Política de Privacidade

Versão 2026-10-09 · vigente a partir de 09/10/2026

Esta política explica como a Canaã EPIs & Ferramentas ([RAZÃO SOCIAL], CNPJ [CNPJ]), controladora dos dados, trata os dados pessoais de quem navega, se cadastra e compra neste site, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD).

1. Quais dados tratamos

• Cadastro: nome, e-mail, telefone/WhatsApp, senha (guardada só como hash Argon2id — nunca a senha em si), data e versão do aceite destes termos e, se você ativar, o segredo da autenticação em duas etapas.
• Compra: endereços de entrega, itens, valores, forma de entrega, rastreio e os dados da nota fiscal que você informa no pedido (CPF ou CNPJ, nome ou razão social e, para empresa, inscrição estadual).
• Pagamento: não recebemos nem guardamos número, validade ou código de segurança do cartão — eles vão direto do seu navegador para o Mercado Pago, que nos devolve apenas um identificador (token) e o resultado da cobrança.
• Navegação e segurança: endereço IP e data/hora de acesso, login, tentativas de login e ações na conta (registro de segurança); contagem de visitas sem IP em claro (usamos um código que muda todo dia) e sem cookies de terceiros de publicidade.
• Localização (opcional): se você tocar em “Usar minha localização” para calcular o frete, o navegador pede sua permissão; a coordenada é usada só para descobrir o CEP e não é gravada.
• Atendimento: o que você nos enviar por e-mail ou WhatsApp.
• Assistente virtual (chat do site, WhatsApp e Instagram): o texto das mensagens que você troca com ele, o nome, e-mail e telefone que você informar, o que você procura (produtos e preferências) e os pedidos que fizer por lá (orçamento, troca, aviso de chegada de produto). No WhatsApp e no Instagram, o identificador do seu perfil. Se você estiver logado, ele consulta os seus pedidos; se não estiver, não vê dado nenhum seu. [CONFIRMAR NA REVISÃO]

2. Para que usamos e com qual base legal

Finalidade	Base legal (LGPD)
Criar e manter sua conta; processar, entregar e dar suporte aos pedidos; trocas e devoluções	Execução de contrato (art. 7º, V)
Emitir nota fiscal e guardar documentos fiscais e contábeis	Cumprimento de obrigação legal (art. 7º, II)
Guardar registros de acesso ao site por no mínimo 6 meses (Marco Civil da Internet, art. 15)	Cumprimento de obrigação legal (art. 7º, II)
Segurança da conta, prevenção a fraudes e limites de uso (ex.: tentativas de login, cupons, carrinho)	Legítimo interesse (art. 7º, IX) e prevenção à fraude (art. 11, II, “g”, quando aplicável)
Análise antifraude da cobrança pelo meio de pagamento	Proteção do crédito (art. 7º, X) e execução de contrato
Estatística de visitas agregada, sem identificar você	Legítimo interesse (art. 7º, IX)
Usar sua localização para achar o CEP	Consentimento (art. 7º, I), dado na permissão do navegador
E-mails sobre o seu pedido (confirmação, pagamento, envio)	Execução de contrato (art. 7º, V)
Atender você pelo assistente virtual, encaminhar a uma pessoa da equipe e avisar quando um produto que você pediu chegar	Execução de contrato e procedimentos preliminares (art. 7º, V) e legítimo interesse (art. 7º, IX)
Enviar ofertas com base no que você procurou	Consentimento (art. 7º, I), só se você aceitar na conversa; pode ser retirado a qualquer momento

Não vendemos seus dados e não enviamos e-mail de marketing sem o seu consentimento.

3. Com quem compartilhamos (operadores)

Só o necessário para cada finalidade, com empresas que tratam os dados em nosso nome:

