Sumário
- Sobre esta política
- Quem somos e quem é responsável pelos seus dados
- Quais dados coletamos
- Por que coletamos cada dado (finalidades e bases legais)
- Cookies e tecnologias similares
- Com quem compartilhamos seus dados
- Transferência internacional de dados
- Por quanto tempo guardamos seus dados
- Como protegemos seus dados
- Seus direitos como titular
- Crianças e adolescentes
- Atualizações desta política
- Como falar com a gente
1. Sobre esta política
Esta Política de Privacidade explica como a Pedaleeze coleta, usa, compartilha e protege os dados pessoais de quem usa nossos produtos e serviços — o site pedaleeze.com.br, o app app.pedaleeze.com.br (Bike Care), e os atendimentos físicos da nossa oficina móvel.
Ela cumpre a Lei Geral de Proteção de Dados — Lei 13.709/2018 (LGPD) e segue as orientações da Autoridade Nacional de Proteção de Dados (ANPD) para agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022).
Escrevemos em linguagem clara de propósito. Se algo aqui não estiver claro, escreva pra gente em privacidade@pedaleeze.com.br e a gente reescreve.
2. Quem somos e quem é responsável pelos seus dados
A Pedaleeze é uma startup de Bike Care — cuidado mecânico e operacional de bicicletas para ciclistas que pedalam de verdade. Fazemos check-ups, laudos técnicos digitais (Laudo Pedaleeze) e atendimento durante provas e eventos.
Controlador dos dados pessoais:
Gustavo Barros Fonseca, operando sob a marca Pedaleeze, com base operacional em Belo Horizonte/MG. E-mail:
privacidade@pedaleeze.com.brWhatsApp:+55 31 99084-2065
A Pedaleeze está em processo de constituição como pessoa jurídica. Quando o CNPJ for emitido, esta seção será atualizada e a comunicação será enviada por e-mail aos titulares cadastrados.
Encarregado (DPO): como agente de tratamento de pequeno porte sob a Resolução ANPD nº 2/2022, a Pedaleeze está dispensada da indicação formal de Encarregado. O canal privacidade@pedaleeze.com.br cumpre as funções do art. 41, §1º da LGPD — qualquer pedido de titular, dúvida ou reclamação é tratado por aí, com tempo de resposta de até 15 dias úteis.
Quando a Pedaleeze for formalmente constituída como pessoa jurídica e/ou ultrapassar os limites de pequeno porte, atualizaremos esta política e indicaremos um Encarregado formal.
3. Quais dados coletamos
Dividimos os dados em três grupos, por origem:
3.1 Dados que você nos dá
| Onde | O quê |
|---|---|
Cadastro no app (/auth + /completar-perfil) | nome, e-mail, cidade |
| Cadastro no app — opcional | telefone |
Cadastro de parceiro (/parceiro) | nome, e-mail, telefone, cidade, nome da oficina, CPF ou CNPJ, mensagem |
Cadastro da sua bike (/bikes/new) | marca, modelo, ano, tipo, número de série (opcional), fotos da bike e de componentes |
| Inspeção / Bike Care | fotos de componentes, medidas técnicas (torque, folga, desgaste), histórico de manutenção, observações do mecânico |
| Forms de contato no site | nome, e-mail, telefone, mensagem |
| Conversa por WhatsApp | nome, número, conteúdo das mensagens trocadas |
3.2 Dados que coletamos automaticamente
| Origem | O quê |
|---|---|
| Acesso ao site/app | endereço IP, tipo de dispositivo, sistema operacional, navegador, data e hora do acesso |
| Vercel Analytics (site) | métricas agregadas de tráfego e desempenho — sem identificar você individualmente |
| Cookies funcionais | preferências de interface (ex: estado da barra lateral no app) |
| Logs de segurança | tentativas de login, ações administrativas, alterações em dados sensíveis |
3.3 Dados que recebemos de parceiros
| Origem | O quê | Quando ativamos |
|---|---|---|
| Strava ou Garmin (opcional, futuro) | distância, rotas, intensidade, frequência de uso da bike | só com seu consentimento específico — ver §4 |
| Fornecedores de catálogo (BikeMatrix, 99Spokes — futuro) | especificações técnicas de modelos de bicicleta | não envolve seus dados pessoais |
3.4 Dados sensíveis
A Pedaleeze evita coletar dados sensíveis (saúde, biometria, posicionamento religioso/político, vida sexual etc.) por padrão. Em particular:
- Não registramos lesões, dores ou condições de saúde no laudo da bike.
- Foto do seu rosto é coletada apenas se você anexar voluntariamente (não é parte do fluxo padrão).
