Política de Privacidade

Controlador e contato

O controlador dos dados tratados neste site é Gustavo Saez, pessoa física, São Paulo/SP. Canal para qualquer assunto desta política, inclusive exercício de direitos: [email protected]. Para falha de segurança, use o canal descrito em /.well-known/security.txt.

Resumo em uma tela

O desenho deste site é guardar o mínimo. Em números concretos:

• Não existe cadastro. Nenhuma página pede conta, senha ou login. O único banco de dados do domínio é o da agenda, e ele guarda reservas de horário, não usuários.
• Um único pagamento: a Consultoria da agenda, por Pix gerado e recebido pelo Stripe. Os botões de apoio (PayPal, Stripe) e os links de compra continuam levando para sites de terceiros. Nenhum dado de cartão ou de conta bancária passa por aqui.
• Dois formulários. O de orçamento vira um e-mail e não grava nada em banco. O da agenda grava a reserva num banco Cloudflare D1, com o que você informou e o fuso horário do navegador (sem IP), e a anonimiza 180 dias depois do horário marcado.
• Gravação de sessão (Microsoft Clarity) só depois do seu aceite. Sem aceite, nenhuma requisição sai para o Clarity.
• Sem cookie de publicidade, sem pixel de rede social, sem remarketing.

O que o site faz e o que não faz

Esta política cobre o domínio gustavosaez.com.br, que hoje é:

• um site estático de conteúdo: página inicial, portfólio, livros, autossuficiencialismo, Bíblia, página sobre o autor, Pix, página de links de indicação (/aff/) e páginas institucionais;
• uma agenda própria em /agenda/, para marcar conversa ou consultoria comigo. Desde 10/2026 ela roda neste domínio; antes, /agenda era um redirecionamento para o Cal.com, que não é mais usado;
• funções de servidor: /api/orcamento, que recebe o formulário de orçamento e o entrega por e-mail, e /api/agenda/*, que calcula horários, grava reservas, gera o Pix e processa remarcação e cancelamento. As duas estão descritas na Seção 05;
• redirecionamentos (/blog, /podcast, /musica, /ml, /atalhos/…, /magu, /chat, /monitoria) que apenas encaminham para outro endereço, sem registrar nada além do log de infraestrutura descrito na Seção 04.

Ficam de fora, porque são operados por outras pessoas jurídicas ou em outros domínios, e seguem as próprias políticas: a MAGU (magu.ia.br), a VESUVIA (vesuv.ia.br), o Substack, a Apple Books, o PayPal, o Stripe (que, além dos botões de apoio, processa o Pix da agenda como operador: Seção 08), o Mercado Livre e as redes sociais.

Quem só navega

Infraestrutura (sempre)

O site é hospedado no Cloudflare Pages. Como qualquer servidor web, o Cloudflare registra dados de conexão (endereço IP, data e hora, URL pedida, agente do navegador) para entregar a página, aplicar HTTPS e proteger contra abuso. Esse registro é da infraestrutura; eu não o consulto para perfilar visitante.

Fontes (sempre)

As páginas carregam as famílias Inter, JetBrains Mono e, no portfólio, Michroma, de fonts.googleapis.com e fonts.gstatic.com. O seu endereço IP e o cabeçalho do navegador chegam ao Google nessa requisição. É um dado técnico de entrega, não um identificador que eu receba de volta.

Gravação de sessão (só com aceite)

O Microsoft Clarity faz session replay: registra a estrutura da página, cliques, rolagem, movimento de ponteiro e interação com campos, além de dados de dispositivo e localização aproximada derivada do IP. Ele não é carregado antes do seu aceite explícito no banner. Detalhe técnico e como revogar estão na Seção 10.

Armazenamento local do navegador (sempre)

Duas preferências ficam no localStorage do seu navegador e nunca são enviadas para servidor nenhum: o tema claro/escuro (gs-theme) e a sua escolha de consentimento (gs-consent, gs-consent-adiado). Limpar os dados do site no navegador apaga isso e o banner volta a perguntar.

Formulário de orçamento e agenda

Formulário de orçamento

Em /portfolio/orcamento/ (e na versão em inglês, /portfolio/en/quote/) o formulário coleta exatamente:

• nome e e-mail (obrigatórios);
• empresa e como chegou até aqui (opcionais);
• descrição do projeto, tipo, prazo e faixa de orçamento.

