Política de privacidade

1. Controlador e encarregado

O Vendas Pay é o controlador dos dados pessoais tratados nesta Plataforma para a finalidade de oferecer cobrança e conciliação via PIX. Para exercer direitos ou tirar dúvidas sobre privacidade, fale com o nosso encarregado (DPO): contato@vendaspay.com.

2. Abrangência

Esta Política se aplica aos dados tratados quando você usa o site, o aplicativo e os serviços do Vendas Pay. Em relação aos dados dos pagadores inseridos por você nas cobranças, você atua como controlador e o Vendas Pay como operador, tratando esses dados conforme suas instruções e esta Política.

3. Dados que coletamos

Cadastro: nome, e-mail, telefone, CPF/CNPJ e dados da empresa.
Operação: cobranças geradas, valores, descrições, status, recebimentos e dados do pagador informados na transação.
Credenciais bancárias: certificados e chaves do PSP, armazenados de forma cifrada e usados apenas para operar a sua conta.
Uso e segurança: registros de acesso, identificador de dispositivo, navegador (user-agent), data/hora e logs de auditoria de ações sensíveis.
Dados de conexão: detalhados na seção 3.1 abaixo.
Comunicação: mensagens trocadas com o suporte.

3.1. Dados de conexão (de onde a transação foi gerada)

Quando você usa a Plataforma autenticado, registramos, junto de cada ação sensível, de onde ela partiu. Isso existe para segurança e para permitir auditoria de origem — por exemplo, identificar que uma credencial foi usada de dois lugares incompatíveis no mesmo minuto.

Endereço IP: o endereço da sua conexão. Como uma mesma conexão pode ter endereço IPv4 e IPv6 ao mesmo tempo, e o servidor só enxerga um deles por acesso, o seu navegador é orientado a contatar dois endereços nossos — um exclusivamente IPv4 e outro exclusivamente IPv6 — para que ambos fiquem registrados. Esse contato é apenas com servidores do Vendas Pay.
Operadora e localidade aproximada: a partir do endereço IP, obtemos o provedor de internet (ASN/operadora) e uma localização aproximada, em nível de cidade. Essa localização é estimada por faixa de endereços e frequentemente imprecisa — não é a sua localização real, não vem de GPS e não é usada para determinar onde você esteve.
Endereço da máquina na rede local: quando o seu navegador o disponibiliza, registramos o endereço interno do equipamento (por exemplo, 192.168.x.x), útil para distinguir terminais dentro de um mesmo estabelecimento. A maioria dos navegadores atuais não fornece esse dado, e nesse caso o campo fica vazio. Aceitamos apenas endereços de rede privada — nunca um endereço público por essa via.

Não fazemos isso com quem apenas acessa uma cobrança para pagar. A coleta descrita nesta seção ocorre somente em páginas com sessão iniciada, ou seja, para quem opera o sistema. Ela também não usa serviços de terceiros para descobrir o seu endereço, e não roda em rastreamento contínuo: acontece uma vez por sessão de navegação.

4. Como coletamos

Coletamos dados que você fornece (cadastro, cobranças, credenciais), dados gerados pelo uso (registros técnicos, de conexão e de segurança) e dados recebidos do seu PSP ao processar e conciliar os recebimentos da sua chave PIX.

5. Para que usamos (finalidades)

Operar a Plataforma: gerar cobranças, confirmar pagamentos, conferir e conciliar recebimentos.
Autenticação, prevenção a fraude e segurança da informação.
Cumprimento de obrigações legais e regulatórias.
Suporte, comunicação sobre o serviço e melhoria da Plataforma.
Cobrança e gestão da assinatura dos planos pagos.

6. Bases legais (LGPD, art. 7º e 11)

Tratamos dados com fundamento na execução de contrato (prestar o serviço), no cumprimento de obrigação legal/regulatória, no legítimo interesse (segurança, prevenção a fraude e melhoria) e, quando aplicável, no consentimento (por exemplo, comunicações de marketing), que pode ser revogado a qualquer tempo.

7. Compartilhamento

Não vendemos seus dados. Compartilhamos apenas o necessário com: (a) o seu banco/PSP, para processar e conciliar os recebimentos; (b) prestadores de infraestrutura e operadores que nos apoiam, sob obrigação contratual de confidencialidade e segurança; (c) serviços de consulta de operadora e localidade de endereço IP, descritos na seção 8; (d) o Google, apenas quanto à navegação nas páginas públicas do site e apenas se você autorizar a medição de audiência, conforme a seção 9.2; e (e) autoridades públicas, quando exigido por lei ou ordem judicial.

8. Transferência internacional

Para obter a operadora e a localidade aproximada de um endereço IP (seção 3.1), consultamos serviços especializados que podem estar sediados fora do Brasil — atualmente ipapi.co e ipwho.is. Nessa consulta enviamos apenas o endereço IP: nenhum outro dado seu, nem o seu nome, documento, e-mail ou informação de cobrança. A consulta é feita pelo nosso servidor, sempre por conexão cifrada (HTTPS), e o resultado é guardado: um mesmo endereço não é consultado a cada acesso, apenas na primeira vez e, eventualmente, para atualização periódica. Endereços de rede interna e de operadora sem roteamento público nunca são enviados.

A medição de audiência descrita na seção 9.2, quando autorizada por você, também envolve tratamento pelo Google fora do Brasil, nos termos e salvaguardas do próprio serviço.

Caso outro prestador esteja localizado fora do Brasil, a transferência observará as hipóteses e salvaguardas da LGPD, com garantias adequadas de proteção.

9. Cookies e tecnologias

9.1. Cookies essenciais

Usamos cookies e armazenamento local essenciais para autenticação e funcionamento da Plataforma (inclusive como PWA). Também usamos armazenamento de sessão do navegador para não repetir, a cada página, o registro de conexão descrito na seção 3.1. Esses são indispensáveis: sem eles o serviço não opera, e por isso não dependem de consentimento. Você pode gerenciar cookies no navegador, ciente de que alguns são necessários para o serviço operar.

9.2. Medição de audiência (Google Analytics)

Nas páginas públicas do site — a página inicial e as páginas institucionais, como esta, termos, documentação, status e blog — usamos o Google Analytics 4, da Google, para entender quais páginas são acessadas e melhorar o conteúdo. Isso envolve cookies de análise (por exemplo, _ga e _ga_<id>) e o envio ao Google dos seguintes dados: páginas visitadas e horário, origem do acesso (site ou busca que trouxe você), tipo de dispositivo, navegador e idioma, e uma localidade aproximada. O seu endereço IP é usado pelo Google para estimar essa localidade e não é armazenado nos relatórios que recebemos.

Só depois do seu aceite. Nada é carregado nem enviado ao Google enquanto você não autorizar no aviso exibido na sua primeira visita — nem em modo anônimo. Se você escolher “Só os essenciais”, ou simplesmente ignorar o aviso, o Google Analytics não é acionado. A base legal aqui é o consentimento (LGPD, art. 7º, I), e ele é dispensável para usar o site.

Mudou de ideia? A revogação é tão simples quanto o aceite: . A sua preferência fica gravada apenas no seu navegador, então precisa ser refeita em cada aparelho ou depois de limpar os dados de navegação. Você também pode instalar o complemento de opt-out do Google Analytics. Os dados já coletados ficam retidos na nossa conta do Google Analytics pelo prazo ali configurado, limitado a 14 meses para dados de usuário e evento.

Onde isso não acontece. A medição não roda na área logada, nem nas páginas públicas de cobrança, recibo e nota fiscal. É uma decisão técnica deliberada: os endereços dessas páginas contêm chaves de acesso ao documento, e enviá-los a um terceiro seria expor a própria cobrança. Não utilizamos cookies para publicidade, remarketing, perfilamento comportamental nem rastreamento entre sites.

10. Segurança da informação

Adotamos medidas técnicas e organizacionais para proteger os dados: conexão cifrada (incluindo comunicação por certificado com o PSP), controle de acesso, PIN para ações sensíveis, rate-limit, registro de auditoria e monitoramento. Nenhum sistema é 100% imune; em caso de incidente relevante, agiremos conforme a LGPD, comunicando a ANPD e os titulares quando cabível.

11. Isolamento por empresa

Os dados de cada empresa são logicamente isolados. Um Funcionário só acessa o que lhe é permitido, o Empresário acessa o da sua empresa, e os dados não cruzam entre contas distintas.

12. Retenção e eliminação

Mantemos os dados pelo tempo necessário às finalidades acima e ao cumprimento de obrigações legais e regulatórias. Encerrada a conta, os dados podem ser retidos pelos prazos legais aplicáveis (por exemplo, fiscais e de prevenção a fraude) e, após, são eliminados ou anonimizados.

Os logs de auditoria e os dados de conexão da seção 3.1 seguem um prazo próprio e mais curto: são mantidos por 90 dias e depois eliminados automaticamente. A operadora e a localidade obtidas a partir de um endereço IP, bem como o registro dos endereços daquela sessão, são eliminados junto com o log que os originou — não sobrevivem a ele.

13. Seus direitos (LGPD, art. 18)

Você pode solicitar: confirmação de tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; informação sobre compartilhamento; e revogação do consentimento. Para exercer, escreva para contato@vendaspay.com — poderemos solicitar dados para confirmar sua identidade.

14. Dados de menores

A Plataforma é destinada a maiores de 18 anos e não se destina a coletar dados de crianças e adolescentes. Caso identifique tratamento indevido, entre em contato para que possamos tomar as providências.

15. Atualizações desta Política

Esta Política pode ser atualizada. Mudanças relevantes serão comunicadas pelos canais cadastrados ou na Plataforma, com indicação da data de revisão no topo desta página.

16. Contato

Dúvidas, solicitações ou reclamações sobre privacidade: contato@vendaspay.com. Você também pode contatar a Autoridade Nacional de Proteção de Dados (ANPD).