Privacidade

Quem somos e o que esta política cobre

A Vilia é um portal editorial com dicas do cotidiano e, no futuro, apps para organizar o dia (agenda, metas, calendário, diário e finanças). O endereço público é o domínio vilia.me.

Esta política se aplica às páginas abertas do portal, ao aviso de cookies, aos espaços de publicidade e às contas opcionais autenticadas pelo Identity Provider (IdP) da dSousa. Se você só lê o conteúdo sem criar conta, o tratamento é mais limitado; se entra ou cria conta, tratamos dados de identificação e sessão conforme descrito abaixo.

Última atualização desta página: setembro de 2026. Quando o tratamento mudar de forma relevante — por exemplo, ao abrir novas casas do produto — republicaremos a política com a data revisada.

Controlador e papéis

Para os dados tratados no portal Vilia (conteúdo público, cookies do site, espelho local da conta e administração do portal), a operação do serviço atua como controladora no sentido da LGPD: define finalidades e meios do tratamento.

A autenticação (senha, verificação de e-mail, tokens OIDC, auditoria de login) ocorre no Identity Provider da dSousa. A Vilia recebe do IdP o identificador opaco da conta (sub), nome e e-mail necessários para manter a sessão e o perfil no portal. O IdP e a Vilia tratam esses dados em conjunto para a finalidade de login; clientes OAuth de outros apps da família dSousa, quando houver, podem atuar como operadores ou controladores independentes conforme o contrato de cada app.

O canal oficial de contato sobre privacidade será publicado neste domínio. Enquanto o encarregado (DPO) e o endereço de e-mail dedicados não estiverem listados aqui, use o contato institucional disponível em vilia.me quando for divulgado.

Princípios que seguimos

Tratamos dados pessoais observando, em especial:

• Finalidade e adequação — só para os propósitos descritos nesta política.
• Necessidade (minimização) — o mínimo indispensável para cada função.
• Transparência e livre acesso — informações claras e possibilidade de consultar o que tratamos.
• Qualidade e segurança — dados corretos, proteção técnica e administrativa.
• Prevenção e responsabilização — medidas para evitar danos e capacidade de demonstrar conformidade.

O que o portal público não pede

Nas páginas abertas (capa, dicas, sobre, esta política), não pedimos telefone, CPF, documento de identidade, endereço residencial nem inscrição em lista de espera. Não há newsletter própria nem pixels de redes sociais operados por nós.

Você pode navegar o conteúdo editorial sem criar conta. Conta é opcional e serve para recursos autenticados (por exemplo, área da conta e, no futuro, as casas do produto).

Dados que podemos tratar

Navegação sem conta

• Dados técnicos de acesso que o servidor pode registrar (endereço IP, user-agent, horário, URL solicitada) para segurança, diagnóstico e funcionamento.
• Cookie de sessão Laravel (CSRF e sessão técnica).
• Cookie de preferência de cookies (se você responder ao aviso), para lembrar se aceitou anúncios ou ficou só com o essencial.
• Se você aceitar cookies de publicidade: dados técnicos tratados pela rede de anúncios (ver seção de cookies).

Conta e autenticação

• No IdP: nome, e-mail, senha (sempre hasheada), status de verificação de e-mail, vínculo opcional com Google (google_id), códigos e tokens OAuth com prazo de validade, logs de auditoria de autenticação.
• Na Vilia: espelho local com sub, nome, e-mail, papel no portal (usuário ou administrador) e horário do último acesso.

Administração do portal

Administradores da Vilia podem ver nome e e-mail de contas que já autenticaram pelo IdP, para promover papéis no portal. Essa tela não cria identidade no IdP.

Finalidades e bases legais

Resumo das principais finalidades e bases do art. 7º da LGPD:

• Exibir o portal e manter a sessão técnica — legítimo interesse (segurança e funcionamento), art. 7º, IX.
• Criar e manter conta, login e sessão autenticada — execução de contrato / medidas preliminares, art. 7º, V; e legítimo interesse de segurança, art. 7º, IX.
• Verificação de e-mail e recuperação de senha — execução de contrato, art. 7º, V.
• Auditoria de autenticação e prevenção a abuso — legítimo interesse (segurança), art. 7º, IX. Logs de autenticação não incluem senha, tokens em claro nem códigos OAuth.
• Administração de papéis no portal — legítimo interesse (segurança e operação), art. 7º, IX.
• Cookies e scripts de publicidade não essenciais — consentimento, art. 7º, I. Você escolhe no aviso de cookies; o consentimento pode ser revogado limpando o cookie de preferência ou usando controles do navegador.
• Login com Google — execução de contrato (conta) e transferência internacional informada (art. 33), conforme a seção correspondente.

Não usamos dados de conta para perfil de marketing próprio nem vendemos listas de e-mail.

Conta e autenticação em detalhe

Se você criar ou entrar em uma conta, tratamos nome e e-mail para identificar a sessão na Vilia. A senha e a verificação de e-mail ficam no Identity Provider; a Vilia guarda o espelho local descrito acima.

Tokens OIDC ficam só no servidor, no cookie HttpOnly da sessão. Não expomos tokens de acesso ou refresh ao JavaScript da página.

O login com Google usa o Google Identity Services. O IdP valida o token do Google; há transferência internacional de dados para a Google LLC (nome, e-mail e identificador da conta Google). Você pode vincular a conta Google a uma senha local já existente no IdP. Coletamos apenas o necessário do perfil Google para autenticação.

Cookies e anúncios

Cookies necessários à navegação (como o de sessão e o de proteção CSRF) funcionam sempre: sem eles o site não opera com segurança.

