Política de Privacidade

Última atualização: 8 de setembro de 2026

Esta Política de Privacidade descreve como o NOMALOG coleta, utiliza, armazena, compartilha e protege seus dados pessoais. Foi elaborada em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD) e com o Marco Civil da Internet (Lei nº 12.965/2014). Aplica-se a todos os usuários do serviço, no Brasil ou em qualquer país de onde acessem a plataforma.

Sempre que aparecerem termos como "você" ou "usuário", referem-se ao titular dos dados pessoais. Termos como "NOMALOG", "nós" ou "plataforma" referem-se ao serviço operado por Carlos Garcia.

Resumo executivo

Leitura rápida do essencial. Para detalhes, consulte as seções abaixo.

  • Quem opera: Carlos Garcia, pessoa física, com contato exclusivo por e-mail.
  • Quais dados coletamos: cadastro (nome, e-mail, senha), perfil do piloto, informações de veículos, registros de uso (abastecimentos, manutenções, despesas, documentos), dados técnicos (navegador, sistema), eventos de segurança e — se você usar a função Trajetos — os endereços e as coordenadas dos seus trajetos e roteiros (dados de localização).
  • Pra que usamos: exclusivamente para prestar o serviço de gestão veicular contratado e cumprir obrigações legais. Não vendemos dados, não fazemos publicidade direcionada, não compartilhamos com brokers de dados.
  • Onde os dados ficam: infraestrutura Supabase (banco e autenticação) e Vercel (hospedagem). Ambos podem armazenar dados fora do Brasil — detalhes na seção 7.
  • Quanto tempo guardamos: enquanto a conta estiver ativa. Após encerramento, dados pessoais excluídos em até 30 dias; logs de segurança em até 90 dias; auditoria em até 5 anos.
  • Seus direitos: acesso, correção, eliminação, portabilidade, oposição e revogação de consentimento (art. 18 da LGPD). Atendimento em até 15 dias úteis.
  • Contato: contato@nomalog.com.br — canal único para exercer direitos e tirar dúvidas sobre dados.

1. Quem é o controlador dos seus dados

O controlador dos dados pessoais tratados pela plataforma é Carlos Garcia, pessoa física, responsável pela operação individual do serviço NOMALOG.

Para exercer qualquer direito relacionado aos seus dados pessoais ou para esclarecer dúvidas sobre esta política, use o canal de contato:

  • E-mail: contato@nomalog.com.br
  • Prazo de resposta: até 15 dias úteis a partir do recebimento da solicitação.

2. Dados pessoais que coletamos

Coletamos somente os dados necessários para prestar o serviço de gestão veicular. Abaixo, a lista detalhada de tudo que tratamos.

2.1 Dados que você fornece diretamente

  • Cadastro: nome completo, e-mail, senha (armazenada apenas como hash bcrypt — nunca em texto plano).
  • Perfil do piloto: apelido, foto, biografia, estilo de pilotagem, preferências de uso. Opcional.
  • CNH: número, categoria, data de validade e quantidade de pontos. Você decide se preenche ou não.
  • Veículos: marca, modelo, versão, ano de fabricação e modelo, placa, RENAVAM, chassi, cor, valor de compra, quilometragem atual, tipo de combustível.
  • Registros operacionais: abastecimentos (data, km, litros, valor), manutenções (preventivas e corretivas), despesas, pneus, customizações, multas, recalls.
  • Documentos veiculares: IPVA, seguro, licenciamento, vistoria — incluindo fotos anexadas, quando você optar por enviá-las.
  • Co-piloto (opcional): nome, e-mail e foto do contato autorizado, quando você convida outra pessoa para visualizar seus veículos.
  • Feedback: mensagens enviadas via a função "Reportar bug/sugestão", incluindo capturas de tela quando você anexa.
  • Trajetos e roteiros: os endereços de origem e destino que você digita ou escolhe na busca, as coordenadas correspondentes, a distância e o traçado da rota. São dados de localização e podem incluir sua casa ou trabalho. O preenchimento é opcional, e esses dados são apagados quando você transfere o veículo. Ao usar "Localização atual", pedimos a permissão de localização do seu navegador para preencher o endereço; essa permissão é revogável a qualquer momento nas configurações do navegador, e recusá-la apenas exige que você digite o endereço manualmente. A coordenada obtida é enviada ao Geoapify para convertê-la em endereço.

