1.Quem cuida dos seus dados
1.1
Esta Política explica como o SplittPay trata dados pessoais na Plataforma (splittpay.app e aplicativos), conforme a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, “LGPD”) e o Marco Civil da Internet (Lei nº 12.965/2014). Ela faz parte dos Termos de uso.
1.2
O controlador dos dados, isto é, quem decide como e por que eles são tratados, é a empresa identificada abaixo:
SplittPay é uma marca de SPLITFY TECNOLOGIA INOVA SIMPLES (I.S.), CNPJ 68.923.236/0001-33, Recife/PE.
- Razão social
- SPLITFY TECNOLOGIA INOVA SIMPLES (I.S.)
- CNPJ
- 68.923.236/0001-33
- Endereço
- Recife/PE (endereço completo mediante solicitação pelo e-mail de contato)
- Site
- splittpay.app
- (81) 99424-5786
- rafaelramalhoalves2602@gmail.com
1.3
Encarregado pelo tratamento de dados pessoais (LGPD, art. 41): Rafael Ramalho Alves, pelo e-mail de contato. Contato: pelo WhatsApp (81) 99424-5786 ou pelo e-mail rafaelramalhoalves2602@gmail.com.
1.4
Quando o negócio inclui dados de outras pessoas na Plataforma (como os da equipe que convida), declara ter motivo legítimo para isso e responde pela correção dessas informações.
2.A quem esta política se aplica
2.1
Esta Política vale para:
- quem tem conta no SplittPay, nos papéis de dono, profissional ou caixa;
- pessoas convidadas por um negócio que ainda não criaram conta (nome, celular e função informados pelo negócio);
- a clientela que paga as cobranças: só o identificador da transação Pix informado pela instituição de pagamento parceira (o nome e o CPF de quem pagou ficam só com ela);
- quem visita o site ou fala com o atendimento.
3.Dados que tratamos
- Conta e identificação
- Nome, número de celular, CPF (profissionais) ou CNPJ ou CPF (negócio). A senha e o PIN de saque são guardados só como hash (um resumo criptográfico), nunca em texto.
- Recebimento
- Chave Pix e o tipo dela, e a identificação da subconta na instituição de pagamento parceira.
- Negócio
- Nome, CNPJ ou CPF, cidade, categoria, serviços, preços e regras de comissão.
- Equipe
- Nome, celular e função das pessoas convidadas pelo negócio; nome de usuário dos acessos de caixa.
- Transações
- Cobranças (valores, datas, serviços, quem atendeu, divisão e situação), saques (valor, tarifa, chave de destino e situação) e os identificadores da instituição de pagamento.
- Identificador do Pix
- O identificador da transação Pix (endToEndId) informado pela instituição de pagamento parceira quando a cobrança é paga, para a conciliação e as contestações. O nome e o CPF de quem pagou ficam só com a instituição de pagamento e não são guardados pelo SplittPay.
- Mensagens de WhatsApp
- As mensagens de confirmação trocadas com o número do SplittPay: número, conteúdo e horário.
- Acesso e segurança
- Endereço IP, data e hora, navegador e aparelho, tentativas de senha, de PIN e de conferência de chave, e o registro de cada aceite destes documentos.
- Atendimento
- O que você nos contar ao falar com o atendimento.
3.1
Não tratamos dados pessoais sensíveis (como origem racial ou étnica, saúde, religião, opinião política ou biometria). Pedimos só o necessário para o serviço funcionar (princípio da necessidade, LGPD, art. 6º, III).
