Política de Privacidade

A marca Giro Autos opera o portal de repasse veicular em giro.autos e o painel em painel.giro.autos. O controlador desses tratamentos é a Flycode Desenvolvimento LTDA, CNPJ 67.231.057/0001-72.

Esta política descreve o que de fato acontece no produto: vitrine, conta por magic link, proposta, interesse, completar cadastro, avaliação NPS e a medição de campanha (Meta e Google) quando a casa liga essas integrações no painel.

1. Quais dados entram

Só pedimos o necessário para identificar quem está no portal e conduzir o negócio:

• Conta — e-mail. É o identificador da sessão. Sem senha para o cliente: o acesso chega por link mágico no correio.
• Cadastro — nome completo, CPF, data de nascimento, sexo, WhatsApp, CEP (e cidade/UF que o ViaCEP devolve a partir do CEP) e o que você busca. Depois do primeiro cadastro, CPF, nome, nascimento e sexo ficam fixos; WhatsApp, CEP e interesse continuam editáveis na Conta.
• Consulta de CPF — o servidor consulta um serviço externo só para preencher nome, nascimento e sexo. O token da API não vai para o navegador. Nome da mãe e outros campos extras não são expostos nem gravados pelo site.
• Proposta — valor anunciado, forma à vista (Pix, TED ou dinheiro) e, só se o anúncio avisar, entrada + financiamento. Quem já tem cadastro não precisa repetir CPF, nome ou WhatsApp no formulário da ficha.
• Interesse — o veículo que você marcou antes de entrar. Vira histórico no painel.
• NPS — nota de 0 a 10 e comentário opcional, só se você abrir o convite enviado depois de uma venda.
• Técnicos — cookie de sessão, endereço IP e cabeçalhos usuais do servidor, para segurança e anti-abuso (incluindo a trava deslizante e o honeypot do formulário de acesso).
• Origem da visita — parâmetros da URL (UTM, fbclid, gclid e equivalentes) e um identificador próprio de visita, para saber de qual campanha veio o acesso e o lead.

Não pedimos cartão no site. A casa não aceita troca. Financiamento só entra se o anúncio da unidade avisar — não processamos pagamento aqui.

2. Cookies

Usamos poucos cookies da casa. Quando a gestão liga Meta ou Google no Toolbox, entram também cookies desses serviços, só depois do Entendi.

• mbr_sid — sessão autenticada. Vale no domínio .giro.autos para o site e o painel andarem juntos. HttpOnly, Secure, SameSite Lax. Dura até 30 dias ou até você sair.
• mbr_lgpd — lembra que você viu e aceitou este aviso de cookies. Dura 12 meses.
• mbr_vid — identificador próprio da visita. Guarda a origem da campanha (UTM, clique do anúncio) no nosso servidor. Não é o pixel de terceiro. Dura até 400 dias.
• _fbp / _fbc — quando o Pixel da Meta está ligado, o script da Meta grava esses cookies para juntar o clique do anúncio ao evento.

O banner na base da tela avisa. Fechar com Entendi grava mbr_lgpd e, se houver integração ligada, autoriza o pixel no navegador. Sem esse clique a vitrine abre igual; a sessão mbr_sid continua existindo se você entrar — ela segura a conta. Lead e cadastro no servidor usam o e-mail que você mesmo informou para o magic link, com hash, para a casa medir a campanha.

3. Para que usamos

• Abrir e manter a conta, o painel e a sessão compartilhada.
• Enviar o magic link e e-mails transacionais (acesso, proposta, NPS).
• Registrar proposta e interesse, mostrar o andamento e deixar a gestão analisar.
• Completar o cadastro com CEP e, quando você informa o CPF, conferir nome, nascimento e sexo.
• Publicar na home, com o seu comentário, só avaliações NPS de 8 a 10. Notas menores ficam no painel da gestão. O depoimento público não cita veículo.
• Proteger o serviço contra abuso e spam.
• Medir campanha de mídia (Meta Ads e Google Ads): de qual anúncio veio a visita, o e-mail, a conversa, a proposta e a venda.

