Política de Cookies

Há dois grupos de cookies. Os essenciais fazem o site funcionar — manter você logado, saber quem indicou a sua compra, lembrar com quem você estava conversando e guardar a sua escolha sobre cookies. Eles não dependem de permissão.

Os de medição — o Pixel da Meta e o Google Analytics — só são carregados se você clicar em "Aceitar todos" no aviso de cookies. Sem esse clique, nenhum script deles roda nas nossas páginas. Você pode mudar de ideia a qualquer momento em "Preferências de cookies", no rodapé. A lista das seções 3 e 5 é completa: se um cookie não estiver ali, ele não é nosso.

Cookie é um pedaço curto de texto que um site pede ao seu navegador para guardar e devolver nas próximas visitas. Sem ele o servidor não tem como saber que duas requisições vieram da mesma pessoa — é por isso que login depende de cookie.

A LGPD trata esse texto como dado pessoal quando ele permite identificar você, direta ou indiretamente. É o caso do cookie de sessão e dos de atribuição. Por isso eles aparecem aqui com finalidade, duração e base legal, e não apenas sob um aviso genérico.

Sessão de acesso — sb-…-auth-token. Mantém você logado entre uma página e outra, e é renovado a cada requisição enquanto você navega. Sai quando você faz logout ou quando a sessão expira. É gravado pelo Supabase, que opera a autenticação para nós. Sem ele não existe login: nem comprar, nem ver seus ingressos, nem acessar o painel do produtor.

Fluxo de login — sb-…-code-verifier (um ou mais). Gravados pelo Supabase durante o login e usados para provar que quem volta da tela de senha ou do Google é o mesmo navegador que começou a entrar. São temporários e só servem àquele login.

Atribuição de promoter — tp_promo_ref, 30 dias. Gravado quando você chega por um link de divulgação de um promoter (?promo= na URL). Guarda apenas o código dele, nada sobre você. Serve para a comissão ser calculada mesmo que você compre dias depois, passando pelo login no meio do caminho.

Atribuição de afiliado — tp_aff_ref, 30 dias. O mesmo, para o programa de afiliados da plataforma (?ref= na URL). É um cookie separado porque os dois programas coexistem, e quem chega pelos dois caminhos não deve ter a primeira atribuição apagada pela segunda.

Atribuição de creator — tp_creator_ref, 30 dias. Quando o programa de creators estiver ativo, é gravado se você chegar por um link de divulgação de um creator. Guarda apenas o código do link, nada sobre você, e serve para a venda ser atribuída a quem a divulgou. Não é gravado enquanto o programa não estiver ativo.

Conversa com o comercial — entra-comercial, 30 dias. Gravado se você abrir o chat do comercial sem estar logado. Guarda um código aleatório que aponta para a sua conversa, para você reencontrar o histórico ao voltar. Não é gravado se você nunca abrir o chat.

Sua escolha sobre cookies — entra_consent, 6 meses. Guarda apenas se você aceitou os cookies de medição ou ficou só com os essenciais, para o aviso não aparecer a cada página. Depois de 6 meses perguntamos de novo.

Todos são cookies próprios, do domínio da ENTRA, e nenhum é enviado a partir de outro site (SameSite=Lax). Em produção trafegam apenas por HTTPS.

Os três que a ENTRA grava pelo servidor — os dois de atribuição e o do comercial — são httpOnly: o navegador os envia para o servidor, mas nenhum script rodando na página consegue lê-los. Os de sessão e de login não são, e isso é uma limitação conhecida de como a autenticação funciona: a página precisa ler o próprio cookie de sessão para manter a conexão ao vivo com o servidor. Na prática isso significa que uma extensão de navegador com permissão para ler esta página alcança a sua sessão — o mesmo vale para praticamente qualquer site em que você faz login.

Duas preferências suas ficam no armazenamento local do navegador, e não em cookie: nunca são enviadas ao servidor e valem só naquele aparelho. São elas entra-theme, que lembra se você escolheu o tema claro ou escuro, e entra-fab-collapsed, que lembra se você encolheu o botão do chat.

