Política de Privacidade

Identidade da conta: seu endereço de e-mail; se você entrar com o Google, também seu nome de exibição, a URL do avatar e o ID estável do Google (subject ID). Usados exclusivamente para você entrar no sistema e para nos dirigirmos a você na interface.

Perfil: seu sigilo escolhido, tiragem padrão e idioma. Os recursos de astrologia e carta de nascimento são calculados no servidor a partir dos dados que você insere, e apenas as etiquetas derivadas ficam salvas (códigos de signo solar / lunar / ascendente e IDs das cartas da alma / personalidade). Sua data de nascimento, horário, local e coordenadas originais nunca são gravados no nosso banco de dados — este é um compromisso de privacidade auditável, não uma opção configurável. A única exceção é um mapa astral que você escolha salvar, descrito no item seguinte.

Mapas astrais salvos: somente quando você escolhe "Salvar no meu manuscrito" abaixo de um mapa na página do mapa astral: o nome que você der, quando salvou, sua data de nascimento, sua hora de nascimento como você a informou (exata, uma faixa de duas horas ou sem hora), o local de nascimento escolhido (nome, código do país e coordenadas) e o fuso horário dele, e o sistema de casas pedido. Eles ficam guardados para o mapa abrir de novo, até você apagar o mapa no Perfil ou excluir sua conta, e entram na exportação dos seus dados. Se você escolher salvar sem estar conectado, o navegador mantém esses mesmos dados no armazenamento de sessão desta aba só durante a ida e volta do login, e os descarta se você for para qualquer outra página. Até 12 mapas.

Leituras e diário: enquanto sua sessão estiver ativa, cada leitura é salva automaticamente na sua conta assim que a interpretação termina de ser escrita — as cartas sorteadas, o tipo de tiragem, a pergunta feita, a interpretação gerada pela IA e o leitor e a voz que a escreveram. Suas notas, tags e humor são salvos quando você os adiciona. O token de compartilhamento só é salvo quando você gera um link público, junto com a imagem de pré-visualização que o seu navegador desenha para esse link — o nome da tiragem e as cartas, nunca a sua pergunta nem a interpretação; ao revogar o link, os dois são apagados. Você pode excluir suas leituras a qualquer momento: uma a uma na página da leitura ou no seu Diário, ou todas de uma vez em Perfil → Excluir grimório. Ao excluir uma leitura, o link de compartilhamento e a imagem de pré-visualização dela também são apagados.

Texto do cartão do link compartilhado: quando você cria ou atualiza um link de compartilhamento, o seu navegador também envia o texto do cartão de pré-visualização do link — o nome da tiragem com os nomes de até três das cartas, e o trecho da interpretação escolhido no painel de compartilhamento —, nunca a sua pergunta. Ele é guardado só para exibir esse cartão e é apagado quando você revoga o link ou exclui a leitura.

Revisitas de um passo: quando você ativa “Rever este passo daqui a 7 dias” abaixo de uma leitura — a data em que ela vence (sete dias depois da leitura), quando um lembrete foi enviado e, depois que você responde, se deu o passo e a reflexão que escrever (até 2.000 caracteres). Só uma revisita sem resposta fica guardada por vez: marcar uma nova a substitui, e desativá-la a apaga. Uma revisita já respondida fica com a sua leitura até você excluir essa leitura ou a conta.

Diálogos: quando você conversa com um leitor sobre uma leitura, ou começa um diálogo diretamente — cada mensagem que você envia e cada resposta (incluindo ações rápidas, como trocar o enfoque ou o leitor), o leitor e o idioma, e a síntese que o leitor escreve do diálogo, que você pode editar e que também serve de memória das falas anteriores. Um diálogo fica guardado até você limpá-lo — o que o apaga junto com todas as mensagens e a síntese — ou até você excluir a leitura dele ou a conta. Ao limpar um diálogo, guardamos apenas, sem nenhum conteúdo, os horários das perguntas feitas nas últimas 24 horas, para que o limite diário de mensagens continue a contá-las; eles são apagados na próxima vez que você limpar um diálogo, depois de passadas essas 24 horas, ou junto com a conta.

