Políticas

A loja GVARD é operada pela empresa identificada abaixo, que é a controladora dos dados pessoais tratados aqui.

Somos um agente de tratamento de pequeno porte. Nessa condição, a Resolução CD/ANPD 2/2022 dispensa a nomeação formal de encarregado, mas não dispensa o canal de comunicação acima — e ele funciona.

Cada linha abaixo é um tratamento que a loja realmente faz. Se algo não está aqui, não fazemos.

Terminado o prazo, os dados são apagados por rotina automática. Os registros de acesso, por exemplo, são eliminados 180 dias depois de criados, sem exceção.

Não vendemos seus dados. Não fazemos perfilamento publicitário. Não há ferramenta de analytics, pixel de anúncio ou gerenciador de tags rodando nesta loja — nenhum. Não pedimos dado sensível (origem racial, saúde, biometria, convicção religiosa ou política) em momento algum.

Contratamos empresas para operar partes do serviço. Elas tratam os dados sob nossa instrução e só para a finalidade indicada.

Além dessas, podemos compartilhar dados com autoridades quando houver ordem judicial ou exigência legal, e com advogados e contadores no que for necessário para exercer ou defender direitos.

Parte dos serviços acima trata dados fora do Brasil — Stripe, Resend, Google, Vercel, Railway, Cloudflare R2. Isso é transferência internacional de dados, nos termos dos arts. 33 a 36 da LGPD, e acontece porque são as empresas que hospedam a loja, processam o pagamento e entregam os e-mails.

Contratamos essas empresas com cláusulas de proteção de dados equivalentes ao padrão brasileiro. Você não precisa consentir com a transferência separadamente: ela é necessária para executar o contrato de compra e venda que você fez com a gente.

A Stripe, que processa os pagamentos, aplica análise automatizada de risco de fraude. Essa análise pode recusar uma tentativa de pagamento sem intervenção humana, o que na prática impede a conclusão do pedido.

O art. 20 da LGPD te dá o direito de pedir revisão dessa decisão. Use a página de contato com o assunto “Solicitação LGPD” e uma pessoa revisa o caso. Não temos acesso aos critérios internos do modelo da Stripe, e vamos dizer isso com franqueza se for o caso — o que podemos fazer é reavaliar o pedido e liberar a compra por outro caminho.

Só enviamos e-mail de marketing para quem pediu, marcando a caixa específica de aceite. Esse aceite é separado do aceite dos termos de uso: aceitar os termos não inscreve você em nada.

Para sair, clique em “cancelar inscrição” no rodapé de qualquer e-mail de marketing. É um clique, não pede login e vale imediatamente. Quem tem conta também pode desligar em Minha conta > Perfil.

Cancelar o marketing não afeta os e-mails sobre seus pedidos — confirmação de compra, aviso de envio, redefinição de senha. Esses fazem parte da execução do contrato e continuam chegando.

A loja usa 7 cookies e itens de armazenamento local, todos essenciais: manter você logado, proteger o login com Google, guardar o carrinho e permitir que a Stripe detecte fraude no pagamento.

Não há nenhum cookie de análise, de publicidade ou de perfilamento. Por isso não existe banner de consentimento: não há o que consentir. A lista completa, com nome, finalidade e duração de cada um, está na política de cookies.

O art. 18 da LGPD te garante, a qualquer momento e de graça:

• confirmação de que tratamos dados seus;
• acesso aos dados;
• correção de dado incompleto, inexato ou desatualizado;
• anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei;
• portabilidade dos dados a outro fornecedor, em formato estruturado;
• eliminação dos dados tratados com base no seu consentimento, salvo as hipóteses de guarda obrigatória do art. 16;
• informação sobre com quem compartilhamos seus dados — está na tabela acima, e você pode pedir detalhamento;
• informação sobre a possibilidade de não consentir e o que acontece se negar;
• revogação do consentimento;
• oposição a tratamento feito sem consentimento, quando cabível;
• revisão de decisão automatizada (art. 20).

Como exercer. Quem tem conta resolve dois deles sozinho, na hora, em Minha conta > Privacidade: baixar todos os seus dados em um arquivo e excluir a conta. Para os demais, ou se você não tem conta, use a página de contato com o assunto “Solicitação LGPD”.

Prazo. Respondemos em até 15 dias. Se o pedido for complexo e precisarmos de mais tempo, avisamos dentro desse prazo dizendo o porquê.

Como confirmamos que é você. Estando logado na conta, a própria sessão já serve de identificação e não pedimos mais nada. Por e-mail, respondemos sempre para o endereço cadastrado na conta — assim quem não tem acesso ao e-mail não recebe seus dados. Só pedimos documento se houver dúvida concreta sobre a identidade, e nesse caso apagamos o documento assim que a verificação terminar.

Reclamação. Se você não ficar satisfeito com nossa resposta, pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

Ao excluir a conta, removemos nome, e-mail, telefone, CPF, senha, vínculo com o Google, endereços, carrinho, favoritos, avaliações e inscrição na newsletter.

Os registros dos seus pedidos continuam guardados por 5 anos, sem os dados que identificam você. Isso não é escolha nossa: a legislação fiscal e os prazos de prescrição obrigam a manter o registro da venda, e o art. 16, I da LGPD reconhece essa hipótese de guarda.

Senhas são guardadas com hash — nem nós conseguimos lê-las. O tráfego entre seu navegador e a loja é cifrado. Dados de cartão nunca passam pelos nossos servidores: vão do seu navegador direto para a Stripe. O acesso ao banco de dados e ao painel administrativo é restrito e autenticado.

Nenhuma medida elimina risco por completo. Se acontecer um incidente de segurança com risco relevante para você, comunicamos você e a ANPD em prazo razoável, conforme o art. 48 da LGPD, dizendo o que aconteceu, quais dados foram afetados e o que fazer.

A loja é destinada a maiores de 18 anos e não coletamos dados de crianças e adolescentes de propósito. Se identificarmos um cadastro de menor sem autorização, apagamos os dados.

Esta é a versão 2.0.0. Quando mudarmos algo relevante — nova finalidade, novo operador, mudança de base legal ou de prazo de retenção — avisamos por e-mail quem tem conta e destacamos o aviso no site antes de a mudança valer.

Versões anteriores continuam acessíveis: a versão que vale para você é a que estava vigente quando você contratou, e o link dela vai no e-mail de confirmação de cada pedido.