Em poucas palavras: usamos os dados para o sistema funcionar, para atender você e para manter tudo seguro. Não vendemos dados pessoais. Os dados que a loja cadastra sobre os clientes dela são da loja: nós os tratamos em nome dela. O sistema fica num servidor no Brasil, de outra empresa, e todo o tráfego passa pela Cloudflare.
1. Quem é o responsável
O ZupoPDV é um produto da AUTOMI TECHNOLOGY LTDA (nome fantasia AUTOMI TECH), inscrita no CNPJ sob o nº 68.966.615/0001-00. Nesta política, "nós" é a AUTOMI; "ZupoPDV" é o nome do produto.
Endereço da sede, só para correspondência (não há atendimento presencial): Boulevard Vinte e Oito de Setembro, 399, apto 402, Vila Isabel, Rio de Janeiro/RJ, CEP 20551-185.
Encarregado pelo tratamento de dados pessoais (LGPD, art. 41): a própria AUTOMI TECHNOLOGY LTDA.
Titulares de dados e a Agência Nacional de Proteção de Dados (ANPD) falam com o encarregado pelo e-mail zupopdv@gmail.com, com o assunto "LGPD", ou por carta para o endereço acima. É o mesmo e-mail do suporte: o assunto "LGPD" separa os pedidos sobre dados pessoais.
2. Controlador e operador
Temos dois papéis, conforme o dado e a finalidade:
- Controladora (nós decidimos como os dados são usados e respondemos por eles): o cadastro e o acesso de quem usa o sistema (dono, gerentes e operadores de caixa); a segurança da conta, inclusive o registro de atividades; os registros de acesso que a lei manda guardar; a cobrança da assinatura; o atendimento do suporte; os e-mails sobre a conta; e os dados técnicos de quem visita o site e as páginas de catálogo.
- Operadora (a loja decide e nós tratamos os dados em nome dela, conforme as instruções dela): tudo o que a loja registra ao usar o sistema no negócio dela, como os clientes (cadastro, fiado, pontos e compras), os pedidos feitos no catálogo online, os orçamentos, os fornecedores pessoa física, as contas a pagar e os boletos, as notas fiscais e o certificado digital, e os dados de trabalho da equipe (vendas por operador e por vendedor, comissões, abertura e fechamento de caixa). Nesses casos, a controladora é a loja. As regras desse tratamento estão no item 12 dos Termos de uso.
Usamos dados da operação das lojas para fins nossos só quando necessário e, sempre que possível, em números agregados: cobrar o plano (por exemplo, contar as notas emitidas no plano Empresarial), manter a segurança, corrigir falhas e medir o uso do serviço. Nunca para anunciar, vender dados ou falar com os clientes da loja por conta própria.
Algumas empresas tratam dados por conta própria, como controladoras: o Mercado Pago, quanto aos dados que você informa na página de pagamento dele, e a Secretaria da Fazenda, quanto às notas fiscais que recebe por obrigação legal da loja.
Se você trabalha numa loja que usa o ZupoPDV: o que você faz no sistema fica registrado em seu nome, e o dono e os gerentes da loja podem consultar esses registros, inclusive as suas entradas no painel, com data, hora, endereço IP e navegador.
Se você é cliente de uma loja que usa o ZupoPDV, inclusive se fez um pedido pelo catálogo online dela: quem decide sobre os seus dados é a loja. Fale primeiro com ela. Se o seu pedido chegar até nós, encaminhamos à loja em até 2 dias úteis e avisamos você de que a resposta virá dela.
3. Quais dados tratamos
Conta e usuários
- Nome, e-mail, senha e PIN do caixa. A senha e o PIN são guardados embaralhados (com hash), nunca em texto.
- Perfil de cada usuário (dono, gerente ou caixa), lojas a que tem acesso e percentual de comissão, quando houver.
- Para quem liga a segunda etapa de login: o segredo do aplicativo autenticador, guardado criptografado, e os códigos de recuperação, guardados com hash.
- A data em que o e-mail foi confirmado.
Loja
- Nome, CNPJ ou CPF, telefone, endereço e chave Pix da loja.
- No plano Empresarial: a inscrição estadual e os demais dados fiscais da loja, e o certificado digital A1, a senha dele e o código de segurança da nota (CSC), estes três guardados criptografados.
