Política de privacidade

Versão 1.0 · em vigor desde 03/11/2026

1. Quem cuida dos seus dados

O controlador é Lucas Malaman de Oliveira, pessoa física, CPF 408.866.748-40. Para falar sobre os seus dados, use contato@toparremate.com.br ou o formulário «Fale conosco».

Não há encarregado de dados: o controlador é agente de pequeno porte, dispensado pela Resolução CD/ANPD 2/2022, art. 11, e este é o canal de comunicação com você (Resolução CD/ANPD 18/2024).

2. Quais dados, para quê e com que base legal

• Sua conta. Nome, e-mail e foto da sua conta Google, a data de criação e de onde a conta veio (um link de indicação ou de campanha, quando houver). Serve para você entrar e manter a conta. Base: execução do contrato.
• Aceites. As versões que você aceitou, a data e a hora, o endereço IP, se foi pelo site ou pelo app e a declaração de ter 18 anos. Serve para provar o que foi aceito. Base: execução do contrato e prova do aceite.
• Assinatura e cobranças. Plano, meio de pagamento, datas, valores, recibos, os identificadores do Mercado Pago e, do cartão, a bandeira e os 4 últimos dígitos, para o recibo. O CPF só passa pelo nosso servidor a caminho do Mercado Pago e fica aqui em forma irreversível (hash). O número do cartão não passa por nós. Serve para cobrar, emitir recibo e cumprir a lei. Base: execução do contrato e obrigação legal.
• Registro de uso. A cada pedido de dados: a conta, a data e a hora, o que foi pedido, quais lotes foram entregues, o país, se foi pelo site ou pelo app e o endereço IP em forma irreversível (hash com um sal trocado todo dia). O texto das buscas não entra neste registro. Serve para contar as cotas e prevenir fraude e cópia do acervo. Base: legítimo interesse.
• Buscas e salvos. O que você busca, as buscas salvas, os carros guardados e os leiloeiros seguidos. Serve para o serviço funcionar. Base: execução do contrato.
• Busca por IA, no plano Completo. A frase que você escreve vai ao provedor de IA para ser interpretada, sem o seu nome nem o seu e-mail. Base: execução do contrato.
• Identificadores antifraude. O id do aparelho (um código gerado no seu navegador ou no app) e os identificadores da assinatura (conta, CPF e cartão), sempre em hash. Servem para a devolução valer uma vez por pessoa e para prevenir fraude. Base: legítimo interesse.
• E-mails. O que enviamos a você, como recibos e avisos, e o registro de cada envio. Serve para avisar e provar o aviso. Base: execução do contrato.
• Newsletter. O e-mail e a prova do consentimento: a data e a hora, o IP em hash, o navegador e a versão desta política. Só se você se inscrever e confirmar. Base: consentimento, que você retira com um clique.
• «Fale conosco». Nome, e-mail, assunto, mensagem e o IP em hash. Serve para atender você. Base: execução do contrato, para quem assina, e legítimo interesse, para quem não assina.
• Medição de visitas. Contamos visitas com o Umami, no nosso servidor e sem cookie: a página, sem os parâmetros além dos de campanha, de onde a visita veio, os botões principais tocados, o navegador, o sistema, o tipo de aparelho, o tamanho da tela, o idioma e o país, o estado e a cidade aproximados. O IP é usado só no instante da contagem e não é guardado. Base: legítimo interesse.
• Log do servidor. Endereço IP em claro, data e hora, a página pedida, sem os parâmetros, e o navegador. Serve para a segurança do serviço. Base: legítimo interesse.
• Placa, chassi e Renavam dos lotes. Vêm de páginas públicas dos leiloeiros e só aparecem no detalhe do lote, para quem assina, para apurar débito e restrição antes do lance. Não cruzamos esses dados com nenhuma base externa para achar o dono do veículo. Base: legítimo interesse.

Não guardamos dado pessoal de licitante nem de arrematante, mesmo quando o site do leiloeiro o mostra.

