⚠️ RASCUNHO. Este documento NÃO deve ser publicado sem revisão por advogado especializado em LGPD e direito digital. Custo estimado de revisão: R$ 800–1.500. Recomendado antes do Marco 4 (verificação de identidade). Ver aviso final.

Política de Privacidade — Waitlist SafeMatch

Vigente desde: 07 de maio de 2026 Versão: 0.1 (waitlist — pré-produto) Escopo: esta política cobre exclusivamente o estágio de lista de espera (waitlist) do SafeMatch. Quando o produto for lançado, uma política de privacidade completa substituirá este documento, e os titulares serão notificados.

1. Quem somos (Controlador de Dados)

O SafeMatch é uma iniciativa de verificação de identidade digital para brasileiros, operada por:

LFV HOLDING S.A. CNPJ: 33.607.922/0001-10 E-mail: lucas@4exsolutions.com.br Site: safematch.com.br

Nota: o SafeMatch é operado pela LFV HOLDING S.A., na qualidade de controladora dos dados pessoais tratados (LGPD, art. 5º, VI). Eventual reorganização societária (ex: criação de subsidiária dedicada ao produto) será comunicada aos titulares antes da efetivação.

2. Quais dados coletamos

Na fase de waitlist, coletamos os seguintes dados:

| Dado | Obrigatoriedade | Como é coletado | |------|----------------|-----------------| | Endereço de e-mail | Obrigatório | Formulário de cadastro | | Nome | Opcional | Formulário de cadastro | | Endereço IP | Automático | Requisição HTTP ao acessar o site | | User-agent do navegador | Automático | Requisição HTTP (identifica tipo de dispositivo/navegador) | | Data e hora do cadastro | Automático | Registro interno do sistema | | Versão dos documentos aceitos | Automático | Log de consentimento (conforme LGPD, art. 8º, § 5º) |

O que NÃO coletamos nesta etapa: CPF, telefone, data de nascimento, endereço físico, dados biométricos ou quaisquer outros dados pessoais além dos listados acima.

3. Por que coletamos e qual é a base legal

| Finalidade | Dados usados | Base legal (LGPD) | |-----------|-------------|-------------------| | Enviar comunicações sobre o lançamento do SafeMatch e atualizações do produto | E-mail, nome | Consentimento do titular — art. 7º, I | | Convidar para o programa Founding 100 (beta privado com os primeiros 100 usuários) | E-mail, nome | Consentimento do titular — art. 7º, I | | Registro de auditoria de consentimento (quem aceitou o quê, quando e como) | IP, user-agent, timestamp, versão dos documentos | Cumprimento de obrigação legal — art. 7º, II (LGPD, art. 8º, § 5º exige manutenção de prova do consentimento) | | Análise técnica de acesso ao site (via PostHog — ver seção 8) | IP, user-agent | Legítimo interesse — art. 7º, IX, para fins de segurança e melhoria técnica do serviço |

Sobre o legítimo interesse: utilizamos esta base legal apenas para analytics técnicos agregados (contagem de acessos, tipo de dispositivo). Não utilizamos legítimo interesse para envio de comunicações comerciais — estas dependem exclusivamente de consentimento explícito.

4. Com quem compartilhamos seus dados

Não vendemos nem compartilhamos seus dados pessoais para fins comerciais com terceiros.

Para operar tecnicamente, utilizamos os seguintes operadores de dados (art. 5º, VII da LGPD), que processam seus dados em nosso nome e sob nossas instruções:

| Operador | Papel | Dados transferidos | País de armazenamento | |----------|-------|-------------------|----------------------| | Supabase Inc. | Banco de dados — armazena os registros de waitlist | E-mail, nome, IP, timestamp | Brasil (região São Paulo — sa-east-1) | | Vercel Inc. | Hospedagem do site — processa requisições HTTP | IP, user-agent (logs de acesso temporários) | EUA (com proteção contratual) | | Resend Inc. | Envio de e-mails transacionais (confirmação de cadastro) | E-mail, nome | EUA (com proteção contratual) | | PostHog Inc. | Analytics de uso do site | IP anonimizado, dados de navegação agregados | EUA / EU (com proteção contratual) |

