Política de Privacidade

A Jon&Coo (“nós” ou “a Empresa”) respeita a privacidade dos usuários (“você”) da plataforma Matsuri (“o Serviço”). Esta Política de Privacidade explica como coletamos, usamos, compartilhamos e protegemos suas informações pessoais de acordo com a Lei de Proteção de Informações Pessoais do Japão (APPI), o Regulamento Geral sobre a Proteção de Dados da UE (GDPR) e outras leis aplicáveis.

1. Controlador dos dados

Empresa: Jon&Coo
Endereço: Shinjuku Park Tower 30F, 3-7-1 Nishi-Shinjuku, Shinjuku-ku, Tokyo 160-0023, Japan
E-mail: office@jonandcoo.org
Telefone: +81-80-5060-5588 (dias úteis, 9:00–18:00 JST)

2. Abrangência

Esta Política se aplica a todos os serviços prestados por meio da plataforma Matsuri (site matsuri.group e aplicativo móvel), incluindo reservas de experiências culturais, participação em eventos, inscrições em passeios, compras de produtos, assinaturas e recursos da comunidade.

3. Informações que coletamos

3.1 Informações que você fornece

• Dados da conta: nome, endereço de e-mail, número de telefone, senha (armazenada como hash), foto de perfil
• Verificação de identidade: data de nascimento, gênero, endereço, nacionalidade (para verificar a elegibilidade a experiências e passeios)
• Dados da reserva: número de participantes, datas preferidas, solicitações especiais, informações sobre alergias/saúde (opcional)
• Dados de pagamento: forma de pagamento escolhida, endereço de cobrança (dados sensíveis do cartão não são armazenados em nossos servidores)
• Comunicações: dúvidas, avaliações, respostas a pesquisas

3.2 Informações coletadas automaticamente

• Dados técnicos: endereço IP, tipo/versão do navegador, sistema operacional, informações do dispositivo, resolução da tela
• Dados de uso: horários de acesso, páginas visualizadas, URLs de referência, duração da sessão, histórico de cliques
• Dados de localização: localização aproximada com base no endereço IP (dados de GPS não são coletados sem consentimento explícito)
• Cookies e identificadores: cookies de sessão, tokens de autenticação, identificadores de publicidade

3.3 Informações que recebemos pelo Facebook Login

Se você entrar com o Facebook Login, recebemos as seguintes informações do Facebook (Meta).

• O que recebemos: Seu perfil público (ID de usuário do Facebook, nome e URL da foto de perfil) e seu endereço de e-mail (se você permitir o compartilhamento). Não solicitamos nenhuma outra informação, como sua lista de amigos ou suas publicações.
• Como usamos: Para criar sua conta e identificar você ao entrar, preencher previamente seu perfil e entrar em contato com você sobre sua conta. Seu token de acesso do Facebook é usado apenas para verificar o login e não é armazenado. Nunca publicamos nada no Facebook em seu nome.
• Por quanto tempo guardamos: Até você excluir sua conta. Após a exclusão, as informações são apagadas conforme a Seção 9.
• Como excluir: Exclua sua conta no aplicativo ou no site, ou peça que a excluamos pelo nosso formulário de contato. Você também pode remover o Matsuri nas configurações do Facebook, mas remover apenas a conexão não exclui as informações que mantemos. Veja as Instruções para exclusão de dados.

4. Finalidades do tratamento

• Prestação do serviço, processamento de reservas, gestão da conta e verificação de identidade
• Cobrança, processamento de reembolsos e gestão de assinaturas
• Atendimento ao cliente e resposta a dúvidas
• Melhoria do serviço, análise de uso e desenvolvimento de novos recursos
• Notificações e comunicações promocionais (mediante consentimento)
• Detecção e prevenção de fraudes, e segurança
• Cumprimento de obrigações legais e exercício ou defesa de direitos

5. Base legal (para usuários do EEE/Reino Unido)

• Execução de contrato: tratamento necessário para a reserva e a prestação do serviço
• Interesses legítimos: melhoria do serviço, prevenção de fraudes, segurança
• Obrigação legal: cumprimento de obrigações fiscais e contábeis
• Consentimento: e-mails de marketing, cookies não essenciais

6. Processamento de pagamentos

Os pagamentos online são processados pela Stripe, Inc. e pela PayPal Holdings, Inc. Dados sensíveis de pagamento (números de cartão de crédito etc.) nunca são armazenados em nossos servidores e são criptografados e processados em ambientes em conformidade com o PCI DSS. Recebemos e armazenamos apenas o resultado das transações (sucesso/falha, ID da transação, valor).

