Política de Privacidade

O Lucras é uma ferramenta de cálculo de margem e lucro para lojistas. Nossas integrações com marketplaces são somente leitura: lemos pedidos, produtos, anúncios e notas fiscais apenas para calcular o resultado do próprio lojista — nunca escrevemos, alteramos ou excluímos qualquer dado na conta do marketplace. Não armazenamos dados pessoais de compradores/consumidores finais(nome, CPF, endereço ou telefone).

1. Quem é o controlador

Esta Política é mantida por Finxi Tecnologia LTDA, inscrita no CNPJ sob nº 11.747.686/0001-03, com sede na Rua do Carmo, 71, 5º andar, Centro, Rio de Janeiro/RJ, CEP 20011-020 ("Lucras", "nós"), que atua como controladora dos dados descritos nesta Política, nos termos da Lei nº 13.709/2018 ("LGPD").

Encarregado pelo Tratamento de Dados (DPO): contato por clique para ver o e-mail.

2. A que esta Política se aplica

Aplica-se ao uso do aplicativo e site Lucras e às integrações que o lojista conecta voluntariamente (Mercado Livre, Shopee, Amazon, TikTok Shop, Shein e outros). Em relação aos dados de pedidos e vendas obtidos dos marketplaces, atuamos a pedido e em benefício do próprio lojista (titular da conta de vendas), exclusivamente para a finalidade de cálculo de margem.

3. Dados que tratamos

3.1. Dados do lojista (usuário)

• Cadastro: nome, e-mail e senha (armazenada com hash), papel/permissões.
• Dados da empresa do lojista: razão social, CNPJ e regime tributário, para o cálculo correto de impostos.
• Dados de cobrança da assinatura, processados pelo provedor de pagamento (Stripe). Não armazenamos números de cartão.
• Dados técnicos de uso (logs de aplicação, sem dados pessoais de comprador), para segurança e operação.

3.2. Dados de marketplace (somente leitura)

• Pedidos/vendas: identificadores, datas, status, valores, comissões, frete e custo — dados financeiros, não pessoais do comprador.
• Produtos/anúncios: título, SKU, categoria, preço, estoque, atributos.
• Investimento em anúncios (ads): gasto agregado por dia, para indicadores.
• Notas fiscais (NF-e) de venda: processamos o documento fiscal para extrair apenas os dados tributários (impostos destacados, CFOP/NCM e a UF de destino, necessária ao cálculo do DIFAL). Não extraímos nem armazenamos nome, CPF, endereço ou contato do destinatário, e não retemos o XML bruto da nota.

Minimização (LGPD, art. 6º, III): coletamos apenas o estritamente necessário ao cálculo de margem. Eventuais dados pessoais de comprador que trafeguem em respostas de API ou no XML da NF-e são processados de forma transitória, em memória, e descartados — não são persistidos, registrados em logs nem usados para qualquer outro fim.

4. Como obtemos os dados e finalidade

Os dados de marketplace são obtidos via APIs oficiais, mediante autorização OAuthconcedida pelo próprio lojista, com escopo de somente leitura e privilégio mínimo. A finalidade é única: calcular e exibir ao lojista a margem, o lucro e os indicadores do seu próprio negócio.

Nós não: vendemos, alugamos, cedemos ou divulgamos os dados; combinamos os dados com terceiros para criar perfis; usamos os dados para marketing; ou os empregamos para qualquer finalidade alheia ao cálculo de margem do lojista.

5. Base legal (LGPD)

• Execução de contrato (art. 7º, V) — prestação do serviço contratado pelo lojista.
• Cumprimento de obrigação legal/regulatória (art. 7º, II) — quando aplicável a dados fiscais.
• Legítimo interesse (art. 7º, IX) — segurança da informação e prevenção a fraudes, sempre com minimização.
• Consentimento (art. 7º, I) — para a conexão de cada integração, manifestado no fluxo OAuth.

6. Compartilhamento e suboperadores

Não compartilhamos dados com terceiros para fins próprios deles. Utilizamos suboperadores estritamente para operar o serviço, sob contrato e dever de confidencialidade:

7. Transferência internacional

Parte da infraestrutura (Supabase, Vercel) está localizada nos Estados Unidos. As transferências internacionais ocorrem com base nas hipóteses da LGPD (art. 33), em especial para a execução do contrato e mediante garantias contratuais e técnicas de segurança equivalentes às adotadas no Brasil.

8. Retenção e eliminação

• Dados pessoais transacionais que eventualmente trafeguem: não são retidos — são descartados após o processamento, e em nenhuma hipótese mantidos por mais de 30 dias.
• Dados do lojista e dados financeiros agregados: mantidos enquanto durar a assinatura/relação, e pelo prazo legal/fiscal aplicável após o encerramento.
• Ao desconectar uma integração (revogação do OAuth): os tokens de acesso são imediatamente eliminados; o histórico de cálculo do lojista pode ser mantido por ele para sua própria gestão, e excluído a pedido.
• Ao encerrar a conta: eliminamos os dados pessoais, ressalvado o necessário a obrigação legal, em backups criptografados com expiração.

9. Segurança da informação

Adotamos medidas técnicas e organizacionais compatíveis com os padrões dos programas de desenvolvedores dos marketplaces (inclusive a Data Protection Policy da Amazon SP-API):

• Criptografia em repouso dos tokens de integração com AES-256-GCM; TLS 1.2+ em trânsito.
• Isolamento multi-inquilino no banco (Row-Level Security): cada organização só acessa os próprios dados.
• Controle de acesso por papéis (RBAC) e princípio do menor privilégio; segredos guardados em cofre de variáveis, nunca em código.
• Logs sem dados pessoais de comprador; monitoramento e trilhas de auditoria.
• Rotação periódica de chaves e revogação imediata em caso de comprometimento.

10. Resposta a incidentes

Mantemos plano de resposta a incidentes. Em caso de incidente de segurança envolvendo dados, comunicaremos o marketplace afetado no prazo exigido por seus termos (por exemplo, até 24 horas), e a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares conforme os prazos e critérios da LGPD.

11. Direitos do titular (LGPD)

Você pode, a qualquer tempo, solicitar: confirmação de tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos; portabilidade; informação sobre compartilhamentos; e revogação do consentimento. Para exercê-los, contate clique para ver o e-mail.

12. Cookies

Utilizamos cookies estritamente necessários à autenticação e ao funcionamento do aplicativo (ex.: sessão e preferências). Não utilizamos cookies de publicidade de terceiros.

13. Alterações

Podemos atualizar esta Política para refletir mudanças legais, técnicas ou de serviço. A data de "Última atualização" no topo indica a versão vigente; alterações relevantes serão comunicadas pelos canais do produto.

14. Contato

Dúvidas, solicitações de titular ou comunicações sobre privacidade: clique para ver o e-mail — Finxi Tecnologia LTDA, Rua do Carmo, 71, 5º andar, Centro, Rio de Janeiro/RJ, CEP 20011-020.