Política de Privacidade

1. Quem é responsável pelos seus dados

Quem decide o que é feito com os dados descritos aqui — o que a lei chama de controlador — é: André Luis Schlemper, CPF 97361844987, Rua F, 218 Cond. Elias Júlio Matuck - Três Corações (MG) CEP 37.410-838.

Para qualquer pedido sobre os seus dados, o contato é [email protected].

2. O que a gente guarda de quem organiza a festa

Para ter conta no Vem Festar, é preciso ter 18 anos ou mais. Crianças e adolescentes aparecem no Vem Festar como convidados ou como quem faz aniversário, com o nome e a idade informados por quem organiza a festa ou por quem responde o convite pela família — a seção 4 trata desses dados.

Se você criou uma conta para organizar um evento, o Vem Festar guarda:

• Seu e-mail. É com ele que você entra: a gente manda um código de seis dígitos por e-mail e você digita esse código. Não existe senha no Vem Festar — logo, não há senha sua para vazar daqui.
• Seu nome e telefone, se você preencher. Os dois são opcionais.
• Os dados da festa que você mesmo escreve: nome do evento, data, local e endereço, descrição, traje, prazo para confirmar — e, numa festa de aniversário, o nome e a idade de quem faz aniversário.
• A lista de convidados que você monta ou importa de uma planilha: nome da família, nome do responsável, telefone, e o nome de cada pessoa convidada.
• O e-mail de quem você chama para organizar junto (coanfitrião) ou só para acompanhar a festa (leitura). O Vem Festar guarda o e-mail que você digitou e já cria uma conta com ele, na hora — antes de a pessoa entrar no Vem Festar pela primeira vez.
• A imagem do convite, se você subir uma arte própria em vez de usar um dos temas prontos.

Enquanto você está logado, o navegador guarda um cookie chamado vf_sessao. Ele serve só para lembrar que é você — não acompanha sua navegação, não vai para lugar nenhum fora deste site, e some quando você sai. É o único cookie criado para quem organiza a festa — quem foi convidado recebe um outro, descrito na seção 3.

Montar um convite não exige conta. Você escolhe o tema, escreve os dados da festa e revisa tudo antes de o Vem Festar pedir o seu e-mail — ele só é pedido no fim, na hora de o convite passar a existir de verdade.

Enquanto você monta, o que você digitou fica guardado no seu próprio navegador, e não no nosso servidor: o nome da festa, a data, o local e o endereço, o tema escolhido, as faixas de cobrança e — numa festa de aniversário — o nome e a idade de quem faz aniversário. Serve para você poder fechar a aba, sair para outra página e voltar sem perder o que já tinha escrito. Nada disso chega até a gente enquanto você não criar o convite.

Essa cópia some no instante em que o convite é criado. Até lá, ela fica no navegador daquele computador ou celular — inclusive se você desistir e nunca voltar. Se o aparelho é compartilhado e você quer apagar essa cópia sem criar o convite, limpe os dados deste site nas configurações do navegador.

3. O que a gente guarda de quem foi convidado

Se você recebeu um convite e foi confirmar presença, o Vem Festar guarda o que você digitou no formulário: o nome de cada pessoa que vai (ou não vai), se cada uma é adulto ou criança, a idade das crianças, o telefone do responsável, o recado que você deixar, e a sua resposta para cada momento da festa.

Você não precisa criar conta nem senha para responder um convite. Antes de enviar, você marca uma caixa autorizando o uso desses dados para organizar aquela festa — e a recusa não é só um aviso na tela: o servidor rejeita qualquer confirmação de convidado que chegue sem essa autorização. A data e a hora dela ficam registradas junto da sua resposta.

Quem vê essas respostas: quem organiza aquele evento, e quem tiver o link da sua família. O link é nominal e funciona como uma chave: quem abrir o link primeiro pode dizer “sou eu quem responde por esta família” e, a partir daí, é o navegador dessa pessoa que guarda a permissão de editar — é o cookie descrito no fim desta seção. Se o link foi encaminhado antes de alguém da sua família fazer isso, quem chegar primeiro ganha a permissão, e o caminho de volta é pedir ao anfitrião para liberar a família. A lista de convidados nunca aparece na página pública do convite, e a página da sua família é marcada para não ser indexada por buscadores.

