Política de Privacidade

O TocaOnde é uma plataforma que conecta artistas independentes, casas de show e a curadoria de eventos ao vivo. O controlador dos dados pessoais tratados por meio da plataforma é [RAZÃO SOCIAL], inscrita no CNPJ sob o nº [CNPJ], com sede em [ENDEREÇO COMPLETO — CIDADE/UF] (“TocaOnde”, “nós”).

Esta Política explica, de forma transparente, quais dados coletamos, para quê, com quem compartilhamos e quais são os seus direitos como titular, nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

Nosso Encarregado pelo Tratamento de Dados Pessoais (DPO), responsável por receber comunicações de titulares e da Autoridade Nacional de Proteção de Dados (ANPD), pode ser contatado pelo e-mail [email protected].

Coletamos apenas os dados necessários para operar a plataforma:

Dados de cadastro

• Se você se cadastra pelo formulário: nome, e-mail e senha (armazenada de forma cifrada, nunca em texto puro).
• Se você se cadastra ou entra com “Continuar com o Google”: nome, e-mail (já verificado pelo Google) e foto de perfil. Nesse caso não guardamos nenhuma senha sua — quem confirma sua identidade a cada acesso é o próprio Google.
• Tipo de conta: artista/banda ou casa de show/local.

Se o e-mail confirmado pelo Google for o mesmo de uma conta que você já tinha criado por e-mail e senha, vinculamos automaticamente ao seu cadastro existente — nunca criamos uma conta duplicada. Não enviamos nenhum dado seu ao Google como parte deste login: a informação corre no sentido contrário, do Google para nós, apenas para confirmar quem você é. O uso que o Google faz dos seus dados do lado dele é regido pela política de privacidade do próprio Google.

Dados de perfil

• Informações que você publica: biografia, gêneros musicais, cidade, repertório, links e vídeos, foto e usuário do Instagram (quando você opta por conectá-lo).

Dados de uso da plataforma

• Datas de disponibilidade, vagas publicadas, convites e propostas enviados e recebidos, mensagens trocadas dentro da plataforma e avaliações.

Dados técnicos

• Registros de acesso (endereço IP, data e hora), tipo de dispositivo e navegador, e cookies necessários para manter sua sessão — conforme a seção de Cookies abaixo.

Dados de medição de uso

• Quais páginas você abre, em que ordem, de onde chegou (busca, link compartilhado, rede social) e em que elementos clica.
• Gravação da sua navegação — reconstruímos como a página se comportou na sua tela (o que apareceu, o que você rolou e clicou) para entender onde o site atrapalha. Não é filmagem: nada é capturado da sua câmera, do seu microfone nem da sua tela — o que guardamos é o próprio conteúdo da página, o mesmo que já enviamos ao seu navegador. Tudo o que você digita em campos de formulário é ocultado antes de sair do seu aparelho — e-mail, senha e qualquer texto que você preencha.
• Se você estiver logado, ligamos essa medição ao identificador interno da sua conta, para saber o que uma mesma pessoa fez ao longo do tempo. Esse identificador é um número do nosso banco: fora dele, não diz quem você é.
• Erros que acontecem na sua tela — quando algo quebra no seu navegador, guardamos a mensagem técnica do erro e onde ele ocorreu, para consertar. É diagnóstico de defeito, não observação de comportamento, e nunca inclui o que você digitou.

Não coletamos dados sensíveis (art. 5º, II, da LGPD) intencionalmente. Pedimos que você não inclua esse tipo de informação em campos livres de perfil ou mensagens.

O TocaOnde também trata dados de artistas, bandas e casas de show que nunca criaram conta na plataforma. Encontramos esses perfis a partir de fontes públicas — o perfil público do Instagram e buscas na web — e montamos uma página de vitrine para viabilizar a própria proposta do TocaOnde: conectar quem faz show a quem produz show, mesmo antes de um cadastro formal.

Quais dados, e de onde vêm

• Nome ou nome artístico, foto de perfil, usuário do Instagram, biografia pública, gêneros musicais e agenda de shows já anunciada publicamente pelo próprio artista ou casa.
• Coletamos apenas o que a própria pessoa ou o próprio estabelecimento já tornou público — não usamos login, não acessamos conteúdo privado e não coletamos e-mail nem telefone nesse processo.

