Política de Privacidade

Morini Comercio Eletronico LTDA, inscrita no CNPJ sob o nº 41.071.257/0001-11, é responsável pelo serviço Alugquartos, decide como e por que os dados pessoais são tratados e atua como controladora. Pedidos de privacidade, dúvidas e reclamações podem ser enviados gratuitamente pelo canal de contato, inclusive por quem não consegue entrar na conta, ou pelo e-mail contato@alugquartos.com.br. Todo envio pelo canal recebe protocolo.

Conforme o uso da plataforma, tratamos:

• cadastro e conta: nome, e-mail, foto, identidade do provedor de login, confirmações, sessões e preferências;
• anúncio: descrição, preço, tipo, comodidades, endereço completo, coordenadas e fotos — número e complemento não são publicados;
• interação: favoritos, conversas, mensagens, bloqueios, denúncias, pedidos de suporte e decisões de moderação;
• compra: pedido, plano, valor, estado, referências do pagamento, estorno, disputa e recibo; dados completos de cartão ficam com o provedor de pagamento;
• uso e segurança: data e hora, endereço IP quando disponível, navegador, eventos de autenticação, logs, tentativas de abuso, visitas a anúncios e buscas sem resultado. Métricas de desempenho e audiência usam rotas públicas normalizadas, sem o conteúdo de mensagens nem o endereço exato do anúncio;

Tratamos dados para criar e proteger contas, publicar e localizar anúncios, permitir conversas, prestar suporte, processar recursos pagos e exercer direitos ligados ao contrato. Também os usamos para prevenir fraude, aplicar regras, investigar denúncias, manter segurança, melhorar oferta e procura e defender direitos, com base em execução de contrato, procedimentos solicitados pelo titular, legítimo interesse avaliado e exercício regular de direitos.

Obrigações legais ou regulatórias sustentam registros fiscais, de acesso e respostas a autoridades. Consentimento é usado apenas quando necessário para uma finalidade específica e pode ser revogado sem afetar o tratamento anterior válido. Não vendemos dados pessoais.

Nome, foto e informações do anúncio ficam públicos quando a conta e o anúncio estão ativos. O endereço público é reduzido: número, complemento e coordenada exata não aparecem. A mensagem é entregue aos participantes da conversa. Quando há denúncia, a moderação recebe somente o contexto autorizado pelo fluxo da denúncia; conversa fora desse escopo não é aberta por padrão.

Dados de contato ou documentos enviados voluntariamente no chat passam a ser conhecidos pela outra pessoa. Não envie informação que não seja necessária à negociação.

Compartilhamos o mínimo necessário com fornecedores que operam a plataforma: Supabase (banco, autenticação e arquivos), Vercel (hospedagem e entrega), Resend (e-mail), Cloudflare Turnstile (proteção contra abuso), Google (login, quando escolhido), Mercado Pago (pagamento), ViaCEP (consulta de endereço), CARTO (entrega das imagens do mapa), OpenStreetMap/Nominatim (mapas e localização de endereços) e Sentry (diagnóstico de erros no servidor). Ao visualizar mapas, esses provedores recebem as áreas consultadas e dados técnicos da conexão, como IP e navegador. Também podemos compartilhar dados com autoridades mediante obrigação ou ordem válida e com assessores para exercer direitos.

Fornecedores podem usar suboperadores e processar dados fora do Brasil. Banco, autenticação e Storage principais são configurados na região de São Paulo, e a aplicação na região da Vercel em São Paulo, mas CDN, e-mail, login, antifraude, suporte e pagamento podem envolver outros países. As transferências internacionais devem usar um mecanismo admitido pela LGPD e pela regulamentação da ANPD. Você pode pedir, pelo canal do titular, informações sobre países de destino, finalidade e salvaguardas aplicáveis ao seu caso; quando o pedido envolver as cláusulas usadas na transferência, a resposta é fornecida em até 15 dias, preservados os segredos comercial e industrial.