[A DEFINIR] — Antes da publicação definitiva, verificar se Supabase, Vercel, Resend e PostHog possuem DPA (Data Processing Agreement) disponível para assinatura. A Vercel e Supabase disponibilizam DPA público; Resend e PostHog devem ser consultados. Esses contratos são obrigatórios para transferências internacionais de dados (LGPD, art. 33).

Transferência internacional de dados: Vercel, Resend e PostHog possuem servidores fora do Brasil. A LGPD (art. 33) permite essa transferência quando o país de destino oferece grau de proteção adequado ou quando existem garantias contratuais. Adotamos cláusulas contratuais padrão disponíveis nos DPAs desses fornecedores como salvaguarda. [A DEFINIR — confirmar com advogado se as salvaguardas atuais são suficientes à luz da regulamentação ANPD vigente.]

5. Por quanto tempo armazenamos seus dados

| Dado | Prazo de retenção | Fundamento | |------|------------------|------------| | E-mail e nome (waitlist) | Até pedido de exclusão pelo titular, ou até 12 meses após o lançamento do produto sem que o titular se torne usuário ativo | Consentimento limitado à finalidade | | Logs de consentimento (IP, timestamp, versão do documento aceito) | 5 anos | Obrigação legal — prova de consentimento (LGPD, art. 8º, § 5º) e possível necessidade de defesa em processos administrativos ou judiciais | | Logs técnicos de acesso (Vercel) | Até 30 dias | Conforme política padrão da Vercel para logs de infraestrutura |

Após o encerramento da fase de waitlist (lançamento do produto), os titulares que não se tornarem usuários ativos serão notificados e seus dados serão excluídos ou anonimizados dentro de 90 dias, salvo se houver base legal para retenção adicional.

6. Direitos do titular

Nos termos do art. 18 da LGPD, você tem direito a:

1. Confirmação de tratamento: saber se tratamos seus dados pessoais.
2. Acesso: receber uma cópia dos dados que temos sobre você.
3. Correção: corrigir dados incompletos, inexatos ou desatualizados.
4. Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
5. Portabilidade: receber seus dados em formato estruturado e interoperável. [A DEFINIR — formato a ser definido antes do lançamento do produto.]
6. Eliminação: exclusão dos dados pessoais tratados com base no seu consentimento.
7. Informação sobre compartilhamento: saber com quais entidades públicas ou privadas compartilhamos seus dados.
8. Informação sobre consequências da negativa: ser informado sobre o que acontece se você não fornecer o consentimento.
9. Revogação do consentimento: retirar o consentimento a qualquer momento, sem prejuízo da licitude do tratamento realizado antes da revogação (art. 8º, § 5º).
10. Oposição: opor-se ao tratamento realizado com base em legítimo interesse, se entender que ele viola a LGPD.
11. Petição à ANPD: apresentar petição perante a Autoridade Nacional de Proteção de Dados (anpd.gov.br) caso entenda que seus direitos foram violados.

7. Como exercer seus direitos

Para exercer qualquer direito listado acima, entre em contato pelo e-mail:

lucas@4exsolutions.com.br

Assunto sugerido: "LGPD — [descreva brevemente sua solicitação]"

Prazo de resposta: nos comprometemos a responder em até 5 dias úteis. O prazo máximo legal é de 15 dias (LGPD, art. 18, § 3º).

Para solicitações de exclusão da waitlist, o e-mail acima é suficiente. Futuramente, será disponibilizado link de descadastramento em todos os e-mails enviados.

