POLÍTICA DE PRIVACIDADE

Esta Política de Privacidade descreve como a BRECHO ONLINE SISTEMA DE GESTAO INOVA SIMPLES (I.S.), pessoa jurídica de direito privado constituída sob o regime do Inova Simples (natureza jurídica 234-8 — Empresa Simples de Inovação (Inova Simples)), inscrita no CNPJ sob o nº 67.692.247/0001-97, com endereço eletrônico brecho.online e e-mail contato@brecho.online ("Brechó Online") trata dados pessoais no âmbito da plataforma Brechó Online, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), o Marco Civil da Internet (Lei nº 12.965/2014) e demais normas aplicáveis. Esta Política integra os Termos de Uso da plataforma e se aplica a: • assinantes da plataforma (Brechós) e seus usuários autorizados (administradores, sub-administradores e parceiros); • Clientes Finais que utilizam vitrines virtuais, lojas virtuais ou demais funcionalidades públicas dos Brechós; • Consignantes e Parceiros cadastrados pelos Brechós; • visitantes do site institucional e das páginas públicas da plataforma. Ao utilizar a plataforma, o titular declara ter lido e compreendido esta Política.

Para os fins desta Política, aplicam-se as definições da LGPD, em especial: • Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável. • Titular: pessoa natural a quem se referem os dados pessoais. • Tratamento: toda operação realizada com dados pessoais, como coleta, armazenamento, uso, compartilhamento e eliminação. • Controlador: pessoa a quem competem as decisões referentes ao tratamento de dados pessoais. • Operador: pessoa que realiza o tratamento de dados pessoais em nome do Controlador. • Encarregado (DPO): pessoa indicada para atuar como canal de comunicação entre o Controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD). • Suboperador: terceiro contratado pelo Operador para auxiliar no tratamento de dados em nome do Controlador. Os termos "Brechó", "Usuário", "Cliente Final", "Parceiro ou Consignante" e "Plataforma" têm o significado atribuído nos Termos de Uso.

O Brechó Online atua em dois papéis distintos, conforme a origem e a finalidade dos dados: 3.1. Como CONTROLADOR — quando trata dados para finalidades próprias, incluindo: • cadastro e gestão da conta do assinante; • faturamento e cobrança da assinatura; • suporte técnico e atendimento; • comunicações institucionais e comerciais da própria plataforma; • prevenção à fraude e segurança; • registros de aceite de documentos legais (data, hora, IP, versão); • cumprimento de obrigações legais e regulatórias; • melhoria e desenvolvimento dos serviços. 3.2. Como OPERADOR — quando trata, em nome e sob instruções do Brechó contratante (Controlador), os dados que o próprio Brechó insere ou coleta pela plataforma, incluindo: • cadastros de clientes, consignantes e parceiros do Brechó; • pedidos, reservas, sacolinhas e vendas; • histórico financeiro, créditos e cashback dos clientes do Brechó; • fotografias, vídeos e documentos anexados; • comunicações enviadas pelo Brechó a seus clientes por meio das integrações. Quando atua como Operador, o Brechó Online segue as instruções do Brechó contratante, nos termos do Acordo de Tratamento de Dados Pessoais (DPA), que integra os Termos de Uso. Nessa hipótese, cabe ao Brechó, como Controlador, garantir base legal para a coleta e responder às solicitações de seus próprios clientes e consignantes.

Conforme o perfil do titular e as funcionalidades utilizadas, poderão ser tratados: 4.1. Dados do Assinante e de usuários do painel: • nome completo; • CPF ou CNPJ; • e-mail e telefone/WhatsApp; • endereço comercial; • dados de cobrança da assinatura; • credenciais de acesso (a senha é armazenada de forma criptografada — hash); • registros de acesso, aceites e operações realizadas no painel. 4.2. Dados dos Clientes Finais (tratados como Operador, em nome do Brechó): • nome, telefone, e-mail e endereço; • CPF, quando informado (necessário, por exemplo, para emissão de cobrança via meios de pagamento); • histórico de compras, reservas, pedidos, créditos e cashback; • dados de entrega para cálculo de frete e envio. 4.3. Dados dos Consignantes e Parceiros (tratados como Operador, em nome do Brechó): • nome ou razão social e documentos (CPF/CNPJ); • endereço, telefone e e-mail; • dados bancários ou chave Pix para repasses; • histórico de peças, valores devidos e pagamentos; • contratos de consignação armazenados na plataforma. 4.4. Dados técnicos e de navegação (todos os perfis): • endereço IP, data e hora de acesso; • navegador, sistema operacional e identificadores do dispositivo; • registros de acesso (logs) exigidos pelo Marco Civil da Internet; • dados de utilização das funcionalidades (páginas acessadas, ações realizadas). 4.5. Dados de pagamento: os dados completos de cartão de crédito NÃO são armazenados pelo Brechó Online. A captura e o processamento ocorrem diretamente na infraestrutura dos processadores de pagamento contratados. O Brechó Online não trata intencionalmente dados pessoais sensíveis (art. 5º, II, da LGPD) e orienta os Brechós a não inseri-los em campos de texto livre da plataforma.

