Política de Privacidade da Plataforma Impulso Social Cloud

• 1. A quem esta política se aplica
• 2. Controladora e canal de privacidade
• 3. Dados que tratamos
• 4. Para que usamos e com qual base legal
• 5. Com quem compartilhamos
• 6. Transferência internacional
• 7. Por quanto tempo guardamos
• 8. Seus direitos
• 9. Segurança
• 10. Cookies
• 11. Alterações desta política
• 12. Contato

1. A quem esta política se aplica#

Esta política descreve como a Plataforma Impulso Social Cloud trata dados pessoais na qualidade de controladora, ou seja:

• dados do Lojista e dos usuários da equipe da loja dele;
• dados de visitantes do site da plataforma (impulsosocial.cloud), incluindo quem preenche o formulário de cadastro.

Ela não se aplica aos dados dos compradores das lojas. Nesse tratamento, cada loja é a controladora e a Plataforma atua como operadora, seguindo instruções do lojista. As condições estão no Contrato de Operador de Dados Pessoais (DPA), e a política aplicável ao comprador é a publicada na vitrine da loja onde ele comprou.

2. Controladora e canal de privacidade#

Controladora: IMPULSO SOCIAL GESTAO E MARKETING LTDA, inscrita no CNPJ sob o nº 49.460.043/0001-49, com sede em Votuporanga, Estado de São Paulo.

A Controladora é agente de tratamento de pequeno porte e, pelo artigo 11 da Resolução CD/ANPD nº 2/2022, está dispensada de indicar encarregado pelo tratamento de dados pessoais. O canal de comunicação com os titulares, para os fins do artigo 41, § 2º, inciso I, da Lei 13.709/2018, é o e-mail privacidade@impulsosocial.cloud.

3. Dados que tratamos#

Cadastro e conta: nome, e-mail, senha (armazenada apenas como hash, nunca em texto claro), nome da loja e subdomínio escolhido. Se o lojista entra com a conta Google, o Google nos envia o identificador dessa conta, o nome e o e-mail, e guardamos os três. Se ele liga a verificação em duas etapas, guardamos, cifrados, o segredo do aplicativo autenticador e os códigos de recuperação.

Origem do cadastro: quando o lojista chega ao cadastro por um link de campanha, guardamos a campanha desse link (os parâmetros utm_source, utm_medium e utm_campaign); quando ele chega pelo selo "Feito com" de uma loja, guardamos qual loja foi.

Cobrança da assinatura: a cobrança é feita por débito automático em cartão, processado pela Stripe. Os dados do cartão são coletados e armazenados diretamente pela Stripe, em ambiente dela: a Plataforma não recebe, não vê e não guarda número de cartão, código de segurança ou validade. Nos nossos bancos de dados ficam apenas os identificadores da assinatura e do cliente na Stripe, mais valores, status e datas das faturas emitidas.

Identificação do fornecedor ("Quem vende"): nome ou razão social, CPF ou CNPJ, endereço e contato. Nome ou razão social e CPF ou CNPJ são publicados nas páginas legais e no checkout da loja; endereço e contato, quando o lojista escolhe mostrá-los. Quando o lojista pede nota fiscal da mensalidade em seu nome, ela é emitida com esses mesmos dados; sem pedido, a mensalidade entra na nota fiscal geral do mês, sem os dados do lojista.

Uso do painel: registros de acesso e de operação, como data e hora de eventos relevantes, endereço IP e identificação do navegador. Registramos também os acessos privilegiados da nossa equipe de operação, inclusive quando alguém da plataforma acessa o painel de uma loja em nome do lojista.

Aceites: quando o lojista aceita um documento jurídico da plataforma, registramos qual documento, em qual versão, quando e de qual endereço IP.

Credenciais de integração: tokens de acesso do Mercado Pago da loja e chaves de API dos fornecedores SMM cadastrados pelo lojista. São credenciais da loja, guardadas para operar as integrações.

Suporte: o conteúdo das mensagens enviadas aos nossos canais de atendimento: os chamados abertos no painel, os e-mails e, quando houver número divulgado no painel, as mensagens de WhatsApp.

4. Para que usamos e com qual base legal#

5. Com quem compartilhamos#

Compartilhamos dados pessoais apenas com quem é necessário à operação do serviço:

• Stripe (Stripe, Inc. e afiliadas): processamento das cobranças da assinatura e guarda dos dados de cartão.
• Mercado Pago: quando o lojista conecta a conta dele, trocamos com o Mercado Pago os dados necessários à autorização e à operação dessa conexão.
• Resend: envio dos e-mails transacionais da plataforma.
• Sentry: captura de erros da aplicação, que pode incluir dados técnicos e, incidentalmente, identificadores de conta.
• Hostinger: hospedagem da aplicação e do banco de dados, em servidor localizado no Brasil.
• Cloudflare: armazenamento externo das cópias de segurança, que saem cifradas do servidor (serviço R2, nos Estados Unidos).
• Google: autenticação de quem escolhe entrar com a conta Google. O Google confirma a identidade e nos envia o identificador da conta, o nome e o e-mail; não enviamos a ele outros dados.
• Contabilidade: o escritório que emite e escritura as notas fiscais da mensalidade pode receber razão social, CPF ou CNPJ e endereço do lojista.
• Autoridades públicas, quando houver ordem judicial ou obrigação legal.

Não vendemos dados pessoais e não os compartilhamos para publicidade de terceiros.

