Privacidade e Cookies
Versão: 1.0 · SHA-256: c800bebe401b0858c9484d843926c385d6d4cdd5724fccf2f6641ff3f4c9b86d
Documento integral aprovado e preservado. Alterações exigem outra versão e novo aceite.
POLÍTICA DE PRIVACIDADE E COOKIES
Versão: 1.0 | Preparado em: 15/10/2026
Plataforma: LagartixaPay — https://largatixapay.com. Operação inicial em Foz do Iguaçu–PR por pessoa física maior de 18 anos.
Identificação do controlador dos dados de conta e segurança: O LagartixaPay é operado por Luiz Fernando Reis, com sede de operação em Foz do Iguaçu, Paraná.
Contato: lagartixapaysuporte@gmail.com
Canal de privacidade e atendimento: lagartixapaysuporte@gmail.com. Primeira resposta de atendimento prevista em até 2 dias úteis, observados prazos específicos da legislação.
Vigência: a partir da publicação desta versão no site oficial.
1. Escopo e transparência
Esta Política descreve as categorias de dados pessoais que podem ser tratadas na operação do software LagartixaPay, destinado a lojistas e às pessoas que compram seus produtos e serviços. As relações entre o LagartixaPay, cada lojista e os prestadores de pagamento variam conforme as finalidades concretas do tratamento; as responsabilidades devem ser confirmadas contratualmente antes da publicação.
A política não autoriza a coleta irrestrita de dados e não substitui as informações que cada vendedor deva oferecer aos seus compradores, inclusive sua política de privacidade quando aplicável.
2. Dados pessoais e respectivas finalidades
Cadastro e gestão da loja: nome do usuário, e-mail, nome e endereço digital da loja, vínculos de equipe, perfil de acesso e preferências administrativas. Finalidades: cadastro, prestação do software, autenticação, comunicações de serviço e suporte.
Segurança e autenticação: senha armazenada por meio de hash, autenticador de dois fatores e materiais de recuperação protegidos, sessões, endereço IP e registros técnicos de acesso, eventos de auditoria e tentativas de autenticação. Finalidades: proteção de contas, prevenção de abuso, investigação proporcional de incidentes e segurança da plataforma.
Compradores e pedidos: dados fornecidos no checkout, que podem incluir nome, e-mail, CPF, identificação de produtos, valores, datas, estados de pagamento e registros necessários à conciliação, entrega e tratamento de reclamações. A pertinência do CPF e de cada dado deve ser revisada por fluxo e pela real necessidade da venda; o LagartixaPay não deve solicitar dados além do necessário.
Cobrança do software: identificação da loja, plano contratado, e-mail do pagador, valor, referência da cobrança Pix, estado da fatura e informações de conciliação trocadas com a Getfy e o provedor financeiro responsável. A plataforma não precisa guardar dados completos de cartão, pois o MVP utiliza Pix.
Integração dos lojistas com o Mercado Pago: identificadores da conta conectada, autorizações e credenciais técnicas protegidas no servidor, registros mínimos de solicitação e resposta necessários ao pagamento. Os tokens de integração não devem ser divulgados em páginas ou mensagens públicas.
Atendimento, denúncias e exercício de direitos: identificação do solicitante, conteúdo da solicitação, provas fornecidas voluntariamente e registros da resposta, pelo período justificadamente necessário. Nunca se deve exigir senha, código 2FA ou chave secreta em atendimento por e-mail.
3. Bases legais
As hipóteses previstas na LGPD dependem de cada atividade concreta e devem ser mapeadas pelo responsável. Entre as que podem ser pertinentes estão procedimentos preliminares e execução de contrato para uso do SaaS; cumprimento de obrigações legais ou regulatórias para certos registros; exercício regular de direitos para documentação de conflitos; e legítimo interesse, quando aplicável e sustentado por análise de necessidade, impacto e balanceamento, para determinadas finalidades de segurança.
Cookies e ferramentas não essenciais de publicidade ou análise serão tratados de acordo com base legal válida e informação clara; quando dependentes de consentimento, esse consentimento deverá ser livre, informado, específico e revogável. Não se pressupõe consentimento para todos os tratamentos apenas porque o usuário aceita os Termos de Uso.
4. Quem trata os dados e com quem podem ser compartilhados
Para cadastro, segurança e administração do próprio serviço, o agente que efetivamente decide finalidades e meios do tratamento deverá ser identificado como controlador. Os lojistas podem atuar como controladores das informações dos próprios compradores necessárias para vender, entregar e atender; o LagartixaPay poderá atuar como operador em certas etapas e, em outras, ter obrigações próprias. Essa divisão exige revisão jurídica por finalidade, sem rotular todos os agentes de modo genérico.
Os destinatários e fornecedores relevantes são: Mercado Pago, para processamento Pix dos clientes dos lojistas; Getfy, para gestão da cobrança Pix das mensalidades do software; Brevo, para e-mails transacionais, como recuperação de conta; e Railway, como infraestrutura de hospedagem e banco de dados da produção. Outros prestadores eventualmente utilizados — como serviços de backup, monitoramento ou suporte — só deverão constar como ativos se confirmados na infraestrutura real.
Países e regiões dos servidores
A infraestrutura principal do LagartixaPay está hospedada na plataforma Railway, com servidores localizados nos Estados Unidos, na região da Virgínia (US East).
A aplicação e o banco de dados PostgreSQL estão hospedados nessa região.
