Política de Privacidade

Versão resumida. Coletamos o que precisamos para operar a Nyvo: seus dados de login, perfil, publicações e eventos, Ingressos comprados ou vendidos, e dados básicos de dispositivo e uso. Não vendemos seus dados. Compartilhamos apenas com prestadores que nos ajudam a operar o Serviço, com Organizadores (apenas no check‑in do Evento) e quando exigido por lei. Você pode acessar, corrigir e (na maioria dos casos) excluir seus dados. Cumprimos os Australian Privacy Principles sob a Privacy Act 1988 (Cth) e, para Usuários residentes no Brasil, a Lei nº 13.709/2018 (LGPD).

Esta Política descreve como a Nyvo — nome empresarial sob o qual Alick Ceglys Buscariolli (ABN 25 545 382 512) atua como sole trader (empresário individual) em New South Wales, Austrália (nós) — coleta, usa, divulga e trata Dados Pessoais quando você usa o Serviço. Termos em maiúsculas têm os significados das nossas Definições.

Leia em conjunto com os Termos de Serviço, a Política de Uso Aceitável e (caso seja Organizador) o Contrato do Organizador. O texto em inglês é o controlador.

---

1. Quem somos e como falar conosco

A Nyvo é o nome empresarial sob o qual Alick Ceglys Buscariolli atua como sole trader (empresário individual) na Austrália, com ABN 25 545 382 512 e endereço para notificações em NSW 2049, Australia. Somos "APP entity" para fins da Privacy Act e, para Usuários residentes no Brasil, controlador nos termos da LGPD (art. 5º, VI).

Canais de contato sobre privacidade:

• E‑mail: hello@nyvo.com.au
• Encarregado (DPO) — LGPD art. 41: hello@nyvo.com.au
• Postal: Privacy Officer, Nyvo, NSW 2049, Australia

---

2. Dados que coletamos

Coletamos Dados Pessoais diretamente de você quando se cadastra e usa o Serviço, e de terceiros que nos ajudam a operá‑lo (como Firebase, Stripe e Google Cloud Vision). Categorias:

2.1 Conta e perfil

2.2 Seu Conteúdo

Armazenamos o Conteúdo que você cria:

• publicações (texto, imagens, enquetes), o escopo de público escolhido, menções, status de moderação;
• comentários em posts, negócios e artigos, incluindo menções;
• reações (like, love, haha, wow, sad, angry) e votos em enquetes;
• eventos publicados (título, descrição, localização, latitude/longitude, cidade, fuso horário, horários, imagem de capa, preço e moeda do Ingresso);
• RSVPs e compras de Ingressos (ver 2.3);
• anúncios do diretório de negócios;
• anúncios de moradia e empregos;
• artigos autorados (se você for community leader);
• denúncias que você apresentar;
• favoritos; e
• sua atividade de aprendizado nas dicas de inglês: o nível de inglês escolhido, sua sequência de prática atual, a data da última prática e o total de dias praticados. Não armazenamos suas respostas individuais do quiz — o desempenho é contado apenas como totais anônimos por pergunta, nunca vinculados a você.

Também capturamos prévias de link quando você cola URL (título, descrição, imagem) para renderizá‑las no feed.

2.3 Eventos e Ingressos

Para Ingressos, armazenamos:

• o Evento e o Usuário comprador;
• ID da intenção de pagamento Stripe, valor pago, Taxa da Plataforma, QR e status (PAID, REFUNDED, CHECKED_IN);
• horário da emissão e do check‑in (se houver).

Não vemos nem armazenamos número de cartão, CVC ou dados completos do cartão. A Stripe coleta e processa esses dados diretamente nos termos do PCI DSS.

2.4 Dados compartilhados com Organizadores

No check‑in do Evento, o Organizador vê nome e foto de perfil do titular do Ingresso. Nenhum outro Dado Pessoal é divulgado automaticamente pelo Serviço. Se você interagir com o Organizador fora do Serviço, esses dados ficam por sua conta e responsabilidade.

2.5 Dispositivo, app e uso

2.6 Comunicações

• E‑mails transacionais pela Resend (verificação, recibos, reembolsos).
• E‑mails de marketing (digest semanal) só são enviados se weeklyDigestOptIn = true. Você cancela a qualquer momento nas configurações ou pelo link "unsubscribe" no e‑mail.
• Push notifications pelo FCM. Você desativa categorias nas preferências do app.

2.7 Cookies e tecnologias similares (web)

Nosso site usa um conjunto pequeno de cookies:

• Estritamente necessários (sempre ativos): sessão, preferência de idioma, cookie que registra sua escolha de consentimento.
• Cookies analíticos (mediante consentimento): se aceitos, o Firebase Analytics pode definir cookies operados pelo Google para medir uso do site.

