Política de Privacidade

1. Controlador dos dados

O controlador é EPLUGG INOVA SIMPLES (I.S.), inscrita no CNPJ 59.636.413/0001-00, responsável pelas decisões sobre o tratamento dos dados coletados pelo iHorta. O canal do encarregado (DPO) e do titular é contato@ihorta.com.

2. Dados que coletamos e para quê

• Cadastro: nome e e-mail — autenticação e identificação da conta. Se você escolher entrar com Google ou Microsoft, esses dois dados chegam do próprio provedor, junto de um identificador da sua conta lá e da informação de que aquele e-mail é verificado. O Google também envia o endereço da sua foto de perfil — esse endereço fica registrado nos metadados de autenticação da sua conta. A partir dele nós baixamos a foto uma vez, no seu primeiro acesso, e guardamos uma cópia nossa, para usá-la como seu avatar no produto. A cópia fica em armazenamento privado, acessível só por link temporário. O seu navegador nunca busca a imagem no Google — só o nosso servidor a buscou, aquela vez —, então exibir o seu avatar não informa ao Google quando você usa o produto. Você pode trocar por um avatar do nosso catálogo, ou pelas suas iniciais, em Minha conta; e a cópia é apagada junto com a conta.
• Dados de produção: fazendas, talhões, plantios, culturas, custos e planos — para prestar o serviço de planejamento e projeção.
• Geolocalização da fazenda: as coordenadas que você marca no mapa — para exibir a fazenda e buscar endereço/município.
• Fotos e arquivos: imagens e documentos que você envia. Removemos os metadados de localização (GPS/EXIF) das fotos no seu navegador, antes do envio — não recebemos a localização embutida na imagem. Documentos, porém, podem conter dados de terceiros que você inserir; envie apenas o necessário.
• Pagamento: nas assinaturas pagas, seu e-mail e o status da cobrança são processados pela Stripe. Não armazenamos dados de cartão.
• Uso e segurança: registros técnicos (logs) de acesso, para operação e prevenção a fraude e abuso.
• Analytics de produto (mediante consentimento): se você aceitar no aviso exibido no rodapé, coletamos dados de uso da aplicação — páginas visitadas, cliques, etapas do onboarding e gravação de sessão (session replay) — para entender o fluxo de uso e melhorar o produto. Na gravação de sessão, os campos de formulário e o conteúdo de texto da tela são mascarados (não capturamos o texto renderizado, como e-mail, nomes ou valores), e os dados ficam hospedados na União Europeia (PostHog). Você pode recusar ou mudar de ideia a qualquer momento em Minha conta → Analytics de produto (veja a seção 7).

3. Base legal (LGPD, art. 7º)

• Execução de contrato (inc. V): cadastro, dados de produção, geolocalização e mídia — necessários ao serviço que você contratou.
• Cumprimento de obrigação legal (inc. II): dados fiscais e de pagamento das assinaturas.
• Legítimo interesse (inc. IX): segurança, prevenção a fraude e melhoria do serviço, sem sobrepor seus direitos. Também a cópia da sua foto de perfil do provedor, usada como seu avatar: ela não é necessária para o serviço — sem ela você vê as suas iniciais —, então não a tratamos como execução de contrato. Você pode se opor a qualquer momento, trocando o avatar em Minha conta ou escrevendo para contato@ihorta.com.
• Consentimento (inc. I): analytics de produto e gravação de sessão — só tratados após seu aceite explícito, e interrompíveis a qualquer momento.

As fotos e documentos que você anexa às fazendas são tratados sob a execução do contrato, como parte do serviço — cada dado tem uma única base legal.

4. Com quem compartilhamos (operadores)

Não vendemos seus dados. Para operar o serviço, compartilhamos o estritamente necessário com os seguintes operadores/subprocessadores:

• Supabase — banco de dados, armazenamento de arquivos e autenticação.
• Resend — envio dos e-mails transacionais de autenticação (confirmação de cadastro, recuperação de senha e troca de e-mail) e recepção das mensagens que você nos escreve pelo canal de contato, inclusive os pedidos de exercício de direitos (seção 8). Recebe o seu endereço de e-mail e o conteúdo dessas mensagens; não recebe seus dados de produção. O Resend se apoia na infraestrutura da Amazon Web Services (SES), que atua como suboperadora.
• Vercel — hospedagem da aplicação e logs de requisição.
• Stripe — processamento de pagamentos das assinaturas.
• PostHog — analytics de produto e gravação de sessão, com dados hospedados na União Europeia. Só recebe dados se você consentir.
• Cloudflare (Turnstile) — verificação anti-robô nas telas de entrada, cadastro, recuperação de senha e no pedido de exclusão de conta. Recebe o seu endereço de IP e sinais do seu navegador para distinguir pessoa de robô; não recebe seu e-mail, sua senha nem seus dados de produção. A verificação só é acionada quando você começa a preencher o formulário — quem apenas abre a página não é submetido a ela.
• Google e Microsoft — só se você escolher entrar pelo botão de um deles. Ao clicar, o seu navegador é levado ao provedor, que recebe o endereço de IP, os sinais habituais do navegador e a informação de que você está entrando no iHorta; quem faz login por e-mail e senha nunca os contata. De volta, recebemos o e-mail, o nome e um identificador da sua conta no provedor — nunca a sua senha de lá. Eles não são nossos operadores: agem por conta própria, com a política de privacidade deles, e é com eles que você já tem uma conta.
• Nominatim / OpenStreetMap — exibe o mapa e resolve nomes de lugar. Recebe, conforme o que você faz: os tiles da área que você navega — e quanto mais você aproxima, mais precisa é a região que o OpenStreetMap vê, porque o arredondamento protege a coordenada que enviamos, não o que os tiles revelam sobre onde você está olhando; ao marcar o ponto, coordenadas aproximadas (arredondadas, ~1 km) para descobrir o município — o ponto exato que você marca não é enviado; e, ao escolher uma cidade na busca, o nome dessa cidade e a UF, nunca a sua coordenada.

