Política de Privacidade
Controladora: ECOMILHAS TECNOLOGIA LTDA (“ECOMILHAS”), CNPJ nº 46.740.714/0001-37, com sede na Alameda Vicente Pinzon, nº 54, Vila Olímpia, CEP 04547-130, São Paulo/SP, Brasil.
Encarregado / DPO: contact@ecomiles.app
Versão 3.0 — vigente a partir de 4 de julho de 2026.
Esta Política de Privacidade descreve como a ECOMILHAS coleta, usa, compartilha, transfere, armazena e protege dados pessoais no aplicativo Ecomilhas, no painel business.ecomiles.app, nos sites ecomilhas.app / ecomiles.app e em quaisquer portais, APIs e formulários relacionados (os “Serviços”). Foi elaborada para atender à Lei nº 13.709/2018 (LGPD) e, quando aplicável a titulares em outras regiões, ao Regulamento (UE) 2016/679 (GDPR), ao UK GDPR, à APPI (Japão), ao CCPA/CPRA (Califórnia) e às demais leis de proteção de dados aplicáveis. Direitos específicos por região constam da seção “Direitos regionais adicionais”.
Ao utilizar os Serviços, o titular declara ter lido e compreendido esta Política. Quando a base legal aplicável for o consentimento, este será coletado de forma destacada e poderá ser revogado a qualquer momento.
1. Definições
Adotam-se as definições da LGPD e do GDPR, incluindo: dado pessoal, dado pessoal sensível, titular, tratamento, controlador, operador/processador, encarregado/DPO, anonimização, consentimento, transferência internacional e autoridade de proteção de dados (no Brasil, a ANPD). Termos não definidos aqui têm o significado atribuído pela legislação aplicável.
2. Dados que coletamos
Coletamos apenas os dados necessários às finalidades descritas nesta Política:
- Dados de cadastro e identificação: nome, sobrenome, e-mail, CPF (ou documento equivalente no país do titular), senha (armazenada de forma criptografada) e, quando aplicável, telefone.
- Dados de login social: ao autenticar via Strava, Google, Apple ou Facebook, recebemos identificadores e dados básicos de perfil autorizados por você nessas plataformas.
- Dados de geolocalização — coleta em segundo plano: o aplicativo Ecomilhas coleta dados de localização precisos, inclusive em segundo plano (com o app fechado), com o objetivo de rastrear, registrar e validar os trajetos realizados por meio dos modais de transporte autodeclarados por você, gerando evidência do deslocamento. A coleta em segundo plano depende de permissão expressa concedida no dispositivo e pode ser desativada a qualquer momento nas configurações do sistema — o que impedirá a validação de trajetos e a geração de ecomilhas.
- Dados de trajeto e uso: rotas, distâncias, modal declarado, horários, ecomilhas acumuladas, resgates e histórico de atividade.
- Dados de pagamento e recompensa: chave PIX, dados necessários à emissão e uso do cartão pré-pago Mastercard e informações de assinatura Green Card. Dados completos de cartão são processados por instituições de pagamento parceiras, não sendo armazenados integralmente pela ECOMILHAS.
- Dados fornecidos por empresas (programa B2B/ESG): quando você participa por meio de seu empregador ou empresa parceira, podemos receber dados de identificação e vínculo para habilitar benefícios e relatórios ESG.
- Dados coletados automaticamente: identificadores de dispositivo, endereço IP, sistema operacional, dados de navegação, cookies e tecnologias similares (ver Política de Cookies).
Não coletamos intencionalmente dados pessoais sensíveis. Caso a validação de trajeto envolva inferências de mobilidade, estas são usadas exclusivamente para as finalidades desta Política.
