Política de Privacidade
Última atualização: 30 de agosto de 2026
1. Quem é responsável pelos seus dados
Este site — matheusabrahao.com.br — é operado por Matheus Abrahão, engenheiro de software e especialista Shopify, pessoa física estabelecida em Atibaia, São Paulo, Brasil. Ele é o "controlador" nos termos da LGPD, o "controller" nos termos do GDPR e o "business" nos termos da CCPA/CPRA.
Não há encarregado (DPO) designado, porque o volume de dados pessoais tratado aqui não exige um. Todos os pedidos descritos abaixo chegam ao mesmo lugar: minha caixa de entrada.
2. Versão curta
Isto é um portfólio. Não vende nada, não tem cadastro de usuário, não tem banco de dados e não tem publicidade. Não faz perfilamento, não rastreia você entre sites e não vende nem compartilha seus dados com ninguém para fins de marketing.
O único dado pessoal que efetivamente fica comigo é o que você deliberadamente me envia — um e-mail ou uma mensagem de WhatsApp — somado aos logs de servidor que a hospedagem mantém para entregar a página até você.
3. O que é coletado quando você apenas navega
Nada que eu consiga ver ou usar. Não há ferramenta de analytics neste site: sem Google Analytics, sem Google Tag Manager, sem Meta Pixel, sem Vercel Analytics ou Speed Insights, sem mapa de calor, sem gravação de sessão, sem teste A/B. Eu não sei quantas pessoas acessam este site nem quais páginas elas leem.
Duas coisas acontecem automaticamente envolvendo o seu dispositivo, e você deve saber das duas:
- Logs de servidor. A Vercel, minha hospedagem, registra dados padrão de requisição (endereço IP, data e hora, URL solicitada, user agent, status da resposta) para entregar a página, manter a plataforma no ar e se defender de abusos. Esses logs ficam com a Vercel sob as regras de retenção dela; eu não exporto, não enriqueço e não analiso esses dados.
- Um recurso externo. A fonte de ícones usada para os logos de tecnologia é carregada da CDN jsDelivr (cdn.jsdelivr.net). Seu navegador, portanto, faz uma requisição à jsDelivr, que vê seu IP e seu user agent. A jsDelivr declara não usar cookies nem rastrear usuários. Nenhum outro recurso deste site vem de domínio de terceiro.
Base legal: legítimo interesse (LGPD art. 7º, IX; GDPR art. 6(1)(f)) — operar e proteger um site. A finalidade se limita à entrega e à segurança; não há perfilamento.
4. O formulário de contato — leia antes de usar
O formulário em /contact hoje não tem backend. Seu nome, e-mail e mensagem são validados dentro do seu próprio navegador e descartados quando você sai ou recarrega a página. Não são enviados a servidor nenhum, não são armazenados e não chegam ao meu e-mail. A mensagem de sucesso que aparece é da interface, não é confirmação de entrega.
Isso significa duas coisas. Primeiro: nada do que você digitar nesse formulário se torna um dado que eu detenho. Segundo: se você realmente quer falar comigo, use e-mail ou WhatsApp — esses funcionam.
Se e quando o formulário for ligado a um backend real, esta seção será reescrita antes de a mudança entrar no ar, informando o operador utilizado, o prazo de retenção e a base legal.
5. Quando você me escreve
Se você me contata por e-mail ou WhatsApp, eu recebo o que você escolheu enviar: normalmente seu nome, seu e-mail ou telefone e o conteúdo da mensagem — muitas vezes incluindo detalhes sobre o seu negócio ou a sua loja Shopify.
Finalidade: responder você, orçar e discutir um possível trabalho e executar o que combinarmos.
Base legal: seu próprio pedido / procedimentos preliminares a contrato (LGPD art. 7º, V; GDPR art. 6(1)(b)) e meu legítimo interesse em responder a contatos comerciais (LGPD art. 7º, IX; GDPR art. 6(1)(f)).
Retenção: contatos que não viram trabalho ficam na minha caixa por até 24 meses, para eu conseguir retomar uma conversa que volta depois, e então são apagados. Correspondência ligada a trabalho efetivamente contratado é mantida pelo tempo em que possa ser necessária para fins fiscais, contábeis ou de defesa em processo, conforme a lei brasileira. Você pode pedir a exclusão antes disso e eu apago, salvo obrigação legal de guarda.
Vale o óbvio: e-mail e WhatsApp não são canais privados só entre nós dois. O Google trata o meu e-mail e a Meta trata as minhas mensagens de WhatsApp, cada um sob seus próprios termos. Se a sua mensagem for sensível, me avise e mudamos para um canal que você escolher.
6. O que nunca é coletado
- Nenhuma conta, senha ou autenticação de qualquer tipo.
- Nenhum dado de pagamento ou de cartão — este site não recebe pagamentos.
- Nenhum cookie definido por mim para publicidade, remarketing ou rastreamento entre sites.
- Nenhum dado de compra, localização, biometria ou dado pessoal sensível.