Também consultamos o IBGE, que fornece a lista de municípios usada no cadastro. A consulta é a mesma para todos os usuários: não leva nada da sua conta nem da sua fazenda, e o que você digita na busca é filtrado dentro do seu próprio navegador.

Sobre o seu endereço de IP. Boa parte dessas requisições parte do seu navegador direto para o serviço, e não do nosso servidor — é o caso do OpenStreetMap, do IBGE, do Supabase, do Stripe (quando você é levado à tela de pagamento ou ao portal da assinatura), da Cloudflare (a verificação anti-robô das telas de acesso) e do Google ou da Microsoft, se você usar o botão de entrar por eles. Todo serviço contatado assim recebe o seu endereço de IP, porque ele é o endereço de resposta da conexão. A Vercel, que hospeda o iHorta, também registra o IP de toda requisição feita ao site.

Junto com o IP vão os dados que o navegador envia em qualquer requisição, como o tipo de navegador e o site de origem — só o nosso domínio, já que nossa configuração impede que a página exata que você está vendo seja informada a terceiros. O PostHog é um caso à parte: ele é chamado pelo nosso servidor, que remove o cookie de login antes de encaminhar, mas o seu IP ainda chega até ele. Nada disso depende do arredondamento das coordenadas — ele protege o ponto que você marca, não a existência da conexão nem a região que você visualiza no mapa.

5. Transferência internacional

Alguns dos serviços acima (Supabase, Vercel, Stripe, PostHog, Cloudflare e Nominatim/OpenStreetMap) processam dados fora do Brasil — Estados Unidos e Europa (o PostHog processa na União Europeia). O Resend envia e recebe os e-mails na região de São Paulo, no Brasil — nem as mensagens de autenticação nem as que você nos escreve saem do país para serem entregues. Ele é, porém, uma empresa sediada nos Estados Unidos, de onde pode haver acesso administrativo aos registros. Essas transferências ocorrem nos termos do art. 33 da LGPD. Para Supabase, Vercel, Stripe, PostHog, Cloudflare e Resend, que são operadores contratados por nós, elas se amparam nas salvaguardas contratuais desses provedores. O OpenStreetMap é diferente: é um serviço público, contatado diretamente pelo seu navegador, com quem não temos contrato — não há salvaguarda contratual nossa a invocar, e ele responde de forma independente pelo que recebe. O mesmo vale para o Google e a Microsoft, nos Estados Unidos, quando você entra por eles: também não temos contrato de operador com nenhum dos dois, e o tratamento que fazem dos seus dados é regido pela política de privacidade de cada um — a relação existe porque você escolheu usar uma conta que já é sua.

6. Retenção e exclusão

Mantemos seus dados enquanto a conta estiver ativa. Você pode exportar seus dados e excluir sua conta a qualquer momento em Minha conta → Seus dados: a exclusão é imediata e definitiva (conta, fazendas, planos, fotos e arquivos), e cancela uma eventual assinatura ativa. Cópias de backup são descartadas em até 90 dias. Dados de pagamento podem ser retidos pela Stripe pelo prazo legal aplicável, e mantemos registros técnicos mínimos do processamento de pagamentos (identificadores de evento, sem dados de cartão) para prevenção de fraude e auditoria. Você também pode solicitar por contato@ihorta.com — processamos em até 30 dias.

Se você fez parte da equipe de curadoria do catálogo, mantemos um registro das concessões e revogações desse acesso — identificador da conta, a ação (concessão, revogação ou remoção), a data e a referência do chamado que a autorizou. Esse registro sobrevive à exclusão da conta e é retido por 5 anos, com base no legítimo interesse de segurança da informação e responsabilização por acesso privilegiado (art. 7º, IX, e art. 10 da LGPD). Ele guarda o identificador da conta, a ação, a data e a referência do chamado — não guarda conteúdo do seu uso do produto.

