Política de Privacidade

1. Controladora dos Dados

1.1. A controladora dos dados pessoais tratados por meio da plataforma LUGGA é a própria LUGGA, empresa de tecnologia responsável pelo aplicativo e pelo site que permitem descobrir, organizar e participar de atividades presenciais, com chat, grupos, perfis e venda de ingressos.

1.2. A LUGGA é responsável por definir as finalidades e os meios pelos quais os dados pessoais dos Usuários são coletados, armazenados, utilizados, compartilhados e protegidos, nos termos da Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD).

1.3. Como controladora, a LUGGA se compromete a observar os princípios da boa-fé, finalidade, adequação, necessidade, livre acesso, qualidade dos dados, segurança, prevenção, não discriminação e responsabilização, conforme previsto no art. 6º da LGPD, assegurando a proteção dos dados pessoais durante todo o seu ciclo de vida.

2. Dados Coletados

2.1. A LUGGA coleta dados pessoais de forma ética, transparente e em conformidade com a LGPD. A coleta ocorre de forma direta (o Usuário informa), automática (pelo uso do aplicativo e do site) ou por meio de terceiros, como descrito a seguir. Coletamos apenas o necessário para cada funcionalidade.

2.2. Dados Fornecidos pelo Usuário

São os dados informados no cadastro e no uso da plataforma:

• Conta e perfil: nome, endereço de e-mail, nome de usuário, foto, biografia, cidade e interesses; o acesso é feito por e-mail com código de verificação, por senha ou pelas contas Google e Apple
• Compra de ingressos: CPF ou CNPJ, endereço de cobrança (CEP e número) e número de telefone, informados no momento do pagamento
• Cartão de crédito: os dados do cartão são digitados no pagamento e tratados pelo Asaas. Em cada pagamento com cartão, a LUGGA guarda um token do cartão emitido pelo Asaas, os quatro últimos dígitos e a bandeira; quando o Usuário opta por salvar o cartão, guarda também o nome do titular. Não guardamos o número completo, a validade nem o código de segurança
• Mensagens: o conteúdo das conversas no chat, entre Usuários e nos chats das atividades
• Atividades e grupos: título, descrição, fotos, local, data, preço e demais informações das atividades que o Usuário organiza, e dos grupos que cria ou integra
• Relacionamentos e segurança: quem o Usuário segue, quem o segue, usuários bloqueados e denúncias enviadas, com o motivo e o conteúdo denunciado
• Contas de anfitrião empresarial: para receber pagamentos, o titular ou responsável informa nome ou razão social, documento fiscal (CPF ou CNPJ), data de nascimento, endereço, faixa de renda ou faturamento, chave PIX e, quando exigido, o contrato social da empresa

2.2.1. A data de nascimento é solicitada somente ao titular ou responsável de conta de anfitrião empresarial, para verificação cadastral. Os demais Usuários não informam data de nascimento.

2.3. Dados Coletados Automaticamente

Determinados dados são coletados de forma automática, para operar, proteger e aperfeiçoar a plataforma:

• Endereço IP e data e hora de acesso
• Modelo e sistema operacional do dispositivo, versão do aplicativo e navegador utilizado
• Token de notificações push do dispositivo, usado para entregar avisos do aplicativo
• Localização precisa, somente com a permissão do Usuário e enquanto o aplicativo está aberto: usada para mostrar atividades próximas, sugerir endereços e confirmar a chegada no check-in de uma atividade. A LUGGA não armazena a localização precisa do Usuário
• Análise de uso (PostHog): eventos de uso e interações com o aplicativo e o site, associados apenas a um identificador opaco, sem nome ou e-mail
• Falhas e diagnóstico (Sentry): relatórios de erros e de desempenho, dos quais removemos dados pessoais antes do envio

2.3.1. O uso desses dados se fundamenta na execução do serviço contratado e no legítimo interesse da LUGGA em garantir a segurança da plataforma e aperfeiçoar os serviços prestados. A localização e as notificações dependem da permissão concedida no sistema do dispositivo, que o Usuário pode revogar a qualquer momento.