- Nenhum dado de crianças. Este site é dirigido a empresas e profissionais e não se destina a menores de 18 anos.
- Nenhuma venda ou compartilhamento de informação pessoal no sentido da CCPA/CPRA — nunca vendi nem compartilhei, e não pretendo.
7. Cookies e armazenamento no navegador
Este site não define cookies de rastreamento. Ele guarda duas pequenas preferências no localStorage do seu navegador — o tema escolhido e o idioma escolhido — que nunca saem do seu dispositivo. Os detalhes, incluindo como limpar, estão na página de cookies.
8. Terceiros
Estes são os únicos terceiros envolvidos no funcionamento deste site:
- Vercel Inc. — hospedagem e entrega de conteúdo. Recebe os dados da sua requisição (inclusive IP) na condição de operador.
- jsDelivr (Prospect One) — CDN pública que serve a fonte de ícones.
- Google LLC — apenas porque meu endereço de e-mail é Gmail, então o Google trata as mensagens que você me envia.
- Meta Platforms — apenas se você me contatar pelo WhatsApp.
- Política de Privacidade da Vercel
- Política de Privacidade da jsDelivr
- Política de Privacidade do Google
- Política de Privacidade do WhatsApp
Há links para GitHub, LinkedIn e Instagram neste site. Segui-los leva você a serviços com políticas próprias, sobre as quais não tenho controle.
9. Transferência internacional de dados
Eu estou no Brasil, mas o site é hospedado em infraestrutura operada a partir dos Estados Unidos, e meus provedores de e-mail e mensagem são empresas norte-americanas. Então, se você está na União Europeia, no Reino Unido, no Canadá ou no Brasil, os dados relativos à sua visita ou à sua mensagem são tratados fora do seu país.
Para transferências para fora do EEE/Reino Unido, Vercel e Google se apoiam nas Cláusulas Contratuais Padrão da Comissão Europeia e, quando aplicável, no EU-US Data Privacy Framework. Para transferências a partir do Brasil, a transferência se fundamenta na execução de contrato a seu pedido e no seu próprio contato (LGPD art. 33). Se esse nível de exposição for um problema para a sua organização, me diga antes de enviar qualquer coisa.
10. Segurança
O site é servido por HTTPS com HSTS e envia X-Content-Type-Options, X-Frame-Options, Referrer-Policy restritiva e Permissions-Policy restritiva. Não há banco de dados para vazar nem credenciais para roubar, o que é a propriedade de segurança mais forte deste site.
Suas mensagens ficam nas minhas contas Google e WhatsApp, ambas protegidas por autenticação forte. Nenhum sistema é perfeito; se eu tomasse conhecimento de um incidente afetando seus dados, comunicaria você e a autoridade competente (ANPD no Brasil, a autoridade supervisora aplicável na UE) conforme exigido em lei.
11. Seus direitos
Qual lei se aplica depende de onde você está, mas a resposta prática é a mesma em todo lugar: me mande um e-mail e eu atendo. Saiba que, para um visitante comum, normalmente eu não tenho absolutamente nada, então a resposta honesta a um pedido de acesso pode ser "não tenho dado nenhum sobre você".
Brasil — LGPD: confirmação da existência de tratamento, acesso, correção, anonimização ou eliminação de dados desnecessários ou excessivos, portabilidade, informação sobre com quem compartilho dados e revogação do consentimento. Você também pode reclamar à ANPD (gov.br/anpd).
UE / Reino Unido — GDPR: acesso, retificação, apagamento, limitação, portabilidade, oposição ao tratamento baseado em legítimo interesse e direito de reclamar à autoridade supervisora do seu país. Não há decisão automatizada nem perfilamento aqui.
Califórnia — CCPA/CPRA: direito de saber o que é coletado e por quê, de excluir, de corrigir, de recusar a venda ou o compartilhamento (nada é vendido ou compartilhado, então não há do que recusar), de limitar o uso de informação pessoal sensível (nenhuma é coletada) e de não sofrer discriminação por exercer esses direitos. Agentes autorizados podem enviar pedidos em seu nome.
Canadá — PIPEDA: direito de acessar a informação pessoal que eu detenho sobre você, de contestar sua exatidão e de reclamar ao Office of the Privacy Commissioner of Canada.
Para exercer qualquer um desses direitos, escreva para o e-mail abaixo com o assunto "Pedido de privacidade". Respondo em até 15 dias (LGPD) ou 30 dias (GDPR, CCPA/CPRA, PIPEDA), o que for mais curto no seu caso. Posso fazer uma ou duas perguntas para confirmar que você é quem diz ser — em geral apenas que você escreve do mesmo endereço com que me contatou. Exercer um direito é gratuito.
12. Alterações nesta política
Se o que este site faz mudar — uma ferramenta de analytics, um formulário de contato funcionando, uma newsletter — esta política é atualizada antes de a mudança entrar no ar, e a data no topo muda junto. Não há lista de e-mails para avisar ninguém, então a data é o sinal honesto.