Política de Privacidade

Esta Política de Privacidade explica, de forma transparente, como o BrasiArte (brasiarte.com.br e aplicativos), operado por FG Consultoria em Informática Ltda, CNPJ 16.954.259/0001-01, coleta, usa, compartilha, armazena e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD") e com o Marco Civil da Internet (Lei nº 12.965/2014).

1. Papéis no tratamento de dados

• Em regra, a BrasiArte atua como controladora dos dados pessoais tratados na Plataforma (contas de clientes e de lojas, navegação, pedidos e comunicações da Plataforma).
• Em situações específicas, a BrasiArte atua como operadora, tratando dados por conta e ordem das Lojas. Exemplo: quando uma Loja importa a lista de clientes que construiu em outra plataforma (como o Elo7) para enviar um aviso único de reativação, a Loja é a controladora desses dados e a BrasiArte apenas executa o tratamento conforme as instruções dela.
• Cada Loja também é controladora independente dos dados que trata em seus próprios canais (por exemplo, conversas de WhatsApp e emissão de notas fiscais).
• Na verificação de identidade das Lojas, a BrasiArte é controladora, e a empresa de verificação contratada (hoje, a Didit Identity, Inc.) atua como operadora.

2. Dados que coletamos

Dados fornecidos por você

• Cadastro (clientes): nome, e-mail, telefone e senha (armazenada com criptografia irreversível).
• Cadastro (lojas): dados do responsável e da loja, como nome, e-mail, telefone/WhatsApp, cidade/UF, CPF ou CNPJ, dados bancários ou de contas de recebimento junto aos provedores de pagamento.
• Pedidos e entrega: endereço de entrega, itens comprados, valores e histórico de pedidos.
• Comunicações: mensagens enviadas ao suporte, formulários de contato e avaliações de produtos.
• Dados importados pelas Lojas: listas de clientes de outras plataformas (nome, e-mail, telefone e cidade), tratadas pela BrasiArte como operadora, conforme a seção 1.
• Verificação de identidade (Lojas): imagens do documento oficial com foto e os dados lidos dele (nome, CPF, número do documento, data de nascimento e validade), selfie e, na prova de vida ativa, um vídeo curto, com os dados biométricos faciais derivados, e o resultado da consulta da situação do CPF em base oficial. Detalhes no Termo de Verificação de Identidade das Lojas.

Dados coletados automaticamente

• Navegação e uso: páginas e produtos visualizados, lojas visitadas, favoritos, itens de carrinho, origem de acesso, data e hora.
• Dados técnicos: endereço IP, tipo de dispositivo, sistema operacional, navegador e identificadores de sessão, inclusive registros de acesso mantidos por obrigação legal (art. 15 do Marco Civil da Internet).
• Notificações push: token do dispositivo (via Google Firebase), quando você autoriza notificações no aplicativo.
• Produtos digitais: quando você compra um arquivo, registramos o aceite da regra do produto digital (data, hora, versão do texto e endereço IP) e, a cada download, a data, a hora, o endereço IP, o aparelho ou navegador e de onde partiu o acesso (página do pedido, e-mail ou aplicativo).
• Na verificação de identidade: endereço IP, tipo e identificador do aparelho, sistema, navegador e localização aproximada pelo IP, usados para prevenir fraude.

Dados que não coletamos

• Cartão de pagamento: o número completo do cartão é informado diretamente ao provedor de pagamento (como Mercado Pago ou PagBank) e não é armazenado pela BrasiArte.
• Não coletamos deliberadamente dados sensíveis, como dados de saúde ou religião, nem dados de menores de 18 anos. A única exceção são os dados biométricos faciais das pessoas responsáveis pelas Lojas, tratados exclusivamente na verificação de identidade.

3. Finalidades e bases legais (LGPD)

• Criar e manter sua conta, processar pedidos, pagamentos e entregas: execução de contrato (art. 7º, V).
• Conectar Compradores e Lojas e viabilizar o atendimento: execução de contrato (art. 7º, V).
• Comunicações operacionais (confirmações, status de pedido, avisos de conta e segurança): execução de contrato e legítimo interesse (art. 7º, V e IX).
• Comunicações promocionais (novidades, lembretes de carrinho, avisos de favoritos): legítimo interesse, sempre com opção de descadastro; ou consentimento, quando exigido (art. 7º, IX e I).
• Convite de reativação enviado por Lojas a seus antigos clientes: tratamento realizado pela BrasiArte como operadora, sob responsabilidade e base legal da Loja controladora, em envio único e com transparência sobre a origem do contato.
• Prevenção a fraudes e segurança da Plataforma: legítimo interesse e obrigação legal (art. 7º, IX e II).
• Comprovar a entrega de produtos digitais (aceite da regra e registros de download), inclusive em contestações de pagamento e reclamações: execução de contrato e exercício regular de direitos (art. 7º, V e VI).
• Cumprimento de obrigações legais, fiscais e regulatórias: obrigação legal (art. 7º, II).
• Defesa de direitos em processos: exercício regular de direitos (art. 7º, VI).
• Métricas e melhoria da Plataforma: legítimo interesse, com dados agregados sempre que possível (art. 7º, IX).
• Divulgar as Lojas e suas peças nas redes sociais, em catálogos de produtos e em anúncios: execução do contrato com a Loja e legítimo interesse (art. 7º, V e IX). A Loja pode desligar a divulgação nas redes sociais pelo painel.
• Medir o resultado dos anúncios: consentimento, para os cookies de publicidade (art. 7º, I), e legítimo interesse, para o envio de conversões de quem assina um plano, com dados criptografados e direito de oposição (art. 7º, IX).
• Verificar a identidade das pessoas responsáveis pelas Lojas e prevenir fraudes: para os dados biométricos, garantia da prevenção à fraude e da segurança do titular em processos de identificação e autenticação de cadastro (art. 11, II, "g"); para os demais dados, execução de contrato e legítimo interesse (art. 7º, V e IX) e exercício regular de direitos (art. 7º, VI).

