Documento oficial

Política de Privacidade

Última atualização: 25/09/2026 · versão 4

1. Quem é o controlador

A Equipe RofSom, que opera o RofSom App (rofsom.app.br), é a controladora dos dados descritos aqui, na forma da Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

Canal do encarregado (DPO) e de qualquer pedido sobre dados: rofsom.app.br/suporte, na categoria Meus dados pessoais (LGPD). Funciona sem conta, cada pedido recebe um código e a resposta fica registrada com data — o que também é a nossa prova de que respondemos no prazo. Respondemos em até 15 dias.

2. Que dados tratamos, para quê e por quanto tempo

Antes da tabela, o que é hospedado aqui. Boa parte do que aparece nas páginas não fica nos nossos servidores: vídeo do YouTube e do Instagram, feed e posts das redes tocam e aparecem na rede de origem, e o que guardamos é o endereço (e, no caso do feed, uma miniatura). Ficam hospedados aqui a foto de perfil, capa e acervo, a música enviada para a rádio do expositor, a gravação da transmissão ao vivo (72 horas), o documento de identidade da verificação (30 dias) e o .zip da cópia pedida pelo expositor (7 dias). Arquivo que sobe nasce com nome sorteado e é entregue por rota com conferência, nunca por endereço adivinhável.

3. Avisos por e-mail e no celular

O fã escolhe, por artista e por tipo, o que quer receber: entrada ao vivo, novos shows, lançamentos ou outras novidades. Cada tipo é uma permissão separada e nada sai sem ela — consentimento presumido não é consentimento.

Todo e-mail traz, no rodapé, um link que abre as preferências e permite sair da lista sem senha: exigir login para descadastrar é o mesmo que não oferecer a saída.

O aviso na tela do celular (push) depende de duas permissões: a que o navegador pede e a que você marca aqui. Desligar qualquer uma das duas interrompe o envio.

4. A lista de fãs é do artista

Quem segue um artista está entregando o contato àquele artista, e ele pode exportar a própria lista em planilha, a qualquer momento, pelo painel. Ao fazer isso, ele passa a ser controlador desses dados fora daqui e assume as obrigações da LGPD sobre esse uso — inclusive a de não usar a lista para o que o fã não consentiu.

A exportação acontece em Minha cópia, no painel: um .zip com a planilha de fãs e o resto do material dele. A importação desse mesmo arquivo não recoloca fã nenhum na lista — quem seguiu tomou uma decisão, e um arquivo não pode tomá-la de novo por ela.

A casa não usa a lista de um artista para falar de outro, e não vende, aluga nem cede lista a terceiros.

5. Com quem compartilhamos

• Mercado Pago (pagamentos): o necessário para gerar e conferir a cobrança.
• Servidor de e-mail: o endereço do destinatário e o conteúdo da mensagem.
• Melhor Envio e transportadora: nome, endereço e telefone, só quando há entrega.
• Meta/Instagram: apenas quando o expositor conecta a conta dele, e só o que a ação autorizada exige.
• Serviço de notificação do navegador (Google, Apple, Mozilla): o necessário para entregar o push.
• Autoridades: mediante requisição legal ou ordem judicial.

Não há publicidade comportamental, pixel de rede social nem venda de dados. Alguns desses fornecedores operam servidores fora do Brasil; a transferência internacional acontece nos termos dos arts. 33 e seguintes da LGPD.

6. Cookies

Usamos cookies estritamente necessários: os quatro de sessão (expositor, produtora, fã e equipe), o do carrinho da lojinha e o que carrega o recado de uma tela para a próxima. Não há cookie de publicidade nem de rastreamento de terceiros — por isso não existe aqui aquele banner que persegue quem só quer ler a página.

A escolha de tema (claro/escuro) fica no seu aparelho, no armazenamento local, e não é enviada a lugar nenhum.