2.2 Dados coletados automaticamente

  • Eventos de uso: data e hora de login, ações administrativas realizadas, alertas gerados pelo sistema.
  • Eventos de segurança: tentativas de login (sucesso e falha), logout, bloqueios por excesso de tentativas, anomalias detectadas.
  • Dados técnicos: tipo e versão de navegador, sistema operacional, idioma, fuso horário — coletados para suporte e diagnóstico de erros.
  • Endereço IP: registrado em eventos de segurança e logs de auditoria para detecção de fraude e investigação de incidentes.
  • Telemetria de erros: mensagens de erro técnico (stack traces) registradas quando o sistema falha, para diagnóstico e correção.

2.3 Dados que recebemos de terceiros

  • FIPE (parallelum.com.br): valor de mercado dos seus veículos consultado em tempo real conforme você navega pela plataforma. Recebemos apenas o valor; nenhum dado seu é enviado em troca.
  • Stripe (processador de pagamentos): quando você assina um plano pago, recebemos do Stripe apenas identificadores (customer ID, subscription ID, status). Dados de cartão de crédito nunca passam pelo NOMALOG — são processados diretamente pelos servidores do Stripe via iframe seguro.

2.4 Dados sensíveis ou de categoria especial

O NOMALOG não coleta dados sensíveis nos termos do art. 5º, II da LGPD (origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados referentes à saúde, vida sexual, biométricos ou genéticos).

A CNH é dado pessoal de identificação civil — não é dado sensível (o rol do art. 5º, II, é taxativo e não a inclui). Seu preenchimento é facultativo e serve apenas para alertar você sobre o vencimento e exibir suas categorias no perfil. Aplicamos medidas reforçadas a esses dados (criptografia, URL assinada, acesso restrito). A imagem da CNH não é usada para identificação biométrica — uso vedado contratual e tecnicamente.

3. Como coletamos seus dados

  • Diretamente de você: através de formulários de cadastro, perfil, registro de veículos e demais ações na plataforma.
  • Automaticamente: através do uso da plataforma (registros de login, eventos do sistema, telemetria técnica).
  • De terceiros integrados: o Stripe (pagamentos), a API FIPE (valor de mercado) e o Geoapify (sugestões de endereço e cálculo de rota, a partir do que você digita na função Trajetos).

Não compramos dados de brokers, não fazemos enriquecimento via terceiros, não usamos SDKs de rastreamento publicitário (Facebook Pixel, Google Ads, TikTok Pixel etc).

4. Para que usamos seus dados

Cada dado coletado tem uma finalidade específica:

  • Prestar o serviço: exibir seus veículos, calcular consumo (km/L, custo/km), gerar alertas de manutenção e documentos vencendo.
  • Personalizar a experiência: aplicar suas preferências visuais (tema, cor de destaque), lembrar o último veículo selecionado.
  • Análises agregadas: gerar relatórios financeiros (TCO, projeções) e insights de uso pra você.
  • Segurança da conta: detectar tentativas de invasão, bloquear acessos abusivos, registrar eventos de auditoria.
  • Comunicação operacional: enviar e-mails relacionados ao serviço (confirmação de cadastro, redefinição de senha, alterações nestes Termos ou Política e o resumo semanal de alertas dos seus veículos, para assinantes, que você pode desativar a qualquer momento).
  • Suporte ao usuário: responder dúvidas e investigar problemas reportados via feedback.
  • Cumprir obrigações legais: atender requisitos da LGPD, Marco Civil e demais leis aplicáveis.

Não usamos seus dados para publicidade direcionada nem os vendemos a terceiros. Esta é uma garantia incondicional do NOMALOG.

5. Base legal para o tratamento

Conforme exigido pelo art. 7º da LGPD, listamos abaixo a base legal para cada tipo de tratamento que realizamos:

  • Execução de contrato (art. 7º, V) — para a maior parte do tratamento. Você se cadastra e usa o serviço; precisamos dos dados pra entregá-lo.
  • Consentimento (art. 7º, I) — para envio de comunicações opcionais (por exemplo, atualizações de produto, novidades, dicas de uso). Você pode revogar o consentimento a qualquer momento sem perder acesso ao serviço.
  • Legítimo interesse (art. 7º, IX) — para segurança da conta (registros de login, detecção de anomalias), prevenção de fraude, melhoria do serviço via análise agregada, medição de audiência de primeira parte (seção 10) e o histórico de proprietários de um veículo (seção "Dados de terceiros"). Você pode se opor a esses tratamentos (art. 18, §2º) pelo canal de contato.
  • Cumprimento de obrigação legal (art. 7º, II) — quando exigido por lei, regulamento ou ordem judicial.