Serviços integrados de terceiros, como Mercado Pago, Brevo e Getfy, poderão realizar tratamentos de dados em outras localidades, conforme suas respectivas infraestruturas e políticas de privacidade, observadas as exigências da LGPD.
As informações sobre a localização do tratamento e eventuais transferências internacionais serão complementadas conforme a análise dos contratos dos fornecedores. Não se afirma que todos os dados ficam exclusivamente no Brasil.
5. Menores e representação
O LagartixaPay admite, em tese, a possibilidade de contratação de lojistas menores com responsável legal quando permitido pela lei e pelas regras do Mercado Pago. O cadastro efetivo deve depender de mecanismo jurídico e técnico adequado de representação/assistência, validação da elegibilidade e aplicação da proteção de dados correspondente. O serviço não se destina a coletar indiscriminadamente dados de crianças; ofertas destinadas a elas e eventual tratamento de seus dados requerem avaliação específica, inclusive do melhor interesse.
6. Cookies, sessões e preferências
Cookies ou identificadores tecnicamente essenciais podem ser usados para manter autenticação, proteger sessões e preservar a segurança. Esses mecanismos não são equivalentes a publicidade comportamental. As preferências de cookies não essenciais são mantidas localmente no navegador, na implementação descrita, por até 180 dias ou até a mudança de versão das preferências.
Google Analytics e Meta Pixel permanecem desligados no MVP. A existência de opção visual de análise ou marketing não significa que os rastreadores estejam ativos. Antes de ativar novas tecnologias, a plataforma terá de informar fornecedor, finalidade, duração, categoria, compartilhamento e mecanismo de rejeição e revogação; as ferramentas sujeitas a consentimento deverão permanecer desligadas até manifestação válida. Deve haver possibilidade de recusar cookies não essenciais sem bloqueio indevido de acesso às funções básicas do serviço.
7. Conservação dos dados e descarte
Os prazos são definidos por finalidade e obrigação legal, não por uma regra única. Para histórico de login, a política operacional proposta é limitar a retenção a 90 dias, com rotina técnica de limpeza em lotes somente após revisão jurídica e ativação controlada, ressalvada conservação excepcional justificada para incidentes e defesa de direitos. Portanto, 90 dias é uma diretriz planejada, não afirmação de limpeza automática já ativa.
Sessões inativas, tokens de recuperação e artefatos de segurança expirados poderão ter descarte mais breve após prazos técnicos adequados. Informações cadastrais serão conservadas durante a relação contratual e posteriormente enquanto houver motivo legítimo e documentado.
Pedidos, CPF de compradores, transações, contestações, faturas, comprovantes, registros de aceite e trilhas de auditoria não são eliminados automaticamente em 90 dias. Seus prazos dependem de obrigações legais, fiscais, regras dos provedores, prevenção de fraude e exercício de direitos; precisam ser definidos por categoria em tabela de retenção revisada. Backups, históricos de incidentes e cópias técnicas exigem política própria de expiração e eliminação segura. Dados elegíveis serão excluídos ou anonimizados após cessar a necessidade, respeitadas as exceções legais.
8. Direitos dos titulares e canal de solicitação
Nos termos da LGPD, o titular poderá requerer confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação quando cabível, portabilidade nas condições aplicáveis, informação sobre compartilhamentos, revogação de consentimento, oposição ou revisão de decisões automatizadas nas hipóteses legais.
O contato é lagartixapaysuporte@gmail.com. O solicitante deverá identificar-se por meio proporcional, sem encaminhar senha nem token. A plataforma possui recursos de solicitação de privacidade, exportação parcial dos dados de conta e encerramento/anonimização do perfil; exportações de compradores, dados financeiros e registros de terceiros dependem de análise separada. Encerrar o perfil não apaga automaticamente informações que precisem ser legalmente conservadas.
O responsável deverá responder de acordo com os prazos e meios legais. O objetivo de primeira resposta do suporte em até 2 dias úteis não altera prazos previstos pela LGPD, pela ANPD ou por outras normas aplicáveis.
9. Segurança, incidentes e comunicação
A plataforma emprega salvaguardas como controles de acesso, separação de lojas, mecanismos de autenticação, verificação de mensagens financeiras, proteção de certas credenciais e registros de auditoria. Tais salvaguardas não eliminam a possibilidade de incidentes. O responsável deve manter procedimento documentado de detecção, classificação, contenção, preservação de evidência, avaliação de risco e comunicação.
Incidentes que possam acarretar risco ou dano relevante aos titulares deverão ser avaliados e comunicados à ANPD e aos titulares, quando legalmente exigido, observadas as condições e os prazos da Resolução CD/ANPD nº 15/2024. O procedimento de resposta operacional e responsáveis internos deverão ser formalizados antes da abertura comercial.
10. Mudanças desta política
Mudanças relevantes de finalidade, fornecedores, tratamento ou prazo de retenção serão descritas em versão atualizada, disponível em endereço acessível, com a data de vigência e comunicação quando necessária. O direito de revogar consentimentos pertinentes será preservado. O texto publicado será versionado com integridade verificável.
Referências normativas
Referências: LGPD (Lei nº 13.709/2018, especialmente arts. 6º, 7º, 9º, 16, 18, 33 e 46 a 48); orientações da ANPD sobre cookies e direitos do titular; Resolução CD/ANPD nº 15/2024.