Documento legal · LGPD (Lei nº 13.709/2018)
Política de Privacidade
Última atualização: 15 de junho de 2026
1. Quem somos (Controlador de Dados)
O controlador dos dados pessoais descritos nesta Política é o BAXX, plataforma SaaS de marketing de embaixadores. Para questões relacionadas à privacidade, entre em contato com nosso Encarregado de Dados (DPO) pelo e-mail privacidade@baxx.com.br.
2. Dados que coletamos
Coletamos apenas os dados necessários para operar a plataforma:
2.1 Dados de cadastro
- E-mail (identificador de conta e comunicações)
- Nome completo ou nome de exibição
- Função na plataforma (marca ou embaixador)
- Para marcas: nome da empresa, site, setor de atuação
- Para embaixadores: bio, categorias de interesse, redes sociais (opcional)
- Data e hora de criação da conta
2.2 Dados de uso da plataforma
- Campanhas criadas (marcas) ou das quais participou (embaixadores)
- Missões submetidas: fotos enviadas, links de postagem, notas
- Status de participação e aprovação em campanhas
- Registros de visualização de campanhas (anonimizados por IP hash)
- Notificações geradas pela plataforma
2.3 Dados de pagamento (somente marcas com plano pago)
Dados de cartão de crédito e informações de faturamento são processados e armazenados exclusivamente pelo Stripe. O BAXX não armazena números de cartão ou dados bancários — apenas identificadores de assinatura e histórico de transações fornecidos pelo Stripe.
2.4 Dados técnicos
- Logs de acesso (endereço IP, user agent, timestamps) — retidos por até 90 dias
- Cookies de sessão e autenticação (ver seção 9)
- Hash de IP para controle de rate limit e deduplicação de visualizações
3. Base legal para o tratamento
Nos termos da Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018), tratamos seus dados com base nas seguintes hipóteses legais:
Execução de contrato (art. 7º, V)
Dados necessários para criar sua conta, gerenciar campanhas, processar missões e enviar notificações — sem esses dados o serviço não pode funcionar.
Consentimento (art. 7º, I)
Para cookies não essenciais e comunicações de marketing, quando aplicável. O consentimento pode ser retirado a qualquer momento.
Legítimo interesse (art. 7º, IX)
Para fins de segurança, prevenção a fraudes e melhoria do serviço, sempre ponderado com os direitos do titular.
Cumprimento de obrigação legal (art. 7º, II)
Para conservação de registros exigida pelo Marco Civil da Internet (Lei nº 12.965/2014) e legislação tributária.
4. Finalidade do tratamento
- Criar e manter sua conta e perfil na plataforma.
- Permitir que marcas criem campanhas e embaixadores participem delas.
- Processar o envio, análise e aprovação de missões.
- Enviar notificações transacionais sobre sua atividade (aprovações, recusas, novos pedidos).
- Processar pagamentos e gerenciar assinaturas (marcas com planos pagos).
- Prevenir fraudes, abusos e garantir a segurança da plataforma.
- Cumprir obrigações legais e regulatórias.
- Melhorar o serviço com base em dados agregados e anonimizados.
5. Compartilhamento com subprocessadores
Compartilhamos seus dados apenas com os provedores de infraestrutura necessários para operar o serviço. Todos são contratados com cláusulas de proteção de dados adequadas:
| Subprocessador | Finalidade | Localização |
|---|---|---|
| Supabase | Banco de dados, autenticação e armazenamento de arquivos | EUA (AWS us-east-1) |
| Vercel | Hospedagem e entrega do aplicativo web | EUA / Global (CDN) |
| Resend | Envio de e-mails transacionais | EUA |
| Stripe | Processamento de pagamentos e assinaturas | EUA / Irlanda (UE) |
| Cloudflare | CDN, proteção DDoS, CAPTCHA (Turnstile) | EUA / Global |
A transferência internacional de dados para os EUA é realizada com base em Cláusulas Contratuais Padrão ou certificações equivalentes reconhecidas pela ANPD. Não vendemos seus dados a terceiros nem os utilizamos para publicidade comportamental de terceiros.
