Política de Privacidade

Essa Política descreve como a Mansa (mansa.yoga) coleta, usa, compartilha e protege seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados — LGPD (Lei 13.709/18).

Alguns dados são necessários para entregar as aulas e manter sua conta. Os usos opcionais têm escolhas próprias, explicadas abaixo. Recusar novidades não impede acessar a aula gratuita.

1. Quem é o controlador dos seus dados

Mansa, marca operada por Bruno Miranda Filetti Ltda., inscrita no CNPJ 67.901.337/0001-40, com sede em São Paulo/SP.
Contato: contato@mansa.yoga

2. Encarregado pelo tratamento de dados (DPO)

O Encarregado pelo Tratamento de Dados Pessoais da Mansa está acessível pelo e-mail contato@mansa.yoga, com o assunto “LGPD”. Use esse canal pra exercer os direitos previstos no artigo 18 da LGPD (acesso, correção, eliminação, portabilidade, etc.). Respondemos em até 15 dias.

3. Que dados coletamos

3.1 Dados que você fornece

• Cadastro: nome completo, e-mail e telefone com DDD. O telefone é obrigatório e não é verificado — a gente confia no que você informa. Ele existe pra te encontrarmos quando algo trava na sua conta e o e-mail não chega, que é a falha mais comum e a mais difícil de resolver só por e-mail.
• Senha: armazenada em hash (não temos como ver a senha original)
• Questionário inicial: nível de experiência, objetivos, tempo disponível, frequência atual de prática
• Pagamento: dados do cartão são coletados e processados diretamente pelo Asaas — nunca passam pelos nossos servidores nem são armazenados por nós. Recebemos do Asaas apenas o status da assinatura e os últimos 4 dígitos pra exibir nas suas configurações de conta.
• Mensagens de contato: conteúdo que você envia pelo formulário /contato ou comentários nas aulas
• Indicação opcional: se durante o cadastro você escolher que uma professora da plataforma te indicou, armazenamos o vínculo entre sua conta e essa professora. Esse vínculo é imutável após o cadastro e usado exclusivamente pra cálculo de remuneração da professora (veja seção 6).

3.2 Dados coletados automaticamente

• Uso da plataforma: aulas assistidas, progresso, tempo em cada vídeo, trilhas em andamento
• Técnicos: endereço IP, tipo de navegador, sistema operacional, idioma, fuso horário, páginas visitadas
• Cookies essenciais: token de sessão pra manter você logado, preferências de interface

3.3 Inscrição na aula gratuita

Na página /aulagratuita, coletamos nome, e-mail e telefone para registrar a inscrição, enviar a confirmação de e-mail e liberar uma aula gratuita. O link confirma a titularidade do e-mail e cria ou acessa seu cadastro de autenticação, sem senha. Isso não ativa uma assinatura nem gera cobrança. O telefone é informado por você e não passa por verificação de titularidade.

Registramos a data da inscrição, os parâmetros de origem da campanha presentes no link, a confirmação do e-mail e sinais de uso: início e término do vídeo, marcos de progresso, visualização dos planos e continuação para o pagamento. Medimos também visitas e interações com o formulário usando um identificador aleatório no cookie mansa_visita_aula, válido por 30 minutos. Esse registro inclui a categoria de tamanho da tela e o domínio de referência, sem guardar IP, conteúdo digitado ou a URL completa de referência. Após o cadastro, vinculamos a visita à inscrição para acompanhar a conversão. Um cookie temporário mantém o pedido de confirmação por uma hora, e os cookies de autenticação mantêm sua sessão. Usamos um cookie essencial, chamado mansa_aula_gratuita, para manter a aula liberada neste navegador por 30 dias. Esse prazo é do acesso e não apaga automaticamente o cadastro. Você pode solicitar a exclusão pelo nosso canal de contato.

O recebimento de dicas, novidades e ofertas por e-mail e WhatsApp é opcional, mediante a marcação da opção no formulário. Guardamos o texto, a versão e a data dessa autorização. Recusar não impede assistir à aula. Você pode cancelar pela própria página da aula ou pelo nosso contato, mantendo seu acesso gratuito.

3.4 Medição de anúncios no Instagram e na Meta

Usamos o Pixel da Meta para saber quais anúncios no Instagram e no Facebook trazem visitas, cadastros e compras. O Pixel é carregado pelo Google Tag Manager, a ferramenta do Google que organiza os códigos de medição do site. Ele funciona em todas as páginas, menos na área administrativa e em endereços que contenham e-mail ou código de acesso.

Enviamos à Meta estes eventos: páginas visitadas, visualização da oferta do plano anual, envio do formulário de interesse, clique para comprar o plano anual, criação de conta e compra do plano anual. Nos eventos do plano anual, informamos também o nome do plano, o valor e a moeda.

Com cada evento, a Meta recebe o endereço da página, informações técnicas do navegador, como endereço IP, e os cookies de medição dela, que identificam o navegador e o clique no anúncio. A Meta pode relacionar esses dados à conta de quem usa Instagram ou Facebook, conforme a política de privacidade da Meta.

