Política de Privacidade

1. Quem somos

O Trem Alerta é operado por André Augusto Moreira Martins, pessoa física, que atua como controlador dos dados pessoais tratados neste serviço, nos termos do art. 5º, VI, da LGPD. Contato para qualquer assunto de privacidade: [email protected].

2. Quais dados coletamos

• E-mail, para autenticação e para o envio dos alertas que você configurar;
• Senha, se você optar por criar conta com e-mail e senha (guardada como hash — ver item 8; se você entrar com sua conta Google, não guardamos senha nenhuma, só o identificador dessa conta Google);
• Dados dos alertas: estação de origem, estação de destino, data da viagem, classe preferida e quantidade de vagas desejada;
• Dados técnicos mínimos de operação: horário de criação da conta/alertas, histórico de disponibilidade consultado (para decidir quando notificar), e tokens de sessão/gerenciamento (armazenados como hash, nunca em texto puro).
• Histórico de compras de crédito: data, valor, quantidade de créditos, forma de pagamento e o identificador da transação no Mercado Pago — para dar suporte, calcular reembolsos e manter o seu extrato de créditos.

3. O que NÃO coletamos

Não coletamos CPF, RG, telefone ou qualquer dado de passageiro — a compra da passagem acontece inteiramente no portal da Vale, fora do Trem Alerta, e nós nunca vemos esses dados. Não coletamos número de cartão nem dados bancários: o pagamento é processado inteiramente pelo Mercado Pago, que atua como operador; de volta, recebemos apenas o status do pagamento, a forma de pagamento e o identificador da transação.

4. Base legal e finalidade do tratamento

Tratamos seu e-mail e os dados do alerta com base na execução de procedimentos preliminares e na prestação do serviço solicitado por você (art. 7º, V, LGPD) — ou seja, você pede para ser avisado sobre uma rota, e usamos esses dados exclusivamente para cumprir esse pedido. Os dados de cobrança (histórico de compras de crédito) são tratados para a execução do contrato de compra e venda de crédito e para o cumprimento de obrigações legais e fiscais (art. 7º, V e II, LGPD). Não usamos seus dados para publicidade, não os vendemos e não os compartilhamos com terceiros para fins de marketing.

5. Com quem compartilhamos dados

• Mercado Pago (Mercado Pago Instituição de Pagamento Ltda.), para processar o pagamento das compras de crédito — o checkout acontece no ambiente do Mercado Pago, que trata os seus dados de pagamento conforme a política de privacidade dele;
• Provedor de e-mail (SMTP), para o envio dos alertas — hoje Gmail, com possível migração para um provedor transacional (ex.: Brevo ou Resend) no futuro;
• API pública do portal da Vale, para consultar disponibilidade — enviamos apenas o código da rota e da data consultada, nunca o seu e-mail ou qualquer dado que te identifique;
• Provedor de hospedagem (Google Cloud Platform), onde o banco de dados do serviço fica armazenado.

Não compartilhamos seus dados com nenhum outro terceiro, e não os vendemos sob nenhuma circunstância.

6. Transferência internacional

O envio de e-mail via Gmail e a hospedagem via Google Cloud Platform podem envolver processamento em servidores fora do Brasil, operados por empresas globalmente reconhecidas e sujeitas a padrões de proteção de dados. Ao usar o serviço, você está ciente dessa transferência internacional, necessária ao funcionamento do serviço (art. 33, I, LGPD).

7. Por quanto tempo guardamos seus dados

Enquanto sua conta e seus alertas existirem. Você pode excluir um alerta a qualquer momento em Meus alertas ou pelo link de gerenciamento no próprio e-mail de notificação. Para excluir a conta inteira (e-mail e todos os dados associados), envie um pedido para o contato do item 1 — hoje esse processo ainda é manual; a exclusão automática pela própria conta é uma melhoria planejada.

8. Segurança

O acesso à conta é feito por e-mail e senha (ou, opcionalmente, login com Google). Sua senha nunca é guardada em texto puro: gravamos só um hash (scrypt) dela, de forma que ninguém — nem nós — recupera a senha original a partir do banco. Tokens de sessão, de redefinição de senha e de gerenciamento de alerta seguem a mesma lógica: ficam guardados como hash, não em texto puro. Nenhum sistema é completamente livre de risco, mas não pedimos CPF e não armazenamos número de cartão nem dados bancários — o pagamento é processado pelo Mercado Pago —, o que reduz bastante o que haveria a comprometer.

9. Cookies

Usamos um único cookie, essencial para manter você conectado (sessão de até 30 dias). Não usamos cookies de rastreamento, análise de comportamento ou publicidade, e não compartilhamos dados de navegação com terceiros.

10. Seus direitos

Nos termos do art. 18 da LGPD, você pode solicitar, a qualquer momento:

• confirmação de que tratamos seus dados, e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários;
• portabilidade dos dados a outro fornecedor de serviço;
• eliminação dos dados tratados com seu consentimento;
• informação sobre com quem compartilhamos seus dados;
• revogação do consentimento, quando aplicável.

Para exercer qualquer um desses direitos, escreva para o contato do item 1. Se não ficar satisfeito com a resposta, você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd.

11. Menores de idade

O Trem Alerta não é direcionado a menores de 18 anos e não coleta deliberadamente dados de crianças ou adolescentes.

12. Alterações nesta política

Podemos atualizar esta política; mudanças relevantes serão indicadas nesta página, com a data de atualização revisada.