Quem responde pelo tratamento
A Xikota Design é o studio de Thiago Xikota, de Florianópolis (SC), e é ele quem responde pelos seus dados. O canal para qualquer assunto de privacidade é [email protected]. Quem escreve recebe resposta de gente, não de sistema.
O formulário de projeto
A página /iniciar tem dois caminhos. No primeiro, você fala direto no WhatsApp: o texto pré-preenchido viaja no endereço da página wa.me, que é da Meta, e o envio é seu, dentro do aplicativo, depois de revisar. A partir daí a conversa vive no WhatsApp e segue as regras e a criptografia do próprio serviço.
No segundo caminho, o formulário escrito, os dados vêm para o nosso sistema: nome, email e o resumo do projeto (obrigatórios), mais WhatsApp, empresa, serviço, prazo, faixa de investimento e um link, se você quiser. Usamos essas informações para avaliar sua solicitação, responder sobre este projeto e acompanhar a proposta, nada além disso. Elas ficam num banco de dados do studio (Cloudflare D1) enquanto a conversa comercial durar, e a base legal é o atendimento do contato que você mesmo iniciou (art. 7º, V da LGPD). Quando o envio de email estiver ativo, mandamos uma confirmação de recebimento. Não existe inscrição em newsletter nem opt-in de marketing nesse formulário.
Um pedido: os campos de texto livre são para falar do projeto. Não escreva ali dado de saúde, documento ou informação que você não colocaria numa primeira conversa com um fornecedor. O que chegar sem necessidade, não usamos, e você pode pedir a exclusão do que enviou a qualquer momento.
Quando o desafio anti-spam estiver ativo, o formulário usa o Turnstile, da Cloudflare: o widget avalia sinais técnicos do navegador para separar pessoa de robô, e nós recebemos apenas o veredito (válido ou não), nunca esses sinais. Sem um desafio válido o envio é recusado; o caminho do WhatsApp direto continua sempre disponível.
Rede Xikota de Talentos
A Rede Xikota de Talentos é uma base privada de profissionais de produto e tecnologia que a Xikota Design consulta para projetos, indicações e composição de times. Quem controla os dados é o mesmo controlador desta página: Thiago Xikota, operando como Xikota Design, pelo canal [email protected].
No cadastro coletamos o que você declara: nome, email, cidade e país, fuso horário, área, função, senioridade, anos de experiência, especialidades, segmentos, links profissionais, duas respostas sobre o seu trabalho, disponibilidade e preferências, e uma faixa mínima opcional. Pronomes são opcionais. Não pedimos telefone, documento, endereço completo, data de nascimento, salário atual, foto nem currículo em arquivo. A base do tratamento é o seu consentimento, dado numa caixa que vem desmarcada, com validade de 12 meses; o texto é versionado e guardamos a versão, a data e a origem do seu aceite.
Seu perfil não fica público e nenhuma empresa acessa a rede diretamente. Quando uma oportunidade parece compatível, você recebe o contexto completo por email (empresa, função, contexto, modelo, faixa e prazo) e decide. Só depois da sua autorização, específica para aquela oportunidade, compartilhamos com aquela empresa exatamente quatro coisas: seu nome, seu resumo profissional, sua localização e seus links profissionais. A faixa mínima que você informar é privada e nunca é compartilhada. Recusar não muda nada no seu cadastro, e cada autorização pode ser revogada pelo [email protected].
Os dados ficam num banco próprio da Rede (Cloudflare D1), separado do restante do site, com o email guardado cifrado. O acesso do titular é por link de uso único enviado ao seu email, sem senha: na área do seu perfil você vê, atualiza, renova ou exclui tudo. A exclusão remove os dados pessoais de verdade (perfil, links, preferências, sessões, histórico identificado e até o registro de emails enviados), restando apenas números anônimos e agregados. Se a disponibilidade ficar 90 dias sem confirmação, marcamos o perfil como desatualizado e avisamos; perto de expirar, avisamos aos 30 e aos 7 dias com um link de renovação; expirou sem renovar, a exclusão é automática. Cadastro que nunca confirmou o email é apagado em 30 dias.