8. Encarregado de Dados (DPO)

Na fase atual, o Encarregado de Proteção de Dados indicado pela LFV HOLDING S.A. é:

Lucas Moraes Parenti E-mail: lucas@4exsolutions.com.br

Nota: quando o SafeMatch ultrapassar 1.000 usuários ativos ou formalizar sua estrutura jurídica, recomenda-se a designação de um DPO externo especializado (custo estimado: R$ 500–1.500/mês) e a criação do e-mail dpo@safematch.com.br com criação automática de ticket. A ANPD não exige DPO terceirizado para microempresas neste momento, mas é boa prática e demonstra comprometimento.

9. Cookies e tecnologias de rastreamento

O site safematch.com.br utiliza as seguintes tecnologias:

| Tecnologia | Provedor | Categoria | Finalidade | Duração | |-----------|----------|-----------|------------|---------| | Cookies de sessão | Vercel / Next.js | Essencial | Funcionamento do formulário de cadastro | Sessão (encerram ao fechar o navegador) | | PostHog Analytics | PostHog Inc. | Analytics | Contagem de acessos, scroll depth, origem de tráfego, tipo de dispositivo. Dados agregados, sem identificação individual. | Até 12 meses |

Sobre o PostHog: configuramos o PostHog para anonimizar endereços IP antes do armazenamento. Nenhum dado do PostHog é cruzado com o e-mail do titular para criar perfis individuais nesta fase.

[A DEFINIR — antes da publicação, implementar banner de cookies funcional que permita ao usuário aceitar ou recusar cookies de analytics. Cookies essenciais independem de consentimento; analytics dependem. Confirmar configuração técnica com o frontend-engineer.]

Para desativar os cookies do PostHog, você pode:

• Usar o modo de navegação anônima/privada do seu navegador
• Instalar extensões de bloqueio de rastreamento (ex: uBlock Origin)
• Entrar em contato conosco pelo e-mail acima para opt-out específico

10. Segurança dos dados

Adotamos as seguintes medidas técnicas e organizacionais para proteger seus dados:

• Transmissão: TLS/HTTPS em todas as comunicações entre seu navegador e o servidor.
• Armazenamento: banco de dados Supabase na região São Paulo, com criptografia em repouso (AES-256) e backups automáticos criptografados.
• Acesso: apenas o responsável pelo SafeMatch tem acesso ao banco de dados de waitlist. Nenhum dado é acessível a terceiros não listados nesta política.
• Minimização: coletamos apenas os dados estritamente necessários para as finalidades descritas.

Em caso de incidente de segurança que afete seus dados, notificaremos a ANPD e os titulares afetados no prazo previsto na LGPD (art. 48).

11. Alterações nesta política

Esta política pode ser atualizada a qualquer momento. Quando houver alterações relevantes:

• A data de vigência no topo do documento será atualizada.
• Os titulares cadastrados na waitlist serão notificados por e-mail.
• A nova versão entrará em vigor 7 dias após a notificação, salvo urgência.

O histórico de versões será mantido em: [A DEFINIR — URL do repositório ou página dedicada]

12. Foro

Fica eleito o foro da Comarca de Porto Alegre/RS para dirimir quaisquer controvérsias decorrentes desta Política, ressalvado o direito do usuário consumidor de optar pelo foro de seu domicílio, nos termos do Código de Defesa do Consumidor.

Nota interna: cláusula a ser revisada por advogado contratado ao final do Marco 1, conforme decisão do founder em 2026-05-07.

Para fins de resolução de conflitos relativos ao tratamento de dados, aplica-se a legislação brasileira, em especial a Lei nº 13.709/2018 (LGPD) e o Código de Defesa do Consumidor (Lei nº 8.078/1990).

Aviso de prazo para revisão jurídica humana: este rascunho deve ser revisado por advogado especializado em LGPD e direito digital antes do Marco 4 (verificação de identidade / primeiro upload de dado sensível). Idealmente, antes mesmo do Marco 1 (publicação da landing). Custo estimado: R$ 800–1.500. Este investimento é obrigatório — não opcional.