nos campos é mascarado e nunca é gravado; os blocos com seus dados de nascimento, resultados de cálculo e o formulário de pagamento ficam fora das gravações. A gravação fica ligada apenas a um identificador de sessão aleatório, não à sua conta, ao seu e-mail ou aos seus dados de pagamento. Você pode retirar o consentimento a qualquer momento nas configurações de cookies; depois disso, a gravação para.

10. Idade mínima

O Serviço destina-se a pessoas adultas. Não criamos, de forma consciente, contas para menores de 18 anos, nem aceitamos pagamentos deles; não realizamos o tratamento de dados de crianças e adolescentes de que trata o art. 14 da LGPD. Se você acredita que um menor de idade nos forneceu dados pessoais, escreva para nós e nós os eliminaremos.

11. Segurança

Todo o tráfego é criptografado (TLS). As senhas são armazenadas como hashes com sal. O acesso ao banco de dados é restrito ao operador e registrado. A integridade da aplicação é verificada antes de cada publicação de nova versão. Nenhum sistema é totalmente seguro; por isso, se algum dia identificarmos um incidente de segurança que possa acarretar risco ou dano relevante a você, comunicaremos o fato a você e à ANPD nos prazos previstos no art. 48 da LGPD e na regulamentação aplicável.

12. Avisos regionais

Brasil (LGPD e Marco Civil da Internet)

Tratamos dados pessoais em conformidade com a Lei nº 13.709/2018 (LGPD), com o Marco Civil da Internet (Lei nº 12.965/2014) e o seu Decreto regulamentador nº 8.771/2016, bem como com o Código de Defesa do Consumidor (Lei nº 8.078/1990) no que se refere à relação de consumo. As bases legais indicadas na seção 4 referem-se aos arts. 7º e 11 da LGPD; os seus direitos são os do art. 18; a autoridade competente é a Autoridade Nacional de Proteção de Dados (ANPD). Este documento é disponibilizado em português, de forma clara e ostensiva, em atenção ao art. 7º, VIII, do Marco Civil da Internet.

União Europeia, Espaço Econômico Europeu e Reino Unido

Para usuários residentes nessas jurisdições, o tratamento observa o Regulamento (UE) 2016/679 (RGPD) e, no Reino Unido, o UK GDPR e o Data Protection Act 2018; as bases legais da seção 4 correspondem ao art. 6 (e, para os dados de nascimento, ao art. 9, quando aplicável) desses diplomas.

Outros países

Onde quer que você esteja, aplicamos o mesmo padrão descrito nesta Política; se a legislação local lhe conferir direitos adicionais, nós os respeitamos.

13. Alterações desta Política

Podemos atualizar esta Política quando o Serviço ou a legislação mudarem. A versão vigente e a sua data aparecem sempre no topo desta página. Se uma alteração afetar de forma relevante os seus direitos, avisaremos os usuários cadastrados por e-mail antes de ela entrar em vigor.