Política de Privacidade

1. Quem trata os seus dados

O Empy é oferecido por 69.169.154 Igor Felipe do Nascimento Pinto (CNPJ 69.169.154/0001-08). Para os dados de cadastro da empresa e dos seus usuários, somos os controladores. Para os dados dos clientes finais de cada empresa (quem tem uma carteirinha), a empresa é a controladora e o Empy é o operador, tratando os dados apenas por instrução dela.

2. Quais dados tratamos

• Usuários da empresa: e-mail, senha (guardada de forma criptografada), nome, função e o registro do aceite destes termos (data e versão).
• Empresa: nome, nome de exibição, logo, cores, regras do programa e status da assinatura.
• Funcionários: nome, e-mail (opcional), PIN (guardado de forma criptografada) e registros de acesso.
• Clientes finais: nome, telefone, data de nascimento (opcional), foto (opcional), PIN (criptografado), código da carteirinha, cashback, pontos, nível, compras, cupons usados e resgates, notificações recebidas, o aparelho em que ativou os avisos e o registro de que a loja informou o uso dos dados (data e versão desta política).
• Pagamento: a cobrança é feita pelo Asaas. Guardamos o CPF ou CNPJ de quem paga e o identificador do cliente no Asaas. Do Asaas recebemos apenas o estado, a data, o valor e o número de parcelas do pagamento; os dados do cartão são tratados pelo Asaas, nunca pelo Empy.
• Dados técnicos e de segurança: o endereço IP é usado para limitar tentativas e bloquear abusos (guardamos apenas um código derivado dele, não o IP em texto) e registros de acesso.
• Assistente Karvy: as mensagens que você envia, o seu nome e números agregados da empresa (por exemplo, quantidade de clientes por nível). Nomes e telefones de clientes finais não são enviados ao assistente.

3. Para que usamos e em que base legal

Não vendemos dados pessoais e não os usamos para publicidade de terceiros.

• Prestar o serviço, criar a conta, registrar compras, cashback, pontos e resgates (execução de contrato).
• Cobrar a assinatura e emitir a cobrança com CPF ou CNPJ de quem paga (execução de contrato e obrigação legal).
• Avisos no celular do cliente final (cashback, cupons, aniversário e compras): somente depois que ele ativa os avisos na carteirinha, e ele pode desligar quando quiser (consentimento).
• Lembretes e cupom de aniversário enviados pela loja ao cliente final, inclusive pelo WhatsApp da própria loja (legítimo interesse da loja no programa de fidelidade; o cliente pode pedir à loja para não receber).
• Proteger contas e prevenir fraude, com limites de tentativas e bloqueios (legítimo interesse e prevenção à fraude).
• Enviar e-mails do serviço, como confirmação de cadastro e redefinição de senha (execução de contrato).
• Cumprir obrigações legais e exercer direitos em processos (obrigação legal e exercício regular de direitos).

4. Com quem compartilhamos

Compartilhamos dados apenas com prestadores que nos ajudam a operar o serviço, sob contrato e para essas finalidades:

• Hospedagem, banco de dados e registro de erros (Lovable e Lovable Cloud, com Supabase e Cloudflare): todos os dados do serviço. Servidores podem ficar fora do Brasil.
• Pagamentos: Asaas (Brasil): nome da empresa, CPF ou CNPJ e e-mail de quem paga.
• Envio de e-mails do serviço (Lovable Emails): e-mail do usuário. Fora do Brasil.
• Inteligência artificial (Google, modelo Gemini; Estados Unidos): no assistente Karvy, as mensagens, o nome de quem usa e números agregados; no recurso "melhorar texto" dos lembretes, só o modelo da mensagem, sem dados de clientes.
• Avisos no celular (serviços de notificação do navegador: Google, Apple, Mozilla ou Microsoft, conforme o aparelho; fora do Brasil): o endereço técnico do aparelho. O conteúdo do aviso vai criptografado.
• WhatsApp (Meta; fora do Brasil): quando a loja usa "Enviar Empy" ou "Lembrar no WhatsApp", o próprio WhatsApp da loja abre com o nome, o telefone e a mensagem do cliente (que pode incluir o PIN de acesso). O envio é feito pela loja.
• Fontes de texto (Google Fonts): o navegador pode informar seu endereço IP ao carregar as fontes.
• Estatísticas de acesso ao site (Lovable, com o serviço Tinybird; fora do Brasil): endereço da página visitada, página de origem, navegador, idioma e região aproximada, para medir o uso e o desempenho do site. Dados de login, telefone e PIN que chegam por links são retirados do endereço antes do envio.

