Para que serve este acordo
Em resumo: quando a sua loja usa a Vertia, nós tratamos dados de clientes e criadores em seu nome. Este acordo diz o que podemos e o que não podemos fazer com eles.
Este Acordo de Tratamento de Dados ("acordo") faz parte dos Termos de Serviço entre você, a pessoa ou empresa que contrata a Vertia para uma loja, e a VERT TECH TECNOLOGIA E DESENVOLVIMENTO LTDA ("Vertia", "nós"), CNPJ 68.582.744/0001-03.
Ao aceitar os Termos, você aceita também este acordo, incluindo os anexos e as cláusulas de transferência da seção 15. O aceite eletrônico vale como assinatura de todos eles. Não é preciso assinar uma cópia à parte.
Este acordo cumpre o que exigem a LGPD (Lei 13.709/2018, art. 39), o GDPR da União Europeia e o UK GDPR (art. 28), as leis de privacidade dos estados dos EUA, como a da Califórnia (CCPA/CPRA), e as leis do Canadá (PIPEDA e a lei do Quebec).
Papéis
Em resumo: a loja é a controladora dos dados dos clientes e criadores dela. A Vertia é a operadora e só trata esses dados para prestar o serviço.
- Você é o controlador dos dados pessoais dos clientes da sua loja, dos visitantes da sua vitrine e dos criadores que a sua loja cadastra. A loja, os clientes e a finalidade são seus.
- A Vertia é a operadora (em inglês, "processor" ou "service provider"). Tratamos esses dados em seu nome, só para prestar o serviço e segundo as suas instruções.
- Se você atende outra empresa, como uma agência que opera a loja de um cliente, você age como operador dessa empresa e a Vertia passa a ser suboperadora. Você garante que tem autorização dela para nos dar as instruções deste acordo.
- Fora deste acordo ficam os dados que a Vertia trata como controladora: a conta e a equipe da loja, a conta global do criador no portal, os visitantes do nosso site e os registros de acesso. Esses dados seguem a Política de Privacidade.
O que tratamos, por quanto tempo e para quê
Em resumo: tratamos os dados que a sua loja traz para a Vertia, enquanto o contrato durar, para fazer o CRM funcionar.
- Objeto: os dados pessoais que a Vertia recebe da sua plataforma de loja, de você, da sua equipe e dos seus clientes e criadores ao usar o serviço.
- Duração: enquanto durar o contrato, mais o prazo de exclusão da seção 13.
- Natureza: coletar pela plataforma da loja, guardar, organizar, segmentar, enviar mensagens, registrar o resultado delas, calcular comissões e excluir.
- Finalidade: prestar o serviço que você contratou: segmentar clientes, enviar campanhas e automações por e-mail e WhatsApp, medir resultados e gerir criadores e as comissões deles.
- Titulares e dados: as categorias estão no Anexo I.
Dados sensíveis. O serviço não pede dados sensíveis (saúde, origem racial, religião, opinião política, vida sexual, biometria e outros do art. 5º, II, da LGPD e do art. 9 do GDPR). Não os coloque na Vertia, nem em campos livres como notas, etiquetas ou planilhas importadas.
Suas instruções
Em resumo: só fazemos com os dados o que você manda, pelo painel, pela configuração da loja ou por escrito. Se uma instrução for ilegal, avisamos.
O que conta como instrução. Este acordo, os Termos, o que você configura no painel (campanhas, automações, grupos, integrações) e o que você nos pede por escrito pelo e-mail de suporte.
O que não fazemos. Não tratamos os dados da sua loja para fins próprios. Em especial:
- não vendemos, não alugamos e não compartilhamos esses dados;
- não os usamos para publicidade, nem nossa nem de terceiros;
- não os misturamos com dados de outras lojas;
- não os usamos para treinar modelos de inteligência artificial, nem de forma anônima, agregada ou derivada. Isso vale com mais força para os dados do WhatsApp, que os termos da Meta proíbem usar assim.
