Conformidade com a LGPD

O que é a LGPD?

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) é a legislação brasileira que regula o tratamento de dados pessoais por empresas e órgãos públicos, definindo direitos para os titulares dos dados e obrigações para quem os coleta, armazena ou processa.

Quem é quem

A LGPD distingue quem decide sobre o tratamento (controlador) de quem executa o tratamento em nome de outro (operador). Na nossa plataforma esses papéis variam conforme a finalidade — a Ecommerce APP atua nas duas condições:

Se você é consumidor final de uma loja que usa a Ecommerce APP, o pedido de acesso, correção ou exclusão dos seus dados deve ser dirigido, em primeira instância, à própria loja, que é a controladora. Quanto aos tratamentos que realizamos como controladora, você pode nos procurar diretamente — veja Direitos do titular.

Quando o cliente exporta os dados da plataforma, por arquivo ou por API, ele passa a figurar como controlador exclusivo dos dados exportados, e o tratamento que fizer a partir daí é de responsabilidade dele.

Dados tratados na plataforma

Os dados abaixo são inseridos, gerados ou coletados durante o uso do CRM. A extensão do que é efetivamente enviado à plataforma depende de como cada cliente configura sua integração.

A plataforma não é destinada ao tratamento de dados pessoais sensíveis (art. 5º, II, da LGPD) nem de dados de crianças e adolescentes, e não os solicita em nenhum campo. Cabe ao cliente, na condição de controlador, não inseri-los.

Finalidades e base legal

Cada finalidade de tratamento tem um papel e uma base legal correspondentes. A tabela abaixo reúne as duas coisas:

Nos tratamentos que realizamos com fundamento no legítimo interesse, observamos os limites de necessidade e finalidade exigidos pelos arts. 6º e 10 da LGPD: usamos apenas os dados necessários para a finalidade concreta e não os empregamos para propósitos incompatíveis com aqueles informados nesta página. Sempre que a finalidade puder ser atingida com dados agregados ou anonimizados, é essa a forma adotada.

A obtenção do consentimento dos consumidores finais, quando essa for a base legal aplicável, é responsabilidade do cliente controlador, que também deve informá-los previamente sobre o compartilhamento dos dados com a Ecommerce APP e sobre as finalidades acima.

Princípios que seguimos

• Finalidade — tratamos dados apenas para os propósitos declarados em Finalidades e base legal, sem uso posterior incompatível com eles.
• Adequação e necessidade — limitamos o tratamento ao que é pertinente e proporcional a cada finalidade, inclusive nos tratamentos em que atuamos como controladora.
• Transparência — esta página e nossos canais de contato existem para explicar, em linguagem clara, o que fazemos com os dados e em qual condição.
• Segurança e prevenção — controles técnicos e administrativos descritos em Segurança da informação.
• Responsabilização e prestação de contas — mantemos registros das operações relevantes de tratamento e somos capazes de demonstrar as medidas adotadas.
• Não discriminação — não tratamos dados para fins discriminatórios, ilícitos ou abusivos.

Direitos do titular

Nos termos do art. 18 da LGPD, o titular dos dados pode solicitar:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• Portabilidade dos dados a outro fornecedor de serviço;
• Eliminação dos dados tratados com base em consentimento;
• Informação sobre com quem os dados são compartilhados;
• Revogação do consentimento, a qualquer momento.

Além desses, quando o tratamento se apoia no legítimo interesse, o titular tem o direito de se opor ao tratamento (art. 18, § 2º, e art. 10, § 3º) e de solicitar informações sobre os critérios que o fundamentaram.

Como exercer

O caminho depende de quem controla o tratamento:

• Dados tratados na operação do CRM — o controlador é a loja ou empresa onde você é cliente. Dirija a solicitação a ela. Atendemos essas requisições na condição de operadora, seguindo as instruções do controlador.
• Tratamentos em que a Ecommerce APP é controladora (validação, desenvolvimento, métricas e estudos, segurança) — fale diretamente conosco pelos canais em Contato.