Podemos combinar sinais técnicos, denúncias, histórico de moderação e referências não reversíveis de identificadores para detectar abuso, reincidência ou risco. Esses sinais limitam acesso ou encaminham casos para revisão. Você pode pedir explicação e revisão de decisão tomada unicamente por tratamento automatizado que afete seus interesses.

• perfil e credenciais: enquanto a conta estiver ativa; ao excluir, sessões são revogadas e nome, avatar e e-mail operacional são anonimizados sem demora;
• mensagens: 24 meses após a última mensagem; excluir uma conta pseudonimiza o remetente, preservando temporariamente a fala que também pertence ao outro participante;
• anúncio removido e fotos: fora do público imediatamente e eliminados em até 180 dias, salvo denúncia, disputa ou preservação jurídica;
• denúncia, suporte e auditoria: 2 anos após o encerramento; 5 anos quando houver fraude confirmada, disputa financeira ou preservação jurídica;
• prevenção de reincidência por fraude confirmada: referência HMAC não reversível do identificador normalizado por 2 anos, sem lista paralela com e-mail em texto;
• pedidos, recibos e ajustes financeiros: 5 anos após a transação ou prazo legal maior; evento bruto de pagamento: 180 dias, mantendo depois apenas referência, estado, valor e datas necessários;
• notificações: 12 meses; preferências enquanto a conta existir; concessões de captcha são eliminadas após expirar;
• registros de acesso: 6 meses, sob sigilo e em ambiente controlado, quando a obrigação do Marco Civil da Internet for aplicável.

Obrigação legal, ordem de preservação ou exercício regular de direitos pode estender um prazo para o caso específico. Encerrada a razão, o dado volta ao ciclo de descarte.

Excluir a conta não apaga imediatamente dados que também pertencem a outra pessoa, comprovam compra, sustentam denúncia ou precisam ser preservados por lei. Nesses casos, restringimos o uso, bloqueamos ou pseudonimizamos até o fim do prazo aplicável.

Backups seguem a janela contratada e não permitem exclusão seletiva. Se houver restauração por incidente, o serviço permanece bloqueado até que as exclusões e expirações já devidas sejam reaplicadas. O backup do banco não recupera fotos e avatares; esses arquivos exigem inventário e cópia própria com a mesma política de retenção.

Adotamos separação entre dados públicos e privados, controle de acesso, trilha administrativa, HTTPS nas conexões da aplicação, proteção contra abuso e cópias de recuperação quando contratadas. Nenhum sistema é infalível. Incidente confirmado que envolva dados pessoais e possa causar risco ou dano relevante é comunicado à ANPD e às pessoas afetadas em até 3 dias úteis, ressalvado prazo legal específico. A comunicação informa, em linguagem simples, os dados afetados, riscos, medidas de proteção e canal de acompanhamento.

Você pode pedir confirmação e acesso, correção, informação sobre compartilhamento, portabilidade quando regulamentada, oposição, anonimização, bloqueio ou eliminação nos casos previstos, revogação de consentimento e revisão de decisão automatizada. O atendimento é gratuito e pode exigir confirmação proporcional de identidade para não entregar dados a terceiro.

A confirmação ou o acesso simplificado são fornecidos imediatamente quando possível. A declaração completa de acesso é fornecida em até 15 dias do pedido. Para os demais direitos, confirmamos o pedido e informamos, em até 15 dias, a providência adotada ou as razões que impedem atendimento imediato.

Nome e foto podem ser corrigidos e a conta pode ser encerrada no painel. Os demais pedidos usam o canal de contato. Se a resposta não resolver, você também pode recorrer à ANPD e aos órgãos de defesa do consumidor, quando cabível.

Esta Política pode mudar para refletir novas funções, fornecedores ou exigências legais. Alterações relevantes serão comunicadas e, quando necessário, um novo aceite será solicitado. A data exibida no topo identifica a versão vigente.