Política de Privacidade

BLOOMING HOSPEDAGEM DE SITES E TRATAMENTO DE DADOS LTDA, inscrita no CNPJ sob o nº 68.515.322/0001-07, responsável pela plataforma Blooming Box, está comprometida com a proteção dos seus dados pessoais e com a transparência no tratamento dessas informações, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018).

1. Quem Somos

O Blooming Box é uma plataforma web voltada para responsáveis por crianças, que reúne em um único ambiente o registro de saúde, memórias, marcos de desenvolvimento e acesso a profissionais de saúde (pediatras) vinculados à criança.

O Encarregado de Proteção de Dados (DPO) da plataforma pode ser contatado pelo e-mail privacidade@bloomingbox.com.br.

2. Quais Dados Coletamos e Por Quê

2.1 Dados do Responsável

Ao criar uma conta, coletamos os seguintes dados:

• Nome e e-mail, obrigatórios para criação e identificação da conta;
• Senha, armazenada em formato criptografado (hash), nunca em texto legível;
• Conta Google: quando o usuário opta por criar conta ou fazer login via Google, coletamos o identificador único da conta Google (Google ID) e o e-mail associado. Nesse caso, não há senha cadastrada na plataforma;
• CPF utilizado como forma alternativa de login e identificação em atendimento administrativo;
• Telefone, de fornecimento opcional no cadastro, sendo exigido para a contratação de planos pagos e a compra de vouchers de presente;
• CEP, informado pelo usuário no cadastro. Ao preencher o endereço de cobrança, o CEP digitado é consultado no serviço público ViaCEP, por meio de nossos servidores, apenas para preencher o endereço automaticamente;
• Endereço de cobrança (rua, número, complemento, bairro, cidade e UF), informado no pagamento com cartão ou Pix. É enviado ao processador de pagamentos para a realização da cobrança e não é armazenado pelo Blooming Box;
• Preferência de recebimento de newsletter, como registro do consentimento para comunicações de marketing;
• Data e hora de aceite dos Termos de Uso, documento que também faz referência a esta Política de Privacidade.

2.2 Dados da Criança

Para cada criança cadastrada, o responsável pode informar:

• Nome, data de nascimento, gênero e foto de perfil;
• Dados de saúde, categoria de dado pessoal sensível nos termos do art. 11 da LGPD: tipo sanguíneo, peso e altura ao nascer, histórico de consultas médicas, vacinas aplicadas, medicações de urgência e alergias;
• Registros de memória: fotos e vídeos de marcos da infância, álbuns organizados por mês de vida, cartas escritas para o futuro, registros da gravidez e do parto, e registros escolares.

Esses dados são inseridos voluntariamente pelo responsável e, quando aplicável, por profissional de saúde autorizado, conforme item 2.3.

2.3 Dados de Profissionais de Saúde

Profissionais de saúde (pediatras) que aceitam convite de um responsável para acompanhar uma criança específica cadastram nome, e-mail e senha, armazenada de forma criptografada, e CRM (registro profissional), de fornecimento opcional. O acesso de um profissional de saúde a dados de saúde de uma criança é sempre condicionado a convite explícito do responsável, pode ser revogado a qualquer momento, e cada acesso a dado de saúde é registrado em log de auditoria interno.

2.4 Dados de Terceiros Informados pelo Usuário

Ao utilizar o recurso de Voucher de Presente, o comprador informa nome e e-mail do destinatário. Determinados módulos de registro de memória, como árvore genealógica e registros escolares, permitem ao responsável cadastrar nome e foto de familiares, professores ou colegas de turma da criança. Esses dados de terceiros são inseridos por decisão do próprio responsável, que se responsabiliza pela adequação do registro.

2.5 Dados de Navegação

Utilizamos cookies e armazenamento local do navegador, divididos em três categorias:

Essenciais (sempre ativos). Mantêm o seu login e o funcionamento básico do site. Usamos um cookie de sessão (refresh_token), com validade de 7 dias, e itens de armazenamento local que guardam que você já viu o tutorial, o andamento do cadastro e a sua escolha sobre cookies. Não identificam você para fins de publicidade e não dependem de consentimento.

