Política de privacidade

1. Quem é responsável pelos seus dados

JOÃO BOX LTDA, CNPJ 68.348.005/0001-43, é a controladora dos dados pessoais tratados neste site. Dúvidas, pedidos ou reclamações sobre privacidade: contato@joaobox.com.br ou pelo WhatsApp (81) 9 9164-5779.

2. Quais dados coletamos

Coletamos só o necessário pra assinatura funcionar e a box chegar:

• Do responsável (quem assina e paga): nome completo, e-mail, senha (guardada de forma criptografada — nem a equipe consegue ver), CPF e celular.
• Das crianças: primeiro nome, data de nascimento e gênero (opcional — pode ficar como "não informado").
• Endereços de entrega: CEP, rua, número, complemento, bairro, cidade e estado.
• Da assinatura: plano escolhido, valores, cupom usado, histórico de entregas, código de rastreio e pedidos de cancelamento (com o motivo, se você quiser contar).
• Do pagamento: a forma de pagamento (cartão, Pix ou boleto) e a situação da cobrança. Os dados do cartão são digitados direto no ambiente do Asaas — a João Box não recebe nem guarda número, validade ou código de segurança do cartão.
• Do Registro de desafio (opcional, João Box Aventura): o mês do desafio concluído e, se você quiser enviar, uma foto ou um vídeo da criança fazendo o desafio.

3. Dados das crianças

Os dados das crianças são informados pelo responsável, tratados sempre no melhor interesse delas e limitados ao mínimo: usamos o primeiro nome pra identificar a box, a data de nascimento pra escolher o conteúdo adequado à idade e o gênero (se informado) pra personalizar a escolha. Não pedimos documento da criança e não usamos esses dados pra publicidade direcionada.

Fotos e vídeos são sempre opcionais: só recebemos o que o responsável decide enviar no Registro de desafio, e o envio só é aceito com a autorização expressa dele para que a João Box publique o material nas suas redes sociais (Instagram, Facebook, YouTube e TikTok), para celebrar as conquistas da garotada. Nas publicações usamos, no máximo, o primeiro nome da criança — nunca sobrenome, endereço, escola ou outro dado que a identifique.

Os arquivos ficam guardados em área privada, acessível só pela equipe da João Box. O responsável pode revogar a autorização a qualquer momento (ver "Seus direitos"): aí apagamos o arquivo e retiramos as publicações feitas com ele.

4. Para que usamos os dados

• Criar e manter a sua conta e o acesso ao painel do assinante.
• Processar a assinatura e as cobranças.
• Preparar, emitir a nota fiscal e enviar as boxes para o endereço de cada criança.
• Falar com você sobre a assinatura: confirmações, pedidos de cancelamento, recuperação de senha e atendimento.
• Registrar os desafios concluídos e colocar o brinde na próxima box da criança.
• Com a sua autorização, publicar nas redes sociais da João Box as fotos e vídeos enviados no Registro de desafio.
• Cumprir obrigações legais e fiscais (como a emissão de nota fiscal).
• Proteger a sua conta e prevenir fraudes (por exemplo, impedir o mesmo CPF em duas contas).

5. Bases legais

Tratamos os dados para executar o contrato de assinatura que você faz com a gente (art. 7º, V, da LGPD), cumprir obrigações legais e regulatórias, principalmente fiscais (art. 7º, II), e, no caso de segurança, prevenção a fraudes e medição do uso do site (origem das visitas e Google Analytics), com base no nosso legítimo interesse (art. 7º, IX), sempre respeitando os seus direitos — a medição pode ser desligada a qualquer momento (seção 7).

Os cookies e dados de publicidade (Meta e Google Ads) são tratados com base no seu consentimento (art. 7º, I), que pode ser retirado a qualquer momento na seção 7.

As fotos e vídeos do Registro de desafio são tratados com base no consentimento específico e em destaque do responsável pela criança (art. 7º, I, e art. 14, § 1º), dado na hora do envio e que pode ser revogado a qualquer momento.

6. Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Compartilhamos só o necessário com empresas que nos ajudam a operar:

• Asaas: processamento dos pagamentos (nome, CPF, e-mail, celular e valores).
• Bling: sistema de gestão (ERP) usado para pedidos, notas fiscais e envio (nome, CPF, endereço e itens do pedido).
• Transportadoras e Correios: nome e endereço de entrega, para levar a box.
• Supabase: hospedagem do banco de dados, do login e das fotos e vídeos do Registro de desafio.
• Redes sociais (Instagram, Facebook, YouTube e TikTok): só as fotos e vídeos com autorização de publicação, junto com o primeiro nome da criança no máximo.
• Vercel e Cloudflare: hospedagem e entrega do site.
• Google (Google Analytics): medição de visitas e das assinaturas pagas, com identificador aleatório do navegador — sem dados que identifiquem você ou as crianças (veja a seção 7).
• Google Ads: só com a sua autorização, para medir os anúncios — cookies de publicidade e, na compra, o valor e um código da assinatura, sem nome, e-mail, celular ou CPF (veja a seção 7).
• Meta (Instagram e Facebook): só com a sua autorização, para medir os anúncios — páginas vistas, etapas da assinatura e, na compra, valor, plano e e-mail e celular criptografados (veja a seção 7).
• Serviços de envio de e-mail (Resend e Brevo) e Google Workspace: e-mails da assinatura e atendimento.
• Autoridades públicas, quando exigido por lei ou ordem judicial.