4.Para que usamos e com qual base legal
4.1
Cada uso dos dados tem uma finalidade e uma base legal da LGPD (art. 7º):
Criar e manter a conta, confirmar o celular pelo WhatsApp, autenticar o acesso e recuperar a senha
- Dados:
- Conta e identificação, mensagens de WhatsApp, registros de acesso
- Base legal:
- Execução de contrato (art. 7º, V)
Gerar cobranças Pix, calcular e registrar a divisão, abrir subcontas, processar saques e mostrar o extrato
- Dados:
- Recebimento, negócio, equipe, transações
- Base legal:
- Execução de contrato (art. 7º, V)
Mostrar a cada papel só o que lhe cabe (dono, profissional e caixa)
- Dados:
- Equipe, transações
- Base legal:
- Execução de contrato (art. 7º, V)
Conciliar os pagamentos com a instituição de pagamento parceira
- Dados:
- Transações, identificador do Pix
- Base legal:
- Execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX)
Conferir a titularidade da chave Pix, do CPF e do CNPJ, prevenir fraudes e proteger as contas (travas de tentativas e alertas)
- Dados:
- Conta e identificação, recebimento, acesso e segurança
- Base legal:
- Legítimo interesse (art. 7º, IX) e execução de contrato (art. 7º, V)
Guardar registros de acesso e de transações e atender autoridades
- Dados:
- Registros de acesso, transações
- Base legal:
- Cumprimento de obrigação legal ou regulatória (art. 7º, II)
Defender direitos em contestações (MED), reclamações e processos, inclusive com o registro do aceite
- Dados:
- Transações, registros de acesso e de aceite
- Base legal:
- Exercício regular de direitos (art. 7º, VI)
Enviar avisos sobre a conta, as cobranças, os saques, as tarifas e as mudanças destes documentos
- Dados:
- Nome, celular
- Base legal:
- Execução de contrato (art. 7º, V)
Enviar lembretes para terminar a configuração e usar o app (primeiros passos, resumo do dia), no app, por aviso no celular e pelo WhatsApp; você desliga no Perfil ou respondendo SAIR no WhatsApp
- Dados:
- Nome, celular e o uso da conta (cadastro, cobranças, equipe)
- Base legal:
- Execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX)
Permitir que o negócio convide a equipe
- Dados:
- Nome, celular e função da pessoa convidada
- Base legal:
- Legítimo interesse (art. 7º, IX)
Prestar atendimento
- Dados:
- Conta, mensagens do atendimento
- Base legal:
- Execução de contrato (art. 7º, V)
Melhorar a Plataforma com estatísticas de uso, de preferência agregadas
- Dados:
- Transações e uso, com o mínimo de dados pessoais
- Base legal:
- Legítimo interesse (art. 7º, IX)
Medir quais anúncios da Meta (Facebook e Instagram) trazem visitas, contatos e cadastros, só nas páginas públicas do site
- Dados:
- Cookies de medição, páginas visitadas, IP, navegador e, se você criar a conta, o celular e um identificador em código (hash), nunca em texto aberto
- Base legal:
- Consentimento (art. 7º, I), dado no aviso de cookies e revogável a qualquer momento
Medir quais anúncios do Google (Google Ads, na Pesquisa do Google) trazem visitas e cadastros, só nas páginas públicas do site
- Dados:
- Cookies de medição do Google, o identificador do clique no anúncio, páginas visitadas, IP e navegador. Ao Google não enviamos nome, celular nem e-mail
- Base legal:
- Consentimento (art. 7º, I), dado no aviso de cookies e revogável a qualquer momento
Enviar novidades, ofertas, produtos futuros e convites para indicar o SplittPay (marketing), só com a opção ligada no Perfil
- Dados:
- Nome, celular
- Base legal:
- Consentimento (art. 7º, I), opcional e revogável a qualquer momento
4.2
Quando usamos o legítimo interesse, avaliamos antes se ele não se sobrepõe aos seus direitos, e você pode se opor ao tratamento (LGPD, arts. 10 e 18, § 2º).
4.3
Não vendemos nem cedemos seus dados para publicidade de terceiros e não fazemos análise de crédito nem perfil de consumo. A medição dos nossos próprios anúncios (item acima) depende do seu consentimento e nunca usa os dados das cobranças, dos saques ou da equipe.