Uso e segurança
- Entradas no painel e na ativação dos caixas: e-mail usado, data, hora, endereço IP e navegador. O dono e os gerentes veem esses dados no registro de atividades da conta.
- Tentativas de entrada com senha errada, pelo e-mail digitado, mesmo que ele não tenha conta, para bloquear quem tenta adivinhar senhas.
- Ações importantes feitas na conta, como cancelamentos, devoluções, trocas de preço, usuários criados ou inativados e exportações, com o usuário que fez.
- Sessões abertas: data de início, renovações e o navegador usado.
- Registros técnicos do servidor sobre cada chamada ao sistema: endereço IP, data, hora e o endereço chamado, que pode incluir o que foi digitado numa busca do painel (por exemplo, o nome, o CPF ou o celular de um cliente).
- Relatos automáticos de erro do site, do painel e dos caixas: mensagem do erro, página (sem os parâmetros), navegador, versão e, se a pessoa estiver conectada, a identificação da conta e do usuário. E-mails, CPFs e chaves de acesso são mascarados, e o endereço IP não é guardado.
- Identificação dos computadores e navegadores registrados como caixa da loja.
Operação da loja
Produtos, estoque, vendas, caixa, financeiro, fornecedores, contas a pagar, boletos anexados e notas de entrada (XML). São, na maior parte, dados da empresa, mas podem conter dados pessoais, como o nome, o CPF e o endereço de um fornecedor ou pagador pessoa física.
Clientes da loja (como operador)
O que a loja escolher cadastrar: nome, CPF ou CNPJ, RG ou inscrição estadual, data de nascimento, gênero, nome do pai e da mãe, celular, e-mail, endereço, observações, limite e saldo de fiado, pontos e histórico de compras. Só o nome é obrigatório: a loja deve preencher só o que precisar. Nos orçamentos, a loja registra o nome e o contato do cliente. No catálogo online, o cliente da loja informa nome, WhatsApp e, se pedir entrega, o endereço, além de uma observação, se quiser.
Atendimento
Mensagens trocadas com o suporte pelo WhatsApp ou por e-mail.
Pagamento da assinatura
Quando a cobrança estiver ativada, o Pix é pago pelo QR Code exibido no painel, e o cartão e o boleto, na página do Mercado Pago, onde você informa os dados do cartão e o CPF. Não recebemos nem guardamos dados do cartão: guardamos só a forma de pagamento usada (Pix, cartão ou boleto) e a situação de cada fatura. Nas vendas das lojas, o ZupoPDV registra a forma de pagamento, a maquininha, as parcelas e as taxas, nunca o número do cartão do cliente.
No computador e no navegador do caixa
- O site, o painel e o catálogo online guardam algumas informações no navegador, descritas na Política de cookies.
- PDV para Windows: para vender sem internet, guarda no computador do caixa os produtos e preços, os clientes da loja (nome, CPF ou CNPJ, celular, limite, saldo de fiado e pontos), os operadores (nome, perfil e o PIN com hash) e as vendas e movimentos de caixa ainda não enviados. Esse banco local não é criptografado. Para sincronizar, o computador também guarda a sessão de quem ativou o caixa (dono ou gerente), que se renova enquanto o caixa é usado e fica protegida pelo cofre do Windows quando ele está disponível.
- Caixa no navegador (zupopdv.com.br/pdv/): guarda no aparelho, num banco do próprio navegador, os mesmos tipos de dados e uma chave própria do caixa, que não é a senha de ninguém e só serve para vender e sincronizar naquela loja. Esses dados também não são criptografados.
