Política de privacidade

Última atualização: 23 de setembro de 2026

Esta política explica o que o Minha Cria faz com os seus dados e com os do seu bebê. O controlador é a SATYA HUB LTDA., CNPJ 59.802.414/0001-87. Para qualquer assunto de privacidade — dúvida, correção, exclusão — o canal é [email protected], e é por ele que falamos também sobre o encarregado de dados.

A regra que seguimos é pedir o mínimo: se um dado não é necessário para entregar o cardápio ou receber o pagamento, não pedimos.

1. Que dados coletamos

Na compra: seu nome completo, seu e-mail e seu CPF.

O CPF é exigido pelo Mercado Pago para identificar quem paga e, depois, pela prefeitura, para emitir a nota fiscal da venda. Ele é conferido no seu navegador e no nosso servidor e enviado direto ao Mercado Pago junto com a cobrança. Guardamos o seu CPF criptografado desde o momento em que o pedido é criado, porque é a única hora em que ele passa por nós: num pagamento por PIX, a confirmação chega minutos depois, por um aviso do Mercado Pago que não traz o CPF — e sem ele não há como emitir a nota fiscal que a lei nos obriga a emitir.

Se a compra não for aprovada, esse CPF é apagado. Na hora, se o pedido morre (cartão recusado, pedido cancelado, PIX expirado); em até 48 horas, se ele simplesmente ficar sem pagamento. Só o CPF de uma compra paga continua guardado, e só pelo prazo que a legislação fiscal exige. O número fica cifrado no banco (AES-256-GCM, com uma chave que não mora no banco), é decifrado num único ponto do sistema — a hora de montar a nota — e nunca aparece na nossa tela de administração, em relatório nem em registro de erro. Também não vemos o número do seu cartão; os dados do cartão vão do seu navegador para o Mercado Pago.

No cadastro do bebê: o nome (ou apelido) que você escrever, a data de nascimento, se você faz BLW, a textura das refeições e quais dos nove alérgenos ele não pode comer ou já come. É com isso que o cardápio é montado, e nada além disso é pedido sobre o bebê.

Do pagamento: o identificador e o status do pedido no Mercado Pago, o método (PIX ou cartão), o valor, o número de parcelas e, no PIX, o código de pagamento e a data de expiração.

Se a compra for feita dentro do aplicativo (iPhone ou Android), quem cobra é a Apple ou o Google, pela conta da loja que você já usa: nem o cartão nem o CPF passam por nós, e nesse caso não pedimos nenhum dos dois. O que fica guardado aqui é o registro da venda — qual loja, qual produto, o identificador da transação, a data, o valor, a moeda e, se houver, a data do reembolso.

Automaticamente, enquanto você navega: o hash SHA-256 do seu endereço IP — guardamos só esse resumo irreversível, nunca o endereço em claro, e ele serve apenas para limitar tentativas repetidas (checkout, pedido de link de acesso) e conter abuso. Junto do seu pedido também ficam guardados o identificador do seu navegador (user-agent) e o endereço da página de onde você veio, para sabermos por onde a venda chegou.

Cookies de anúncio: o Pixel da Meta grava _fbp e _fbc no seu navegador para ligar sua visita ao anúncio que você viu (até 90 dias). Um cookie nosso, mc_utm, guarda de qual campanha você veio — os parâmetros utm_* do link — por até 30 dias, e essa origem fica gravada junto do seu pedido. Nenhum dos dois contém e-mail, nome ou qualquer outro dado pessoal: são só identificadores técnicos.

Uso do site: registramos eventos internos — visita à página de vendas, início de checkout, escolha do meio de pagamento, item adicional marcado, PIX gerado, compra concluída, reembolso e reenvio de acesso pelo suporte, entre outros do mesmo tipo. Neles ficam o caminho da página, o método de pagamento, se você levou o item adicional e o hash do IP. Nome, e-mail e CPF nunca entram nesses registros; mas os eventos de compra, reembolso e reenvio guardam o identificador do seu pedido, o da sua conta e o valor pago, então esses ficam ligados a você.