Quando você envia o formulário de interesse, cria uma conta ou conclui a compra do plano anual, os eventos também levam seu e-mail, telefone e nome e, na compra, o identificador da sua conta. O Pixel transforma esses dados em códigos criptográficos (hash SHA-256) antes do envio, para a Meta reconhecer a conta correspondente. Esses códigos não tornam os dados anônimos. Uma cópia deles, também em hash, fica no armazenamento local do navegador (gtmeec) para os eventos seguintes.

Quando o Asaas confirma o primeiro pagamento de uma conta, nosso servidor também envia a compra à Meta pela API de Conversões, para ela ser contada mesmo que o navegador bloqueie o Pixel. Esse envio leva o valor, os mesmos dados em hash (e-mail, telefone, nome e identificador da conta) e, sem hash, como a Meta exige, o endereço IP, o navegador e os cookies de medição da Meta do momento em que você clicou para pagar. Guardamos esse contexto junto do pedido de pagamento só para esse envio e o apagamos quando a compra é enviada. Navegador e servidor usam o mesmo identificador de evento, e a Meta conta a compra uma vez.

Não enviamos à Meta respostas do questionário (como faixa etária e o que você procura no yoga), informações de saúde, perguntas para professoras, senhas, dados do cartão ou tokens de acesso. A configuração automática do Pixel, que poderia ler campos de formulário por conta própria, fica desligada.

Essa medição se baseia no nosso legítimo interesse em avaliar e melhorar os anúncios da Mansa (LGPD art. 7º, IX). Você pode se opor pelo contato@mansa.yoga, apagar ou bloquear os cookies _fbp e _fbc e os dados do site no navegador e ajustar suas preferências de anúncios nas configurações da Meta. Nada disso altera o acesso às aulas ou as condições dos planos.

4. Pra que usamos seus dados

• Operar a conta: autenticação, recuperação de senha, personalização do conteúdo recomendado
• Processar pagamentos: ativar e cobrar a assinatura via Asaas
• Comunicação: avisos sobre sua conta (cobrança, nova aula publicada), respostas ao suporte. Podemos usar seu telefone pra resolver um problema da sua conta e pra falar de novidades e ofertas da própria Mansa — nunca de terceiros, e nunca vendemos ou cedemos seu número. Se não quiser essas mensagens, basta pedir por e-mail ou responder pedindo pra parar, e a gente para. Os avisos sobre cobrança e acesso continuam, porque esses são parte do serviço que você contratou.
• Melhorar a plataforma: analisar uso agregado pra decidir que aulas gravar, que recursos lançar
• Segurança: prevenir fraude, abuso e violação dos Termos de Uso
• Proteção do acervo: registramos data, hora, IP, dispositivo e qual aula foi reproduzida, e podemos associar marcas de identificação à sua sessão de vídeo. É o que permite descobrir a origem de um conteúdo vazado. Esses dados não são usados pra publicidade, não são vendidos e não alimentam perfis comerciais — servem só pra segurança do acervo e pra apurar violação dos Termos. Ver item 8.1 dos Termos de Uso.
• Obrigação legal: emitir nota fiscal, atender autoridades quando legalmente exigido

5. Bases legais (LGPD art. 7º)

• Execução de contrato — pra operar sua assinatura
• Cumprimento de obrigação legal — fiscal, tributária
• Legítimo interesse — segurança, prevenção de fraude, melhoria do serviço, medição dos anúncios da Mansa (seção 3.4) e proteção do acervo contra cópia não autorizada (LGPD art. 7º, IX). Você pode se opor a esse tratamento pelo contato@mansa.yoga, mas registros mínimos de acesso são inseparáveis da operação segura da plataforma
• Exercício regular de direitos — guarda de registros de acesso quando necessários pra apurar ou comprovar violação dos Termos (LGPD art. 7º, VI)
• Consentimento — pra envio de comunicações de marketing (opt-in, você pode descadastrar a qualquer momento)

6. Com quem compartilhamos

A gente não vende dados. Compartilhamos só o necessário com os serviços abaixo, que fazem a plataforma funcionar ou medem nossos anúncios:

• Asaas Gestão Financeira Instituição de Pagamento S.A. (Brasil) — processamento de pagamento e emissão de nota fiscal. Política: asaas.com/politica-de-privacidade
• Supabase (Estados Unidos / Europa) — banco de dados e autenticação. Política: supabase.com/privacy
• Vercel (Estados Unidos) — hospedagem da aplicação. Política: vercel.com/legal/privacy-policy
• Resend (Estados Unidos) — envio de e-mails transacionais. Política: resend.com/legal/privacy-policy
• ImprovMX (Estados Unidos) — encaminhamento de e-mails recebidos.
• Vimeo (Estados Unidos) — hospedagem e streaming dos vídeos das aulas.
• Cloudflare (Estados Unidos) — verificação anti-robô (Turnstile) nas telas de cadastro, login e recuperação de senha. Política: cloudflare.com/privacypolicy
• Meta Platforms (Estados Unidos / Irlanda) — medição dos anúncios pelo Pixel da Meta (ver 3.4). Política: facebook.com/privacy/policy
• Google (Estados Unidos) — Google Tag Manager, que carrega os códigos de medição do site. Política: policies.google.com/privacy

Esses serviços têm acesso restrito aos dados estritamente necessários e operam sob contratos que exigem proteção dos dados. Alguns estão sediados fora do Brasil — o que é permitido pela LGPD (art. 33) quando garantida proteção adequada por contrato.

