1. Quem somos e a quem se aplica
Esta Política de Privacidade descreve como tratamos dados pessoais no âmbito do ShopSync, plataforma SaaS de gestão comercial para lojistas, operada por H M S Serviços Tecnológicos Ltda, inscrita no CNPJ sob o nº 10.258.428/0001-92, com sede em Av. Bezerra de Menezes, nº 2.500, Apt. 302, Bloco 01, Parquelândia, Fortaleza/CE, CEP 60.325-002 (a seguir, "ShopSync", "nós" ou "nossa").
Ela se aplica a todas as pessoas cujos dados pessoais são tratados por meio da plataforma: os assinantes (lojistas) e seus usuários/funcionários, bem como os clientes finais (consumidores) que o lojista cadastra e atende usando o ShopSync. O uso da plataforma também é regido pelos nossos Termos de Uso.
2. Nossos papéis na LGPD (controladora e operadora)
A Lei nº 13.709/2018 (LGPD) distingue o controlador (quem decide sobre o tratamento) do operador (quem trata os dados em nome do controlador). O ShopSync atua em dois papéis distintos, conforme o tipo de dado:
- Controladora — quanto aos dados do assinante (lojista) e dos usuários do lojista: dados de cadastro, conta, faturamento da assinatura e uso da plataforma. Nesses casos, somos responsáveis pelas decisões de tratamento.
- Operadora — quanto aos dados dos clientes finais que o lojista insere e trata na plataforma. Aqui, o lojista é o controlador desses dados: cabe a ele ter base legal adequada e informar os seus próprios clientes. A ShopSync trata esses dados seguindo as instruções do lojista, e esta Política funciona também como cláusulas de tratamento de dados (operador).
Essa distinção é importante porque afeta perante quem os direitos são exercidos: em regra, o cliente final do lojista exerce seus direitos perante o próprio lojista (controlador), com o nosso apoio como operadora (ver a seção Direitos do titular).
3. Dados que coletamos
a) Dados do assinante e usuários do lojista
- Identificação e contato: nome, e-mail e telefone;
- Credenciais de acesso (senha armazenada com hash);
- Conta/realm do tenant, papéis e permissões (RBAC);
- Dados de faturamento da assinatura (plano contratado, ciclo, status);
- Dados de uso, logs e registros de acesso (IP, data e hora — Marco Civil da Internet).
b) Dados dos clientes finais do lojista
Tratados pela ShopSync na condição de operadora, conforme instruções do lojista (controlador). Podem incluir:
- Nome, e-mail, telefone, CPF ou CNPJ, data de nascimento, gênero, WhatsApp, Instagram, endereços de entrega, histórico de pedidos e compras, carteira/fidelidade, métricas e preferências de consumo e observações;
- Módulo WhatsApp/IA (atendimento e chatbot): número de telefone no formato E.164, nome do perfil WhatsApp, conteúdo das conversas e mensagens, áudios enviados (transcritos), imagens enviadas (analisadas por visão computacional), avaliações pós-venda (NPS) e, quando esses recursos estiverem ativos, carrinho abandonado e pedidos recorrentes.
Dados como CPF, data de nascimento e gênero exigem cuidado reforçado e devem ser tratados pelo lojista com base legal adequada.
c) Dados de pagamento
Os pagamentos são processados por gateways terceiros (ver a seção Compartilhamento e subprocessadores). A ShopSync não armazena dados completos de cartão; o tratamento de cartão é realizado pelos provedores em ambiente PCI-DSS, por meio de tokenização. Eventuais credenciais e chaves de API dos gateways do lojista são criptografadas em repouso (AES-256-GCM).
d) Dados técnicos, cookies e logs
-
No painel: cookies estritamente necessários de autenticação (
httpOnly) e de proteção contra falsificação de requisições (CSRF), além de armazenamento local do navegador para preferências (por exemplo, impressoras e tema); - Logs de aplicação e de acesso, identificadores de dispositivo e de sessão.
4. Como coletamos os dados
- Fornecidos diretamente: ao criar a conta, contratar um plano, cadastrar clientes e produtos, ou ao entrar em contato conosco;
- Gerados no uso: registros de acesso, logs, métricas de uso, mensagens trocadas no atendimento e dados produzidos pela operação da plataforma;
- Recebidos de terceiros: dados provenientes de provedores de pagamento, das plataforma de mensageria (Meta WhatsApp) e de outros subprocessadores, conforme o uso dos respectivos recursos.