6. Retenção dos dados
Dados de conta ativa: Enquanto a conta estiver ativa.
Após exclusão de conta: Dados são anonimizados imediatamente. Registros anonimizados (missões, participações) são mantidos para preservar a integridade de campanhas de outros usuários.
Logs de acesso: Até 90 dias, conforme exigência do Marco Civil da Internet.
Registros financeiros: Até 5 anos, conforme legislação tributária brasileira.
Dados de consentimento: Até 5 anos após a retirada do consentimento, para fins de comprovação.
7. Direitos do titular (LGPD art. 18)
Como titular de dados, você tem os seguintes direitos, exercíveis a qualquer momento pelo e-mail privacidade@baxx.com.br ou diretamente pela plataforma:
Acesso
Confirmar se tratamos seus dados e receber uma cópia deles.
Exportação
Baixar todos os seus dados pessoais em formato legível por máquina (JSON) via a página Meus Dados.
Correção
Corrigir dados incompletos, inexatos ou desatualizados no seu perfil.
Exclusão / Anonimização
Solicitar a exclusão dos dados tratados com base em consentimento ou a anonimização dos dados tratados com base em legítimo interesse. Dados necessários para cumprimento de obrigação legal são mantidos pelo prazo mínimo exigido por lei.
Portabilidade
Receber seus dados em formato estruturado para transferência a outro serviço.
Revogação do consentimento
Retirar consentimentos concedidos a qualquer momento, sem prejuízo do tratamento realizado anteriormente.
Informação sobre compartilhamento
Saber com quais entidades públicas ou privadas seus dados são compartilhados.
Oposição
Opor-se a tratamentos realizados com base em legítimo interesse.
Responderemos às solicitações em até 15 dias úteis. Em casos de negativa, informaremos o motivo fundamentado.
8. Segurança dos dados
Adotamos medidas técnicas e organizacionais adequadas para proteger seus dados contra acesso não autorizado, perda ou divulgação indevida, incluindo:
- Criptografia em trânsito (TLS 1.3) e em repouso para dados sensíveis.
- Autenticação com chaves gerenciadas pela Supabase Auth.
- Políticas de Row-Level Security (RLS) no banco de dados — cada usuário acessa apenas seus próprios dados.
- Chaves de API com escopos mínimos necessários (princípio do menor privilégio).
- Acesso à service_role key restrito ao servidor — nunca exposta ao browser.
9. Cookies
Utilizamos os seguintes tipos de cookies:
Essenciais (sempre ativos): Cookies de sessão necessários para autenticação e funcionamento básico da plataforma. Sem eles o serviço não funciona.
Segurança: Cookie do Cloudflare Turnstile para proteção contra bots em formulários de cadastro. Não rastreia navegação.
Preferências: Armazenam configurações locais como tema e idioma. Não são enviados a terceiros.
Não utilizamos cookies de rastreamento de terceiros para publicidade comportamental. Não há pixels de redes sociais ou scripts de analytics de terceiros ativos sem consentimento explícito.
10. Menores de idade
O BAXX é destinado exclusivamente a maiores de 18 anos. Não coletamos intencionalmente dados de menores de idade. Caso identifiquemos que dados de um menor foram coletados, os excluiremos imediatamente. Se você acredita que isso ocorreu, contate-nos em privacidade@baxx.com.br.
11. Alterações nesta Política
Esta Política pode ser atualizada periodicamente. Mudanças relevantes serão comunicadas por e-mail com pelo menos 15 dias de antecedência. O uso continuado da plataforma após a data de vigência constitui aceitação da Política atualizada.
12. Contato e Encarregado de Dados (DPO)
Nosso Encarregado de Proteção de Dados (DPO), designado nos termos do art. 41 da LGPD, pode ser contactado por:
BAXX — Encarregado de Dados
E-mail: privacidade@baxx.com.br
Suporte geral: suporte@baxx.com.br
Você também pode registrar reclamações diretamente na Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.