Análise (somente com o seu consentimento). Usamos o Google Analytics 4, do Google LLC, para entender como o site é utilizado (páginas visitadas e etapas do cadastro e da compra) e melhorá-lo. Grava os cookies _ga e _ga_*.

Marketing (somente com o seu consentimento). Usamos o Meta Pixel, da Meta Platforms, Inc., para medir o resultado das nossas campanhas no Facebook e no Instagram. Grava os cookies _fbp e _fbc.

Esses recursos só atuam em páginas públicas e nas etapas de cadastro e de compra de vouchers. Enviamos o endereço da página sem parâmetros e, nas compras, apenas o valor e a moeda. Não enviamos nome, e-mail, telefone, CPF, dados de crianças nem dados de saúde, e não os usamos nas áreas logadas do aplicativo.

Base legal e revogação. O tratamento de dados pelos cookies de Análise e de Marketing se baseia no seu consentimento (art. 7º, I, da LGPD). Você pode aceitar, recusar ou personalizar na faixa exibida no primeiro acesso e alterar ou revogar a escolha a qualquer momento pelo link "Preferências de cookies", no rodapé do site. Recusar não afeta o uso do Blooming Box. Você também pode apagar os cookies pelas configurações do navegador.

Transferência internacional. O Google e a Meta podem tratar dados em servidores fora do Brasil, inclusive nos Estados Unidos, conforme as políticas de privacidade de cada empresa e as garantias previstas no art. 33 da LGPD.

A plataforma disponibiliza, em sua página inicial, uma pesquisa opcional sobre como o usuário conheceu o Blooming Box. As respostas são registradas de forma inteiramente anônima, sem qualquer identificador de usuário, cookie ou dispositivo associado.

O endereço IP de toda requisição é registrado e guardado por 6 meses, como exige o Marco Civil da Internet (art. 15). Além disso, o endereço IP é registrado nos logs de auditoria de ações administrativas sensíveis, como exclusão de conta, alteração de senha e acesso de profissional de saúde a prontuário, com finalidade de segurança e auditoria.

Não coletamos dados de geolocalização por GPS.

3. Como Usamos Seus Dados

Os dados pessoais coletados são utilizados para as seguintes finalidades:

• Nome, e-mail e senha: autenticação e identificação da conta;
• CPF: login alternativo e identificação em atendimento administrativo;
• Telefone: contato em situações de suporte e atendimento administrativo;
• Preferência de newsletter: envio de comunicações de marketing, mediante consentimento;
• Dados da criança e de saúde: funcionalidade central da plataforma, para registro de desenvolvimento e histórico de saúde;
• E-mail: envio de comunicações transacionais e lembretes de consulta e vacina;
• Dados de assinatura: controle do plano contratado e processamento de cobrança;
• Endereço IP: segurança, auditoria de ações sensíveis e cumprimento de obrigação legal de guarda de registros de acesso.

4. Compartilhamento de Dados com Terceiros

O Blooming Box não vende dados pessoais a terceiros. Compartilhamos dados apenas com os seguintes operadores, estritamente para as finalidades abaixo:

• SendGrid: envio de e-mails transacionais e newsletter;
• Linode Object Storage: armazenamento de fotos, vídeos e documentos enviados pelo usuário;
• ViaCEP: consulta pública de CEP para preenchimento automático do endereço de cobrança, sem envio de dados pessoais além do CEP digitado;
• Sentry: monitoramento técnico de erros da aplicação, com coleta automática de dados pessoais e de conteúdo de requisições expressamente desativada em nossa configuração;
• Google LLC (Google Analytics): análise de uso do site, mediante consentimento;
• Meta Platforms, Inc. (Meta Pixel): medição de campanhas, mediante consentimento.