6. Compartilhamento de dados

Seus dados são compartilhados apenas com os agentes abaixo, no escopo estrito de prestação do serviço:

  • Supabase Inc. (operador) — banco de dados (PostgreSQL), autenticação e armazenamento de arquivos. Localizado nos Estados Unidos.
  • Vercel Inc. (operador) — hospedagem web (edge/CDN) e medição de audiência (Vercel Web Analytics). Distribui o site por rede global.
  • Resend (operador) — envio de e-mail transacional (confirmação de cadastro, redefinição de senha, avisos do serviço). Trata o seu endereço de e-mail para entregar essas mensagens e armazena esses dados nos Estados Unidos.
  • Geoapify GmbH (operador) — busca de endereço, cálculo de rota e mapa da função Trajetos. Recebe o texto do endereço que você digita e as coordenadas do trajeto para sugerir endereços, calcular a rota e desenhar o mapa. Localizada na Alemanha (União Europeia).
  • Stripe — processa pagamentos quando você assina um plano pago. Na execução do pagamento e no cumprimento de obrigações próprias (prevenção à lavagem de dinheiro e à fraude, exigências regulatórias e das bandeiras), a Stripe atua como controladora independente, sob a própria política — o NOMALOG não determina essas finalidades nem responde por elas, mas informa esta transferência (art. 9º, III). Dados de cartão nunca passam pelo NOMALOG.
  • Autoridades públicas — apenas mediante ordem judicial, requisição formal do Ministério Público ou de autoridades policiais, ou cumprimento de obrigação legal.

A Tabela FIPE (parallelum.com.br) é uma fonte externa consultada, não uma destinatária de dados: enviamos apenas marca/modelo/ano públicos para obter o valor de mercado — nenhum dado pessoal seu é enviado.

Não vendemos, alugamos ou compartilhamos seus dados com terceiros para fins publicitários, comerciais ou de qualquer outra natureza fora desta lista.

7. Transferência internacional de dados

Parte dos seus dados é transferida para fora do Brasil:

  • Supabase (Estados Unidos) — cadastro, perfil, veículos, registros operacionais e arquivos enviados.
  • Resend (Estados Unidos) — o endereço de e-mail, para envio das mensagens do serviço.
  • Stripe (Estados Unidos) — os dados de pagamento.
  • Vercel — distribui o site por rede global; o IP de origem do acesso passa por essa rede.
  • Geoapify (Alemanha / União Europeia) — o texto do endereço buscado e as coordenadas do trajeto, na função Trajetos.

Os Estados Unidos não possuem decisão de adequação da ANPD. Essas transferências são regidas pelos contratos de tratamento de dados firmados com cada fornecedor, que preveem obrigações de confidencialidade, segurança e limitação de finalidade. Estamos revisando essas salvaguardas, com o objetivo de adotar as cláusulas-padrão contratuais aprovadas pela ANPD e de reduzir o volume de dados transferido. Você pode solicitar um resumo das salvaguardas vigentes pelo canal de contato.

A transferência ao Geoapify (Alemanha) está em situação distinta: a União Europeia é reconhecida pela ANPD como organismo internacional que assegura grau de proteção de dados adequado ao da LGPD (Resolução CD/ANPD nº 32/2026). Essa transferência apoia-se diretamente no art. 33, I, da LGPD, sem depender das cláusulas-padrão contratuais exigidas para os fornecedores localizados nos Estados Unidos.

8. Tempo de retenção dos dados

Mantemos seus dados pelo tempo estritamente necessário:

  • Conta, perfil, veículos e registros operacionais: enquanto a conta estiver ativa; após o encerramento, excluídos em até 30 dias.
  • Trajetos e roteiros: ficam disponíveis enquanto você os mantiver; você pode apagá-los a qualquer momento, e são removidos quando você transfere o veículo ou encerra a conta.
  • Registros de acesso (autenticação, IP): até 90 dias.
  • Documentos fiscais e de cobrança: 5 anos, por exigência fiscal e para defesa em eventual reclamação (CTN; CDC art. 27).
  • Registros de auditoria administrativa e de incidentes de segurança: até 5 anos.
  • Prova de consentimento (comunicações opcionais): enquanto vigente e por 5 anos após a revogação.
  • Backups técnicos: até 30 dias, quando são sobrescritos.