4. Para que usamos e com qual base legal
| Para que usamos | Quais dados | Base legal (LGPD, art. 7º) |
|---|---|---|
| Criar a conta, dar acesso ao dono e aos usuários da loja e prestar o serviço contratado | Nome, e-mail, senha e PIN (com hash), segunda etapa de login, perfil, lojas e caixas | Execução de contrato (inciso V), para quem contratou. Para gerentes e operadores de caixa cadastrados pela loja, que não assinam o contrato: legítimo interesse (inciso IX), nosso e da loja, de dar a cada pessoa um acesso próprio e seguro |
| Guardar e processar o que a loja cadastra ou registra (produtos, vendas, clientes, fiado, pontos, fornecedores, equipe, comissões, caixa, pedidos e orçamentos) e fazer cópias de segurança | O que a loja escolher cadastrar | Atuamos como operador, em nome da loja, que é a controladora e define a base legal (item 2) |
| Enviar por e-mail, em nome da loja e quando ela pede, os orçamentos aos clientes dela | Nome e e-mail do cliente, itens, valores, observação e telefone da loja | Como operador, em nome da loja |
| Atender pedidos de suporte e contatos pelo WhatsApp ou por e-mail | Nome, contato e conteúdo da conversa | Execução de contrato ou procedimentos preliminares, a seu pedido (inciso V). Se quem nos procura não é parte do contrato, como um funcionário ou um cliente de uma loja: legítimo interesse (inciso IX) |
| Enviar avisos sobre a conta: confirmação do e-mail, recuperação de senha, fim do teste, faturas, atraso, cancelamento, exclusão dos dados e mudanças nos termos | Nome e e-mail | Execução de contrato (inciso V) |
| Cobrar a assinatura e emitir as notas fiscais do nosso serviço | Nome e e-mail do dono, CNPJ ou CPF e endereço da loja e dados da fatura | Execução de contrato (inciso V) e cumprimento de obrigação legal (inciso II), pela legislação tributária |
| Guardar os registros de acesso exigidos pelo Marco Civil da Internet (art. 15) | Data, hora e endereço IP de cada acesso e a identificação do usuário | Cumprimento de obrigação legal (inciso II). A terceiros, só entregamos esses registros com ordem judicial |
| Proteger as contas: bloquear tentativas repetidas de senha, limitar acessos automatizados e mostrar ao dono e aos gerentes quem entrou, quando e de onde | E-mail digitado na entrada, endereço IP, navegador, data e hora | Legítimo interesse (inciso IX), nosso e da loja, na segurança da conta, que também protege você |
| Registrar ações importantes feitas na conta e mostrá-las ao dono e aos gerentes | Quem fez, data, hora e o que mudou | Legítimo interesse (inciso IX), nosso e da loja, de prevenir fraudes e esclarecer o que aconteceu |
| Encontrar e corrigir falhas (registros técnicos do servidor e relatos automáticos de erro) | Os descritos no item 3, em "Uso e segurança" | Legítimo interesse (inciso IX) |
| Acompanhar os números do negócio, sempre agregados (cadastros, primeira venda, cancelamentos, receita) | Contagens que não identificam pessoas | Legítimo interesse (inciso IX) |
| Atender pedidos sobre os seus dados, comunicar incidentes de segurança e responder a autoridades | O necessário para cada caso, inclusive a confirmação da sua identidade | Cumprimento de obrigação legal (inciso II) |
| Defender direitos em processos judiciais, administrativos ou arbitrais | O necessário para o caso | Exercício regular de direitos (inciso VI) |
Não vendemos dados pessoais. Não usamos os dados dos clientes da loja para anúncios nem para falar com eles por conta própria: só enviamos, em nome da loja e quando ela pede, mensagens como os orçamentos por e-mail.
Hoje não medimos visitas ao site e não usamos publicidade. Se isso mudar, atualizaremos antes esta tabela e a Política de cookies e pediremos o seu consentimento quando ele for necessário.
Você pode se opor aos usos baseados em legítimo interesse, ou pedir mais informações sobre eles, pelo canal do item 10.
5. Com quem compartilhamos
Compartilhamos dados só com quem nos ajuda a prestar o serviço, e só o necessário. Quando os dados são dos clientes de uma loja, esses fornecedores atuam em nome da loja, conforme o item 12 dos Termos de uso.
- Hospedagem (empresa no Brasil): o servidor onde ficam o sistema, o banco de dados, os registros técnicos e uma das cópias de segurança (criptografada) é de outra empresa, que tem acesso administrativo a ele. O servidor também roda outros sistemas, que não são do ZupoPDV; o ZupoPDV usa um banco de dados e um usuário de acesso próprios, e esses outros sistemas não têm permissão para conectar nele.
