Política de Privacidade - Shopilo Brasil

1. Controlador

Controladora, nos termos do art. 5º, VI, da LGPD, para o tratamento de dados pessoais em shopilo.com.br, é:

A DontPayFull SRL é uma sociedade constituída sob o direito romeno, sem estabelecimento ou inscrição no Brasil (sem CNPJ); os identificadores romenos acima são apresentados como equivalentes de identificação.

1.1 Encarregado pelo tratamento de dados pessoais

Na condição de agente de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022), a DontPayFull SRL está dispensada da designação formal de encarregado pelo tratamento de dados pessoais. Ainda assim, nos termos do art. 41 da LGPD e da Resolução CD/ANPD nº 18/2024, mantemos permanentemente ativo um canal de comunicação claro, direto e de fácil acesso com os titulares de dados e com a ANPD: [email protected]. Por esse canal recebemos reclamações e comunicações dos titulares e da ANPD, prestamos esclarecimentos e adotamos as providências cabíveis. Caso um encarregado venha a ser formalmente designado, sua identidade e suas informações de contato serão publicadas nesta página.

1.2 O que NÃO coletamos

O aplicativo Shopilo para celular, adicionalmente, não coleta identificadores de publicidade móvel (Apple IDFA / Google Advertising ID) e não incorpora SDKs de publicidade nem SDKs de análise de terceiros. O Google Analytics 4 e o Meta Pixel são executados somente no site, não no aplicativo.

2. Quais dados tratamos e por quê?

A tabela a seguir apresenta uma visão geral de todas as atividades de tratamento no shopilo.com.br. As bases legais correspondem às hipóteses do art. 7º da LGPD:

2.1 Legítimo interesse (LGPD, art. 7º, IX, e art. 10)

Na medida em que tratamos dados de uso com base no legítimo interesse, nossos interesses legítimos consistem em operar o serviço de forma tecnicamente estável e amigável, detectar e prevenir abusos e aprimorar o serviço a partir de estatísticas agregadas de uso — finalidades legítimas, consideradas a partir de situações concretas, conforme o art. 10 da LGPD. No teste de balanceamento, levamos em conta que os dados são anonimizados no lado do servidor antes do repasse ao Google Analytics 4 (truncamento de IP em proxy na UE, Google Signals desativado), que são tratados apenas os dados estritamente necessários à finalidade (art. 10, §1º) e que nenhum dado é transmitido a terceiros para fins próprios deles.

2.2 Alerta de preço e newsletter - double opt-in

Os alertas de preço exigem o seu consentimento expresso, obtido por procedimento de double opt-in (confirmação por e-mail), com fundamento no art. 7º, I, da LGPD. Caso venhamos a oferecer uma newsletter, valerá o mesmo: envio somente com consentimento prévio, livre, informado e inequívoco (art. 8º), com possibilidade de cancelamento gratuito e imediato em cada mensagem. Não utilizamos o legítimo interesse como base legal para marketing por e-mail.

2.3 Crianças e adolescentes

O shopilo.com.br não se dirige a crianças (menores de 12 anos) nem a adolescentes (12 a 18 anos incompletos), conforme as definições do art. 2º do Estatuto da Criança e do Adolescente (Lei nº 8.069/1990). Todo tratamento de dados de crianças e adolescentes deve ser realizado em seu melhor interesse (LGPD, art. 14, e Enunciado CD/ANPD nº 1/2023), e o tratamento de dados de crianças em serviços a elas dirigidos exige, em regra, o consentimento específico e em destaque de pelo menos um dos pais ou responsável legal (art. 14, §1º). Como condição comercial, a criação de conta no Shopilo é reservada a maiores de 18 anos. Não coletamos conscientemente dados pessoais de crianças ou adolescentes; se tomarmos conhecimento de que tais dados foram coletados, iremos eliminá-los imediatamente.

Aplicativo Shopilo para celular — tratamento adicional

Além do tratamento descrito acima, aplica-se o seguinte quando você utiliza o aplicativo Shopilo para celular (iOS e Android). O login no aplicativo é feito sem senha: um código de uso único ou um link mágico é enviado ao seu endereço de e-mail. Sua conta, as lojas que você segue e as preferências de newsletter são os mesmos dados de conta do site (veja a categoria D acima).

O tratamento realizado no aplicativo com base no legítimo interesse (LGPD, art. 7º, IX) compreende: o identificador estável da instalação do aplicativo, usado para fornecer sessões de visitante e acesso seguro à API; a atestação de integridade do dispositivo, realizada por meio do Apple App Attest e do Google Play Integrity para proteger nossos serviços contra abusos e ataques automatizados; e os diagnósticos de falhas e erros, usados para manter o aplicativo estável. Os diagnósticos de falhas são tratados exclusivamente em nossa própria infraestrutura de monitoramento de erros, hospedada por nós (Sentry, operado pela DontPayFull SRL em servidores sob nosso controle). Nenhum desses dados é usado para publicidade ou elaboração de perfis.