Base legal

Tratamos esse dado com base nos dados tornados manifestamente públicos pelo titular (art. 7º, §4º, da LGPD) e no legítimo interesse (art. 7º, IX) de viabilizar o encontro entre quem contrata e quem se apresenta — a proposta central do TocaOnde. Essa base tem limite: cobre a finalidade de descoberta e visibilidade; não cobre uso posterior fora disso.

Seus direitos, mesmo sem ter se cadastrado

Se você é artista, integrante de banda, ou representa uma casa de show:

• Reivindicar o perfil — se ele é seu, o botão “É você? Reivindique este perfil” na própria página confirma sua identidade pelo Instagram (direct) e coloca você no controle do que é exibido.
• Pedir correção ou remoção — sem precisar reivindicar o perfil nem provar posse do Instagram, pelo nosso formulário de contato. Atendemos no menor prazo possível.

Casa de show e outros estabelecimentos (pessoa jurídica) não são titulares de dados pessoais nos termos da LGPD, mas o mesmo canal vale para pedidos de correção ou remoção.

Tratamos seus dados para finalidades específicas, cada uma amparada por uma base legal do art. 7º da LGPD:

• Prestar o serviço — criar e manter sua conta, exibir seu perfil, conectar artistas e locais e viabilizar convites, propostas e avaliações. Base: execução de contrato (art. 7º, V).
• Sugerir encaixes (matchmaking) — recomendar artistas e vagas compatíveis a partir do seu perfil e atividade. Base: execução de contrato e legítimo interesse (art. 7º, V e IX).
• Medir e melhorar o produto — entender como as pessoas usam a plataforma, onde elas travam e o que não funciona, para consertar. Trabalhamos com dados de uso, não com identificação pessoal: a medição não decide o que você vê e nós não a vendemos. O Google Analytics tem um recurso de remarketing do próprio Google; com a Publicidade desligada nas suas preferências de cookies, os sinais de publicidade dele ficam negados. Base: legítimo interesse (art. 7º, IX) — você pode se opor a qualquer momento, e a seção de Cookies explica como.
• Segurança e prevenção a fraude — proteger contas, investigar abusos e manter a plataforma disponível. Base: legítimo interesse (art. 7º, IX).
• Comunicações operacionais — avisos sobre sua conta, convites e mudanças no serviço, enviados de [email protected]. Base: execução de contrato (art. 7º, V).
• Comunicações de marketing (quando houver) — novidades e dicas. Base: consentimento (art. 7º, I), revogável a qualquer momento.
• Cumprir a lei — quando exigido por obrigação legal, regulatória ou ordem de autoridade. Base: obrigação legal (art. 7º, II).

O TocaOnde usa um algoritmo para sugerir encaixes entre artistas e vagas (o “% de encaixe”). Essas sugestões são apoio à decisão — quem escolhe contratar ou aceitar é sempre uma pessoa. Ainda assim, nos termos do art. 20 da LGPD, você pode solicitar informações sobre os critérios usados e pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado, pelo nosso formulário de contato.

Seus dados não são vendidos. Compartilhamos apenas o necessário, nas seguintes situações:

• Com o outro lado do marketplace — seu perfil público e as informações de contato que você optar por exibir ficam visíveis a artistas e locais com quem você interage. Essa é a própria finalidade da plataforma.
• Com prestadores de serviço (operadores) — empresas que nos apoiam em hospedagem, infraestrutura, envio de e-mails e processamento de recursos de inteligência artificial (por exemplo, para o matchmaking), sempre sob contrato e obrigação de confidencialidade, tratando os dados apenas conforme nossas instruções.
• Com quem recebe nosso e-mail de atendimento — mensagens enviadas para [email protected] ou [email protected] (inclusive pelo formulário de contato) chegam numa caixa Gmail (Google). Isto inclui o conteúdo de pedidos sobre dados pessoais — o que, na prática, é a mesma transferência descrita abaixo.
• Com quem nos ajuda a medir o uso — Google (Google Analytics e Tag Manager) e PostHog (comportamento na sessão e gravação de navegação). Eles tratam esses dados como nossos operadores, apenas conforme nossas instruções. Nenhum dos dois recebe seu nome, seu e-mail ou o que você digita.
• Com quem exibe o anúncio — o Google (Google Ad Manager) entrega e mede o anúncio das páginas públicas. Com a Publicidade ligada, o Google pode gravar cookies no seu navegador para personalizar o anúncio; desligada, o anúncio vem em modo limitado, sem cookie de publicidade. Enviamos ao anúncio só o tipo e o assunto da página (como o gênero e a cidade da agenda que você abriu), nunca seu nome, seu e-mail nem o que você digita. O uso que o Google faz dos dados do lado dele é regido pela política de privacidade do próprio Google.
• Com autoridades — quando exigido por lei, regulação ou ordem judicial.