5. Finalidades e bases legais
Tratamos dados pessoais para as finalidades abaixo, com as bases legais previstas no art. 7 da LGPD. Quando atuamos como operadora dos dados de clientes finais, a base legal é definida pelo lojista (controlador).
| Finalidade | Base legal (LGPD, art. 7) |
|---|---|
| Prestar e operar a plataforma, gerir a conta e processar pedidos e pagamentos | Execução de contrato (art. 7, V) |
| Faturar a assinatura e gerir o relacionamento contratual com o lojista | Execução de contrato (art. 7, V) |
| Emissão fiscal, retenção fiscal/contábil e guarda de logs de acesso | Cumprimento de obrigação legal/regulatória (art. 7, II) |
| Segurança, prevenção a fraude e abuso, e melhoria do serviço | Legítimo interesse (art. 7, IX) |
| Comunicações transacionais (boas-vindas, notificações de serviço) | Legítimo interesse (art. 7, IX) |
| Operar o chatbot/atendimento WhatsApp e gerar recomendações por IA | Execução de contrato (art. 7, V) e instruções do lojista-controlador |
| Cookies não essenciais e comunicações de marketing | Consentimento (art. 7, I) |
| Tratamento de dados de clientes finais inseridos pelo lojista | Base legal definida pelo lojista (controlador), conforme aplicável |
6. Compartilhamento e subprocessadores
Para operar a plataforma, compartilhamos dados com prestadores de serviço (subprocessadores) que tratam dados em nosso nome ou em nome do lojista, conforme a tabela abaixo. Não vendemos dados pessoais.
| Categoria | Terceiros | Dados e localização |
|---|---|---|
| Hospedagem da aplicação e do banco de dados | Hostinger (servidor VPS) | Todos os dados da plataforma · Brasil (São Paulo) |
| Rede, segurança e entrega de conteúdo | Cloudflare (proxy, DNS e proteção) | Tráfego entre o navegador e a plataforma, inclusive o login · infraestrutura global |
| Arquivos e cópias de segurança | Cloudflare R2 | Imagens, anexos e backups cifrados do banco de dados · infraestrutura global |
| E-mail e site institucional | Hostinger (e-mail e hospedagem do site) | E-mails de boas-vindas, avisos e contato |
| Cobrança da assinatura | Asaas | Dados de cobrança do assinante; cartão tratado em ambiente PCI · Brasil |
| Pagamentos do lojista | Mercado Pago (maquininha Point) e demais provedores que o lojista conectar à sua conta | Dados das transações do lojista; cartão tratado pelo provedor em ambiente PCI |
| Mensageria | Meta Platforms (WhatsApp Cloud API) | Conversas, áudios e imagens do atendimento · Estados Unidos |
| Inteligência artificial | Groq (respostas do atendimento, transcrição de áudio e análise de imagem); Anthropic (assistente de gestão) | Conteúdo das conversas; dados de vendas e operação do lojista · Estados Unidos |
| Endereços e mapas | Google Maps Platform e OpenStreetMap (Nominatim) | Endereço de entrega, para localizar o endereço e calcular distância e frete · exterior |
| Documentos fiscais | Secretarias da Fazenda (SEFAZ) | Dados das notas fiscais emitidas pelo lojista, inclusive do comprador quando informados · Brasil |
7. Transferência internacional de dados
Os servidores da aplicação e o banco de dados ficam no Brasil (São Paulo). Alguns subprocessadores, porém, estão fora do país: Meta, Groq, Anthropic e Google (Estados Unidos), Cloudflare e OpenStreetMap (infraestrutura global). Por isso, ocorre transferência internacional de dados, nos termos do art. 33 da LGPD, quando necessária à execução do contrato com o assinante e, no caso dos dados de clientes finais, conforme as instruções do lojista (controlador).
8. Cookies e tecnologias semelhantes
No painel da aplicação utilizamos cookies estritamente necessários de autenticação
(tokens httpOnly de sessão e atualização), indispensáveis para manter o usuário logado
e proteger a conta. Sem eles, o serviço não funciona.
Nesta landing page não utilizamos cookies de análise nem de marketing e não carregamos recursos de terceiros (as fontes são hospedadas junto com o site). Guardamos apenas, no armazenamento local do seu navegador, que você já viu o aviso sobre cookies. O site passa pela rede da Cloudflare, que trata dados técnicos de conexão (como o endereço IP) para entregar as páginas e proteger contra ataques. Se um dia usarmos cookies de análise ou de marketing, eles só serão ativados com o seu consentimento.