4. Bases legais (LGPD)

• Execução de contrato e procedimentos preliminares (art. 7º, V) — conta, proposta, interesse e acompanhamento do negócio.
• Cumprimento de obrigação legal (art. 7º, II) — quando a lei exigir identificação ou guarda.
• Legítimo interesse (art. 7º, IX) — segurança da sessão, prevenção a fraude no acesso e melhoria operacional da casa, sem vigilância desproporcional.
• Consentimento (art. 7º, I) — o aviso de cookies (incluindo pixel de mídia, quando ligado) e o envio do NPS. Você pode retirar o consentimento do aviso a qualquer momento pedindo pelo e-mail abaixo; a sessão essencial continua necessária se você quiser permanecer logado.
• Legítimo interesse também cobre a guarda da origem da visita (mbr_vid e parâmetros de campanha) para a casa saber qual anúncio gerou o lead, sem expor esse detalhe na vitrine.

O detalhe dos direitos está em LGPD.

5. Com quem compartilhamos

Não vendemos cadastro. Os dados saem da casa só para fazer o serviço funcionar:

• ViaCEP — consulta pública de CEP para cidade e UF.
• API de CPF — só no servidor; devolve nome, nascimento e sexo.
• Servidor de e-mail da própria casa (mail.giro.autos) para magic link, proposta e NPS.
• Gestão da casa — quem opera o estoque vê propostas, interesses e o cadastro necessário para fechar o negócio.
• Meta Platforms — Pixel no navegador e Conversions API no servidor, quando a casa configura ID e token no Toolbox. E-mail, telefone e nome vão com hash (SHA-256).
• Google — gtag do Google Ads e, se a casa ligar, Measurement Protocol do GA4. Conversões aprimoradas usam os mesmos dados de cadastro, com hash quando saem pelo servidor.

Autoridade pública só recebe dado se houver ordem ou obrigação legal.

6. Quanto tempo fica

• Conta e histórico de propostas/interesses — enquanto a conta existir e o negócio precisar ser reconstruído.
• Sessão mbr_sid — até 30 dias, ou na hora em que você sair.
• Magic link — 20 minutos, uso único.
• Convite NPS — até ser respondido ou encerrado.
• Veículo vendido na vitrine — até 21 dias, para mostrar que o estoque gira. Depois some da prateleira pública.
• Aviso de cookies — 12 meses.

Se pedir exclusão da conta, apagamos ou anonimizamos o que a lei permitir. O que for obrigação legal ou defesa de direito pode ficar o prazo necessário, sem voltar para a vitrine.

7. Segurança e hospedagem

O site e o banco rodam em servidores no Brasil. Senha de cliente não existe: o acesso é o link de uso único. A gestão tem senha só no painel, com hash. Cookie de sessão é HttpOnly. Token de CPF não chega no navegador.

Nenhum sistema é infalível. Se houver incidente com risco relevante, avisamos você e a ANPD na forma da lei.

8. Crianças e adolescentes

A casa não é feita para menor de 18 anos. Não coletamos dados de criança de propósito. Se um responsável identificar cadastro de menor, escreva para o e-mail abaixo que encerramos.

9. Alterações

Quando esta política mudar de fato — novo dado, novo cookie, novo destinatário — atualizamos a data no topo da página. O uso continuado depois da publicação vale como ciência da versão nova. Mudança estrutural pode ganhar um aviso no banner ou no e-mail da conta.

10. Contato

Dúvida, correção, exclusão ou qualquer direito da LGPD: contato@giro.autos. Controlador: Flycode Desenvolvimento LTDA, CNPJ 67.231.057/0001-72.

Também vale o caminho em LGPD e as regras de uso em Termos de Uso.