Registros de engajamento: suas tiragens de carta do dia (uma carta armazenada por pessoa a cada dia, contado pelo seu fuso horário), o progresso do desafio de 21 dias, as conquistas desbloqueadas e as pontuações do quiz. Usamos esses dados para renderizar suas páginas /profile, /journey e /wrapped e para conceder as conquistas descritas nos Termos. Ao iniciar um desafio de 21 dias, guardamos junto com ele o seu fuso horário (um nome IANA como America/Sao_Paulo), para contar os dias pela sua data local.

Progresso no quiz: enquanto sua sessão estiver ativa — as estrelas conquistadas em cada estação, quanto você domina cada carta (a caixa de revisão em que ela está), os dias em que você estudou (que formam a sua sequência de estudo) e a sua melhor pontuação nos três minutos contra o relógio. Serve para levar o seu progresso de um dispositivo a outro e fica guardado até você excluir a conta.

Progresso de leitura do guia: enquanto sua sessão estiver ativa — quais páginas de /guide você leu e quando, para mostrar o seu avanço no guia em qualquer dispositivo; fica guardado até você excluir a conta.

Lembrete de leitura: se você define um horário de lembrete em Perfil — esse horário e o fuso horário em que ele é enviado (um nome IANA como America/Sao_Paulo, obtido do seu navegador ao salvar), para que o e-mail de lembrete da carta do dia chegue nessa hora do seu dia local. Desligar o lembrete apaga o horário; o fuso horário continua guardado com as suas outras preferências até você excluir a conta.

Inscrições push: quando você as ativa em /profile — a URL de endpoint fornecida pelo seu navegador, junto com o material de chaves públicas p256dh e auth do dispositivo (emitidas pelo navegador; não constituem dados pessoais isoladamente). São removidas ao desativar o botão.

Indicações: quando você gera ou resgata um código de convite — a string do código e uma linha de resgate por convite aceito, utilizadas para conceder o mês de bonificação descrito nos Termos.

Cobrança: para assinantes pagantes — nível, data de renovação, qualquer prazo de tolerância pendente e os IDs de cliente / assinatura emitidos pela Dodo Payments, nossa vendedora de registro. Nunca vemos o número do seu cartão, a validade ou o CVV.

Créditos — nas contas que os usam: cada concessão de créditos (a origem, como o presente de cadastro, a concessão mensal, o check-in diário ou um pacote de créditos; quantos; quantos restam; quando expiram) e cada gasto (quantos, em qual leitura, pergunta de conversa ou página diária, e se foi estornado). Usados apenas para manter seu saldo e mostrar onde cada crédito foi usado.

Cobranças por tiragem: sempre que uma tiragem gasta créditos — o identificador da tiragem, um hash SHA-256 do que foi sorteado (tiragem, idioma, pergunta e cartas; a pergunta em si não fica guardada aqui) e quantas vezes ela foi retomada, para que recarregar ou tentar de novo a mesma leitura em até 24 horas não seja cobrado outra vez. Registros com mais de 24 horas são apagados na próxima vez que uma tiragem gastar os seus créditos, e os demais junto com a conta.

Analítica: registros de eventos indexados por um ID de conta pseudonimizado (um identificador aleatório, não o seu nome nem o seu e-mail). Não contêm o texto da pergunta, o conteúdo das cartas nem a prosa da interpretação.

Pedidos de código de login: cada vez que enviamos um código de login por e-mail e cada vez que um código errado é digitado, guardamos um registro curto para evitar abusos: um hash com chave (HMAC) do endereço de e-mail, um hash com chave do endereço IP e o horário. Nem o endereço nem o IP ficam guardados de forma legível.

Registros de envio de e-mail: um registro para cada e-mail automático que enviamos (por exemplo, códigos de login, avisos de conta e de assinatura, cartas semanais e e-mails de marketing): qual e-mail era, quando foi enviado, se foi entregue e o ID da mensagem ou o código de erro devolvido pelo serviço de envio. Nunca contém o texto da mensagem. O destinatário é registrado como a sua conta ou, quando o e-mail não está ligado a nenhuma conta, como um hash com chave do endereço. Nos e-mails de conta que podem precisar de uma nova tentativa, o registro guarda também os dados com que o e-mail foi montado (por exemplo, seu plano e a data de renovação, ou a primeira palavra do seu nome de exibição) e o seu fuso horário.