3. Finalidades e bases legais
Tratamos dados pessoais para as finalidades abaixo, com as respectivas bases legais da LGPD (e, para titulares na UE/EEE e Reino Unido, do art. 6 do GDPR):
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e gerenciar a conta e autenticar o usuário | Execução de contrato (art. 7º, V) |
| Rastrear e validar trajetos e creditar ecomilhas | Execução de contrato (art. 7º, V) |
| Coleta de geolocalização em segundo plano | Consentimento (art. 7º, I) |
| Processar resgates, PIX e cartão Mastercard | Execução de contrato e obrigação legal (art. 7º, V e II) |
| Prevenir fraudes, abusos e validar integridade dos trajetos | Legítimo interesse (art. 7º, IX) |
| Cumprir obrigações legais, fiscais e regulatórias | Obrigação legal (art. 7º, II) |
| Gerar relatórios e créditos de carbono para clientes B2B | Execução de contrato e legítimo interesse (art. 7º, V e IX) |
| Enviar comunicações de marketing | Consentimento (art. 7º, I) |
| Exercer direitos em processo judicial, administrativo ou arbitral | Art. 7º, VI |
| Segurança da informação e melhoria dos Serviços | Legítimo interesse (art. 7º, IX) |
Quando nos baseamos em legítimo interesse, realizamos teste de proporcionalidade e o titular pode se opor conforme a seção 8.
4. Decisões automatizadas
A aprovação ou reprovação de trajetos é feita, em parte, por algoritmos que avaliam critérios de velocidade, distância e coerência da rota com o modal declarado. Trata-se de tratamento automatizado que pode afetar o crédito de ecomilhas. Você tem direito de solicitar revisão dessas decisões e informações sobre os critérios aplicados, nos termos do art. 20 da LGPD (e do art. 22 do GDPR, quando aplicável), pelos canais da seção 8.
5. Compartilhamento de dados
Compartilhamos dados pessoais apenas na medida necessária e com salvaguardas contratuais, com as seguintes categorias de destinatários:
- Operadores/processadores: provedores de nuvem e hospedagem, processadores de pagamento e emissores do cartão Mastercard, provedores de PIX, ferramentas de analytics, comunicação e segurança.
- Parceiros de programa: empresas contratantes do programa B2B/ESG (quanto a seus próprios colaboradores) e lojas parceiras de recompensas.
- Auditoria e verificação: auditores independentes (por exemplo, KPMG) e registros de crédito de carbono (Verra/MDL/GS), com dados minimizados ou agregados sempre que possível.
- Autoridades e assessores: autoridades públicas, judiciais e reguladoras, bem como advogados e contadores, quando exigido por lei ou para exercício de direitos.
- Operações societárias: em fusão, aquisição ou reorganização, mediante compromissos de confidencialidade e continuidade desta Política.
Não vendemos dados pessoais. Exigimos que todos os operadores tratem os dados apenas segundo nossas instruções e em conformidade com a legislação aplicável, por meio de contrato de tratamento de dados (DPA).
6. Transferência internacional de dados
Os Serviços são operados a partir do Brasil e podem envolver transferência de dados para outros países (por exemplo, provedores de nuvem). Nessas hipóteses adotamos ao menos uma salvaguarda: (i) transferência para país com nível adequado de proteção; (ii) cláusulas contratuais padrão (incluindo as Standard Contractual Contractual Clauses da UE e o International Data Transfer Agreement do Reino Unido, quando aplicáveis); ou (iii) outra base autorizada pela ANPD e demais autoridades competentes. Cópia das salvaguardas pode ser solicitada pelos canais da seção 8.
7. Retenção e eliminação
Retemos dados pessoais apenas pelo tempo necessário às finalidades ou ao cumprimento de obrigações legais. Referência de prazos:
| Categoria | Prazo de referência |
|---|---|
| Dados de conta ativa | Enquanto a conta existir |
| Dados de trajeto e ecomilhas | Enquanto a conta existir + até 5 anos |
| Registros de acesso a aplicação (Marco Civil) | 6 meses (mínimo legal) |
| Dados fiscais e de pagamento | Até 5 anos após a operação |
| Dados de marketing | Até a revogação do consentimento |
Encerrado o prazo ou atendida solicitação válida de eliminação, os dados são apagados ou anonimizados de forma segura, ressalvadas as hipóteses de guarda obrigatória.