Alguns de nossos prestadores (por exemplo, de hospedagem, CDN e processamento de IA) podem estar localizados fora do Brasil. Nesses casos, a transferência internacional é feita com as salvaguardas exigidas pelos arts. 33 a 36 da LGPD, garantindo grau de proteção adequado aos seus dados.

Especificamente, os dados de medição de uso descritos acima são processados nos Estados Unidos, pelo Google e pelo PostHog. O mesmo vale para o conteúdo de qualquer e-mail que você nos envie (inclusive pelo formulário de contato): ele chega numa caixa Gmail, também nos Estados Unidos.

O anúncio das páginas públicas é entregue pelo Google Ad Manager, e os dados que ele trata (como o endereço IP do pedido do anúncio e, com a Publicidade ligada, identificadores de cookie) são processados nos Estados Unidos, pelo Google, com as salvaguardas descritas acima.

Nem tudo o que o site guarda é cookie, e a diferença importa para você: cookie viaja junto de cada pedido que seu navegador nos faz, enquanto o armazenamento local fica no aparelho e não chega até nós. Usamos os dois, organizados em seis categorias; o conteúdo de terceiros embutido vem declarado à parte, no fim da lista.

Essenciais, Preferência e Funcionamento ficam sempre ligadas, porque sem elas o site não funciona ou não lembra o que você escolheu. Medição, Personalização e Publicidade começam ligadas, e você pode desligá-las quando quiser. A base é o legítimo interesse (LGPD, art. 7º, IX), com o seu direito de se opor (art. 18, §2º). Se o seu navegador envia o sinal Global Privacy Control, Medição e Publicidade já começam desligadas.

• Essenciais (cookie): mantêm você autenticado e a plataforma segura (sessão, login, segurança). Ficam sempre ligados: sem eles, o serviço não opera.
• Preferência: a cidade que você escolhe para ver a agenda (cookie, para que a primeira tela já venha certa; guardamos a coordenada arredondada para cerca de 1 km, nunca sua posição exata), o tema claro ou escuro (armazenamento local) e, no painel, se o menu lateral está aberto (cookie) e qual perfil você estava usando (armazenamento local). Ficam sempre ligadas.
• Funcionamento (armazenamento local e cache do app): um identificador aleatório que não diz quem você é, usado só para que enviar duas vezes a mesma correção sobre um show conte como uma; partes do app guardadas no aparelho para carregar mais rápido; e o registro das suas escolhas desta seção. Ficam sempre ligadas.
• Medição (cookie e armazenamento local): para entender como o site é usado e onde ele atrapalha. Quem faz isso por nós é o Google (Google Analytics, carregado pelo Google Tag Manager) e o PostHog, que também reconstrói a navegação conforme explicado em “Quais dados coletamos”. Ela não muda o que você vê no site. Não carregamos nada disso no painel administrativo. Desligada, a medição para de enviar na hora, gravação da navegação incluída, e apagamos os cookies e os dados dela.
• Personalização, só no seu navegador (armazenamento local): para ordenar a agenda e a lista de estilos começando pelo que você costuma procurar, guardamos os últimos estilos musicais das páginas que você abriu (por exemplo “rock”, “samba”), no máximo 24 registros. Não é cookie: não viaja com seus pedidos e não chega aos nossos servidores. Não guardamos histórico de páginas, datas nem qualquer identificador seu, e isso nunca muda quais shows aparecem, só a ordem deles. Desligada, deixamos de gravar e apagamos o que estava guardado.
• Publicidade (cookie e armazenamento local): exibimos, nas páginas públicas, o anúncio do Google Ad Manager. Com a Publicidade ligada, o Google pode gravar cookies no seu navegador para escolher, medir e personalizar o anúncio. Desligada, o anúncio continua aparecendo, em modo limitado: sem cookie nem armazenamento de publicidade, só o que o Google usa contra fraude. Isso vale também para os sinais de publicidade do Google Analytics, que ficam negados.
• Conteúdo de terceiros embutido: o botão “Continuar com o Google” e os players do YouTube, do Spotify e do SoundCloud são do próprio Google, YouTube, Spotify e SoundCloud, que podem gravar os cookies deles quando aparecem na página. Estão declarados na tabela abaixo.

