Política de Privacidade, Proteção de Dados & IA

1. Agentes de Tratamento na LGPD (Controlador vs. Operador de Dados)

Nos termos dos Artigos 5º (incisos VI, VII e VIII) e 42 da LGPD, o tratamento de dados na plataforma ocorre sob duas naturezas distintas:

• 1.1. AfterON como Controladora: Em relação aos dados de criação e manutenção da conta de usuário na plataforma, segurança antifraude, logs de autenticação e processamento técnico do checkout, a AfterON atua como Controladora.
• 1.2. Produtor do Evento como Controlador Independente (e AfterON como Operadora): A partir do momento em que o Comprador adquire um ingresso ou inicia reserva para um evento específico, o Produtor/Organizador daquele evento atua como Controlador independente dos dados necessários ao credenciamento de portaria, validação de meia-entrada, envio de avisos operacionais do evento (Broadcast) e gestão de vendas. A AfterON não responde por tratamentos externos realizados pelo Produtor fora do ambiente da plataforma.

2. Dados Pessoais Coletados e Respectivas Bases Legais (Art. 7º e 11 da LGPD)

Coletamos estritamente os dados mínimos necessários (princípio da necessidade — Art. 6º, III da LGPD) para a prestação segura do serviço:

• Dados de Identificação e Conta (Execução de Contrato — Art. 7º, V): Nome completo, endereço de e-mail, telefone/WhatsApp, foto de perfil/avatar (opcional), biografia e senha armazenada exclusivamente sob criptografia irreversível (hash bcrypt). Quando utilizado o botão "Continuar com Google" (OAuth 2.0), recebemos do Google apenas o nome público, e-mail verificado e URL da foto de perfil.
• Dados Financeiros, CPF e Chave PIX (Obrigação Legal e Prevenção à Fraude — Art. 7º, II e IX; Art. 11, II, 'g'): Número de CPF/CNPJ, endereço de cobrança e dados de pagamento exigidos pelo Banco Central do Brasil e pela instituição de pagamento homologada (Asaas) para emissão de cobranças PIX, liquidação de saques de Produtores/Promoters e análise antifraude de cartões. A AfterON NÃO armazena números completos de cartão de crédito ou código de segurança (CVV) em seu banco de dados.
• Dados de Comprovação de Meia-Entrada e PCD (Cumprimento de Obrigação Legal — Lei nº 12.933/2013): Nome do beneficiário, CPF, número do documento estudantil (CIE), ID Jovem, laudo PCD ou vínculo institucional anexado pelo comprador exclusivamente para auditoria e validação do benefício legal pelo Produtor do evento.
• Dados de Navegação, Reserva de Camarotes e Logs de Portaria (Marco Civil da Internet — Lei nº 12.965/2014): Endereço IP, data e hora exatas (timestamp) de acesso, eventos de leitura do QR Code na portaria e parâmetros de origem de campanha/afiliado (utm_source / ?ref=).
• Visibilidade em Camarotes (Modo Anônimo Disponível): Ao adquirir assento em camarote no mapa interativo, o comprador pode optar por exibir seu nome/avatar social no mapa do camarote ou manter sua reserva privada/anônima.

3. Tratamento Automatizado, Inteligência Artificial e Proteção de Dados (Art. 20 da LGPD)

Em conformidade com as diretrizes de governança de Inteligência Artificial e com o Artigo 20 da LGPD:

• 3.1. Prevenção Automatizada a Fraudes e Bots: Utilizamos regras algorítmicas automatizadas (rate-limiting, validação atômica de QR Code, bloqueio de tentativas simultâneas de saque e verificação de titularidade) para proteger os usuários contra invasões de conta, clonagem de ingressos e ataques cibernéticos.
• 3.2. Não Compartilhamento de Dados Sensíveis para Treinamento Externo: A AfterON não vende, não aluga e não cede dados pessoais, CPFs ou documentos de meia-entrada de seus usuários para treinamento de modelos públicos de Inteligência Artificial de terceiros.
• 3.3. Direito à Revisão: O titular tem o direito de solicitar esclarecimentos ou revisão sobre qualquer bloqueio preventivo automatizado de conta ou validação documental de meia-entrada diretamente pelos canais de atendimento.