Exigência legal. Se a lei nos obrigar a tratar dados fora das suas instruções, por exemplo por ordem judicial, avisamos você antes, salvo se a própria lei proibir o aviso.
Instrução ilegal. Se acharmos que uma instrução sua viola a lei de proteção de dados, avisamos você na hora e podemos suspender aquela operação até a dúvida se resolver.
Webhooks de saída e integrações. Quando um administrador da sua loja cadastra uma URL de webhook de saída, ou conecta uma integração, os dados que você escolheu passam a ser enviados para esse destino. Esse envio é uma instrução sua. A Vertia assina cada envio para que o destino confira a origem, mas o destino é escolha sua: você responde pelo que acontece com os dados depois que chegam lá, e ele não é subprocessador da Vertia. Hoje os eventos de cliente enviados por webhook podem incluir nome, e-mail, telefone, documento (CPF ou CNPJ), data de nascimento, gênero, cidade e situação de consentimento.
Regras de cada lei
Em resumo: as obrigações acima valem em todo lugar. Esta seção diz como elas se encaixam em cada lei.
Brasil (LGPD). Tratamos os dados segundo as suas instruções (art. 39), mantemos registro das operações (art. 37), adotamos as medidas de segurança do art. 46 e respondemos nos termos do art. 42.
União Europeia e Reino Unido (GDPR e UK GDPR). Este acordo cumpre cada alínea do art. 28(3):
| Art. 28(3) | O que a Vertia faz | Onde está |
|---|---|---|
| (a) instruções documentadas, inclusive sobre transferências | só trata os dados segundo as suas instruções e avisa se a lei a obrigar a outra coisa | seções 4 e 15 |
| (b) confidencialidade | só pessoas com dever de sigilo tratam os dados | seção 6 |
| (c) segurança do art. 32 | mantém as medidas do Anexo II | seção 7 e Anexo II |
| (d) subprocessadores | só contrata com autorização geral, aviso e direito de objeção | seção 8 |
| (e) direitos dos titulares | ajuda você a responder pedidos | seção 9 |
| (f) arts. 32 a 36 | ajuda com segurança, incidentes, avaliação de impacto e consulta prévia | seções 7, 10 e 11 |
| (g) fim do serviço | apaga ou devolve os dados, à sua escolha | seção 13 |
| (h) informação e auditoria | entrega a informação para demonstrar conformidade e aceita auditorias | seção 12 |
Califórnia (CCPA/CPRA). Para os dados de residentes da Califórnia, a Vertia é sua "service provider" e trata os dados só para as finalidades de negócio da seção 3. A Vertia:
- não vende nem compartilha ("sell" ou "share") os dados;
- não os guarda, usa ou divulga fora da relação direta com você, nem para finalidade diferente da prevista neste acordo;
- não os combina com dados que recebe de outras pessoas ou que coleta por conta própria, salvo nos casos que a lei permite;
- cumpre a CCPA e dá aos dados o mesmo nível de proteção que a lei exige de você;
- avisa você se não puder mais cumprir essas obrigações;
- permite que você tome medidas razoáveis para fazer cessar e corrigir um uso não autorizado;
- só repassa dados a subcontratados com contrato escrito que traga as mesmas obrigações.
A Vertia declara que entende e cumpre essas restrições.
Outros estados dos EUA (como Virgínia, Colorado, Connecticut e Texas). Como operadora ("processor"), a Vertia segue as suas instruções, mantém sigilo, apaga ou devolve os dados no fim, entrega a informação para demonstrar conformidade, colabora com avaliações e só usa subcontratados com contrato escrito de obrigações equivalentes.
Canadá (PIPEDA). A Vertia dá aos dados um nível de proteção comparável ao que você deve dar (Princípio 4.1.3). Os dados podem ser tratados fora do Canadá, nos países listados em Subprocessadores.