3. Operadores e destinatários

Utilizamos os seguintes operadores (LGPD, art. 5º, VII), que tratam dados pessoais em nosso nome e conforme as nossas instruções, com contratos de tratamento de dados celebrados com todos eles:

Outros terceiros somente recebem os seus dados pessoais quando houver obrigação legal (por exemplo, requisição de autoridades competentes mediante ordem judicial, nos termos do Marco Civil) ou quando você tiver consentido expressamente.

Aplicativo Shopilo para celular — destinatários adicionais

Se você ativar as notificações push no aplicativo Shopilo para celular, um token push é gerado por meio do Expo Push Service (650 Industries, Inc., EUA) e as notificações são entregues pelo serviço de notificações da plataforma do seu dispositivo — Apple Push Notification service (Apple Inc.) no iOS ou Firebase Cloud Messaging (Google LLC) no Android. O token push é um identificador técnico de roteamento; ele não é usado para publicidade nem para rastreamento entre aplicativos. Para proteger nossa API contra abusos, o aplicativo verifica a integridade do dispositivo e da instalação do aplicativo por meio do Apple App Attest (iOS) e da Google Play Integrity API (Android); no decorrer dessa verificação, a Apple ou o Google recebe uma solicitação técnica de atestação do seu dispositivo. O aplicativo também verifica periodicamente se há atualizações por meio do serviço EAS Update da Expo, o que tecnicamente envolve a transmissão do seu endereço IP aos servidores da Expo.

4. Transferências internacionais de dados

A DontPayFull SRL tem sede na Romênia e utiliza operadores na União Europeia e nos Estados Unidos. Os dados pessoais de usuários localizados no Brasil são, portanto, objeto de transferência internacional de dados, nos termos do art. 33 da LGPD, com os seguintes destinos: Romênia e Alemanha (União Europeia) — hospedagem e operação do serviço — e Estados Unidos — Google Analytics 4, Meta Pixel e Cloudflare.

4.1 Mecanismo utilizado - Cláusulas Contratuais Padrão da ANPD

Como a ANPD ainda não editou decisões de adequação para esses países, as transferências são realizadas com fundamento nas Cláusulas Contratuais Padrão (CCPs) da ANPD, aprovadas pela Resolução CD/ANPD nº 19/2024 (Regulamento de Transferências Internacionais de Dados) e incorporadas integralmente, sem alterações, aos contratos celebrados com os nossos operadores. Certificações estrangeiras dos fornecedores (por exemplo, no âmbito de programas de privacidade dos EUA) funcionam apenas como garantia adicional, não como fundamento da transferência sob a LGPD.

4.2 Google Analytics 4 - salvaguardas técnicas adicionais

4.3 Cloudflare Inc.

A Cloudflare também está vinculada às Cláusulas Contratuais Padrão da ANPD. A maior parte do tratamento ocorre nos pontos de presença (PoPs) geograficamente mais próximos do usuário — para usuários no Brasil, em regra, em PoPs localizados no próprio Brasil.

4.4 Hetzner Online GmbH e CookieScript

A Hetzner Online GmbH (Alemanha) e o CookieScript (UE) tratam dados exclusivamente na União Europeia, região com legislação de proteção de dados de nível comparável ao da LGPD (RGPD). Ainda assim, por se tratar de transferência internacional sob a ótica da LGPD, essas transferências também estão cobertas pelas Cláusulas Contratuais Padrão da ANPD.

Apple Inc. e 650 Industries, Inc. (Expo) — aplicativo para celular

No aplicativo Shopilo para celular, a Apple Inc. (Apple Push Notification service, App Attest) e a Google LLC (Firebase Cloud Messaging, Play Integrity) tratam dados nos EUA; essas transferências internacionais realizam-se nos termos do art. 33 da LGPD e estão cobertas pelas Cláusulas Contratuais Padrão da ANPD (Res. CD/ANPD nº 19/2024). A 650 Industries, Inc. (“Expo”, EUA) trata tokens push e solicitações de atualização do aplicativo; essas transferências são igualmente amparadas pelas Cláusulas Contratuais Padrão da ANPD, celebradas como parte do contrato de tratamento de dados da Expo.

5. Cookies e rastreamento

O aplicativo Shopilo para celular, por si só, não define cookies e não incorpora SDKs de rastreamento, publicidade ou análise de terceiros. Esta seção diz respeito apenas ao site.

5.1 Gestão do consentimento pelo CookieScript

Na sua primeira visita ao shopilo.com.br, é exibido um banner de cookies do CookieScript. Nele, você pode conceder ou recusar o consentimento por categoria de cookies — recusar é tão fácil quanto aceitar, e nenhuma categoria não essencial vem pré-marcada. Suas preferências ficam armazenadas e podem ser revogadas ou alteradas a qualquer momento pelo link de configurações de cookies no rodapé. A revogação não afeta a licitude do tratamento realizado com base no consentimento anterior.

5.2 Categorias de cookies

Cookies estritamente necessários (sem opt-in; LGPD, art. 7º, IX): indispensáveis à operação do serviço, por exemplo para armazenar a sua decisão de consentimento (cookie do CookieScript) ou garantir funções básicas de segurança (Cloudflare).

