Política de Privacidade

O Holmes Club é operado por Régis Ximendes, inscrito no CNPJ sob nº 66.776.813/0001-86, doravante denominado “Holmes Club”, que é o controlador dos dados pessoais tratados no serviço.

Para qualquer assunto sobre privacidade, inclusive o exercício dos seus direitos, o canal de atendimento é o e-mail contato.ximendesindustries@gmail.com, que também é o canal do encarregado pelo tratamento de dados pessoais.

Dados da sua conta Google. O acesso é feito com login do Google. Dele recebemos seu nome, seu endereço de e-mail e o endereço da sua foto de perfil. Não recebemos sua senha nem temos acesso a outros dados da sua conta Google.

Dados de perfil que você escolhe informar. Nome de exibição, nome de usuário e, se você os tiver informado, seus usuários no Instagram, TikTok, X e YouTube. Todos são opcionais.

O conteúdo que você cadastra. Tudo o que você registra e escreve no app: os livros da sua estante e as fichas deles, notas, resenhas, anotações e as imagens que você anexa a elas, etiquetas e o que você produz nos recursos do Holmes Club Plus. As imagens são reduzidas no seu próprio aparelho antes do envio, e nesse processo saem os metadados da foto, como a localização.

Quem você segue. As pessoas que você escolhe seguir no Holmes Club, e as que seguem você.

Dados de cobrança, só se você ativar o teste gratuito ou contratar o Holmes Club Plus. Seu CPF ou CNPJ, e — quando você paga com cartão — o endereço (CEP, rua, número e bairro). O telefone é opcional. Pedimos o documento no teste para garantir um teste por pessoa, e na compra porque o meio de pagamento o exige para emitir a cobrança — e não antes disso: quem usa só a parte gratuita nunca os informa. Guardamos também o registro de cada compra (plano, valor, forma de pagamento, situação e datas) e os avisos que o meio de pagamento nos envia sobre ela.

Não recebemos os dados do seu cartão. No pagamento com cartão você é levado a uma página do Asaas, nosso meio de pagamento, e é lá que os dados são digitados. O número do cartão, a validade e o código de segurança nunca passam pelos nossos servidores.

Mensagens de suporte. O assunto e o texto das mensagens que você envia pelo formulário de suporte, ligados à sua conta.

Registros de acesso. Cada vez que você entra no app e enquanto você o usa, registramos sua conta, o endereço IP de onde você acessou e a data e hora. É um registro que a lei nos obriga a guardar (seção 9). O endereço IP também é usado, sem ser gravado, para limitar o número de requisições e proteger o serviço contra abuso. Para manter você conectado, usamos os tokens e cookies descritos na seção 8.

Dados de uso, só se você aceitar. Com seu consentimento no aviso de cookies, o Google Analytics coleta as páginas visitadas, o tempo de uso, o tipo de dispositivo e navegador e a localização aproximada (cidade), deduzida da conexão. Esses dados não incluem seu nome, seu e-mail nem o que você escreve no app.

Não pedimos dados sensíveis, como origem racial, saúde, religião ou opinião política. Evite incluí-los nas suas resenhas e anotações: tudo o que você escreve é tratado da mesma forma, para as mesmas finalidades.

Cada uso tem uma base legal prevista no art. 7º da LGPD:

• Criar e manter sua conta, guardar sua estante e fazer os recursos funcionarem — inclusive os recursos de inteligência artificial que você aciona (seção 4) e mostrar a sua estante a outros membros quando ela é pública (seção 7). Base: execução do contrato com você, ou seja, os Termos de Uso (art. 7º, V).
• Responder mensagens de suporte e pedidos sobre seus dados. Base: execução do contrato (art. 7º, V) e, no caso dos pedidos de titular, cumprimento de obrigação legal (art. 7º, II).
• Manter o serviço seguro: autenticar sessões, detectar uso indevido de tokens e limitar requisições abusivas. Base: legítimo interesse (art. 7º, IX), sempre restrito ao necessário para proteger você e o serviço.
• Cobrar e liberar o acesso ao Holmes Club Plus, emitir a cobrança e processar reembolsos. Base: execução do contrato com você (art. 7º, V) e, quanto à guarda dos registros da compra, cumprimento de obrigação legal (art. 7º, II).
• Garantir um teste gratuito por pessoa e prevenir fraude no pagamento. É para isso que pedimos o CPF ou CNPJ ao ativar o teste, e que guardamos — depois de você excluir a conta — apenas um código irreversível derivado do seu e-mail e do seu documento (seção 9). Base: legítimo interesse na prevenção à fraude (art. 7º, IX).
• Guardar registros de acesso por 6 meses, como exige o Marco Civil da Internet. Base: cumprimento de obrigação legal (art. 7º, II).
• Entender como o app é usado, com o Google Analytics, para decidir o que melhorar. Base: seu consentimento (art. 7º, I), que você pode negar ou revogar a qualquer momento sem perder nada do app.