Quebec (Lei 25). Este acordo é o mandato escrito do art. 18.3: a Vertia usa os dados só para o mandato, adota as medidas do Anexo II, não os guarda depois do fim do contrato e avisa você sem demora de qualquer violação de confidencialidade. A pedido, entregamos as informações de que você precisa para a sua avaliação de impacto antes da contratação (art. 17).
Confidencialidade
Em resumo: quem trata os dados da sua loja tem dever de sigilo.
Só pessoas autorizadas tratam os dados da sua loja, e só na medida do necessário para prestar o serviço, dar suporte que você pediu ou cumprir a lei. Todas elas assumem dever de confidencialidade por contrato ou estão sujeitas a dever legal de sigilo, que continua depois que deixam de trabalhar com a Vertia.
Segurança
Em resumo: mantemos as medidas técnicas e organizacionais do Anexo II e só as trocamos por outras que protejam no mesmo nível ou mais.
A Vertia adota as medidas descritas no Anexo II, adequadas ao risco do tratamento, como pedem o art. 46 da LGPD e o art. 32 do GDPR. Podemos atualizar essas medidas, desde que a proteção não diminua. A página de Segurança explica as medidas em linguagem simples.
Subprocessadores
Em resumo: você autoriza os subprocessadores da nossa lista. Antes de incluir ou trocar um, avisamos por e-mail com 15 dias de antecedência, e você pode se opor.
Autorização geral. Você autoriza a Vertia a usar os subprocessadores publicados em Subprocessadores (Anexo III).
Mesmas obrigações. Cada subprocessador assume, por contrato escrito, obrigações de proteção de dados pelo menos tão protetoras quanto as deste acordo. A Vertia responde perante você pelo que o subprocessador fizer.
Aviso de mudança. Antes de incluir ou trocar um subprocessador, atualizamos a página e enviamos aviso por e-mail com pelo menos 15 dias de antecedência a quem assinou os avisos. Para assinar, escreva para privacidade@usevertia.com com o assunto "Assinar avisos de subprocessadores".
Objeção. Dentro desses 15 dias, você pode se opor por escrito, com um motivo ligado à proteção de dados. Vamos procurar uma solução com você, como não usar aquele subprocessador para a sua loja. Se não houver solução, você pode encerrar o contrato antes de a mudança valer, sem multa.
Urgência. Se precisarmos trocar um subprocessador às pressas, para proteger os dados ou manter o serviço no ar, avisamos assim que possível, e o direito de objeção vale do mesmo jeito.
Pedidos dos titulares
Em resumo: se um cliente da sua loja pedir acesso, correção ou exclusão dos dados, ajudamos você a responder no prazo.
- O painel mostra os pedidos que chegam pela plataforma da loja e permite exportar os dados de um cliente. A exclusão de um cliente sai pelo pedido de privacidade da plataforma ou, a seu pedido por escrito, por nós, em até 30 dias.
- Se um titular escrever direto para a Vertia sobre dados da sua loja, repassamos o pedido a você em até 2 dias úteis e não respondemos no seu lugar, salvo se você pedir.
- A pedido, ajudamos com o que o painel não resolve sozinho, dentro do que for razoável para a natureza do serviço.
Avaliação de impacto e consulta à autoridade
Em resumo: se você precisar avaliar o risco do tratamento, entregamos as informações que temos.
A pedido, entregamos as informações de que você precisa para um relatório de impacto (LGPD, art. 38), uma avaliação de impacto (GDPR, art. 35, ou a avaliação da lei do Quebec) ou uma consulta prévia à autoridade (GDPR, art. 36). Isso inclui onde os dados ficam, quem os trata e as medidas do Anexo II.
Incidentes de segurança
Em resumo: se um incidente afetar os dados da sua loja, avisamos você em até 48 horas depois de tomarmos conhecimento dele.
