Política de privacidade

Última atualização: 27 de outubro de 2026.

Esta política explica quais dados pessoais a Indicora (indicora.com) trata, para quê, com quem compartilha, por quanto tempo guarda e como você exerce os seus direitos, nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD). Ela complementa os Termos de Uso.

1. Quem é o controlador

O controlador dos seus dados pessoais é a Indicora, aqui chamada também de “nós”.

Para qualquer assunto sobre os seus dados, fale conosco pela nossa página de contato.

2. Que dados tratamos

Navegação sem conta

Você pode ler o site sem se identificar. Mesmo assim, como em qualquer site, os servidores registram o endereço IP e a data e hora de cada acesso (os registros de acesso), além de dados técnicos da requisição, como o navegador usado.

Conta

O login é feito só com a sua conta do Google, pelo protocolo OpenID Connect, com os escopos openid, email e profile. Não pedimos nem guardamos senha. Da conta, guardamos:

• o identificador da sua conta no Google (o “sub”);
• o seu e-mail, já verificado pelo Google;
• o seu nome e o endereço da sua foto de perfil;
• a data de criação da conta e a do último login;
• o seu papel no site: leitor, autor, editor ou administrador (os papéis da equipe são concedidos só por convite).

Sessões

Cada login cria uma sessão. Para ela, guardamos o hash do token que fica no seu cookie (nunca o token em si), o endereço IP, o user agent do navegador, a data de criação e a do último uso. A sessão vale por 30 dias, renovados a cada uso.

Assinatura de apoiador

O pagamento é feito na Stripe, com cartão ou Pix. A Indicora não vê nem guarda os dados do seu cartão. Guardamos os identificadores de cliente e de assinatura na Stripe, o status da assinatura, o plano e a data de fim do período pago. Os registros fiscais das cobranças são guardados pelo prazo que a lei exige.

Newsletter

A newsletter está em implantação. A inscrição só vale depois que você confirma o endereço pelo link que enviamos por e-mail (confirmação dupla). Guardamos o seu e-mail e o registro do consentimento: data, endereço IP, user agent e a origem da inscrição (em que parte do site ela foi feita).

Trilha de auditoria

Ações da equipe (autores, editores e administradores) no painel editorial ficam registradas, para segurança e para saber quem publicou ou mudou o quê.

Mensagens que você nos envia

Se você nos escrever, usamos o seu endereço e o conteúdo da mensagem para responder e guardamos a conversa pelo tempo necessário para tratar o assunto.

3. Para que usamos os dados e com que base legal

Só tratamos dados com uma das bases legais do art. 7º da LGPD:

• Execução de contrato: criar e manter a sua conta, autenticar você e gerir a assinatura de apoiador.
• Legítimo interesse: manter o site seguro, prevenir fraude e abuso e produzir métricas agregadas de uso, que não identificam você.
• Obrigação legal: guardar os registros de acesso exigidos pelo Marco Civil da Internet e os registros fiscais das cobranças.
• Consentimento: enviar a newsletter e usar cookies de medição e de publicidade. Você pode revogar o consentimento a qualquer momento, sem prejuízo do que foi feito antes.

Não vendemos dados pessoais.

4. Cookies e armazenamento local

Hoje o site usa só cookies necessários para funcionar, que não dependem de consentimento:

• __Host-ind_session: mantém a sua sessão depois do login. Não é acessível por JavaScript (HttpOnly) e dura 30 dias, renovados a cada uso.
• __Host-ind_oauth: existe só durante o login, por até 10 minutos, e protege contra falsificação da resposta do Google.
• ind_hint: diz apenas se há uma sessão e se você é apoiador, para o menu se ajustar sem esperar o servidor. É legível por JavaScript, dura 30 dias e não autoriza nada sozinho.
• ind_consent: guarda a sua escolha no banner de cookies (as categorias aceitas, a versão da política e a data), também no armazenamento local do navegador. Dura 1 ano; depois disso, ou quando a política mudar, o banner pergunta de novo.
• ind_locale: guarda o idioma que você escolheu no rodapé (português ou inglês). Só é gravado quando a escolha difere do idioma do seu navegador, que é o usado por padrão, e dura 1 ano.

A preferência de tema claro ou escuro fica no armazenamento local (localStorage) do seu navegador e não é enviada para nós.

Cookies de medição e de publicidade, inclusive os do Google, só são usados se você consentir no banner de cookies. Você pode mudar a sua escolha a qualquer momento pelo mesmo banner.

