Política de Privacidade

1. Controlador dos Dados

O controlador responsável pelo tratamento dos dados pessoais é:

• Razão social: BUBBLE IN INOVA SIMPLES
• CNPJ: 66.638.951/0001-07
• Nome comercial: Bubble In
• Encarregado de dados (DPO): privacidade@getbubblein.com

2. Dados Pessoais Coletados

Coletamos as seguintes categorias de dados pessoais:

2.1. Dados de cadastro

• Endereço de e-mail;
• Senha (armazenada exclusivamente em formato hash criptográfico — nunca em texto puro).

2.2. Dados de uso

• Páginas e funcionalidades acessadas;
• Horários e frequência de uso;
• Endereço IP e informações do navegador.

2.3. Dados de pagamento

• Processados integralmente por gateways de pagamento terceirizados;
• Não armazenamos dados de cartão de crédito, conta bancária ou similares.

3. Dados de Terceiros Processados

Para a prestação do serviço de inteligência competitiva, o Bubble In processa dados disponíveis publicamente no LinkedIn, incluindo:

• Nome, cargo e empresa de perfis públicos;
• Conteúdo de posts públicos e métricas de engajamento (curtidas, comentários, compartilhamentos);
• Informações públicas de páginas de empresas.

Base legal: Legítimo interesse (LGPD, Art. 7º, inciso IX) para tratamento de dados tornados manifestamente públicos pelo titular. Esses dados são utilizados exclusivamente para fins de análise competitiva de presença no LinkedIn e não são vendidos ou compartilhados para finalidades diversas.

4. Finalidades do Tratamento

• Prestação do serviço contratado: monitoramento, análise e geração de relatórios de inteligência competitiva no LinkedIn;
• Comunicações transacionais: envio de notificações, alertas de uso e informações sobre a conta;
• Melhoria do produto: análise agregada e anonimizada de padrões de uso para aprimorar funcionalidades;
• Cumprimento de obrigações legais: manutenção de registros para fins fiscais, contábeis e regulatórios.

5. Bases Legais para o Tratamento (LGPD, Art. 7º)

• Execução de contrato (Art. 7º, V): tratamento de dados de cadastro e uso necessários para a prestação do serviço contratado;
• Legítimo interesse (Art. 7º, IX): processamento de dados públicos do LinkedIn para fins de análise competitiva, bem como analytics agregados para melhoria do produto;
• Consentimento (Art. 7º, I): envio de comunicações de marketing e newsletters (opt-in explícito, podendo ser revogado a qualquer momento);
• Obrigação legal (Art. 7º, II): manutenção de dados fiscais e registros exigidos pela legislação brasileira.

6. Compartilhamento de Dados

Seus dados pessoais podem ser compartilhados com os seguintes terceiros, exclusivamente para as finalidades descritas nesta Política:

• Supabase: infraestrutura de banco de dados e autenticação;
• Vercel: hospedagem e entrega da aplicação;
• Apify: coleta automatizada de dados públicos do LinkedIn;
• OpenRouter: processamento de inteligência artificial para análise de conteúdo;
• Gateway de pagamento: processamento seguro de transações financeiras.

Não vendemos, alugamos ou comercializamos dados pessoais de nossos usuários a terceiros.

7. Transferência Internacional de Dados

Parte da infraestrutura utilizada pelo Bubble In opera em servidores localizados fora do Brasil, principalmente nos Estados Unidos. Os subprocessadores envolvidos são:

• Supabase (EUA) — banco de dados e autenticação;
• Apify (República Tcheca/EUA) — coleta de dados públicos do LinkedIn;
• OpenRouter (EUA) — processamento de IA;
• Resend (EUA) — envio de e-mails transacionais;
• Brevo (França/UE): envio de e-mails de conteúdo e novidades, somente a quem deu consentimento;
• Contentful (EUA) — CMS do blog;
• PostHog (EUA): análise de uso do produto, funis de conversão e gravação de sessão;
• Apollo.io (EUA): identificação de empresas e visitantes do site para prospecção comercial;
• LiveIntent (EUA): resolução de identidade utilizada pelo Apollo.io.

Essas transferências são realizadas com base no Art. 33 da LGPD, mediante cláusulas contratuais padrão e adesão dos provedores a frameworks de privacidade reconhecidos internacionalmente (ISO 27001, SOC 2). Medidas técnicas equivalentes às aplicadas no Brasil são exigidas contratualmente.