4. Compartilhamento de dados

Não vendemos dados pessoais. Compartilhamos apenas o necessário, com:

• A Loja em que você compra: nome, contato, endereço de entrega e detalhes do pedido, para que ela produza, envie e atenda. Em produtos digitais, também o registro do aceite e dos downloads, que ela pode apresentar ao provedor de pagamento ou a órgãos de defesa do consumidor numa contestação;
• Provedores de pagamento (por exemplo, Mercado Pago e PagBank): dados necessários ao processamento da transação e à prevenção de fraude;
• Serviços de frete e logística (por exemplo, Melhor Envio, Frenet, Correios e transportadoras): nome, endereço e contato para cotação, etiquetas e entrega;
• Provedores de tecnologia: hospedagem do sistema, envio de e-mails e notificações push (Google Firebase);
• Plataformas de divulgação e anúncios (Google; Meta, que inclui Instagram, Facebook e WhatsApp; e Pinterest):
  • dados públicos das Lojas e das peças (nome da loja, fotos, preço, disponibilidade e link), para catálogos de produtos, publicações e anúncios. Quando o nome da loja é o nome de uma pessoa, ele segue junto, como já aparece na vitrine;
  • dados de navegação coletados pelos cookies de publicidade, somente se você escolher "Aceitar todos" no aviso de cookies;
  • quando uma Loja assina um plano pago, o e-mail, o telefone e o nome de quem assina, criptografados (hash SHA-256), para a Meta identificar qual anúncio trouxe a assinatura e melhorar a entrega dos anúncios. Você pode se opor a esse envio pelos canais da seção 8;
• Autoridades públicas: quando houver obrigação legal, ordem judicial ou requisição válida;
• Operações societárias: em caso de fusão, aquisição ou venda de ativos, com aviso aos titulares quando exigido.
• Empresa de verificação de identidade (hoje, a Didit Identity, Inc.), como operadora, para a captura e a conferência dos documentos e da selfie das pessoas responsáveis pelas Lojas, e, por intermédio dela, bases oficiais (como a da Receita Federal, via Serpro), apenas para confirmar a situação do CPF.

5. Transferência internacional de dados

Os dados da Plataforma são armazenados em servidores localizados nos Estados Unidos, e alguns provedores que utilizamos (como o Google Firebase, para notificações) também podem tratar dados fora do Brasil. Essas transferências são realizadas com base no art. 33 da LGPD, para a execução do contrato com o Usuário e mediante salvaguardas contratuais e técnicas adequadas (como criptografia em trânsito e controles de acesso), buscando nível de proteção compatível com o exigido pela legislação brasileira.

Verificação de identidade das Lojas: a empresa de verificação (Didit Identity, Inc., dos Estados Unidos) trata os dados em servidores na União Europeia, destino reconhecido como adequado (art. 33, I, da LGPD); as transferências aos Estados Unidos (a empresa contratada e os servidores do BrasiArte) se baseiam no consentimento específico dado em cláusula destacada do Termo de Verificação (art. 33, VIII, da LGPD). Detalhes no Termo de Verificação de Identidade das Lojas.

6. Cookies e tecnologias semelhantes

• Cookies essenciais: manter sua sessão autenticada e proteger contra fraudes (como o token CSRF). Sem eles a Plataforma não funciona.
• Cookies de medição (Google Analytics): nos ajudam a entender, de forma agregada, como o site é usado (páginas visitadas, origem do acesso). Só são ativados se você escolher "Aceitar todos" no aviso de cookies; escolhendo "Somente essenciais", a medição permanece desativada.
• Armazenamento local (localStorage): guardar preferências e dados de uso no seu próprio dispositivo, como itens do carrinho, favoritos e rascunhos de ferramentas do painel (por exemplo, o precificador).
• Cookies de publicidade (Pixel da Meta e tag do Pinterest): registram quando uma visita vinda de um anúncio vê produtos, coloca no carrinho, se cadastra ou compra, para medir e melhorar os anúncios. Assim como a medição, só são ativados se você escolher "Aceitar todos".
• Conversões do Google Ads: funcionam no Modo de Consentimento do Google, sem gravar cookies de publicidade. O Google recebe apenas sinais sem identificação, usados para estimar o resultado dos anúncios.
• Proteção anti-spam (Google reCAPTCHA): usamos o reCAPTCHA nos formulários de cadastro e contato para bloquear robôs. Ele coleta informações do dispositivo e da interação para essa finalidade, conforme a política de privacidade do Google.
• Conteúdos de terceiros: a Plataforma carrega fontes e ícones de provedores externos (como Google Fonts e CDNs), que podem registrar seu endereço IP ao entregar esses arquivos.