- Geolocalização contínua (Strava/Garmin) é tratada com cautela máxima por poder revelar informações sensíveis por inferência (ex: visitas a clínicas, locais frequentados) — só ativada com consentimento específico, com janela de retenção curta e podendo ser revogada a qualquer momento.
4. Por que coletamos cada dado (finalidades e bases legais)
A LGPD exige que cada tratamento de dados pessoais seja ancorado em uma base legal (art. 7º para dados comuns, art. 11 para dados sensíveis). Não usamos um consentimento único e amplo — cada finalidade está apoiada em uma base específica.
| # | Finalidade | Dados envolvidos | Base legal (LGPD) |
|---|---|---|---|
| 1 | Cadastro e prestação do serviço Bike Care (inspeção, laudo, prontuário da bike) | nome, e-mail, telefone, cidade, dados da bike, fotos de componentes, medidas técnicas | Execução de contrato — art. 7º, V |
| 2 | Prontuário Digital longitudinal (histórico de manutenção que viaja com a bike) | dados das bikes + serviços + componentes | Execução de contrato + legítimo interesse — art. 7º, V + IX, com avaliação documentada (LIA) |
| 3 | Emissão de comprovantes fiscais | dados de identificação + valor + descrição do serviço | Cumprimento de obrigação legal — art. 7º, II (retenção mínima 5 anos pelo Código Tributário Nacional) |
| 4 | Marketing direto (newsletter, novidades, ofertas por e-mail ou WhatsApp) | nome, e-mail, telefone | Consentimento — art. 7º, I (opt-in explícito, separado do cadastro; você pode revogar a qualquer momento) |
| 5 | Inteligência de mercado agregada (estatísticas de uso, perfis anônimos de manutenção) | dados agregados e anonimizados | Legítimo interesse — art. 7º, IX, com avaliação documentada (LIA) |
| 6 | Transferência do Prontuário da bike entre donos (se você vender a bike) | dados do prontuário | Consentimento específico do vendedor + execução de contrato com o novo dono |
| 7 | Compartilhamento com parceiros operacionais (BRC Bikes, Pedaleeze Academy, futuros mecânicos parceiros) | dados necessários ao atendimento contratado | Operador sob contrato Pedaleeze — art. 39 |
| 8 | Integração Strava ou Garmin (futuro, opcional) | distância, rotas, intensidade | Consentimento específico — art. 7º, I (e art. 11, I se houver inferência sensível) |
| 9 | Cumprimento de ordens judiciais | dados solicitados pela autoridade | Cumprimento de obrigação legal — art. 7º, II |
| 10 | Defesa em processos | dados pertinentes | Exercício regular de direitos — art. 7º, VI |
Você não é obrigado a aceitar todas as finalidades. O consentimento de marketing (item 4) e de integração com plataformas externas (item 8) são independentes e podem ser dados/revogados sem afetar seu uso normal do serviço.
5. Cookies e tecnologias similares
Usamos cookies e tecnologias semelhantes (localStorage) em duas categorias:
| Categoria | Exemplo | Pode desativar? |
|---|---|---|
| Estritamente necessários | sessão de login, estado da interface (barra lateral aberta/fechada) | Não — sem eles o serviço não funciona |
| Analíticos agregados | Vercel Analytics (volume de visitas, performance de páginas) | Sim — através das configurações do seu navegador. As métricas são agregadas e não identificam você individualmente. |
Hoje não usamos cookies de publicidade comportamental (Google Ads, Meta Pixel etc.). Se isso mudar, atualizamos esta política e pedimos consentimento específico antes de ativar.
O Vercel Analytics é usado em modo anônimo agregado (configuração padrão do produto) — coletamos métricas de visitas, performance e origem do tráfego, sem cookies persistentes de identificação e sem cruzamento com seu perfil cadastrado.
6. Com quem compartilhamos seus dados
6.1 Operadores (prestadores de serviço que tratam dados em nosso nome)
| Operador | Finalidade | País |
|---|---|---|
| Supabase | banco de dados + autenticação (e-mail OTP) | EUA |
| Vercel | hospedagem do site pedaleeze.com.br + analytics agregado | EUA (edge global) |
| Railway | hospedagem do app app.pedaleeze.com.br | EUA |
| Resend | envio de e-mails transacionais (códigos de login, notificações) | EUA |
| Cloudflare | CDN e proteção de borda | global |
| WhatsApp (Meta) | canal de mensageria oficial Pedaleeze | EUA/Irlanda |
Cada operador trata seus dados estritamente conforme nossas instruções, sob contrato, e está obrigado a manter o mesmo nível de proteção exigido por esta política.
