Política de Privacidade do Firmo90 — v1.3

Versão: 1.3
Data efetiva: 15 de abril de 2026
Última revisão: 9 de outubro de 2026

1. Identificação do Controlador

O Firmo90 ("nós", "controlador") é uma plataforma digital cuja finalidade é apoiar pessoas no processo de superação da dependência de pornografia, oferecendo registro diário de progresso, comunidade de apoio, conteúdo educacional e ferramentas de acompanhamento.

2. Encarregado pelo Tratamento de Dados (DPO)

Em atendimento ao Art. 41 da Lei nº 13.709/2018 (LGPD):

Atribuições do DPO (Art. 41 §2º LGPD):

1. Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências.
2. Receber comunicações da Autoridade Nacional de Proteção de Dados (ANPD) e adotar providências.
3. Orientar funcionários e contratados sobre práticas a serem tomadas em relação à proteção de dados pessoais.
4. Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

3. Categorias de Dados Pessoais Coletados

4. Finalidades e Bases Legais (Art. 7º e Art. 11 LGPD)

O consentimento é coletado de forma destacada no momento do cadastro e renovado a cada mudança material desta política.

5. Compartilhamento com Terceiros (Subprocessadores)

Os seguintes operadores tratam dados pessoais em nosso nome. Até esta data não temos Acordo de Tratamento de Dados (DPA — Data Processing Agreement) assinado que possamos exibir para nenhum deles: o que rege cada relação hoje são os termos de serviço e a política de privacidade públicos do provedor. A formalização está em andamento e, quando concluída, o documento será disponibilizado sob solicitação em [email protected]. Enquanto isso, a proteção que realmente aplicamos é de minimização: enviamos a cada operador o mínimo que a função dele exige, conforme descrito nas colunas abaixo.

6. Transferência Internacional de Dados (Art. 33 LGPD)

Determinados operadores estão sediados fora do Brasil, principalmente nos Estados Unidos. A transferência ocorre com base em (i) necessidade para a execução do contrato com o titular (Art. 33 IX), (ii) consentimento específico do titular quando aplicável (Art. 33 VIII) e (iii) as cláusulas contratuais que cada provedor oferece em seus termos públicos (Art. 33 II). Não invocamos cláusulas-padrão incorporadas a um DPA assinado, porque tal instrumento ainda não existe com esses provedores (ver a seção 5). Para subprocessadores que oferecem rede global (Cloudflare), o roteamento de dados pode passar por múltiplas jurisdições, sempre sob criptografia em trânsito (TLS 1.2+).

7. Períodos de Retenção

8. Direitos do Titular (Art. 18 LGPD)

Você pode, a qualquer momento e gratuitamente:

1. Confirmar a existência de tratamento e acessar seus dados.
2. Corrigir dados incompletos, inexatos ou desatualizados.
3. Solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
4. Solicitar a portabilidade dos dados em formato estruturado (JSON).
5. Solicitar a eliminação de dados tratados com base no consentimento.
6. Obter informação sobre as entidades públicas e privadas com as quais compartilhamos seus dados.
7. Ser informado sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
8. Revogar o consentimento a qualquer momento.

Como exercer:

• Pelo site, para acesso e portabilidade: firmo90.com/br/my-data. Você informa o e-mail da conta e recebe nele um link de uso único para baixar o arquivo.
• Pelo aplicativo, para eliminação: Configurações → Excluir minha conta.
• Por API: GET /api/v1/users/me/data-export e DELETE /api/v1/auth/account.
• Por e-mail: [email protected].

Prazo de resposta: até 15 dias para confirmação simples; até 30 dias para solicitações que demandem pesquisa.

9. Segurança da Informação (Art. 46 LGPD)

Aplicamos medidas técnicas e administrativas compatíveis com o estado da arte:

• Criptografia em repouso de dados pessoais identificáveis (PII): AES-256-GCM.
• Criptografia em repouso de conteúdos de alta sensibilidade — mensagens do chat de apoio com IA, resumos de conversa, check-ins de vulnerabilidade, transcrições do check-in conversacional, mensagens diretas entre usuários, mensagens em grupos da comunidade, mensagens no chat com o parceiro de accountability e comentários da comunidade — usando AES-256-GCM com chave derivada via PBKDF2-SHA512.
• O corpo das publicações da comunidade não está uniformemente sob essa camada: parte das rotas de publicação grava o texto cifrado e parte o grava legível no banco. Não afirmamos, portanto, que toda publicação esteja cifrada em repouso. A leitura continua restrita por controle de acesso, e a uniformização está em correção.
• Criptografia em trânsito: TLS 1.2+ em todas as comunicações.
• Hash de senhas e PIN: bcrypt (12 rounds).
• Autenticação multifator (MFA) opcional para usuários e obrigatória para painel administrativo.
• Tokens JWT de curta duração (1 hora) + refresh tokens (30 dias).
• Segregação de ambientes (produção/staging/desenvolvimento).
• Monitoramento contínuo de erros e intrusões (Sentry, Cloudflare WAF).
• Backups criptografados com retenção rotativa.
• Pré-commit hooks e CI scanning para evitar vazamento de segredos.
• Revisões periódicas de segurança e auditoria de PII.

10. Notificação de Incidentes de Segurança (Art. 48 LGPD)

Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, comunicaremos:

1. À ANPD em prazo razoável, conforme regulamentação vigente (referência atual: até 72 horas).
2. Aos titulares afetados, por e-mail e/ou notificação no aplicativo, no mesmo prazo.

A comunicação conterá: descrição da natureza do incidente, dados afetados, medidas técnicas e de segurança utilizadas, riscos relacionados e medidas adotadas para reverter ou mitigar os efeitos.

11. Crianças e Adolescentes (Art. 14 LGPD)

O Firmo90 é destinado exclusivamente a maiores de 18 anos. Não coletamos, processamos ou armazenamos intencionalmente dados pessoais de menores de 18 anos. O cadastro exige declaração de data de nascimento e bloqueia automaticamente qualquer titular abaixo dessa idade.

Caso identifiquemos, por iniciativa própria ou por denúncia, que um titular menor de 18 anos criou conta, a conta será bloqueada imediatamente e os dados pessoais associados serão purgados em até 30 dias.

12. Foro e Legislação Aplicável

Esta política rege-se pelas leis da República Federativa do Brasil, em especial pela Lei nº 13.709/2018 (LGPD) e pelo Código de Defesa do Consumidor. Fica eleito o foro da comarca de Manaus/AM para dirimir questões oriundas deste documento, salvo competência diversa estabelecida por lei (em especial CDC para relações de consumo, que assegura ao consumidor o foro de seu domicílio).

Histórico de Versões

Última publicação: 9 de outubro de 2026. ← Voltar à versão resumida