Política de cookies

O que são cookies?

Cookies são pequenos arquivos de texto que um site armazena no seu navegador. Eles permitem que o site lembre informações sobre você entre as visitas — por exemplo, que você está conectado, que prefere um idioma específico ou que já respondeu a um banner de cookies. Alguns cookies são necessários para o funcionamento do site; outros são carregados somente depois que você os aceita.

Esta Política de Cookies explica quais cookies a Cliny Pet usa, o que cada categoria faz e como você pode alterar sua decisão a qualquer momento.

Categorias de cookies na Cliny Pet

A Cliny Pet agrupa os cookies em quatro categorias que correspondem às opções no banner de consentimento:

Categoria	Finalidade	Padrão	Base legal
Necessários	Sessão de login, defesa CSRF, preferência de idioma	Ligados — necessários para o site funcionar	GDPR Art 6(1)(b) contrato
Pagamento	Stripe.js / Stripe Elements durante uma compra no checkout	Desligados	GDPR Art 6(1)(a) consentimento
Análise	Estatísticas de uso agregadas e anonimizadas	Desligados	GDPR Art 6(1)(a) consentimento
Marketing	Medição da eficácia das campanhas de marketing	Desligados	GDPR Art 6(1)(a) consentimento

Os cookies Necessários não podem ser recusados porque o site não funciona sem eles; mantemos essa categoria deliberadamente restrita (sessão, autenticação, CSRF e o seletor de idioma). As outras três categorias ficam desligadas por padrão até que você as habilite explicitamente.

Na versão atual, a Cliny Pet carrega zero scripts de terceiros por padrão — as categorias Análise e Marketing são espaços estruturais preparados para futura integração de fornecedores; nenhum SDK real de análise ou marketing é entregue na versão inicial. A categoria Pagamento carrega o Stripe.js somente quando um fluxo de checkout pago é iniciado.

Por que pedimos consentimento

O banner de cookies pede o seu consentimento explícito (GDPR Artigo 6(1)(a)) antes de carregar qualquer cookie ou script das categorias Pagamento, Análise ou Marketing. Seguimos a regra de proeminência equivalente do Comitê Europeu de Proteção de Dados: os botões Aceitar, Recusar e Gerenciar têm todos o mesmo peso visual, de modo que escolher "Recusar" não seja mais difícil do que escolher "Aceitar".

Pedimos consentimento novamente em duas situações:

• A cada 13 meses, em linha com a diretriz da CNIL que se tornou o padrão europeu de fato. Após 13 meses, suas escolhas anteriores expiram e o banner é exibido novamente para que você possa confirmá-las.
• Sempre que esta política ou nossa Política de Privacidade ou Termos de Serviço mudarem de forma substancial. Cada um desses documentos carrega um campo de frontmatter policy_version; a Cliny Pet deriva um único SHA CURRENT_CONSENT_VERSION desses três valores, e qualquer alteração no SHA dispara o fluxo de novo consentimento descrito a seguir.

Versionamento do consentimento

Cada registro de consentimento que armazenamos carrega o SHA exato de consent_version ao qual você concordou. Quando você visita a Cliny Pet novamente e a versão atual não corresponde mais à versão do seu último registro, exibimos novamente o banner de consentimento com suas escolhas anteriores pré-marcadas. Você só precisa confirmá-las ou alterá-las — o banner não é uma decisão totalmente nova. Esse fluxo de divergência é o mecanismo técnico pelo qual cumprimos a diretriz EDPB 2024 sobre o frescor do consentimento após uma mudança substancial de política.

Se você quiser inspecionar suas decisões de consentimento anteriores, o cartão Histórico de consentimento na página /settings/privacy mostra os últimos 10 registros: a consent_version à qual você concordou, o carimbo de data/hora, suas escolhas, seu idioma e o primeiro octeto do endereço IP (o IP completo nunca é exibido ao usuário; ele é retido no livro de auditoria para fins forenses).