Ao encerrar sua conta, mantemos por prazo legal apenas o mínimo exigido (identificação mínima, vínculo contratual e documentos fiscais), de forma segregada, criptografada e sem uso operacional; o restante é anonimizado ou eliminado. Cópias de segurança podem reter dados por até 30 dias após a exclusão, sendo então sobrescritas.

9. Seus direitos como titular

A LGPD garante direitos sobre seus dados pessoais (art. 18). Você pode, a qualquer momento, solicitar:

  • Confirmação da existência de tratamento.
  • Acesso aos dados que possuímos sobre você (cópia completa).
  • Correção de dados incompletos, incorretos ou desatualizados.
  • Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
  • Portabilidade dos dados para outro fornecedor, em formato estruturado e interoperável. A exportação direta na plataforma (CSV/XLSX, seção "Meus dados") está disponível nos planos pagos; em qualquer plano, inclusive o gratuito, a portabilidade pode ser solicitada pelo canal de contato, sem custo.
  • Eliminação dos dados tratados com base em consentimento.
  • Informação sobre as entidades com as quais compartilhamos seus dados (lista na seção 6 desta política).
  • Revogação do consentimento a qualquer momento, sem perda de acesso a funcionalidades cujo tratamento esteja amparado em outra base legal.
  • Oposição (art. 18, §2º) a tratamentos fundados em legítimo interesse — inclusive a medição de audiência, a melhoria via análise agregada e a prevenção à fraude — e a tratamento em desconformidade com a LGPD.
  • Revisão de decisões automatizadas que afetem seus interesses (caso aplicável).

Como exercer seus direitos: envie sua solicitação para contato@nomalog.com.br com o assunto "Direitos LGPD" e descrição clara do que você quer. Responderemos no prazo de até 15 dias úteis a partir do recebimento (dobrados enquanto o NOMALOG for qualificado como agente de tratamento de pequeno porte), com informação simplificada de imediato.

Verificação de identidade. Requisições feitas na sua conta autenticada não exigem documento. Para ações sensíveis (exportar tudo, trocar o e-mail), confirmamos por código enviado ao e-mail cadastrado. A exclusão da conta é solicitada pelo canal de contato — não há, no momento, botão de encerramento na plataforma. Por ser irreversível, confirmamos o pedido pelo e-mail cadastrado antes de executá-lo. Se não houver acesso à conta ou houver indício de comprometimento, aplicamos verificação assistida, com prazo de espera e notificação aos contatos originais; documento de identidade só neste caso, com dados desnecessários tarjados e descarte imediato após a conferência. Podemos negar de forma fundamentada quando não for possível confirmar a identidade (art. 18, §4º, II), e você pode peticionar à ANPD (art. 18, §1º).

10. Cookies e armazenamento local

O NOMALOG não usa cookies de rastreamento publicitário. Utilizamos apenas armazenamento local do navegador (localStorage e sessionStorage) com finalidades técnicas essenciais:

  • Sessão de autenticação: tokens gerenciados pelo Supabase Auth para manter você logado.
  • Preferências visuais: tema (claro/escuro), cor de destaque (accent_color), último veículo selecionado.
  • Cache de dados: dados recém-consultados ficam em memória para acelerar a navegação. Limpos ao fechar a aba.
  • Rate limit local: contador de tentativas de login para impedir força bruta antes que chegue ao servidor.
  • Eventos de segurança: registro local de eventos para anomalia detection.
  • Busca de endereço (Trajetos): guardamos a última posição usada na sua sessão para melhorar a ordem das sugestões de endereço. Limpa ao fechar a aba.

Você pode limpar o armazenamento local a qualquer momento nas configurações do seu navegador. Isso causa logout e redefinição das preferências visuais ao padrão.

Para medir tráfego e desempenho do site, utilizamos o Vercel Web Analytics e Speed Insights — ferramentas sem cookies e de primeira parte, que não constroem perfil publicitário. Tratamos essa medição com base no legítimo interesse (art. 7º, IX); você pode se opor a qualquer momento em Preferências → Medição de audiência, ou pelo canal de contato (art. 18, §2º). Não usamos seus dados para treinar modelos de inteligência artificial. Caso venhamos a adotar analytics baseado em cookies (Google Analytics, Microsoft Clarity ou equivalentes), pediremos seu consentimento prévio, conforme a LGPD e as orientações da ANPD.

