Política de Privacidade

2. Quais dados tratamos e de onde vêm#

Da sua conta Google (login)

• Nome, e-mail, foto de perfil e o identificador da conta Google. Não recebemos sua senha do Google.

Do marketplace, quando você conecta uma conta (plano Pro)

Pela API oficial do Mercado Livre, com a sua autorização:

• identificação e apelido da sua conta de vendedor;
• pedidos, com nome e apelido dos compradores, itens, valores e status;
• envios, com cidade e UF de entrega, prazos e status; as etiquetas em PDF (que trazem nome e endereço do comprador) passam pelo servidor só para serem juntadas e entregues a você, sem ficar guardadas;
• notas fiscais, reclamações e devoluções;
• anúncios, preços e estoque;
• tarifas, faturamento e repasses (dados de cobrança do marketplace).

O acesso é feito por tokens de autorização (OAuth), guardados cifrados. Pedidos e envios ficam numa cópia local para as telas abrirem rápido; o restante é lido do marketplace quando você abre a tela.

O que você cadastra

• custos de produtos, alíquota de imposto e meta de margem;
• fornecedores e clientes (nome, CNPJ, % da nota, observações);
• apelidos das contas conectadas e preferências de sincronização.

PDFs de etiquetas no Conversor

Os PDFs são lidos no seu navegador e não são enviados ao SKUp. O servidor só conta quantas planilhas você gerou (para o limite do teste grátis).

Pagamentos

O pagamento é feito pela AbacatePay. No cartão, o número é digitado num formulário da AbacatePay e chega a nós só como um código (token): o SKUp nunca vê nem guarda o número do cartão. Para o cartão, enviamos à AbacatePay nome, e-mail, CPF/CNPJ e celular que você informa no checkout; esses dados não ficam guardados no nosso banco, exceto quando vêm nos avisos (webhooks) que a AbacatePay nos manda sobre a cobrança. Guardamos o registro de cada cobrança: plano, valor, parcelas, meio de pagamento, status e datas.

Segurança da conta

• segredo da verificação em duas etapas, cifrado;
• códigos de recuperação, guardados só como hash;
• contagem de tentativas erradas e bloqueio temporário.

Sinais contra abuso do teste grátis

No cadastro, para impedir que a mesma pessoa abra várias contas atrás de testes grátis, registramos:

• um hash da "impressão digital" do navegador, calculado no seu aparelho;
• o IP do cadastro (na conta) e, no registro anti-abuso, só o hash (HMAC) do IP, do bloco de rede e do navegador (User-Agent);
• o e-mail normalizado e o identificador da conta Google.

Registros de acesso

Guardamos data, hora e IP do login, da verificação em duas etapas, da saída, da ativação ou desativação do 2FA, da exportação de dados e da exclusão da conta (Marco Civil da Internet, art. 15). O servidor também escreve um log técnico de cada requisição (IP, endereço acessado e resultado), que a hospedagem mantém por pouco tempo, só para diagnosticar erros.

No seu navegador

Guardamos no armazenamento local do navegador a sessão de login, preferências e o que você deixou preenchido nas telas. Ao apagar a conta, o SKUp limpa esses dados deste navegador. Veja a seção Cookies.

3. Para que usamos e com que base legal#

Cada uso tem uma base legal da LGPD (art. 7º):

• Execução do contrato (art. 7º, V): criar e manter sua conta, gerar planilhas, mostrar pedidos, anúncios, estoque e financeiro, aplicar as alterações que você pede no marketplace, cobrar e liberar o plano, dar suporte.
• Legítimo interesse (art. 7º, IX): prevenir fraude e abuso do teste grátis, proteger contas (2FA, limites de tentativas), manter registros de segurança e melhorar o Serviço. Usamos o mínimo necessário e você pode se opor pelo e-mail do encarregado.
• Cumprimento de obrigação legal (art. 7º, II): guardar registros de pagamento pelo prazo fiscal e registros de acesso pelo Marco Civil da Internet.
• Exercício regular de direitos (art. 7º, VI): guardar o que for preciso para nos defender em processos.
• Consentimento (art. 7º, I): conectar uma conta de marketplace depende da sua autorização expressa, que você pode revogar desconectando a conta.

Não vendemos dados, não fazemos publicidade direcionada e não usamos os dados dos seus compradores para nada além de mostrar suas vendas a você.

4. Com quem compartilhamos#

Só com os operadores necessários para o Serviço funcionar:

• Google: login (Google Identity).
• Mercado Livre: integração, quando você conecta uma conta.
• AbacatePay: processamento de pagamentos por PIX e cartão.
• Fly.io: servidores da API, na região de São Paulo (gru).
• Neon: banco de dados PostgreSQL, na região de São Paulo (AWS sa-east-1).
• Meta (WhatsApp): só se você falar com o suporte pelo WhatsApp.
• Vercel: entrega o site e o aplicativo web (arquivos estáticos) por uma rede global de servidores.