Aparecem aqui porque a lei se preocupa com o que é gravado no seu dispositivo, não com o nome técnico do mecanismo. Limpar os dados do site apaga as duas, sem outro efeito além de o tema e o botão voltarem ao padrão.

Nenhum terceiro é carregado nas páginas sem uma escolha sua. São três casos:

Medição (Pixel da Meta e Google Analytics). Só se você aceitar no aviso de cookies. Eles gravam os cookies deles no nosso domínio — _fbp e _fbc (Meta, até 90 dias), _ga e _ga_… (Google, até 2 anos) — e recebem: as páginas que você visita, os eventos que você abre, quando você começa uma compra e, depois de o pagamento ser confirmado, o valor e a quantidade de ingressos do pedido. Nunca enviamos o seu nome, e-mail, telefone ou CPF. Recebem esses dados a ENTRA e, nos eventos em que o produtor cadastrou os IDs dele, também o produtor daquele evento — e só sobre aquele evento. A Meta e o Google tratam esses dados sob as políticas deles. Base legal: consentimento (art. 7º, I da LGPD). Para evitar contar a mesma compra duas vezes, guardamos no armazenamento local do navegador uma marca entra-tracked:… com o número do pedido.

Pagamento. Na tela de pagamento com cartão carregamos o SDK do Mercado Pago, que processa a transação. Os dados do cartão são digitados dentro do componente dele e vão direto para o Mercado Pago — a ENTRA nunca recebe nem armazena número de cartão. O Mercado Pago grava os próprios cookies, principalmente para antifraude, sob a política dele. Se você paga por PIX ou boleto, esse SDK não chega a ser carregado.

Login com Google ou Facebook. Só se você clicar nesse botão. A partir daí você está no site deles, sob os cookies deles. Recebemos de volta apenas nome, e-mail e foto de perfil — nunca a sua senha, sua lista de contatos ou suas publicações. Entrar com e-mail e senha não aciona nada disso.

As fontes e os arquivos das nossas páginas são servidos pelo nosso próprio domínio, e não por CDNs de terceiros que veriam o seu IP a cada visita.

O aviso pede permissão só para a medição (Pixel da Meta e Google Analytics), que depende do seu consentimento (art. 7º, I da LGPD). "Só os essenciais" e "Aceitar todos" têm o mesmo peso: recusar não custa nada, e o site funciona igual.

Os essenciais não entram no aviso porque não se apoiam em consentimento. Os necessários a um serviço que você pediu se apoiam na execução do contrato (art. 7º, V) — a sessão de acesso, a conversa do comercial e a própria escolha sobre cookies. Os dois de atribuição se apoiam no legítimo interesse (art. 7º, IX): remunerar corretamente quem indicou uma venda, guardando um código de divulgação e nada além disso.

Para retirar o consentimento, use "Preferências de cookies" no rodapé e escolha "Só os essenciais": apagamos os cookies da Meta e do Google deste site e recarregamos a página, sem eles.

Todo navegador permite ver, apagar e bloquear cookies por site — em geral no cadeado ao lado do endereço, ou nas configurações de privacidade. Apagar os nossos a qualquer momento é direito seu e não depende de falar conosco.

O efeito é direto, e vale a pena saber antes: bloquear cookies deste site impede o login, e sem login não há compra nem acesso aos ingressos. Apagar os de atribuição faz a comissão da sua próxima compra deixar de ir para quem indicou você. Apagar o do comercial abre uma conversa nova, sem o histórico anterior.

A navegação anônima descarta tudo ao fechar a janela — e costuma bloquear o SDK do Mercado Pago, o que pode impedir o pagamento com cartão nessa janela.

O entra_consent é lido pela página (não é httpOnly) porque é a própria página que decide se carrega o Pixel e o Analytics.

Esta política complementa a Política de Privacidade, que explica quais dados tratamos, com quem compartilhamos e como exercer os direitos do art. 18 da LGPD. Para falar de cookies especificamente, escreva para renancontatos@yahoo.com.br.

Quando um cookie for criado, alterado ou removido, esta lista muda junto e a data no topo é atualizada. Lista desatualizada aqui é defeito, e é tratada como tal.