Prazo. Avisamos sem demora indevida e em até 48 horas depois de a Vertia tomar conhecimento de um incidente que afete dados pessoais da sua loja. O prazo deixa folga para você cumprir os seus: 3 dias úteis para a ANPD (Res. CD/ANPD 15/2024) e 72 horas para a autoridade europeia (GDPR, art. 33).
Como avisamos. Por e-mail ao administrador da loja e por aviso no painel.
O que o aviso diz. O que sabemos até o momento sobre:
- a natureza do incidente;
- as categorias e o número aproximado de titulares e de registros afetados;
- as consequências prováveis;
- as medidas tomadas ou propostas para conter o incidente e reduzir os danos;
- quem pode dar mais informações.
O que ainda não soubermos, mandamos por etapas, assim que soubermos.
Depois do aviso. Colaboramos com você na investigação e na comunicação à autoridade e aos titulares, que cabe a você como controlador. Registramos todo incidente, comunicado ou não, e guardamos o registro por pelo menos 5 anos. O aviso não é reconhecimento de culpa.
Informações e auditoria
Em resumo: você pode verificar se cumprimos este acordo. Começamos por questionário e documentos; visita no local só quando a lei exigir.
- Questionário. Uma vez por ano, e também depois de um incidente que afete a sua loja, respondemos por escrito a um questionário razoável de segurança e privacidade.
- Relatório. Junto com as respostas, entregamos a documentação que demonstra o cumprimento deste acordo, como a descrição das medidas do Anexo II e a lista atualizada de subprocessadores.
- Visita. Uma auditoria no local só acontece quando a lei aplicável ou uma autoridade exigir e o questionário não bastar. Ela é marcada com 30 dias de antecedência, feita por você ou por auditor sujeito a sigilo, em horário comercial, sem acesso a dados de outras lojas, uma vez por ano no máximo, salvo exigência de autoridade, e com custos por sua conta.
- Quando as cláusulas-padrão da União Europeia se aplicarem, as auditorias seguem a cláusula 8.9 delas.
Fim do contrato
Em resumo: antes de sair, peça a exportação. Até 30 dias depois do fim, apagamos os dados da sua loja.
Devolução. Antes de encerrar o contrato ou desinstalar o app, você pode pedir uma cópia dos dados da sua loja em formato estruturado a suporte@usevertia.com. Depois da desinstalação, a plataforma da loja pode pedir a exclusão em poucos dias (na Shopify, 48 horas), e a cópia deixa de ser possível.
Exclusão. Apagamos os dados da sua loja, inclusive os arquivos e os dados recebidos da Meta, em até 30 dias depois do fim do contrato ou da desinstalação.
O que fica. Só o que a lei manda guardar, pelo prazo dela, com o mesmo sigilo e só para essa finalidade. Também fica um identificador da loja, sem dados de clientes, que impede que uma reinstalação traga de volta dados já apagados.
Registros técnicos dos fornecedores, como registros de erro e de requisição, são apagados no ciclo de retenção de cada fornecedor.
Integrações que você escolhe
Em resumo: Shopify, Nuvemshop e Meta são contratadas por você. Os dados que trocamos com elas seguem também os contratos que você tem com elas.
Sua plataforma de loja (Shopify ou Nuvemshop) e a Meta, no WhatsApp, não são subprocessadores da Vertia. Você contrata cada uma delas diretamente, e a sua conta nelas é sua. A Vertia recebe dados delas e envia dados a elas por instrução sua. Para o WhatsApp, a Meta trata as mensagens como operadora da sua empresa, nos termos que você aceita com ela, como os Termos de Tratamento de Dados do WhatsApp Business. Veja a lista e a explicação.
Transferências internacionais
Em resumo: os dados da sua loja ficam guardados no Brasil. Quando um fornecedor trata dados fora do país, usamos os mecanismos legais de cada região.