Não usamos seus dados para publicidade, não traçamos perfil de consumo e não tomamos decisões automatizadas que afetem seus interesses.

Alguns recursos usam um modelo de linguagem, o Gemini, fornecido pelo Google, e só funcionam quando você os aciona. Enviamos ao modelo apenas o necessário para o recurso acionado — dados de um livro ou o texto que você escreveu e submeteu —, nunca seu nome, seu e-mail ou outro dado da sua conta, e nunca o seu diário de leitura.

Usamos a versão paga da API do Gemini. Nela, conforme os termos do Google, o conteúdo enviado não é usado para treinar ou melhorar os modelos do Google. Ele pode ser guardado pelo Google por um período limitado, apenas para detectar abuso e cumprir obrigações legais.

Não vendemos nem cedemos seus dados. Eles são tratados, em nosso nome e só para as finalidades desta política, pelos provedores abaixo:

• Google — login com conta Google, o modelo de linguagem Gemini (seção 4) e, se você aceitar os cookies de análise, o Google Analytics.
• Asaas (Asaas Gestão Financeira S.A., no Brasil) — meio de pagamento do Holmes Club Plus. Recebe seu nome, e-mail, CPF ou CNPJ e, no cartão, o endereço, para emitir a cobrança. Os dados do cartão são fornecidos diretamente a ele e não passam por nós.
• Vercel — hospedagem do site.
• Render — hospedagem da API, nos Estados Unidos.
• Neon — banco de dados, em servidores da Amazon Web Services nos Estados Unidos.
• Amazon Web Services — armazenamento privado das imagens que você anexa às anotações, em São Paulo.

Para preencher a ficha e a capa dos livros, nossos servidores também consultam catálogos públicos — a Google Books API e a Open Library. Nessas consultas vão apenas dados do livro, como título, autor e ISBN, sem nada que identifique você.

Também poderemos compartilhar dados quando uma lei ou uma ordem de autoridade competente exigir, e apenas no limite do que for exigido.

Os provedores da seção 5 armazenam e processam dados fora do Brasil, principalmente nos Estados Unidos. Essa transferência é necessária para prestar o serviço que você contratou ao criar sua conta (art. 33, IX, da LGPD), e escolhemos provedores que adotam medidas de segurança compatíveis com as descritas na seção 10.

Outros usuários do Holmes Club — e só eles, depois de entrar na conta — podem procurar você pelo nome de usuário e abrir o seu perfil. Nada disso aparece para quem não tem conta, e nada disso é entregue a buscadores.

Sempre visível no perfil: seu nome, seu nome de usuário, sua foto e as redes sociais que você tiver preenchido.

Visível quando a sua estante está pública: os seus livros, com a ficha, o status de leitura, a nota e a resenha de cada um, e os mapas de anotações que você escolher publicar, com as anotações que estiverem neles — o texto, as imagens e as etiquetas de cada uma. Nas contas novas a estante começa pública; você escolhe se ela é pública ou privada, a qualquer momento, em Perfil, e pode despublicar um mapa quando quiser.

Nunca visível para outras pessoas: o seu diário de leitura e as suas etiquetas, inclusive as imagens das anotações — exceto as anotações, com as etiquetas delas, que estiverem num mapa que você publicou —, o restante do que você produz no Holmes Club Plus, quem você segue e quem segue você, o seu e-mail e os seus dados de pagamento. Quem visita o seu perfil sabe apenas se ela mesma segue você.

Cookies essenciais, sem os quais o login não funciona. Não dependem de consentimento e são inacessíveis a scripts da página (httpOnly):

• Sessão — mantém você conectado por até 30 dias. Guarda, criptografada, a credencial que renova seu acesso sem pedir login de novo.
• Segurança do login — protegem o processo de login com o Google contra fraudes e expiram em poucos minutos ou ao fim do login.

Cookies de análise, do Google Analytics (_ga e _ga_*), só se você aceitar no aviso de cookies. Antes da sua resposta, e se você recusar, o script do Google nem é carregado e nada é enviado a ele. Usamos o Google Analytics sem os recursos de publicidade: os sinais do Google e a personalização de anúncios ficam desligados, e o Google Analytics não guarda seu endereço IP. Os dados de uso ficam guardados no Google Analytics por até 14 meses.