- Cloudflare (Estados Unidos e outros países): recebe e repassa todo o tráfego do site, do painel, do catálogo online, dos caixas e da API e, para bloquear ataques, abre a conexão criptografada na rede dela. Também hospeda o site e as atualizações do PDV para Windows e guarda cópias de segurança criptografadas com uma chave que só nós temos: a Cloudflare não consegue ler o conteúdo delas.
- Google (Estados Unidos): pelo Gmail, envia os e-mails do sistema e os orçamentos que a loja manda aos clientes dela, e recebe as mensagens do suporte e os pedidos sobre dados pessoais. O Google Fonts fornece as fontes de letra do site, do painel, da página de acesso e do catálogo online: ao abrir essas páginas, o navegador se conecta ao Google, que recebe o endereço IP.
- WhatsApp (Meta, Estados Unidos): quando você escolhe falar com o nosso suporte por lá. Os botões de WhatsApp do painel e do catálogo online abrem o aplicativo de quem tocou neles, com uma mensagem pronta (por exemplo, o nome do cliente e o número do pedido ou do orçamento). Nada é enviado antes disso, e a conversa entre a loja e o cliente é da loja.
- ViaCEP (Brasil): ao digitar um CEP no cadastro de cliente ou de fornecedor, o navegador consulta esse serviço público para preencher o endereço. Ele recebe o CEP e o endereço IP de quem consultou.
- Mercado Pago (Brasil), quando a cobrança estiver ativa: recebe o nome, o sobrenome e o e-mail do dono, o valor e a descrição da fatura, sem o nome da loja. Os dados do cartão, do boleto e o CPF de quem paga são informados direto na página do Mercado Pago, que os trata como controlador, conforme a política de privacidade dele.
- Focus NFe (Brasil), no plano Empresarial, quando a emissão de notas estiver ativa: recebe os dados de cada nota, inclusive o nome e o CPF ou CNPJ do destinatário e, na NF-e, o endereço, o telefone e o e-mail dele, além do certificado digital da loja. Transmite as notas à Secretaria da Fazenda e guarda os arquivos delas.
- Secretaria da Fazenda do estado da loja: recebe as notas fiscais emitidas pela loja, por obrigação legal dela.
- Contabilidade, quando a cobrança estiver ativa: recebe os dados de cobrança da assinatura, para a escrituração e as notas fiscais do nosso serviço.
- Autoridades: entregamos dados somente quando a lei obriga ou por ordem judicial, e só o que for pedido de forma específica. Registros de acesso (data, hora e endereço IP) só saem com ordem judicial. Quando o pedido tratar de dados que a loja cadastrou sobre os clientes dela, indicamos a loja, que é a responsável, ou exigimos ordem judicial, e avisamos a loja, salvo quando a autoridade determinar sigilo.
- Operação societária: em caso de venda, fusão ou incorporação da empresa, com as mesmas garantias desta política.
Você pode pedir o nome de qualquer fornecedor, inclusive da empresa de hospedagem, e saber com quem os seus dados foram compartilhados, pelo canal do item 10. Quando corrigimos ou apagamos dados a seu pedido, avisamos os fornecedores que os receberam, quando necessário, para que façam o mesmo.
6. Onde ficam os dados e transferência internacional
O banco de dados principal fica num servidor no Brasil, de outra empresa, que tem acesso administrativo a ele (veja o item 5).
Alguns fornecedores tratam dados fora do Brasil:
- Cloudflare. País: Estados Unidos e outros países da rede dela. Para quê: entregar e proteger as conexões, hospedar o site e as atualizações do PDV para Windows e guardar cópias de segurança. Dados: tudo o que passa pela conexão (inclusive login, cadastros e vendas), endereço IP e dados técnicos de acesso; as cópias de segurança, criptografadas com uma chave que só nós temos.
- Google. País: Estados Unidos. Para quê: enviar e receber e-mails e fornecer as fontes de letra das páginas. Dados: nome, e-mail e conteúdo das mensagens, inclusive os orçamentos enviados aos clientes das lojas; endereço IP de quem abre as páginas.
- WhatsApp (Meta). País: Estados Unidos. Para quê: o atendimento que você escolhe fazer por lá. Dados: nome, número e conteúdo da conversa.