Suas respostas não são apagadas quando mudam — com uma exceção. Se você confirmar e depois mudar de ideia, a resposta nova não sobrescreve a antiga: ela entra como um envio mais recente, e é ele que vale. O histórico continua guardado, e é o que permite ao anfitrião desfazer uma alteração errada. A exceção é o pedido de quem é dono do dado: quando alguém exclui a conta e a festa é apagada junto com ela, ou quando uma família pede para apagar os dados dela, os envios daquela família são apagados junto — e o que foi apagado não volta, nem pelo desfazer do anfitrião, que a partir daí reconstrói um histórico menor. A festa que for transferida a um coanfitrião, em vez de apagada, não perde nada: ela muda de dono com as respostas e o histórico inteiros (seção 9). Quando o pedido é de uma pessoa só, saem o nome, se é adulto ou criança, a idade e as respostas dessa pessoa; o nome e o telefone do responsável e o recado são da família e ficam, junto com o envio em que ela respondeu.

Enquanto você preenche o formulário, o seu navegador guarda um código aleatório. Esse código vai junto com o envio e fica guardado no banco como chave técnica, para o mesmo envio não entrar duas vezes se a página recarregar no meio; ele não identifica ninguém. A cópia que o navegador guarda some assim que o envio dá certo.

O cookie da sua família. Quando você assume a confirmação — apertando o botão que diz que é você quem responde por essa família, ou respondendo pelo link aberto da festa, que cria a sua família na hora e já entrega essa permissão a você —, o navegador passa a guardar um segundo cookie, chamado vf_grupo_ mais o código do seu convite. Ele existe para o produto separar você de qualquer outra pessoa para quem o link tenha sido encaminhado — o parágrafo “O que quem está sem esse cookie vê” diz exatamente o que muda. Ele não pode ser lido por JavaScript, não acompanha a sua navegação, não vai para lugar nenhum fora deste site e vale um ano — porque você não tem conta nem senha aqui, e o normal é reabrir o mesmo link semanas depois para corrigir a resposta. Se ele for para a pessoa errada, o anfitrião pode liberar a família de novo.

O que quem está sem esse cookie vê, e a gente prefere dizer do que esconder. Sem ele, a idade exata de cada criança deixa de aparecer e do telefone do responsável ficam só os quatro últimos dígitos. Mas os nomes continuam aparecendo — o da família, o do responsável e o de cada pessoa convidada, adulto ou criança —, porque um convite nominal sem nome não convida ninguém. E, quando o anfitrião liga a cobrança por idade do buffet, a faixa de idade continua aparecendo ao lado do nome da criança (por exemplo, “conta como Até 4 anos”), embora a idade exata não — a não ser que a faixa seja tão estreita que vire, na prática, a própria idade. Também a resposta de presença de cada pessoa continua saindo inteira — quem vai e quem não vai, em cada momento da festa —, ainda que a página não mostre isso.

5. Com quem esses dados são compartilhados

O Vem Festar não vende, não aluga e não troca dados com ninguém. Os dados chegam a outras empresas só quando é a empresa que faz a coisa funcionar. São estas, e só estas:

• Railway — hospeda o site e o banco de dados PostgreSQL onde tudo o que está descrito acima fica guardado.
• Cloudflare — fica na frente do site: cuida do DNS, do certificado de segurança e de barrar excesso de requisições. O tráfego que chega pelo endereço vemfestar.com.br passa por ela — o do site e também o do aplicativo com o nosso servidor; o painel dela mostra contagens agregadas desse tráfego (seção 6).
• Resend — entrega o e-mail com o código de acesso e o aviso de cada denúncia (seção 12). No código de acesso, recebe o seu endereço de e-mail e o código; no aviso de denúncia, recebe o contato da seção 1, o tipo, o motivo e o endereço do painel de denúncias; nada mais.
• Expo — entrega as notificações do aplicativo e as atualizações dele, e gera métricas de uso a partir da consulta de atualização (seções 6 e 8). Recebe o identificador do aparelho que vai receber a notificação, o nome do evento e o texto do aviso (por exemplo: “Família Prado confirmou (2) — 5 de 12”); no registro das notificações, o token que o Google ou a Apple gera para o aparelho e o identificador do aplicativo; e, como a seção 8 descreve, os identificadores de instalação e os dados da consulta de atualização.
• Google (Firebase Cloud Messaging) — no Android, é por onde a notificação chega ao celular: a Expo repassa cada aviso a ele. Recebe o token do aparelho e o conteúdo da notificação — o nome do evento e o texto do aviso.
• Apple (Apple Push Notification service) — no iPhone e no iPad, o mesmo papel: recebe o token do aparelho e o conteúdo da notificação.
• Cloudflare R2 — guarda os arquivos de imagem, incluindo a arte que o anfitrião subir para o convite.