• Mercado Pago — processamento do pagamento (Pix e cartão) e antifraude.
• Contora e Focus NFe — emissão da nota fiscal (nome, CPF/CNPJ, endereço); a nota é transmitida à Secretaria da Fazenda.
• Correios, Melhor Envio e Frenet — cotação e envio (nome, endereço, telefone).
• Mailgun (Estados Unidos) — envio dos e-mails da conta e do pedido.
• Nominatim / OpenStreetMap — conversão da localização em CEP, só quando você usa “Usar minha localização”.
• Sentry (Estados Unidos, se ativado) — diagnóstico de erros do sistema, configurado para não enviar dados pessoais.
• Provedor de hospedagem (servidor na França) — onde o site e o banco de dados ficam.
• Atendente de IA (aplicação de atendimento, em atendimento.canaaepis.com.br, com banco de dados próprio) — guarda e processa as conversas do assistente virtual em nosso nome.
• Meta (WhatsApp e Instagram) — quando você fala com a loja por esses canais, a conversa também passa pela Meta, sob a política de privacidade dela.
• Provedores de inteligência artificial (Estados Unidos e outros países) — geram as respostas do assistente virtual e as rotinas internas de cadastro de produtos e fornecedores. Só recebem o texto necessário para responder: nunca senha, dado de pagamento ou documento. [CONFIRMAR NA REVISÃO]

Também podemos compartilhar dados com autoridades quando a lei ou uma ordem judicial exigir.

4. Transferência internacional

Alguns operadores ficam fora do Brasil (Estados Unidos e França). Nesses casos a transferência segue o art. 33 da LGPD, com cláusulas contratuais e garantias de proteção equivalentes. [CONFIRMAR MECANISMO NA REVISÃO]

5. Por quanto tempo guardamos

• Conta sem compra: anonimizada automaticamente após 3 anos sem login.
• Pedidos pagos e notas fiscais: pelo prazo da legislação fiscal e contábil (em geral 5 anos) — mesmo que você exclua a conta, o documento fiscal permanece.
• Pedidos não pagos: os dados de nota fiscal digitados são apagados quando a conta é excluída.
• Registros de segurança da conta e estatística de visitas: 24 meses.
• Carrinho de quem não entrou na conta: 90 dias sem uso.
• Conversas com o assistente virtual: o texto das mensagens é apagado após 12 meses; o contato sem movimento há 3 anos e sem nada em aberto é anonimizado. Se você excluir a sua conta, o que o assistente guardou dela é apagado também.

6. Seus direitos

Você pode, a qualquer momento (LGPD, art. 18): confirmar se tratamos seus dados e acessá-los; corrigir dados incompletos ou desatualizados; pedir anonimização, bloqueio ou eliminação de dados desnecessários; pedir a portabilidade; saber com quem compartilhamos; revogar consentimento; e se opor a tratamento feito com base em legítimo interesse.

Sobre o assistente virtual: peça a exclusão dos dados da conversa ao encarregado, ou exclua a sua conta (o pedido segue sozinho para o assistente). Falar com ele é opcional: você pode pedir uma pessoa a qualquer momento.

Pela sua conta, em Minha conta → Meus dados, você corrige nome e telefone e baixa uma cópia dos seus dados; em Excluir minha conta, apaga seus dados pessoais (o que a lei manda guardar, como a nota fiscal, é mantido). Para os demais pedidos, escreva ao encarregado.

7. Segurança

Usamos conexão cifrada (HTTPS), senhas com hash Argon2id, autenticação em duas etapas opcional, proteção contra falsificação de formulários e limites contra tentativas repetidas. Nenhum sistema é 100% seguro: se houver incidente que possa causar risco relevante a você, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), como manda o art. 48.

8. Cookies

Cookies necessários, sempre ativos: sessão (login e carrinho), proteção de formulários, a opção de não ser contado nas estatísticas e a sua escolha sobre cookies (cookie canaa_consent, guardado por 6 meses). Na página de pagamento, o Mercado Pago carrega o próprio código para processar o cartão com segurança.

Cookies de estatística (opcionais): só com o seu consentimento, dado no aviso de cookies, usamos o Google Analytics 4 (Google LLC) para medir como o site é usado — páginas vistas, origem da visita e tipo de aparelho. Sem o consentimento, o código do Google nem é carregado. Você muda a escolha a qualquer momento em “Preferências de cookies”, no rodapé (base legal: consentimento, art. 7º, I).

9. Encarregado (DPO) e contato

Encarregado pelo tratamento de dados pessoais: [NOME DO ENCARREGADO] — e-mail [E-MAIL DO ENCARREGADO] (ou contato@canaaepis.com.br). Você também pode reclamar à ANPD (www.gov.br/anpd).

10. Mudanças nesta política

Cada versão tem data. Se mudarmos algo relevante, avisamos no site e, para quem tem conta, por e-mail. Veja também os Termos de Uso.