Política de Privacidade

1. Introdução

O HTMLy ("nós", "nosso") está comprometido com a proteção da sua privacidade e dos seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). Esta Política de Privacidade descreve como coletamos, usamos, armazenamos e protegemos suas informações ao utilizar nossa plataforma.

2. Dados Coletados

Coletamos os seguintes dados pessoais:

• Dados de cadastro: nome, endereço de email e, quando aplicável, identificador Google (Google ID) e foto de perfil (avatar).
• Dados de acesso: endereço IP, data e hora de acesso, navegador utilizado.
• Dados de uso: sites publicados, visualizações, plano contratado, histórico de pagamentos.
• Dados de pagamento: no cartão, os dados são processados diretamente pelo Stripe, e não armazenamos o número completo do cartão; mantemos apenas o tipo e os últimos 4 dígitos para referência. No Pix Automático, pedimos o CPF ou CNPJ do titular da conta bancária que vai pagar, porque o banco confere o documento antes de aprovar. Ele é enviado à Woovi, que processa o Pix, e guardado cifrado na sua conta para você não precisar digitar de novo.

3. Finalidade do Tratamento

Utilizamos seus dados para as seguintes finalidades:

• Prestação do serviço: criar e gerenciar sua conta, hospedar e exibir seus sites.
• Analytics: contabilizar visualizações dos seus sites e gerar relatórios de uso.
• Comunicação: enviar emails transacionais (confirmação de conta, alertas de cobrança), relatórios semanais e notificações de marcos de visualização.
• Segurança: prevenir fraudes, abusos e garantir a integridade da plataforma.
• Melhorias: analisar padrões de uso agregados para aprimorar o Serviço.

4. Base Legal

O tratamento dos seus dados pessoais é fundamentado nas seguintes bases legais previstas na LGPD:

• Execução de contrato: para a prestação do serviço contratado (Art. 7º, V).
• Consentimento: para o envio de comunicações de marketing e relatórios opcionais (Art. 7º, I).
• Legítimo interesse: para melhorias no serviço, segurança e prevenção de fraudes (Art. 7º, IX).
• Obrigação legal: para cumprimento de obrigações fiscais e regulatórias (Art. 7º, II).

5. Compartilhamento de Dados

Seus dados podem ser compartilhados com os seguintes terceiros, exclusivamente para fins de prestação do Serviço:

• Stripe: processamento de pagamentos no cartão de crédito.
• Woovi: processamento do Pix Automático. Recebe seu nome, e-mail e o CPF ou CNPJ do titular da conta que paga, necessários para criar a autorização no seu banco.
• Resend: envio de emails transacionais e notificações.
• DigitalOcean: infraestrutura de hospedagem.
• Cloudflare: CDN, DNS e proteção contra ataques.

Não vendemos, alugamos ou compartilhamos seus dados pessoais com terceiros para fins de marketing.

6. Armazenamento e Segurança

Seus dados são armazenados em servidores da DigitalOcean, com infraestrutura no Brasil quando disponível. Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo:

• Comunicação criptografada via HTTPS/TLS.
• Senhas armazenadas com hash bcrypt (nunca em texto puro).
• Acesso restrito aos dados por colaboradores autorizados.
• Backups regulares com criptografia.
• Monitoramento de segurança e logs de auditoria.

7. Seus Direitos

Conforme a LGPD, você tem os seguintes direitos em relação aos seus dados pessoais:

• Acesso: solicitar informações sobre quais dados pessoais tratamos.
• Correção: solicitar a correção de dados incompletos, inexatos ou desatualizados.
• Exclusão: solicitar a eliminação dos seus dados pessoais.
• Portabilidade: solicitar a transferência dos seus dados a outro fornecedor.
• Revogação do consentimento: retirar seu consentimento a qualquer momento.
• Oposição: opor-se ao tratamento de dados baseado em legítimo interesse.

Para exercer qualquer desses direitos, entre em contato pelo email [email protected]. Responderemos sua solicitação em até 15 dias úteis.

8. Cookies

O HTMLy utiliza quatro categorias de cookies no domínio htmly.com.br:

• Estritamente necessários: cookies de sessão para autenticação, preferências de idioma e proteção CSRF. Sempre ativos — sem eles, a plataforma não funciona.
• Analytics (Google Analytics 4): cookies _ga e _ga_<ID> utilizados para medir tráfego agregado, fontes de acesso e comportamento de navegação nas páginas de marketing, dashboard e ferramentas. Ativados somente após seu consentimento explícito no banner de cookies.
• Origem do cadastro: cookies próprios landing_page, landing_referrer e utm_*, que guardam por 30 dias a página por onde você entrou no HTMLy, o site que trouxe você até aqui (só o domínio, como google.com) e os parâmetros de campanha do link, se houver. Nenhum terceiro lê esses cookies. Se você criar uma conta, essas informações ficam registradas nela, para sabermos quais canais trazem novos usuários; se não criar, elas expiram sozinhas. Gravados sem depender do banner de cookies. Base legal: legítimo interesse (LGPD Art. 7º, IX).
• Suporte ao cliente (Crisp): cookies do widget de chat Crisp utilizados para manter a sessão de atendimento, seu histórico de conversa e reconhecer visitantes que retornam. Carregados em todas as páginas de htmly.com.br como ferramenta funcional essencial de suporte (sem depender do banner de cookies). Coletamos apenas mensagens enviadas, email/nome se você os fornecer no chat, IP e user agent. Base legal: execução de contrato e legítimo interesse (LGPD Art. 7º, V e IX).
• Preferências de consentimento: armazenamos sua escolha (aceitar/rejeitar) no localStorage do seu navegador, sob a chave htmly_consent, para não exibir o banner em visitas futuras.