Não há campo de telefone, CPF, CNPJ ou endereço. O envio passa por Cloudflare Turnstile (verificação anti-robô, que recebe o token do desafio e o seu IP) e por duas checagens silenciosas: um campo-isca invisível e o tempo decorrido de preenchimento.

O conteúdo é entregue por e-mail através do Resend: uma mensagem para mim, com os campos acima, e uma confirmação automática para o e-mail que você informou. O formulário não grava nada em banco de dados; o registro que resta é a mensagem na minha caixa de e-mail.

Agenda: conversa e consultoria

Em /agenda/ você escolhe um formato (Conversa rápida, Conversa ou Consultoria), onde o encontro acontece (Google Meet, FaceTime ou presencial) e um horário, e o formulário coleta exatamente:

• nome, e-mail e assunto (obrigatórios);
• notas para a conversa (opcional);
• no encontro presencial, se ele é na capital de São Paulo ou fora dela e o local (endereço ou ponto de referência);
• o fuso horário do seu navegador, para o convite mostrar a hora certa, e a data e hora do envio, como registro de que a caixa "Li o aviso de privacidade" estava marcada;
• se você cancelar pelo link, o motivo que escrever (opcional).

Continua não havendo campo de telefone, CPF ou CNPJ. O envio passa pelo mesmo Cloudflare Turnstile do formulário de orçamento (token do desafio e IP só para a verificação; o IP não fica gravado na reserva) e por um campo-isca invisível.

Onde a reserva fica. Num banco de dados Cloudflare D1 (tabela agenda_bookings) que só as funções /api/agenda/* alcançam: não há painel público nem chave exposta. O horário confirmado é gravado também no meu calendário do iCloud (Apple), por CalDAV, com nome, e-mail, assunto, notas e local, para o encontro aparecer na minha agenda e no convite. Os e-mails da agenda (confirmação com convite .ics, pedido de Pix, cotação do presencial fora da capital, remarcação, cancelamento e o aviso para mim) saem pelo Resend.

Link de gerenciar. O e-mail de confirmação traz um link para remarcar ou cancelar. Ele carrega um código aleatório, impossível de adivinhar. O banco guarda a impressão (hash) dele, para reconhecer o link, e uma cópia cifrada, que só as funções de servidor abrem para pôr o mesmo link no e-mail enviado depois do Pix ou da cotação; a cópia é apagada na anonimização. Quem tem o link vê e mexe na reserva, então trate-o como senha. Os botões de ação que chegam no meu e-mail são assinados (HMAC) e só funcionam na reserva a que pertencem.

Pix da Consultoria. O QR Code e o código "copia e cola" são gerados pelo Stripe, que recebe seu nome, seu e-mail, o valor e a descrição da sessão, e envia o recibo para o seu e-mail. O site guarda apenas o identificador do pagamento (e, se houver, o do reembolso) e o código Pix; nunca vê conta, cartão ou chave Pix sua. Quando o Pix cai, o Stripe avisa a função de servidor por uma mensagem assinada e a reserva confirma sozinha (no presencial fora da capital, passa a aguardar a cotação). Reembolso devido pelas regras dos Termos de Uso também sai pelo Stripe, de volta para a origem do Pix.

Base legal e a caixa de aceite. A caixa "Li o aviso de privacidade" registra que você leu este documento. A base legal da reserva é a execução do contrato que você está pedindo (Seção 07), não consentimento: por isso ela não é "revogada" à parte; o que você pode fazer é cancelar a reserva pelo link ou pedir a eliminação pelo e-mail da Seção 01.

Prazo. Passados 180 dias do horário marcado, a reserva é anonimizada automaticamente: nome, e-mail, assunto, notas, local, motivo de cancelamento, código Pix e a cópia cifrada do link são apagados do banco; ficam o horário, o formato, o status, o valor e, na Consultoria, o identificador do pagamento no Stripe, um código que só a conta do Stripe liga a você. A regra vale para reservas realizadas, canceladas e com Pix expirado. Detalhe na Seção 09.

