Política de Privacidade
Atualizado em 21 de setembro de 2026
Antes de publicar: preencha razão social, CNPJ e endereço marcados como [preencher]. Ao ligar ou trocar uma ferramenta de medição ou anúncio, revise as seções 4 e 5 no mesmo dia.
Esta política explica quais dados pessoais coletamos, por que, com quem compartilhamos, por quanto tempo guardamos e como você exerce seus direitos. Ela segue a Lei 13.709/2018 (LGPD).
1. Quem é o controlador dos dados
- Razão social
- [preencher: razão social completa]
- CNPJ
- [preencher: 00.000.000/0001-00]
- Endereço
- [preencher: rua, número, bairro, cidade/UF, CEP]
- Encarregado (DPO) — contato
- [email protected]
2. Que dados coletamos, e por quê
| Dado | Quando | Para quê | Base legal |
|---|---|---|---|
| Nome completo | No checkout | Emitir a cobrança e identificar o pedido | Execução de contrato (art. 7º, V) |
| No checkout | Entregar os arquivos e dar suporte | Execução de contrato (art. 7º, V) | |
| No checkout | Entregar os arquivos e dar suporte | Execução de contrato (art. 7º, V) | |
| CPF | No checkout | Exigido pelo banco para emitir a cobrança PIX | Obrigação legal e regulatória (art. 7º, II) |
| Endereço IP e user-agent | Ao criar o pedido | Segurança, prevenção a fraude e registro de acesso | Legítimo interesse (art. 7º, IX) e Marco Civil, art. 15 |
| Identificador de sessão e parâmetros de origem (UTM) | Ao navegar e ao comprar | Saber por qual anúncio ou link a venda chegou | Legítimo interesse (art. 7º, IX) |
| Dados do pagamento | No pagamento | Processados pelo banco, não por nós | Execução de contrato (art. 7º, V) |
Não recebemos dados bancários. O pagamento por PIX acontece dentro do aplicativo do seu banco. Nós recebemos apenas a confirmação de que a cobrança foi paga. Nunca pedimos senha, código de acesso ou dados de cartão — por nenhum canal.
3. Crianças
O produto é comprado por adulto e usado por criança. Não coletamos dados de crianças. Não pedimos nome, idade, foto nem qualquer informação sobre a criança que vai brincar, em nenhum momento — nem no checkout, nem depois. Se você nos escrever mencionando dados de uma criança, eles não serão registrados em cadastro.
4. Cookies, medição e publicidade personalizada
Guardamos no seu próprio navegador (localStorage) um
identificador de sessão e os parâmetros de origem da visita, para que a
venda seja atribuída ao anúncio certo. Esse dado não é lido por outro site.
Além disso, este site usa o Google Tag Manager, carregado a partir de um endereço nosso, para medir visitas e conversões. Por meio dele atuam aqui serviços de terceiros — em especial Google (Google Analytics, Google Ads) e Meta (Facebook e Instagram). Com isso:
- Esses terceiros, incluindo o Google, usam cookies próprios e identificadores para exibir anúncios com base em visitas anteriores suas a este site — é o que se chama de remarketing ou publicidade personalizada.
- O Google usa cookies de publicidade para veicular anúncios em sites parceiros, e você pode desativar isso nas Configurações de anúncios do Google.
- A Meta permite controlar anúncios personalizados nas preferências de anúncios da sua conta do Facebook ou Instagram.
- Para desativar de forma agregada em vários anunciantes, veja optout.aboutads.info e optout.networkadvertising.org.
A lista completa do que é gravado, por quem, e como recusar está em Política de Cookies.
5. Com quem compartilhamos
Só com quem é necessário para vender e entregar. Cada um recebe o mínimo para fazer o seu trabalho:
| Quem | Para quê | O que recebe |
|---|---|---|
| Banco Cora | Emitir e liquidar a cobrança PIX | Nome, CPF, e-mail e valor |
| Supabase | Banco de dados e funções que processam o pedido | Todos os dados do pedido |
| Resend | Enviar o e-mail de entrega | Nome e e-mail |
| Hostinger | Hospedar este site | Registros de acesso do servidor |
| Z-API | Enviar a confirmação da compra pelo WhatsApp | Telefone |
| Stape | Servidor de medição (pay.bonecasdepapel.store): registrar a compra e repassar a conversão às plataformas de anúncio |
Nome, e-mail, CPF, telefone, IP, valor e origem da visita (identificadores de clique e parâmetros de campanha) |
| UTMify | Relatório de vendas por origem de anúncio | Nome, e-mail, CPF, telefone, IP, valor e origem da visita |
| Google e Meta | Medir a conversão dos anúncios e exibir anúncios com base em visitas anteriores | Identificadores de clique e de navegador, valor da compra e, quando usados para casar a conversão, e-mail e telefone |
Não vendemos seus dados e não os cedemos para lista de terceiros.
6. Transferência internacional
Supabase, Resend, Stape, Google e Meta podem processar e armazenar dados em servidores fora do Brasil. A transferência se apoia no art. 33, II e IX, da LGPD — cláusulas contratuais e execução do contrato com você — e esses fornecedores mantêm padrões reconhecidos de segurança da informação.
7. Por quanto tempo guardamos
- Dados do pedido (nome, e-mail, WhatsApp, CPF, valor): 5 anos após a compra, prazo do art. 27 do CDC para pretensões do consumidor.
- Registros de acesso (IP, user-agent, data e hora): 6 meses, prazo do art. 15 do Marco Civil da Internet.
- Mensagens de suporte: 2 anos após o último contato.
- Dados de origem e atribuição: 18 meses.
Passados os prazos, os dados são apagados ou anonimizados — salvo se houver obrigação legal ou processo em curso que exija guardá-los.
8. Segurança
O site é servido por HTTPS. As chaves e certificados que conversam com o banco ficam no servidor, nunca no seu navegador. O acesso ao banco de dados é restrito e feito por credencial de serviço. Nenhum sistema é inviolável — se ocorrer incidente de segurança com risco relevante a você, comunicaremos você e a ANPD, na forma do art. 48 da LGPD.
9. Seus direitos
Pela LGPD, você pode a qualquer momento pedir:
- Confirmação de que tratamos dados seus, e acesso a eles;
- Correção de dado incompleto, inexato ou desatualizado;
- Anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo;
- Portabilidade a outro fornecedor;
- Eliminação dos dados tratados com base no seu consentimento;
- Informação sobre com quem compartilhamos;
- Revogação do consentimento, quando a base legal for essa;
- Oposição a tratamento feito com base em legítimo interesse.
Escreva para [email protected]. Respondemos em até 15 dias. Podemos pedir uma confirmação de identidade antes de atender — é o que impede que outra pessoa peça os seus dados no seu lugar.
Apagar os dados do pedido encerra o suporte àquela compra. Sem o registro, não conseguimos localizar o pedido para reenviar arquivos nem para processar reembolso. Os arquivos que você já baixou continuam seus.
10. Reclamação à autoridade
Se você entender que seus direitos não foram atendidos, pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.
11. Mudanças nesta política
Podemos atualizar este documento. A data no topo indica a versão vigente. Mudança relevante na forma como tratamos seus dados será comunicada por e-mail a quem já comprou.