A gente coleta o mínimo, e conta direitinho.

Esta política descreve como a Giro Mobilidade Ltda.(“Giro”, “nós”) coleta, usa e protege seus dados pessoais quando você usa o site giro.rent e os serviços relacionados. É baseada na LGPD (Lei nº 13.709/2018).

1. Quem somos

A Giro é um marketplace peer-to-peer de aluguel semanal de carro pra motorista de aplicativo. Atualmente estamos em beta privado, por convite. O controlador dos seus dados é a Giro Mobilidade Ltda. Você pode falar com a gente em privacidade@giro.rent.

2. Quais dados coletamos

Coletamos só o que precisamos pra rodar o serviço:

• Lista de espera: email e CEP que você fornece. CEP é usado pra identificar o bairro e a cidade — buscamos esses dados no ViaCEP (serviço público dos Correios).
• Dados técnicos: endereço IP, identificador do navegador (user-agent), páginas visitadas e métricas de desempenho (Web Vitals). Usados pra limitar abusos e medir como o site funciona.
• Dados de comunicação: quando você responde a um email nosso, mantemos a conversa no histórico do remetente (Resend) e no nosso registro interno.

3. Para que usamos

• Pra te avisar quando abrir vaga no seu bairro no beta privado
• Pra medir interesse por região e priorizar onde abrir primeiro
• Pra prevenir fraudes e ataques (rate limiting, detecção de bots)
• Pra melhorar o site com base em comportamento agregado

Não vendemos seus dados. Não enviamos propaganda de terceiros pra você. Nunca enviaremos spam.

4. Bases legais

Pra cada categoria de dado, a Giro apoia o tratamento numa base legal específica do Art. 7 da LGPD. Mapeamos um pra um pra ficar claro o que justifica o quê:

Não vendemos seus dados. Nunca usamos os dados pra propaganda direcionada ou retargeting.

5. Com quem compartilhamos

Usamos serviços operadores que processam seus dados em nosso nome. Cada um trata só do que precisa:

• Vercel (Estados Unidos) — hospedagem do site, analytics agregadas, e monitoramento de Web Vitals
• Resend (Estados Unidos) — envio do email de confirmação da lista de espera
• ViaCEP (Brasil) — consulta de bairro/cidade a partir do seu CEP. Não enviamos seu email pra ViaCEP — só o CEP.

Em transferências internacionais (Vercel, Resend), confiamos nas cláusulas-padrão de proteção de dados da Comissão Europeia, que são compatíveis com a LGPD.

6. Por quanto tempo guardamos

• Lista de espera (email, CEP): até você sair do beta, ser convertido em motorista, ou solicitar exclusão
• Logs técnicos (IP, user-agent): até 90 dias. Após esse prazo um job automático no banco (rodando todo dia às 03h UTC) anonimiza esses campos — a linha do email permanece pra preservar sua posição na fila, mas o IP e o user-agent ficam null
• Métricas agregadas: indefinidamente, mas sem identificação pessoal

7. Seus direitos (LGPD Art. 18)

Você pode, a qualquer momento, pedir pra gente:

• Confirmar que tratamos seus dados, e ver tudo que temos sobre você
• Corrigir dados incompletos, errados, ou desatualizados
• Anonimizar, bloquear ou eliminar dados desnecessários ou tratados sem base legal
• Portar seus dados pra outro serviço, em formato estruturado
• Revogar o consentimento a qualquer momento
• Reclamar à ANPD (Autoridade Nacional de Proteção de Dados)

Pra sair da lista de espera com um clique, abra o link de saída que vem no rodapé de cada email da Giro — o link aponta pra /lgpd/unsubscribe e remove seu email da lista imediatamente. Pra qualquer outro direito, escreva pra privacidade@giro.rent — respondemos em até 15 dias úteis. Toda solicitação é registrada num log auditável (data_subject_requests) com data de recebimento e de resolução, pra que a gente possa comprovar o cumprimento do prazo à ANPD se for solicitado.

8. Segurança

Usamos várias camadas de proteção pra cuidar dos seus dados:

• TLS em trânsito (HTTPS) entre o seu navegador e nossos servidores, gerenciado pela Vercel
• Row Level Security (RLS) no banco Postgres da Supabase: o acesso de leitura/escrita acontece exclusivamente via chave de servidor (service-role), nunca do navegador
• Guard de compilação (import "server-only") que impede código de servidor de cair no bundle do navegador
• Headers de segurança (CSP, HSTS, X-Frame-Options, Permissions-Policy) em todas as rotas — restringem onde scripts podem rodar e quais APIs do navegador a gente pode usar
• Rate limit por IP no formulário de inscrição, além de honeypot contra bots automáticos
• Log auditável de exercícios de direito da LGPD em data_subject_requests, com timestamps de recebimento e resolução

Acesso aos sistemas internos: a equipe da Giro hoje é pequena, então o controle de acesso é gerenciado caso a caso (chaves rotacionadas individualmente, sem roles formais ainda). Conforme o time crescer, vamos introduzir controle de acesso baseado em função e atualizamos esta seção.

Mesmo com tudo isso, nenhum sistema é 100% seguro — se identificarmos um incidente que afete seus dados, vamos avisar você diretamente e à ANPD nos prazos previstos pela LGPD (Art. 48). Mantemos um runbook interno (INCIDENT_RESPONSE.md) com os passos de detecção, contenção e notificação.

9. Cookies

Usamos cookies essenciais e cookies analíticos agregados (Vercel Analytics). Detalhes na Política de cookies.

10. Crianças

O serviço é destinado a maiores de 18 anos com CNH válida. Não coletamos dados de menores intencionalmente. Se descobrirmos que coletamos dados de uma criança ou adolescente, apagaremos imediatamente.

11. Mudanças

Quando esta política mudar de forma significativa, avisamos quem está na lista por email, com pelo menos 30 dias de antecedência. A data de atualização no topo da página sempre reflete a versão atual.

12. Contato (DPO)

Encarregado de proteção de dados (DPO), conforme Art. 41 da LGPD: Vinicios Wentz, sócio fundador da Giro Mobilidade Ltda. Você pode falar com o DPO em privacidade@giro.rent sobre qualquer tema ligado a dados pessoais — exercer direitos da LGPD, esclarecer dúvidas, ou relatar incidentes. Quando a Giro escalar o time, esta seção será atualizada com o nome do Encarregado dedicado e seus dados de contato.