Se você começa o checkout e não compra: quando você digita o e-mail no formulário de pagamento, guardamos esse e-mail, o nome que já estiver preenchido, se você marcou o item adicional, o hash do seu IP e de qual campanha você veio (um registro chamado CheckoutLead). É o que nos permite mandar um lembrete por e-mail se a compra ficar pela metade. Se você chegar a gerar um PIX e não pagar, o pedido em si também fica guardado, com o mesmo conteúdo — nome, e-mail, hash de IP e origem da campanha. O CPF nunca entra no registro de checkout não concluído (o CheckoutLead), porque ele é gravado antes de você chegar a pedir o pagamento. No pedido, o CPF fica — cifrado — e é apagado em até 48 horas se ele nunca for pago, como explicamos acima.

2. Para que usamos

• Processar a compra e liberar o seu acesso.
• Deixar você entrar na conta pelo link enviado por e-mail.
• Montar o cardápio, a lista de compras e o PDF do seu bebê.
• Mandar os e-mails do serviço: a confirmação do pagamento e o link de acesso.
• Lembrar por e-mail quem começou a compra e não terminou: até dois avisos sobre um PIX que ainda não foi pago e um lembrete de checkout não concluído. Todo e-mail desses traz um link de descadastro que para os envios na hora.
• Perguntar, uma vez, uma semana depois da compra, o que mudou na sua rotina — a resposta, se você quiser mandar, vira depoimento. Esse e-mail também tem link de descadastro e não vai para quem pediu reembolso.
• Saber quantas pessoas visitam a página, quantas começam o checkout e quantas compram.
• Medir quais anúncios trazem venda, com o Pixel da Meta.
• Segurança: limitar tentativas por IP, conferir a assinatura dos avisos de pagamento e evitar fraude.
• Cumprir obrigações fiscais e contábeis da venda. É por isso que guardamos o CPF de uma compra paga: a nota fiscal de serviço passará a ser emitida em seu nome e com o seu CPF, oito dias depois do pagamento — quando o prazo de arrependimento de 7 dias já tiver vencido. Se você pedir reembolso dentro da garantia, nota nenhuma chega a ser emitida. A emissão automática ainda não está ativa; até lá, o CPF fica guardado justamente para que ela possa acontecer.

Nunca vendemos nem alugamos os seus dados.

3. Com que base legal

A compra, a entrega do acesso, o login e o cardápio se apoiam na execução do contrato com você (art. 7º, V da LGPD) — e é essa mesma base que sustenta guardar o seu CPF enquanto o pedido está aberto: ele é coletado para executar o pagamento que você pediu, e some em até 48 horas se a compra não se concretizar. Assim que a compra é paga, o CPF muda de base: a partir daí ele fica por cumprimento de obrigação legal (art. 7º, II), combinado com a legislação tributária, que é ela — e não a sua autorização — que nos obriga a identificar o tomador do serviço e a guardar o registro da venda. É por isso que o CPF de uma compra paga não pode ser apagado a pedido enquanto durar o prazo fiscal, e o de uma compra não paga não precisa nem ser pedido: ele é apagado sozinho. A medição do próprio site e os limites por IP se apoiam no legítimo interesse (art. 7º, IX), e o mesmo vale para os e-mails de recuperação de compra e para o e-mail de uma semana depois perguntando o que mudou na sua rotina — a esses você pode se opor a qualquer momento, pelo link de descadastro do próprio e-mail (/parar/) ou escrevendo para [email protected].

Os dados do bebê são tratados no melhor interesse da criança (art. 14 da LGPD), informados por você, mãe, pai ou responsável, e usados unicamente para montar o cardápio dele.