Cookies de análise (opt-in; LGPD, art. 7º, I, c/c art. 8º): Google Analytics 4 - ativo somente se você tiver consentido com a categoria “Análise”.

Cookies de marketing (opt-in; LGPD, art. 7º, I, c/c art. 8º): Meta Pixel - ativo exclusivamente se você tiver consentido de forma expressa com a categoria “Marketing”.

5.3 Cookies de afiliados

O shopilo.com.br não define cookies próprios de rastreamento de afiliados. Quando você clica em um link de loja e visita o site da loja, cookies podem ser definidos pela loja ou pela respectiva rede de afiliados em seus próprios domínios. Esses cookies estão sujeitos exclusivamente às políticas de privacidade da respectiva loja ou rede, e não a esta Política de Privacidade.

5.4 Opt-out do Google Analytics 4

Além da gestão do consentimento pelo CookieScript, você pode desativar a coleta pelo Google Analytics 4 com o complemento de navegador do Google: tools.google.com/dlpage/gaoptout

Informações detalhadas sobre todos os cookies utilizados, seus prazos e fornecedores estão na nossa Política de Cookies.

6. Prazos de retenção

Os dados pessoais são eliminados ou anonimizados assim que a finalidade do tratamento deixa de existir e não houver obrigação legal de guarda em sentido contrário (LGPD, arts. 15 e 16). A tabela a seguir resume os prazos:

Obrigações legais de guarda (por exemplo, obrigações fiscais sob o direito tributário romeno, aplicável à controladora) podem justificar prazos mais longos em casos específicos. Nesses casos, o tratamento fica limitado ao estritamente exigido por lei.

7. Seus direitos

Como titular de dados, você possui perante a DontPayFull SRL os direitos previstos no art. 18 da LGPD. Para exercê-los, escreva para [email protected]. Requisições de acesso são respondidas em formato simplificado imediatamente ou, por meio de declaração completa, em até 15 dias (LGPD, art. 19, II); as demais requisições são atendidas no menor prazo possível.

7.1 Direitos do titular (LGPD, art. 18)

7.2 Petição à ANPD e aos órgãos de defesa do consumidor

7.3 Fornecimento de dados não é obrigatório

O uso das funções básicas do shopilo.com.br não exige o fornecimento de dados pessoais. Quando determinadas funções (conta, alerta de preço) exigirem dados, você será informado no momento do preenchimento. A não indicação desses dados tem como única consequência a impossibilidade de usar a respectiva função.

8. Autoridades competentes

8.1 Proteção de dados - ANPD

A autoridade nacional responsável por zelar pela proteção de dados pessoais no Brasil e por fiscalizar o cumprimento da LGPD (arts. 55-A e seguintes) é a:

Você pode peticionar à ANPD contra o controlador (LGPD, art. 18, §1º) pelos canais indicados no site da autoridade. A ANPD é uma autoridade federal única — não há, no Brasil, o mecanismo europeu de “autoridade líder” (one-stop-shop).

8.2 Defesa do consumidor - SENACON e Procons

Para aspectos de relações de consumo, são competentes a SENACON (Secretaria Nacional do Consumidor, Ministério da Justiça e Segurança Pública), os Procons estaduais e municipais e a plataforma pública de resolução de conflitos consumidor.gov.br. O direito de peticionar às autoridades não prejudica outros meios de tutela dos seus direitos.

9. Contato e requisições de titulares

Para todas as questões de proteção de dados, para o exercício dos seus direitos ou para comunicações sobre privacidade, entre em contato com:

Atendemos requisições de titulares gratuitamente. Requisições de acesso são respondidas em formato simplificado imediatamente ou, por declaração clara e completa, em até 15 dias contados da requisição (LGPD, art. 19, II). Em caso de requisições complexas ou numerosas, informaremos você sobre o andamento e o prazo estimado.

9.1 Comprovação de identidade nas requisições

Para proteger os seus dados contra acessos não autorizados, podemos solicitar uma comprovação razoável de identidade ao processar requisições de titulares — que devem ser formuladas mediante requerimento expresso do próprio titular ou de representante legalmente constituído (LGPD, art. 18, §3º) — em atenção, ainda, ao dever geral de adotar medidas de segurança aptas a proteger os dados pessoais de acessos não autorizados (LGPD, art. 46). Os dados de identificação coletados serão usados exclusivamente para processar a sua requisição e, em seguida, eliminados.

9.2 Alterações desta Política de Privacidade

Reservamo-nos o direito de ajustar esta Política de Privacidade quando houver mudanças na legislação, nas condições técnicas ou no nosso serviço. Alterações relevantes serão anunciadas com pelo menos 14 dias de antecedência da sua entrada em vigor, por aviso destacado no shopilo.com.br ou, quando possível, por e-mail aos usuários registrados. As alterações não se consideram aceitas pelo simples uso continuado do serviço; pediremos a sua ciência ativa. A data da última atualização no topo da página será ajustada em conformidade.

Outras informações legais estão no nosso Aviso Legal, nos Termos e Condições e na Política de Cookies.