8. Retenção de Dados

• Dados de conta: mantidos enquanto a conta estiver ativa, mais 30 (trinta) dias após o cancelamento para fins de backup;
• Dados de uso e analytics: mantidos por 12 (doze) meses em formato agregado;
• Dados fiscais e financeiros: mantidos por 5 (cinco) anos, conforme exigência da legislação tributária brasileira;
• Cache de dados públicos do LinkedIn: dados de empresas mantidos por 30 dias; dados de engajadores mantidos por 48 horas.

9. Direitos do Titular dos Dados

Conforme a LGPD (Art. 18) e o GDPR (Art. 15 a 22), você tem direito a:

• Confirmação da existência de tratamento de seus dados pessoais;
• Acesso aos dados pessoais que mantemos sobre você;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade dos dados a outro fornecedor de serviço;
• Informação sobre entidades públicas e privadas com as quais compartilhamos seus dados;
• Revogação do consentimento a qualquer momento, quando o tratamento for baseado em consentimento.

Como exercer seus direitos: envie um e-mail para privacidade@getbubblein.com com sua solicitação. Responderemos em até 15 (quinze) dias úteis, conforme previsto na LGPD.

10. Segurança dos Dados

Adotamos medidas técnicas e organizacionais para proteger seus dados pessoais:

• Criptografia em trânsito: todas as comunicações são protegidas por HTTPS/TLS;
• Armazenamento seguro de senhas: utilizamos hash criptográfico via Supabase Auth (bcrypt);
• Row Level Security (RLS): políticas de segurança no banco de dados garantem que cada usuário acesse apenas seus próprios dados;
• Controle de acesso: acesso administrativo restrito e protegido por autenticação de múltiplos fatores.

11. Cookies e Rastreamento

• Cookies essenciais: necessários para autenticação e funcionamento da plataforma (session token Supabase). Não podem ser desativados sem comprometer o serviço;
• Consentimento: os cookies de análise do Google Analytics e do PostHog só são ativados depois que você aceita no aviso exibido na primeira visita. Se recusar, nada é gravado no seu navegador para análise e a gravação de sessão não acontece. Para mudar a escolha, limpe os dados do site no navegador e o aviso aparece de novo;
• Google Analytics (GTM): com o seu consentimento, utilizamos o Google Tag Manager e o Google Analytics nas páginas públicas para análise agregada de tráfego. Você também pode fazer opt-out pela extensão disponível em tools.google.com/dlpage/gaoptout;
• PostHog: com o seu consentimento, utilizamos o PostHog para entender como a plataforma é usada (páginas vistas, cliques e gravações de sessão), tanto nas páginas públicas quanto nas áreas logadas. O conteúdo digitado em campos de formulário é mascarado na gravação. Saiba mais em PostHog Privacy Policy;
• Eventos de conta: independentemente dos cookies, registramos no PostHog, a partir dos nossos servidores e com um identificador pseudônimo, marcos da sua conta necessários à execução do contrato e à melhoria do serviço: cadastro, login, criação e conclusão de projetos, início de pagamento e mudanças de assinatura;
• Apollo.io: utilizamos o rastreador de site do Apollo.io em todas as páginas, independentemente do aviso de consentimento, para identificar empresas e visitantes com potencial comercial. Ele guarda um identificador no seu navegador e registra as páginas visitadas, a origem da visita e parâmetros de campanha. Por meio da LiveIntent, pode associar a visita a um e-mail profissional em formato de hash. Saiba mais em Apollo.io Privacy Policy;
• Não utilizamos cookies de publicidade comportamental. O rastreador do Apollo.io, descrito acima, é usado apenas para prospecção comercial B2B.

12. Notificação de Incidentes

Em caso de incidente de segurança que possa afetar seus dados pessoais, a Bubble In se compromete a:

• Notificar a Autoridade Nacional de Proteção de Dados (ANPD) em até 72 horas após a ciência do incidente, conforme Art. 48 da LGPD;
• Comunicar os titulares afetados de forma clara e tempestiva, indicando as medidas tomadas para remediar a situação;
• Registrar o incidente internamente com data, escopo e ações corretivas.

13. Alterações nesta Política

Esta Política de Privacidade pode ser atualizada periodicamente para refletir mudanças em nossas práticas ou na legislação aplicável. Em caso de alterações materiais, notificaremos os usuários por e-mail com antecedência razoável.

Recomendamos a revisão periódica desta página para se manter informado sobre como protegemos seus dados.