5.Com quem compartilhamos
5.1
Compartilhamos dados pessoais só no necessário, com:
- Woovi (OpenPix), a instituição de pagamento parceira: cobranças, subcontas, saques e conciliação (nome, CPF ou CNPJ, chave Pix e valores). Ela também trata dados por conta própria para cumprir as regras do Pix, do Banco Central e de prevenção à lavagem de dinheiro;
- Meta Platforms (WhatsApp Business): envio e recebimento das mensagens de confirmação (número e conteúdo das mensagens);
- Meta Platforms (anúncios): só com o seu consentimento no aviso de cookies, os eventos de medição das páginas públicas (visita, contato e cadastro), com os cookies da Meta, IP, navegador e, no cadastro, o celular e um identificador em código (hash). A Meta também trata esses dados por conta própria, conforme a política de privacidade dela;
- Google (Google Ads): só com o seu consentimento no aviso de cookies, os eventos de medição das páginas públicas (visita e cadastro), com os cookies do Google, o identificador do clique no anúncio, IP e navegador. Não enviamos ao Google nome, celular, e-mail nem dados das cobranças. O Google também trata esses dados por conta própria, conforme a política de privacidade dele;
- Supabase: banco de dados e autenticação, com servidores em São Paulo (Brasil);
- Vercel: hospedagem do site e do app, com processamento na região de São Paulo; empresa com sede nos Estados Unidos;
- autoridades públicas: quando houver obrigação legal, requisição de autoridade competente ou ordem judicial;
- sucessores: em reorganização, fusão, aquisição ou transferência da operação da marca SplittPay, quem assumir a operação segue esta Política.
5.2
Dentro do negócio, a conta de dono vê os dados do negócio, da equipe e de todas as cobranças; cada profissional vê só os próprios dados e a própria parte de cada cobrança; o acesso de caixa vê só as cobranças que gerou.
5.3
Os fornecedores que tratam dados para nós (operadores) só podem usá-los conforme as nossas instruções, com dever de segurança e confidencialidade.
5.4
Não vendemos dados pessoais.
6.Transferência internacional
6.1
Vercel e Supabase são empresas com sede nos Estados Unidos. Os dados do SplittPay ficam armazenados e são processados em São Paulo, mas pode haver acesso ou tratamento a partir do exterior para suporte, segurança e funcionamento desses serviços. A Meta pode tratar as mensagens do WhatsApp e os eventos de medição dos anúncios, e o Google os eventos de medição dos anúncios, em servidores fora do Brasil.
6.2
Essas transferências seguem o art. 33 da LGPD, principalmente por serem necessárias para executar o contrato com você (art. 33, IX) ou, na medição dos anúncios, pelo seu consentimento (art. 33, VIII), e contam com as garantias contratuais de proteção de dados oferecidas por esses fornecedores.
7.Por quanto tempo guardamos
Prazos de guarda
- Registros de acesso (IP, data e hora)Marco Civil da Internet, art. 15. Mais tempo só se uma autoridade pedir.
- 6 meses
- Registros de transações e de aceitesCobranças, divisões, saques e o identificador do Pix: obrigações legais e regulatórias e defesa em contestações.
- 5 anos
- Demais dados da contaDepois, eliminados ou anonimizados.
- Enquanto a conta existir
7.1
Depois desses prazos, ou com a conta encerrada, os dados são eliminados ou anonimizados, salvo quando a lei permitir guardá-los (LGPD, art. 16), por exemplo para cumprir obrigação legal ou exercer direitos em processos. Eles podem continuar por pouco tempo em cópias de segurança, até serem sobrescritos.