4. Com quem compartilhamos

• Mercado Pago — processa o pagamento. Recebe seu nome, e-mail, CPF e os itens e o valor da compra.
• Resend — envia os nossos e-mails. Recebe seu e-mail e o conteúdo da mensagem.
• Spedy — emitirá a nota fiscal de serviço da venda, quando a emissão automática entrar no ar. Vai receber seu nome, seu CPF, seu e-mail e o valor da compra, e transmite esses dados à Prefeitura de Campinas, que é quem autoriza a nota. Uma vez emitida, a nota é um documento público municipal, com o seu nome e o seu CPF, e passa a ser regida pela legislação fiscal — não é um dado que a gente possa retirar de lá.
• Meta (Facebook/Instagram) — o Pixel, carregado no seu navegador, avisa a Meta quando você visita a página, começa o checkout e finaliza a compra, usando os cookies _fbp/_fbc, o valor pago e o identificador do seu pedido (que também aparece na URL da página de confirmação, como ?pedido=). Isso acontece direto do seu navegador para a Meta, sem passar pelo nosso servidor. Quando a compra é confirmada, o nosso servidor manda o mesmo aviso de novo, pela Conversions API: o resumo criptografado (hash) do seu e-mail, os identificadores dos cookies _fbp/_fbc, o user-agent do seu navegador, o endereço da página onde a compra aconteceu, o identificador do pedido, o valor pago e quais itens você levou (cardápio e/ou guia de alergias) — nunca o seu IP, nem o seu nome, nem o seu CPF, nem qualquer dado do bebê. A Meta reconhece os dois avisos (navegador e servidor) como o mesmo evento, então a mesma compra não conta duas vezes.
• RevenueCat — processa e confere as compras feitas dentro do aplicativo de iPhone e Android. Recebe o identificador da sua conta no Minha Cria (um código interno nosso, nunca o seu nome nem o seu e-mail), o produto comprado, o identificador da transação na loja e o status da compra — inclusive o reembolso, que é o aviso que faz o seu acesso sair. É com isso que conferimos, direto com a Apple e com o Google, que a compra é real antes de liberar o cardápio. Quem cobra, e quem guarda os dados do seu cartão, é a loja: esses dados não passam por nós nem pelo RevenueCat.
• Anthropic — gerará a receita nova quando você pedir para trocar um prato pelo que tem em casa, se e quando ligarmos esse recurso. Vai receber os ingredientes que você digita, a idade do bebê em meses, a textura das refeições e os alérgenos marcados no cadastro — nunca o nome do bebê, o seu nome, o seu e-mail ou o identificador da sua conta. Hoje esse recurso está desligado: a troca é respondida pelo próprio cardápio, e nenhum dado sai daqui para a Anthropic.
• Railway — hospeda a aplicação e o banco de dados. Cloudflare — fica na frente do site, entregando as páginas e barrando ataques.

Esses fornecedores tratam os dados por nossa conta, para as finalidades acima. Alguns deles ficam fora do Brasil, o que significa transferência internacional de dados (art. 33 da LGPD) — escolhemos empresas que se comprometem contratualmente com a proteção desses dados. Fora isso, só compartilhamos se a lei ou uma ordem judicial exigir.

5. Cookies

• mc_session — é o que mantém você conectada. Vale 90 dias e é renovado a cada visita ao app, então continua valendo enquanto você usar o Minha Cria.
• mc_checkout — dura 2 horas e serve para você retomar um checkout interrompido com os dados já preenchidos.
• mc_resume — dura 2 horas e é gravado quando você abre o link de um e-mail de recuperação, para o checkout já vir com seu nome e e-mail (nunca o CPF). Ele guarda só um código aleatório: nem o seu e-mail nem o seu nome ficam no cookie.
• _fbp e _fbc — gravados pelo Pixel da Meta para ligar sua visita ao anúncio que você viu. Valem até 90 dias.
• mc_utm — nosso, guarda de qual campanha você veio (os parâmetros utm_* do link). Vale até 30 dias.
• mc_fbc — nosso, só um substituto temporário do _fbc pra quando você chega pelo link de um anúncio mas o Pixel ainda não carregou (o site nunca escreve por cima do cookie da própria Meta — grava o nosso, separado, e para de usá-lo assim que o _fbc de verdade existir). Vale até 30 dias.

