Política de Privacidade

1. Identificação do controlador

O controlador dos dados pessoais coletados por esta plataforma é o operador do sistema de pagamentos, doravante denominado “Operador”, pessoa jurídica ou física proprietária e mantenedora do presente serviço.

O encarregado (DPO/Data Protection Officer) pode ser contatado pelo e-mail administrativo ou canal de atendimento oficial do Operador.

2. Quais dados pessoais coletamos

No decorrer da utilização da plataforma, podemos coletar as seguintes categorias de dados pessoais, conforme a finalidade:

• Dados informados voluntariamente no checkout: nome completo, e-mail, CPF ou CNPJ, valor e descrição da cobrança, item/produto ou serviço selecionado;
• Dados de transação PIX: identificador do pedido (`PED-*`), identificador de pagamento do Asaas (`payment_id`), status da cobrança, data/hora de criação, pagamento e expiração, QR Code e payload “Copia e Cola”;
• Dados de dispositivo e antifraude: endereço IP (v4/v6), ISP (provedor de internet), User-Agent, idiomas do navegador, resolução de tela e janela, fuso horário, impressão digital (“browser fingerprint”), cookies anônimos de sessão e de segurança;
• Dados de navegação: páginas acessadas, horário, duração, origem do tráfego (referrer), query string (incluindo `?id=` de itens), interações com formulários e botões.

3. Finalidades e bases legais do tratamento

Todo tratamento de dados tem uma das seguintes bases legais, nos termos da LGPD (art. 7º):

1. Execução de contrato ou diligência pré-contratual (art. 7º, I): processamento dos dados para efetivar o pagamento via PIX, comunicar confirmação, emitir comprovantes e registrar a transação.
2. Cumprimento de obrigação legal ou regulatória (art. 7º, II): armazenamento de registros fiscais e financeiros pelo prazo legal mínimo, comunicação obrigatória ao Asaas, ao Banco Central, a bancos e, em casos de suspeita de fraude, a órgãos de polícia e MP.
3. Legítimo interesse (art. 7º, IX): prevenção e investigação de fraudes, burla, uso indevido, ataques cibernéticos (DDoS, brute force, injection, IDOR), rate limit, manutenção da integridade do sistema e garantia da segurança jurídica e patrimonial do Operador e de terceiros.
4. Consentimento (art. 7º, V): quando aplicável, para fins de marketing direto ou envio de novidades; podendo ser revogado a qualquer tempo.

4. Compartilhamento de dados pessoais com terceiros

Seus dados pessoais podem ser compartilhados apenas com as entidades abaixo, estritamente para o cumprimento das finalidades acima:

• Asaas / provedor de pagamentos: para criação, atualização, consulta e baixa da cobrança PIX, atendimento à regulamentação do Banco Central e prevenção a fraudes;
• Instituições bancárias, BACEN e cartórios: quando exigido por lei, suspeita de lavagem de dinheiro ou comprovação de transações;
• Órgãos públicos e de segurança: mediante ordem judicial, requisição administrativa fundamentada ou boletim de ocorrência registrado pelo Operador, em casos de suspeita de burla, fraude ou crime;
• Administradores e equipe interna autorizada: estritamente para o exercício de suas funções, sob dever de sigilo e confidencialidade.

Não vendemos, não alugamos e não compartilhamos seus dados pessoais para fins publicitários ou comerciais com anunciantes, redes sociais, data brokers ou qualquer terceiro alheio às hipóteses acima.

5. Tratamento de dados em casos de suspeita de burla e banimento

Conforme previsto nos Termos de Uso, em caso de indícios suficientes de:

• Fraude, chargeback indevido, estelionato, burla de valores, IDOR, injeções, exploração de vulnerabilidades;
• Uso de bots, scrapers, proxies/VPN/Tor de dissimulação;
• Qualquer outra prática proibida nos Termos de Uso;

O Operador poderá processar e cruzar dados pessoais (nome, CPF/CNPJ, e-mail, IP, fingerprint, histórico de pagamentos, dispositivos e contas relacionadas) para:

1. Aplicar bloqueio preventivo e banimento permanente (blacklist) em todas as plataformas do Operador;
2. Registrar B.O. e ingressar com medidas judiciais cíveis e/ou criminais;
3. Comunicar ocorrência a bancos, gateways, órgãos de proteção ao crédito e autoridades competentes.