2.4. Dados Obtidos de Terceiros

A LUGGA recebe dados de terceiros apenas nos casos abaixo:

• Nome, e-mail e foto de perfil fornecidos pelo Google, ou nome e e-mail fornecidos pela Apple (que não fornece foto), quando o Usuário escolhe entrar com essas contas
• Situação do pagamento (aprovado, pendente, recusado, estornado) informada pelo Asaas

2.4.1. A LUGGA não compra dados de terceiros nem combina os dados da plataforma com bases de publicidade.

3. Finalidades do Tratamento de Dados

3.1. A LUGGA trata os dados pessoais de seus Usuários com finalidades específicas, legítimas e informadas, de forma proporcional e limitada ao mínimo necessário:

4. Base Legal para o Tratamento

4.1. A LUGGA realiza o tratamento de dados pessoais de acordo com as hipóteses legais previstas na LGPD. As principais bases legais utilizadas incluem:

• Consentimento do titular (art. 7º, I, LGPD): por exemplo, o acesso à localização e às notificações, concedido no sistema do dispositivo
• Execução de contrato ou procedimentos preliminares (art. 7º, V, LGPD): para viabilizar a conta, as compras de ingressos e o uso da plataforma
• Legítimo interesse da LUGGA (art. 7º, IX, LGPD): segurança, prevenção a fraudes, moderação e melhoria do serviço
• Cumprimento de obrigação legal ou regulatória (art. 7º, II, LGPD)
• Exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI, LGPD)
• Proteção da vida ou da incolumidade física (art. 7º, VII, LGPD)
• Proteção do crédito (art. 7º, X, LGPD)

4.2. A LUGGA poderá combinar diferentes bases legais para um mesmo tratamento, sempre com transparência e respeito aos direitos do titular.

5. Compartilhamento de Dados

5.1. A LUGGA compartilha dados pessoais apenas de forma limitada, proporcional e justificada, nos seguintes casos:

• Outros Usuários: o perfil, as atividades e as mensagens ficam visíveis conforme as configurações de privacidade do Usuário (por exemplo, perfil privado) e a natureza de cada funcionalidade
• Anfitriões das atividades: quem organiza uma atividade vê os dados de perfil e a participação de quem compra ingresso ou entra nela, para realizar a atividade
• Provedores de serviço (operadores): empresas contratadas para pagamentos, análise de uso, diagnóstico de erros, chat, armazenamento de arquivos, notificações, mapas, e-mail, hospedagem, banco de dados, limitação de requisições, alertas internos da equipe, moderação automatizada de conteúdo e sugestão de categorias, listadas na seção 6
• Autoridades públicas: mediante requisição legal, decisão judicial ou obrigação regulatória

5.2. A LUGGA exige que os provedores tratem os dados apenas para prestar o serviço contratado, com compromissos de confidencialidade e segurança.

5.3. A LUGGA não vende dados pessoais.

6. Provedores de Serviço (Operadores)

6.1. Para operar a plataforma, a LUGGA contrata os provedores abaixo, que tratam dados pessoais em nome da LUGGA e apenas para as finalidades indicadas. Esta lista contém somente os provedores efetivamente utilizados.

• Asaas

  Finalidade

  Pagamentos por PIX e cartão, estornos e repasses aos anfitriões

  Dados envolvidos

  Nome, CPF ou CNPJ, e-mail, telefone, endereço de cobrança, dados do cartão e dados de verificação dos anfitriões

  País ou região

  Brasil

• PostHog

  Finalidade

  Análise de uso do aplicativo e do site

  Dados envolvidos

  Eventos de uso e dados do dispositivo, com identificador opaco do Usuário

  País ou região

  Estados Unidos (nuvem us.i.posthog.com)