Não usamos cookies de marketing/publicidade. Nosso banner oferece "Rejeitar tudo" claro e link "Gerenciar preferências". Sua escolha fica registrada e pode ser revogada pelo rodapé ("Preferências de cookies").

2.8 Auditoria e segurança

Mantemos um AuditLog interno com ações administrativas e de moderação (aprovações, rejeições, suspensões automáticas, remoções por moderação de imagem). Pode identificar o ator, o alvo e a ação. Usamos para segurança, investigação de abuso e prestação de contas.

2.9 Dados sobre quem você menciona ou denuncia

Quando você menciona ou denuncia outro Usuário, tratamos Dados Pessoais dele como parte do funcionamento do Serviço (entregar a notificação, triar a denúncia).

2.10 Mensagens diretas

Quando você envia uma mensagem direta a outro Usuário, armazenamos a mensagem para entregá‑la e manter registro para fins de segurança e moderação:

• o texto que você escreve, qualquer foto anexada e a prévia de link gerada a partir de uma URL na mensagem;
• quem enviou, quem recebeu, a conversa a que pertence e os horários de envio, entrega e leitura;
• se a mensagem foi apagada ou denunciada, e se você silenciou ou bloqueou a outra pessoa.

As mensagens diretas são privadas entre você e o outro participante. Elas não têm criptografia de ponta a ponta: nós as armazenamos em nosso banco de dados, cifradas em trânsito (TLS) e em repouso, para que possam ser entregues nos seus dispositivos e revisadas pela nossa equipe de segurança apenas quando uma mensagem ou conversa é denunciada. Como não há criptografia de ponta a ponta, não compartilhe em uma mensagem direta nada que você não gostaria que um moderador pudesse ver caso a conversa seja denunciada.

As fotos que você envia em uma mensagem direta passam pelo Google Cloud Vision SafeSearch da mesma forma que qualquer outra imagem enviada (ver cláusula 4.5 dos Termos e a Política de Uso Aceitável). Se houver uma URL na mensagem, buscamos uma prévia de link (título, descrição e imagem) para renderizá‑la, exatamente como fazemos nos posts.

Para que novas mensagens e confirmações de leitura apareçam sem você precisar atualizar a tela, usamos um relé em tempo real operado no Google Firebase. O relé carrega apenas metadados — um sinal de que a conversa mudou, os identificadores de login dos participantes e os horários de leitura. O conteúdo das suas mensagens (texto, fotos e prévias de link) nunca é gravado no relé. Ele permanece no nosso próprio banco de dados e é buscado pela nossa API autenticada.

2.11 O que não coletamos

• Número, validade ou CVC de cartão (vai direto para a Stripe);
• Dados biométricos;
• Identificadores governamentais (a Stripe pode coletá‑los para KYC do Organizador — ver seção 5);
• Dados sensíveis (art. 5º, II da LGPD; seção 6 da Privacy Act), salvo se você os incluir voluntariamente em uma publicação — o que desencorajamos.

---

3. Para que usamos os dados

Usamos Dados Pessoais para as finalidades abaixo. Indicamos a base sob a Privacy Act/APPs e, quando aplicável, a base do art. 7 da LGPD.

Não tomamos decisões automatizadas com efeitos legais ou significativos sobre você, exceto:

• remoção automática de Conteúdo quando o filtro de palavrão ou o SafeSearch acusa;
• suspensão temporária automática quando denúncias substanciadas contra a Conta cruzam o limiar publicado na Política de Uso Aceitável.

Você pode pedir revisão humana escrevendo a hello@nyvo.com.au (Conteúdo) ou hello@nyvo.com.au (privacidade). Sob o art. 20 da LGPD, você tem direito explícito a essa revisão.

---

4. Com quem compartilhamos

4.1 Outros Usuários

Por design: nome de exibição, foto de perfil, Conteúdo publicado e escopo de público. Não são exibidos a outros Usuários: e‑mail, telefone, data de nascimento, país de residência ou dados da Stripe.

4.2 Organizadores (limitado)

Ao comprar Ingresso, o Organizador vê nome e foto no check‑in, e o status do Ingresso. Não acessa, pelo Serviço, e‑mail, data de nascimento, país de residência ou outros dados do perfil.

4.3 Prestadores (suboperadores)

Trabalhamos com terceiros, todos contratualmente vinculados a tratar Dados Pessoais apenas conforme nossas instruções e a lei aplicável.

Podemos adicionar, alterar ou remover suboperadores. Publicaremos lista atualizada nesta página; alterações materiais serão comunicadas no Serviço.

4.4 Lei e processos

Podemos divulgar Dados Pessoais quando razoavelmente necessário para:

• cumprir lei, ordem judicial ou pedido legítimo de regulador/autoridade;
• aplicar os Termos ou investigar violação da Política de Uso Aceitável;
• proteger a segurança de pessoas;
• prevenir ou investigar fraude;
• exercer direitos em processo.

