Política de Privacidade

Vigente desde 10 de setembro de 2026. Vale para o site e para o aplicativo do Guia CALT.

Resumo em 1 minuto

Navegar não exige cadastro e não te rastreamos pela internet.
Medimos a audiência do próprio guia sem guardar seu IP, nome, e-mail ou GPS. O código anônimo usado para evitar contagem duplicada muda todos os dias.
Com conta, guardamos nome, e-mail, favoritos e avaliações. A senha nunca fica legível, nem para nós.
No Passaporte CALT, também guardamos a confirmação do e-mail, cidade preferida, créditos, vouchers e indicações necessárias para entregar e proteger os benefícios.
Se você pedir uma nova senha, enviamos por e-mail um link aleatório, válido por uma hora e que funciona uma vez só.
A equipe comercial entra numa área separada. Vendedores veem somente as empresas atribuídas ao próprio código; o gerente vê somente as carteiras dos vendedores vinculados a ele.
Cada integrante do time jurídico tem um painel individual que mostra somente o faturamento-base e a própria participação.
Administradores podem proteger a segunda etapa com passkey. Guardamos apenas a chave pública e dados técnicos; biometria e PIN nunca saem do aparelho.
O cadastro de uma empresa é analisado antes da cobrança. Usamos o e-mail informado para comunicar a decisão e, quando aprovado, enviar o pagamento ou avisar sobre uma cortesia concedida.
No programa de indicação entre empresas, registramos quem indicou, quem entrou, as etapas gerais da indicação e os créditos ou ajustes necessários para aplicar o desconto na cobrança. A empresa indicadora não recebe contatos, valores pagos nem detalhes internos da negociação da indicada.
No cadastro de anunciante, consultamos o CNPJ para confirmar se está ativo e se é MEI. O enquadramento confirmado decide a faixa de preço; não pedimos autodeclaração.
Fotos e vídeos enviados pelo empresário ficam numa área privada da nossa VPS e só se tornam públicos depois da moderação.
Se você está logado e toca em WhatsApp/ligar/rota, registramos esse toque na sua conta. É assim que te convidamos a avaliar a empresa depois. Sem login, o toque vira só um número anônimo.
Não vendemos dados e não usamos publicidade de terceiros.
Você pode excluir a própria conta imediatamente, confirmando a senha. A exclusão apaga seus dados de verdade: veja como.

1. Quem é o responsável

O Guia CALT é operado por UPSCALE AGENCY LTDA (CNPJ 68.023.017/0001-06), a controladora dos dados. O canal para qualquer assunto de privacidade e proteção de dados é [email protected]. Respondemos em até 15 dias.

