1. Apresentação
Esta Política descreve como a FitVitrine coleta, usa, compartilha e protege dados pessoais. Aplica-se a três categorias de pessoas:
- Lojistas — que criam conta para operar uma loja na Plataforma;
- Clientes finais — que compram em lojas hospedadas na Plataforma;
- Visitantes — que navegam pelo catálogo público sem se identificar.
A FitVitrine adota a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) como referência principal e respeita os direitos previstos no Art. 18 da LGPD.
2. Papéis (controlador × operador)
| Cenário | Controlador | Operador |
|---|---|---|
| Dados do Lojista (cadastro, billing) | FitVitrine | — |
| Dados de cliente final salvos por uma loja | Lojista | FitVitrine |
| Logs técnicos, cookies essenciais | FitVitrine | — |
Quando um cliente final compra em uma loja hospedada na Plataforma, o Lojista é o controlador dos dados pessoais dele. A FitVitrine atua como operador, processando os dados conforme instruções e configurações do Lojista. Solicitações de exercício de direitos sobre esses dados devem ser dirigidas primariamente ao Lojista; encaminharemos quando necessário.
3. Quais dados coletamos
3.1 Dados do Lojista
| Dado | Quando coletamos | Finalidade |
|---|---|---|
| Cadastro | Identificação, login, comunicação transacional | |
| Senha (armazenada como hash) | Cadastro | Autenticação |
| Nome completo | Cadastro | Identificação |
| CPF ou CNPJ | Cadastro | Identificação fiscal e billing |
| WhatsApp da loja | Cadastro | Operação da loja (recebimento de pedidos) |
| Cidade e UF | Cadastro (passo Descoberta) | Diretório público fitvitrine.com.br/lojas |
| Endereço IP | Eventos de signup, login, ações administrativas críticas | Anti-fraude, audit, investigação de incidentes |
| Dados de pagamento (tokenizados) | Início de assinatura paga | Cobrança recorrente via gateway |
3.2 Dados de cliente final (controlados pelo Lojista)
| Dado | Quando | Finalidade |
|---|---|---|
| Nome | Checkout/carrinho | Pedido |
| Telefone | Checkout | Pedido e contato via WhatsApp |
| Endereço | Checkout (quando exigido pela loja) | Entrega |
| Histórico de pedidos | Após primeira compra | Histórico para a loja |
| Endereço IP | Adicionar ao carrinho, resgatar cupom | Anti-fraude (uso de cupom) |
| Device ID (pseudonimizado) | Adicionar ao carrinho | Anti-reuso de cupom |
3.3 Visitante
| Dado | Quando | Finalidade |
|---|---|---|
| Endereço IP | Toda requisição HTTP | Logs técnicos, anti-abuso |
| User-Agent (navegador) | Toda requisição HTTP | Logs técnicos, compatibilidade |
| Cookies essenciais | Acesso a páginas com sessão | Funcionamento da Plataforma (carrinho, sessão de admin, store ativa) |
Não usamos cookies de analytics, publicidade ou rastreamento de terceiros nesta versão. Quando passarmos a integrar tais ferramentas, esta Política será atualizada e o consentimento granular será solicitado via banner antes da coleta.
4. Bases legais para tratamento
Tratamos dados pessoais com fundamento nas seguintes hipóteses do Art. 7º da LGPD:
- Execução de contrato — cadastro do Lojista, cobrança, envio de comunicações transacionais (verificação de email, reset de senha, notificações de pedido);
- Cumprimento de obrigação legal — retenção de documentos fiscais quando exigido, atendimento a determinações judiciais ou administrativas;
- Legítimo interesse — anti-fraude, anti-abuso, segurança da Plataforma, logs técnicos de IP/User-Agent, cookies estritamente necessários, verificação anti-bot (Cloudflare Turnstile);
- Consentimento — cookies não essenciais (quando aplicável), comunicações de marketing (opt-in).
5. Compartilhamento com terceiros (subprocessors)
A FitVitrine usa serviços de terceiros para operar a Plataforma. Cada subprocessor processa apenas o estritamente necessário, sob contratos de proteção de dados.
| Subprocessor | Finalidade | País |
|---|---|---|
| Vercel | Hospedagem da aplicação | EUA |
| Cloudflare R2 | Armazenamento de imagens de produto | EUA / Global |
| Cloudflare Turnstile | Verificação anti-bot no cadastro | EUA / Global |
| Stripe ou Asaas (a definir) | Processamento de cobrança da assinatura | EUA / Brasil |
| OpenAI (BYOK opcional) | Geração de imagens e textos quando o Lojista fornece sua própria chave | EUA |
| IBGE | Lista pública de municípios para autocomplete no cadastro | Brasil (API pública, sem dados pessoais transmitidos) |
| Provider de email transacional (a definir) | Envio de emails de verificação, reset de senha e notificações | EUA / UE |
A FitVitrine não vende, aluga ou compartilha dados pessoais com terceiros para fins de marketing ou publicidade. Compartilhamento adicional ocorre apenas mediante (i) determinação legal ou judicial; (ii) defesa de direitos; ou (iii) instrução expressa do Lojista (no caso de dados de cliente final, controlados por ele).
