Política de Privacidade — VESS Wellness Lab

Este documento é um placeholder técnico. O conteúdo definitivo é responsabilidade do escritório jurídico da J&V Wellness LTDA e será publicado como uma nova versão antes do lançamento ao público.

1. Quem somos (Controlador)

J&V Wellness LTDA — CNPJ 61.538.059/0001-22, com endereço em Brasília-DF, operadora da rede VESS Wellness Lab.

2. Encarregado (DPO)

• Nome: A definir antes do lançamento público (rastreado em docs/legal-review-pending.md)
• E-mail: dpo@vess.app
• Canal oficial: Formulário de contato com o DPO — Story 8.6 R1 (2026-05-11).

Em conformidade com a LGPD (Lei 13.709/2018, art. 41), você pode contatar o Encarregado de Dados Pessoais para exercer seus direitos (acesso, correção, eliminação, portabilidade, revogação) ou para relatar um incidente de segurança envolvendo seus dados. Responderemos em até 15 dias corridos conforme LGPD art. 19.

Se você quiser excluir sua conta sem precisar do app instalado, use o canal específico em vess.app/solicitacao-exclusao-conta (Google Play User Data policy + LGPD art. 18, VI).

3. Quais dados tratamos

• Identificação: nome, CPF, e-mail, telefone, data de nascimento.
• Operacionais: presença em aulas, reservas, histórico de pagamentos (via Asaas).
• Saúde voluntários: restrições médicas informadas por você.
• Técnicos: endereço IP, user agent, logs de sessão.

4. Base legal e finalidade

• Execução de contrato (art. 7º, V): processamento de aulas, reservas, cobranças, NFS-e.
• Cumprimento de obrigação legal (art. 7º, II): retenção fiscal por 5 anos das cobranças pagas + NFS-e emitidas (CTN + LGPD art. 16, II).
• Consentimento (art. 7º, I): marketing — opt-in via /preferencias (Story 8.5).

5. Compartilhamento

• Asaas (processador financeiro, CNPJ 19.540.550/0001-21) — cobranças + NFS-e.
• Supabase Inc. (host de banco de dados, São Paulo). Acordo de Tratamento de Dados (DPA) assinado.
• WhatsApp Business (Meta) — apenas mensagens transacionais de aulas/cobranças.

6. Seus direitos (LGPD art. 18)

• Acesso, correção, anonimização, portabilidade, eliminação, revogação de consentimento.
• Exercer todos via /contato-dpo ou diretamente em dpo@vess.app.
• Eliminação completa de conta via /solicitacao-exclusao-conta.

7. Retenção

• Dados de aluna ativa: enquanto a conta existir.
• Dados financeiros (cobranças/NFS-e): 5 anos após o evento (anonimizados após eliminação de conta).
• Audit log (audit_log table): 12 meses, retenção mínima por NFR15.
• Consentimentos LGPD: permanentemente (evidência para ANPD).

8. Cookies e analytics

• Apenas com seu consentimento explícito (banner Story 6.0). Sem consentimento, nenhum evento de analytics é registrado (LGPD N8).

9. Segurança

• TLS 1.3 em todas as comunicações.
• RLS multi-tenant no banco (Story 1.6).
• Audit log append-only com RLS-locked UPDATE/DELETE (Story 1.7 + N6).
• Senhas com bcrypt cost ≥10 (Supabase Auth).

10. Mudanças nesta política

Toda alteração gera uma nova versão (sistema append-only versoes_politica_privacidade). Você é notificada por e-mail + banner ao próximo login quando uma nova versão entra em vigor.

11. Contato

• DPO: dpo@vess.app ou /contato-dpo
• ANPD: https://www.gov.br/anpd