2. O que coletamos, para quê e com que base

Situação	Dados	Para quê	Base legal (LGPD)
Criar conta	Nome, e-mail e senha (guardada só como código irreversível)	Te identificar, guardar favoritos, avaliações e seu Passaporte CALT	Execução de contrato (art. 7º, V)
Usar o Passaporte CALT	Confirmação do e-mail, cidade preferida, link opaco de indicação, relação entre quem indicou e quem entrou, créditos, vouchers, empresa escolhida e datas de reserva e uso	Liberar benefícios, impedir uso duplicado, reconhecer indicações qualificadas, avisar por e-mail quando o crédito do indicador for liberado e prestar suporte em caso de contestação. O aviso não identifica a pessoa convidada	Execução de contrato (art. 7º, V) e legítimo interesse em prevenção a fraude (art. 7º, IX)
Participar do time jurídico	Nome, e-mail, senha irreversível, último acesso, data de início, percentual contratado e histórico de repasses	Liberar o painel individual, calcular a participação sobre cobranças pagas e prestar contas dos repasses	Execução de contrato (art. 7º, V)
Recuperar a senha	E-mail e o hash irreversível de uma chave temporária, sem a senha antiga nem a chave legível no banco	Confirmar que o pedido chegou ao e-mail cadastrado e permitir a criação de uma senha nova	Execução de contrato (art. 7º, V)
Proteger os acessos e confirmar login administrativo	Resultado da tentativa, tipo de painel, data e um código irreversível diário calculado a partir do IP e do navegador; e-mail e IP bruto não entram nesse registro. No admin, a segunda etapa usa a chave pública da passkey cadastrada. Enquanto a conta ainda não tiver uma, usamos um código temporário enviado ao e-mail	Detectar força bruta, investigar incidentes e impedir que a senha administrativa sozinha abra o painel	Legítimo interesse em segurança (art. 7º, IX)
Avaliar uma empresa	Nota, texto e a data	Publicar no guia, após moderação, com o seu primeiro nome	Execução de contrato (art. 7º, V)
Tocar em contato ou abrir oferta logado	O toque, a empresa e a sua conta	Provar aos anunciantes o retorno (sempre em números somados) e te convidar a avaliar a empresa que você contatou	Legítimo interesse (art. 7º, IX). Você pode se opor pelo e-mail acima
Tocar em contato ou abrir oferta sem login	Só o toque e a empresa, de forma anônima	Estatística agregada para o anunciante	Legítimo interesse (art. 7º, IX)
Ativar avisos (push)	O endereço técnico que o seu navegador cria para receber avisos, a cidade escolhida e as empresas salvas neste aparelho	Enviar novidades da cidade e ofertas das empresas que você salvou	Consentimento (art. 7º, I). Desative nas permissões do aparelho e a inscrição é apagada
Usar “perto de você”	Sua posição GPS, que não sai do aparelho	Ordenar a lista pela distância, na hora	Consentimento dado ao aparelho
Perguntar ao Guia	A pergunta digitada e a cidade em que você está buscando	Interpretar a intenção e transformá-la em filtros para consultar empresas reais do nosso banco	Execução do serviço solicitado por você (art. 7º, V)
Abrir o guia	Cidade aproximada pelo seu endereço de internet (IP), usada na hora e não armazenada	Sugerir a cidade certa do guia	Legítimo interesse (art. 7º, IX)
Navegar nas páginas públicas	Página acessada sem a parte da URL que pode conter uma busca ou chave, data e hora, cidade da página, origem e campanha informadas no link, domínio externo de referência, país, tipo de aparelho, navegador, sistema e aplicativo. Para evitar contagem repetida, usamos um código irreversível calculado a partir do IP e do navegador; o IP não é salvo nessa medição e o código muda a cada dia	Medir a audiência, saber quais páginas e cidades têm procura, comparar campanhas e vídeos de influenciadores e corrigir falhas do guia	Legítimo interesse (art. 7º, IX), com minimização, retenção limitada e direito de oposição
Convidar a empresa a conferir a página já publicada	Nome da empresa e telefone ou WhatsApp comercial que já conste da própria página ou de fonte pública	Mostrar o cadastro existente, entregar o link privado de correção e atender pedido de atualização ou remoção	Legítimo interesse (art. 7º, IX). A mensagem identifica o Guia CALT e a empresa pode pedir para não receber novos contatos
Montar e manter a página pública de uma empresa	Nome empresarial, contatos comerciais, endereço, ramo, perfil público e fotos comerciais disponíveis em fontes públicas, inclusive no Instagram da própria empresa	Identificar o estabelecimento no guia e ilustrar sua página. Fotos coletadas ficam privadas até a conferência da equipe e podem ser corrigidas ou removidas a pedido	Legítimo interesse (art. 7º, IX), respeitados a finalidade comercial, a moderação e o direito de oposição
Ser empresa anunciante	CNPJ, enquadramento MEI ou Empresa, situação cadastral, razão social e nome fantasia retornados pela consulta; dados de contato, endereço, melhor e-mail, como a empresa descobriu o guia, detalhes declarados sobre reunião, encontro, evento ou indicação, código de vendedor ou influenciador, textos, fotos e vídeos da página, acesso ao painel, situação da análise e cobrança	Analisar o pedido, pedir correção ou comunicar a decisão, conceder uma cortesia quando aplicável, enviar o link de pagamento, aplicar a faixa de preço correspondente ao CNPJ, comparar nome, contato e endereço com fichas da mesma cidade para avisar sobre possível duplicidade sem impedir CNPJs distintos no mesmo local, moderar as mídias, publicar a empresa, liberar o painel e administrar o plano	Procedimentos preliminares e execução de contrato (art. 7º, V)
Informar a origem e um código de indicação no cadastro	Canal pelo qual conheceu o guia, detalhe informado sobre evento ou indicação e o código de quem apresentou o guia à sua empresa. O código é obrigatório quando a origem declarada for vendedor ou influenciador	Entender quais ações trouxeram o contato e registrar corretamente quem indicou, para remunerar vendedores ou influenciadores	Execução de contrato (art. 7º, V)
Participar da indicação entre empresas	Código ou link público da empresa indicadora, e-mail comercial usado como destino dos avisos, relação entre a indicadora e a indicada, nome comercial, CNPJ, quantidade agregada de aberturas do link, data e origem da atribuição, etapas gerais do cadastro, primeiro pagamento elegível, créditos, aplicações em fatura, estornos, ajustes e sinais necessários para prevenir duplicidade ou fraude. Quando o provedor de pagamento informa um identificador do pagador, guardamos somente um código HMAC irreversível para detectar coincidência entre indicadora e indicada; o identificador ou e-mail bruto do pagador não é armazenado para essa finalidade. Também não guardamos IP bruto para contar as aberturas	Atribuir corretamente a indicação, liberar e aplicar o desconto contratado, enviar avisos das etapas à empresa indicadora, prestar contas às empresas, conciliar cobranças e impedir autoindicação, uso duplicado ou manipulação do programa	Procedimentos preliminares e execução de contrato (art. 7º, V) e legítimo interesse em prevenção à fraude, segurança e defesa de direitos (art. 7º, IX)
Participar como vendedor, gerente ou influenciador	Nome, e-mail, WhatsApp, chave Pix, código, senha irreversível, acessos, vínculo entre vendedor e gerente, empresas atribuídas e histórico de comissões ou acertos	Administrar o programa, liberar a carteira privada, mostrar clientes ativos ou vencidos e fazer os repasses	Execução de contrato (art. 7º, V)
Administrar a operação do guia	Nome, e-mail, senha irreversível, último acesso, registro das ações administrativas e, quando cadastrada, identificador e chave pública da passkey, nome dado ao dispositivo, tipo, sincronização e último uso. Não recebemos biometria nem PIN	Controlar o acesso ao painel, proteger a operação e identificar quem alterou cada registro	Legítimo interesse em segurança e responsabilização da operação (art. 7º, IX)