3. Lista de fornecedores: com quem os dados são compartilhados

• Google: o login. Recebe a sua entrada e devolve nome, e-mail e foto.
• Serviço de identidade (auth.degracarecebestes.com.br): do mesmo controlador. Guarda o seu nome, e-mail e foto, as sessões abertas e quando você usou o TopArremate, e mantém a sessão num cookie do domínio degracarecebestes.com.br.
• Mercado Pago: a cobrança e a antifraude. O formulário de pagamento é dele: é ele quem recebe o cartão, e recebe também o seu e-mail e o CPF.
• Resend: o envio dos e-mails do sistema. Recebe o seu e-mail e o texto da mensagem, e guarda a lista da newsletter.
• Zoho: a caixa de e-mail do atendimento. Guarda o que você escreve para nós.
• Cloudflare: a proteção e a entrega do site. Vê o tráfego entre o seu aparelho e o nosso servidor.
• Anthropic: o provedor de IA da busca por IA. Recebe a frase que você escreveu e os dados dos lotes da busca.
• Integrator Host do Brasil, na rede da Leaseweb Canada: o servidor onde o TopArremate e os dados dele ficam.

Outros sites que o seu aparelho acessa

Nestes casos é o seu aparelho que fala direto com o site, e ele recebe o seu endereço IP como em qualquer visita. O que esse site faz depois está na política dele.

• OpenStreetMap: as imagens do mapa, no plano Completo.
• Sites dos leiloeiros: as fotos originais, no plano Completo, e o link do lote, se você o abrir.

A equipe do TopArremate

Quem opera o serviço vê, no painel, o e-mail, o plano, a assinatura e os pagamentos de cada conta, para atender e resolver problemas. O painel não mostra o que cada pessoa buscou.

4. Transferência internacional

O servidor do TopArremate fica no Canadá. Google, Cloudflare, Resend, Zoho e Anthropic também podem tratar dados fora do Brasil. Essas transferências seguem as hipóteses do art. 33 da LGPD.

5. Por quanto tempo guardamos

Se você excluir a conta, o dado pessoal é apagado em até 30 dias. Ficam só os registros de cobrança, os aceites, os identificadores antifraude em hash e os e-mails que já chegaram à caixa do atendimento, pelos prazos acima.

6. Seus direitos

A LGPD (art. 18) garante a você confirmar que tratamos seus dados, ter acesso a eles, corrigir, pedir a anonimização ou a eliminação, levar os dados a outro serviço, saber com quem os compartilhamos e retirar o consentimento.

Em Sua conta, você baixa uma cópia dos seus dados e exclui a conta sozinho. Para o resto, escreva para contato@toparremate.com.br. Respondemos em até 30 dias: os 15 dias da lei, em dobro para o agente de pequeno porte.

7. Cookies e armazenamento no aparelho

Não usamos cookie de publicidade nem de medição, e por isso não há banner de cookies. Os cookies abaixo são os necessários para entrar e manter a sessão:

• ta_sid: a sua sessão no site. Dura até 90 dias, ou 1 hora quando vem do app.
• ta_origem: marca a sessão aberta pelo app. Dura 1 hora.
• ta_login: o login em andamento. Dura 10 minutos.
• dgr_sid: a sessão no serviço de identidade, no domínio degracarecebestes.com.br. Dura até 30 dias.
• dgr_oauth_state: o login em andamento no serviço de identidade. Dura 10 minutos.

No seu aparelho, o site e o app guardam também:

• dgr:tema: o tema escolhido.
• ta_aparelho: o id do aparelho, para a antifraude.
• leiloes:buscas-recentes: as últimas buscas, para quando a conexão falhar.
• leiloes-wiki:notas: mostrar ou não as notas da página Como funciona.
• leiloes:app-auth-token:v1 e leiloes:app-auth-verifier:v1: a sessão no app Android e o login em andamento.
• leiloes:update-dismissed: o aviso de versão nova que você dispensou, até fechar o app.

A única exceção fica nas páginas de pagamento: nelas carregamos o script do Mercado Pago, que pode guardar identificadores próprios do aparelho, para a antifraude. Na tela de login do Google valem as regras do Google.

8. Segurança

O tráfego vai cifrado, os cookies de sessão não ficam ao alcance de scripts da página, e o que serve só para reconhecer alguém é guardado em hash. Fazemos cópia de segurança diária do banco. Nenhum sistema é à prova de falhas, e por isso a seção seguinte diz o que acontece se algo der errado.

9. Incidentes

Um incidente de segurança com dados pessoais é comunicado à ANPD e às pessoas afetadas em até 6 dias úteis: os 3 dias úteis da regra, em dobro para o agente de pequeno porte.

10. Menores de idade

O TopArremate é só para quem tem 18 anos ou mais.

11. Mudanças nesta política

Cada versão tem número e data, e as anteriores ficam disponíveis nesta página. Quando publicarmos uma versão nova, avisamos por e-mail quem assina.

12. Versão

Política de privacidade, versão 1.0, em vigor desde 03/11/2026.