Como a ViraUp protege os dados de criancas e adolescentes

O gate de identificacao de idade e consentimento parental da ViraUp foi projetado para entrar em producao em 12 de agosto de 2026, junto com a primeira versao publica da pagina /auth/parental-consent.

Durante a janela de ~16 dias entre 27 de julho de 2026 e 12 de agosto de 2026, qualquer pessoa (incluindo menores de 18 anos) pode ter criado uma conta na ViraUp sem que fosse solicitada a data de nascimento nem coletado consentimento parental.

Nao temos como saber, a partir dos dados que coletamos, quantos menores foram efetivamente afetados: a data de nascimento so passou a ser solicitada a partir de 12 de agosto de 2026, e a ferramenta de analytics nao segmentava idade nesse periodo. Estamos tratando o cenario pelo pior caso: assumir que houve exposicao ate prova em contrario.

Dados potencialmente coletados nesse periodo: e-mail de cadastro, nome (quando informado voluntariamente), logs de navegacao autenticada (paginas visitadas, sessao). Nao coletamos dados de pagamento (o fluxo de compra so abre apos consentimento), dados sensiveis (saude, religiao, etc.) ou localizacao precisa (a ViraUp so usa o nome da cidade, quando voce permite).

A LGPD (Lei 13.709/2018) art. 14º exige consentimento parental especifico e em destaque para o tratamento de dados pessoais de criancas (ate 12 anos incompletos) e adolescentes (12 a 18 anos incompletos). Para esse publico, o melhor interesse da crianca e do adolescente deve prevalecer (art. 14º, §4º).

A ViraUp atende jovens em situacao de NEET - publico que inclui adolescentes de 13 a 17 anos. Por isso, o gate de consentimento parental nao e opcional: e uma salvaguarda obrigatoria.

Entre 27 de julho de 2026 e 12 de agosto de 2026, nao tivemos como cumprir essa exigencia para qualquer menor que tenha acessado o produto. Reconhecemos o gap de forma transparente para que voce possa decidir com informacao.

1. 27 de julho de 2026 - site em producao, sem mecanismo de coleta de data de nascimento ou consentimento parental.
2. 11 a 12 de agosto - equipe de engenharia implementa e revisa o gate (migration Supabase, middleware de idade, pagina de termo parental, fluxo de cadastro com coleta de data de nascimento).
3. 12 de agosto de 2026 - gate deployado em producao. A partir desta data, qualquer conta identificada como menor de 13 a 17 anos e redirecionada para o fluxo de /auth/parental-consent antes de acessar funcionalidades autenticadas.
4. 18 de agosto - publicacao desta nota de transparencia e atualizacao da Politica de Privacidade (/privacidade).

• Gate deployado (12 de agosto de 2026): a partir desta data, todo usuario identificado como menor de 13 a 17 anos precisa concluir o termo de consentimento parental para acessar funcionalidades autenticadas. Menores de 13 anos tem o cadastro bloqueado integralmente (LGPD art. 14º, caput).
• Smoke autenticado confirmado: testes automatizados cobrem o caminho do menor 13-17, adulto e menor de 13, com 100% de redirecionamento correto.
• Termo de consentimento parental especifico: o responsavel assina eletronicamente (nome + CPF + IP + timestamp) e o termo fica armazenado por 5 anos (LGPD art. 7º, II e art. 37).
• Politica de Privacidade atualizada: secao 4 de /privacidade agora descreve o mecanismo de consentimento parental em detalhe.

• Consentimento retroativo: usuarios que criaram conta antes de 12 de agosto de 2026 e ainda estejam ativos serao convidados, por email, a atualizar o cadastro e, se for o caso, obter consentimento parental. Prazo: 30 dias para regularizacao.
• Suspensao preventiva: contas que nao regularizarem a situacao apos o prazo serao suspensas (nao excluidas), para preservar o historico de auditoria exigido pela LGPD (art. 37, 5 anos).
• Inventario de gates regulatorios: mapeamento de todos os mecanismos de protecao (consentimento parental, KYC de pagamento, dados sensiveis) em um unico documento, com smoke automatizado pre-deploy.
• Script de resposta a titular: treinamento da equipe de atendimento para responder, em ate 15 dias uteis, quando um responsavel procurar pedindo exclusao, acesso ou revogacao de consentimento (LGPD art. 18º).

Voce pode exercer, a qualquer momento, os direitos previstos na LGPD art. 18:

• Confirmacao da existencia de tratamento dos seus dados.
• Acesso aos dados.
• Correcao de dados incompletos ou incorretos.
• Anonimizacao, bloqueio ou eliminacao de dados desnecessarios ou tratados em desconformidade.
• Portabilidade dos dados, quando aplicavel.
• Revogacao do consentimento (quando aplicavel).

Voce e responsavel por um menor que pode ter sido afetado? Escreva para privacidade@viraup.app com o assunto Solicitacao LGPD - responsavel por menor. Vamos confirmar identidade, identificar a conta e processar exclusao, acesso ou revogacao em ate 15 dias uteis.

A ViraUp se compromete a:

1. Nao repetir o cenario. Todo gate regulatorio novo passa por smoke automatizado pre-deploy e por revisao do CISO (Chief Information Security Officer) antes de subir para producao. A politica de deploy para gates regulatorios esta em elaboracao como ADR (Architectural Decision Record).
2. Auditar trimestralmente os mecanismos de protecao de menores, com publicacao de indicadores agregados.
3. Reportar publicamente qualquer incidente regulatorio relevante, nesta mesma pagina, com data, impacto e mitigacao aplicada.

Duvidas, reclamacoes ou solicitacao de direitos? Escreva para privacidade@viraup.app com o assunto Contato - nota de transparencia LGPD. Prazo de resposta: ate 15 dias uteis (prorrogavel com justificativa).

Esta nota foi preparada pelo Encarregado (DPO) provisorio da ViraUp e revisada pelo CISO. Texto completo, base legal e linha do tempo forense constam do documento interno de avaliacao (rev 3, 18/ago/2026).