Você pode revogar seu consentimento a qualquer momento limpando o localStorage do seu navegador (Ferramentas do Desenvolvedor → Application → Local Storage) ou limpando cookies e dados do site. O banner reaparecerá na próxima visita.

Importante: os sites hospedados pelos nossos clientes em subdomínios *.htmly.com.br não recebem Google Analytics, Crisp, nem qualquer JavaScript de terceiros. Essa separação é arquitetural e garantida por isolamento de domínio.

9. Analytics

O HTMLy utiliza duas camadas distintas de analytics, cada uma com abordagem de privacidade específica:

Sites hospedados (subdomínios): as visualizações são contabilizadas inteiramente server-side, sem JavaScript de terceiros, sem cookies e sem identificação de visitantes. Apenas contagens agregadas por dia, referrer e país. Essa é uma promessa estrutural do produto e não mudará.

Páginas de marketing e app autenticado (htmly.com.br): utilizamos Google Analytics 4 (GA4) configurado com Google Consent Mode v2. Isso significa que, antes do seu consentimento, o GA4 opera em modo denied: nenhum cookie é gravado e apenas pings agregados anônimos (sem identificador) são enviados ao Google. IP é anonimizado (anonymize_ip: true). Google Signals, personalização de anúncios e remarketing estão desativados. Após consentimento, GA4 passa a coletar dados completos conforme configuração padrão da ferramenta, com retenção de 14 meses.

Base legal LGPD: legítimo interesse combinado com consentimento ativo (Art. 7º, I e IX).

10. Conexões com IA (MCP)

Você pode conectar o HTMLy a um aplicativo de IA, como o Claude, o ChatGPT, o Cursor ou o Claude Code, para ele publicar e gerenciar seus sites em seu nome. A conexão usa o protocolo MCP e só existe se você autorizar o aplicativo na tela de consentimento do HTMLy ou colar nele a sua chave de API.

O que o HTMLy recebe: o que o aplicativo envia em cada chamada, ou seja, os arquivos do site, o endereço (slug), o nome do projeto, a descrição para buscadores e a opção de indexação, além dos dados de acesso de qualquer requisição (endereço IP e identificação do programa). O HTMLy não recebe a conversa que você tem com a IA.

O que fica guardado:

• Os arquivos publicados, como em qualquer outra forma de publicação.
• A autorização de cada aplicativo, com o nome que ele informou ao se conectar, a data da autorização, a data do último uso e a validade. O acesso vale 7 dias e é renovado automaticamente por até 90 dias.
• No site, o canal da última publicação e qual aplicativo de IA publicou, identificado pelo nome do aplicativo autorizado.
• A cada publicação, um registro com o endereço IP, a identificação do programa, o aplicativo de IA identificado e a quantidade de arquivos enviados e removidos. Esse registro segue as regras dos registros de acesso descritas na seção 11.

O que o HTMLy devolve ao aplicativo: a lista dos seus sites com os limites do plano, os dados e a lista de arquivos de cada site e o conteúdo dos arquivos de texto que o aplicativo pedir para ler. De imagens, fontes, vídeos e PDFs, devolve só o endereço público, o tamanho e o tipo. A partir daí, esses dados são tratados pelo aplicativo de IA, conforme a política de privacidade dele.

Como cortar o acesso: no seu Perfil, o card "Conexões com IA" lista cada aplicativo autorizado, e "Revogar" corta o acesso dele na hora. Uma conexão feita com a chave de API é cortada no card "Chave de API", em "Gerar nova chave". Uma não mexe na outra. O registro de uma autorização revogada é apagado na limpeza diária seguinte, e o de uma autorização vencida, 90 dias depois do vencimento.

11. Retenção de Dados

Seus dados pessoais são mantidos enquanto sua conta estiver ativa. Após a exclusão da conta ou solicitação de eliminação, seus dados de cadastro são removidos em até 30 dias, exceto quando houver obrigação legal de retenção (como registros fiscais, que são mantidos pelo prazo legal aplicável).

O CPF ou CNPJ informado para o Pix Automático fica guardado, cifrado, enquanto a conta existir, e é apagado junto com ela. Os avisos de pagamento que guardamos da Woovi não incluem o documento.

Os registros de acesso à aplicação (endereço IP, data e hora de eventos como cadastro, login, publicação e suspensão de sites) são mantidos separadamente, em cumprimento ao artigo 15 do Marco Civil da Internet, e podem sobreviver à exclusão da conta pelo prazo legal aplicável. Esses registros são usados para segurança, apuração de abuso e atendimento a requisições legais.

Sites anônimos (sem conta) e seus dados associados são automaticamente excluídos após a expiração (1 hora ou 24 horas, conforme aplicável).

12. Alterações

Esta Política de Privacidade pode ser atualizada periodicamente. Alterações significativas serão comunicadas com no mínimo 30 dias de antecedência por email ou notificação na plataforma. A data de última atualização será sempre indicada no topo desta página.

13. Contato — Encarregado de Proteção de Dados (DPO)

Para questões relacionadas à privacidade e proteção de dados, entre em contato com nosso Encarregado de Proteção de Dados (DPO) pelo email [email protected].