Essas empresas mantêm servidores fora do Brasil. Elas atuam como operadoras: processam os dados para entregar esses serviços, a mando do controlador.

Uma exceção que depende de você: na página do convite existe um botão de “como chegar”. Se — e somente se — você tocar nele, o endereço da festa é enviado ao Waze ou ao Google Maps, porque é para lá que o botão leva. Nenhum dado seu vai junto, e nada acontece se você não tocar.

6. O que a gente NÃO faz

Esta seção é curta porque é verdadeira, e cada linha dela pode ser conferida no código do produto — ou, no que depende da Expo e da Cloudflare, na documentação pública delas e no que a própria página carrega; o que o Vem Festar faz com as contagens que elas mostram é compromisso nosso:

• Não há ferramenta de rastreamento — nem Google Analytics, nem gerenciador de tags, nem pixel de rede social, nem mapa de calor, nem gravação de sessão. O site não carrega script de análise, de anúncio nem de rastreamento: o único script que não é nosso é o que a Cloudflare põe na página para esconder os endereços de e-mail de robôs. O aplicativo não tem SDK de análise, de anúncio nem de atribuição. A Expo e a Cloudflare mostram ao Vem Festar contagens agregadas de uso. A Expo, que opera o serviço de atualização do aplicativo (seção 5), mostra no painel dela contagens de aberturas e de instalações, e a taxa de falhas, a partir da pergunta que o aplicativo faz toda vez que inicia (seção 8). A Cloudflare, que fica na frente do nosso servidor (seção 5), mostra no painel dela contagens agregadas do tráfego que passa por ela, do site e do aplicativo, como requisições, volume de dados, visitantes únicos — que ela conta pelo endereço de IP — e requisições por país. O Vem Festar usa essas contagens — as da Expo e as da Cloudflare — para saber se o aplicativo e o site funcionam e estão estáveis, e não usa nenhuma delas para anúncio, para montar perfil nem para vender dado.
• Não há cookie de rastreamento nem de publicidade. Os dois cookies que o produto cria — o de login (seção 2) e o da confirmação da sua família (seção 3) — servem só para o site saber quem é você dentro dele mesmo.
• Não há anúncio e não há perfilamento para publicidade.
• Não há venda nem compartilhamento de dados com corretores de dados ou parceiros comerciais.
• Seu endereço de IP não vai para o banco de dados. Ele fica só na memória do servidor, para contar quantos envios chegam de um mesmo endereço a cada minuto e barrar um robô que despeje confirmações falsas — nunca é gravado no banco de dados, e sai da memória quando o servidor reinicia (às vezes antes, se a lista de endereços crescer muito). Os provedores que ficam no caminho da conexão — Cloudflare e Railway, que a seção 5 nomeia — recebem o endereço de IP para entregar o serviço, e podem mantê-lo nos registros de acesso deles. Pelo aplicativo, o IP do celular chega também a três empresas da seção 5: à Expo, toda vez que o aplicativo inicia e pergunta se existe uma versão nova, e quando ele registra o aparelho para as notificações (seção 8); e aos serviços de notificação do Google, no Android, e da Apple, no iPhone e no iPad, quando o aparelho se registra e a cada notificação que ele recebe. Em todos esses casos, o IP chega só como parte da própria conexão, e o Vem Festar não o usa para montar perfil.

7. O que fica visível para outras pessoas

Depois que o anfitrião publica o convite, a página dele fica aberta a qualquer pessoa que tenha o link, sem senha. Ela mostra o que o convite mostra: o nome do evento, a data, o local, e — numa festa de aniversário — o nome e a idade de quem faz aniversário.

Esses mesmos dados entram também na imagem de pré-visualização do convite — aquele cartão que aparece quando o link é colado no WhatsApp ou numa rede social.