Também podemos compartilhar dados quando a lei ou uma ordem judicial exigir.

5. Transferência internacional#

A API e o banco de dados ficam no Brasil (São Paulo). Google, AbacatePay e a infraestrutura do Mercado Livre podem processar dados fora do Brasil, e a Vercel entrega os arquivos do site a partir do servidor mais próximo de você, que pode estar fora do país. Essas transferências seguem o art. 33 da LGPD: são necessárias para executar o contrato com você e esses fornecedores adotam cláusulas contratuais e padrões de segurança compatíveis com a lei brasileira.

6. Por quanto tempo guardamos#

• Dados da conta e do workspace (perfil, fornecedores, clientes, custos, cópias de pedidos e envios, tokens): enquanto a conta existir. Ao apagar a conta, são excluídos na hora.
• Registros de pagamento (plano, valor, datas, status): 5 anos, pelo prazo fiscal. Ao apagar a conta, eles ficam anonimizados: sem vínculo com você e sem nome, CPF/CNPJ ou telefone.
• Marcas anti-abuso: depois de apagar a conta, mantemos o registro do teste grátis só com hashes (HMAC) do e-mail, da conta Google, do navegador, do IP e do bloco de rede, e o identificador numérico da conta de marketplace conectada. Isso impede ganhar um novo teste ou conectar a mesma loja num cadastro novo. Esses dados não guardam seu nome nem e-mail legíveis, mas permitem reconhecer o mesmo sinal se ele voltar; a base é o legítimo interesse em prevenir fraude.
• Registros de acesso (data, hora e IP do login, da verificação em duas etapas, da saída, da ativação ou desativação do 2FA, da exportação e da exclusão da conta): 6 meses, como exige o art. 15 do Marco Civil da Internet, inclusive depois de a conta ser apagada. Depois disso são excluídos automaticamente.
• Cópias de segurança: o que foi apagado pode durar nos backups do banco até eles expirarem, sem uso para nada além de recuperação de desastre.

7. Seus direitos#

Pela LGPD (art. 18), você pode pedir a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
• portabilidade dos dados;
• eliminação dos dados tratados com seu consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não consentir e as consequências;
• revogação do consentimento;
• oposição a tratamentos baseados em legítimo interesse;
• revisão de decisões tomadas só por meios automatizados.

Como exercer

• Baixar meus dados: em Configurações › Conta › Privacidade e dados, um arquivo JSON com tudo o que guardamos sobre você.
• Apagar minha conta: no mesmo lugar. A exclusão é imediata e não pode ser desfeita; a autorização do SKUp nas suas contas do Mercado Livre também é removida.
• Nome, e-mail e foto vêm do Google: para corrigir, altere na sua conta Google e entre de novo.
• Para os demais pedidos, escreva ao encarregado em yasminlopes.ti@gmail.com. Respondemos em até 15 dias.

Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

8. Segurança e incidentes#

• toda comunicação usa HTTPS;
• tokens dos marketplaces e o segredo do 2FA são cifrados (AES-256-GCM); códigos de recuperação e sinais anti-abuso ficam só como hash;
• verificação em duas etapas, obrigatória para as integrações;
• cada workspace só enxerga os próprios dados, e o acesso interno é restrito a quem precisa.

Nenhum sistema é infalível. Se houver um incidente de segurança que possa causar risco ou dano relevante, avisamos você e a ANPD em prazo razoável, dizendo o que aconteceu, quais dados foram afetados e o que fizemos (LGPD, art. 48).

9. Cookies e armazenamento local#

O SKUp não usa cookies de publicidade nem ferramentas de rastreamento ou analytics de terceiros. Usamos só o armazenamento local do navegador (localStorage), que é necessário para o aplicativo funcionar:

• sessão de login (o token que mantém você conectado);
• preferências: tema claro ou escuro, menu recolhido, valores ocultos, tour guiado, aviso do 2FA e contas selecionadas;
• o que ficou preenchido nas telas: configuração do pedido, precificador, links da extração e rascunho do anúncio em criação;
• marcas de etapas já feitas (primeira conversão, recarga após atualização).

O botão do Google, no login, pode usar cookies do próprio Google, regidos pela política de privacidade do Google. Você pode limpar esses dados nas configurações do navegador; isso encerra a sessão e volta as preferências ao padrão.

10. Crianças e adolescentes#

O SKUp é uma ferramenta para vendedores e não é destinado a menores de 18 anos. Não coletamos dados de crianças de propósito.

11. Alterações desta política#

Podemos atualizar esta política quando o Serviço ou a lei mudarem. A data no topo indica a versão vigente; mudanças relevantes são avisadas no aplicativo ou por e-mail.

12. Contato#

Encarregado de dados: Yasmin Lopes, pelo e-mail yasminlopes.ti@gmail.com ou pelo WhatsApp (14) 99118-9830. Leia também os Termos de Uso.

O WhatsApp é operado pela Meta: o que você manda por lá segue também a política de privacidade do WhatsApp.