Última atualização: 20 de maio de 2026
Esta Política de Privacidade descreve como Thiago Brito ("nós", "nosso") coleta, utiliza, armazena e protege as informações pessoais dos usuários ("você") que acessam o site thidebrito.com.br, a página de vendas do produto "Do Riff ao Release" e o aplicativo web (PWA) associado.
Ao utilizar nossos serviços, você concorda com as práticas descritas nesta política.
Coletamos os seguintes tipos de informações:
Utilizamos:
_fbc (Facebook Click ID): capturado da URL quando o visitante chega via anúncio Meta, usado para atribuição de campanha. Em usuários EU/UK, só é definido após aceitar o banner de cookies.default=denied até o usuário consentir.cookie_consent) diretamente no seu dispositivo, sem envio a servidores.Além do Meta Pixel client-side, enviamos eventos de conversão diretamente do nosso servidor para a Meta via Conversions API (CAPI). Estes eventos cobrem:
event_id do pixel client-side).Os eventos enviados via CAPI são deduplicados pela Meta usando event_id compartilhado com o pixel client-side, evitando contagem dupla. Para usuários EU/UK, o evento Purchase via CAPI ocorre após conclusão de uma transação — fundamenta-se em execução de contrato (Art. 6(1)(b) do GDPR/RGPD) e interesse legítimo (Art. 6(1)(f)) para mensuração da campanha que originou a venda. Os demais eventos via CAPI dependem de consentimento explícito.
Persistência server-side de identificadores de atribuição: quando você é capturado como lead (preenchendo formulário do quiz ou de captura), armazenamos no nosso banco de dados (Supabase) os identificadores técnicos de atribuição associados à sua sessão — especificamente os cookies _fbc (Facebook Click ID) e _fbp (Facebook Browser ID), seu endereço IP e seu User-Agent — exclusivamente para correlacionar uma eventual compra posterior com a campanha publicitária que originou o seu lead. Em usuários EU/UK, os cookies _fbc/_fbp só existem após aceitação do banner de cookies (consentimento Art. 6(1)(a) GDPR); IP e User-Agent são processados sob interesse legítimo (Art. 6(1)(f)) para medição publicitária e prevenção de fraude. Estes campos são armazenados pelo prazo definido na secção 7 e podem ser removidos a qualquer momento mediante pedido (ver secção 8).
Inferência de país (country) a partir da URL: quando os parâmetros de país (cookie do navegador ou cabeçalho de geolocalização do servidor) não estão disponíveis, inferimos o país associado ao evento a partir da URL da página visitada (ex.: /releaseeu → Portugal, /releaseen → Reino Unido, /release → Brasil). Esse dado é genérico e não-identificador — apenas indica o público da página visitada — e é utilizado para enriquecer eventos enviados via CAPI à Meta, melhorando a correspondência de campanhas publicitárias sob a base legal de interesse legítimo (Art. 6(1)(f) GDPR / Art. 7(IX) LGPD).
Inferência de gênero a partir do primeiro nome: quando você nos fornece o seu nome (formulário de captura, quiz), o primeiro nome é enviado em formato pseudonimizado ao serviço genderize.io que infere estatisticamente o gênero provável ('m' ou 'f') associado àquele nome. O resultado é cacheado no nosso banco de dados, transformado em hash SHA-256 e enriquece eventos enviados via CAPI à Meta sob o campo padrão ge. Esta inferência é probabilística (não-determinística) e tem propósito exclusivo de melhorar a correspondência de campanhas publicitárias. Em usuários EU/UK, esta inferência ocorre apenas após o consentimento explícito do banner de cookies (Art. 6(1)(a) GDPR); a base legal é consentimento. Você pode solicitar a remoção desta inferência cacheada a qualquer momento (ver secção 8).
Localização aproximada via endereço IP: quando você é capturado como lead (formulário do quiz/captura), o seu endereço IP é enviado em formato pseudonimizado ao serviço ipinfo.io para obtenção de cidade, estado/região e código postal aproximados (precisão tipicamente em nível de cidade, não-identificador individual). O resultado é cacheado no nosso banco de dados (24h em cache Redis quente, permanente em release_leads), transformado em hash SHA-256 e enriquece eventos enviados via CAPI à Meta sob os campos padrão ct, st, zp. Em usuários EU/UK, esta inferência ocorre apenas após o consentimento explícito do banner de cookies (Art. 6(1)(a) GDPR); a base legal é consentimento. Você pode solicitar a remoção desta inferência cacheada a qualquer momento (ver secção 8).