Onde ficam. O banco de dados e os arquivos ficam em São Paulo. Alguns fornecedores tratam dados em outros países, principalmente nos EUA. País e mecanismo de cada um estão em Subprocessadores.
Da União Europeia para o Brasil. A Comissão Europeia reconheceu que o Brasil oferece proteção adequada (Decisão C(2026) 373, de 26 de janeiro de 2026). Por isso, a transferência da sua loja na UE para a Vertia não precisa de outras cláusulas.
Do Reino Unido. O Reino Unido não reconhece o Brasil como adequado. Para dados do Reino Unido, valem as cláusulas-padrão da UE com o Adendo do Reino Unido (International Data Transfer Addendum, versão B1.0, do ICO), incorporados a este acordo. As tabelas do Adendo são preenchidas com as partes e os detalhes do Anexo I, e nenhuma das partes pode encerrá-lo pela cláusula 19 dele.
Da Suíça. Para dados da Suíça, valem as cláusulas-padrão da UE com as adaptações exigidas pela lei suíça: a autoridade é o FDPIC (Comissário Federal de Proteção de Dados e Informação), "Estado-membro" inclui a Suíça, e os titulares podem exercer seus direitos lá.
Reserva: cláusulas-padrão da UE. Se a decisão de adequação deixar de valer, ou não alcançar uma transferência, aplicam-se as cláusulas-padrão aprovadas pela Decisão (UE) 2021/914: o módulo 2 quando você for controlador e o módulo 3 quando você for operador. Nelas:
- a cláusula 7 (adesão) se aplica;
- na cláusula 9, vale a opção de autorização geral, com o aviso de 15 dias da seção 8;
- na cláusula 11, a opção de órgão independente não se aplica;
- nas cláusulas 17 e 18, valem a lei e os tribunais do Estado-membro em que você está estabelecido; se essa lei não admitir os direitos de terceiros beneficiários, vale a lei da Irlanda;
- os anexos são os Anexos I, II e III deste acordo.
Saída do Brasil. Quando os dados da sua loja vão do Brasil a um subprocessador em país sem adequação reconhecida pela ANPD, a transferência segue o art. 33 da LGPD. A Vertia está formalizando com cada um desses subprocessadores as cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD 19/2024, opção B, para transferência entre operadores, art. 33, II, "b"); a página de Subprocessadores mostra a situação de cada um. A ANPD reconhece a União Europeia como adequada (Resolução CD/ANPD 32/2026); para subprocessador lá, vale o art. 33, I. Você publica as informações sobre essas transferências na política de privacidade da sua loja (Res. 19/2024, art. 17); damos o que for preciso para isso.
Transferências posteriores. Um subprocessador só recebe dados de fora do país de origem com mecanismo válido para aquela transferência, e a proteção não pode cair em nenhuma etapa.
Responsabilidade
Em resumo: a responsabilidade por este acordo segue o teto dos Termos, salvo onde a lei não deixa limitar.
Entre você e a Vertia, a responsabilidade por este acordo segue a seção de responsabilidade dos Termos, inclusive o teto de 12 meses pagos e as exceções de lá. O teto não limita os direitos dos titulares nem a responsabilidade que a lei não permite limitar, como a do art. 42 da LGPD e a do art. 82 do GDPR, e não se aplica às cláusulas de transferência da seção 15 naquilo em que elas não admitem limitação.
Qual documento vale
Em resumo: para dados pessoais, este acordo vale sobre os Termos. As cláusulas de transferência valem sobre este acordo.
Se houver conflito, vale esta ordem:
- as cláusulas de transferência da seção 15 (cláusulas-padrão da UE, Adendo do Reino Unido, adaptação suíça e cláusulas-padrão da ANPD), quando se aplicarem;
- este acordo e seus anexos;
- os Termos de Serviço;
- as demais políticas.