A equipe administrativa vê eventos técnicos de audiência, mas eles não contêm nome, e-mail, conta, IP ou posição GPS. Para os anunciantes, visitas e toques aparecem somente em números somados: eles nunca veem quem você é.

3. O que NÃO fazemos

Não vendemos nem alugamos seus dados.
Não usamos cookies nem redes de publicidade de terceiros.
Não seguimos a sua navegação pela internet afora.
Não pedimos dado que não usamos.

4. Cookies e armazenamento no aparelho

Usamos cookies essenciais de sessão, só para manter cada tipo de conta ou painel logado. Preferências como tema claro/escuro, cidade lembrada e favoritos de quem não tem conta ficam gravadas no seu próprio aparelho. Se você ativar os avisos, a lista de empresas salvas é vinculada ao endereço técnico do push para personalizar essas notificações. Quando uma empresa começa o autocadastro, um rascunho temporário dos campos digitados fica somente na sessão daquela aba para permitir voltar entre etapas ou recarregar sem perder o preenchimento. Ele é apagado ao concluir ou limpar o cadastro e desaparece ao fechar a aba; fotos, tokens e a confirmação do CNPJ não entram nesse rascunho. Quando você chega por um link de campanha, o guia mantém nesta aba, somente até ela ser fechada, os rótulos públicos daquele link para atribuir as próximas páginas à mesma origem. Se você chega por um link de indicação do Passaporte, um cookie essencial assinado conserva essa atribuição por até 30 dias ou até o cadastro, sem revelar o identificador interno de quem indicou. Se uma empresa chega pelo link de indicação de outra empresa, usamos outro cookie essencial, também assinado, por até 30 dias ou até o envio do cadastro. Ele guarda somente a atribuição necessária ao programa; o código público não funciona como senha e o identificador interno da empresa indicadora não é colocado no link. Por isso não há banner de cookies: não existe cookie de rastreamento aqui. Durante a entrada administrativa com passkey, um cookie essencial de dez minutos vincula a senha já conferida à cerimônia WebAuthn e é apagado ao concluir ou vencer.

