Política de privacidade

Esta política descreve como a Luven coleta, usa, compartilha e protege dados pessoais. Aplica-se ao uso do site, dos softwares (Vexa AI, ViewState, CameraSet) e dos canais de atendimento. Está em conformidade com a LGPD (Lei nº 13.709/2018) e, onde aplicável, com o GDPR da União Europeia.

1. Controlador dos dados

A pessoa jurídica responsável pelo tratamento dos seus dados é:

• Razão social: Luven Software Ltda.
• CNPJ: 39.474.591/0001-74
• Encarregado de Proteção de Dados (DPO): dpo@luvenhub.com

2. Dados que coletamos

Coletamos apenas o mínimo necessário para operar os produtos e cumprir obrigações legais. As categorias abaixo cobrem todo o tratamento.

• Cadastro e identificação: nome, email, senha (sempre armazenada em hash bcrypt — nunca em texto plano), telefone (opcional), empresa (opcional), país, idioma preferido, documento (CPF/CNPJ — exigido apenas para clientes brasileiros para emissão de nota fiscal).
• Pagamento: dados de cartão não trafegam pelos nossos servidores — são processados diretamente pela Stripe. Recebemos apenas a bandeira, os últimos 4 dígitos do cartão e o status da transação para conciliação fiscal e exibição no histórico de compras.
• Uso do software: identificador de máquina (hash determinístico de características de hardware), label da máquina, sistema operacional e timestamp do último acesso — para validar a licença e impedir uso além do contratado.
• Endereço IP: armazenado apenas em formato hashado (SHA-256 truncado, sem possibilidade de reverter ao IP original). Usado para detectar padrões abusivos de ativação e atender obrigações legais de logs.
• Geolocalização aproximada: país, região e cidade derivados do IP no momento da ativação. Latitude/longitude com precisão de cidade são armazenadas exclusivamente para o mapa interno de antifraude — nunca expostas ao próprio titular nem a terceiros.
• Mensagens de suporte: conteúdo das mensagens enviadas pelos canais de atendimento, com o objetivo de responder ao seu pedido.
• Analytics (opt-in): apenas se você consentir explicitamente no banner de cookies, coletamos pageviews anônimos, eventos de interação e dados técnicos do navegador via PostHog.

3. Bases legais (LGPD Art. 7º)

Cada categoria de dado é tratada com base em uma hipótese legal específica:

• Execução de contrato (inciso V): cadastro, pedidos, licenças, ativações, suporte. Sem esses dados não conseguimos entregar o serviço.
• Cumprimento de obrigação legal/regulatória (inciso II): retenção de pedidos, notas fiscais e dados contábeis pelo prazo exigido pela Receita Federal (5 anos).
• Legítimo interesse (inciso IX): logs de segurança, IP hashado, detecção de fraude, prevenção de abuso de licença. Sempre balanceando com seus direitos.
• Consentimento (inciso I): envio de marketing por email, analytics via PostHog e cookies não essenciais. Pode ser revogado a qualquer momento.

4. Como usamos seus dados

• Emitir nota fiscal e processar pagamentos via Stripe.
• Validar, ativar e revogar licenças.
• Enviar atualizações do software e comunicados de segurança (transacionais).
• Enviar newsletters e ofertas (apenas com opt-in expresso, com link de descadastro em todas as mensagens).
• Atender pedidos de suporte e responder dúvidas.
• Detectar e prevenir fraude, abuso de licença e atividade maliciosa.
• Cumprir obrigações legais e regulatórias (Receita Federal, ANPD, decisões judiciais).
• Melhorar produtos e site, com base em métricas agregadas (apenas se você consentir).

Não vendemos seus dados.Não compartilhamos dados pessoais com terceiros para fins de marketing nem alimentamos "data brokers".

5. Subprocessadores (terceiros que processam dados em nosso nome)

Para operar o serviço usamos os seguintes parceiros tecnológicos, todos com contratos de proteção de dados (DPA) firmados:

• Supabase (banco PostgreSQL gerenciado, autenticação, armazenamento de arquivos). Servidores em data centers AWS com certificações ISO 27001 e SOC 2. Criptografia em repouso e em trânsito.
• Stripe (processamento de pagamentos, notas fiscais via Stripe Tax). Certificado PCI-DSS Level 1.
• PostHog (analytics de produto — apenas se você consentir no banner de cookies). Hospedagem em região US.
• Resend / SendGrid (envio de emails transacionais).
• Vercel (hospedagem do site e APIs). CDN global, isolamento por edge.