Este acordo segue a lei e o foro dos Termos, salvo onde as cláusulas de transferência mandarem outra coisa. Mudanças seguem a regra de mudanças dos Termos. O português prevalece sobre o inglês, como nos Termos.
Contato
Em resumo: questões sobre este acordo vão para o canal de privacidade.
- Encarregado de dados (LGPD): Brunno Vert Visani Carvalho, pelo e-mail privacidade@usevertia.com.
- Representantes na UE e no Reino Unido e DPO (GDPR): a Vertia nomeia o representante na União Europeia (GDPR, art. 27), o representante no Reino Unido (UK GDPR, art. 27) e o encarregado de proteção de dados (DPO) antes de oferecer o serviço a clientes no Espaço Econômico Europeu e no Reino Unido, e publica nome e contato nesta página. Até lá, os pedidos vão para privacidade@usevertia.com.
- Incidentes e vulnerabilidades: seguranca@usevertia.com.
Anexo I
Em resumo: quem são as partes e quais dados passam por este acordo, no formato do Anexo I das cláusulas-padrão da UE.
A. Partes
| Papel | Quem | Contato |
|---|---|---|
| Exportador (controlador ou, no módulo 3, operador) | Você, a pessoa ou empresa que contratou a Vertia para a loja, identificada no cadastro da conta | O e-mail do administrador da loja |
| Importador (operador ou suboperador) | VERT TECH TECNOLOGIA E DESENVOLVIMENTO LTDA, CNPJ 68.582.744/0001-03, Av. Cristóvão Colombo, 2144, sala 408, 3º andar, Floresta, Porto Alegre/RS, CEP 90560-001, Brasil | Brunno Vert Visani Carvalho, encarregado, privacidade@usevertia.com |
Atividade das partes: o exportador vende online; o importador fornece software de CRM e mensagens para lojas online. Assinatura e data: o aceite eletrônico dos Termos, na data registrada.
B. Descrição do tratamento e da transferência
Titulares:
- clientes e ex-clientes da loja, inclusive quem só deixou o contato no checkout;
- assinantes e contatos que você importa;
- criadores (influenciadores e afiliados) que a loja cadastra;
- quem recebe mensagens da loja por e-mail ou WhatsApp.
Dados pessoais:
- identificação e contato: nome, e-mail, telefone, país do número, documento (CPF ou CNPJ, quando a plataforma ou você o informam), data de nascimento e gênero, quando houver;
- localização: cidade, estado e país; o endereço completo, o IP e o navegador do pedido, quando vêm no aviso bruto que a plataforma manda;
- compras: pedidos, itens, valores, cupons, canal, meio de pagamento, datas e estornos;
- consentimento: aceite e descadastro por canal, com data;
- segmentação: etiquetas, grupos e classificação de compra (RFM);
- mensagens: conteúdo enviado; eventos de entrega, abertura (com o IP e o agente do programa de e-mail, informados pelo provedor), leitura e resposta informados pelo canal; e o clique registrado pelo nosso link;
- criadores: nome, contato, redes sociais, notas, aceite do acordo com a loja, vendas atribuídas, fechamentos, pagamentos, comprovantes de pagamento e dados para pagamento (CPF ou CNPJ, chave Pix, razão social);
- pedidos de privacidade dos titulares e o histórico de quem fez o quê na loja.
Dados sensíveis: nenhum. Veja a seção 3.
Frequência: contínua, enquanto o contrato durar.
Natureza e finalidade: as da seção 3.
Retenção: enquanto o contrato durar, mais até 30 dias (seção 13). Comprovantes de pagamento a criadores são apagados 90 dias depois do envio. O dado de um cliente sai quando você, o titular ou a plataforma pedem a exclusão.
Transferências a subprocessadores: objeto, natureza e duração na página Subprocessadores.
C. Autoridade de controle competente
A do Estado-membro em que o exportador está estabelecido. Se ele não estiver estabelecido na UE, a do Estado-membro do representante dele (art. 27 do GDPR). No Reino Unido, a Information Commission (antigo ICO). Na Suíça, o FDPIC.