6. Transferência internacional#

A aplicação e o banco de dados ficam hospedados no Brasil. Ainda assim, parte dos fornecedores acima processa dados fora do país:

Essas transferências são amparadas em cláusulas contratuais firmadas com cada fornecedor, na forma do artigo 33, inciso II, alínea "a", da Lei 13.709/2018. A adequação dessas cláusulas ao modelo aprovado pela Autoridade Nacional de Proteção de Dados na Resolução CD/ANPD nº 19/2024 está em avaliação.

7. Por quanto tempo guardamos#

• Dados de conta e de loja ativa: enquanto a assinatura estiver vigente.
• Dados dos compradores das lojas, que tratamos como operadora na forma do DPA: enquanto a loja estiver ativa na plataforma, ou até o titular pedir a exclusão; depois do encerramento da loja, 90 (noventa) dias, findos os quais são anonimizados.
• Loja suspensa por fim do teste ou por inadimplência: é encerrada depois de 30 (trinta) dias de suspensão, com aviso por e-mail 15 (quinze) e 3 (três) dias antes.
• Após o encerramento da loja: 90 (noventa) dias. Findo esse prazo, anonimizamos os usuários da loja (nome, e-mail, login com Google, segredo da verificação em duas etapas e senha), apagamos as credenciais de integração, o endereço e o contato do cadastro do fornecedor e a cópia deles em cada registro de compra, o texto dos chamados de suporte, os convites, os motivos de cancelamento e a origem do cadastro, e desconectamos o WhatsApp da loja.
• Identificação do fornecedor mostrada aos compradores (nome ou razão social e CPF ou CNPJ), no cadastro e no registro de cada compra, e o contato da loja publicado na vitrine e nos e-mails, e os textos de termos e privacidade dela, inclusive a cópia congelada em cada compra: 5 (cinco) anos contados do encerramento da loja, para responder a reclamações de consumo sobre as vendas feitas nela (artigo 27 do Código de Defesa do Consumidor), findos os quais são apagados.
• Registros financeiros e fiscais: 5 (cinco) anos, contados do primeiro dia do exercício seguinte, conforme o prazo decadencial do artigo 173 do Código Tributário Nacional.
• Registros de acesso a aplicação de internet (endereço IP, data, hora e página acessada): 6 (seis) meses, no mínimo, por força do artigo 15 da Lei 12.965/2014 (Marco Civil da Internet).
• Registros de login no painel, inclusive tentativas recusadas (conta, endereço IP e navegador): 12 (doze) meses.
• Registros de auditoria das ações feitas pela nossa equipe de operação e de ações sensíveis na loja, como o cancelamento da assinatura e a troca da conta de pagamento: 5 (cinco) anos.
• Registros de aceite de documentos jurídicos: 5 (cinco) anos contados do término da relação contratual, alinhados ao prazo prescricional do artigo 206, § 5º, inciso I, do Código Civil.
• Cópias de segurança: o banco de dados, os arquivos enviados e a configuração são copiados todo dia. A cópia fica 14 (catorze) dias no servidor e sai cifrada para armazenamento externo (Cloudflare R2, nos Estados Unidos), onde fica por até 37 (trinta e sete) dias. Dados apagados ou anonimizados podem permanecer nessas cópias até o fim desses prazos.

8. Seus direitos#

Nos termos do artigo 18 da LGPD, o titular pode solicitar confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamentos e revogação de consentimento.

Para exercer qualquer desses direitos, escreva para privacidade@impulsosocial.cloud. Responderemos em até 15 (quinze) dias, prazo do artigo 19, inciso II, da LGPD, contados do recebimento do pedido.

9. Segurança#

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas: tráfego cifrado em trânsito (HTTPS) em todo o site, no painel e nas vitrines, inclusive nas que usam domínio próprio, com certificado emitido automaticamente; senhas armazenadas apenas como hash; controle de acesso por perfil dentro de cada loja; isolamento dos dados por loja; registro dos acessos privilegiados da nossa equipe; e cópia de segurança diária do banco de dados, mantida por 14 (catorze) dias no servidor e por até 37 (trinta e sete) dias, cifrada, em armazenamento externo.

Nenhum sistema é totalmente imune. Em caso de incidente de segurança relevante, comunicaremos os titulares e a Autoridade Nacional de Proteção de Dados na forma do artigo 48 da LGPD.

10. Cookies#

No site e no painel da plataforma usamos cookies estritamente necessários ao funcionamento: manutenção da sessão de quem está autenticado e proteção contra falsificação de requisição (CSRF). Sem eles o login não funciona.

As vitrines das lojas podem usar ferramentas de medição e publicidade configuradas pelo próprio lojista. Esse uso é decidido por ele, na condição de controlador, e informado na política de privacidade da loja.

11. Alterações desta política#

Esta política é versionada. A versão vigente é sempre a publicada em impulsosocial.cloud/privacidade, com número de versão e data de vigência visíveis. Alterações relevantes serão comunicadas pelos canais de contato cadastrados.

12. Contato#

Assuntos de proteção de dados pessoais, incluindo o exercício dos direitos da cláusula 8: privacidade@impulsosocial.cloud.

Demais assuntos, incluindo suporte e questões contratuais: contato@impulsosocial.cloud, das 8h às 18h em dias úteis.

Endereço para correspondência: IMPULSO SOCIAL GESTAO E MARKETING LTDA, Votuporanga, Estado de São Paulo.