5. Transferência internacional

Alguns prestadores mantêm servidores fora do Brasil, principalmente nos Estados Unidos (hospedagem, e-mails, inteligência artificial, avisos no celular e WhatsApp). Nesses casos, a transferência é feita com prestadores que adotam garantias de proteção compatíveis com a LGPD, como cláusulas contratuais, conforme a regulamentação da ANPD.

6. Cookies e armazenamento no aparelho

Usamos o armazenamento do navegador para manter você conectado, lembrar a escolha entre tema claro e escuro e permitir o uso da carteirinha como aplicativo. A hospedagem também usa um cookie de sessão de 30 minutos para as estatísticas de acesso (item 4) e um cookie técnico de proteção contra robôs (Cloudflare). Não usamos cookies de publicidade nem rastreadores de terceiros para marketing.

7. Por quanto tempo guardamos

Guardamos os dados enquanto a conta da empresa estiver ativa e pelo prazo necessário para cumprir obrigações legais ou resolver disputas. Depois disso, os dados são excluídos ou anonimizados.

Prazos automáticos: sessões de acesso vencidas são apagadas em até 7 dias; registros de tentativas de login, em 30 dias; registros de bloqueio, em 90 dias.

Quando a loja exclui um cliente final, apagamos nome, telefone, data de nascimento, foto, PIN, sessões, avisos ativos e o texto das notificações. As compras, o cashback e os cupons ficam guardados sem identificação do cliente, pelo prazo das obrigações legais (em geral, 5 anos).

8. Como protegemos

Nenhum sistema é totalmente imune a falhas. Em caso de incidente relevante, avisaremos os afetados e a autoridade competente, conforme a lei.

• Conexão criptografada (HTTPS) e senhas e PINs guardados de forma criptografada.
• Cada empresa só acessa os próprios dados, com regras de segurança aplicadas no banco de dados.
• Limites de tentativas e bloqueio temporário contra adivinhação de PIN.
• Acesso restrito da equipe e uso de chaves secretas fora do código do aplicativo.

9. Seus direitos

Pela LGPD, o titular pode pedir confirmação do tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento, exclusão e revogação de consentimento, quando aplicável.

Se você é cliente final de uma empresa que usa o Empy, faça o pedido diretamente a essa empresa, que é a controladora dos seus dados. A loja consegue baixar o arquivo com todos os seus dados e excluir seu cadastro pelo próprio aplicativo; nós apoiamos o atendimento. Para dados de cadastro de empresas e usuários, fale conosco pelo canal de suporte indicado no aplicativo.

Os avisos no celular podem ser desligados a qualquer momento na própria carteirinha ("Desligar avisos neste aparelho").

10. Encarregado pelo tratamento de dados

O encarregado pelo tratamento de dados pessoais do Empy é Igor Felipe do Nascimento Pinto, que pode ser contatado pelo canal de suporte indicado no aplicativo.

11. Crianças e adolescentes

O serviço é destinado a empresas. A empresa deve cadastrar dados de menores de idade somente com o consentimento de um responsável legal, quando exigido pela lei.

12. Alterações desta política

Podemos atualizar esta política. A data da última atualização aparece no topo da página, e mudanças relevantes serão avisadas pelo aplicativo ou por e-mail.