Política de Privacidade

Esta Política de Privacidade explica como a KyveraPay, operada pela KYVERA CORE TECNOLOGIA LTDA (nome fantasia KYVERA), CNPJ 69.355.785/0001-11, controladora dos dados, coleta, usa, armazena e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). Ela vale para vendedores, afiliados e compradores que usam a Plataforma, inclusive quem cria conta só para acessar produtos comprados.

1. Dados que coletamos

• Cadastro: nome ou razão social, e-mail, nome de usuário, tipo de conta (vender ou só acessar produtos comprados) e credencial de autenticação gerenciada pelo provedor de identidade;
• Verificação da conta: CPF ou CNPJ, nome civil, sócios e administradores, endereço, documentos enviados, informações sobre a atividade e o faturamento e, quando a confirmação facial estiver ligada, imagens de documento, selfie e prova de vida processadas pelo parceiro de verificação (seção 4);
• Recebimento e saques: a autorização de recebimento (data e versão dos Termos), o saldo de cada venda, os valores de saque e a chave Pix de destino, que é sempre o CPF/CNPJ da conta;
• Perfil: foto de perfil, quando enviada;
• Produtos e conteúdo: dados de produtos, imagens, arquivos da área de membros e páginas de vendas;
• Transações: valores, métodos de pagamento, taxas (de processamento e da KyveraPay), status, reembolsos, contestações, comissões e saques;
• Compradores: e-mail, nome, CPF/CNPJ (exigidos para emitir Pix, boleto ou cobrança no cartão) e, se informado, WhatsApp digitados no checkout — inclusive quando a compra não é concluída —, pedidos e acesso à área de membros. Os dados do cartão digitados no checkout seguem por conexão criptografada direto para o banco processador, só para autorizar o pagamento: a KyveraPay não os guarda nem os registra. Em cobranças enviadas por link, o cartão é digitado no ambiente do banco processador;
• Área de membros: quais aulas o aluno abriu e concluiu (o vendedor vê só números agregados do produto), comentários com o nome escolhido pelo aluno (o e-mail não aparece) e, se o aluno gerar, o certificado com o nome confirmado por ele, que fica público para quem tiver o código de validação (sem e-mail);
• Origem da compra: parâmetros de campanha do link (UTMs) e identificadores de clique de anúncios (fbclid, gclid, ttclid), gravados no pedido;
• Indicação: o código de convite usado no cadastro e o andamento da indicação (verificação e volume de vendas, sem detalhar as vendas a quem indicou);
• Descadastro de e-mails: um código irreversível (hash) do e-mail de quem pediu para não receber lembretes de carrinho;
• Prova de compra: endereço IP, navegador, data e hora da compra e versão dos Termos aceita no checkout;
• ATAS X: as informações enviadas para gerar páginas de vendas e o texto gerado;
• Atendimento: mensagens do suporte, reclamações e pedidos de reembolso feitos na Central de Ajuda;
• Dados técnicos: endereço IP, navegador, dispositivo e registros de acesso, coletados automaticamente para segurança.