São os cookies do site hoje. mc_session, mc_checkout e mc_resume são necessários para o site funcionar; _fbp, _fbc, mc_utm e mc_fbc servem só para medir os anúncios, e você pode bloqueá-los nas configurações do seu navegador sem perder acesso ao Minha Cria.

Duas coisas ficam no armazenamento local do seu próprio navegador. O que fica ali não é cookie: não viaja junto com os pedidos ao servidor, fica só no seu aparelho e nunca é enviado para nós nem para ninguém.

• A sua resposta ao aviso de cookies.
• mc_purchase_<número do pedido> — uma marca de que a compra daquele pedido já foi contada uma vez na medição de anúncio, para não contar de novo se você recarregar a página de confirmação. O nome da chave tem o número do pedido, e o conteúdo é só essa marca: nenhum dado seu, nenhum valor.

6. Por quanto tempo guardamos

Conta, bebê e cardápios ficam enquanto você tiver conta. Os dados do pedido ficam pelo prazo exigido pela legislação fiscal e para provar a compra em caso de contestação — e isso inclui o CPF cifrado de uma compra aprovada e a nota fiscal emitida a partir dele, que seguem a mesma retenção fiscal (o prazo de prescrição tributária é de 5 anos) mesmo depois de a conta ser apagada (a nota fiscal, quando passar a ser emitida, seguirá a mesma retenção). O CPF de um pedido que não foi pago é apagado sozinho: na hora, se o pedido morreu, e em até 48 horas se ficou sem pagamento. Os registros de uso e os hashes de IP ficam para medição e segurança. O token do link de acesso vale 15 minutos e depois não serve mais para entrar; o cookie de retomada do checkout, 2 horas. O registro de quem começou o checkout e não comprou (CheckoutLead) fica guardado para medir o funil — mas depois de 24 horas ele já não gera nenhum e-mail, e quem clica no link de descadastro para de receber na hora.

A única rotina automática de apagamento que existe hoje é a do CPF de pedido não pago, descrita acima. No resto, quando você pede a exclusão, ela é feita por nós.

7. Seus direitos

A LGPD (art. 18) garante que você confirme a existência do tratamento, acesse seus dados, corrija o que estiver errado, peça anonimização, bloqueio ou eliminação, peça portabilidade, saiba com quem compartilhamos e se oponha a um tratamento feito por legítimo interesse.

Para exercer qualquer um deles, escreva para [email protected] do mesmo e-mail que você usou na compra — é assim que confirmamos que é você. Respondemos em até 15 dias. Na exclusão, apagamos conta, bebê, cardápios e histórico; permanece só o que a legislação fiscal obriga a manter sobre a venda — o registro do pedido, o CPF cifrado de uma compra aprovada e a nota fiscal correspondente, quando houver. Esse é o limite do art. 18: o direito de eliminação não alcança o que outra lei manda guardar (art. 16, I).

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), mas fale com a gente primeiro: costuma ser mais rápido.

8. Segurança

O site inteiro roda em HTTPS. O que identifica a sua sessão e o seu link de acesso é guardado em hash, nunca em claro — o mesmo vale para o IP. O seu CPF, que precisa ser recuperável para a nota fiscal sair, é guardado criptografado (AES-256-GCM, com um valor aleatório diferente para cada pedido) e a chave fica fora do banco de dados, numa variável de ambiente: quem tivesse uma cópia do banco não conseguiria ler nenhum CPF. Os avisos de pagamento do Mercado Pago e da Spedy têm assinatura conferida antes de mudar qualquer coisa, e as chaves dos serviços ficam em variáveis de ambiente, fora do código. Nenhum sistema é infalível: se acontecer um incidente com risco relevante para você, avisamos você e a ANPD.

9. Mudanças nesta política

Se mudarmos alguma coisa, a versão nova é publicada nesta página, com a data no topo. Mudança relevante é avisada por e-mail a quem tem conta.

As condições da compra estão nos Termos de uso. Não substitui a orientação do pediatra.

SATYA HUB LTDA. — CNPJ 59.802.414/0001-87 — [email protected]