4.1 Processamento de Pagamentos

Utilizamos a Stone Instituição de Pagamento S.A., inscrita no CNPJ sob o nº 16.501.555/0001-57, para o processamento de pagamentos e cobranças recorrentes das assinaturas contratadas na plataforma. São compartilhados com a Stone os dados de nome, e-mail, telefone e CPF do titular da conta, necessários à identificação e ao processamento da cobrança. No pagamento com cartão ou Pix, também é enviado o endereço de cobrança informado pelo titular. Dados completos de cartão de crédito são tratados diretamente pela Stone, nunca sendo recebidos, armazenados ou processados pelos servidores do Blooming Box. O tratamento de dados pela Stone está sujeito à sua própria política de privacidade.

5. Retenção e Exclusão de Dados

Ao solicitar o cancelamento da conta, os dados pessoais e conteúdos associados são retidos por 45 (quarenta e cinco) dias corridos, período em que a conta pode ser reativada. Decorrido esse prazo, os dados são excluídos de forma definitiva e irreversível. A mesma regra se aplica quando um período de teste gratuito expira sem contratação de plano pago.

Por medida de segurança, não é possível excluir o cadastro da última criança vinculada a uma conta ativa — a exclusão completa dos dados de todas as crianças ocorre exclusivamente por meio do cancelamento da conta, observado o prazo de retenção acima.

6. Segurança dos Dados

Adotamos as seguintes medidas técnicas e organizacionais de proteção:

• Senhas armazenadas exclusivamente como hash criptográfico, nunca em texto legível;
• Autenticação de dois fatores disponível para contas administrativas;
• Controle de acesso por perfil de usuário, verificado a cada solicitação;
• Registro de auditoria para ações sensíveis, como acesso de profissional de saúde a prontuário e exclusão de conta;
• Armazenamento de arquivos sensíveis com controle de acesso por meio de links temporários e assinados digitalmente;
• Monitoramento técnico de erros configurado para não coletar automaticamente dados pessoais;
• Rotina de cópia de segurança diária, com armazenamento fora do servidor principal.

7. Seus Direitos como Titular

Nos termos da LGPD, o titular dos dados tem direito a:

• Confirmação da existência de tratamento de dados;
• Acesso aos dados pessoais mantidos;
• Correção de dados incompletos, inexatos ou desatualizados;
• Exclusão dos dados, por meio do cancelamento da conta;
• Revogação do consentimento para recebimento de newsletter, a qualquer momento;
• Portabilidade dos dados a outro fornecedor de serviço, mediante solicitação.

Para exercer qualquer desses direitos, entre em contato pelo e-mail privacidade@bloomingbox.com.br.

8. Cookies

Veja a seção 2.5, que descreve os cookies que utilizamos, a finalidade de cada categoria e como alterar ou revogar o seu consentimento a qualquer momento.

9. Dados de Crianças e Adolescentes

O tratamento de dados de crianças é realizado sempre mediante cadastro e consentimento do responsável legal, no melhor interesse da criança, nos termos do art. 14 da LGPD. A plataforma é destinada ao uso por responsáveis maiores de 18 anos, não sendo permitido o cadastro direto por crianças ou adolescentes. Dados de saúde da criança, categoria sensível de dado pessoal, são acessíveis apenas ao responsável que os cadastrou e a profissionais de saúde por ele expressamente autorizados.

10. Alterações Nesta Política

Esta Política de Privacidade poderá ser atualizada a qualquer momento para refletir mudanças em nossas práticas ou na legislação aplicável. A data da última atualização será sempre indicada no topo deste documento. O uso continuado da plataforma após a publicação de alterações implica ciência do usuário quanto ao novo texto.

11. Contato e Encarregado de Proteção de Dados

BLOOMING HOSPEDAGEM DE SITES E TRATAMENTO DE DADOS LTDA

CNPJ: 68.515.322/0001-07

E-mail do Encarregado de Proteção de Dados (DPO): privacidade@bloomingbox.com.br