1. Introdução e quem somos

A 00shop ("nós", "nosso" ou "plataforma") é uma plataforma multi-tenant de comércio eletrônico e delivery que conecta estabelecimentos comerciais a seus clientes. Esta Política de Privacidade descreve como coletamos, usamos, compartilhamos, armazenamos e protegemos dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018).

A plataforma é operada por 00SHOP LTDA, CNPJ 66.520.865/0001-97. Para os dados que tratamos para operar a plataforma, os pagamentos, as entregas e a segurança, somos a controladora. Quando você faz um pedido, a loja escolhida também trata os dados do pedido para vender e entregar, conforme a política dela.

2. Dados que coletamos

2.1 Estabelecimentos (lojistas)

• Cadastro: nome da empresa, nome do responsável, CNPJ/CPF, e-mail, telefone, endereço completo e coordenadas; dados do administrador e dos funcionários (nome, e-mail, telefone, permissões); senhas armazenadas de forma protegida (hash).
• Conteúdo da loja: produtos, imagens, logo, banner e cores da marca.
• Registros financeiros na plataforma: vendas, taxas, estornos, saques e acertos de entregas.
• Subconta de recebimento (Pagar.me): para abrir a conta onde a loja recebe, enviamos ao Pagar.me os dados da empresa e do responsável legal (nome, CPF, data de nascimento, nome da mãe, renda mensal, ocupação, endereço, telefone e e-mail), o faturamento e a conta bancária de destino. A verificação de identidade (prova de vida), quando exigida, é feita no ambiente do Pagar.me. Na 00shop ficam apenas o banco, o final da conta, o titular e o status do cadastro.
• PDV e notas fiscais: dados fiscais da empresa, certificado digital e credenciais da emissão, armazenados de forma criptografada, e dados de clientes cadastrados no caixa (nome, CPF, telefone, e-mail) e o CPF informado na nota.

2.2 Clientes finais

• Pedido: nome, telefone, endereço de entrega e suas coordenadas (obtidas do endereço ou da localização do seu aparelho, se você autorizar), itens, valores e observações. Seu histórico de endereços pode ser sugerido a partir do telefone.
• Pagamento online (PIX e cartão): nome completo, e-mail, CPF, telefone e endereço de cobrança, que enviamos ao Pagar.me para processar o pagamento e fazer a análise antifraude, junto com o endereço IP.
• Cartão: o número, a validade e o código do cartão são informados diretamente ao Pagar.me, no seu navegador, e não passam pelos nossos servidores. Guardamos apenas identificadores da transação, o status do pagamento e o resultado da análise antifraude. Não guardamos número de cartão.
• CPF do pagamento: não fica gravado no pedido. Para limitar tentativas repetidas de cartão, guardamos um código irreversível (hash) do CPF, o IP e o resultado de cada tentativa.
• Ingressos: nome, e-mail, telefone e CPF do comprador, necessários para emitir o ingresso e processar o pagamento.
• Avaliações: nome, telefone, comentário e fotos ou vídeos que você enviar.
• Sorteio mensal: a 00shop registra o nome, o telefone e o valor dos pedidos pagos para incluir o cliente em sorteios promocionais; o ganhador recebe um vale-compras vinculado ao telefone.

2.3 Entregadores

• Cadastro: nome, CPF, telefone, e-mail, número da CNH, foto de perfil (selfie) e fotos da CNH, tipo de veículo e placa, chave PIX para saque.
• Verificação facial: comparamos a selfie com a foto da CNH em nossos próprios servidores, sem enviar as imagens a terceiros para essa finalidade. Guardamos apenas o resultado (aprovado ou não) e a pontuação de similaridade, não um modelo facial. Quando o sistema não consegue decidir, o cadastro pode ir para revisão manual. Por ser dado biométrico, é tratado com cuidado reforçado.
• Localização: enquanto o aplicativo está em uso, enviamos a posição do aparelho a cada poucos segundos e a associamos às corridas. A posição é usada para atribuir corridas e para o rastreio da entrega, que mostra o nome do entregador e a posição a quem tiver o link de acompanhamento da corrida.
• Operação: corridas, avaliações, extrato de saldo, pedidos de saque e identificador para notificações no aparelho.

2.4 Afiliados

• Nome, telefone, CPF e chave PIX para o pagamento de comissões, além das vendas atribuídas ao seu link por meio de um cookie (veja a Política de Cookies).

2.5 Dados coletados automaticamente

• Acesso e uso: endereço IP, navegador, sistema operacional, páginas e produtos visitados e métricas de uso (inclusive por meio do Google Analytics).
• Segurança: registros de ações sensíveis (alteração de senha, de chave PIX e de conta bancária, saques), com IP e dados do navegador.
• Cookies e armazenamento do navegador: para sessão, carrinho e preferências, conforme a Política de Cookies.
• Notificações: se você aceitar, guardamos o identificador do seu navegador para enviar avisos (no caso de clientes, associado ao telefone).

3. Para que usamos os dados e em que base legal

• Executar o contrato e os pedidos: processar pedidos, pagamentos, entregas, saques e acertos, e dar suporte.
• Cumprir obrigações legais e regulatórias: obrigações fiscais, verificação cadastral exigida na abertura da subconta e guarda de registros.
• Legítimo interesse: prevenir fraudes e abusos (limite de tentativas, antifraude), garantir a segurança da plataforma, medir o uso, melhorar os serviços e realizar sorteios promocionais.
• Prevenção à fraude e segurança do cadastro: a verificação facial do entregador (comparação da selfie com a CNH), para confirmar a identidade de quem se cadastra (LGPD, art. 11, II, "g").
• Consentimento: localização do aparelho e notificações no navegador e no aplicativo, que você pode revogar a qualquer momento nas configurações do aparelho ou do navegador (o que pode impedir o uso do recurso).
• Comunicação: avisos sobre pedidos, pagamentos, segurança e mudanças na plataforma.

