1. Informações que coletamos

O LayerPix coleta as seguintes informações quando você cria uma conta e utiliza a plataforma:

1.1. Dados de conta (fornecidos pelo provedor de login)

Endereço de e-mail — fornecido pelo Google ou GitHub quando você faz login
Nome — fornecido pelo provedor de login
Foto de perfil — fornecida pelo provedor de login (opcional)
ID de autenticação — identificador interno do Supabase Auth

1.2. Dados de perfil (informados por você)

Nome do negócio, país, estado, cidade, tipo de negócio — informados no onboarding ou perfil
Chave Pix e dados do recebedor — nome e cidade do recebedor (não armazenamos saldo nem dados bancários; apenas a chave Pix que você informa para gerar QR Codes)
CPF ou CNPJ — opcional, usado para verificação do operador. CPF e CNPJ são validados apenas por formato (dígitos verificadores). Não enviamos seu documento a terceiros. Verificação contra fonte oficial requer base legal e consentimento explícito (LGPD).
WhatsApp, redes sociais, logo, cor de marca — opcionais, usados para personalizar seus orçamentos públicos
Configurações de cálculo — tarifas de energia, mão de obra, impostos, margens que você cadastra

1.3. Dados de dispositivos e materiais (informados por você)

Cadastro de dispositivos — marca, modelo, consumo, depreciação, falha, etc.
Cadastro de materiais — tipo, densidade, custo, fornecedor, etc.

1.4. Dados de orçamentos (informados por você)

Metadados de arquivos G-code — processados localmente no seu navegador. O arquivo G-code em si nunca é enviado ao servidor; apenas os metadados extraídos (tempo de impressão, massa de material, volume, slicer de origem).
Dados do orçamento — título, descrição, nome do cliente, preço final, breakdown de custos, validade do link
Status de venda — quando você marca um orçamento como vendido, registramos data, canal (WhatsApp, Instagram, etc) e preço. Quantidades vendidas não são coletadas — o LayerPix não é sistema de contabilidade.
Snapshot Pix — no momento da criação do orçamento, salvamos uma cópia imutável da sua chave Pix e dados do recebedor. Esta cópia permanece mesmo se você alterar sua chave Pix depois, para garantir que o orçamento continue recebendo pagamentos na chave original.

1.5. Dados técnicos (coletados automaticamente)

Endereço IP — usado para rate limiting e segurança (não armazenado permanentemente em banco; apenas em logs temporários)
User-Agent — tipo de navegador e sistema operacional
Logs de erro — mensagens de erro do servidor são logadas para debugging, sem dados pessoais identificáveis

2. Como usamos suas informações

Para identificar você e manter sua sessão autenticada
Para calcular orçamentos de impressão 3D com base nos dados que você fornece
Para gerar links públicos de orçamento compartilháveis com seus clientes
Para gerar PDFs de orçamento (cliente e interno)
Para gerar QR Codes Pix estáticos com a chave que você cadastrou
Para verificar a legitimidade do seu negócio (CNPJ contra base pública OpenCNPJ, com seu consentimento explícito)
Para enviar e-mails transacionais (boas-vindas, alertas de segurança como mudança de chave Pix)
Para melhorar o produto e oferecer recursos personalizados
Para prevenir abuso (rate limiting por IP) e investigar incidentes de segurança

Não usamos seus dados para:

Publicidade direcionada de terceiros
Vender ou alugar dados para terceiros
Perfilamento para finalidades não relacionadas ao serviço
Treinar modelos de IA com dados identificáveis (futuro: dados agregados e anonimizados podem ser usados, com aviso prévio e opção de recusa)

3. Compartilhamento de dados

3.1. Links públicos de orçamento

Quando você cria um orçamento, o LayerPix gera um link único (ex: layerpix.com.br/q/LPX-AB12CD). Este link, quando compartilhado por você com seu cliente, expõe publicamente:

Título do orçamento, descrição e nome do cliente (se informados)
Preço final e, opcionalmente, breakdown de custos (configurável por você)
QR Code Pix com a chave snapshot (no momento da criação do orçamento)
Dados de contato que você configurou (WhatsApp, redes sociais, logo, cor de marca)
Badge de verificação (se você verificou seu CNPJ) e estatísticas agregadas (desde quando é operador, número de orçamentos e vendas)

Os links têm validade configurável (1 a 30 dias) e expiram automaticamente. Páginas de orçamento não são indexadas por motores de busca (header X-Robots-Tag: noindex, nofollow, noarchive). PDFs gerados a partir do link também não são armazenados pelo LayerPix — são gerados sob demanda e ficam apenas no dispositivo de quem baixou.