4. Compartilhamento Estrito de Dados e Infraestrutura Internacional

Os dados pessoais são compartilhados exclusivamente com parceiros essenciais de infraestrutura e sob rígidos contratos de confidencialidade e segurança (Art. 33 da LGPD):

• Asaas Gestão Financeira S.A.: Processamento de PIX, Cartão de Crédito, antifraude e transferências de saque.
• Produtor / Organizador do Evento Adquirido: Acesso restrito aos dados dos compradores daquele evento específico para controle de portaria, validação de meia-entrada e comunicados oficiais.
• Google LLC (Google Wallet API & Google OAuth): Quando o próprio usuário opta por clicar em "Continuar com Google" ou "Adicionar à Carteira do Google", os metadados estritamente necessários do ingresso (nome do titular, setor e hash do QR Code) são transmitidos de forma criptografada (RS256) à API oficial da Google Wallet.
• Provedores de Nuvem e E-mail Transacional (Supabase, AWS, Vercel e Resend): Hospedagem segura de banco de dados PostgreSQL criptografado em trânsito (TLS/SSL) e em repouso, armazenamento de imagens e disparo de e-mails transacionais pelo domínio verificado @afteron.com.br.
• Autoridades Judiciais ou Policiais: Mediante ordem judicial válida ou requisição legalmente fundamentada.

5. Cookies, Segurança Cibernética, Portaria Offline e Prazo de Retenção

• 5.1. Cookies Estritamente Necessários (HttpOnly): Utilizamos cookies de sessão assinados com flag HttpOnly e SameSite=Lax (inacessíveis a scripts maliciosos de terceiros via XSS) para manter sua autenticação segura, além de armazenamento local temporário para lembrar o código de indicação de promoter (?ref=) e travas de assento de 10 minutos.
• 5.2. Contingência de Portaria Offline (IndexedDB): Nos dispositivos autorizados pelo Produtor para leitura de ingressos na portaria do evento, a lista criptografada de hashes do evento é armazenada temporariamente no banco local do navegador (IndexedDB) exclusivamente para permitir o check-in caso o sinal de internet oscile durante a festa.
• 5.3. Prazos Legais de Guarda e Retenção (Art. 16 da LGPD): Mesmo em caso de pedido de exclusão de conta pelo usuário, a AfterON manterá armazenados de forma isolada e segura: (i) os registros de conexão e acesso à aplicação pelo prazo mínimo de 6 (seis) meses (Art. 15 do Marco Civil da Internet — Lei nº 12.965/2014); e (ii) os registros de transações financeiras, emissão de ingressos, notas e saques pelo prazo de 5 (cinco) anos (Código Tributário Nacional, Código Civil e normas do Banco Central), para exercício regular de direitos em processos judiciais ou administrativos.

6. Direitos do Titular de Dados (Art. 18 da LGPD) e Contato do Encarregado (DPO)

Você pode exercer a qualquer momento seus direitos previstos no Artigo 18 da LGPD, incluindo:

• Confirmação da existência de tratamento e acesso aos seus dados cadastrais (disponível diretamente na aba Minha Conta / Perfil);
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• Informação sobre as entidades com as quais seus dados foram compartilhados e revogação de consentimento (quando o tratamento se basear em consentimento, ressalvadas as hipóteses de obrigação legal e execução contratual).

Canal Oficial de Privacidade e Encarregado de Dados (DPO): Para requisições formais relativas à LGPD, envie um e-mail a partir do endereço cadastrado em sua conta para afteroncontact@gmail.com com o assunto "Privacidade / LGPD — AfterON".