Quando permitido, avisaremos antes da divulgação.

4.5 Operações societárias

Em caso de fusão, aquisição, financiamento, reestruturação, venda ou insolvência, Dados Pessoais podem ser transferidos como parte da operação, sujeito a obrigações consistentes com esta Política.

4.6 Nada de venda de dados

Não vendemos Dados Pessoais nem os compartilhamos para publicidade comportamental entre contextos.

---

5. Transferências internacionais (APP 8 e LGPD)

A maioria dos prestadores está nos EUA, na UE ou processa dados em outras jurisdições fora da Austrália. Quando há transferência internacional, tomamos medidas razoáveis para que o destinatário trate os dados de forma compatível com os APPs, inclusive por cláusulas contratuais (DPAs do Stripe, Google, Resend, Sentry).

Para Usuários residentes no Brasil, transferências internacionais observam mecanismos reconhecidos pela ANPD (cláusulas contratuais padrão ou países com nível adequado de proteção), ou são feitas com consentimento específico ou outra base do art. 33 da LGPD.

---

6. Por quanto tempo guardamos (retenção)

Mantemos Dados Pessoais somente pelo tempo necessário. Quando a lei exigir prazo maior (por exemplo, fiscal), aplica‑se o prazo maior.

Ao excluir a Conta, marcamos deletedAt e iniciamos a exclusão. Alguns Conteúdos (por exemplo, comentários em discussão pública) podem ser mantidos anonimizados para preservar o sentido da conversa.

---

7. Seus direitos

7.1 Australian Privacy Principles

• Acesso (APP 12): solicitar cópia dos seus Dados Pessoais;
• Correção (APP 13): pedir correção do que entender inexato, desatualizado, incompleto, irrelevante ou enganoso.

7.2 LGPD (art. 18 — Usuários residentes no Brasil)

• confirmar a existência de tratamento;
• acessar os dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• anonimizar, bloquear ou eliminar dados desnecessários, excessivos ou tratados em desconformidade;
• portar a outro fornecedor;
• ser informado sobre entidades públicas e privadas com as quais compartilhamos seus dados;
• ser informado sobre a possibilidade de não fornecer consentimento e as consequências;
• revogar o consentimento; e
• solicitar revisão de decisões tomadas exclusivamente por tratamento automatizado (art. 20).

7.3 Como exercer

• atualize a maior parte do perfil nas configurações do app;
• encerre a Conta nas configurações ou por e‑mail a hello@nyvo.com.au;
• para o restante, escreva para hello@nyvo.com.au.

Prazos de resposta:

• até 30 dias para pedidos sob a Privacy Act (APP 12.4 / 13.3);
• até 15 dias para pedidos sob a LGPD (art. 19, §1, "I").

Podemos pedir verificação de identidade. Pedidos são geralmente gratuitos; podemos cobrar valor razoável para pedidos extensos ou repetitivos.

7.4 Se você não estiver satisfeito

Procure primeiro hello@nyvo.com.au. Você também pode apresentar reclamação:

• ao OAIC — https://www.oaic.gov.au;
• à ANPD (Usuários residentes no Brasil) — https://www.gov.br/anpd;
• aos órgãos brasileiros de defesa do consumidor (Procon, Senacon).

---

8. Segurança e incidentes

Adotamos medidas razoáveis para proteger Dados Pessoais contra uso indevido, perda e acesso, modificação ou divulgação não autorizados, incluindo:

• TLS em trânsito;
• criptografia em repouso pelos fornecedores;
• controle de acesso interno com auditoria;
• isolamento de dados de pagamento (cartão vai direto para a Stripe);
• pipelines automatizados de moderação;
• rate limiting e medidas antiabuso.

Se ocorrer eligible data breach sob a Parte IIIC da Privacy Act, notificaremos as pessoas afetadas e o OAIC dentro dos prazos do esquema NDB.

Para Usuários residentes no Brasil, comunicaremos à ANPD e aos titulares afetados, em prazo razoável, qualquer incidente que possa acarretar risco ou dano relevante (art. 48 da LGPD).

---

9. Crianças

O Serviço é destinado a pessoas com 18 anos ou mais (ver cláusula 2 dos Termos). Não coletamos conscientemente Dados Pessoais de menores de 18 anos. Se você acredita que isso ocorreu, escreva para hello@nyvo.com.au e excluiremos.

---

10. Alterações

Podemos atualizar esta Política. Alterações materiais serão informadas com pelo menos 30 dias de antecedência no Serviço. Os campos version e last_updated indicam a versão vigente; o change log resume mudanças relevantes.

---

11. Contato

• E‑mail: hello@nyvo.com.au
• Postal: Privacy Officer, Nyvo, NSW 2049, Australia
• Encarregado/DPO (LGPD art. 41): hello@nyvo.com.au

---

Change log