O tratamento de dados pessoais pelo Brechó Online apoia-se nas seguintes bases legais da LGPD: 5.1. Execução de contrato ou de procedimentos preliminares (art. 7º, V): • criação e manutenção da conta do assinante; • funcionamento das funcionalidades contratadas (estoque, vendas, financeiro, vitrine, loja virtual); • processamento de pedidos e pagamentos; • cálculo de frete e integração logística; • suporte técnico. 5.2. Cumprimento de obrigação legal ou regulatória (art. 7º, II): • guarda de registros de acesso a aplicações por 6 (seis) meses, nos termos do art. 15 do Marco Civil da Internet; • obrigações fiscais e contábeis; • atendimento a requisições de autoridades competentes. 5.3. Legítimo interesse (art. 7º, IX): • prevenção à fraude e segurança da plataforma; • registro de aceites de documentos legais com data, hora, IP e versão; • melhoria dos serviços com base em métricas de uso; • comunicações sobre a conta, avisos operacionais e novidades relevantes da plataforma. 5.4. Consentimento (art. 7º, I): • comunicações de marketing não relacionadas à execução do contrato, quando exigido; • funcionalidades opcionais que dependam de autorização específica (por exemplo, conexão de contas de redes sociais do Brechó). 5.5. Exercício regular de direitos (art. 7º, VI): • guarda de registros e documentos para defesa em processos administrativos, judiciais ou arbitrais. Quando o Brechó Online atua como Operador, a definição da base legal cabe ao Brechó contratante, na qualidade de Controlador.

A plataforma utiliza cookies e tecnologias de armazenamento local do navegador (como localStorage) para autenticação, preferências e segurança. As categorias utilizadas, suas finalidades e as formas de gerenciamento estão descritas na Política de Cookies e Armazenamento Local, que integra esta Política.

O Brechó Online não vende dados pessoais. O compartilhamento ocorre apenas na medida necessária para a prestação dos serviços, com as seguintes categorias de destinatários: 7.1. Fornecedores de infraestrutura e tecnologia (suboperadores), incluindo, na data desta Política: • hospedagem de aplicações e banco de dados (Railway Corp.); • armazenamento e entrega de imagens e vídeos (Cloudflare, Inc. e Cloudinary Ltd.); • processamento de pagamentos, subcontas e split (Asaas Gestão Financeira S.A. — instituição de pagamento autorizada pelo Banco Central); • envio de mensagens e integrações de comunicação (infraestrutura de WhatsApp por meio de API e provedores de e-mail transacional); • publicação em redes sociais, quando conectada pelo Brechó (Meta Platforms — Instagram/Facebook); • recursos de Inteligência Artificial para classificação e descrição de peças (Anthropic PBC); • cotação e contratação de fretes (Melhor Envio, SuperFrete, Correios e Manda Bem, conforme a integração ativada pelo Brechó). A relação de suboperadores pode ser alterada conforme a evolução da plataforma. A lista atualizada pode ser solicitada pelos canais indicados nesta Política. 7.2. O próprio Brechó do qual o titular é cliente, consignante ou parceiro — os dados inseridos na conta de um Brechó são acessíveis a ele e a seus usuários autorizados. 7.3. Autoridades públicas, judiciais ou administrativas, quando houver obrigação legal, ordem judicial ou requisição válida. 7.4. Sucessores empresariais, em caso de reorganização societária, fusão, aquisição ou cessão de ativos, preservados os direitos dos titulares. Cada Brechó é responsável pelo uso que faz dos dados de seus próprios clientes e consignantes, inclusive nas comunicações enviadas por WhatsApp, e-mail ou outros canais.

Parte dos fornecedores indicados na seção 7 mantém infraestrutura fora do Brasil (por exemplo, provedores de nuvem e de Inteligência Artificial com servidores nos Estados Unidos e em outros países). Nessas hipóteses, a transferência internacional é realizada com fundamento no art. 33 da LGPD, priorizando fornecedores que: • ofereçam garantias contratuais de proteção de dados (cláusulas contratuais e termos de tratamento de dados próprios); • adotem padrões reconhecidos de segurança da informação; • estejam sujeitos a legislações que proporcionem grau de proteção adequado. O Brechó Online busca que a proteção conferida aos dados transferidos seja compatível com a exigida pela LGPD.

Os dados pessoais são mantidos pelo tempo necessário ao cumprimento das finalidades desta Política, observados os seguintes parâmetros: • dados da conta do assinante: durante a vigência do contrato e, após o encerramento, pelo prazo necessário ao cumprimento de obrigações legais, fiscais e ao exercício regular de direitos (em regra, até 5 anos, prazo prescricional geral, ou 10 anos quando aplicável); • registros de acesso a aplicações (logs): mínimo de 6 meses (art. 15 do Marco Civil da Internet); • registros de aceite de documentos legais: durante a vigência da relação e pelos prazos prescricionais aplicáveis, por constituírem prova de manifestação de vontade; • dados tratados como Operador: conforme instruções do Brechó contratante e o Acordo de Tratamento de Dados (DPA), inclusive quanto à devolução ou eliminação ao término do contrato; • dados financeiros e fiscais: pelos prazos exigidos pela legislação tributária. Encerradas as finalidades e os prazos legais, os dados são eliminados ou anonimizados de forma segura.