• Sentry

  Finalidade

  Registro de falhas e diagnóstico de desempenho

  Dados envolvidos

  Relatórios de erro e dados técnicos do dispositivo, com dados pessoais removidos

  País ou região

  Estados Unidos

• Convex

  Finalidade

  Chat: armazenamento e entrega das mensagens em tempo real

  Dados envolvidos

  Mensagens, participantes das conversas e identificador da conta

  País ou região

  Não especificado; o tratamento pode ocorrer fora do Brasil

• UploadThing

  Finalidade

  Armazenamento de imagens e arquivos enviados

  Dados envolvidos

  Fotos de perfil, de atividades e demais arquivos enviados

  País ou região

  Não especificado; o tratamento pode ocorrer fora do Brasil

• Expo (EAS)

  Finalidade

  Entrega de notificações push e de atualizações do aplicativo

  Dados envolvidos

  Token de notificações do dispositivo, conteúdo do aviso e dados técnicos da atualização

  País ou região

  Não especificado; o tratamento pode ocorrer fora do Brasil

• Google Maps Platform

  Finalidade

  Busca de locais, sugestão de endereços e geocodificação

  Dados envolvidos

  Texto buscado, endereços e, quando aplicável, coordenadas

  País ou região

  Não especificado; o tratamento pode ocorrer fora do Brasil

• Resend

  Finalidade

  Envio de e-mails: códigos de verificação e aviso de reembolso

  Dados envolvidos

  Endereço de e-mail e conteúdo da mensagem

  País ou região

  Não especificado; o tratamento pode ocorrer fora do Brasil

• Vercel

  Finalidade

  Hospedagem do site e da API e medição de audiência do site

  Dados envolvidos

  Endereço IP, dados de acesso e o conteúdo das requisições ao serviço

  País ou região

  Não especificado; o tratamento pode ocorrer fora do Brasil

• Neon

  Finalidade

  Banco de dados da plataforma

  Dados envolvidos

  Todos os dados da conta e da plataforma descritos na seção 2

  País ou região

  Não especificado; o tratamento pode ocorrer fora do Brasil

• Upstash (Redis)

  Finalidade

  Limitação de requisições, para impedir abusos e tentativas automatizadas

  Dados envolvidos

  Identificador da conta, endereço IP e, nas tentativas de acesso à área administrativa, o e-mail informado

  País ou região

  Não especificado; o tratamento pode ocorrer fora do Brasil

• Slack

  Finalidade

  Alertas internos da equipe da LUGGA sobre pagamentos, repasses, contas empresariais e novas denúncias

  Dados envolvidos

  Em alguns alertas administrativos, nome e nome de usuário de quem é envolvido (por exemplo, em um reembolso ou pedido de conta empresarial). Os alertas de denúncia não trazem dados pessoais

  País ou região

  Não especificado; o tratamento pode ocorrer fora do Brasil

• OpenAI

  Finalidade

  Moderação automatizada de conteúdo (modelo omni-moderation-latest) e sugestão de categorias de uma atividade, quando o Usuário toca em “Sugerir com IA”

  Dados envolvidos

  Textos e imagens novos de perfis, atividades, grupos e páginas empresariais, quando publicados ou editados; e o título e a descrição da atividade, na sugestão de categorias. Mensagens do chat não são enviadas

  País ou região

  Não especificado; o tratamento pode ocorrer fora do Brasil

6.2. Os provedores tratam os dados segundo seus próprios termos e políticas de privacidade, além dos compromissos assumidos com a LUGGA. Os dados de cartão são tratados diretamente pelo Asaas, conforme descrito na seção 2.2.

6.3. Ao incluir ou substituir um provedor que trate dados pessoais, a LUGGA atualizará esta lista.

7. Cookies e Tecnologias Semelhantes

7.1. O site da LUGGA usa um cookie de sessão para manter o Usuário conectado depois de entrar na conta, além do armazenamento local do navegador. No aplicativo, a sessão de acesso fica no armazenamento seguro do dispositivo, junto com preferências e dados temporários que o fazem funcionar mais rápido.

7.2. Finalidades:

• Técnicos e de sessão: manter o Usuário autenticado e garantir a segurança do acesso
• Funcionais: lembrar configurações e preferências
• Analíticos: medir o uso do site e do aplicativo (PostHog e medição de audiência da Vercel), sem identificar o Usuário por nome ou e-mail

7.3. A LUGGA não usa cookies de marketing nem rastreia o Usuário para exibir publicidade.

7.4. O Usuário pode configurar o navegador para recusar ou excluir cookies, embora isso possa comprometer algumas funcionalidades, como manter o acesso à conta.

