Política de privacidade

Quem trata seus dados

A controladora dos dados tratados neste site é KRDGEMS, contato@krdgems.com. Para qualquer assunto desta política, incluindo o exercício dos seus direitos, escreva para contato@krdgems.com.

O que guardamos, e de onde vem

Tudo o que guardamos foi você que nos deu, preenchendo um campo. Não compramos lista, não enriquecemos cadastro com dados de terceiros e não rastreamos sua navegação fora daqui.

Conta

E-mail, nome e telefone, quando você os informa, e a data da criação. A senha não é guardada: o que fica no banco é uma derivação criptográfica dela (scrypt), da qual não é possível voltar à senha original.

Endereços de entrega

Destinatário, CEP, logradouro, número, complemento, bairro, cidade e estado, mais um rótulo que você escolhe ("casa", "ateliê").

Pedidos

As peças, os valores, a data, a situação, a observação que você escreveu, e uma CÓPIA CONGELADA do endereço de entrega no momento da compra. A cópia existe para o pedido continuar dizendo para onde foi, mesmo que você apague ou edite o endereço depois.

Pagamentos

O nome do provedor, o identificador da cobrança no provedor, o valor, a situação e a resposta que o provedor nos mandou. Dados de cartão NÃO passam por este site nem são guardados aqui: eles vão direto para o provedor de pagamento.

Sessão

Um cookie chamado krd_sessao, com 32 bytes aleatórios e nada mais dentro: nem seu nome, nem seu e-mail, nem seu identificador. No banco guardamos apenas o resumo criptográfico desses bytes, então nem nós conseguimos reconstruir o cookie a partir do banco.

Segurança da conta

O registro de tentativas de entrada e de recuperação de senha, por conta, para travar ataque de força bruta. Ele guarda a ação e o instante, e as linhas são apagadas em 24 horas.

Não guardamos seu endereço de IP em nenhum arquivo ou banco de dados. O mecanismo que limita tentativas de acesso à área interna mantém IPs apenas na memória do servidor, e eles desaparecem quando o processo reinicia.

Por que podemos tratar cada coisa

A LGPD exige que cada tratamento tenha uma base legal. As nossas são três, e nenhuma delas é consentimento para publicidade, porque não fazemos publicidade com seus dados.

Execução do contrato (art. 7º, V)

Conta, endereços, pedidos e pagamentos. Sem esses dados não há como reservar a peça, cobrar, entregar nem provar depois o que foi comprado.

Cumprimento de obrigação legal (art. 7º, II)

A guarda dos registros de venda pelos prazos que a legislação fiscal e o Código de Defesa do Consumidor impõem. É por isso que apagar sua conta não apaga os pedidos já concluídos, ver a seção de prazos.

Legítimo interesse (art. 7º, IX)

Segurança: o registro de tentativas de acesso e os mecanismos que impedem força bruta e uso indevido da loja. O interesse é evitar fraude e sequestro de conta, e o tratamento se limita ao mínimo para isso.

Com quem compartilhamos

Com três tipos de fornecedor, e apenas com o necessário para cada um fazer o serviço. Nenhum deles recebe seus dados para usar por conta própria, e não vendemos nem cedemos dado a rede de anúncio, corretora de dados ou parceiro comercial.

• O provedor de pagamento, que recebe o valor, a identificação do pedido e o que ele precisar para processar a cobrança. Os dados de cartão vão direto para ele e não passam por nós.
• O provedor de envio de e-mail, que recebe seu endereço de e-mail e o conteúdo da mensagem (confirmação de pedido, redefinição de senha).
• A empresa de hospedagem, em cujo servidor este site e o banco de dados rodam.
• Autoridade pública, quando houver requisição legal a que sejamos obrigados a atender.

Alguns desses fornecedores operam servidores fora do Brasil, o que caracteriza transferência internacional. Ela é feita nas hipóteses do art. 33 da LGPD, para a execução do contrato com você, e limitada ao dado necessário para o serviço contratado.

No seu navegador, este site não carrega nada de terceiros: nenhum script de analítica, nenhum pixel de rede social, nenhuma fonte externa. Tudo o que a página usa é servido por nós.

Por quanto tempo

Conta, endereços e contato

Enquanto a conta existir. Você pode apagá-la a qualquer momento na sua área de conta.

Pedidos e pagamentos

Pelos prazos da legislação fiscal e do Código de Defesa do Consumidor, mesmo depois de a conta ser apagada. Neles permanecem as peças, os valores, as datas e o endereço para onde a peça foi enviada, porque é isso que prova a operação, inclusive numa cobrança contestada. O que deixa de existir é o vínculo com um contato seu: e-mail, nome e telefone saem do banco.

Sessões

Trinta dias, ou até você sair da conta, o que vier primeiro. Sair apaga a sessão do banco na hora.

Tentativas de acesso

Vinte e quatro horas.

Links de redefinição de senha

Até o uso ou o vencimento, o que vier primeiro. Cada link só funciona uma vez.

Seus direitos, e como usar

O art. 18 da LGPD te dá, entre outros, o direito de confirmar que tratamos seus dados, acessá-los, corrigi-los, pedir a eliminação e pedir a portabilidade. Dois deles você exerce sozinho, sem pedir nada a ninguém:

• BAIXAR SEUS DADOS: na sua área de conta há um botão que gera um arquivo com tudo o que temos ligado a você, em formato legível por máquina.
• APAGAR SUA CONTA: na mesma tela. A exclusão é imediata, derruba todas as suas sessões e apaga do banco seu e-mail, nome, telefone, senha, endereços salvos, tokens de recuperação e histórico de tentativas de acesso. O que sobrevive são os registros de venda que a lei nos obriga a guardar, e a tela diz isso, com essas palavras, antes de você confirmar. Quando não há pedido nenhum na conta, não sobra registro algum.

Para corrigir dados, entender um tratamento ou qualquer outro dos direitos do art. 18, escreva para contato@krdgems.com. Respondemos no prazo da lei. Você também pode reclamar diretamente à ANPD, a Autoridade Nacional de Proteção de Dados.

Como protegemos

• A senha nunca é guardada, só uma derivação criptográfica dela, calculada com um algoritmo desenhado para ser lento de propósito (scrypt).
• A sessão é um valor aleatório e opaco, revogável do nosso lado a qualquer momento, e o banco guarda apenas o resumo dele.
• Trocar ou redefinir a senha derruba TODAS as suas sessões, inclusive as de outros aparelhos.
• O site é servido apenas por conexão cifrada (HTTPS).
• A área interna da loja é protegida por senha e por limite de tentativas.

Nenhuma medida elimina risco por completo. Se acontecer um incidente de segurança relevante com seus dados, a LGPD nos obriga a comunicar você e a ANPD, e é o que faremos.

Menores de idade

Esta loja não é dirigida a crianças ou adolescentes, e não tratamos dados de menores de forma intencional. Se você é responsável por um menor e acredita que ele criou conta aqui, escreva para nós e apagaremos.

Mudanças nesta política

Quando o texto mudar, a data no alto desta página muda com ele. Alteração que afete de forma relevante o tratamento dos seus dados será comunicada por e-mail a quem tiver conta.