Política de Privacidade
1. Quem somos
O Listou é uma plataforma SaaS que permite a Lojistas autônomas criar uma vitrine digital de produtos com catálogo público, recebimento de pedidos e compartilhamento via WhatsApp.
- Controlador: [Razão Social a inserir] — CNPJ [a inserir quando houver]
- Endereço: [endereço a inserir]
- Site: listou.net
2. Encarregado pelo Tratamento de Dados Pessoais
Nos termos do art. 41 da LGPD, designamos como Encarregado (DPO):
- Nome: [a definir]
- E-mail: [email protected]
- Prazo de resposta: 15 dias úteis a contar do recebimento da solicitação.
3. Quem é tratado por esta Política
Esta Política descreve o tratamento de dados de duas categorias de titulares:
- Lojistas — titulares que criam conta no Listou, configuram uma Loja e cadastram produtos.
- Solicitantes — pessoas que submetem uma Solicitação de Convite pelo formulário público em
listou.nete ainda não são Lojistas.
Essa é uma decisão deliberada que elimina a responsabilidade do Listou como controlador ou operador dos dados das Pessoas Clientes das Lojas.
Se a Pessoa Cliente desejar exercer direito sobre dados que tenha compartilhado com a Lojista via WhatsApp, esses dados estão sob controle da Lojista — o pedido deve ser direcionado à Lojista.
4. Que dados tratamos, por que e sob qual base legal
| Dado | Finalidade | Base legal (LGPD) |
|---|---|---|
| E-mail e senha (criptografada) | Autenticação no painel | Execução de contrato — art. 7º, V |
| Nome e WhatsApp da Loja | Exibição na vitrine pública e geração de link de pedido | Execução de contrato — art. 7º, V |
| IPs de login, contadores de tentativas, bloqueios automáticos | Throttling, prevenção de abuso e proteção de conta | Legítimo interesse — art. 7º, IX |
| Registro de aceite dos Termos (versão e data) | Comprovação de consentimento informado e reaceite em versões materiais | Obrigação legal — art. 7º, II |
| Registro de auditoria de ações administrativas | Rastreabilidade de operações sensíveis (suspensão, eliminação, alteração de contato) | Obrigação legal + legítimo interesse — art. 7º, II e IX |
| Solicitação de Convite (nome, WhatsApp, handle do Instagram, texto livre sobre a loja) | Avaliar o interesse da pessoa em receber um Convite e entrar em contato pelo WhatsApp informado | Consentimento — art. 7º, I (checkbox obrigatório no envio do formulário) |
5. Por quanto tempo mantemos seus dados
- Conta ativa: enquanto o contrato estiver vigente.
- IPs e throttles: 90 dias.
- Dados de conta após eliminação: até 30 dias (janela de retratação), seguido de exclusão definitiva automática.
- Solicitação de Convite pendente: até 90 dias sem evolução (desde a última atualização), seguido de exclusão definitiva automática.
- Solicitação de Convite descartada: até 30 dias após o descarte, seguido de exclusão definitiva automática.
- Solicitação convertida em Convite e consumida: deletada na mesma transação que cria a conta da Lojista — a partir daí valem as regras de retenção da Lojista.
- Registro de auditoria: mantido por 5 anos com dados pessoais retroativamente redigidos — apenas os metadados da ação (tipo, data e responsável) são preservados.
- Backups da plataforma: retidos por até 7 dias. Nota: não é possível restaurar seletivamente um único registro de um backup — a restauração é sempre total.
6. Com quem compartilhamos
| Subprocessador | Serviço | País |
|---|---|---|
| Render | Hospedagem de aplicação e banco de dados PostgreSQL | EUA |
| Cloudflare Workers | Vitrine pública | EUA / Global |
| Cloudflare R2 | Armazenamento de fotos de produtos | EUA / Global |
| Resend | Envio transacional de e-mail (recuperação de senha) | EUA |
Não vendemos, alugamos ou compartilhamos dados pessoais com terceiros além dos subprocessadores listados acima.