8. Retenção, Armazenamento e Exclusão de Conta

8.1. A LUGGA armazena os dados pessoais pelo tempo estritamente necessário para cumprir as finalidades para as quais foram coletados, respeitando os princípios da finalidade, necessidade e segurança.

8.2. Os dados são mantidos enquanto a conta do Usuário estiver ativa. Após a exclusão da conta, permanecem somente os registros descritos na seção 8.5.

8.3. Segurança: A LUGGA mantém os dados em ambiente controlado, com acesso restrito, empregando medidas técnicas e administrativas adequadas para protegê-los.

8.4. Como excluir a conta: O Usuário pode excluir a conta a qualquer momento, sem custo, de duas formas: no aplicativo, em Perfil › Configurações › Excluir conta (nas contas pessoais e nas de anfitrião empresarial), ou no site, em lugga.app/account-deletion, após entrar na conta com e-mail e senha ou com o Google. Quem acessa a LUGGA apenas pelo “Entrar com Apple” deve excluir a conta pelo aplicativo, pois o site não oferece esse tipo de acesso. A exclusão é imediata e irreversível.

8.5. O que a exclusão apaga e o que permanece:

• Apagado: nome, foto, nome de usuário, biografia, telefone, CPF ou CNPJ, endereço de cobrança, cidade e interesses; o acesso por e-mail, senha, Google e Apple e as sessões abertas; seguidores, seguidos e bloqueios; cartões salvos e tokens de cartão; notificações e tokens de notificações push; e as conversas do chat. Os grupos criados pelo Usuário são excluídos e deixam de aparecer na plataforma, e ele sai dos grupos de que participava. O e-mail fica livre para uma nova conta
• Conta de anfitrião empresarial: a conta empresarial é cancelada e seus dados pessoais e financeiros (cadastrais, de verificação e de recebimento) são apagados. A página empresarial deixa de existir
• Atividades organizadas pelo Usuário: todas, já encerradas ou não, deixam de aparecer na plataforma, e o chat de cada uma é removido
• Mantido para obrigações legais: os registros de pagamentos, ingressos e participações em atividades, desvinculados do nome, do e-mail e dos documentos do Usuário. Os registros de pagamento com cartão mantêm os quatro últimos dígitos e a bandeira do cartão (o token do cartão é apagado), e os pagamentos mantêm o identificador de cliente no Asaas. Esses registros são guardados apenas pelo tempo necessário ao cumprimento de obrigações legais, fiscais e regulatórias e ao exercício regular de direitos (art. 16 da LGPD). O Asaas, como instituição de pagamento, mantém os registros que a regulação exige dele
• Denúncias: as denúncias feitas sobre uma conta (sobre suas atividades, seu perfil, suas páginas empresariais ou suas mensagens) são mantidas enquanto a conta existir. Na exclusão, os dados pessoais copiados para essas denúncias (nome, nome de usuário, textos e links de imagens) são apagados na hora, e resta apenas o registro da denúncia, que é eliminado 6 meses após a exclusão da conta

8.6. Quando a exclusão é recusada: a exclusão não é concluída enquanto o Usuário organizar uma atividade futura com ingressos vendidos, ou tiver vendas aguardando repasse, para que quem comprou seja atendido e o valor chegue a quem tem direito. Nesse caso, o aplicativo e o site informam o que fazer: falar com o suporte para cancelar a atividade e reembolsar os compradores, ou aguardar o repasse.

8.7. Registros de análise de uso e de erros associados a identificadores opacos podem permanecer nos provedores (seção 6) pelo prazo de retenção de cada um. Dados anonimizados seguem o previsto na seção 17.

9. Transferência Internacional de Dados

9.1. Alguns provedores listados na seção 6 processam ou armazenam dados fora do Brasil. É o caso do PostHog (nuvem dos Estados Unidos) e do Sentry (Estados Unidos). Para os demais provedores, cujo país de processamento não é especificado na seção 6, o tratamento também pode ocorrer no exterior.