Cookies e scripts de publicidade só entram se você escolher Aceitar todos no aviso de cookies. Com Só os necessários, o portal segue sem carregar scripts de anúncio nem banners personalizados pela rede de publicidade.

Se você aceitar todos, carregamos o script da rede de anúncios e exibimos banners nos espaços de publicidade. Essa rede pode definir cookies de publicidade, reconhecer o dispositivo e tratar dados técnicos (por exemplo IP e user-agent) para veicular anúncios e medir entregas. Base legal: consentimento, art. 7º, I.

A rede de publicidade pode operar fora do Brasil; nesse caso há transferência internacional de dados técnicos. Você pode limpar o cookie de preferência no navegador para ver o aviso de novo, bloquear scripts de publicidade por extensões ou ajustar as configurações do próprio navegador.

Espaços marcados como “Publicidade” podem aparecer mesmo quando os anúncios estão desligados (por ambiente ou por sua escolha); nesses casos o espaço fica reservado sem carregar o script da rede.

O que o servidor pode registrar

Como qualquer site, o servidor e a infraestrutura de hospedagem podem gerar logs técnicos de acesso (endereço IP, navegador, horário, status da resposta) para segurança, estabilidade e investigação de incidentes. Esses registros não são usados para perfil de marketing da Vilia.

Logs de autenticação no IdP registram eventos de segurança (sucesso, falha, limite de taxa, etc.) com referências técnicas — não senha, não tokens em texto claro. Preferimos códigos de motivo a e-mails nos detalhes de auditoria.

Compartilhamento e operadores

Podemos compartilhar dados pessoais apenas quando necessário para:

• operar autenticação (IdP / dSousa);
• login com Google, se você usar essa opção;
• veicular anúncios, se você consentir com cookies de publicidade;
• provedores de infraestrutura (hospedagem, e-mail transacional), sob obrigação de confidencialidade e finalidade limitada;
• cumprir obrigação legal ou ordem de autoridade competente.

Não vendemos seus dados pessoais.

Transferência internacional

Há transferência internacional, em especial:

• quando você usa login com Google (dados enviados à Google LLC);
• quando a rede de publicidade, após o seu consentimento, processa dados técnicos fora do Brasil;
• se a infraestrutura de hospedagem ou CDN utilizar servidores no exterior — nesse caso o tratamento segue as salvaguardas do art. 33 da LGPD e as práticas do prestador.

Retenção

• Conta e espelho na Vilia — enquanto a conta existir; após exclusão, removemos ou anonimizamos o que for possível, revogando sessões e tokens associados.
• Senha — até troca ou exclusão; sempre armazenada de forma hasheada.
• Códigos OAuth e tokens de refresh — prazo curto ou até expiração/revogação; depois são descartados por rotinas de limpeza.
• Tokens de redefinição de senha — TTL curto; apagados após uso ou expiração.
• Logs de auditoria de autenticação — retenção limitada à necessidade de segurança e accountability (ordem de meses a poucos anos, conforme política operacional).
• Logs técnicos de servidor — pelo tempo usual de operação e segurança da infraestrutura.
• Preferência de cookies — até você limpar o cookie ou ele expirar conforme configurado no navegador.

Segurança

Adotamos medidas técnicas e administrativas proporcionais ao risco, incluindo HTTPS em produção, hashing de senhas, cookies de sessão HttpOnly, proteção CSRF, rate limiting em fluxos sensíveis de autenticação e restrição de acesso administrativo. Nenhum sistema é 100% imune; em incidente com risco relevante aos titulares, seguiremos os deveres de comunicação previstos nos arts. 46 a 48 da LGPD.

Direitos do titular (art. 18)

Você pode solicitar, na forma da lei:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade, quando aplicável, em formato estruturado;
• informação sobre compartilhamentos;
• informação sobre a possibilidade de não consentir e as consequências;
• revogação do consentimento (por exemplo, cookies de publicidade);
• oposição a tratamento baseado em legítimo interesse, quando cabível.

O prazo de resposta previsto na LGPD é de até 15 dias, contados do requerimento, podendo haver confirmação de identidade antes de divulgar dados. Enquanto o canal do encarregado não estiver publicado neste domínio, use o contato oficial de vilia.me quando disponível.

Crianças e adolescentes

O portal editorial não é dirigido a crianças. Não coletamos intencionalmente dados de menores de 12 anos. Se você for responsável legal e souber de tratamento indevido, entre em contato para que possamos apagar os dados cabíveis.

Dicas e conteúdo gerado com apoio de IA

Os textos da revista podem ser escritos pela redação ou gerados com apoio de ferramentas de agentes de IA, a partir de um pedido editorial. Não enviamos dados da sua conta a esse serviço para gerar as dicas. O conteúdo publicado é editorial; não inclui seus dados pessoais de navegação ou de conta.

Quando o produto abrir as casas

Agenda, metas, calendário, diário, finanças e demais casas poderão exigir dados pessoais adicionais (por exemplo, eventos, anotações ou registros financeiros que você inserir). Antes ou no lançamento, informaremos finalidade, base legal, minimização, retenção e direitos do titular — e atualizaremos esta política.

Alterações

Podemos atualizar esta política para refletir mudanças legais, técnicas ou de produto. A versão vigente é a publicada nesta página, com a data de atualização no início. Em mudanças relevantes, destacaremos o ajuste no portal quando for razoável.

Contato

Dúvidas sobre privacidade, exercício de direitos ou esta política: fale conosco pelo domínio vilia.me quando o canal oficial estiver publicado. Não listamos e-mail genérico inventado nesta página; o contato do encarregado será indicado aqui assim que estiver definido.