7. Crianças e adolescentes

O serviço não é dirigido a menores de 13 anos. Página de expositor menor de 18 anos só existe com responsável legal identificado, e isso é conferido antes de a conta nascer: a casa exige o documento com foto dele, o comprovante do vínculo com aquele menor (certidão de nascimento, termo de guarda ou tutela), os dados de contato e o aceite de um termo próprio, com data e IP. A titularidade da conta, a senha e a responsabilidade pelo que for publicado são dele.

O tratamento dos dados do menor se dá no melhor interesse dele e com o consentimento específico do responsável (art. 14 da LGPD), e o responsável pode pedir a qualquer momento acesso, correção ou exclusão pelo suporte. Se soubermos de dado de criança tratado sem esse consentimento, apagamos.

8. Seus direitos

Você pode, a qualquer momento: confirmar se tratamos dados seus; acessá-los; corrigi-los; pedir anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo; pedir a portabilidade; saber com quem compartilhamos; revogar consentimento; e se opor a tratamento feito com base em legítimo interesse.

Peça em rofsom.app.br/suporte, categoria Meus dados pessoais (LGPD) — o chamado fica com data e código, que é a prova do pedido e da resposta para os dois lados. Para o expositor, a portabilidade já é um botão: “Minha cópia”, no painel, gera o .zip com tudo o que é dele sem precisar pedir a ninguém. Podemos pedir uma confirmação de identidade antes de responder — é o que impede alguém de pedir os seus dados no seu lugar. Alguns dados permanecem mesmo após o pedido de exclusão, quando há obrigação legal (fiscal e de registro de acesso) ou necessidade de defesa em processo.

Você também pode reclamar à ANPD (Autoridade Nacional de Proteção de Dados).

8.1. Dados vindos do Instagram — o que guardamos e como apagar

Quando um expositor conecta a conta profissional dele do Instagram, a casa passa a guardar apenas: o identificador e o @ da conta, o token de acesso (cifrado), o espelho dos últimos posts com uma miniatura de cada um, e o registro dos comentários que passaram pela automação — identificador, @ e texto de quem comentou. Não guardamos vídeo, mensagem privada nem a lista de seguidores de ninguém.

Como apagar tudo isso: o expositor entra em Painel → Instagram e clica em Desconectar. Na hora, e sem depender de ninguém, são apagados o token, o identificador da conta, o espelho dos posts, as miniaturas guardadas em disco e o registro de comentários; as publicações agendadas que ainda não saíram são canceladas. Permanecem apenas as regras de automação que o próprio expositor escreveu, que não contêm nada vindo do Instagram.

Se você não tem acesso ao painel — por exemplo, é uma pessoa que comentou no post de um artista e quer que o registro do seu comentário seja apagado — peça em rofsom.app.br/suporte, categoria Meus dados pessoais (LGPD). O chamado fica com data e código, e respondemos por ele.

9. Segurança

Senha forte é exigida de quem tem acesso ao sistema (mínimo de 12 caracteres, com maiúscula, minúscula, número e símbolo, e sem conter o próprio nome ou e-mail) — e a tela oferece uma sugestão pronta, porque régua sem ajuda produz a mesma senha fraca em todo mundo. Senhas são guardadas com hash (bcrypt), nunca em texto. Credenciais de integração e o token do Instagram ficam cifrados no banco. O site inteiro roda sobre HTTPS. Arquivos enviados nascem com nome sorteado e são servidos por rota com conferência de permissão — não por endereço adivinhável.

Em caso de incidente de segurança relevante, comunicamos os titulares afetados e a ANPD, na forma do art. 48 da LGPD.

10. Mudanças nesta política

Quando o serviço muda, esta política muda. Alterações relevantes são avisadas por e-mail e no painel, e a data no topo é sempre a real.

Este documento explica o tratamento de dados desta plataforma e cita a legislação aplicável, mas não substitui orientação jurídica.

Leia também os Termos de uso.