8. Direitos do titular e como exercê-los
Asseguramos, conforme a legislação aplicável: confirmação de tratamento; acesso; correção; anonimização, bloqueio ou eliminação; portabilidade; informação sobre compartilhamentos; informação sobre a possibilidade de não consentir; revogação do consentimento; oposição; e revisão de decisões automatizadas.
Para exercer seus direitos, contate contact@ecomiles.app. Poderemos solicitar informações para confirmar sua identidade. Responderemos no menor prazo possível e, no máximo, nos prazos previstos em lei. A solicitação poderá ser recusada de forma justificada quando houver fundamento legal (por exemplo, guarda obrigatória de dados). A exclusão de dados essenciais poderá implicar o encerramento da relação contratual.
Caso não fiquemos de acordo, o titular pode reclamar à autoridade competente — no Brasil, a ANPD (www.gov.br/anpd).
9. Segurança da informação
Adotamos medidas técnicas e organizacionais compatíveis com o estado da técnica, incluindo criptografia em trânsito e em repouso, controle de acesso baseado em necessidade, segregação de ambientes, registro de logs, avaliação de fornecedores e programa interno de governança e privacidade. Nenhum sistema é totalmente imune; havendo incidente de segurança relevante, comunicaremos a ANPD e os titulares afetados sem demora injustificada, nos termos da lei, e adotaremos medidas de mitigação. Para titulares sob GDPR/UK GDPR, notificações à autoridade ocorrem, quando exigível, em até 72 horas.
10. Cookies e marketing
O uso de cookies e tecnologias similares é descrito na Política de Cookies. Comunicações de marketing dependem de consentimento (opt-in) e podem ser canceladas a qualquer momento pelo link de descadastro (opt-out) ou pelos canais de contato.
11. Crianças e adolescentes
Os Serviços destinam-se a maiores de 18 anos. Não coletamos intencionalmente dados de menores sem o consentimento específico e destacado de um dos pais ou responsável legal. Identificado tratamento indevido, os dados serão eliminados.
12. Direitos regionais adicionais
Além dos direitos acima, aplicam-se, conforme a localização do titular:
- Brasil (LGPD): direitos e canais indicados nesta Política; autoridade: ANPD.
- UE/EEE (GDPR) e Reino Unido (UK GDPR): direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição; direito de reclamar à autoridade de controle local; transferências protegidas por SCC/IDTA. A ECOMILHAS indicará representante na UE e no Reino Unido quando exigido pelo art. 27 do GDPR/UK GDPR.
- Japão (APPI): direitos de divulgação, correção e suspensão de uso; identificação da finalidade de utilização; regras específicas para transferência a terceiros no exterior.
- Califórnia/EUA (CCPA/CPRA): direitos de saber, acessar, corrigir, excluir e limitar o uso de informações pessoais sensíveis, e de não sofrer discriminação por exercê-los. A ECOMILHAS não vende informações pessoais.
- Demais países da América Latina: direitos equivalentes previstos nas leis locais de proteção de dados.
13. Alterações
Podemos atualizar esta Política a qualquer tempo para refletir mudanças legais, regulatórias ou nos Serviços. A versão vigente é sempre a publicada nos nossos canais oficiais, com indicação de data. Alterações relevantes serão comunicadas. O uso continuado após a vigência representa ciência da versão atualizada.
14. Lei aplicável
Esta Política é regida pela legislação brasileira, sem prejuízo da aplicação das normas imperativas de proteção de dados e de defesa do consumidor do país de residência do titular. Fica eleito o foro da Comarca de São Paulo/SP para dirimir controvérsias, ressalvado o foro que a lei local do titular considerar obrigatório.
Documentos relacionados: Termos Gerais de Uso · Política de Cookies · Acordo de Tratamento de Dados (DPA) para clientes corporativos.