Esses tratamentos são realizados com fundamento na base legal do legítimo interesse (art. 7º, IX, LGPD) e/ou cumprimento de obrigação legal (art. 7º, II), e não dependem de autorização adicional do usuário infrator, conforme art. 4º, § 2º, II e III da LGPD.

6. Armazenamento e retenção

Os dados são armazenados em servidores localizados no Brasil ou em países que oferecem nível adequado de proteção (escalão “adequado” ou sob Contratos de Transferência Internacional de Dados).

Prazos de retenção mínimos (podendo ser majorados em caso de litígio, investigação ou obrigação legal superior):

• Dados de transações financeiras: 10 anos (art. 962 CC / Lei de Recuperação Judicial / normas BCB);
• Dados de prevenção a fraude e listas de banimento: 10 anos contados da data da ocorrência;
• Dados de acesso e logs de segurança: 6 meses a 2 anos, conforme prazo de prescrição aplicável.

7. Segurança e boas práticas

Adotamos medidas técnicas e administrativas adequadas para proteger seus dados contra destruição, perda, alteração, comunicação ou difusão acidental ou ilícita:

• Conexão HTTPS forçada (TLS 1.2+), cabeçalhos de segurança (CSP, HSTS, X-Frame-Options, Referrer-Policy, X-Content-Type-Options);
• Armazenamento JSON com locks exclusivos, pasta `dados` bloqueada por `.htaccess` (acesso direto negado via web);
• Sessões admin com HTTPOnly, SameSite=Lax e renovação a cada 2h de inatividade;
• CSRF tokens em todos os formulários POST, rate limit anti-abuso e sanitização de entradas com escaping de saída.

Medidas de segurança não são infalíveis. O Operador comunicará prontamente ao titular e à ANPD, nos termos do art. 48 da LGPD, qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

8. Cookies e tecnologias similares

Utilizamos:

• Cookies estritamente necessários: sessão administrativa do operador e identificadores anônimos de anti-fraude — não podem ser desativados sem romper o funcionamento do sistema;
• Storage local (localStorage): apenas para identificar o pedido em andamento dentro de uma única sessão de checkout, sem compartilhamento externo.

Não usamos cookies de publicidade nem de rastreamento por redes sociais.

9. Direitos do titular de dados (LGPD)

Você, titular dos dados, pode exercer, a qualquer momento, seus direitos previstos nos arts. 17, 18 e 19 da LGPD, por meio do canal oficial de atendimento:

1. Confirmação da existência de tratamento e acesso: pedir cópia dos dados mantidos sobre você;
2. Correção: solicitar atualização de dados incompletos, inexatos ou desatualizados;
3. Anonimização, bloqueio ou eliminação: quando os dados forem excessivos, tratados em desconformidade com a LGPD, ou quando perderem a finalidade original;
4. Portabilidade: solicitar cópia dos dados cadastrais em formato estruturado (CSV/JSON) — não abrange dados sigilosos de antifraude ou financeiros em face de obrigações legais de retenção;
5. Revogação do consentimento: quando o tratamento se basear unicamente em consentimento;
6. Oposição: contra tratamento baseado em legítimo interesse, desde que não haja motivo preponderante que justifique a continuidade.

10. Atualizações desta Política

O Operador se reserva o direito de alterar esta Política de Privacidade a qualquer momento. A data de “última atualização” no cabeçalho informa a versão vigente. Alterações relevantes serão comunicadas por meio de aviso proeminente na página inicial por pelo menos 15 dias corridos antes de sua entrada em vigor, ou, quando aplicável, por e-mail aos titulares cadastrados.

11. Resolução de controvérsias

Persistindo dúvidas sobre a conformidade ou o exercício de direitos, o titular pode:

1. Contatar o encarregado/controlador pelos canais oficiais;
2. Registrar manifestação na própria plataforma;
3. Se necessário, apresentar reclamação perante a Autoridade Nacional de Proteção de Dados (ANPD).

Documento válido a partir de 30 de setembro de 2026.