Em qualquer caso, se você nos procurar e a solicitação disser respeito a dados sob controle de um cliente nosso, nós a encaminhamos ao controlador responsável e damos suporte ao atendimento. Para responder, podemos precisar de informações que permitam confirmar sua identidade, de modo a não divulgar dados pessoais a quem não é o titular.

Retenção e eliminação

Os dados permanecem armazenados enquanto durar a relação entre o titular e o cliente controlador e enquanto subsistirem as finalidades descritas em Finalidades e base legal, ou pelo prazo necessário ao cumprimento de obrigações legais e regulatórias e ao exercício de direitos em processo.

A exclusão de um contato e dos dados associados pode ser solicitada pelo cliente controlador diretamente na plataforma, ou por meio dos nossos canais quando a solicitação partir do titular. Encerrada a relação com o cliente, os dados pessoais tratados na condição de operadora são eliminados ou anonimizados, ressalvadas as hipóteses de conservação previstas no art. 16 da LGPD.

Nos tratamentos em que atuamos como controladora, podemos reter registros pelo tempo necessário às finalidades de validação, desenvolvimento, métricas e estudos. Sempre que a finalidade puder ser atingida sem identificar o titular, os dados são agregados ou anonimizados — e dados anonimizados deixam de ser dados pessoais para os fins da LGPD.

Segurança da informação

Adotamos medidas técnicas e administrativas compatíveis com a natureza dos dados tratados, entre elas:

• Isolamento lógico dos dados por cliente, aplicado em todas as camadas da plataforma;
• Autenticação por sessão para usuários da plataforma e por chave de API com assinatura criptográfica por requisição para integrações;
• Controle de acesso granular, por permissões e por escopo da credencial de integração;
• Senhas de usuários armazenadas exclusivamente como hash, com algoritmo de derivação lenta — nunca em texto legível;
• Tráfego criptografado em trânsito (HTTPS/TLS) entre clientes, plataforma e integrações;
• Revisão dos acessos e permissões da equipe.

Nenhuma medida de segurança é capaz de eliminar integralmente o risco. Cabe também ao cliente manter a confidencialidade das suas credenciais de acesso e das chaves de API, respondendo pelo uso que delas for feito.

Incidentes de segurança

Identificado um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicamos o cliente controlador em prazo não superior a 48 horas contadas da ciência, informando:

• a natureza dos dados pessoais afetados;
• as medidas técnicas e de segurança adotadas;
• os riscos relacionados ao incidente;
• as medidas de reversão ou mitigação já tomadas.

A comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados, prevista no art. 48 da LGPD, compete ao controlador do tratamento envolvido — o cliente, quando se tratar de dados sob controle dele; a Ecommerce APP, quanto aos tratamentos que realiza na condição de controladora. A mesma obrigação de comunicação em 48 horas se aplica ao cliente que identificar um incidente.

Transferência internacional de dados

Caso os dados sejam armazenados ou processados em servidores localizados fora do território nacional, observamos as hipóteses e salvaguardas do art. 33 da LGPD, adotando instrumentos compatíveis com os padrões de proteção exigidos pela legislação brasileira — como cláusulas contratuais específicas, selos, certificados ou normas corporativas globais.

Informações sobre a localização da infraestrutura utilizada podem ser solicitadas pelos canais em Contato.

Subprocessadores

Para operar a plataforma, utilizamos fornecedores terceiros que podem tratar dados pessoais em nosso nome, nas categorias abaixo:

• Infraestrutura de nuvem, hospedagem e banco de dados;
• Entrega de e-mail — pelo servidor SMTP configurado pelo próprio cliente ou por provedor contratado por nós;
• Entrega de push notification;
• Entrega de SMS.

Além desses, os dados podem ser recebidos das plataformas de e-commerce que o cliente integra ao CRM, conforme a integração que ele configurar.

A lista detalhada com o nome de cada fornecedor está disponível mediante solicitação pelos canais em Contato.

Encarregado de Dados (DPO)

Contato