Essas transferências acontecem para prestar o serviço que você contratou ou pediu. Até a data desta versão, não assinamos com esses fornecedores as cláusulas-padrão contratuais aprovadas pela ANPD, e o mecanismo do art. 33 da LGPD usado em cada transferência ainda está sendo definido. Quando estiver definido, ele será informado aqui. Você pode pedir mais informações sobre essas transferências pelo canal do item 10.
7. Por quanto tempo guardamos
Guardamos cada dado pelo tempo necessário para a finalidade dele ou pelo prazo que a lei exigir. Depois, apagamos ou anonimizamos. Estes são os prazos de hoje:
- Conta, loja e usuários: enquanto a conta existir, em teste, ativa ou suspensa por falta de pagamento. Hoje a conta suspensa não tem prazo para ser cancelada: os dados continuam guardados até o pagamento ou o cancelamento. Usuário inativado perde o acesso, mas os dados dele continuam guardados até a conta ser apagada.
- Depois do cancelamento ou do fim do teste sem assinatura: 30 dias, para você reativar a conta ou baixar uma cópia de tudo (avisamos por e-mail 7 dias antes). Depois, apagamos da base principal os dados da loja, inclusive os dos clientes dela e as notas fiscais emitidas, os usuários e o registro de atividades. Ficam só as faturas da assinatura e uma linha da conta, sem o nome. A lei manda a loja guardar os arquivos das notas fiscais que emitiu: baixe-os antes.
- Dados dos clientes da loja: pelo tempo que a loja decidir, enquanto a conta existir. Inativar um cliente só o tira da lista: os dados continuam guardados.
- Registros de acesso (data, hora e endereço IP): o Marco Civil da Internet (art. 15) manda guardá-los por 6 meses. Hoje, os das entradas no painel ficam no registro de atividades da conta, que é apagado junto com ela, e os demais, nos registros técnicos do servidor.
- Registro de atividades da conta: enquanto a conta existir; é apagado junto com ela.
- Registros técnicos do servidor: ainda sem prazo de apagamento definido. O prazo será publicado aqui.
- Relatos automáticos de erro: 30 dias.
- Tentativas de entrada com senha errada: apagadas na próxima entrada certa com o mesmo e-mail. Ainda não há outra limpeza automática.
- Cópias de segurança: criptografadas e apagadas em até 35 dias depois da exclusão na base principal. Até lá, só são usadas para recuperar o sistema em caso de falha.
- Faturas da assinatura: ficam guardadas também depois da exclusão da conta, sem o nome da loja, pelo prazo da legislação tributária (em geral 5 anos contados a partir do ano seguinte). O sistema ainda não as apaga sozinho ao fim desse prazo.
- Mensagens de suporte e e-mails enviados pelo sistema: ficam na caixa de e-mail e no WhatsApp do suporte. Ainda não há prazo definido para apagá-los; quando houver, ele será publicado aqui. Você pode pedir a exclusão das suas mensagens pelo canal do item 10, salvo as que precisarmos manter para defender direitos.
- Caixa no navegador: as vendas e os movimentos de caixa já enviados há mais de 60 dias saem do aparelho sozinhos, e clientes e operadores inativados saem na sincronização. A opção "Desativar este computador", no próprio caixa, apaga tudo do aparelho. Desativar o caixa pelo painel impede novos envios, mas não apaga o que está no aparelho.
- PDV para Windows: os dados ficam no computador, na pasta de dados do programa (em geral
%APPDATA%\ZupoPDV), até a loja apagar essa pasta. Desinstalar o programa não apaga a pasta. Antes de apagar, confira na barra de baixo do PDV que não há envios pendentes.
A loja é responsável pelos computadores e aparelhos em que usa o ZupoPDV.
8. Como protegemos os dados
- Conexão criptografada (HTTPS) do navegador, dos caixas e do PDV para Windows até a Cloudflare, e túnel criptografado da Cloudflare até o servidor. Para filtrar ataques, a Cloudflare abre o tráfego na rede dela, como nossa fornecedora.
- O sistema do ZupoPDV não fica exposto diretamente à internet: o servidor recebe as conexões dele só pelo túnel da Cloudflare.