Você pode gerenciar cookies nas configurações do navegador, ciente de que bloquear os essenciais pode impedir o funcionamento da Plataforma.

7. Retenção e eliminação

• Mantemos seus dados enquanto sua conta estiver ativa e pelo tempo necessário às finalidades desta Política.
• Registros de acesso à aplicação são mantidos por, no mínimo, 6 meses (art. 15 do Marco Civil da Internet).
• Dados de pedidos e documentos fiscais podem ser mantidos pelos prazos legais e tributários aplicáveis (em regra, 5 anos ou mais). Os registros de aceite e de download de produtos digitais seguem o mesmo prazo dos dados do pedido.
• Ao excluir sua conta, eliminamos ou anonimizamos seus dados pessoais, ressalvados os que devamos conservar por obrigação legal, exercício de direitos ou prevenção a fraudes.
• Listas de clientes importadas pelas Lojas podem ser excluídas pela própria Loja no painel a qualquer momento.
• Dados da verificação de identidade das Lojas: as imagens da verificação aprovada são eliminadas do BrasiArte em até 7 dias e da empresa de verificação em até 30 dias, que guarda só o modelo matemático do rosto, sem imagem, por até 2 anos, contra contas repetidas; o resultado e os dados lidos ficam enquanto a conta existir e por mais 2 anos após o encerramento, para prevenção a fraudes e defesa de direitos; depois são eliminados automaticamente. Detalhes no Termo de Verificação.

8. Seus direitos como titular (art. 18 da LGPD)

Você pode solicitar, a qualquer momento:

• Confirmação da existência de tratamento e acesso aos seus dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade dos dados, observados os regulamentos da ANPD;
• Eliminação dos dados tratados com base no seu consentimento;
• Informação sobre compartilhamentos realizados;
• Informação sobre a possibilidade de não consentir e as consequências;
• Revogação do consentimento e oposição a tratamentos baseados em legítimo interesse.
• Revisão de decisão automatizada: pedir que uma pessoa revise decisão tomada unicamente por tratamento automatizado, como a da verificação de identidade (art. 20).

Como exercer: pelo e-mail suporte@brasiarte.com.br, pela Central de Suporte ou, para exclusão de conta, diretamente no aplicativo ou no site (em Minha conta, Meus dados; a loja, em Assinatura e pagamentos). Responderemos nos prazos da LGPD. Se a solicitação envolver dados tratados pela BrasiArte como operadora (por exemplo, lista importada por uma Loja), encaminharemos o pedido à Loja controladora e informaremos você.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

9. Comunicações e descadastro

• Comunicações operacionais (pedidos, conta e segurança) são inerentes ao uso da Plataforma.
• Comunicações promocionais podem ser desativadas pelo link de descadastro nos e-mails ou pelas configurações da conta. Notificações push podem ser desativadas nas configurações do seu dispositivo.
• O convite de reativação enviado por uma Loja aos próprios clientes antigos é um envio único: o destinatário não recebe novas mensagens dessa campanha, e o e-mail informa com clareza a origem do contato.

10. Segurança da informação

• Criptografia do tráfego (HTTPS/TLS) entre você e a Plataforma;
• Senhas armazenadas com algoritmo de hash irreversível;
• Credenciais e chaves de integração armazenadas de forma criptografada;
• Controles de acesso por perfil, registro de atividades administrativas e monitoramento;
• Nenhum sistema é infalível: em caso de incidente de segurança com risco ou dano relevante, comunicaremos os titulares afetados e a ANPD, na forma da LGPD.
• Documentos de identidade e imagens da verificação guardados com criptografia e chave própria, visíveis só para a administração com permissão específica, com registro de cada acesso.

11. Crianças e adolescentes

A Plataforma destina-se a maiores de 18 anos. Não coletamos deliberadamente dados de menores; se identificarmos cadastro de menor, ele será removido.

12. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças na Plataforma ou na legislação. A versão vigente, com a data de atualização, estará sempre disponível nesta página. Mudanças relevantes serão comunicadas pelos canais da Plataforma.

13. Encarregado de dados (DPO) e contato

Encarregado pelo tratamento de dados pessoais: Anderson Olsen. Contato: suporte@brasiarte.com.br. Se preferir, utilize a Central de Suporte.