9.2. Nesses casos, a LUGGA compartilha somente os dados necessários para cada finalidade e adota as salvaguardas previstas no art. 33 e seguintes da LGPD, como cláusulas contratuais e termos de tratamento de dados oferecidos pelos próprios provedores.

9.3. Os dados enviados à OpenAI limitam-se (a) aos textos e às imagens novos de perfis, atividades, grupos e páginas empresariais, verificados pela moderação automatizada quando são publicados ou editados, e (b) ao título e à descrição da atividade, quando o Usuário aciona a sugestão de categorias. As mensagens do chat não são enviadas à OpenAI.

10. Direitos do Titular

10.1. Em consonância com a LGPD, a LUGGA assegura aos seus Usuários o pleno exercício dos seus direitos fundamentais à liberdade, privacidade e proteção de dados.

10.2. O Usuário poderá, a qualquer momento e de forma gratuita, solicitar:

• Confirmação da existência de tratamento de dados
• Acesso aos dados pessoais: receber uma cópia dos dados mantidos
• Correção: de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou exclusão: de dados desnecessários ou tratados em desconformidade
• Portabilidade: transferência de dados a outro fornecedor
• Revogação do consentimento: quando aplicável
• Eliminação de dados: tratados com base no consentimento
• Oposição ao tratamento: realizado com base em legítimo interesse
• Reclamação perante a ANPD: caso entenda que seus direitos não foram atendidos

10.3. As solicitações serão analisadas e respondidas em prazo razoável, respeitando os prazos legais. A LUGGA poderá requerer comprovação da identidade do solicitante.

11. Segurança da Informação

11.1. A LUGGA adota medidas técnicas, administrativas e organizacionais para proteger os dados pessoais contra acessos não autorizados, destruição acidental ou ilícita, perdas, alterações e divulgações indevidas.

11.2. As medidas de segurança incluem:

• Comunicações criptografadas em trânsito (HTTPS)
• Dados de cartão tratados pelo Asaas, sem armazenamento do número completo nem do código de segurança pela LUGGA
• Acesso restrito aos dados e às áreas administrativas, com autenticação
• Identificadores opacos nas análises de uso e remoção de dados pessoais dos relatórios de erros
• Sessões de acesso encerradas e credenciais apagadas na exclusão da conta

11.3. A LUGGA mantém procedimentos de resposta a incidentes, nos termos do art. 46 da LGPD.

11.4. Incidentes de segurança que possam acarretar risco ou dano relevante aos titulares serão comunicados aos titulares e à ANPD, nos termos do art. 48 da LGPD.

12. Alterações nesta Política

12.1. A LUGGA poderá revisar e atualizar esta Política de Privacidade a qualquer momento, visando adequações legais, tecnológicas ou operacionais.

12.2. Modificações relevantes serão comunicadas por meios razoáveis. A versão mais atual estará sempre disponível no site oficial, com a data da última atualização no topo desta página.

12.3. O uso continuado da plataforma após as alterações significará ciência e concordância com a nova versão.

13. Encarregado de Dados (DPO) e Contato

13.1. Em conformidade com o art. 41 da LGPD, a LUGGA indica como Encarregado pelo Tratamento de Dados:

14. Inteligência Artificial e Processamento Automatizado

14.1. A LUGGA usa serviços da OpenAI em duas situações:

• Sugestão de categorias: ao criar uma atividade, o Usuário pode tocar em “Sugerir com IA”. Somente nesse momento, o título e a descrição da atividade são enviados à OpenAI, que devolve as categorias sugeridas
• Moderação automatizada: quando um perfil, uma atividade, um grupo ou uma página empresarial é publicado ou editado, os textos e as imagens novos são verificados pelo modelo de moderação da OpenAI (omni-moderation-latest), além de uma lista interna de termos proibidos. As mensagens do chat são verificadas apenas pela lista interna, sem envio à OpenAI

14.2. A sugestão de categorias é apenas uma ajuda: o Usuário escolhe se aceita ou altera as categorias. Nenhum outro dado do Usuário é enviado à OpenAI além dos descritos na seção 14.1.