Links e serviços de terceiros

Boa parte do que o site oferece são portas para fora. Ao clicar, você sai deste domínio e passa a ser tratado pela política do destino:

Base legal — Art. 7 da LGPD

Com quem os dados são compartilhados

Não vendo, alugo nem cedo dados a terceiros para fins comerciais. Os operadores que tocam em dados são:

Alguns desses operadores processam dados fora do Brasil. A transferência se apoia nas cláusulas contratuais e nos programas de conformidade de cada um, conforme o Art. 33 da LGPD.

Retenção e prazo

Cookies e gravação de sessão

Este site não usa cookie de publicidade e não usa cookie de rastreamento entre sites. Não há pixel de rede social, não há remarketing.

Os cookies que podem aparecer no seu navegador vêm de duas origens:

• Microsoft Clarity, e somente depois do seu aceite: _clck e _clsk (primeira parte) e cookies de domínio da Microsoft associados ao serviço.
• Cloudflare, para segurança e para o desafio anti-robô do formulário de orçamento e da agenda.
• Entrega do guia 60+ (gs60, primeira parte, só em /obrigado-60/): gravado quando você abre a página de obrigado vindo do pagamento. Para isso, a função de servidor confirma no Stripe que a sessão de compra indicada na URL foi paga e guarda um cookie assinado, válido por 180 dias, que libera o PDF e a versão online sem precisar do link de novo. Não identifica você nem é lido por mais ninguém; apagá-lo só exige reabrir o guia pelo link da confirmação.

Como o bloqueio funciona de verdade

O script do Clarity não está embutido nas páginas. Ele é injetado por /assets/gs-consent.js apenas quando localStorage['gs-consent'] vale 'aceito'. Enquanto você não aceitar, inclusive se simplesmente ignorar o banner, nenhuma requisição sai para clarity.ms. Dá para conferir na aba Rede das ferramentas de desenvolvedor do seu navegador.

Rever ou revogar a sua escolha

A qualquer momento, sem justificar e sem perder nenhuma funcionalidade:

⚙️ Rever minhas preferências de cookies

Ao recusar, a escolha é gravada, os cookies de primeira parte do Clarity são apagados e, se o tag já estava rodando naquela visita, a página é recarregada para pará-lo.

Seus direitos — Art. 18 da LGPD

A LGPD garante, e eu atendo, pelo e-mail da Seção 01:

• confirmação e acesso: saber se trato algum dado seu e receber cópia. Na prática, os dados nominais que posso ter são os do formulário de orçamento e os da reserva na agenda;
• correção de dado incompleto ou desatualizado;
• eliminação: apagar a mensagem do formulário e a confirmação, e anonimizar a reserva da agenda antes dos 180 dias, salvo obrigação legal de guarda (o registro do pagamento no Stripe fica pelo prazo fiscal);
• revogação do consentimento do Clarity, pelo botão da Seção 10, com efeito imediato;
• informação sobre com quem compartilhei e sobre a possibilidade de não consentir;
• petição à ANPD, se entender que o atendimento não foi adequado.

Prazo de resposta: até 15 dias, na forma do Art. 19. Não cobro por isso.

Segurança

• HTTPS obrigatório, com HSTS, e cabeçalhos de isolamento (CSP por rota, X-Frame-Options, COOP) declarados em _headers.
• Segredo nenhum no navegador. A chave do Resend, o segredo do Turnstile, as credenciais do iCloud e a chave restrita do Stripe vivem apenas como variáveis de ambiente das funções de servidor.
• Superfície mínima. Não há área autenticada nem upload de arquivo neste domínio. O único banco de dados é o da agenda (Cloudflare D1), sem acesso público: só as funções /api/agenda/* chegam nele, e o link de gerenciar uma reserva usa um código aleatório, guardado no banco como hash e como cópia cifrada com uma chave que só as funções de servidor têm.
• Pagamento sem dado bancário aqui. O Pix é gerado e recebido pelo Stripe; o aviso de pagamento chega assinado e a assinatura é conferida antes de confirmar a reserva.
• Pesquisa de segurança é bem-vinda pelo canal em /.well-known/security.txt.

Alterações desta política

Esta política pode ser alterada. A versão vigente é sempre a publicada em gustavosaez.com.br/aviso-de-privacidade, com a data no topo do documento. Mudança que amplie tratamento de dados será destacada na própria página por prazo razoável.