5. Com quem os dados ficam (e onde)

A aplicação, o banco de dados e os arquivos operacionais ficam em uma VPS própria contratada da Contabo, em infraestrutura internacional, com cópia de segurança criptografada em outro servidor. Para operar, usamos prestadores que tratam dados em nosso nome e sob contrato: Cloudflare (proteção e entrega do site e das fotos, rede global), Resend (envio de e-mails, EUA) e Mercado Pago (pagamentos dos anunciantes; dados de cartão vão direto para eles, não passam por nós), Serpro (consulta oficial do CNPJ diretamente na base da Receita Federal) e, enquanto a integração oficial não estiver configurada, a BrasilAPI/Minha Receita (consulta de CNPJ numérico baseada nos dados abertos da Receita). Enviamos a esses serviços apenas o CNPJ a consultar; não enviamos os dados pessoais do cadastro. Quando um dado cruza a fronteira por causa desses serviços, isso acontece com as salvaguardas contratuais que a LGPD exige (art. 33).

As páginas de empresas exibem um mapa do Google Maps: ao carregar, o Google recebe dados técnicos da sua visita (como o IP), regidos pela política do Google. Links para WhatsApp, Waze e sites das empresas levam você para fora do guia. Lá valem as regras de cada serviço.

Quando uma empresa informa um código de indicação, o vendedor ou influenciador responsável por esse código pode ver no painel privado o nome e os contatos comerciais da empresa, cidade, plano, vencimento e situação da cobrança. Se o vendedor estiver vinculado a um gerente comercial, esse gerente vê os mesmos dados das carteiras da equipe sob sua responsabilidade. Nenhum deles vê cartão, senha ou dados pessoais de moradores. O acesso existe para acompanhar a carteira e é encerrado quando o profissional é desligado.

A indicação feita por uma empresa é separada da atribuição de vendedor ou influenciador. No painel privado, a empresa indicadora pode ver somente o nome comercial da indicada e uma etapa geral, como cadastro recebido, aguardando o primeiro pagamento ou crédito liberado. Ela não recebe telefone, e-mail, CNPJ, valor pago, vencimento, meio de pagamento, motivo de análise nem conversas da equipe com a indicada. Administradores autorizados podem consultar o histórico completo para operar a cobrança, prevenir fraude e resolver contestações.

O integrante jurídico vê somente o próprio extrato: nome da empresa anunciante, tipo e data da receita, valor bruto pago, percentual, valor da participação e situação do repasse. Ele não recebe acesso administrativo ao guia, contatos da carteira, cartão, senha ou dados pessoais de moradores. Estornos aparecem como lançamentos cancelados para preservar a prestação de contas.