6. Transferência internacional de dados

Alguns subprocessadores (Stripe, PostHog, Vercel) operam infraestrutura fora do Brasil, majoritariamente nos Estados Unidos e na União Europeia. Essas transferências ocorrem amparadas pelos mecanismos previstos no Art. 33 da LGPD, incluindo cláusulas contratuais padrão (SCC) e adequação a programas reconhecidos pela ANPD.

7. Armazenamento e segurança

• Criptografia em trânsito (TLS 1.2+) em todas as comunicações.
• Criptografia em repouso para o banco de dados e backups.
• Senhas armazenadas exclusivamente como hash bcrypt — nem nós conseguimos ler.
• Autenticação multifator (MFA/TOTP) disponível para sua conta.
• Controle de acesso por papel (RBAC) e isolamento de tenants por Row-Level Security no Postgres.
• Rate-limit em endpoints sensíveis para mitigar enumeração e brute-force.
• Logs de auditoria para todas as ações administrativas privilegiadas.

Conteúdo processado pelos softwares (imagens de referência, arquivos .max, prompts, modelos 3D) não sai da sua máquina. O processamento de IA é local. Apenas a chave de ativação se comunica com nossos servidores, exceto quando você ativa explicitamente uma funcionalidade que depende de serviço em nuvem.

8. Cookies e tecnologias similares

Usamos três categorias de cookies/armazenamento local:

• Estritamente necessários (sempre ativos, sem opção de desligar): sessão de login (Supabase auth), preferência de idioma, token CSRF, carrinho de checkout. Sem eles o site não funciona.
• Funcionais (sempre ativos): preferências de UI (tema, layout do dashboard).
• Analíticos (somente com seu consentimento via banner): PostHog para entender quais funcionalidades são usadas e identificar gargalos de UX. Você pode revogar abaixo a qualquer momento.

9. Seus direitos (LGPD Art. 18)

Você pode, a qualquer momento e gratuitamente:

• Confirmar se tratamos seus dados.
• Acessar todos os dados que mantemos (via dashboard ou solicitação por email).
• Corrigir dados incompletos, inexatos ou desatualizados.
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários.
• Exportar seus dados em formato legível por máquina (JSON) — disponível em /dashboard/account.
• Solicitar a exclusão definitiva da conta — também disponível em /dashboard/account.
• Revogar consentimento de marketing e analytics.
• Saber com quais entidades compartilhamos seus dados.
• Opor-se a tratamento por descumprimento da LGPD.

Solicitações que não puderem ser atendidas pelo dashboard podem ser feitas para dpo@luvenhub.com. Respondemos em até 15 dias corridos conforme a LGPD.

10. Retenção

• Dados de cadastro e licenças: enquanto a conta estiver ativa.
• Pedidos pagos e dados fiscais: 5 anos a contar da emissão (Receita Federal).
• Logs de auditoria administrativa: 12 meses.
• Logs de rate-limit e segurança: 90 dias.
• Cookies analíticos: 12 meses ou até revogação do consentimento.
• Após exclusão da conta, dados pessoais são removidos em até 30 dias. Dados sob retenção legal são anonimizados (CPF/nome/email substituídos por marcadores irreversíveis).

11. Crianças e adolescentes

Os produtos da Luven são destinados a uso profissional por maiores de 18 anos. Não coletamos intencionalmente dados de menores. Caso identifiquemos cadastro de menor sem autorização dos responsáveis, a conta será removida e os dados eliminados.

12. Alterações nesta política

Alterações relevantes serão comunicadas por email aos usuários ativos com antecedência mínima de 30 dias. A data da última revisão sempre estará no topo desta página. O uso continuado dos serviços após a vigência caracteriza concordância.

13. Reclamações à ANPD

Caso considere que seus direitos não foram respeitados, você pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD) através do site gov.br/anpd.

14. Contato

Dúvidas, solicitações ou exercício de direitos LGPD: dpo@luvenhub.com. Suporte geral: suporte@luvenhub.com.