2. Para que usamos os dados e com qual base legal

• Criar e manter a conta, autenticar acessos e direcionar você ao painel ou à área de membros (execução de contrato — art. 7º, V);
• Processar vendas, emitir cobranças, entregar produtos da área de membros e exibir métricas no painel (execução de contrato — art. 7º, V);
• Receber as vendas em nome do vendedor, controlar o saldo e enviar os saques (execução de contrato e cumprimento de obrigação legal e regulatória — art. 7º, II e V);
• Verificar identidade, analisar risco, prevenir fraudes e lavagem de dinheiro e aplicar bloqueios e retenções previstos nos Termos de Uso (cumprimento de obrigação legal, legítimo interesse e prevenção à fraude — art. 7º, II e IX);
• Guardar a prova de compra para responder a contestações, reembolsos e reclamações (exercício regular de direitos — art. 7º, VI);
• Recuperar carrinhos: o vendedor vê o e-mail/WhatsApp de quem iniciou a compra e pode enviar lembretes, e a Plataforma envia até 3 e-mails automáticos em nome dele, com descadastro em todos (legítimo interesse — art. 7º, IX);
• Medir a origem das vendas (UTMs) e, quando o vendedor configura, enviar eventos aos pixels de anúncios dele — só com o seu consentimento para cookies de Analytics ou Marketing (consentimento — art. 7º, I) — e os pedidos à Utmify (execução do contrato com o vendedor);
• Emitir, quando o vendedor conecta o emissor de notas dele, a nota fiscal de serviço (NFS-e) de cada venda com o nome, o e-mail e o CPF/CNPJ do comprador, e enviar ao comprador o link da nota (cumprimento de obrigação legal do vendedor e execução do contrato — art. 7º, II e V);
• Operar o programa Indique e ganhe, inclusive a verificação contra fraude por CPF/CNPJ (execução de contrato e legítimo interesse — art. 7º, V e IX);
• Repassar a comissão ao afiliado, controlando o saldo e os estornos dele (execução de contrato — art. 7º, V);
• Treinar e melhorar a ATAS X, conforme a seção 3 (legítimo interesse — art. 7º, IX);
• Enviar avisos sobre a conta, pagamentos e mudanças nos termos (execução de contrato);
• Cumprir obrigações legais e regulatórias, inclusive de prevenção à lavagem de dinheiro, e atender autoridades (art. 7º, II).

3. Treinamento da ATAS X

A geração pela ATAS X ainda não está disponível para uso geral. Quando liberada, a KyveraPay poderá usar informações limitadas de uso da Plataforma para treinar, avaliar e melhorar a ATAS X — por exemplo, como exemplos de páginas de vendas, para ajustar instruções do modelo e para medir a qualidade das respostas.

O que pode ser usado:

• as instruções (briefing) enviadas à ATAS X e as páginas de vendas geradas, com as edições feitas depois;
• dados de produto: nome, categoria, descrição, chamada e preço;
• métricas agregadas de desempenho das páginas, como visitas, conversão e número de vendas.

O que nunca é usado:

• senhas, códigos de verificação e chaves de API;
• documentos, selfies, dados biométricos, CPF/CNPJ e demais dados da verificação de identidade;
• dados bancários, de cartão, de recebimento e de saques;
• dados pessoais dos compradores (nome, e-mail, CPF, telefone, pedidos);
• conversas do suporte, reclamações e pedidos de reembolso.

Antes do uso, removemos ou substituímos nomes, e-mails, telefones, links e outros identificadores diretos que apareçam nos textos. O tratamento tem como base o legítimo interesse (art. 7º, IX, e art. 10 da LGPD), limitado ao necessário para melhorar o serviço. Você pode se opor a esse uso a qualquer momento pelo suporte: a partir do pedido, novas informações da sua conta deixam de ser usadas para treinamento, sem perder o acesso à ATAS X.

Para gerar o texto, a ATAS X envia o briefing a um provedor de modelo de inteligência artificial contratado pela KyveraPay, que o processa apenas para produzir a resposta.

4. Dados sensíveis: biometria

A verificação de identidade começa com os dados e documentos que você envia, analisados pela equipe da KyveraPay. Quando a confirmação facial estiver ligada no ambiente, a Plataforma usa um parceiro especializado de verificação de identidade (hoje, o Didit) para coletar foto do documento, selfie e prova de vida. O mesmo tipo de fluxo pode ser pedido em ações sensíveis, como saques a partir de R$ 5.000 e emissão de novas chaves de API, comparando a selfie recente com a imagem de referência da verificação.

Selfie e prova de vida são dados biométricos (dados sensíveis na LGPD). Tratamos esses dados para prevenir fraude, confirmar que a conta é sua e cumprir obrigações de prevenção à lavagem de dinheiro (art. 11, II, “a” e “g”, da LGPD — cumprimento de obrigação legal e prevenção à fraude). O parceiro processa as imagens sob nossas instruções, só para essa finalidade; o resultado (aprovado, recusado ou pendente) fica registrado na Plataforma. Se a confirmação facial estiver desligada no ambiente, a verificação segue só com documentos e análise humana, sem coleta de selfie.