Os dados de analytics de produto (eventos de uso e gravações de sessão), quando você consente, são retidos por até 12 meses no PostHog e depois descartados. Ao desativar o analytics em Minha conta → Analytics de produto, paramos de coletar imediatamente.

7. Cookies e armazenamento local

Usamos cookies e o armazenamento local do navegador estritamente necessários para manter sua sessão autenticada e lembrar preferências (por exemplo, o plano selecionado). Não usamos cookies de publicidade nem rastreadores de terceiros.

Sua decisão sobre o analytics de produto é guardada neste navegador por até 12 meses, no armazenamento local e num cookie próprio (ihorta.analytics-consent, com o prefixo __Host- em produção). Guardá-la num cookie é o que a faz sobreviver em navegadores que bloqueiam o armazenamento local ou o apagam sozinhos — sem isso o aviso reapareceria mesmo para quem já respondeu. Passados os 12 meses, a decisão expira e perguntamos de novo.

O cookie não guarda seu e-mail nem o identificador da sua conta: quando a decisão é de alguém logado, ele guarda um código derivado, que só serve para reconhecer que a decisão é sua. Para ser transparente sobre o que esse código é: nós conseguimos reassociá-lo à sua conta, ele é o mesmo em todos os navegadores em que você aceitar, ele permanece após você sair da conta (é o que evita perguntarmos de novo quando você voltar) e, por ser um cookie, ele é enviado aos nossos servidores em cada requisição enquanto a decisão valer. Nenhuma parte da aplicação usa esse código para outra coisa — ele não vai para o PostHog nem para qualquer terceiro. Se preferir apagá-lo antes do prazo, basta limpar os cookies deste site ou excluir a conta. Se você instalou o iHorta como aplicativo, o navegador não mostra a barra de endereço e essa limpeza não fica ao alcance: use Minha conta → Analytics de produto, que funciona igual no app instalado, ou desinstale o aplicativo.

Ao sair da conta, apagamos do navegador o que é da conta: a fazenda e o plano selecionados e o progresso do guia de primeiros passos. O consentimento de analytics segue uma regra própria — se você aceitou, a aceitação fica registrada como sua: ela não vale para mais ninguém. Quem entrar em outra conta nesta máquina verá o aviso e decidirá por si; quem usar o navegador sem entrar em conta nenhuma não verá o aviso e nada será coletado. Ao voltar, você não precisa responder de novo. Já uma recusa vale para o navegador inteiro, inclusive para quem entrar depois — o analytics fica desligado, e qualquer pessoa que entre na própria conta pode reativá-lo em Minha conta → Analytics de produto. Ao excluir a conta, apagamos a decisão de consentimento no navegador em que a exclusão for feita, aceitação e recusa; em outros navegadores que você tenha usado, ela expira em até 12 meses.

Se você aceitar o analytics de produto (aviso no rodapé), o PostHog é então carregado e usa armazenamento do navegador para medir o uso da aplicação. Enquanto você não aceita, nada é carregado nem coletado. Para revogar o consentimento a qualquer momento — de forma tão simples quanto concedê-lo — use o botão Desativar em Minha conta → Analytics de produto.

8. Seus direitos (LGPD, art. 18)

A qualquer momento você pode solicitar: confirmação e acesso aos seus dados; correção; anonimização, bloqueio ou eliminação; portabilidade; informação sobre com quem compartilhamos; e revogação do consentimento. Basta escrever para contato@ihorta.com.

Decisão automatizada (art. 20). Quando o número de planos de produção ativos excede o que a sua assinatura permite — por exemplo após um downgrade —, o excedente é desativado automaticamente por uma rotina diária, mantendo os mais recentes. Nenhum plano é apagado: eles voltam para rascunho e seguem salvos — para colocar um deles no campo de novo é preciso desativar outro ou aumentar seu plano. Avisamos você dentro do aplicativo, informando quais planos foram desativados, quando e qual limite foi aplicado; esse registro é mantido enquanto o plano correspondente existir na sua conta e vai junto na exportação dos seus dados. Você pode pedir revisão pelo e-mail acima.

9. Segurança

Seus dados ficam isolados por usuário no nível do banco (Row Level Security): nenhum outro usuário acessa suas fazendas, planos ou arquivos. O tráfego é cifrado (HTTPS) e os arquivos ficam em buckets privados, acessíveis apenas por URL assinada temporária.

O iHorta nunca pede sua senha por e-mail, telefone ou WhatsApp. Nenhum e-mail nosso pede que você responda com a senha, e nenhuma pessoa da equipe vai pedi-la por telefone ou mensagem. Se alguém pedir, é golpe: não responda e avise em contato@ihorta.com. Esse é o nosso único canal — é o mesmo endereço do encarregado de dados, na seção 1.

Todo e-mail transacional que enviamos (confirmação de conta, link de acesso, troca de e-mail e redefinição de senha) repete esse aviso. Um e-mail que se diga do iHorta e peça sua senha não veio de nós.

10. Alterações

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas no aplicativo ou por e-mail, e a data da última atualização acima será revista.