Cartas semanais: se você se inscrever pelo formulário do site (a confirmação é feita por um link que enviamos por e-mail) ou, com a sessão iniciada, entrar com o endereço da sua conta (nunca por padrão): seu endereço de e-mail, o idioma das cartas, onde você se inscreveu, quando se inscreveu e quando confirmou, quando foi enviado o último e-mail de confirmação, quantas cartas você já recebeu e quando saiu a última, e quando cancelou a inscrição. Respostas enviadas a lunaris@lunarcana.app são encaminhadas para a caixa de correio de quem mantém o Lunarcana e guardadas lá; nós as lemos para melhorar as cartas e nunca as usamos para leituras pessoais.

Primeira leitura como visitante: se você experimenta uma leitura sem entrar na conta — as cartas sorteadas, a tiragem, a sua pergunta, o idioma, as opções de leitura e o leitor usados, a interpretação e o modelo que a escreveu, as sugestões de pergunta exibidas com ela, as perguntas de continuação gratuitas que você fizer, com as respostas, e — se uma mensagem levantar uma preocupação de segurança e for respondida com a nossa mensagem fixa de apoio em vez de uma leitura — até três dessas mensagens, cada uma com essa resposta. Para limitar quantas leituras de visitante uma mesma rede pode iniciar, guardamos também um hash com chave (HMAC) do seu endereço IP — nunca o IP em si —, e o seu navegador mantém por 30 dias um cookie assinado (lunarcana-guest) com o identificador da leitura. Se você entrar na conta dentro desses 30 dias, pode ficar com a leitura: ela e as perguntas de continuação são copiadas para a sua conta como uma leitura e um diálogo comuns. O registro de visitante não contém nome nem endereço de e-mail.

Execução do contrato (LGPD art. 7º, V; GDPR art. 6(1)(b)): conta, perfil, leituras, cobrança. Sem esses dados não conseguimos entregar o serviço que você solicitou.

Legítimo interesse (LGPD art. 7º, IX; GDPR art. 6(1)(f)): analítica mínima para saúde do serviço e prevenção de abuso, analítica agregada do site por meio do Google Analytics, registros de pedidos de código de login para conter abusos e registros de envio de e-mail para confirmar que nossos e-mails chegam. Equilibrado frente à sua privacidade pelo hash de identificadores, pela exclusão desses registros em prazos fixos e pela possibilidade de encerrar a sessão.

Consentimento (LGPD art. 7º, I; GDPR art. 6(1)(a)): enriquecimento astrológico de prompts, push na web, e-mail de marketing, cartas semanais e e-mail opcional de carta do dia. Todos desligados por padrão; é você quem os liga.

Cumprimento de obrigação legal (LGPD art. 7º, II; GDPR art. 6(1)(c)): os registros de cobrança são retidos conforme a legislação tributária aplicável à Dodo Payments.

Todas as linhas vinculadas a um usuário (conta, perfil, leituras, diário, cartas salvas, tiragens diárias, progresso do desafio, conquistas, pontuações do quiz, progresso no quiz, progresso de leitura do guia, cobranças por tiragem, revisitas de um passo, texto do cartão dos links compartilhados, diálogos e suas sínteses, horário e fuso horário do lembrete de leitura, inscrições push, registros de indicação, contadores mensais de uso, créditos concedidos com seu histórico de uso e os registros de envio de e-mail ligados à sua conta e ao seu endereço): até você excluir a conta, quando são todas apagadas juntas dentro de uma única transação, que também tira seu endereço da lista das cartas semanais.

Registros de pedidos de código de login: 24 horas.

Registros de envio de e-mail: 90 dias. Ao excluir a conta, os registros ligados à sua conta e ao seu endereço são apagados na hora; resta apenas o do e-mail que confirma a exclusão, guardado pelo hash do endereço, que expira após 90 dias.