3.2. Subprocessadores (serviços terceiros)

O LayerPix utiliza os seguintes serviços terceiros que podem ter acesso limitado aos seus dados:

Vercel — hospedagem e deploy da aplicação. Acesso aos logs de servidor (sem dados pessoais identificáveis além de IP).
Vercel Analytics — métricas de page views e eventos custom (funil de conversão: orçamento criado, visualizado, vendido). Dados agregados e anônimos, sem PII.
Supabase — banco de dados PostgreSQL e autenticação. Hospeda todos os dados da conta na região South America (São Paulo).
Google (OAuth) — provedor de login. Acessa apenas e-mail, nome e foto quando você escolhe login com Google.
GitHub (OAuth) — provedor de login. Acessa apenas e-mail e nome público quando você escolhe login com GitHub.
OpenCNPJ — verificação de CNPJ contra base pública. Acessa apenas o CNPJ que você informa, e somente quando você marca o checkbox de consentimento explícito no perfil.
Resend ou Gmail SMTP — envio de e-mails transacionais (boas-vindas, alertas de segurança). Resend é prioridade se configurado; Gmail SMTP é fallback.
Upstash Redis (se configurado) — rate limiting distribuído em ambiente serverless. Armazena apenas contadores anônimos por IP, sem dados pessoais identificáveis.

Nenhum outro terceiro tem acesso aos seus dados. Não compartilhamos dados com redes de publicidade, analytics de marketing, ou provedores de IA para treinamento.

3.3. Dados agregados

Qualquer uso estatístico ou agregado de dados de uso (ex: materiais mais utilizados, preço médio por região) será opcional, informado previamente e nunca incluirá arquivos G-code, dados de clientes, orçamentos identificáveis ou dados pessoais.

4. Cookies e armazenamento local

O LayerPix usa cookies HTTP-only para manter sua sessão de login (gerenciados pelo Supabase Auth). Estes cookies:

São marcados como HttpOnly — não acessíveis por JavaScript de terceiros
São marcados como Secure — só transmitidos por HTTPS
Não rastreiam sua navegação entre sites
Não são usados para publicidade

Não usamos cookies de terceiros (Google Analytics, Facebook Pixel, etc). Não usamos localStorage para dados sensíveis — apenas para preferências de UI (ex: último dispositivo selecionado na calculadora).

5. Armazenamento e localização dos dados

Seus dados são armazenados no Supabase (PostgreSQL), hospedado na região South America (São Paulo — sa-east-1). Os arquivos G-code são processados localmente no seu navegador e não são enviados para o servidor.

Não transferimos seus dados para fora do Brasil, exceto:

Quando você faz login com Google ou GitHub (processamento OAuth nos EUA)
Quando você verifica CNPJ via OpenCNPJ (consulta à API pública, servidores podem estar fora do BR)
Logs de erro da Vercel (sem dados pessoais além de IP, retidos temporariamente)

6. Premissa fundamental: você é dono dos seus dados

Você é proprietário e responsável pelos dados que informa ao LayerPix. A plataforma:

Protege terceiros — não vaza dados de um usuário para outro (isolamento por conta, RLS, autorização por userId)
Não protege você de si mesmo — se você inserir dados incorretos, manipular valores manualmente (via interface, console do navegador, automações ou qualquer outro meio), ou registrar vendas que não ocorreram, o sistema aceitará esses dados como verdadeiros. A integridade dos seus próprios dados é sua responsabilidade.
Não é sistema de contabilidade — estatísticas de venda, receita e conversão exibidas no dashboard são informativas, baseadas exclusivamente nos dados que você informou, e não constituem registro contábil, fiscal ou financeiro
Se isenta de danos causados por mau uso ou uso malicioso de dados informados pelos próprios usuários

Detalhes na íntegra nos Termos de Uso, seções 4, 5, 6 e 8.

7. Seus direitos (LGPD)

Conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018), você tem direito a:

Acesso — solicitar cópia dos seus dados pessoais
Correção — corrigir dados incompletos, inexatos ou desatualizados
Exclusão — solicitar apagamento da sua conta e dados associados (através do botão "Excluir conta" no perfil, ou por contato direto)
Portabilidade — receber seus dados em formato estruturado (JSON)
Revogação de consentimento — a qualquer momento, sem necessidade de justificativa
Informação — saber com quais terceiros seus dados foram compartilhados
Oposição — opor-se ao tratamento de dados para finalidades específicas

Para exercer esses direitos, entre em contato pelo e-mail: contato@layerpix.com.br. Responderemos em até 15 dias corridos.