Empresas que pedem curadoria informam contato, empresa e o briefing da busca, incluindo a faixa de investimento, que é obrigatória. Usamos esses dados apenas para avaliar e responder ao pedido (base legal: procedimento preliminar a pedido do titular, art. 7º, V). Nenhum recurso de IA aprova ou rejeita pessoas nesta rede: a revisão é humana, não existe ranking nem nota, e os emails da Rede são só transacionais, nunca de marketing.
Propostas comerciais e o link privado
Quando preparamos uma proposta, você recebe um link privado (do tipo /p/) que só funciona para quem o tem. O endereço é um código aleatório: não carrega seu nome, sua empresa nem o título do projeto, a página não entra em buscadores e o preview em aplicativos de mensagem mostra apenas "Proposta privada", sem nenhum conteúdo.
Nessa página registramos sinais simples de interação, ligados ao seu link: que a proposta foi aberta por uma pessoa (depois de alguns segundos com a aba visível), que a seção de investimento apareceu na tela, que uma opção foi escolhida, que você pediu ajuste, agendou, recusou ou aprovou. Isso serve para acompanharmos a conversa e sabermos a hora de fazer follow-up. O que não existe: mapa de calor, gravação de tela, impressão digital do navegador, localização precisa, tempo exato de leitura ou qualquer ferramenta de terceiro (nem a nossa estatística de visitas carrega nessas páginas). Quando a conversa se encerra sem projeto, a rotina de manutenção do sistema apaga esses registros de interação em até 12 meses; se quiser antes, é só pedir.
Depois do aceite, o mesmo link vira a sala do projeto: cronograma, entregas e atualizações, com suas aprovações e pedidos de revisão registrados como parte da execução do contrato. Ao final, a sala oferece um espaço opcional de depoimento. Publicar é escolha sua: o uso fora da sala (site e propostas do studio) só acontece com a sua autorização explícita, marcada por você numa caixa que vem desmarcada, e pode ser revogada a qualquer momento pelo [email protected].
Lembretes sobre a proposta podem chegar por email, no máximo três, e todo email traz um link para parar os lembretes daquela proposta na hora. Parar lembretes não corta comunicação necessária, como a confirmação de uma aprovação.
Se você aprova a proposta, registramos os dados que você declara (nome, email, empresa e cargo se informar), a opção escolhida, o valor e a data, junto com um código de integridade da versão exata aprovada. Esse registro é a prova do acordo comercial entre as partes: ele fica guardado pelo prazo legal e, diferente do resto, não pode ser apagado por simples pedido (art. 16, II da LGPD). Aprovar a proposta não é assinar contrato; o contrato vem depois, num serviço próprio para isso.
Estatísticas de visita
Usamos o Umami, uma ferramenta de análise sem cookies, para contar visitas e medir o funil nas páginas públicas do site (página vista, site de origem, tipo de dispositivo, país). Segundo a documentação do próprio Umami, a ferramenta não coleta informação que identifique uma pessoa e anonimiza tudo o que registra; o IP é usado no servidor para derivar o país, não para ficar guardado associado a você. Quando você avança no formulário, registramos o passo dado, nunca o conteúdo dos campos. Nada dessa estatística identifica você como indivíduo, e ela é separada dos sinais de proposta descritos acima, que são identificados e não passam pelo Umami. Nas páginas públicas não colocamos nenhum cookie nosso, e por isso não há banner; o único cookie próprio do site é o de sessão da área interna do studio, que só existe para o administrador logado, nunca para visitante. Base legal do Umami: interesse legítimo em medir a audiência (art. 7º, IX). As estatísticas são agregadas e ficam por até 6 meses, o prazo de retenção do plano que usamos, publicado na página de preços do Umami.