5. Anúncios

O site pode exibir anúncios do Google (AdSense). Com o seu consentimento, o Google pode usar cookies para medir e personalizar os anúncios, conforme a política de privacidade dele. Sem consentimento, esses cookies não são usados. Apoiadores não veem anúncios.

6. Com quem compartilhamos

Compartilhamos dados só com fornecedores necessários para o site funcionar, cada um limitado ao que precisa para o seu serviço:

• Google: login com a conta do Google e, quando houver, exibição de anúncios.
• Stripe: processamento dos pagamentos da assinatura de apoiador.
• Vercel: hospedagem do site, com funções executadas nos Estados Unidos.
• Oracle Cloud: hospedagem da API e do banco de dados, em Ashburn, nos Estados Unidos.
• Cloudflare: DNS, proxy da API e armazenamento de imagens e de backups.
• Provedor de envio de e-mail: ainda não contratado; será listado aqui antes de começar a receber dados.

Também podemos compartilhar dados quando a lei ou uma ordem judicial exigir, ou para defender direitos da Indicora em processo judicial, administrativo ou arbitral.

7. Transferência internacional

Os seus dados são processados nos Estados Unidos, onde ficam a hospedagem do site, a API e o banco de dados. Essa transferência se apoia no art. 33 da LGPD, com as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou garantias equivalentes oferecidas pelos fornecedores.

8. Por quanto tempo guardamos

• Conta: enquanto ela existir. Ao excluir a conta, apagamos os seus dados pessoais, salvo o mínimo que a lei nos obriga a manter, sem vínculo com você.
• Sessões: até você sair, encerrá-las na área da conta ou passarem 30 dias sem uso.
• Registros de acesso (IP, data e hora): 6 meses, como exige o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014). Eles são mantidos mesmo depois da exclusão da conta, desvinculados de você, e apagados ao fim do prazo.
• Assinatura: os registros fiscais, pelo prazo que a legislação fiscal exige.
• Newsletter: enquanto você estiver inscrito.
• Trilha de auditoria: as ações da equipe continuam registradas, mas são anonimizadas quando a conta de quem as fez é excluída.

9. Segurança

Adotamos medidas técnicas e organizacionais como:

• conexão sempre cifrada (HTTPS);
• cookies de sessão HttpOnly e Secure;
• só o hash do token de sessão no banco de dados, de modo que um vazamento do banco não permite entrar na sua conta;
• acesso aos dados restrito a quem precisa;
• backups criptografados.

Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente que possa causar risco ou dano relevante a você, avisaremos você e a ANPD, como prevê a LGPD.

10. Os seus direitos

Pelo art. 18 da LGPD, você pode pedir:

• confirmação de que tratamos os seus dados;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos os seus dados;
• informação sobre a possibilidade de não dar consentimento e as consequências disso;
• revogação do consentimento;
• oposição a tratamento feito sem consentimento, se ele descumprir a lei;
• revisão de decisões tomadas só com base em tratamento automatizado.

Na área da conta você pode, sem precisar nos escrever:

• exportar os seus dados em formato JSON;
• ver as sessões abertas e encerrar qualquer uma delas;
• excluir a conta. A exclusão cancela a assinatura, encerra todas as sessões, apaga a ligação com a sua conta do Google e os seus dados pessoais e mantém só o mínimo exigido por lei, anonimizado.

Para descadastrar-se da newsletter, use o link presente em todo e-mail; ele funciona sem login. Os demais pedidos podem ser feitos pela nossa página de contato. Respondemos em até 15 dias. Podemos pedir alguma confirmação de identidade antes de atender, para proteger os seus dados.

Se não ficar satisfeito com a nossa resposta, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

11. Crianças e adolescentes

A conta e a assinatura são destinadas a maiores de 18 anos. Menores só podem usá-las com a autorização e o acompanhamento de um responsável legal. Não coletamos de propósito dados de crianças. Se soubermos que isso aconteceu, apagamos os dados.

12. Encarregado pelo tratamento de dados

As solicitações de titulares e os contatos da ANPD são atendidos pela nossa página de contato.

13. Mudanças nesta política

Podemos atualizar esta política para refletir mudanças no site, nos fornecedores ou na lei. A data no topo indica a versão vigente. Mudanças relevantes são avisadas no site e, para quem tem conta, por e-mail, antes de entrarem em vigor.