Política de Privacidade

Última atualização: 26 de maio de 2026

1. Quem somos

O Paga Aí é uma plataforma SaaS de cobrança recorrente automatizada via Pix e WhatsApp, destinada a personal trainers e profissionais autônomos de educação física.

2. Dados que coletamos

  • Do personal trainer (usuário): nome, email, WhatsApp, senha (armazenada como hash), chave Pix, credenciais de provedor (criptografadas com AES-256-GCM).
  • Dos clientes (cadastrados pelo personal): nome, WhatsApp, CPF (opcional), valor da mensalidade, dia de vencimento.
  • Dados de cobrança: valores, datas, status de pagamento, logs de envio de mensagem.
  • Dados técnicos: endereço IP (armazenado apenas em forma hashada, irreversível), user-agent resumido (apenas tipo de dispositivo e navegador), timestamps de acesso.
  • Dados de uso (analytics interno): páginas visitadas dentro do app, cliques em botões chave (criar aluno, gerar cobrança), tempo aproximado em cada tela. Coletado dentro da nossa própria infraestrutura — sem 3rd party (Google Analytics, PostHog etc.). Usado para melhorar o produto e identificar pontos de atrito. Retenção: 90 dias.

3. Finalidade do tratamento

  • Gerar e enviar cobranças Pix automaticamente.
  • Enviar lembretes e confirmações via WhatsApp.
  • Exibir painel de controle financeiro ao personal.
  • Processar a mensalidade do próprio Paga Aí.
  • Enviar emails transacionais (recuperação de senha, alertas).

4. Base legal (LGPD)

  • Execução de contrato (Art. 7, V): processamento de cobranças e funcionalidades contratadas.
  • Consentimento (Art. 7, I): envio de comunicações via WhatsApp ao cliente.
  • Legítimo interesse (Art. 7, IX): segurança, prevenção a fraudes e melhoria do serviço.

5. Compartilhamento de dados

Compartilhamos dados apenas com:

  • OpenPix/Woovi: provedor de cobrança via Pix (gera QR codes e processa pagamentos dos clientes).
  • Stripe: processamento da mensalidade do Paga Aí (cartão de crédito).
  • Z-API: envio de mensagens via WhatsApp.
  • Resend: envio de emails transacionais.
  • Vercel: hospedagem e infraestrutura.
  • Neon: banco de dados PostgreSQL.
  • Upstash: cache e rate limiting (Redis).
  • Sentry: monitoramento de erros (dados anonimizados).
  • NFE.io: emissão automática de notas fiscais (apenas se CPF/CNPJ fiscal configurado).

Não vendemos, alugamos ou compartilhamos dados com terceiros para fins de marketing.

6. Armazenamento e segurança

  • Senhas: hash com scrypt.
  • Credenciais de API: criptografia AES-256-GCM.
  • Comunicação: HTTPS/TLS em todas as conexões.
  • Cabeçalhos de segurança (HSTS, X-Frame-Options, X-Content-Type-Options).
  • Rate limiting nas rotas de autenticação e webhooks.
  • Webhooks validados via assinatura HMAC (OpenPix) e secret (Stripe).
  • Banco de dados com acesso restrito por IP.

7. Retenção de dados

  • Conta ativa: dados mantidos enquanto a conta existir.
  • Após exclusão da conta: dados pessoais removidos em até 30 dias. Logs anonimizados podem ser mantidos por até 12 meses para fins de auditoria.
  • Cobranças: registros financeiros mantidos por 5 anos conforme legislação fiscal.

8. Direitos do titular

Você tem direito a:

  • Acesso: solicitar cópia dos seus dados.
  • Correção: atualizar dados incorretos.
  • Exclusão: solicitar remoção da sua conta e dados.
  • Portabilidade: exportar seus dados em formato JSON.
  • Revogação de consentimento: a qualquer momento.

Para exercer esses direitos, acesse Configurações → Conta ou envie email para dpo@paga-ai.com.

9. Cookies

Utilizamos apenas cookies essenciais para manter sua sessão de login. Não usamos cookies de rastreamento ou analytics de terceiros.

10. Alterações nesta política

Podemos atualizar esta política periodicamente. Alterações significativas serão comunicadas por email. A versão mais recente estará sempre disponível nesta página.

11. Contato

Encarregado de proteção de dados (DPO): dpo@paga-ai.com