7. Compartilhamento com terceiros

Compartilhamos informações pessoais com terceiros somente na medida mínima necessária:

• Processadores de pagamento: Stripe, PayPal
• Fornecedores de experiências/passeios: informações necessárias para a realização da reserva (nome, número de pessoas, dados de contato)
• Infraestrutura em nuvem: Railway (hospedagem de servidores), Vercel (frontend)
• Análise: Google Analytics (anonimizado)
• Envio de e-mails: Mailgun (e-mails transacionais e notificações)
• Gestão de mídia: Cloudinary (otimização de imagens e vídeos)
• Solicitações legais: ordens judiciais, solicitações legítimas de autoridades governamentais
• Reestruturação societária: fusões, aquisições ou transferências de ativos

8. Transferências internacionais de dados

Seus dados pessoais podem ser processados e armazenados fora do Japão (por exemplo, nos Estados Unidos) para a prestação do serviço. Nesses casos, adotamos salvaguardas adequadas (Cláusulas Contratuais Padrão, decisões de adequação etc.).

9. Retenção de dados

• Dados da conta: excluídos em até 30 dias após a exclusão da conta (exceto quando a retenção for exigida por lei)
• Registros de transações: mantidos por até 7 anos, conforme exigido por lei
• Logs de acesso: mantidos por até 12 meses para fins de segurança
• Registros de atendimento: mantidos por até 3 anos após a resolução

10. Medidas de segurança

• Criptografia em trânsito (TLS 1.2+)
• Hash de senhas (bcrypt)
• Gestão de cookies HttpOnly / Secure / SameSite para tokens de autenticação
• Controle de acesso baseado em funções (privilégio mínimo)
• Avaliações periódicas de vulnerabilidades
• Plano de resposta a incidentes

11. Cookies e rastreamento

11.1 Cookies essenciais

Usamos cookies essenciais para sessões de autenticação, proteção contra CSRF e preferências de idioma. Esses cookies não podem ser desativados.

11.2 Cookies de análise

Usamos ferramentas de análise, como o Google Analytics, para analisar de forma anônima o uso do serviço. Você pode desativá-los nas configurações do navegador ou por meio de ferramentas de opt-out.

11.3 Apple App Tracking Transparency

Nosso aplicativo para iOS segue a estrutura App Tracking Transparency (ATT) da Apple e pede a permissão do usuário antes de qualquer rastreamento.

12. Seus direitos

• Direito de acesso: solicitar a divulgação dos dados pessoais que mantemos
• Direito de retificação: solicitar a correção de dados incorretos
• Direito à exclusão: solicitar a exclusão de dados pessoais (exclusão da conta)
• Direito à limitação: solicitar a limitação do tratamento
• Direito à portabilidade dos dados: receber os dados em formato legível por máquina
• Direito de oposição: opor-se ao tratamento baseado em interesses legítimos
• Direito de retirar o consentimento: retirar a qualquer momento o consentimento para o tratamento baseado em consentimento

Para exercer seus direitos, entre em contato pelo office@jonandcoo.org. Responderemos em até 30 dias após a verificação da sua identidade.

A exclusão da conta pode ser feita diretamente nas configurações do aplicativo ou nas configurações da conta no site. Veja as Instruções para exclusão de dados para conhecer as etapas.

13. Privacidade de crianças

O Serviço não se destina a menores de 16 anos. Se descobrirmos que coletamos inadvertidamente informações pessoais de uma criança menor de 16 anos, nós as excluiremos imediatamente. Os pais podem entrar em contato pelo office@jonandcoo.org.

14. Alterações nesta Política

Podemos atualizar esta Política periodicamente. Em caso de alterações relevantes, avisaremos por meio do Serviço ou por e-mail. A Política atualizada entra em vigor a partir de sua publicação.

15. Fale conosco

Para dúvidas ou solicitações relacionadas à privacidade, entre em contato com:

Jon&Coo — Escritório de Privacidade (Responsável: Ko Takahashi)
Shinjuku Park Tower 30F, 3-7-1 Nishi-Shinjuku, Shinjuku-ku, Tokyo 160-0023, Japan
E-mail: office@jonandcoo.org
Telefone: +81-80-5060-5588 (dias úteis, 9:00–18:00 JST)

Se você não estiver satisfeito com nossa resposta, poderá apresentar uma reclamação à Comissão de Proteção de Informações Pessoais do Japão (Personal Information Protection Commission) ou à autoridade supervisora de proteção de dados local.