Lista das cartas semanais: sua entrada fica guardada até você pedir que a apaguemos. Cancelar a inscrição — pelo link de um clique no fim de cada carta ou excluindo a conta — tira seu endereço da lista na hora; a entrada continua guardada, marcada como cancelada, até você escrever para support@lunarcana.app.

Primeiras leituras como visitante: guardadas sem prazo, sem nome nem endereço de e-mail, como dados anônimos para analisar que perguntas as pessoas trazem e como as interpretações as respondem. O hash do IP é apagado quando a leitura completa 30 dias (em lotes, à medida que novas leituras de visitante são iniciadas); a partir daí ela não pode mais ser levada para uma conta. Se você a levou para a sua conta, excluir a conta desfaz apenas o vínculo entre você e o registro de visitante; a cópia na sua conta é apagada junto com ela.

Backups do banco de dados: retenção móvel de 30 dias.

Logs de servidor e de acesso: 30 dias.

Eventos de analítica: janela móvel de 12 meses.

Google Analytics: os dados de eventos no nível do usuário são mantidos por 2 meses; os relatórios agregados feitos a partir deles ficam guardados por mais tempo.

Registros de cobrança: após a exclusão da conta, a Dodo Payments os mantém pelo tempo exigido pelas suas obrigações fiscais e de auditoria (veja a política de privacidade dela).

Registros de reembolso: quando um pagamento é reembolsado ou contestado (chargeback), guardamos um registro (valor, moeda, data, motivo e o e-mail de cobrança, o ID do Google e os IDs de cliente / assinatura da Dodo Payments envolvidos). Ele não é apagado com a conta — apenas o vínculo com ela é desfeito — para que a trilha de auditoria se mantenha por sete anos.

Cloudflare (Estados Unidos, borda global): computação Workers, banco de dados D1, armazenamento de ativos R2. Todos os dados ativos residem aqui. O Cloudflare Email Service entrega nossos e-mails automáticos, como os códigos de login, os avisos de conta e de assinatura, as cartas semanais e os e-mails de marketing (repassamos seu endereço e a mensagem já renderizada); o Cloudflare Email Routing encaminha para a caixa de correio de quem mantém o Lunarcana o que chega a support@ e lunaris@lunarcana.app; e o Cloudflare Turnstile faz a verificação humana antes do envio de um código e antes de sortear as cartas de uma primeira leitura como visitante.

Google (Estados Unidos): login OAuth; recebemos seu e-mail, nome, avatar e subject ID, nada além disso. À parte, a caixa de correio de quem mantém o Lunarcana, para onde são encaminhadas as mensagens enviadas a support@ e lunaris@lunarcana.app, fica hospedada no Gmail.

DeepSeek (Singapura / China): provedor de interpretação por IA. Enviamos as cartas sorteadas, o tipo de tiragem, a pergunta, o idioma e, opcionalmente, o contexto astrológico. Num diálogo — incluindo as perguntas de continuação de um visitante — enviamos também a interpretação da leitura, a síntese que o leitor escreveu por último (nunca as edições que você fizer nela), as mensagens mais recentes do diálogo e a sua nova mensagem, para que ele escreva a resposta e a síntese. Nunca enviamos seu e-mail, seu nome ou seu histórico.

Resend (Estados Unidos): apenas o e-mail de lembrete da carta do dia, enviado se você definir um horário de lembrete de leitura em Perfil. Repassamos o seu endereço de e-mail e a mensagem já renderizada. E-mails de marketing e cartas semanais não passam pelo Resend.

Relays de Web Push (Apple Push Notification service / Firebase Cloud Messaging / Mozilla Push Service): usados somente se você tiver aceitado receber notificações push. Enviamos a carga da notificação à URL de endpoint emitida pelo seu navegador; o relay a encaminha ao seu dispositivo.