Como a página de um convite publicado é pública, ela pode ser encontrada por buscadores. Vale para o convite; não vale para a lista de convidados, que nunca é exibida ali, nem para a página de confirmação de cada família, que é marcada para não ser indexada. Enquanto o convite não é publicado, ele só é visível para quem o criou.

Arquivar uma festa e tirar o convite do ar são duas coisas separadas. No painel, o anfitrião arquiva a festa no botão “Arquivar festa”: a partir daí ela para de receber novas respostas pelo link — mas arquivar uma festa não tira o convite do ar por si só. O link continua respondendo, com o nome e a idade de quem faz aniversário, até alguém tirar o convite do ar. Ao arquivar, a gente pergunta “tirar o convite do ar também?” — é uma escolha, não um automático. E tirar o convite do ar não apaga dado nenhum — só faz a página, a pré-visualização e o arquivo de calendário pararem de responder.

8. O que fica guardado no seu celular

O aplicativo do Vem Festar guarda uma cópia dos seus eventos, do placar de confirmações e das listas de convidados dentro do próprio aparelho, para você conseguir abrir e trabalhar sem internet. As alterações que você faz offline ficam numa fila no aparelho até a conexão voltar.

O seu código de acesso ao aplicativo fica na área protegida do sistema operacional (o chaveiro do iPhone ou o equivalente no Android), não em arquivo comum.

Toda vez que o aplicativo inicia, ele pergunta à Expo (seção 5) se existe uma versão nova dele. Nessa pergunta vão o sistema do celular (Android ou iOS), a versão do aplicativo, a identificação da atualização que ele está usando e um identificador da instalação — um código aleatório, criado para aquela instalação do aplicativo e guardado no celular. Isso acontece sempre, com ou sem notificações ligadas, e não depende de nenhuma escolha sua. Se o aplicativo — ou a parte dele que busca atualizações — tiver falhado ao iniciar, a pergunta seguinte leva também um trecho do registro desse erro, de até 1024 caracteres. E, se uma atualização tiver falhado ao abrir no aparelho, as perguntas seguintes levam a identificação das que falharam — no máximo as cinco mais recentes. Se existe versão nova, o aplicativo a baixa da Expo, e esse download leva os mesmos dados da pergunta, fora o registro de erro e a lista das que falharam. Nada disso é dado que você digita, e o identificador da instalação vai só para a Expo: ele não é guardado no nosso banco.

A Expo usa essas perguntas para mostrar ao Vem Festar, no painel dela, contagens agregadas de aberturas e de instalações, e a taxa de falhas, por versão do aplicativo e por atualização. O identificador da instalação identifica uma instalação, não uma pessoa, e, nessas contagens, cada instalação conta como um usuário. O que o Vem Festar faz com esses números está na seção 6.

Se você liga as notificações do aplicativo, o Vem Festar guarda um identificador do aparelho — um código que o sistema de notificações gera para o seu celular. Sem essa permissão, o aplicativo não pede esse código. Ele fica guardado junto da sua conta, porque é assim que o aviso de quem confirmou presença chega no aparelho certo. Esse código não é o seu nome nem o seu e-mail, mas identifica o aparelho de forma duradoura: reinstalar o aplicativo costuma gerar o mesmo código de novo.

Para criar esse código, o aplicativo manda à Expo o token que o Google (no Android) ou a Apple (no iPhone e no iPad) gera para o aparelho, junto com o identificador do aplicativo e um identificador da instalação — outro, criado pelo módulo de notificações, diferente do que vai na pergunta sobre a versão nova. Depois, o código é enviado à Expo (seção 5) toda vez que uma notificação é disparada — é ela quem entrega o aviso, pelo Google ou pela Apple. Ele fica ligado à sua conta no máximo enquanto ela existir, e sai do nosso banco em três situações: quando você sai da conta naquele aparelho, quando o serviço de notificações avisa que aquele código não vale mais, e quando você exclui a conta.

Sair da conta só apaga o código se o celular estiver conectado. O aplicativo avisa o nosso servidor na hora em que você sai; se a internet falhar nesse momento, ele sai da conta do mesmo jeito e não tenta de novo — o código pode continuar no nosso banco, ligado à sua conta, até sair por um dos outros dois caminhos. Enquanto isso, aquele aparelho pode continuar recebendo os avisos da sua conta.