- O servidor é de outra empresa, que tem acesso administrativo a ele e ao banco de dados. Os outros sistemas desse servidor não têm permissão para conectar no banco do ZupoPDV.
- Senhas e PINs guardados com hash (Argon2id), nunca em texto. O segredo da segunda etapa de login, o certificado digital, a senha dele e o CSC são guardados criptografados.
- Segunda etapa de login (código gerado no celular), que cada usuário pode ligar.
- Bloqueio da entrada por 15 minutos depois de 10 senhas erradas em 15 minutos com o mesmo e-mail.
- Acesso por perfil (dono, gerente ou caixa) e separação entre as lojas: uma loja não vê os dados de outra.
- Registro de atividades da conta, que o dono e os gerentes consultam em Conta e plano: entradas no painel (com e-mail, endereço IP e navegador), senhas erradas e bloqueios, senhas trocadas, segunda etapa ligada ou desligada, usuários criados, alterados ou inativados, vendas canceladas e devolvidas, preços alterados, caixas desativados, certificado fiscal, trocas de plano, cancelamento e exportação dos dados. Hoje ele não registra as alterações em cadastros de clientes e de fornecedores nem em pedidos.
- Cópia de segurança diária do banco de dados, criptografada antes de ser gravada, com uma cópia no próprio servidor e outra na Cloudflare. A chave que abre as cópias não fica no servidor.
- No caixa no navegador, o aparelho usa uma chave própria do caixa, que deixa de valer quando o caixa é desativado no painel. No PDV para Windows, a sessão de quem ativou o caixa fica protegida pelo cofre do Windows quando ele está disponível. Os demais dados guardados nos aparelhos dependem da proteção do próprio aparelho (senha, bloqueio de tela e acesso só de pessoas autorizadas).
Avisos de segurança
Hoje não enviamos aviso por e-mail quando a senha ou o PIN são trocados, quando a segunda etapa de login é desligada ou quando os dados da conta são exportados. Essas ações aparecem no registro de atividades da conta, que o dono e os gerentes podem consultar a qualquer momento.
O ZupoPDV nunca pede a sua senha, o seu PIN ou o código da segunda etapa por e-mail, telefone ou WhatsApp.
Incidentes de segurança
Nenhum sistema é totalmente imune a falhas. Se acontecer um incidente de segurança que possa causar risco ou dano relevante:
- se atingir dados de que somos controladores (conta, usuários, visitantes), comunicaremos a ANPD e as pessoas afetadas no prazo da regulamentação da ANPD, por e-mail ou, se não for possível falar com cada pessoa, por aviso neste site;
- se atingir dados que a loja cadastra sobre os clientes dela, avisaremos o dono da loja por e-mail em até 48 horas da confirmação, com as informações de que a loja precisa para comunicar a ANPD e os clientes, como a lei exige da controladora, e ajudaremos nessa comunicação (veja o item 12.9 dos Termos de uso).
Para relatar uma suspeita de falha de segurança, escreva para zupopdv@gmail.com com o assunto "Segurança".
9. Seus direitos
Pela LGPD (arts. 18 a 20), você pode pedir a qualquer momento, sem custo:
- confirmação de que tratamos dados seus;
- acesso aos dados;
- correção de dados incompletos, errados ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
- portabilidade dos dados a outro fornecedor, nos termos da regulamentação da ANPD;
- eliminação dos dados tratados com o seu consentimento;
- informação sobre as empresas e os órgãos públicos com quem compartilhamos os seus dados;
- informação sobre a possibilidade de não dar consentimento e sobre o que acontece se você não der;
- revogação do consentimento;
- revisão de decisão tomada só por meio automatizado que afete os seus interesses.
O ZupoPDV não cria perfil de consumo, de crédito ou de comportamento de ninguém. Algumas medidas são automáticas e seguem regras fixas: o bloqueio da entrada por 15 minutos depois de várias senhas erradas, a limitação do painel quando uma fatura passa de 15 dias de atraso (item 6 dos Termos de uso) e a exclusão dos dados 30 dias depois do cancelamento ou do fim do teste. Se achar que uma delas foi aplicada por engano, peça a revisão pelo canal do item 10: uma pessoa da equipe analisa o caso.
