1. Finalidade e interesse legítimo (art. 10, I)
Saber se os anúncios da Cuidari no Facebook e no Instagram trazem pessoas que se cadastram, ativam o produto e assinam, para (a) parar campanhas que não funcionam, (b) gastar menos por pessoa realmente ajudada e (c) manter o produto acessível. Sem esse retorno, a Meta não consegue atribuir nem otimizar a entrega e a Cuidari paga por cliques sem saber o que virou uso real. Trata-se de situação concreta, lícita e alinhada ao negócio, não de expectativa genérica.
2. Necessidade e minimização (art. 10, § 1º)
- Eventos: site —
PageView,ViewContent,Lead,CompleteRegistration(Pixel + API de Conversões, só com aceite no banner); app/servidor —LeadeCompleteRegistration(cadastro nascido no app),CuidariActivated(primeira jornada completa),InitiateCheckout,StartTrial,Subscribe,Purchase(inclusive renovação, marcada comosystem_generated). - Dados estritamente necessários: nome e data do evento; e-mail e telefone da conta em hash SHA-256 (irreversível; a Meta só reconhece quem já é usuário dela); identificador anônimo de origem (
external_id) quando a pessoa veio de um anúncio; emInitiateCheckout/Subscribe/Purchase, o valor e a moeda cobrados pela Cuidari e o identificador do plano (content_ids= tier) — é a receita da Cuidari, não um dado financeiro do titular; no site, cookies_fbp/_fbc. - Nunca enviados: contas a pagar, lançamentos, valores e categorias cadastrados pelo titular, documentos, extratos, mensagens, dados de Open Finance, dados de cartão, nome em claro, endereço IP do servidor como matcher de pessoa. Regra de engenharia:
custom_datasó recebe preço da assinatura, moeda e tier; qualquer campo novo passa por revisão desta LIA antes de sair. - Alternativas consideradas: (i) medir só na web pelo Pixel — deixa de fora quem se cadastra pelo app e não fecha o funil (cadastro → ativação → assinatura), que é justamente a pergunta; (ii) agregados sem identificador — a Meta não faz atribuição sem correspondência de pessoa; (iii) consentimento (opt-in) — testado de 07/09 a 08/09/2026: com o consentimento enterrado numa tela secundária, 0 de 81 contas registraram escolha e o sinal caiu a zero, o que não protege ninguém e inviabiliza a finalidade. O opt-out com transparência ativa é a alternativa menos invasiva que ainda atende à finalidade.
3. Expectativa legítima do titular (art. 10, II) e transparência (art. 9º)
- A pessoa chega à Cuidari por um anúncio ou por indicação e recebe a política de privacidade no cadastro (aceite obrigatório dos Termos e da Política no site; link no app).
- A política declara, em linguagem simples, o que é enviado, para quem, por quê, o padrão (ligado) e como desligar (seção 4.1). No app (a partir da 1.3.0), a tela Perfil → "Privacidade e dados" → "Dados de uso" mostra o item "Medição de desempenho" com explicação curta e, no rodapé, o link para a política (§4.1); nas versões anteriores não há o item, e a oposição é por e-mail ou pelo banner do site — janela declarada na política até o release.
- Prática de mercado amplamente conhecida (Pixel/CAPI); os dados vão hasheados, sem qualquer dado financeiro do titular (só o preço da assinatura da Cuidari) — a expectativa razoável de quem usa um app de contas é que as contas não saiam, e elas não saem.
4. Balanceamento (art. 10, § 2º) — riscos ao titular e salvaguardas
| risco | probabilidade / impacto | salvaguarda |
|---|---|---|
| Reidentificação pela Meta de quem já é usuário dela | alta / baixo (a Meta já conhece a pessoa; recebe só "essa pessoa se cadastrou/assinou") | hash SHA-256; sem dados financeiros do titular; sem dados sensíveis |
| Uso posterior pela Meta fora do combinado | baixa / médio | Termos das Ferramentas de Negócios da Meta; dataset restrito; token em cofre; nenhum custom_data com PII |
| Classificação do dataset como "categoria sensível" (app financeiro) pela Meta | baixa / alto (restrição do dataset sem aviso) | nada derivado das contas do titular sai; custom_data limitado a preço/moeda/tier da assinatura; conferência do Events Manager (Diagnostics) em D+1 e D+7 após cada mudança |
| Pessoa não queria ser medida | média / baixo | opt-out em 1 toque no app a partir da 1.3.0 (vale na hora, inclusive reenvios), no site (banner) e por e-mail (versões anteriores do app); escolha relida a cada envio |
| Menores | baixa / médio | produto 18+ (Termos); campanhas para públicos adultos. Não há verificação de idade: o controle real é a lista de exclusão do servidor (PEITHO_META_CAPI_EXCLUDED_USER_IDS) e a oposição; conta identificada como de menor é restringida e excluída (política §10) |
| Vazamento operacional (logs) | baixa / médio | logs sem e-mail/telefone em claro (só ids, contagens e fbtrace_id); alarme de DLQ; retenção de logs padrão |
| Efeito jurídico automatizado | nula | nenhuma decisão sobre a pessoa é tomada com esses dados |
Conclusão: o benefício (medir e otimizar um gasto essencial ao produto) supera um risco residual baixo para o titular, dadas as salvaguardas e a oposição fácil e imediata.
5. Direitos do titular (art. 18)
Confirmação, acesso, oposição (art. 18, § 2º) e revogação a qualquer momento: app (Perfil → Privacidade e dados), site (banner "Preferências de privacidade") ou privacidade@cuidari.com. A oposição é registrada como cuidari.consent.advertising = false e vale para todo envio e reenvio futuro (prospectiva: não apaga o que a Meta já recebeu; o titular pode revisar/desconectar em "Atividade fora das tecnologias da Meta" e a Cuidari o orienta por e-mail — art. 18, § 6º, atendido pela informação na política e pelo canal). Na exclusão da conta, o pipeline LGPD apaga a linha de origem (peitho) e a identidade (Cerberus); sem e-mail e sem linha não há matcher e nada mais é enviado (reenvios em voo expiram em até 6 h). Titulares que se opõem não são tratados de forma diferente no produto.
Trilha de accountability (art. 37): o item do Proteus guarda value, updated_at e updated_by (quem e quando); o app emite o evento de preferência alterada para o lake (Echo); a versão da política vigente na data está nesta LIA e no cabeçalho da política. Paridade com a web (version + decided_at gravados junto da escolha) é melhoria registrada, não implementada.
6. Transferência internacional (art. 33)
A Meta processa os dados em suas infraestruturas (inclusive fora do Brasil) sob os Termos das Ferramentas de Negócios da Meta e as cláusulas aplicáveis; a infraestrutura da Cuidari fica na AWS us-east-1 (Estados Unidos), como já declarado na política (seção 8).
7. Retenção
Registro de oposição: enquanto a conta existir. Cookies web: até 90 dias. Logs de envio: retenção padrão do CloudWatch do serviço. Na Meta: conforme os termos dela (correspondência e uso posterior na plataforma).
8. Responsáveis e revisão
Decisão: dono do produto (2026-09-08). Elaboração: equipe Cuidari. Revisão semestral ou a cada mudança de escopo. Histórico: v1 (2026-09-08) — primeira versão, após a tentativa de opt-in de 07–08/09 ter zerado o sinal sem registrar nenhuma escolha.