Desligar as notificações de uma festa não apaga esse código — essa opção faz o que diz, interrompe os avisos daquela festa, e é outra coisa. Tirar a permissão de notificação nos ajustes do celular também não avisa o nosso servidor. Se o que você quer é o código fora do nosso banco, o caminho é sair da conta naquele aparelho, com ele conectado, ou excluir a conta (seção 10). Se outra pessoa entrar com outra conta no mesmo celular, o código passa a valer para a conta nova, e a anterior para de receber aviso.

Quando você sai da conta, essa cópia é apagada por inteiro — eventos, placares, listas, fila e o registro de quem era o dono do aparelho. Se outra pessoa entrar com outra conta no mesmo celular, os dados da conta anterior também são apagados antes. Se a sua sessão simplesmente expirar, as listas são apagadas, mas o trabalho que você fez offline e ainda não sincronizou é preservado, para não ser perdido sem você saber.

Apagar o aplicativo do aparelho leva junto tudo o que estava guardado nele — mas não o código do aparelho que fica no nosso banco: esse não sai pela desinstalação, e sim pelos três caminhos descritos acima.

9. Por quanto tempo a gente guarda

Enquanto a conta e o evento existirem, os dados descritos aqui continuam guardados. Não há um prazo automático que apague uma festa antiga só por ser antiga.

O que tem prazo é o pedido de exclusão. Quando uma família pede para apagar pelo link, o efeito é imediato no produto, e o apagamento do banco vem na primeira varredura diária depois de completar 7 dias — entre 7 e 8 dias (seção 10). Quando alguém exclui a conta, o apagamento do banco é na hora, dentro da mesma operação; a imagem do convite sai do armazenamento numa etapa separada, logo depois — e, se essa etapa falhar, o arquivo fica no armazenamento, sem nova tentativa automática.

“Remover” e “apagar” são coisas diferentes aqui, e a diferença importa. Quando o anfitrião tira uma família ou uma pessoa da lista dele, ela some do produto — das listas, das contagens, dos relatórios, da exportação — mas o registro continua no banco, marcado como removido, para o histórico de respostas não ficar quebrado. Isso não é um pedido de exclusão, e por isso não dispara apagamento nenhum. Quando quem pede é o dono do dado, aí sim o registro sai do banco.

O que acontece com as suas festas se você excluir a conta: cada festa sua que tiver um coanfitrião que já usou o Vem Festar é transferida para ele — quando há mais de um, para o que virou coanfitrião primeiro —, e a festa continua de pé, com outro dono. As festas que não tiverem são apagadas com tudo o que dependia delas: convidados, respostas, histórico e a imagem do convite. Coanfitriões dessas festas perdem o acesso.

O código de acesso enviado por e-mail vale 10 minutos e é invalidado assim que é usado. A sessão de login vale 30 dias. Nos dois casos, o registro deixa de valer na hora certa, mas continua guardado no banco até você excluir a conta.

Como apagar a sua conta ou os seus dados por conta própria está na seção 10.

10. Seus direitos

A LGPD garante que você possa pedir: confirmação de que existe tratamento dos seus dados, acesso a eles, correção do que estiver errado, anonimização ou eliminação dos dados desnecessários, portabilidade, informação sobre com quem foram compartilhados, e a revogação do consentimento que você deu.

Você mesmo apaga, sem pedir a ninguém. São três caminhos, e nenhum deles depende de a gente responder um e-mail:

• Se você foi convidado, a página da sua família tem a opção de apagar os dados dela. Por padrão sai a família inteira; se preferir, dá para tirar uma pessoa de cada vez. Você precisa ser quem respondeu por essa família — é a mesma permissão que autoriza editar as respostas.
• Se você tem conta, a tela da sua conta tem o botão de excluir. Ele apaga o seu cadastro e encerra o seu acesso na hora, sem volta. O que acontece com as suas festas está na seção 9.
• Se você não lembra por onde começar, a página vemfestar.com.br/excluir-dados explica os dois primeiros passo a passo.