Você também pode se opor a um tratamento feito sem o seu consentimento quando ele não cumprir a lei. Nesse caso, analisamos o pedido e explicamos a decisão.
Se não ficar satisfeito com a resposta, você pode reclamar à ANPD, pelo site gov.br/anpd, ou a um órgão de defesa do consumidor, como o Procon.
Alguns dados precisam ser mantidos mesmo depois de um pedido de eliminação, quando a lei exigir ou para a defesa em processo (veja o item 7). Nesses casos, dizemos quais dados ficam, por quanto tempo e por quê.
10. Como fazer um pedido
- Escreva para zupopdv@gmail.com com o assunto "LGPD", dizendo o que deseja. Pedidos feitos pelo WhatsApp do suporte também valem.
- Para proteger você, conferimos a sua identidade. Se você tem conta no ZupoPDV, o pedido deve vir do e-mail cadastrado ou ser confirmado por ele. Só pedimos documento quando não houver outro jeito, e só o necessário. Pedido feito por representante precisa de procuração ou de documento que comprove a representação.
- Quando possível, confirmamos na hora se tratamos dados seus. A resposta completa sai em até 15 dias, contados do pedido. Se não pudermos atender algum ponto, explicamos o motivo.
- O atendimento é gratuito.
Algumas coisas você mesmo faz no painel:
- o dono baixa uma cópia de todos os dados da conta em Conta e plano › Exportar todos os dados (um arquivo ZIP com as planilhas, os XML das notas fiscais emitidas e as fotos dos produtos);
- o dono e os gerentes veem as entradas e as ações importantes em Conta e plano › Registro de atividades;
- cada usuário troca a própria senha e liga ou desliga a segunda etapa de login no menu do usuário, no alto da tela;
- o dono e os gerentes corrigem os dados da loja em Configurações › Loja e os dos outros usuários em Configurações › Usuários.
Para corrigir o seu próprio nome, trocar o e-mail de entrada, excluir um usuário ou pedir a eliminação de dados antes dos prazos do item 7, faça o pedido pelo canal acima.
Se você é cliente de uma loja que usa o ZupoPDV: a loja é a controladora dos seus dados e é ela quem decide e responde ao seu pedido. Se ele chegar até nós, avisamos você de que atuamos em nome da loja e o encaminhamos a ela em até 2 dias úteis. Para isso, diga o nome da loja e a cidade. Não entregamos dados de clientes de uma loja sem a autorização dela, salvo ordem de autoridade.
Os dados que você informa direto na página do Mercado Pago, como o cartão e o CPF de quem paga, são tratados por ele, conforme a política dele. Se quiser, encaminhamos o seu pedido ao Mercado Pago.
11. Crianças e adolescentes
O ZupoPDV é feito para empresas, e a conta deve ser criada por quem tem 18 anos ou mais, ou é emancipado. A loja pode cadastrar como usuário um funcionário adolescente, como um jovem aprendiz: nesse caso, tratamos só o necessário para o acesso dele (nome, e-mail, PIN e o registro das ações no sistema), sempre no melhor interesse do adolescente, como manda o art. 14 da LGPD.
Se a loja cadastrar clientes menores de idade, cabe a ela seguir as regras da LGPD para esses dados, que devem ser tratados sempre no melhor interesse da criança ou do adolescente (art. 14).
13. Alterações desta política
Podemos atualizar esta política. Quando a mudança afetar as finalidades, a forma ou a duração do tratamento, quem é o responsável ou com quem compartilhamos dados, avisaremos por e-mail com pelo menos 15 dias de antecedência, com um resumo do que mudou. Mudanças exigidas por lei ou por segurança podem valer antes, com aviso imediato. A data da versão em vigor fica no topo desta página, e as mudanças ficam no histórico abaixo.
Histórico de versões
- 13/11/2026: identificação da AUTOMI TECHNOLOGY LTDA e do encarregado; hospedagem em servidor de outra empresa e tráfego pela Cloudflare; lista completa de fornecedores e de transferências internacionais; dados tratados, bases legais e prazos de guarda conforme o sistema de hoje; caixa no navegador; avisos e incidentes de segurança; direitos e pedidos; nome atual da ANPD.
- 30/10/2026: primeira versão, publicada no site em 03/11/2026.