8.Seus direitos e como exercê-los
8.1
Você pode pedir, a qualquer momento (LGPD, art. 18):
- a confirmação de que tratamos os seus dados e o acesso a eles;
- a correção de dados incompletos, inexatos ou desatualizados;
- a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a LGPD;
- a portabilidade dos dados a outro fornecedor, conforme a regulamentação da ANPD;
- a eliminação dos dados tratados com o seu consentimento;
- a informação sobre com quem compartilhamos os seus dados;
- a informação sobre a possibilidade de não dar consentimento e o que acontece nesse caso;
- a revogação do consentimento;
- a oposição a tratamento feito em desacordo com a LGPD;
- a revisão de decisões tomadas só de forma automatizada (art. 20).
8.2
Como pedir: pelo WhatsApp (81) 99424-5786 ou pelo e-mail rafaelramalhoalves2602@gmail.com. Para proteger você, podemos confirmar a sua identidade antes, por exemplo pedindo que a mensagem venha do celular cadastrado. Alguns dados podem ser corrigidos direto no app, em Perfil.
8.3
O pedido é gratuito. A confirmação e o acesso são respondidos na hora, de forma simplificada, ou em até 15 dias, por declaração completa (LGPD, art. 19).
8.4
Alguns dados não podem ser eliminados enquanto houver obrigação legal de guardá-los, como os registros de transações; nesse caso, explicamos o motivo. Eliminar dados necessários ao contrato encerra a conta. Para pedir a exclusão da conta, pelo app ou pelo atendimento, veja Como excluir a sua conta.
8.5
Você também pode peticionar à ANPD (LGPD, art. 18, § 1º).
9.Segurança
9.1
Adotamos medidas técnicas e administrativas para proteger os dados (LGPD, art. 46), entre elas:
- senhas e PINs guardados só como hash, nunca em texto;
- travas de tentativas no login, no PIN e na conferência de chave Pix;
- conexão criptografada (HTTPS) em todo o site e o app;
- cookie de sessão que os scripts da página não conseguem ler;
- banco de dados acessado só pelo servidor, com cada papel vendo só o que lhe cabe;
- registros financeiros imutáveis e trilha de auditoria;
- acesso administrativo com segundo fator de autenticação e registro de cada ação.
9.2
Nenhum sistema é totalmente seguro. Se houver incidente de segurança que possa trazer risco ou dano relevante, avisaremos a ANPD e as pessoas afetadas nos prazos da regulamentação (LGPD, art. 48).
9.3
A sua parte: não compartilhe senha, PIN ou códigos, use bloqueio de tela no celular e avise o atendimento se perceber algo estranho.
11.Menores de 18 anos
11.1
O SplittPay é destinado a pessoas com 18 anos ou mais e capacidade civil plena, e o negócio não deve convidar menores de 18 anos para a equipe. Não coletamos de propósito dados de crianças e adolescentes. Se soubermos de uma conta de menor de 18 anos, ela será encerrada e os dados, eliminados, salvo os que a lei mandar guardar (LGPD, art. 14).
12.Decisões automatizadas
12.1
A divisão de cada cobrança é um cálculo automático das regras configuradas pelo negócio, não uma decisão sobre você.
12.2
Travas automáticas de segurança (por exemplo, depois de várias tentativas erradas de senha ou de PIN) são temporárias. Se uma decisão tomada só de forma automatizada afetar os seus interesses, você pode pedir a revisão e informações sobre os critérios usados (LGPD, art. 20).
13.Alterações desta política
13.1
Podemos atualizar esta Política. A versão e a data ficam sempre no topo da página.
13.2
Mudanças relevantes, como novas finalidades ou novos compartilhamentos, serão avisadas pelo app e pelo WhatsApp antes de valer. Quando a base legal for o consentimento, pediremos de novo.
14.Contato e ANPD
14.1
Dúvidas, pedidos e reclamações sobre dados pessoais: pelo WhatsApp (81) 99424-5786 ou pelo e-mail rafaelramalhoalves2602@gmail.com.
14.2
Se o seu pedido não for resolvido, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.