Alguns desses fornecedores podem armazenar ou processar dados fora do Brasil. Nesses casos, exigimos garantias adequadas de proteção, conforme a LGPD.

7. Cookies e armazenamento no navegador

Usamos cookies essenciais, que mantêm você conectado à sua conta com segurança. Durante a assinatura, o formulário guarda um rascunho temporário no seu navegador (sem a senha), pra você não perder o que já preencheu se recarregar a página — ele some ao fechar a aba.

Quando você chega ao site por um link de divulgação (de uma parceira, de um anúncio ou com um cupom), guardamos num cookie nosso, por até 90 dias, só de onde veio a visita: os parâmetros do link (como utm_source e utm_campaign, ou o identificador do clique do anúncio), o site de origem e a primeira página vista. Se você assinar, essa origem fica ligada à assinatura, pra sabermos quais parcerias e campanhas funcionam. O cupom de um link fica guardado por 30 dias, pra já aparecer preenchido na assinatura. Esses cookies não têm seus dados pessoais e não são compartilhados com ninguém.

Usamos o Google Analytics para medir o uso do site: quantas pessoas visitam, de onde vêm e em que etapa da assinatura param. Ele usa cookies próprios (como _ga) com um identificador aleatório do navegador — sem nome, e-mail, CPF ou qualquer dado das crianças. Os recursos de publicidade do Google ficam desligados, a menos que você autorize a publicidade (parágrafo abaixo). Quando uma assinatura é paga, avisamos o Google Analytics do valor e do plano, ligado a esse identificador, para sabermos quais canais trazem assinantes. Você pode desligar essa medição a qualquer momento logo abaixo.

Cookies de publicidade (Meta — Instagram e Facebook — e Google Ads) só com a sua autorização, no aviso que aparece no site ou na caixinha do formulário de assinatura. Com ela, o Meta Pixel registra as páginas vistas e as etapas da assinatura, e, quando a assinatura é paga, enviamos à Meta o valor, o plano e o seu e-mail e celular de forma criptografada (hash), para ela saber qual anúncio trouxe a assinatura. Nunca enviamos CPF, endereço nem dados das crianças. Com ela, também carregamos a tag do Google Ads, que usa cookies próprios (como _gcl_aw) para saber qual anúncio trouxe a visita e, quando a assinatura é paga e você volta ao site, registra o valor e um código da assinatura — ao Google não enviamos nome, e-mail, celular, CPF, endereço nem dados das crianças, e não usamos esses cookies para remarketing. Sem a autorização, nada disso acontece. Você pode mudar a escolha a qualquer momento logo abaixo.

8. Por quanto tempo guardamos

Mantemos os dados enquanto a sua conta existir. Depois que você pede a exclusão, apagamos os dados, exceto o que a lei obriga a guardar por mais tempo — como os registros fiscais das compras, que ficam pelo prazo legal. Fotos e vídeos do Registro de desafio são apagados quando a conta é excluída ou quando você revoga a autorização.

9. Seus direitos

A qualquer momento, você pode pedir:

• Confirmação de que tratamos os seus dados e acesso a eles.
• Correção de dados incompletos ou desatualizados (boa parte dá pra fazer você mesmo, no painel do assinante).
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD.
• Portabilidade dos dados a outro fornecedor.
• Eliminação dos dados e da conta, respeitado o que a lei obriga a guardar.
• Informação sobre com quem compartilhamos os seus dados.
• Revogação da autorização de uso de fotos e vídeos: apagamos o arquivo e retiramos as publicações feitas com ele.

Para exercer qualquer um desses direitos, escreva para contato@joaobox.com.br ou chame no WhatsApp. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

10. Segurança

Usamos conexão criptografada (HTTPS) em todo o site, senhas guardadas de forma criptografada, acesso ao banco de dados restrito ao nosso sistema e verificação em duas etapas obrigatória para a equipe que acessa o painel interno.

11. Mudanças nesta política

Se mudarmos esta política, a nova versão é publicada nesta página com a data de atualização. Mudanças importantes também são avisadas por e-mail.