Esta Política de Privacidade explica como o RetroBoard coleta, usa e protege as informações dos usuários.
1. Informações coletadas
Coletamos apenas as informações necessárias para o funcionamento da plataforma:
- Cadastro (administradores): nome, email e foto de perfil (quando utiliza Google OAuth). Estes dados são coletados exclusivamente pelo Firebase Authentication.
- Participantes: nenhum dado pessoal é coletado. Participantes ingressam via token de sessão anônimo.
- Conteúdo dos boards: cards, votos, colunas e configurações criados dentro das retrospectivas.
- Dados de pagamento: nenhum dado de cartão de crédito é armazenado pelo RetroBoard. O processamento é feito exclusivamente pelo Stripe.
- Logs de auditoria: registros de eventos de segurança como login, logout e ações administrativas, contendo apenas dados funcionais necessários para investigação de incidentes.
- Verificação anti-bot: o Cloudflare Turnstile coleta dados anônimos de interação para confirmar que o usuário é humano, sem utilizar cookies ou rastreamento.
2. Como usamos as informações
As informações coletadas são utilizadas exclusivamente para:
- Autenticar administradores e permitir acesso à plataforma
- Armazenar e exibir o conteúdo das retrospectivas
- Gerenciar limites de plano (contagem de boards por período)
- Processar assinaturas via Stripe
- Prevenir abuso e ataques (rate limiting, bloqueio de brute force)
- Manter logs de auditoria para segurança da plataforma
Não utilizamos seus dados para marketing, anúncios, recomendações comerciais ou qualquer outra finalidade não relacionada ao funcionamento direto da plataforma.
3. Compartilhamento de dados
Não vendemos, alugamos, compartilhamos ou transferimos dados pessoais para terceiros para qualquer finalidade, incluindo marketing, publicidade ou pesquisa.
Os serviços terceiros envolvidos no funcionamento da plataforma são:
- Firebase (Google): autenticação (Firebase Auth) e banco de dados (Firestore). Os dados ficam armazenados na infraestrutura do Google Cloud.
- Stripe: processamento de pagamentos de planos pagos. O Stripe recebe apenas os dados necessários para a transação. Nenhum dado de cartão trafega ou é armazenado pelo RetroBoard.
- Cloudflare Turnstile: verificação anti-bot nas páginas de login, cadastro e recuperação de senha. A Cloudflare processa dados anônimos de navegação para determinar se o visitante é humano. Sem cookies, sem rastreamento.
- Vercel: hospedagem e analytics de desempenho (anônimos, sem dados pessoais).
- Resend: envio de emails transacionais (convites para boards). Apenas o endereço de email do destinatário é compartilhado para este fim.
4. Armazenamento e segurança
Os dados são armazenados no Firebase Firestore (Google Cloud), com criptografia em repouso e em trânsito. Implementamos as seguintes medidas de segurança:
- Tokens de autenticação armazenados em cookies httpOnly com prefixo
__Host-, Secure e SameSite Lax - Sessões expiram automaticamente após 30 minutos de inatividade
- Tokens são revogados no servidor ao fazer logout
- Rate limiting por IP em endpoints críticos
- Proteção CSRF via verificação de origem
- Logs de auditoria para eventos de segurança
- Firebase Admin SDK com
checkRevoked ativo
5. Cookies
Utilizamos cookies estritamente necessários para manter sessões autenticadas de administradores:
__Host-firebase-token: token de autenticação (httpOnly, Secure, SameSite Lax, 7 dias)__Host-session-start: controle de inatividade (httpOnly, Secure, SameSite Lax, 30 minutos)
Todos os cookies de sessão são configurados com o prefixo __Host-, que garante que só podem ser criados em conexões seguras (HTTPS), no domínio correto e com escopo restrito à raiz do site. Não utilizamos cookies de rastreamento, analytics ou marketing. Participantes anônimos não utilizam cookies.
6. Retenção e exclusão de dados
Os dados são mantidos enquanto a conta do administrador estiver ativa. O administrador pode excluir boards individuais ou solicitar a exclusão completa da conta a qualquer momento, resultando na remoção de todos os dados associados.
Logs de auditoria são mantidos por até 90 dias para fins de investigação de segurança, sendo automaticamente removidos após este período.
7. Direitos do usuário
Você tem direito a:
- Acessar os dados fornecidos à plataforma
- Solicitar a correção de dados incorretos
- Solicitar a exclusão da conta e de todos os dados associados
- Exportar o conteúdo dos seus boards em PDF
- Solicitar informações sobre os logs de auditoria relacionados à sua conta
8. Alterações nesta política
Esta política pode ser atualizada periodicamente. Recomendamos revisar esta página regularmente.