6.2 Parceiros operacionais
| Parceiro | Quando compartilhamos | Sob qual base |
|---|---|---|
| BRC Bikes (mecânicos parceiros em BH) | quando você agenda um serviço com eles | execução de contrato |
| Mecânicos parceiros futuros | quando você escolhe atendimento pelo parceiro | execução de contrato + operador sob art. 39 LGPD |
| Pedaleeze Academy (futuro) | só dados agregados ou pseudonimizados pra treinamento | legítimo interesse / consentimento específico, conforme o caso |
6.3 Quando exigido por lei
Podemos compartilhar dados com autoridades públicas (Receita Federal, Poder Judiciário, ANPD, órgãos de defesa do consumidor) quando obrigados por lei ou ordem judicial.
6.4 Em caso de mudança societária
Se a Pedaleeze for incorporada, vendida ou fundida com outra empresa, seus dados podem ser transferidos como parte da operação — sempre mantendo as mesmas finalidades e nível de proteção. Avisaremos você antes.
Não vendemos seus dados pessoais para terceiros. Ponto.
7. Transferência internacional de dados
Alguns dos nossos operadores estão sediados fora do Brasil (principalmente EUA). Quando seus dados saem do Brasil, garantimos a proteção exigida pela LGPD (art. 33) e pela Resolução CD/ANPD nº 19/2024:
| Destino | Mecanismo | Quem é o operador |
|---|---|---|
| Estados Unidos | Cláusulas-padrão contratuais (anexo II da Resolução 19/2024) | Supabase, Vercel, Railway, Resend, WhatsApp/Meta |
| União Europeia | Decisão de adequação reconhecida pela ANPD em 2024 | (potencial — Strava/Garmin futuros se hospedados na UE) |
| Outros | Avaliados caso a caso, com cláusulas-padrão como mínimo | — |
Se você integrar futuramente Strava ou Garmin (operações nos EUA), pediremos seu consentimento específico para essa transferência antes de ativá-la.
8. Por quanto tempo guardamos seus dados
A regra geral: guardamos cada dado só pelo tempo necessário à finalidade que justifica a coleta, somado aos prazos legais aplicáveis.
| Tipo de dado | Tempo de retenção |
|---|---|
| Cadastro e perfil ativo | enquanto sua conta estiver ativa |
| Cadastro após inativação ou exclusão da conta | até 60 dias para confirmação operacional; depois eliminamos ou anonimizamos |
| Prontuário e laudos da bike | enquanto a conta estiver ativa; se você sair, anonimizamos para uso estatístico (sem identificação) |
| Comprovantes fiscais | 5 anos após a emissão (obrigação do Código Tributário Nacional) |
| Logs de segurança e acesso | até 6 meses |
| E-mails de marketing (após você descadastrar) | apenas a flag de opt-out, sem o histórico — para evitar reenvio acidental |
| Conversas de WhatsApp | até 24 meses, depois resumidas em registro técnico sem PII |
| Dados de Strava/Garmin (se ativados) | até 24 meses |
Quando o prazo de uma finalidade termina, eliminamos ou anonimizamos o dado (anonimização = transformação que impede reidentificação técnica razoável).
9. Como protegemos seus dados
Aplicamos medidas técnicas e organizacionais proporcionais ao nosso porte e ao risco do tratamento:
- Criptografia em trânsito (HTTPS/TLS em todas as conexões)
- Criptografia em repouso no banco gerenciado (Supabase)
- Controle de acesso por papel (Row-Level Security no banco — cada usuário só vê o que é dele)
- Autenticação sem senha (OTP por e-mail) — elimina o risco de vazamento por reuso de senha
- Compartilhamento de laudo via token público com omissão automática de dados pessoais — quando você compartilha um laudo, o destinatário vê só o diagnóstico técnico, sem nome, telefone ou outras informações pessoais
- Logs de operações sensíveis com retenção limitada
- Equipe técnica restrita com acesso necessário ao papel, sob obrigação de confidencialidade
- Operadores selecionados entre fornecedores de mercado com certificações de segurança reconhecidas (Supabase SOC 2, Vercel SOC 2, Resend etc.)
Nenhuma medida elimina 100% o risco. Em caso de incidente de segurança que possa causar risco ou dano relevante aos titulares, comunicaremos a ANPD em até 3 dias úteis (Resolução CD/ANPD nº 15/2024) e os titulares afetados em prazo razoável.
