Aviso de Privacidade

1. Quem é o responsável

Controlador: João Maia (joao@joaovrmaia.com)
Site: joaovrmaia.com — consultoria, conteúdo e captura de leads.

Para dúvidas de privacidade ou exercício de direitos previstos na Lei Geral de Proteção de Dados (LGPD), escreva para joao@joaovrmaia.com. Respondo pessoalmente; não há encarregado separado porque sou o único responsável pelo site.

2. Escopo deste aviso

Este aviso descreve o tratamento de dados pessoais quando você navega no site, envia formulários de contato ou serviços, assina a newsletter ou interage com highlights no blog. Não se aplica a sites de terceiros linkados daqui (LinkedIn, GitHub, Substack, etc.).

3. Dados que tratamos

Contexto	Dados	Como
Formulários de contato / serviços	Nome, e-mail, empresa (opcional), mensagem ou descrição do problema, idioma; IP apenas como hash SHA-256	Você envia o formulário
Newsletter	E-mail, idioma preferido, datas de confirmação e cancelamento	Assinatura + confirmação por link (double opt-in)
Analytics first-party	Caminho da página, idioma, referrer (sem query string), UTM, id pseudônimo de visitante; IP e navegador apenas como hashes SHA-256; id de sessão	Automático em page views e eventos limitados (início de formulário, tempo na página)
Google Analytics (opt-in)	Page views e dados de evento padrão do GA4, id de cliente pseudônimo, cookies de analytics/publicidade do Google	Só é ativado se você aceitar o banner de cookies; recusar ou ignorar o banner significa que nunca é carregado
Highlights e curtidas no blog	Trecho selecionado (público), hash pseudônimo do leitor	Você seleciona texto no post
Cookies técnicos	Sessão, token CSRF, preferência de idioma	Cookies necessários para segurança e i18n

Além do analytics first-party acima, o site usa Google Analytics (GA4), ativado apenas por opt-in no banner de cookies — não carrega nem define nenhum cookie até você aceitar. Não usamos pixels de publicidade ou qualquer outro tracker de terceiros. Não solicitamos dados sensíveis (saúde, biometria, etc.); evite incluí-los em campos de texto livre.

4. Finalidades e bases legais (LGPD art. 7º)

• Responder sua mensagem ou triagem — execução de procedimentos preliminares a pedido do titular (art. 7º, V) e legítimo interesse em atender contato qualificado (art. 7º, VI).
• Enviar newsletter — consentimento após double opt-in (art. 7º, I). Revogação a qualquer momento pelo link de descadastro.
• Medir uso do site e melhorar conteúdo — legítimo interesse (art. 7º, IX), com pseudonimização e retenção limitada. O Google Analytics só roda com seu consentimento (art. 7º, I), dado pelo banner de cookies; você pode revogá-lo a qualquer momento (seção 5).
• Segurança e prevenção de abuso — legítimo interesse (art. 7º, IX), incluindo rate limit, honeypot e IP hasheado.
• Publicar highlights que você cria — ato voluntário de publicação em post público (art. 7º, I / legítimo interesse na funcionalidade).

5. Cookies e analytics

O site usa cookies estritamente necessários (sessão, CSRF) e pode guardar idioma preferido. Analytics é first-party, sem cookies de terceiros. IP e user-agent nunca são armazenados em claro — apenas hashes SHA-256 com salt.

Page views são eliminados automaticamente após 90 dias.

Google Analytics: o banner de cookies exibido na primeira visita define por padrão todos os sinais de consentimento do Google (analytics e publicidade) como negado. Se você clicar em "Aceitar", os cookies do Google Analytics são definidos e os page views são enviados ao Google; se você clicar em "Recusar" ou ignorar o banner, nada é enviado ao Google. Sua escolha é lembrada no navegador (localStorage) e você pode alterá-la a qualquer momento limpando esse armazenamento, o que traz o banner de volta na próxima visita.

6. Operadores (processadores)

O site roda na Vercel (hospedagem e computação da aplicação), com banco de dados Postgres na Neon (dados de formulários, newsletter e analytics). Ambos são fornecedores baseados nos EUA. E-mails transacionais (notificações de formulário, confirmação e cancelamento da newsletter) são enviados via Resend, também baseada nos EUA. Se você aceitar o banner de cookies, o Google Analytics (Google Ireland Limited / Google LLC) também trata dados pseudônimos de uso — veja a seção 5. Cada fornecedor atua como operador conforme minhas instruções.

DNS: domínio gerido em Amazon Route 53 (AWS). A AWS trata registos DNS e metadados de resolução; não recebe o conteúdo dos formulários nem da base de dados. Lista completa na documentação interna — solicite por e-mail se precisar.

7. Retenção

• Page views (analytics): 90 dias, depois eliminados.
• Contato e triagem de serviços: até 36 meses após última interação, salvo prazo legal maior para defesa de direitos.
• Newsletter: enquanto ativa; após descadastro, e-mail e histórico de consentimento por até 36 meses, depois eliminados.
• Highlights no blog: até pedido de remoção ou moderação.
• Backups de banco: retenção rotativa no servidor (14 dias); cópias off-site criptografadas conforme política interna.

8. Segurança

HTTPS, configurações duras em produção, identificadores hasheados, rate limit em formulários e acesso restrito. Nenhum sistema é 100% seguro; em incidente relevante, comunico titulares e ANPD quando exigido por lei.

9. Seus direitos (LGPD art. 18)

Você pode solicitar:

• Confirmação de tratamento e acesso aos dados
• Correção de dados incompletos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários ou em desconformidade
• Portabilidade, quando aplicável
• Informação sobre compartilhamento com operadores
• Revogação de consentimento (newsletter)

Envie pedidos para joao@joaovrmaia.com a partir do e-mail em questão (ou explique por que não pode). Prazo-alvo de resposta: 15 dias.

10. Transferência internacional

O tratamento principal (hospedagem da aplicação na Vercel, banco de dados na Neon e e-mail transacional via Resend) ocorre fora do Brasil, em infraestrutura baseada nos EUA. O serviço de DNS Amazon Route 53 (AWS) também é baseado nos EUA. Essas transferências se apoiam nas salvaguardas contratuais oferecidas por cada fornecedor (cláusulas contratuais padrão / termos de tratamento de dados) como base de transferência exigida pelo art. 33 da LGPD. Se você aceitar o Google Analytics, o Google também trata dados fora do Brasil conforme seus próprios termos de tratamento de dados. Outros operadores estrangeiros só serão adicionados se necessário e refletidos neste aviso.

11. Alterações

Este aviso pode ser atualizado. A data no topo será revisada; mudanças relevantes serão destacadas quando couber.

Contato: joao@joaovrmaia.com