Duas coisas que não são cookies mas moram no seu navegador: os parâmetros de campanha da URL ficam no armazenamento de sessão (chave xk-utm) enquanto a aba está aberta, para a atribuição não se perder; e as suas preferências de idioma e tamanho de texto ficam no armazenamento local (xk-lang e xk-ts) para o site lembrar delas na próxima visita. Nenhuma das duas sai do seu dispositivo.
Fontes e infraestrutura
A fonte principal do site é servida por nós. As fontes japonesas vêm do Google Fonts: ao carregar, seu navegador faz uma requisição aos servidores do Google, que recebe seu IP e a identificação do navegador, como em qualquer download. O site roda na Cloudflare, e os registros técnicos dessa borda (que incluem IP) ficam com a própria Cloudflare, como operadora, pelos prazos que ela define e publica. A Cloudflare também pode gravar cookies estritamente necessários de segurança dela (como proteção contra bots) sem participação nossa; hoje, nenhum é gravado nas nossas páginas.
Para proteger a API e os formulários contra abuso, o sistema mantém contadores de requisições associados a um identificador derivado do IP com SHA-256. O IP não fica guardado em texto legível nesses contadores. Isso inclui a consulta à configuração pública do formulário e o envio de solicitações. Os registros ficam no banco do site e são limpos automaticamente no uso depois de cerca de 24 horas. A finalidade é segurança, com base no legítimo interesse (art. 7º, IX da LGPD).
Mensagens pelo WhatsApp (Xikota Mensagens)
O Xikota Mensagens é o nosso aplicativo na plataforma WhatsApp Business, da Meta. Com ele enviamos e recebemos mensagens de quem fala com a Xikota Design e gerenciamos modelos de mensagem. Quando você troca mensagens com um número nosso por esse aplicativo, tratamos o seu número de telefone, o nome do seu perfil no WhatsApp, o conteúdo das mensagens e os avisos de envio e entrega. Usamos esses dados só para conduzir a conversa e prestar o serviço combinado, com base na execução de contrato ou nos procedimentos preliminares a ele. Não vendemos esses dados nem os usamos para publicidade.
As mensagens passam pelos servidores da Meta, que as trata conforme as regras do próprio WhatsApp. Do nosso lado, o aplicativo guarda os eventos recebidos apenas na memória de um computador do studio, sem banco de dados, e eles são apagados sempre que o aplicativo reinicia. A chave de acesso fica no cofre do sistema, fora do código.
Como pedir a exclusão dos seus dados
Escreva para [email protected] informando o número de telefone usado na conversa. Apagamos o que tivermos desse número e confirmamos por escrito. Conversas que já estão no seu aplicativo do WhatsApp você apaga por lá.
In English: Xikota Mensagens is our app on Meta's WhatsApp Business Platform. We process your phone number, WhatsApp profile name, message content and delivery status only to run the conversation and provide the agreed service. We do not sell this data or use it for advertising. Received events are kept only in memory on a studio computer, with no database, and are erased when the app restarts. To request deletion, email [email protected] with the phone number used in the conversation; we will delete what we hold and confirm in writing.
Transferência internacional
Cloudflare, Umami, Google e Meta operam servidores fora do Brasil, principalmente nos Estados Unidos. Ao usar o site, seus dados passam por essa infraestrutura, com as salvaguardas contratuais que esses fornecedores mantêm (art. 33 da LGPD).
Seus direitos
A LGPD (art. 18) garante a você: confirmar se tratamos algum dado seu, acessar o que existe, corrigir o que estiver errado, pedir anonimização ou exclusão, pedir portabilidade, saber com quem compartilhamos e revogar consentimentos. A única exceção à exclusão é o registro de aprovação de proposta, que a lei nos obriga e autoriza a guardar como prova do acordo. Escreva para [email protected]. Se achar que não resolvemos, você pode peticionar à ANPD, a autoridade nacional.
Mudanças nesta página
Se o site passar a coletar algo novo, esta página muda antes, com a data de revisão atualizada no topo. Fora o que está descrito aqui, o site não coleta nada de você.