Política de privacidade

Esta política explica o que o Nalurem faz com dados pessoais. Ela vale para duas pessoas diferentes: o lojista, que instala o aplicativo na loja dele, e o comprador, que compra uma música nessa loja. O que fazemos com os dados de cada um é diferente, e a diferença importa.

1. Quem responde pelo quê

Os dados do comprador são da loja, não nossos. Quem decide coletá-los é o lojista, ao vender a música; nós apenas os tratamos para entregar o serviço que ele contratou. Na linguagem da Lei 13.709/2018 (LGPD), a loja é a controladora e 68.351.044 THALLES HENRIQUE CAMPOS RESENDE é o operador. Se você comprou uma música e quer exercer um direito sobre seus dados, pode falar com a loja ou direto conosco: encaminhamos e cumprimos do mesmo jeito.

Os dados do lojista são outra história. O cadastro, o CNPJ ou CPF e o e-mail de cobrança existem porque nós precisamos deles para faturar e emitir nota. Sobre esses, 68.351.044 THALLES HENRIQUE CAMPOS RESENDE é o controlador.

2. Que dados tratamos

Do comprador, apenas o necessário para a música existir e chegar até ele:

• nome e e-mail, que vêm do pedido feito na loja;
• o nome de quem é homenageado na música;
• a história e as preferências que ele escreve no formulário;
• a letra e o arquivo de áudio resultantes;
• registros técnicos de acesso à página privada dele.

Do lojista:

• identificação da loja e dados de contato vindos da Nuvemshop;
• razão social, CNPJ ou CPF e e-mail para a fatura;
• o meio de pagamento que ele cadastrar para a cobrança automática. O número do cartão é digitado no aplicativo e encaminhado na hora ao provedor de pagamento, que devolve um código de uso restrito. É esse código que guardamos, junto da bandeira e dos quatro últimos dígitos, para o lojista saber qual cartão está em uso. O número em si não é gravado em lugar nenhum;
• as configurações do aplicativo e o histórico de uso e cobrança.

Não pedimos dado sensível e não há campo para isso. Se o comprador escrever na história algo que revele saúde, religião, orientação sexual ou origem, esse conteúdo é tratado apenas para escrever a música, e apagado junto com o resto.

3. Por que podemos tratar

A base legal é a execução do contrato (LGPD, art. 7º, V): sem esses dados não há música para entregar nem fatura para emitir. Para os registros de acesso, a base é o cumprimento de obrigação legal (art. 7º, II), por causa do art. 15 do Marco Civil da Internet.

Não usamos dado de comprador para publicidade, não vendemos base de dados e não fazemos perfilamento. As histórias enviadas não treinam modelo nenhum: as chamadas de inteligência artificial são feitas com o armazenamento do fornecedor desligado.

4. Com quem compartilhamos

Cada empresa abaixo recebe dado porque uma parte do serviço não funciona sem ela. Nenhuma recebe mais do que precisa para a sua função.

• OpenAI (Estados Unidos): Escrever e revisar a letra a partir da história enviada pelo comprador. A história, o nome do homenageado e as preferências escritas no formulário.
• API Pass (Brasil): Gravar o áudio da música a partir da letra aprovada. A letra aprovada e as preferências de estilo. Não recebe nome nem e-mail.
• Resend (Estados Unidos): Entregar os e-mails da loja ao comprador. Nome e e-mail do comprador, e o link privado da música.
• Cloudflare R2 (Estados Unidos): Guardar os arquivos de áudio entregues. O arquivo da música. O nome do arquivo não identifica ninguém.
• Asaas (Brasil): Emitir as faturas do aplicativo para a loja e processar o pagamento. Razão social, CNPJ ou CPF e e-mail do LOJISTA, e os dados do cartão quando ele autoriza a cobrança automática. O número do cartão fica com eles. Nenhum dado do comprador.
• Amazon Web Services (Brasil): Hospedar a aplicação e o banco de dados. Todos os dados tratados pelo aplicativo, na região de São Paulo.
• Nuvemshop (Brasil): Plataforma onde a loja vende. É de onde vêm os pedidos pagos. Dados do pedido e de contato do comprador, já sob a política da própria loja.

Parte deles fica fora do Brasil. Essa transferência internacional acontece com base na execução do contrato e em cláusulas contratuais com cada fornecedor, na forma do art. 33 da LGPD. A aplicação e o banco de dados ficam em São Paulo.

5. Por quanto tempo guardamos

• A música e o link privado: 90 dias depois da entrega. Recomendamos ao comprador baixar o arquivo dentro desse prazo.
• Briefing, letra e dados do comprador: enquanto a loja usar o aplicativo. Quando o lojista desinstala, os dados dele e dos compradores dele são anonimizados na hora e apagados em 7 dias.
• Registros de acesso: 6 meses, o mínimo exigido pelo art. 15 do Marco Civil.
• Registros de cobrança: pelo prazo fiscal aplicável, porque nota emitida não se apaga a pedido.

6. Direitos de quem teve os dados tratados

O art. 18 da LGPD garante ao titular: confirmação de que existe tratamento, acesso aos dados, correção do que estiver errado, anonimização ou eliminação do que for desnecessário, portabilidade, informação sobre com quem compartilhamos, e revogação do consentimento quando ele for a base usada.

Para exercer qualquer um deles, escreva para suporte@nalurem.com.br. Respondemos em até 15 dias. Se o pedido for sobre dados que a loja controla, avisamos a loja e cumprimos junto com ela.

7. Segurança

O acesso do comprador à música é feito por um link com token único, que não é indexado por buscadores e expira. As credenciais das lojas ficam cifradas no banco. O tráfego é sempre por HTTPS. O acesso administrativo exige senha e segundo fator, e cada consulta a dado de loja fica registrada com autor, IP e horário.

Número de cartão não é armazenado. Quando o lojista cadastra um cartão, os dados trafegam por HTTPS até o nosso servidor, seguem na mesma requisição para o provedor de pagamento e são descartados quando ela termina. Não são gravados no banco, não entram em registro de acesso e não aparecem em mensagem de erro. O que fica é o código devolvido pelo provedor, que só funciona em cobranças da nossa conta, só para aquele lojista, e não permite reconstruir o cartão. Quem armazena o número é o provedor, que tem certificação para isso.

Nenhuma medida elimina risco por completo. Se acontecer um incidente que possa gerar risco relevante, comunicamos os titulares e a Autoridade Nacional de Proteção de Dados, como manda o art. 48 da LGPD.

8. Cookies

A página do comprador usa apenas o necessário para manter a sessão e o acesso à música. Não há cookie de publicidade, nem rastreamento entre sites, nem pixel de rede social.

9. Encarregado e contato

68.351.044 THALLES HENRIQUE CAMPOS RESENDE, CNPJ 68.351.044/0001-08.

Assuntos de privacidade: suporte@nalurem.com.br. Outros assuntos: suporte@nalurem.com.br.

10. Mudanças nesta política

Se algo mudar, atualizamos a data no alto da página. Mudança que altere de forma relevante o tratamento é avisada ao lojista pelo painel ou por e-mail antes de valer.