Para ver cada item (nome, quem grava, para que serve e por quanto tempo) e mudar as suas escolhas, abra as preferências. A escolha vale na hora, sem recarregar, para este navegador e este endereço:

A tabela abaixo é gerada da mesma lista que a central usa; por isso as duas não divergem.

Cada vez que você salva uma escolha, guardamos um registro com um ID aleatório, a data e a hora, o que ficou ligado e desligado, a versão desta lista, de onde você abriu a central, o tipo de aparelho (celular, tablet ou computador) e o país. Não gravamos seu IP nem a identificação completa do seu navegador nesse registro. Se você estiver logado, ele fica ligado à sua conta. Guardamos por até 5 anos. Contamos também as aberturas da central, sem guardar o seu ID, por até 13 meses.

Apagar é diferente de desligar. Você pode apagar agora o que a personalização já guardou, sem sair da página e sem perder sua sessão nem a cidade escolhida. Para impedir que ela volte a guardar, desligue a Personalização nas preferências:

Não há personalização guardada neste navegador.

Você também pode bloquear ou apagar cookies nas configurações do seu navegador. É por lá que se removem os que o Google já gravou, porque nós não conseguimos apagá-los por você. Os essenciais são necessários para o login funcionar.

A LGPD (art. 18) garante a você, a qualquer momento, o direito de:

• Confirmar a existência de tratamento e acessar seus dados;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• Solicitar a portabilidade dos seus dados a outro fornecedor;
• Solicitar a eliminação dos dados tratados com base no seu consentimento;
• Obter informação sobre com quem compartilhamos seus dados;
• Revogar o consentimento e se opor a tratamentos, nos casos previstos em lei;
• Solicitar a revisão de decisões automatizadas (ver seção de matchmaking).

Boa parte dos seus dados pode ser vista e editada diretamente no seu painel. Para os demais pedidos — inclusive exclusão de conta e portabilidade — use nosso formulário de contato. Responderemos no menor prazo possível. Podemos precisar confirmar sua identidade antes de atender ao pedido, para proteger sua conta.

Adotamos medidas técnicas e organizacionais para proteger seus dados, como tráfego cifrado (HTTPS), armazenamento de senhas com hash, controle de acesso e monitoramento. Nenhum sistema é 100% imune, mas trabalhamos continuamente para reduzir riscos. Em caso de incidente de segurança relevante, comunicaremos os titulares afetados e a ANPD conforme a LGPD.

Mantemos seus dados enquanto sua conta estiver ativa e pelo tempo necessário para as finalidades desta Política. Após o encerramento da conta, eliminamos ou anonimizamos os dados, salvo quando a guarda for exigida por obrigação legal ou para o exercício regular de direitos (por exemplo, prazos de registros de acesso previstos no Marco Civil da Internet).

O TocaOnde é destinado a maiores de 18 anos e não é dirigido a crianças e adolescentes. Se identificarmos uma conta criada por menor de idade sem a devida autorização, poderemos suspendê-la e excluir os dados relacionados.

Podemos atualizar esta Política para refletir mudanças no serviço ou na legislação. Quando a mudança for relevante, avisaremos por meios razoáveis (por exemplo, e-mail ou aviso na plataforma). A data no topo indica a última revisão.