Anexo II
Em resumo: as medidas técnicas e organizacionais que a Vertia mantém. As do bloco E-mail valem a partir da ativação do canal de e-mail da loja.
Onde os dados ficam
- Banco de dados e arquivos no Supabase, em São Paulo (região AWS sa-east-1).
- Aplicação e funções na Vercel, em São Paulo (região gru1).
- E-mails das lojas enviados pelo Amazon SES, em São Paulo (sa-east-1), a partir da ativação do canal de e-mail.
Criptografia
- Em trânsito: o site, o app e as APIs só aceitam HTTPS, com TLS 1.2 ou 1.3.
- Em repouso: o banco é cifrado pelo provedor (Supabase, AES-256).
- Na aplicação: tokens de acesso às plataformas de loja e segredos dos webhooks de saída são cifrados com AES-256-GCM, com vetor aleatório a cada cifragem e chave guardada fora do banco.
Separação entre lojas
- Toda tabela de dados tem controle de acesso por linha (Row Level Security) ligado, e cada linha pertence a uma loja.
- Rotinas em segundo plano filtram pela loja de forma explícita.
- Arquivos ficam em caminhos separados por loja. O depósito de comprovantes é privado, e cada arquivo abre por link assinado que vale 60 segundos.
Acesso dentro da loja
- Papéis de administrador e de membro.
- Os dados de pagamento do criador ficam numa tabela à parte, visível só a administradores e só depois que o criador aceita o acordo com a loja.
- Senhas ficam só no serviço de autenticação (Supabase Auth), nunca nas nossas tabelas, com mínimo de 10 caracteres. Também é possível entrar por link mágico ou com o Google.
- O registro de atividade guarda quem fez cada operação na loja.
Integrações
- Avisos recebidos da Shopify e da Nuvemshop são conferidos por assinatura HMAC antes de serem aceitos.
- Webhooks de saída vão assinados, para que o destino confira a origem.
- A conexão com as plataformas de loja (OAuth) usa um estado cifrado que vence em 10 minutos.
- Ao buscar imagens externas, só aceitamos HTTPS para endereços públicos, sem redirecionamento.
Minimização
- Monitoramento de erros (Sentry) sem dados pessoais: sem nome, e-mail, IP, cookies, cabeçalhos ou corpo das requisições; a mensagem de erro é trocada por texto genérico.
- Registros da aplicação só com identificadores e motivos, sem o conteúdo dos dados.
- Nenhuma ferramenta de analytics, pixel ou cookie de terceiro no site ou no app.
- O rastreio de clique do provedor de e-mail fica desligado no canal de e-mail.
E-mail (a partir da ativação do canal)
- O e-mail da loja sai do domínio próprio dela, autenticado com DKIM (chave de 2048 bits), SPF em subdomínio próprio e DMARC.
- Todo e-mail de marketing tem descadastro em um clique.
Retenção e exclusão
- Exclusão por titular e exclusão da loja inteira, incluindo arquivos, pelos pedidos de privacidade da Shopify e da Nuvemshop ou a pedido por escrito.
- Um registro mínimo do cliente excluído impede que ele volte numa nova importação.
- Comprovantes de pagamento a criadores são apagados automaticamente 90 dias depois do envio.
Organização
- Pessoas com dever de confidencialidade, com acesso só ao que a função exige.
- Subprocessadores com contrato de proteção de dados (seção 8).
- Processo de resposta a incidentes, com aviso em até 48 horas e registro de todo incidente (seção 11).
Anexo III
Em resumo: a lista de subprocessadores fica numa página própria, com data de atualização.
A lista atual de subprocessadores, com finalidade, dados tratados, local e mecanismo de transferência, está em Subprocessadores. Ela faz parte deste acordo. Mudanças seguem a seção 8.