Política de Privacidade e Cookies

1. Controlador

Controlador: Plano Família Preparada — identidade do controlador (razão social, CNPJ e contato) será preenchida com dados oficiais antes da publicação com tráfego real. Nesta versão provisória, o controlador está pendente de definição formal e será atualizado no momento da publicação oficial.

2. Canal para exercício dos direitos do titular

Canal: canal dedicado para requisições de titulares (acesso, correção, eliminação, revogação, entre outros) será divulgado antes da publicação oficial — por exemplo, e-mail dedicado ou formulário. Enquanto provisório, utilize o contato informado no momento da coleta ou aguarde atualização deste documento. Responderemos conforme prazos aplicáveis.

3. Finalidades

Tratamos dados pessoais exclusivamente para:

• Exibir o resultado educativo do quiz (nível 0–10, primaryRisk, complementos familiares);
• Enviar o resultado personalizado quando o consentimento de entrega é aceito;
• Quando autorizado separadamente, incluir na lista de espera para conteúdos, novidades e ofertas do Plano Família Preparada;
• Medir desempenho agregado da experiência (apenas com consentimento de cookies de análise/marketing).

Não utilizamos respostas para diagnóstico médico, avaliação técnica de residência, garantia de proteção ou previsão de desastres.

4. Dados tratados

Dados tratados: primeiro nome, WhatsApp (normalizado para +55), e-mail quando informado, UF, cidade (sanitizada), região derivada da UF, perfis habitacionais (Q3 IDs 1–6), primaryRisk, preparednessLevel, score, indicadores hasChildren/hasElderly/hasPets, pageUrl, UTMs/fbclid/gclid, flags de consentimento, timestamps e IDs técnicos de sessão/submissão. Não coletamos nesta etapa: resposta da Q14 (apoio contínuo) — mantida apenas em memória volátil e nunca enviada —, diagnósticos de saúde, conteúdo de documentos, localização precisa ou fingerprint.

Para fins de revisão, registra-se que os dados tratados incluem apenas os campos listados acima.

5. Compartilhamentos

Dados enviados via webhook PUBLIC_LEADS_WEBHOOK_URL ao destino configurado (ex.: automação/planilha/CRM). O destino deve implementar HTTPS, allowlist de domínios, validação de schema (27 chaves), rate limiting, deduplicação por submissionId, retenção e acesso restritos, e logs sem PII desnecessária. Não compartilhamos com terceiros para finalidades diversas do descrito sem novo consentimento.

6. Retenção

Retenção: dados de lista de espera mantidos enquanto houver finalidade e consentimento válido, ou até pedido de exclusão/revogação. Dados de quiz temporários em sessionStorage (Q1–Q13) são limpos ao concluir, recomeçar ou mudar versão das perguntas. Políticas de descarte e prazos específicos do destino serão detalhados antes da publicação oficial.

Período de retenção será revisado antes da publicação oficial.

7. Cookies

Usamos cookies necessários para funcionamento do quiz. Com sua autorização, também usamos cookies de análise e marketing para entender o desempenho da experiência e melhorar nossas campanhas. Decisão salva em localStorage como consentDecision/consentVersion/consentTimestamp. GTM/GA4/Meta só carregam após “Aceitar todos”; “Somente necessários” mantém analytics bloqueado. Revogação via “Configurações de cookies” bloqueia eventos futuros sem desfazer envios já realizados. Texto literal do banner conforme seção 10 da spec.

8. Encarregado

Encarregado pelo tratamento (DPO) quando exigido ou adotado no caso concreto: contato do encarregado será publicado aqui quando houver designação obrigatória ou voluntária. Nesta versão provisória, o encarregado está pendente de definição e será informado antes da publicação oficial. Não afirmamos que todo pequeno projeto é obrigado a possuir DPO/encarregado — a necessidade depende do caso concreto e de orientação jurídica aplicável.

9. Direitos do titular

Você pode solicitar acesso, correção, eliminação, portabilidade, informação sobre compartilhamentos e revogação de consentimentos. O canal acima será o meio oficial após publicação. Revogar marketing não apaga resultado já gerado; revogar cookies não desfaz dados já enviados a analytics.

10. Segurança e webhook público

O endpoint PUBLIC_LEADS_WEBHOOK_URL fica visível no bundle estático. Proteções no destino são obrigatórias (CORS allowlist, validação, rate limiting, idempotência). Frontend aplica apenas validação de formato e honeypot — não é proteção definitiva.