9. Retenção e eliminação
- Os dados são mantidos enquanto durar a relação contratual e pelos prazos legais aplicáveis, como os fiscais e contábeis;
- O conteúdo das conversas do WhatsApp (mensagens, áudios e imagens) é eliminado automaticamente após 90 dias;
- Os registros técnicos da aplicação são mantidos por 14 dias;
- Os registros de acesso e a trilha de auditoria (quem realizou qual ação na plataforma, com endereço IP, data e hora) são mantidos por 7 meses e eliminados automaticamente depois disso, em cumprimento ao art. 15 do Marco Civil da Internet (Lei nº 12.965/2014), que exige a guarda dos registros de acesso a aplicações por, no mínimo, 6 meses;
- As cópias de segurança (backups) são cifradas e substituídas em rodízio, com prazo máximo de 12 meses. Um dado eliminado da plataforma pode permanecer nessas cópias até que elas sejam substituídas;
- Exclusões feitas no sistema são, em regra, lógicas: o registro é desativado ou anonimizado, salvo obrigação legal de retenção;
- Após o término do contrato, o lojista pode solicitar a exportação ou eliminação dos dados; como operadora, a ShopSync elimina ou devolve os dados de clientes finais conforme instrução do controlador (lojista) e os prazos legais.
10. Segurança da informação
Adotamos medidas técnicas e administrativas de segurança (art. 46 da LGPD), entre elas:
- Servidores da aplicação e banco de dados no Brasil;
- Criptografia em trânsito (TLS/HTTPS);
- Cifragem em repouso (AES-256-GCM) dos dados de identificação de usuários e do cadastro de clientes (CPF, e-mail e telefone) e de credenciais sensíveis, como chaves de pagamento e o certificado digital A1;
- Cópias de segurança cifradas e guardadas fora do servidor principal;
- Autenticação por tokens
httpOnlye controle de acesso baseado em papéis (RBAC); - Isolamento multi-tenant (segregação por realm/schema por cliente);
- Monitoramento e observabilidade da plataforma.
11. Direitos do titular
Nos termos do art. 18 da LGPD, o titular de dados pode solicitar a qualquer momento:
- Confirmação da existência de tratamento;
- Acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
- Portabilidade dos dados;
- Informação sobre o compartilhamento de dados;
- Informação sobre a possibilidade de não fornecer consentimento e suas consequências;
- Revogação do consentimento;
- Revisão de decisões tomadas exclusivamente de forma automatizada;
- Petição em relação aos seus dados perante a ANPD.
Para exercer seus direitos junto à ShopSync, escreva para dpo@shopsyncapp.com. Observação importante: titulares que sejam clientes finais do lojista devem, em regra, exercer seus direitos perante o próprio lojista (controlador); a ShopSync, como operadora, apoia o atendimento dessas solicitações. Para pedir a exclusão dos seus dados, veja também a página Exclusão de dados.
12. Encarregado (DPO)
A ShopSync mantém um Encarregado pelo Tratamento de Dados Pessoais (DPO), responsável por receber comunicações de titulares e da ANPD:
- Encarregado (DPO): Helder Silva
- Contato do Encarregado (DPO): dpo@shopsyncapp.com
13. Crianças e adolescentes
O ShopSync é um serviço B2B destinado a lojistas e não é direcionado a crianças ou adolescentes. Não coletamos intencionalmente dados de menores. Caso o lojista trate dados de menores no contexto de sua operação, é de sua responsabilidade, como controlador, observar as exigências legais aplicáveis, incluindo o consentimento específico previsto na LGPD.
14. Alterações desta Política
Esta Política poderá ser atualizada para refletir mudanças legais, técnicas ou de negócio. A versão vigente será sempre publicada nesta página, com indicação da data de última atualização. Recomendamos revisão periódica. Alterações relevantes poderão ser comunicadas por meios adequados.
15. Contato e vigência
Para dúvidas sobre esta Política ou sobre o tratamento de dados pessoais, fale com o nosso Encarregado em dpo@shopsyncapp.com ou com o contato geral contato@shopsyncapp.com. O tratamento de dados decorrente do uso da plataforma complementa os nossos Termos de Uso.
Data de vigência: 5 de outubro de 2026.