4. Com quem compartilhamos

Não vendemos seus dados. Compartilhamos apenas o necessário:

• Com a loja: os dados do pedido, para vender e entregar.
• Com entregadores: nome, telefone, endereço de entrega, itens do pedido e, quando informado, e-mail, para realizar a entrega.
• Com o Pagar.me (grupo Stone): dados de pagamento, antifraude, abertura e verificação da subconta e saques (seções 2.1 e 2.2).
• Mercado Pago (lojas que ainda o usam): a loja autoriza a 00shop a criar cobranças na conta dela; guardamos o token de acesso dessa autorização (de forma protegida) e o identificador da conta. Nas compras, enviamos ao Mercado Pago o nome, o e-mail, o CPF (no cartão) e o telefone do pagador. O número do cartão é informado diretamente ao Mercado Pago, no seu navegador, e não passa pelos nossos servidores.
• Com provedores de tecnologia (operadores), apenas para a finalidade indicada:
  • Google (Maps, Places, Geocoding e Directions, para endereços, fretes e rotas; Google Analytics, para métricas; e Firebase, para notificações do aplicativo do entregador);
  • OpenStreetMap/Nominatim e ViaCEP, para localizar endereços e CEPs;
  • Serviços de notificação dos navegadores (por exemplo, Google, Mozilla e Apple), quando você ativa avisos;
  • FocusNFe, para a emissão de notas fiscais do PDV (CNPJ, certificado, itens e CPF do destinatário);
  • Anthropic, em recursos de apoio ao cadastro de produtos (textos sobre o produto, sem dados de clientes);
  • Provedor de e-mail (SMTP), para e-mails transacionais, e provedores de infraestrutura e de bibliotecas web (CDNs), que recebem o IP e o navegador na entrega dos arquivos.
• Autoridades: quando exigido por lei ou ordem judicial.

Alguns desses provedores podem tratar dados fora do Brasil. Nesses casos, aplicam-se as regras e as salvaguardas dos próprios provedores, e a transferência ocorre para executar o serviço que você contratou.

5. Segurança dos dados

Adotamos medidas técnicas e organizacionais, entre elas:

• Comunicação por HTTPS (TLS) em produção.
• Senhas armazenadas com hash, nunca em texto aberto.
• Cartão tokenizado no navegador: o número não passa pelos nossos servidores.
• Confirmação de senha para operações financeiras (saque e troca de conta bancária), com bloqueio temporário após tentativas erradas e aviso por e-mail à loja.
• Certificado digital e credenciais fiscais do PDV armazenados de forma criptografada.
• Acesso por perfil: cada usuário acessa apenas o que o seu perfil permite.
• Antifraude e limite de tentativas nos pagamentos com cartão.

Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que possa trazer risco relevante a você, comunicaremos você e a Autoridade Nacional de Proteção de Dados, conforme a LGPD.

6. Por quanto tempo guardamos

Guardamos os dados pelo tempo necessário para as finalidades desta política, para cumprir obrigações legais e regulatórias (inclusive fiscais e de registros de transações), para o exercício regular de direitos e para prevenção a fraudes. Em especial:

• Dados de conta: enquanto a conta estiver ativa e, depois, pelo prazo exigido em lei.
• Documentos e registros fiscais e financeiros: pelos prazos da legislação aplicável.
• Registros de acesso (IP, data e hora): no mínimo pelo prazo previsto no Marco Civil da Internet (6 meses).

Você pode pedir a exclusão ou a anonimização dos seus dados (seção 7). Atenderemos nos limites da lei: dados que precisamos manter por obrigação legal ou para defesa em processos permanecem pelo prazo necessário.

7. Seus direitos (LGPD)

Você pode pedir:

• Confirmação e acesso: saber se tratamos seus dados e obter uma cópia;
• Correção: atualizar dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade: receber seus dados em formato estruturado;
• Informação sobre com quem compartilhamos seus dados;
• Revogação do consentimento e oposição a tratamentos feitos com base em outra hipótese legal.

Esses pedidos são atendidos mediante solicitação ao nosso canal de contato (seção 11). Para sua segurança, podemos pedir que você confirme sua identidade. Pedidos sobre dados que estão com a loja, como o histórico de um pedido, também podem ser dirigidos a ela.

8. Cookies e tecnologias similares

Usamos cookies e armazenamento do navegador para sessão, carrinho, atribuição de afiliados e métricas. Para detalhes, consulte a Política de Cookies.

9. Dados de menores

Nossos serviços não são direcionados a menores de 18 anos. Se você é pai/mãe ou responsável e descobrir que seu filho forneceu dados sem consentimento, entre em contato para que possamos removê-los.

10. Alterações nesta política

Podemos atualizar esta política. A data da última atualização está no topo da página. Avisaremos sobre mudanças significativas por e-mail ou aviso na plataforma.

11. Encarregado e contato

Para questões sobre privacidade e proteção de dados, e para exercer seus direitos, fale com o nosso Encarregado pelo canal abaixo:

12. Lei aplicável e foro

Esta política é regida pelas leis brasileiras, incluindo a LGPD e o Marco Civil da Internet. Fica eleito o foro da comarca de Recife/PE para resolver quaisquer controvérsias.