11. Segurança da informação

Adotamos medidas técnicas e organizacionais para proteger seus dados, em conformidade com o art. 46 da LGPD:

  • Senhas com hash bcrypt — nunca armazenadas em texto plano.
  • Comunicação HTTPS — todo tráfego é criptografado em trânsito.
  • Row Level Security (RLS) — cada usuário só acessa os próprios dados; defesa imposta no banco, não apenas na aplicação.
  • Sanitização de entrada — defesa contra XSS, SQL injection, CSRF.
  • Rate limiting — proteção contra força bruta em login e ações sensíveis.
  • Log de auditoria — registro imutável (append-only) de ações administrativas.
  • Mascaramento — dados sensíveis (placa, chassi, RENAVAM) são parcialmente mascarados na interface por padrão.
  • Cabeçalhos de segurança — Content Security Policy (CSP), HSTS, COOP, CORP configurados no servidor.
  • Validação server-side — toda regra de negócio é também enforced no banco, não apenas no cliente.
  • Detecção de anomalias — eventos atípicos são registrados e monitorados.
  • Dados de localização — os endereços e coordenadas dos trajetos trafegam por HTTPS até o Geoapify e, em repouso, ficam sob as mesmas proteções dos demais dados (RLS, criptografia, acesso restrito).

Apesar de todas as medidas, nenhum sistema é 100% invulnerável. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos seus dados, notificaremos você e a Autoridade Nacional de Proteção de Dados (ANPD) nos prazos e na forma da LGPD (art. 48) e da Resolução CD/ANPD nº 15/2024, com descrição do incidente, dados envolvidos e medidas adotadas.

12. Menores de idade

O NOMALOG não é destinado a menores de 18 anos. O acesso pressupõe declaração de maioridade no cadastro e meio de pagamento em nome próprio nos planos pagos.

Caso tomemos conhecimento de cadastro de menor de idade sem autorização dos responsáveis legais, a conta será removida e os dados associados, excluídos. Se você é responsável legal por menor que tenha se cadastrado sem autorização, escreva para contato@nomalog.com.br para solicitar a remoção imediata.

13. Como exercer seus direitos e nos contatar

Para qualquer assunto relacionado a esta política, dados pessoais ou exercício de direitos:

  • Canal único: contato@nomalog.com.br
  • Assuntos sugeridos: "Direitos LGPD", "Exclusão de conta", "Acesso aos meus dados", "Dúvida sobre dados".
  • Prazo de resposta: até 15 dias úteis a partir do recebimento.
  • Resposta: sempre por e-mail no mesmo endereço que enviou a solicitação, salvo se você indicar outro canal.

Você também pode apresentar reclamação diretamente à Autoridade Nacional de Proteção de Dados (ANPD) caso considere que seus direitos foram violados:

14. Alterações nesta política

Esta Política de Privacidade pode ser atualizada para refletir mudanças no serviço, em práticas de segurança ou em legislação aplicável.

  • Comunicação prévia: alterações relevantes (que afetem direitos do titular ou finalidade do tratamento) serão comunicadas com antecedência mínima de 30 dias, por e-mail ou aviso dentro da plataforma.
  • Data de última atualização: sempre exibida no topo desta página.
  • Histórico: versões anteriores podem ser solicitadas pelo canal de contato.
  • Sua escolha: em caso de discordância com a nova versão, você pode encerrar a conta antes que ela entre em vigor, sem qualquer penalidade.

15. Encarregado pelo tratamento de dados (DPO)

Conforme art. 41 da LGPD, o encarregado pelo tratamento de dados pessoais do NOMALOG é:

  • Nome: Carlos Garcia
  • Canal do encarregado: encarregado@nomalog.com.br
  • Funções: aceitar reclamações de titulares, prestar esclarecimentos à ANPD, orientar sobre práticas de proteção e executar as demais atribuições do art. 41, §2º.

16. Dados de terceiros

Documentos que você envia (por exemplo, notas fiscais) podem conter dados de terceiros, como prestadores de serviço. Tratamos esses dados apenas para comprovar a sua despesa, com base no legítimo interesse, e não os usamos para outra finalidade.

Se você é um terceiro e quer acessar, corrigir ou eliminar dados seus tratados aqui, escreva para contato@nomalog.com.br — não é preciso ter conta.

17. Acesso administrativo

Para suporte e segurança, um número restrito de administradores pode acessar dados de contas, controlado por perfis de permissão. Ações administrativas sobre esses dados são registradas em log de auditoria.

Versão: 8 de setembro de 2026. Alterações relevantes são comunicadas com antecedência mínima de 30 dias (seção 14); versões anteriores podem ser solicitadas pelo canal de contato.