PostHog (Estados Unidos, com região UE disponível): analítica de produto. Enquanto você estiver conectado, enviamos um ID de conta pseudonimizado (um identificador aleatório, não o seu nome nem o seu e-mail) e o sigilo que você escolheu. Também enviamos os nomes dos eventos com seus detalhes (contagens, configurações e IDs, como a tiragem ou a carta envolvida), incluindo os botões e links em que você clica, mas não o texto deles; os endereços das páginas que você visita e da página de origem, sem a pergunta; o tipo de dispositivo, sistema operacional e navegador, com o tamanho de tela, o idioma e o fuso horário; e o seu endereço IP, a partir do qual o PostHog estima uma localização aproximada. As gravações de sessão registram o layout da página, a rolagem e os cliques, com todo o texto e os campos de formulário mascarados. Não enviamos o texto da pergunta nem a prosa da interpretação.

Google Analytics (Google LLC, Estados Unidos): analítica agregada do site, ou seja, páginas visitadas, tipo de dispositivo e de navegador, localização aproximada, site de origem e alguns eventos de produto (pagamento iniciado, pagamento concluído, leitura concluída). Nunca enviamos a ele um ID de usuário, seu e-mail, sua pergunta nem a interpretação. Google Signals e os recursos de publicidade estão desativados.

Dodo Payments (vendedora de registro): nossa revendedora on-line das assinaturas pagas, identificada na página de pagamento e no seu recibo. Cuida do processamento de cartões e da conformidade tributária como controladora independente dos dados pessoais que coleta diretamente de você no pagamento, nos termos da sua própria política de privacidade (https://dodopayments.com/legal/privacy-policy); recebemos apenas os seus IDs abstratos de cliente / assinatura. Transferências para fora do EEE, quando aplicáveis, ocorrem sob as Cláusulas Contratuais Padrão da UE.

authjs.session-token (desenvolvimento) / __Secure-authjs.session-token (produção): sessão do Auth.js v5, httpOnly, sameSite=lax, indispensável para o login.

NEXT_LOCALE: o idioma que você escolheu.

lunarcana-ref: portador do código de convite; expira após o resgate.

lunarcana-guest: definido quando as cartas de uma primeira leitura como visitante são sorteadas; guarda o identificador da leitura com uma assinatura, para que este navegador possa voltar a ela e ficar com ela depois de entrar na conta. httpOnly; expira em 30 dias e é removido quando você leva a leitura para a sua conta depois de entrar, ou quando uma tentativa de levá-la constata que ela expirou.

lunarcana:tz: seu fuso horário (um nome IANA como America/Sao_Paulo), gravado quando você tira a carta do dia para que as páginas diárias saibam a sua data local; expira em um ano.

PostHog distinct_id: identificador de analítica próprio; é definido apenas quando NEXT_PUBLIC_POSTHOG_KEY está configurado.

_ga e _ga_<container-id>: cookies de analítica próprios, definidos pelo Google Analytics, com duração de até 2 anos. Não são gravados para visitantes do EEE, do Reino Unido e da Suíça: lá, o Google Analytics funciona no modo de consentimento (Consent Mode) com o armazenamento de analítica negado e envia apenas pings anônimos, sem cookies.

Não gravamos cookies publicitários de terceiros e não participamos de rastreamento comportamental entre sites.

Armazenamento local: preferências não sensíveis do cliente que permanecem no dispositivo e nunca são enviadas aos nossos servidores — trilha ambiente e volume, estado de silêncio, dispensa do aviso de instalação, contador diário de meditação. Limpar os dados do site remove esses valores.

A Lunarcana é hospedada na rede global da Cloudflare; seus dados podem ser tratados em regiões distintas do seu país de residência, inclusive nos Estados Unidos. As transferências originadas na UE, no Reino Unido ou na Suíça são regidas, quando cabível, pelas Cláusulas Contratuais Padrão (SCC). Transferências internacionais de dados pessoais coletados no Brasil observam os arts. 33 a 36 da LGPD e, quando cabível, cláusulas contratuais específicas.

A edição China (quando lançada) roda sobre a Aliyun dentro da China Continental e não replica dados para fora da região. A transferência transfronteiriça dos dados coletados pela edição China fica sujeita a um fluxo de consentimento próprio.

