Política de Privacidade

1. Controlador dos dados

A Cotovia Art Educa, estabelecida em Montes Claros, Minas Gerais, é a controladora dos dados pessoais tratados neste site. Para exercer seus direitos ou tirar dúvidas sobre privacidade, fale com o nosso encarregado pelo tratamento de dados (DPO) pelo e-mail cotoviaarteduca@gmail.com.

2. Dados que coletamos

• Cadastro: nome ou razão social e e-mail são os únicos dados obrigatórios. Nome fantasia, telefone/WhatsApp, CPF ou CNPJ e endereço (CEP, logradouro, número, complemento, bairro, cidade e UF) são opcionais — o site não tem checkout nem emite nota fiscal, então só pedimos o documento de quem quiser deixá-lo registrado.
• Login social (opcional): ao entrar com o Google, recebemos seu identificador Google, nome e e-mail verificado. Não acessamos sua senha do Google.
• Dados de autenticação e segurança: registros de consentimento (data/hora), e a sessão de navegação necessária para mantê-lo autenticado.

3. Finalidades e base legal

• Atendimento (contratação de shows, oficinas e produção de eventos) — execução de procedimentos preliminares e do contrato a seu pedido, e consentimento.
• Criação e autenticação da sua conta — consentimento e execução de contrato.
• Segurança e prevenção a fraudes — legítimo interesse e cumprimento de obrigações legais.

O fornecimento dos dados é voluntário. Para criar a conta bastam o nome e o e-mail; os demais campos existem para agilizar o atendimento e podem ficar em branco ou ser apagados a qualquer momento em Meus dados.

4. Compartilhamento de dados

Não vendemos seus dados pessoais. Para agilizar o preenchimento do cadastro, consultamos serviços públicos de terceiros a partir do CNPJ (BrasilAPI) ou do CEP (ViaCEP) — esses serviços recebem apenas o número consultado, nunca os demais dados da sua conta. O login social é processado pelo Google conforme a política de privacidade dele. Podemos compartilhar dados quando exigido por lei ou ordem judicial.

5. Como protegemos seus dados

• Dados pessoais sensíveis ao identificador (documento, telefone e endereço) são cifrados em repouso com AES-256-GCM — o texto em claro nunca é gravado no banco.
• O CPF/CNPJ tem sua unicidade garantida por HMAC-SHA256, sem armazenar o documento em claro.
• Senhas são protegidas com bcrypt; sessões ficam no servidor; o tráfego usa HTTPS em produção, com cabeçalhos de segurança, proteção contra CSRF e limitação de tentativas de acesso.

6. Retenção

Mantemos seus dados enquanto a conta estiver ativa ou pelo tempo necessário às finalidades acima e ao cumprimento de obrigações legais. Tokens de redefinição de senha expiram em 60 minutos e os de verificação de e-mail em 24 horas. Ao excluir a conta, os dados pessoais são anonimizados (veja o item 8).

7. Cookies

Utilizamos apenas cookies estritamente necessários ao funcionamento e à segurança do site:

• cotoviaarteeduca_session — mantém sua sessão autenticada (HttpOnly, SameSite=Lax, Secure em produção).
• _csrf — protege os formulários contra falsificação de requisições (CSRF).

Não usamos cookies de publicidade, rastreamento ou analytics de terceiros. Por serem essenciais, esses cookies não dependem de consentimento, mas exibimos um aviso para sua transparência. A preferência de fechamento do aviso é guardada localmente no seu navegador (localStorage), não em cookie.

8. Seus direitos (LGPD)

Você pode, a qualquer momento: confirmar a existência de tratamento; acessar e corrigir seus dados; solicitar a portabilidade; revogar o consentimento; e solicitar a exclusão/anonimização. A maior parte está disponível diretamente na sua Área do Cliente (incluindo exportar meus dados e excluir conta). Você também pode nos contatar pelo e-mail cotoviaarteduca@gmail.com.

9. Alterações desta política

Podemos atualizar esta política periodicamente. A data de “última atualização” no topo indica a versão vigente.

Consulte também os nossos Termos de Uso.