14.3. Quando a moderação automatizada recusa uma publicação, o aplicativo avisa o Usuário, que pode editar o conteúdo e enviá-lo de novo. O Usuário também pode pedir a revisão da recusa por uma pessoa da equipe pelo e-mail contato@lugga.app, conforme o art. 20 da LGPD. Suspensões e banimentos de contas são decididos pela equipe da LUGGA, não de forma automatizada.

15. Privacidade Infantojuvenil

15.1. A plataforma LUGGA não é destinada a menores de 16 (dezesseis) anos, e o cadastro por eles não é permitido.

15.2. Se identificarmos que uma conta pertence a menor de 16 anos, a conta será removida e os dados associados serão excluídos com a maior brevidade possível, ressalvados os registros que a lei exija manter. Quem tiver conhecimento de uma conta nessa situação pode avisar pelo e-mail contato@lugga.app.

16. Respostas a Solicitações Legais, Segurança e Prevenção de Danos

16.1. A LUGGA poderá acessar, preservar ou compartilhar dados pessoais nas seguintes hipóteses:

• Cumprimento de obrigação legal ou regulatória
• Ordem judicial ou requisição de autoridade competente
• Investigação, prevenção ou repressão de fraudes e atividades ilícitas
• Proteção de direitos, propriedade e segurança da LUGGA e seus Usuários

16.2. Quando possível, o Usuário será informado, salvo se houver vedação legal.

17. Anonimização e Uso de Dados Agregados

17.1. A LUGGA poderá utilizar dados anonimizados e agregados para análise de desempenho, desenvolvimento de produtos e estudos estatísticos.

17.2. Dados anonimizados são aqueles que passaram por processo técnico de forma que o titular não possa ser identificado, nos termos do art. 5º, III, da LGPD, e, quando efetivamente anonimizados, não estão sujeitos às restrições da LGPD.

17.3. Dados agregados são combinados com outras informações para fins estatísticos, não permitindo identificação individual.

17.4. A LUGGA mantém padrões de segurança também no tratamento de dados anonimizados, evitando reidentificações não autorizadas, e pode mantê-los após o encerramento da relação.

18. Gerenciamento de Configurações de Privacidade

18.1. A LUGGA reconhece a importância de garantir autonomia e transparência ao Usuário no controle de seus dados pessoais.

18.2. Configurações da conta: No aplicativo, em Perfil › Configurações, o Usuário atualiza os dados do perfil, define se o perfil é privado, gerencia os usuários bloqueados e as notificações e pode excluir a conta. A localização e as notificações também podem ser desativadas nas configurações do sistema do dispositivo.

18.2.1. Exclusão de conta: o Usuário pode excluir a conta pelo aplicativo ou em lugga.app/account-deletion, conforme descrito na seção 8.

18.3. Contato com o DPO: Para exercer os demais direitos, como acesso a uma cópia dos dados, o Usuário poderá encaminhar solicitações ao DPO pelo e-mail contato@lugga.app

18.4. Todas as solicitações serão analisadas dentro de prazos razoáveis, podendo a LUGGA requerer confirmação de identidade.

19. Alteração da Controladora ou Operação Societária

19.1. Em caso de fusão, aquisição, cisão ou reestruturação societária envolvendo a LUGGA, os dados pessoais poderão ser transferidos à nova entidade controladora, desde que respeitados os termos desta Política e a legislação vigente.

20. Disposições Finais

20.1. Esta Política trata do tratamento de dados pessoais. As regras de uso da plataforma, das compras e dos reembolsos estão nos Termos de Uso.

20.2. Caso o Usuário tenha dúvidas, reclamações ou sugestões, poderá entrar em contato:

20.3. Esta Política será regida e interpretada conforme as leis da República Federativa do Brasil. Fica eleito o foro da Comarca de Natal/RN como competente para dirimir eventuais controvérsias, ressalvado o foro do domicílio do consumidor previsto em lei.