10. Seus direitos como titular
A LGPD (art. 18) garante a você os seguintes direitos sobre seus dados:
| Direito | O que significa | Como pedir |
|---|---|---|
| Confirmação e acesso | saber se tratamos seus dados e ver quais são | privacidade@pedaleeze.com.br |
| Correção | corrigir dados incompletos, inexatos ou desatualizados | direto no app em /profile ou pelo canal acima |
| Anonimização, bloqueio ou eliminação | de dados desnecessários, excessivos ou tratados de forma irregular | canal acima |
| Portabilidade | receber seus dados em formato estruturado, legível por máquina | canal acima |
| Eliminação dos dados tratados com consentimento | excluir os dados cuja base legal era seu consentimento | canal acima — exceto dados que precisamos manter por outra base legal (ex: obrigação fiscal) |
| Informação sobre compartilhamento | saber com quais entidades públicas e privadas seus dados foram compartilhados | canal acima |
| Informação sobre não consentir | entender as consequências de negar consentimento | esta política já fornece — consentimentos de marketing e integrações externas são totalmente opcionais |
| Revogação do consentimento | retirar consentimento previamente dado | canal acima ou direto no app/site (links de descadastro) |
| Revisão de decisão automatizada | se aplicável, pedir revisão humana de decisão tomada apenas por algoritmo | canal acima |
Prazo de resposta: 15 dias úteis para a maioria dos pedidos, conforme Resolução ANPD nº 2/2022 para agentes de pequeno porte.
Identificação: podemos pedir confirmação da sua identidade antes de atender (para evitar entregar seus dados a terceiros). Geralmente basta responder de um e-mail já cadastrado.
Se você acreditar que não cumprimos a LGPD, você pode também apresentar reclamação direto à ANPD (gov.br/anpd).
11. Crianças e adolescentes
A Pedaleeze é destinada a maiores de 18 anos. Não coletamos conscientemente dados pessoais de crianças (menores de 12) ou adolescentes (12 a 18) sem o consentimento dos responsáveis (art. 14 LGPD).
Se você é responsável por um menor e identificou que ele se cadastrou sem sua autorização, escreva pra privacidade@pedaleeze.com.br e eliminaremos a conta.
12. Atualizações desta política
Esta política pode ser atualizada sempre que houver mudança relevante nas nossas práticas de tratamento ou na legislação.
- Versão atual: v1.0 · 18 de junho de 2026
- Comunicação de mudanças relevantes: por e-mail (se você tem conta cadastrada) e por banner no site/app, com antecedência razoável. A partir da versão 2, manteremos um histórico público de versões.
Mudanças que afetem suas bases legais ou ampliem o tratamento exigirão novo consentimento quando aplicável.
13. Como falar com a gente
Para qualquer assunto relacionado aos seus dados pessoais ou a esta política:
| Canal | Quando usar |
|---|---|
privacidade@pedaleeze.com.br | canal oficial para exercer direitos, fazer perguntas ou reclamações |
WhatsApp +55 31 99084-2065 | uso geral / atendimento — pedidos formais sempre por e-mail para registro |
Tempo de resposta: até 15 dias úteis. Se precisar de mais tempo por complexidade, avisaremos.
Anexo A — Resumo executivo (1 página)
Para quem não vai ler tudo:
- O que somos: Pedaleeze, startup de Bike Care.
- Quais dados usamos: o necessário pra cadastrar você, atender sua bike e operar o serviço.
- Por quê: prestação do serviço, obrigações legais (notas fiscais), legítimo interesse (prontuário longitudinal) e — só com consentimento explícito — marketing e integrações externas.
- Com quem dividimos: operadores de tecnologia (banco, hospedagem, e-mail) e parceiros operacionais quando você contrata serviço deles. Não vendemos seus dados.
- Onde os dados ficam: Brasil + EUA (com cláusulas-padrão ANPD) + UE (decisão de adequação).
- Por quanto tempo: o necessário para a finalidade + prazos legais.
- Como protegemos: criptografia, controle de acesso, OTP sem senha, equipe restrita.
- Seus direitos: acessar, corrigir, eliminar, portar, revogar consentimento. Canal:
privacidade@pedaleeze.com.br. - Incidente: comunicamos ANPD em até 3 dias úteis e você assim que possível.
Anexo B — Glossário rápido
| Termo | O que significa |
|---|---|
| Controlador | quem decide o que coletar e por quê — a Pedaleeze, para os dados que ela trata |
| Operador | quem trata os dados em nome do controlador — Supabase, Vercel etc. |
| Titular | você, a pessoa a quem os dados se referem |
| Tratamento | qualquer operação com dados — coletar, usar, guardar, compartilhar, eliminar |
| Base legal | a justificativa jurídica que permite o tratamento (a LGPD lista 10 para dados comuns, art. 7º; e 8 para sensíveis, art. 11) |
| Anonimização | transformação que impede a reidentificação técnica razoável dos dados |
| LIA | Avaliação de Legítimo Interesse — documento interno que justifica o uso desta base legal |
| ROPA | Registro das Operações de Tratamento — inventário interno do que tratamos, por quê e como |