Sujeitos aos direitos de acesso, correção, exclusão, portabilidade, anonimização, informação sobre uso compartilhado e revogação do consentimento previstos no art. 18 da LGPD e em normas equivalentes: escreva para support@lunarcana.app ou use Perfil → Excluir grimório, no exercício do seu direito, para uma exclusão imediata em cascata de todas as tabelas vinculadas ao usuário — user / account / session / reading / readingInterpretation / savedCard / userPreference / subscription / dailyDraw / userChallenge / userAchievement / pushSubscription / referralCode / referralRedemption / usageMonthly / credit_lot / credit_spend / email_send / readingSharePreview / readingShareText / reading_check_in / conversation / conversation_message / conversation_cleared_turn / quiz_progress / guide_read / draw_charge. A exclusão ocorre em uma única transação e é irreversível.

Revogar o consentimento: ative ou desative astrologia, push, e-mail de marketing, e-mail de carta do dia e síntese de voz em Perfil a qualquer momento. O e-mail de marketing fica desligado até você ligá-lo, e todo e-mail de marketing e toda carta semanal terminam com um link para cancelar a inscrição com um clique.

Opor-se ao tratamento ou restringi-lo: escreva para nós.

Apresentar reclamação: à Autoridade Nacional de Proteção de Dados (ANPD) no Brasil, ou à sua autoridade local de proteção de dados (EEE — autoridade de supervisão; Reino Unido — ICO; Califórnia — Attorney General; China — CAC).

Califórnia (CCPA / CPRA): não vendemos nem compartilhamos informações pessoais para publicidade comportamental entre contextos. Por isso não é exigido um link “Do Not Sell or Share”, mas você pode exercer normalmente os direitos acima.

China (PIPL): você pode solicitar uma cópia dos seus dados pessoais e uma explicação do tratamento; pode revogar o consentimento a qualquer momento.

A Lunarcana não é dirigida a menores de 13 anos (menores de 16 na UE). Se soubermos que coletamos por engano dados pessoais de um usuário nessa faixa etária, faremos a exclusão sem demora.

Mudanças substanciais são anunciadas no site com pelo menos 14 dias de antecedência antes de entrarem em vigor. A linha “Última atualização” no topo desta página é a referência oficial.

Em trânsito: TLS 1.3 entre o seu navegador, a borda da Cloudflare e cada suboperador que acionamos. Os cookies de autenticação são httpOnly e sameSite=lax; os tokens de sessão são valores opacos e aleatórios emitidos pelo Auth.js v5, guardados no nosso banco de dados apenas como referências.

Em repouso: nossa base D1 na Cloudflare é criptografada pela criptografia de disco gerenciada pela Cloudflare. Não armazenamos o seu número de cartão, validade, CVV nem qualquer instrumento de pagamento — apenas os IDs abstratos de cliente / assinatura emitidos pela Dodo Payments.

Controles de acesso: o acesso administrativo à base de produção é restrito à conta Cloudflare do mantenedor, autenticada por chave de hardware. Não operamos uma ferramenta interna de atendimento com leitura irrestrita sobre as linhas dos usuários.

Comunicação de incidentes: caso ocorra um incidente de segurança envolvendo dados pessoais que possa acarretar risco relevante aos seus direitos, notificaremos a autoridade competente — a ANPD no Brasil ou a autoridade de supervisão aplicável — dentro do prazo previsto em lei e, sem demora injustificada, contataremos os usuários afetados pelo e-mail cadastrado, em linha com o art. 48 da LGPD, os arts. 33-34 do GDPR e normas equivalentes.

As interpretações de tarô geradas pela IA são produzidas sob demanda a partir das cartas que você sorteia e da pergunta que faz, por meio de um modelo de linguagem de terceiros. Elas são pensadas para reflexão, escrita introspectiva e prática contemplativa. Nada relativo à sua conta, à sua elegibilidade, aos preços ou ao nível de serviço é decidido pela IA.

Não realizamos decisões individuais automatizadas (incluindo definição de perfil) que produzam efeitos jurídicos ou que afetem você de modo significativo similar, nos termos do art. 20 da LGPD e do art. 22 do GDPR.