Correlação de eventos por identificadores Meta (server-side lookup): em eventos disparados em páginas de aterragem sem formulário (ex.: visualização de uma LP via clique num anúncio), quando o seu navegador envia os identificadores Meta _fbp/_fbc mas não os seus dados de Advanced Matching (email, telefone, etc.), o nosso servidor verifica no nosso banco de dados se existe um lead anterior associado àqueles identificadores. Se houver correspondência, os dados pseudonimizados (hashes SHA-256) já armazenados desse lead são utilizados para enriquecer o evento enviado via CAPI à Meta, melhorando a correspondência de campanhas. Esta correlação só ocorre se você já forneceu os seus dados anteriormente como lead e consentiu (em EU/UK) ou aceitou os termos (em BR), sob a base legal de consentimento (Art. 6(1)(a) GDPR) ou interesse legítimo em medição publicitária (Art. 6(1)(f) GDPR / Art. 7(IX) LGPD).
Eventos disparados pela Hotmart: além dos nossos eventos próprios, a plataforma Hotmart (responsável pelo checkout e processamento de pagamentos) também dispara eventos InitiateCheckout, Purchase e PaymentGenerated diretamente para o mesmo pixel da Meta — tanto via browser pixel quanto via Conversions API da Hotmart — quando você acessa o checkout em pay.hotmart.com. Esses eventos são processados sob a Política de Privacidade da Hotmart e seguem as bases legais ali declaradas.
Joint controllership com a Meta: nos termos da jurisprudência do Tribunal de Justiça da União Europeia (Acórdão Fashion ID C-40/17 e Wirtschaftsacademie C-210/16), Thiago Brito e a Meta Platforms Ireland Ltd. atuam como controladores conjuntos relativamente à coleta e transmissão de dados pessoais via pixel/CAPI para fins de medição publicitária. Cada parte responde pelas operações sob seu controle, conforme adenda de joint controllership aceita no Business Manager da Meta.
Para visitantes em jurisdições GDPR/UK GDPR/ePrivacy (Portugal, Reino Unido, Irlanda e demais Estados-Membros da UE), implementamos:
default=denied para ad_storage, analytics_storage, ad_user_data e ad_personalization — antes mesmo do carregamento de qualquer script de marketing.fbq('consent','revoke') — não envia eventos client-side até o usuário aceitar.localStorage.cookie_consent (com cookie de backup rtr_consent_cookie) por 365 dias. Após esse período o banner reaparece para nova escolha.cookie_consent. Na próxima visita o banner aparece novamente.Seus dados são armazenados em servidores seguros fornecidos por Supabase (infraestrutura na AWS), com criptografia em trânsito (HTTPS/TLS) e em repouso. Adotamos medidas técnicas e organizacionais adequadas para proteger contra acesso não autorizado, perda ou alteração.
Tokens de acesso (magic links) são de uso único e invalidados após o primeiro uso.
Não vendemos, alugamos ou compartilhamos seus dados pessoais com terceiros, exceto:
De acordo com a Lei Geral de Proteção de Dados (Lei 13.709/2018), você tem direito a:
Para exercer qualquer um desses direitos, entre em contato conosco pelo e-mail abaixo.
Se você reside na União Europeia, Reino Unido ou no Espaço Económico Europeu, aplicam-se o Regulamento Geral de Proteção de Dados (Regulamento (UE) 2016/679 — RGPD), o UK GDPR e a Directiva ePrivacy. As bases legais para o tratamento dos seus dados são:
Os seus direitos no âmbito do RGPD incluem:
Para exercer qualquer destes direitos, contacta-nos pelo e-mail na secção 11. Responderemos no prazo máximo de 30 dias (Art. 12(3) RGPD).
Transferências internacionais: os seus dados podem ser processados em servidores fora do EEE (ex: Vercel, Supabase, Meta, Microsoft) sob garantias contratuais adequadas (Standard Contractual Clauses aprovadas pela Comissão Europeia).
Seus dados serão mantidos pelo tempo necessário para cumprir as finalidades descritas nesta política, ou conforme exigido por lei. Dados de conta serão mantidos enquanto sua licença estiver ativa. Você pode solicitar a exclusão a qualquer momento.
Nossos serviços não são direcionados a menores de 18 anos. Não coletamos intencionalmente dados de menores. Caso identifiquemos dados de um menor, eles serão excluídos imediatamente.
Utilizamos a TikTok Content Posting API (oficial) exclusivamente para que o titular do site (Thiago Brito) publique seu próprio conteúdo (vídeos e carrosséis) na conta pessoal @thidebrito. Nenhum dado de visitantes deste site é enviado ao TikTok por meio desta integração.
user.info.basic, video.upload, video.publish, video.list — estritamente os necessários para agendar e publicar conteúdo próprio.O uso da TikTok API segue os Termos para Desenvolvedores do TikTok.
Podemos atualizar esta política periodicamente. Alterações significativas serão comunicadas por e-mail ou aviso no app. A data de atualização no topo desta página será sempre atualizada.
Para dúvidas, solicitações ou exercício de direitos relacionados a esta política: