Política de Privacidade e LGPD
Esta política explica quais dados pessoais o Trefato trata, para quê, com quem compartilha, por quanto tempo guarda e como você exerce seus direitos, nos termos da Lei nº 13.709/2018 (LGPD). Ela vale para o aplicativo, a página de apresentação, os e-mails do serviço e as páginas públicas de orçamento, vitrine e rastreio criadas pelas empresas que usam o Trefato.
1. Quem é responsável pelos dados
O Trefato é um sistema de gestão de encomendas, produção, estoque, clientes, finanças e marketplaces para quem produz sob demanda. Nesta política, "Trefato" e "nós" referem-se ao responsável pelo serviço; os dados completos de identificação são fornecidos mediante solicitação pelo contato de privacidade. Contato para assuntos de privacidade: frankalves333@gmail.com.
Há dois papéis diferentes, e esta política distingue os dois:
- Dados da conta e da cobrança (quem contrata e usa o Trefato): o Trefato é o controlador. Decide como e por que esses dados são tratados.
- Dados que a empresa cliente registra no sistema (seus clientes finais, pedidos, orçamentos, conversas, anúncios e vendas importadas de marketplaces, arquivos): a empresa cliente é a controladora e o Trefato atua como operador, tratando esses dados só para prestar o serviço, conforme as instruções da empresa, os Termos de Uso e esta política. Se você é cliente de uma empresa que usa o Trefato, dirija seus pedidos primeiro a ela; nós ajudamos a empresa a atendê-los.
2. Quais dados tratamos
Conta e usuários. Nome, e-mail, senha (guardada com hash, nunca em texto puro), telefone/WhatsApp de contato, perfil e permissões na empresa, segundo fator de autenticação (quando ativado), data e hora de acessos e ações relevantes, aceite dos termos e desta política (com data, versão, endereço IP e navegador).
Empresa e cobrança. Nome da empresa, CNPJ ou CPF quando informado, endereço, plano contratado, histórico de pagamentos e situação da assinatura. Os dados completos do cartão nunca passam pelo Trefato: a cobrança é feita pelo Mercado Pago, e recebemos apenas a confirmação, a bandeira e os quatro últimos dígitos.
Dados operacionais da empresa cliente. Clientes finais (nome, contato, endereço de entrega), pedidos e orçamentos, produtos, materiais e preços, fila de produção, fluxo de caixa, documentos fiscais e comprovantes enviados pela empresa, imagens de referência, notas e histórico de cada pedido.
Páginas públicas da empresa. Quando a empresa ativa a vitrine, o pedido de orçamento ou o rastreio público, a pessoa que usa essas páginas informa nome, e-mail, WhatsApp, descrição do que quer e fotos de referência. Esses dados entram na conta da empresa e são tratados em nome dela.
Integrações autorizadas pela empresa. Com a conexão ao Mercado Livre (e, quando disponível, Amazon e Shopee), importamos anúncios, vendas, compradores, perguntas, mensagens e avaliações permitidos pela autorização concedida na plataforma. As credenciais de acesso ficam guardadas de forma protegida e podem ser revogadas pela empresa a qualquer momento, no Trefato ou no próprio marketplace.
Suporte e comunicação. Chamados abertos no sistema, mensagens trocadas com o suporte, e-mails enviados pelo Trefato e seu status de entrega.
Registros técnicos. Erros que acontecem no navegador (mensagem do erro, tela, endereço da página, navegador, versão do aplicativo e e-mail do usuário logado), registros de auditoria das ações administrativas, controles de limite de requisições e logs dos provedores de hospedagem. Esses registros servem para segurança e correção de falhas; não os usamos para publicidade.
Não tratamos de forma intencional dados sensíveis (saúde, biometria, origem, religião, opinião política etc.). Se a empresa cliente registrar esse tipo de dado em notas ou arquivos, ela responde pela base legal desse registro.
3. Para que usamos os dados e com qual base legal
- Prestar o serviço contratado (criar e manter a conta, operar pedidos, produção, estoque, finanças, integrações, vitrine, orçamento e rastreio): execução de contrato.
- Cobrar a assinatura e emitir documentos: execução de contrato e cumprimento de obrigação legal.
- Enviar e-mails do serviço (confirmação de cadastro, recuperação de senha, credenciais de acesso, avisos de cobrança, fim do período de teste, resumo mensal, pedidos recebidos na vitrine, comunicados sobre o sistema): execução de contrato e legítimo interesse em manter a conta informada. Não enviamos e-mail de marketing sem consentimento.
- Segurança, prevenção a fraude e correção de falhas (autenticação, segundo fator, limites de requisição, auditoria, registro de erros, backups): legítimo interesse e obrigação legal.
- Atender solicitações de titulares e autoridades: cumprimento de obrigação legal e exercício regular de direitos.
- Melhorar o produto com base em uso agregado e nos erros registrados: legítimo interesse. Não vendemos dados nem os usamos para perfilamento comercial.
O assistente dentro do Trefato responde com os dados da própria empresa. Para consultas auxiliares ele acessa serviços públicos que recebem apenas o termo pesquisado ou o CEP: API de tendências do Mercado Livre, ViaCEP (endereço por CEP), AwesomeAPI (cotação de moedas) e Wikipédia. Nenhum dado de cliente é enviado a provedores de inteligência artificial.
4. Com quem compartilhamos
Compartilhamos apenas o necessário para cada finalidade, com provedores que atuam como nossos operadores (subprocessadores) ou com terceiros autorizados pela empresa:
- Supabase (EUA, região us-east-1): banco de dados, autenticação, arquivos e funções do servidor.
- Netlify (EUA, rede global): hospedagem do aplicativo, da página de apresentação e das páginas públicas.
- Brevo (França, União Europeia): envio dos e-mails do serviço.
- Mercado Pago (Brasil): cobrança da assinatura e links de pagamento que a empresa gera para seus clientes. O Mercado Pago é controlador dos dados de pagamento, sob a política dele.
- Mercado Livre, Amazon e Shopee: só quando a empresa conecta a conta ou importa planilhas; a troca de dados segue a autorização dada na plataforma e os termos dela.
- WhatsApp: o Trefato monta links e textos prontos para a empresa enviar pelo próprio WhatsApp; não acessamos as conversas.
- Autoridades públicas, quando houver obrigação legal, ordem judicial ou necessidade de defesa de direitos.
A lista acima é atualizada nesta página sempre que um provedor entrar ou sair.
5. Transferência internacional
Parte da infraestrutura fica fora do Brasil (Supabase e Netlify nos Estados Unidos; Brevo na União Europeia). A transferência se apoia nas cláusulas contratuais e nas garantias de segurança desses provedores, conforme os artigos 33 a 36 da LGPD. Ao usar o Trefato, a empresa cliente está ciente de que os dados que registra são armazenados nessa infraestrutura.
6. Por quanto tempo guardamos
- Dados da conta e dados operacionais: enquanto a assinatura estiver ativa. Depois do encerramento, ficam disponíveis para exportação e são excluídos a pedido da empresa ou conforme a Política de Cancelamento.
- Cobrança, pedidos de privacidade, consentimentos e auditoria: pelo prazo legal de guarda (em geral 5 anos), mesmo após a exclusão dos dados operacionais, por obrigação fiscal e para defesa de direitos.
- Registros de erro do navegador: 30 dias.
- Registros de integrações (jobs e webhooks de marketplaces): 7 a 180 dias conforme o resultado; o prazo dos diagnósticos de suporte e dos jobs pode ser ajustado pela empresa em Assinatura › Privacidade e governança (padrão 90 dias).
- E-mails enviados e seus registros de entrega: 180 dias. Links de recuperação e senhas temporárias são removidos do registro assim que o e-mail é entregue ou falha em definitivo.
- Eventos da vitrine pública e registros administrativos da plataforma: 365 dias.
- Backups: cópia semanal de cada empresa. Ficam as 8 mais recentes e a primeira de cada mês por 6 meses; depois são apagadas. Dados excluídos a pedido deixam de existir nos backups quando a cópia que os contém passa desse prazo.
- Compras feitas no site da loja (nome, e-mail, WhatsApp, CPF e endereço do comprador, guardados para gerar o pedido e a etiqueta): 30 dias quando a compra não é paga; 180 dias depois do pagamento. O CPF não aparece no pedido dentro do sistema; fica só nessa cópia, usada para a etiqueta de envio.
7. Como protegemos
Cada empresa tem seus dados isolados no banco por regras de acesso aplicadas em todas as consultas; usuários só veem a empresa a que pertencem, com perfis e permissões definidos pelo administrador. Conexões criptografadas (HTTPS), senhas com hash, segundo fator de autenticação opcional, limites contra tentativas abusivas, registros de auditoria, backups periódicos e revisão de segurança do código fazem parte da rotina. Nenhum sistema é infalível; por isso mantemos um processo de resposta a incidentes (seção 10).
8. Seus direitos e como exercê-los
Você pode pedir confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamentos, revisão de decisões automatizadas e revogação de consentimento, nos limites da LGPD.
- Empresa cliente: no próprio Trefato, em Assinatura › Privacidade e governança, o administrador exporta todos os dados da empresa, pede correção ou pede a exclusão. Os pedidos ficam registrados com prazo, e a exportação sai em arquivo baixável.
- Usuário de uma empresa cliente: pelo administrador da sua empresa ou pelo contato de privacidade.
- Cliente final de uma empresa (comprou, pediu orçamento ou rastreou um pedido): fale com a empresa; se preferir, escreva para o contato de privacidade e encaminharemos à empresa responsável, ajudando no atendimento.
Respondemos em até 15 dias. Podemos pedir confirmação de identidade antes de atender. Dados sujeitos a guarda legal (cobrança e documentos fiscais, por exemplo) são preservados pelo prazo da lei, e informamos isso na resposta. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
9. Cookies e armazenamento local
O aplicativo usa o armazenamento local do navegador para manter a sessão, o tema, preferências de tela, rascunhos e um cache de dados da empresa que acelera o carregamento; tudo isso fica no seu dispositivo e some ao sair da conta ou limpar o navegador. Não usamos cookies de publicidade, rastreamento entre sites nem ferramentas de analytics de terceiros no aplicativo nem na página de apresentação. O Mercado Pago, quando aberto para pagamento, aplica os próprios cookies.
10. Incidentes de segurança
Se identificarmos um incidente com risco relevante aos titulares, vamos conter o problema, apurar a causa, registrar o ocorrido e comunicar as empresas afetadas e a ANPD nos prazos da regulamentação vigente, com as informações exigidas e as medidas adotadas.
11. Crianças e adolescentes
O Trefato é destinado a empresas e profissionais. Não criamos contas para menores de 18 anos. Se uma empresa registrar dados de crianças ou adolescentes (por exemplo, o destinatário de um presente), ela é responsável por tratá-los conforme o artigo 14 da LGPD.
12. Mudanças nesta política
Quando alterarmos esta política de forma relevante, publicaremos a nova versão aqui com a data de vigência e avisaremos as empresas pelo e-mail da conta ou pelo próprio sistema. O aceite da versão atual fica registrado em Assinatura › Privacidade e governança. A versão anterior pode ser solicitada pelo contato de privacidade.
13. Contato e encarregado
Canal do encarregado pelo tratamento de dados (DPO) e contato de privacidade: frankalves333@gmail.com. Também é possível abrir um chamado na área Suporte do sistema.