6. Por quanto tempo guardamos

Conta, favoritos e avaliações: enquanto a conta existir. Excluiu, apagou. Os toques de contato ficam sem dono (viram estatística anônima).
Passaporte CALT: créditos, vouchers, indicações e a cidade preferida ficam vinculados à conta enquanto ela existir. A exclusão da conta remove esses dados e o endereço pessoal dos avisos do Passaporte ainda mantidos na fila local de e-mails; eventos mínimos sem conteúdo pessoal podem permanecer pelo prazo necessário para conciliação, prevenção a fraude e defesa de direitos.
Chave de recuperação de senha: perde a validade em 1 hora e é apagada quando usada, substituída ou quando a conta é excluída.
Pedido de cadastro empresarial: enquanto a análise ou a relação comercial estiver em andamento. Pedidos recusados ou abandonados ficam somente pelo prazo necessário para atendimento, prevenção a fraude e defesa de direitos.
Indicação e desconto entre empresas: a atribuição e os estados operacionais ficam disponíveis enquanto a relação comercial estiver ativa. O histórico mínimo que sustenta crédito, desconto, fatura, estorno, ajuste e prevenção à fraude permanece pelo prazo legal e de defesa de direitos, em regra por 5 anos. Encerrar a empresa não apaga uma movimentação financeira que ainda precise ser conciliada ou comprovada.
Consulta do CNPJ: guardamos o CNPJ, a faixa aplicada, a situação cadastral, razão social, nome fantasia, fonte e data da verificação enquanto houver análise ou relação comercial. Não copiamos quadro de sócios, telefone ou endereço retornados pela Receita.
Fotos e vídeos empresariais: enquanto a página estiver ativa ou até serem substituídos. O arquivo fica privado durante a análise; conteúdo recusado é apagado da quarentena após a decisão, permanecendo apenas o registro mínimo da moderação para segurança e defesa de direitos.
Dados do representante: durante o acordo; o acesso à carteira cessa no desligamento. Comissões, repasses e documentos fiscais permanecem pelo prazo legal, em regra 5 anos.
Dados do time jurídico: durante a parceria; o acesso cessa no desligamento. Percentuais, faturamento-base, repasses e documentos fiscais permanecem pelo prazo legal, em regra 5 anos.
Acesso administrativo e trilha de ações: durante a atuação no guia; após o desligamento, a conta é bloqueada e os registros mínimos de autoria ficam por até 5 anos para segurança, prestação de contas e defesa de direitos.
Passkeys administrativas: a chave pública e os dados técnicos ficam enquanto o administrador mantiver a passkey cadastrada ou até a conta ser excluída. Desafios de cadastro e acesso valem 10 minutos, funcionam uma vez e são removidos pela rotina diária depois de vencer.
Eventos de autenticação: ficam na trilha de segurança por até 5 anos, sem e-mail, senha, token ou IP bruto. O código técnico usado para correlacionar tentativas muda a cada dia.
Desafio da segunda etapa: o código não é armazenado. O banco recebe somente o hash do desafio assinado, que vale por 10 minutos, é consumido uma vez e removido pela rotina diária depois de vencer.
Inscrição de avisos push: até você desativar no aparelho.
Registros de acesso: 6 meses, como manda o Marco Civil (art. 15).
Medição detalhada de audiência: até 13 meses. O código anônimo muda diariamente e não permite ligar a navegação de dias diferentes; totais agregados podem permanecer para comparação histórica.
Documentos de cobrança dos anunciantes: 5 anos, por obrigação fiscal.

7. Seus direitos (LGPD, art. 18)

Você pode pedir, a qualquer momento e de graça: confirmação e acesso aos seus dados, correção, exclusão, portabilidade, informação sobre com quem compartilhamos, revogação de consentimento e oposição a tratamentos baseados em legítimo interesse. A exclusão da conta pode ser feita imediatamente em /excluir-conta, confirmando a senha. Para os demais pedidos — ou se você não conseguir entrar — escreva para [email protected]. Respondemos em até 15 dias. Se não resolvermos, você pode reclamar à ANPD (gov.br/anpd).

8. Segurança e incidentes

Senhas são guardadas apenas como código irreversível, o acesso ao banco é restrito e as conexões são criptografadas (HTTPS). Nenhum sistema é 100% infalível: se um incidente de segurança puder te causar risco ou dano relevante, avisaremos você e a ANPD, como manda o art. 48 da LGPD.

9. Menores de idade

Navegar no guia é livre. Criar conta, só a partir de 16 anos. Não coletamos intencionalmente dados de crianças; se você acredita que isso aconteceu, escreva para [email protected] e removeremos.

10. Mudanças nesta política

Quando mudarmos algo relevante, como um dado novo ou um uso novo, avisaremos no próprio guia antes de valer. A data no topo sempre indica a versão vigente.

11. Contato

UPSCALE AGENCY LTDA, CNPJ 68.023.017/0001-06. Encarregada pelo atendimento de proteção de dados: a própria controladora, pelo canal [email protected]. Veja também os nossos Termos de Uso e a página Excluir sua conta.