8. Segurança

Implementamos as seguintes medidas de segurança:

Autorização por endpoint — toda rota da API valida que o recurso pertence ao usuário autenticado (meta-teste automatizado garante cobertura de todos os endpoints)
HTTPS obrigatório com HSTS — toda comunicação é criptografada
Content Security Policy (CSP) strict — bloqueia XSS e exfiltração de dados
Sanitização HTML — conteúdo de novidades é sanitizado com allowlist restritiva (sem <script>, <iframe>, on* attributes)
Cookie admin assinado com HMAC-SHA256 — painel admin usa cookie próprio (separado do Supabase) assinado criptograficamente
Rate limiting em endpoints públicos e admin login (com Upstash Redis se configurado, ou in-memory como fallback)
Hashing de senhas gerenciado pelo Supabase Auth (bcrypt)
Auditoria de autorização — todos os endpoints auditados por meta-teste automatizado (ver src/app/api/auth-coverage.test.ts)
Testes automatizados — 105+ testes cobrindo pricing engine, gcode parser, recálculo server-side e coverage de auth
Snapshot Pix imutável — chave Pix do orçamento é "congelada" no momento da criação, evitando que um atacante que tome conta da conta consiga redirecionar pagamentos futuros
Alerta de mudança de Pix — e-mail de notificação quando a chave Pix é alterada (detecção de account takeover)
Logout automático por inatividade — 15 min para usuário comum, 10 min para admin

Em caso de incidente de segurança, notificaremos os usuários afetados e a ANPD (Autoridade Nacional de Proteção de Dados) em prazo razoável, conforme exigido pela LGPD.

9. Retenção de dados

Seus dados são retidos enquanto sua conta estiver ativa. Ao excluir sua conta (através do perfil ou por contato direto):

Seus orçamentos, dispositivos, materiais e configurações são permanentemente excluídos em até 30 dias
Seu login no Supabase Auth é desativado imediatamente
Logs de servidor (sem dados pessoais além de IP) são retidos por 90 dias e depois purgados
Links públicos de orçamento que você criou param de funcionar imediatamente (orçamento deixa de existir)

Podemos reter dados além deste prazo se exigido por lei ou para fins de auditoria em andamento.

10. Crianças e adolescentes

O LayerPix não é direcionado a menores de 18 anos. Não coletamos intencionalmente dados de menores. Se você é pai/mãe/tutor e identifica que seu filho forneceu dados sem seu consentimento, entre em contato para remoção.

11. Transferências internacionais

Conforme seção 5, a maioria dos dados fica no Brasil (Supabase sa-east-1). Transferências internacionais ocorrem apenas em:

Login OAuth (Google/GitHub) — processamento nos EUA
Logs de erro (Vercel) — retidos temporariamente, sem dados pessoais além de IP

Estas transferências seguem as diretrizes da ANPD para países com nível adequado de proteção de dados.

12. Newsletter (opt-in)

O LayerPix pode enviar novidades do produto por email (novos recursos, materiais no catálogo, melhorias importantes). Este envio é opt-in — só enviamos pra users que marcaram explicitamente "Quero receber novidades do LayerPix" no perfil.

Consentimento: opt-in explícito no perfil. Default: desligado.
Frequência: apenas quando admin publica uma novidade (semanal a mensal, sem spam).
Conteúdo: o mesmo que aparece na página /news do site.
Descadastro: 1 clique no link "Cancelar inscrição" no rodapé de cada email. Não exige login.
Reativação: pode reativar a inscrição no perfil a qualquer momento.

Não compartilhamos seu email com terceiros. Newsletter é enviada diretamente pelo LayerPix (via Resend se configurado, ou Gmail SMTP como fallback). Cada email inclui link de descadastro.

13. Alterações nesta política

Esta política pode ser atualizada a qualquer momento. Mudanças significativas serão notificadas por e-mail. A data no topo desta página indica quando foi atualizada pela última vez.

Histórico de atualizações:

22 de julho de 2026 — adicionado seção 12 (Newsletter opt-in): opt-in explícito no perfil, link de descadastro sem login, frequência semanal/mensal sem spam. Renumeradas seções 12→13 (Alterações), 13→14 (Contato), 14→15 (Lei aplicável).
22 de julho de 2026 — atualização: adicionado OpenCNPJ como subprocessador (com consentimento explícito), Vercel Analytics, Resend/Upstash opcionais, removido RLS (substituído por autorização por endpoint + meta-teste de coverage), adicionado sanitização HTML, cookie admin assinado, logout automático, testes automatizados
18 de julho de 2026 — atualização completa: inclui CPF/CNPJ (Bloco 6.1), premissa "user é dono dos dados", subprocessadores, retenção, transferências internacionais
21 de junho de 2026 — versão inicial

14. Contato

Dúvidas sobre privacidade, exercício de direitos LGPD, ou solicitações relacionadas a dados:

E-mail: contato@layerpix.com.br
Assunto: "LGPD — [seu nome]"

Resposta em até 15 dias corridos, conforme exigido pela LGPD.

15. Lei aplicável

Esta política é regida pela legislação brasileira, em especial a Lei nº 13.709/2018 (LGPD). Eventuais litígios serão resolvidos no foro da comarca de São Paulo/SP, salvo legislação consumerista em contrário.

Política de Privacidade