5.1 Transferência internacional
Subprocessors localizados fora do Brasil tratam dados sob salvaguardas compatíveis com o Art. 33 da LGPD, incluindo cláusulas-padrão contratuais e adesão a frameworks internacionais reconhecidos. Lista atualizada de subprocessors e localizações é mantida nesta Política.
6. Cookies
A Plataforma usa as seguintes categorias de cookies:
| Categoria | Cookies | Pode ser desativado? |
|---|---|---|
| Estritamente necessários | Sessão de admin, CSRF, store ativa, carrinho público | Não (desabilita o serviço) |
| Funcionais | (não usamos no momento) | — |
| Analytics | (não usamos no momento) | — |
| Marketing | (não usamos no momento) | — |
Sem cookies de analytics, publicidade ou rastreamento. Ao integrarmos qualquer ferramenta nessas categorias, esta seção será atualizada e o consentimento granular será solicitado.
7. Retenção e descarte
| Categoria | Retenção |
|---|---|
| Conta de Lojista ativa | Enquanto durar a relação contratual |
| Conta encerrada | 30 dias (janela de arrependimento) seguidos de exclusão ou anonimização |
| Documentos fiscais (CPF/CNPJ, NF emitidas) | 5 anos após emissão, conforme legislação tributária |
| Hash de senha | Até reset ou exclusão de conta |
| Logs de IP / audit técnico | Padrão: 90 dias, com anonimização posterior |
| Cookies de sessão | Conforme TTL configurado (em geral, 24h a 30 dias) |
| Dados de cliente final salvos por uma loja | Política definida pelo Lojista (controlador) |
Quando há obrigação legal de retenção (por exemplo, documentos fiscais), aplicamos anonimização sobre os dados não essenciais e mantemos apenas o estritamente exigido pela norma.
8. Direitos do titular (Art. 18 LGPD)
Você tem direito a:
- Confirmação da existência de tratamento de seus dados;
- Acesso aos dados que tratamos;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
- Portabilidade dos dados a outro fornecedor;
- Eliminação dos dados tratados com base no consentimento, ressalvadas hipóteses legais de manutenção;
- Informação sobre entidades públicas e privadas com as quais compartilhamos dados;
- Informação sobre a possibilidade de não fornecer consentimento e suas consequências;
- Revogação do consentimento a qualquer momento.
8.1 Como exercer
Solicitações podem ser enviadas ao Encarregado de Tratamento de Dados (DPO) pelos canais publicados na Seção 11. O prazo de resposta é de até 15 dias a contar do recebimento, podendo ser estendido nos casos previstos em lei.
Para confirmar identidade, podemos solicitar informações adicionais. Solicitações sobre dados de cliente final tratados por uma loja específica serão encaminhadas ao Lojista controlador.
9. Segurança
Aplicamos medidas técnicas e organizacionais proporcionais ao risco, incluindo:
- TLS em todo o tráfego HTTP;
- Hash criptográfico de senhas (bcrypt);
- Criptografia AES-256 de credenciais sensíveis em repouso (BYOK de provedores externos);
- Controle de acesso por papel (RBAC) na área administrativa;
- Audit log de operações sensíveis;
- Rate-limit em endpoints críticos (cadastro, login, reset de senha);
- Verificação anti-bot (Cloudflare Turnstile) no cadastro;
- Monitoramento de logs estruturados para detecção de anomalias.
Nenhum sistema é 100% imune. Comunicaremos incidentes de segurança que possam acarretar risco ou dano relevante aos titulares conforme exigência da ANPD (Art. 48 LGPD), em prazo razoável.
10. Crianças e adolescentes
A Plataforma é destinada a Lojistas maiores de 18 anos ou pessoas jurídicas. Não coletamos intencionalmente dados de crianças e adolescentes. Quando uma loja vende produtos voltados a esse público, o Lojista controlador é responsável por obter o consentimento parental quando exigido pelo Art. 14 da LGPD.
11. Encarregado de Tratamento de Dados (DPO)
O Encarregado de Tratamento de Dados (DPO) da FitVitrine é Gabriel Carvalho Pupo de Moraes, responsável por receber comunicações de titulares e da Autoridade Nacional de Proteção de Dados (ANPD).
Contato: dpo@fitvitrine.com.br
Solicitações são respondidas em até 15 dias a contar do recebimento, conforme o Art. 19 da LGPD.
12. Alterações nesta Política
Esta Política pode ser atualizada para refletir mudanças legais, novas funcionalidades ou novos subprocessors. Alterações materiais serão comunicadas por email ao Lojista e/ou via banner em destaque, com prazo mínimo de 15 dias antes da vigência.
A versão atual e a data da última atualização aparecem no topo desta página. Versões anteriores são mantidas no nosso repositório de governança e podem ser solicitadas via DPO.
13. Reclamações à autoridade
Caso entenda que seus direitos não foram respeitados, você pode também apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), disponível em gov.br/anpd.