Scripts de terceiros (estado atual)

A Cliny Pet impõe um padrão central de portão de scripts para cada script de terceiros que o aplicativo poderia carregar. O portão fica em frontend/src/components/cookie-consent/scriptGate.ts e aplica quatro garantias:

1. Nenhum script é carregado sem consentimento. O portão se recusa a injetar uma tag de script para uma categoria cujo consentimento seja false.
2. Cada carregamento emite um evento de auditoria. Um carregamento bem-sucedido dispara uma linha de auditoria consent_script_loaded no lado do servidor que registra a categoria, a URL do script e o hash de Subresource Integrity (SRI).
3. Cada script carrega SRI. Scripts externos DEVEM ser carregados com um atributo de integridade sha384-… para que um CDN comprometido não possa servir uma carga útil adulterada.
4. Nenhum caminho de contorno é permitido. Uma regra personalizada de ESLint no-direct-script-load proíbe literais JSX <script src="…">, document.createElement("script") fora do portão e tags next/script com uma src não literal. A regra é executada na CI e faz o build falhar em qualquer violação.

Na versão atual, o portão está conectado, mas nenhum script de terceiros é carregado por padrão. O carregamento do Stripe.js está reservado para o fluxo de checkout pago. As categorias Análise e Marketing são espaços estruturais — nenhuma integração real de fornecedores é entregue hoje.

Segurança e prevenção de abuso (Cloudflare Turnstile)

Há um script que é exceção à regra de "nenhum script de terceiros por padrão" descrita acima: o Cloudflare Turnstile, uma alternativa de CAPTCHA que preserva a privacidade e protege os formulários de login e de cadastro contra abusos automatizados. O Turnstile é carregado a partir de challenges.cloudflare.com e pode definir um cookie de gestão de bots __cf_bm. Como essa proteção é estritamente necessária para manter o serviço seguro e disponível, ela pertence à categoria Necessários e é carregada sem solicitar consentimento — com base no nosso interesse legítimo na segurança da rede e da informação (GDPR Artigo 6(1)(f), Considerando 49). O Turnstile não é usado para traçar o seu perfil nem para rastreá-lo entre sites para fins publicitários; a Cloudflare trata esses dados como nossa operadora.

Por que a Cliny Pet construiu sua própria plataforma de gestão de consentimento

Tomamos, desde o início, a decisão de projeto de construir internamente a superfície de consentimento de cookies em vez de depender de uma CMP de terceiros (Cookiebot, OneTrust etc.). Três motivos:

• Residência de dados. As CMPs de mercado normalmente replicam os registros de consentimento para infraestrutura nos EUA; nosso banner próprio grava diretamente em nossa tabela consent_events na região da UE, mantendo cada registro de consentimento dentro do mesmo perímetro de dados em conformidade com o GDPR do restante da Cliny Pet.
• Isolamento do System Prompt. O contrato de comportamento da IA da Cliny Pet é um artefato de segurança fundamental (System Prompt.md), e mantemos a superfície de código de terceiros na página tão pequena quanto possível para proteger esse artefato.
• Rastreabilidade de auditoria. Cada registro de consentimento carrega o SHA exato de policy_version ao qual o usuário concordou, mais o idioma e o octeto do IP — tudo armazenado junto aos nossos próprios eventos de auditoria de backend, consultável em um único lugar e retido pela janela de 5 anos de prova de consentimento sob o GDPR Art 7(1).

Suas escolhas

Você pode alterar suas preferências de cookies a qualquer momento por meio de qualquer um destes caminhos:

• Link do rodapé — Clique em "Preferências de cookies" no rodapé da página. O banner é reaberto com suas escolhas atuais carregadas.
• Configurações no aplicativo — Visite as Configurações de privacidade e dados quando estiver conectado. O cartão Preferências de cookies exibe os mesmos controles, além de uma visualização do "Histórico de consentimento".
• Controles do navegador — A maioria dos navegadores também permite bloquear ou excluir cookies em todo o sistema; o menu correspondente normalmente fica em Configurações → Privacidade e segurança. Observe que bloquear a categoria Necessários no nível do navegador deixará a Cliny Pet não funcional.

Se você aceitou anteriormente uma categoria e agora deseja retirar o seu consentimento, a alteração entra em vigor no próximo carregamento da página: os scripts dessa categoria não serão carregados novamente, e os cookies apenas de sessão já definidos expirarão quando você fechar o navegador.

Contato

Para qualquer dúvida sobre esta Política de Cookies ou sobre como exercer seus direitos relacionados a cookies sob o GDPR, entre em contato conosco em [email protected]. Respondemos em até 30 dias.

---

Esta política é revisada regularmente e atualizada sempre que nossas práticas mudam. Ela está sujeita a revisão contínua por Counsel licenciados nas jurisdições TR, UE e EUA.