Nos termos do art. 18 da LGPD, o titular pode solicitar: • confirmação da existência de tratamento; • acesso aos dados; • correção de dados incompletos, inexatos ou desatualizados; • anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; • portabilidade, observados os segredos comercial e industrial; • eliminação dos dados tratados com base no consentimento; • informação sobre compartilhamentos realizados; • informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa; • revogação do consentimento; • revisão de decisões tomadas unicamente com base em tratamento automatizado, quando houver. 10.1. Como exercer: pelos canais indicados na seção 15. Para segurança do próprio titular, poderão ser solicitadas informações adicionais de confirmação de identidade. 10.2. Prazo de resposta: o Brechó Online responderá em prazo razoável, observados os prazos regulamentares da ANPD. 10.3. Solicitações de clientes e consignantes dos Brechós: quando o Brechó Online atuar como Operador, encaminhará a solicitação ao Brechó responsável (Controlador) e prestará o suporte técnico necessário ao atendimento — por exemplo, correção ou exclusão de cadastros. A decisão sobre a solicitação cabe ao Brechó, que é o responsável pela relação com o titular.

O Brechó Online adota medidas técnicas e administrativas de segurança compatíveis com a natureza dos dados tratados, incluindo: • criptografia de tráfego (HTTPS/TLS) em toda a plataforma; • armazenamento de senhas exclusivamente na forma de hash criptográfico; • autenticação por tokens com escopo e expiração; • segregação lógica de dados por assinante (arquitetura multi-tenant com isolamento por identificador de conta); • controle de acesso por perfis e permissões granulares definidas pelo administrador do Brechó; • registro de operações relevantes (trilhas de auditoria); • limitação de tentativas de acesso e mecanismos contra abuso; • rotinas de backup do banco de dados; • infraestrutura de fornecedores com certificações reconhecidas de segurança. Nenhum sistema conectado à internet é absolutamente imune a incidentes. O Brechó Online mantém processos de melhoria contínua de segurança e revisão periódica de seus controles.

Identificado incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o Brechó Online: • adotará medidas imediatas de contenção e investigação; • comunicará a ANPD e os titulares afetados, quando exigido pelo art. 48 da LGPD e pela regulamentação vigente, com informações sobre a natureza dos dados, os riscos e as medidas adotadas; • comunicará os Brechós afetados quando o incidente envolver dados tratados na condição de Operador, para que possam cumprir suas próprias obrigações como Controladores; • registrará internamente o incidente e as ações corretivas.

A plataforma é destinada a maiores de 18 anos. A contratação da assinatura exige capacidade civil plena. As lojas virtuais e vitrines dos Brechós destinam-se a consumidores maiores de 18 anos; menores somente devem utilizá-las com representação ou assistência de seus responsáveis legais, que respondem pelas operações realizadas. O Brechó Online não coleta intencionalmente dados de crianças e adolescentes. Identificado cadastro em desacordo com esta seção, os dados poderão ser eliminados.

A plataforma utiliza recursos de Inteligência Artificial com caráter exclusivamente assistivo — por exemplo, sugestão de descrições, categorias e características de peças a partir de fotografias enviadas pelo Brechó. Essas sugestões são sempre submetidas à revisão e aprovação humana do usuário antes de qualquer publicação. O Brechó Online não realiza decisões unicamente automatizadas que produzam efeitos jurídicos relevantes sobre os titulares. Caso tais decisões venham a existir, será assegurado o direito de revisão previsto no art. 20 da LGPD. As imagens enviadas para processamento por IA são utilizadas exclusivamente para executar a funcionalidade solicitada, observado o contrato com o fornecedor da tecnologia.

O Brechó Online indica como Encarregado pelo Tratamento de Dados Pessoais (DPO): • Encarregado: Richard Derze Junior • E-mail: contato@brecho.online • Site: brecho.online Solicitações relacionadas a dados pessoais, dúvidas sobre esta Política e comunicações da ANPD devem ser dirigidas ao e-mail acima, com o assunto "Privacidade / LGPD".

Esta Política poderá ser atualizada para refletir mudanças na plataforma, na legislação ou nas práticas de tratamento. A versão vigente estará sempre disponível na plataforma, com indicação da data de vigência. Alterações relevantes serão comunicadas pelos canais oficiais (painel administrativo, e-mail cadastrado ou avisos na plataforma). O uso continuado da plataforma após a vigência da nova versão caracteriza ciência do titular, ressalvadas as hipóteses em que a legislação exigir novo consentimento.

Esta Política é regida pelas leis da República Federativa do Brasil, em especial a LGPD e o Marco Civil da Internet. Fica eleito o foro da Comarca de Santana de Parnaíba, Estado de São Paulo, ressalvadas as hipóteses em que a legislação determine foro diverso ou assegure ao consumidor o foro de seu domicílio.