O que acontece quando um convidado apaga: o efeito é imediato — os dados saem da lista, das contagens, dos relatórios e da exportação na hora. O que resta no banco é apagado na primeira varredura diária depois de completar 7 dias — na prática, entre 7 e 8 dias depois do seu pedido, porque a varredura roda uma vez por dia. Durante esse prazo, quem organiza a festa é avisado de que a sua família pediu para apagar, e pode desfazer o pedido caso tenha sido engano. Completados os 7 dias, nem ele desfaz.

Enquanto o pedido de uma família inteira está nesse prazo, o nome dela para de aparecer no acompanhamento em tempo real que o anfitrião vê. Quando o pedido é de uma pessoa só, o acompanhamento não muda.

Os outros direitos da LGPD — confirmação, acesso, correção, portabilidade, informação sobre compartilhamento e revogação do consentimento — são atendidos pelo contato da seção 1. Duas coisas você também resolve sozinho: sair da conta no aplicativo apaga a cópia local no aparelho (o identificador dele só sai do nosso banco se o aviso de saída chegar ao servidor com a sua sessão ainda valendo; sem conexão, ou com a sessão já vencida, ele pode ficar lá até sair por um dos outros caminhos da seção 8), e desligar as notificações nas preferências do evento interrompe os envios.

11. Segurança

O código de acesso e o identificador da sua sessão não ficam guardados como você os digitou: o que vai para o banco é uma transformação irreversível deles. O cookie de login não pode ser lido por JavaScript e só trafega por conexão criptografada em produção. O acesso a cada evento é verificado a cada requisição, de modo que quem organiza um evento não enxerga os dados de outro.

Nenhum sistema é imune a incidentes. O que este declara é o que ele faz — não uma promessa de segurança absoluta.

12. Denúncias, bloqueios e suspensões

Dentro do aplicativo, quem participa de uma festa pode denunciá-la, e quem organiza pode denunciar um membro. De cada denúncia o Vem Festar guarda: quem denunciou; quem foi denunciado — o membro, ou quem organizava a festa na hora; o motivo escolhido; o texto que você escrever, se quiser, com até 500 caracteres; a data em que ela foi feita; e, depois da análise, a data em que foi resolvida e o que foi decidido.

Cada denúncia gera um aviso por e-mail ao contato da seção 1, na hora, pelo Resend (seção 5). O aviso leva só o tipo, o motivo e o endereço do painel de denúncias; o texto, o nome da festa e os e-mails de quem denunciou e de quem foi denunciado não vão no aviso — o Vem Festar os vê no painel. Se o envio falhar, a denúncia fica guardada do mesmo jeito, marcada como sem aviso, e o e-mail não é reenviado.

Para que serve: aplicar as Regras de uso e proteger quem usa o Vem Festar. Quem vê as denúncias é só o Vem Festar, e quem é denunciado não fica sabendo quem denunciou: o Vem Festar não manda aviso nenhum à pessoa denunciada, nem a quem organiza a festa denunciada.

Bloquear quem convidou você. Ao sair de uma festa de outra pessoa, você pode bloquear quem a organiza. O Vem Festar guarda quem bloqueou quem, e quando. A pessoa bloqueada não consegue mais adicionar você em festa nenhuma — o convite dela é recusado sem dizer que houve bloqueio — e não é avisada. O bloqueio dura até você desfazê-lo na tela da sua conta, ou até uma das duas contas ser excluída.

O que o Vem Festar pode fazer depois de analisar: suspender a festa — o convite e a confirmação de presença deixam de abrir, e o aplicativo mostra a festa só para leitura — ou bloquear a conta responsável, que não entra mais e tem as sessões abertas encerradas na hora. A data da suspensão e a do bloqueio ficam guardadas. Para contestar, escreva para o contato da seção 1.

Por quanto tempo: uma denúncia em análise fica guardada até ser resolvida. A denúncia resolvida é apagada na primeira varredura diária depois de completar 12 meses da resolução. Se quem denunciou, ou quem foi denunciado, excluir a conta antes disso, a denúncia continua guardada, sem a ligação com essa conta, porque o texto pode ser necessário para proteger outras pessoas. Os bloqueios feitos e recebidos por quem exclui a conta são apagados junto com ela.

13. Mudanças nesta política

Quando este texto mudar, a data do início desta página muda junto. Como a política é escrita a partir do código, uma mudança relevante no que o produto coleta deve vir acompanhada da mudança aqui.