6.1 Compartilhamento com professoras parceiras (programa de indicação)

A Mansa mantém um programa em que professoras parceiras podem ser remuneradas por quem elas indicaram (veja Termos de Uso, seção 3). Para viabilizar esse programa, dados de uso agregados e anônimos podem ser compartilhados com professoras:

• O que é compartilhado: totais agregados de minutos assistidos das aulas da professora, número de pessoas indicadas por ela ativas no mês, e indicadores de receita estimada da própria professora. Nada disso identifica ninguém em particular.
• O que NÃO é compartilhado: seu nome, e-mail, telefone, endereço, dados de pagamento, histórico individual de aulas, nem qualquer outra informação que permita te identificar. Professoras parceiras vêem apenas agregados.
• Base legal: execução de contrato (LGPD art. 7º, V) — o vínculo de indicação é necessário pra calcular a remuneração devida à professora conforme contrato firmado entre Mansa e professora.
• Confidencialidade: professoras parceiras são contratualmente obrigadas a manter sigilo sobre qualquer dado disponibilizado nos dashboards.

Se você quiser remover o vínculo de indicação da sua conta a qualquer momento, escreva pra contato@mansa.yoga. A remoção interrompe o cômputo da indicação a partir do mês seguinte.

7. Por quanto tempo guardamos

• Conta ativa: enquanto sua assinatura existir ou você mantiver acesso
• Após cancelamento: 90 dias para você reativar sem perder histórico. Depois disso, deletamos os dados pessoais e mantemos apenas registros fiscais/contábeis pelo prazo legal (geralmente 5 anos pro fisco)
• Logs técnicos: até 12 meses
• Mensagens de contato: até 2 anos, depois deletamos

8. Seus direitos (LGPD art. 18)

Como titular dos dados, você tem direito a:

• Confirmação — saber se tratamos seus dados
• Acesso — pedir uma cópia dos seus dados
• Correção — atualizar dados incompletos, inexatos ou desatualizados
• Anonimização ou eliminação — pedir que apaguemos seus dados (exceto quando obrigados legalmente a guardar)
• Portabilidade — receber seus dados em formato estruturado (JSON ou CSV)
• Revogar consentimento — descadastrar comunicações de marketing
• Oposição — se opor a tratamento feito com base em legítimo interesse
• Revisão — pedir revisão humana de decisões automatizadas que te afetem

Pra exercer qualquer direito, manda e-mail pra contato@mansa.yoga com o assunto “LGPD”. Pode pedir confirmação da sua identidade antes de processar.

9. Segurança

Adotamos medidas técnicas e organizacionais pra proteger seus dados:

• Conexões HTTPS em todo o site
• Senhas armazenadas em hash (bcrypt)
• Dados de cartão jamais armazenados em nossos servidores (vão direto pro Asaas)
• Acessos administrativos restritos por allowlist e autenticação
• Row Level Security no banco de dados

Apesar disso, nenhum sistema é 100% seguro. Em caso de incidente que possa causar risco aos seus dados, comunicaremos você e a ANPD em prazo razoável, conforme exige a LGPD (art. 48).

10. Cookies

Usamos cookies pra:

• Essenciais — manter você logado, lembrar preferências, segurança (sem isso, o site não funciona)
• Funcionais — lembrar suas escolhas (ex: trilhas favoritas)
• Medição de anúncios — os cookies _fbp e _fbc, do Pixel da Meta, identificam o navegador e o clique no anúncio por até 90 dias; o registro gtmeec, no armazenamento local, guarda em hash os dados de correspondência descritos na seção 3.4

Veja o que o Pixel envia e como se opor na seção de medição de anúncios.

Você pode bloquear ou apagar cookies a qualquer momento pelas configurações do seu navegador. Vale lembrar que, sem cookies essenciais, partes do site (login, assinatura) deixam de funcionar.

11. Crianças e adolescentes

A plataforma é destinada a maiores de 18 anos. A gente não coleta intencionalmente dados de menores. Se você é responsável e identificou que seu filho criou conta, escreve pra contato@mansa.yoga que deletamos os dados.

12. Transferência internacional

Alguns dos nossos operadores estão sediados nos Estados Unidos e na União Europeia. Essas transferências são feitas com base em garantias adequadas previstas no art. 33 da LGPD (cláusulas contratuais padrão, certificações).

13. Alterações nesta Política

Podemos atualizar essa Política periodicamente. Mudanças significativas serão comunicadas por e-mail e/ou aviso na plataforma. A data no topo do documento sempre indica a última revisão.

14. Reclamação à ANPD

Se não conseguir resolver uma questão de privacidade com a gente, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd.

15. Contato

Qualquer dúvida sobre essa Política ou tratamento de dados pessoais: contato@mansa.yoga.