7. Transferência internacional
Os subprocessadores listados na Seção 6 operam total ou parcialmente nos Estados Unidos. Essas transferências são realizadas com amparo no art. 33, IV da LGPD (cláusulas contratuais padrão e Data Processing Agreements — DPA) ou em mecanismos equivalentes reconhecidos pela ANPD.
8. Seus direitos como titular
Nos termos do art. 18 da LGPD, você pode exercer os seguintes direitos a qualquer momento pelo canal [email protected]:
- Confirmação e acesso — saber se tratamos seus dados e obter uma cópia.
- Correção — atualizar dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade.
- Portabilidade — receber seus dados em formato estruturado.
- Eliminação — solicitar a exclusão de dados tratados com base em consentimento (exceto onde obrigação legal exige retenção).
- Informação sobre compartilhamento — saber com quais entidades compartilhamos seus dados.
- Oposição ao tratamento realizado com base em legítimo interesse.
Para solicitações de eliminação de conta, o fluxo é o seguinte:
- Você envia o pedido para [email protected].
- O Super Admin executa a terminação: credenciais destruídas, e-mail anonimizado e Loja marcada para remoção.
- Você dispõe de 30 dias para retratação. Passada a janela, a exclusão é definitiva e irreversível.
- O registro de auditoria permanece com os metadados da ação, mas com dados pessoais redigidos.
Respondemos em até 15 dias úteis.
9. Cookies e armazenamento local
| Item | Tipo | Finalidade | Expiração |
|---|---|---|---|
| Cookie de sessão | Cookie de sessão | Manter a sessão autenticada no painel | Sessão do navegador |
| Cookie de segurança | Cookie de sessão | Proteção contra requisições maliciosas (CSRF) | Sessão do navegador |
| Sacola da vitrine | Armazenamento local do navegador (Pessoa Cliente) | Persistir itens adicionados ao carrinho na vitrine pública — nunca enviado ao servidor | Até a Pessoa Cliente limpar o armazenamento |
10. Crianças e adolescentes
O Listou é destinado exclusivamente a pessoas com 18 anos ou mais. Não coletamos intencionalmente dados de menores de idade.
O conteúdo publicado nas vitrines (produtos, descrições, imagens) é de responsabilidade exclusiva da Lojista. Caso identifique conteúdo impróprio para menores em qualquer vitrine, entre em contato pelo canal [email protected]. Respondemos a solicitações de takedown em até 48 horas.
11. Segurança
Adotamos as seguintes medidas técnicas e organizacionais:
- TLS obrigatório em todas as comunicações cliente-servidor.
- Criptografia de senhas com algoritmo padrão da indústria.
- Limitação de tentativas de autenticação e de ações sensíveis para prevenção de abuso.
- Acesso administrativo restrito a Super Admins com trilha de auditoria em todas as operações.
Para reportar vulnerabilidades de segurança, use o canal dedicado [email protected] — separado do canal de privacidade.
Em caso de incidente de segurança que afete dados pessoais, notificaremos a ANPD e os titulares afetados no prazo de 3 dias úteis a contar da ciência, nos termos da Resolução CD/ANPD nº 15/2024.
12. Sucessão e reorganização societária
Em caso de fusão, aquisição, cisão ou transferência de ativos que envolva o Listou, seus dados pessoais poderão ser transferidos à entidade sucessora. Notificaremos os titulares com antecedência mínima de 30 dias, garantindo o direito de solicitar eliminação antes da transferência.
13. Mudanças nesta Política
Distinguimos dois tipos de atualização:
- Alterações cosméticas (ajustes de redação, correção de erros tipográficos, clareza): publicadas com nova versão sem exigir reaceite. Você será informada por e-mail.
- Alterações materiais (nova base legal, novos subprocessadores, mudança de finalidade): exigem reaceite explícito no próximo login, registrado com a nova versão e data. Sem reaceite, o acesso ao painel fica suspenso até a confirmação.
A versão vigente está sempre disponível em app.listou.net/privacidade.
14. Lei aplicável e foro
Esta Política é regida pela Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e demais normas aplicáveis. Fica eleito o foro da Comarca de [cidade a definir] para dirimir quaisquer controvérsias, com renúncia a qualquer outro, por mais privilegiado que seja.