Você pode mudar sua escolha quando quiser. Ao revogar, a coleta para na hora e os cookies de análise são apagados:

No armazenamento local do navegador guardamos apenas dados técnicos da sessão e preferências de uso, como a sua escolha sobre os cookies de análise. Não há cookies de publicidade.

• Conta, perfil, conteúdo e mensagens de suporte: enquanto sua conta existir. Ao excluir a conta, tudo isso é apagado do banco de dados na hora, e as imagens das anotações, do armazenamento. Cópias de segurança automáticas do provedor de banco de dados podem conter esses dados por um período curto, depois do qual são descartadas.
• Um livro, uma anotação ou uma etiqueta que você apaga sai do banco de dados na hora, com o mesmo cuidado sobre as cópias de segurança. As imagens das anotações apagadas saem do armazenamento junto.
• Registros de controle de sessão, usados para detectar uso indevido de tokens: até expirarem, em no máximo 30 dias, quando são removidos.
• Registros de compras (plano, valor, forma de pagamento, situação e datas): 5 anos contados do fim do exercício em que a compra aconteceu, prazo em que a legislação fiscal e o Código de Defesa do Consumidor exigem que os registros da operação sejam conservados. Por ser uma obrigação legal, continuam guardados mesmo depois da exclusão da conta (art. 16, I, da LGPD), desligados do seu perfil.
• Avisos do meio de pagamento sobre cada cobrança: guardados por 90 dias para conferência, e reduzidos a identificadores e valores — sem dados pessoais — já a partir de 30 dias.
• Marca de teste gratuito já utilizado: ao excluir a conta, guardamos um código irreversível derivado do seu e-mail e do seu CPF ou CNPJ, e nada além disso. Ele não permite chegar de volta ao e-mail nem ao documento; serve apenas para impedir que o mesmo teste seja refeito indefinidamente com contas novas. Base: legítimo interesse na prevenção à fraude.
• Registros de acesso (conta, endereço IP, data e hora): 6 meses, como exige o art. 15 do Marco Civil da Internet. Eles ficam guardados em sigilo, não são usados para nenhuma outra finalidade e só são entregues mediante ordem judicial. Por ser uma obrigação legal, esses registros continuam guardados pelo prazo mesmo que você exclua a conta (art. 16, I, da LGPD), e são apagados automaticamente quando ele termina.

Podemos guardar dados por mais tempo quando a lei exigir ou para defender direitos em processo judicial, administrativo ou arbitral, apenas pelo tempo necessário.

Todo o tráfego entre você e o Holmes Club é criptografado (HTTPS), e a conexão com o banco de dados também. Os cookies de sessão são protegidos contra leitura por scripts, o acesso à renovação de sessão é rotacionado a cada uso para detectar tokens roubados, e cada consulta ao banco é restrita aos dados do próprio usuário.

Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante a você, avisaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), como determina a LGPD.

Pela LGPD (art. 18), você pode, a qualquer momento:

• confirmar se tratamos seus dados e ter acesso a eles;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• pedir a portabilidade dos seus dados;
• pedir a eliminação dos seus dados;
• saber com quem compartilhamos seus dados — a lista está na seção 5;
• revogar um consentimento, quando o tratamento se basear nele;
• se opor a um tratamento feito com base no legítimo interesse, se ele descumprir a lei.

Muita coisa você resolve no próprio app: corrigir nome e perfil e tornar a estante privada em Perfil, editar ou apagar livros, resenhas, anotações e etiquetas, e excluir a conta com todo o conteúdo em Configurações.

O que a exclusão da conta não apaga, porque a lei não permite ou porque não há mais dado pessoal a apagar: os registros de acesso, pelo prazo do Marco Civil; os registros das compras, pelo prazo fiscal; e o código irreversível que marca o teste gratuito já usado. Os três estão detalhados na seção 9. Nenhum deles é usado para qualquer outra finalidade.

Para o restante — como receber uma cópia dos seus dados — escreva para contato.ximendesindustries@gmail.com. Podemos pedir uma confirmação de que o pedido partiu de você. Respondemos em até 15 dias.

Se achar que seu pedido não foi atendido, você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

O Holmes Club não é destinado a menores de 13 anos, e não tratamos conscientemente dados de crianças. Adolescentes entre 13 e 18 anos devem usar o serviço com o conhecimento e a autorização dos pais ou responsáveis. Se você souber de uma conta de menor de 13 anos, avise pelo e-mail da seção 1 para que ela seja excluída.

A data no topo indica a versão em vigor. Quando a mudança for relevante, avisaremos no app. Se ela alterar um tratamento que depende do seu consentimento, avisaremos antes de ela valer, e você poderá revogá-lo.