5. Compartilhamento de dados

Não vendemos dados pessoais. Compartilhamos informações somente quando necessário e limitado ao necessário, com:

• banco processador dos pagamentos (regularizado pelo Banco Central): dados do comprador para emitir Pix, boleto e cobrança no cartão (à vista, parcelada ou recorrente, no caso de assinaturas), reembolsos e contestações; nome e CPF/CNPJ do vendedor para enviar o Pix do saque;
• as bandeiras de cartão, pelo banco processador, para processar pagamentos e contestações;
• provedores que operam a Plataforma, como operadores de dados: banco de dados e autenticação (Supabase), hospedagem (Vercel), proteção contra robôs (Cloudflare Turnstile), monitoramento de erros (Sentry), envio de e-mails, login opcional com Discord, o parceiro de verificação facial (Didit, quando ligado) e o provedor de inteligência artificial da ATAS X (quando o recurso estiver disponível);
• plataformas de anúncios escolhidas pelo vendedor (Meta, Google, TikTok), que recebem, pelo navegador e só com o seu consentimento de cookies, os eventos de visita e compra com o valor e o número do pedido; e a Utmify, quando o vendedor a conecta, que recebe o pedido com valores, UTMs, nome e e-mail do comprador (sem CPF nem telefone). Nesses envios o vendedor é o controlador dos dados, e cada plataforma segue a própria política;
• ferramentas de e-mail marketing escolhidas e conectadas pelo vendedor (ActiveCampaign, Mailchimp ou RD Station Marketing), que recebem nome, e-mail, produto, valor, status do pedido (compra aprovada, carrinho abandonado, reembolso ou assinatura cancelada) e UTMs, e o telefone só se o vendedor ativar essa opção e você o tiver informado. Se você se descadastrou dos e-mails de recuperação de carrinho, o carrinho abandonado não é enviado. Nesses envios o vendedor é o controlador dos dados, e cada ferramenta segue a própria política;
• o emissor de notas fiscais do vendedor (NFE.io), quando o vendedor conecta a conta dele para emitir a NFS-e das vendas: recebe o nome, o e-mail e o CPF/CNPJ do comprador, a descrição do produto e o valor pago, e repassa a nota à prefeitura do vendedor. O vendedor é o controlador desses dados; a chave de acesso dele fica cifrada e o CPF/CNPJ só é decifrado no servidor, no momento da emissão;
• o vendedor, no caso dos dados do comprador necessários para entregar o produto, atender e recuperar a venda, e para responder a um pedido de reembolso (primeiro nome, e-mail parcial, motivo e relato);
• autoridades, órgãos reguladores e o COAF, quando exigido por lei, ordem judicial ou para prevenir fraudes.

Os operadores só podem tratar os dados conforme as nossas instruções e para a finalidade contratada, com medidas de segurança compatíveis com esta Política.

6. Transferência internacional

Alguns operadores ficam fora do Brasil ou guardam dados em outros países — por exemplo, provedores de hospedagem, banco de dados e monitoramento nos Estados Unidos. Nesses casos a transferência acontece para cumprir o contrato com você e com garantias previstas no art. 33 da LGPD, como cláusulas contratuais de proteção de dados e países ou empresas com nível de proteção adequado.

7. Decisões automatizadas

Parte das análises é automática: o motor de risco pode mandar um pagamento para revisão ou bloqueá-lo; a confirmação facial do parceiro pode aprovar ou recusar uma sessão de prova de vida. A aprovação final da verificação da conta continua com uma pessoa da equipe. Você pode pedir a revisão de uma decisão tomada unicamente de forma automatizada que afete seus interesses e receber informações sobre os critérios usados, pelo Suporte (art. 20 da LGPD), respeitados os segredos comercial e de prevenção a fraudes.

8. Armazenamento e segurança

Os dados são armazenados em infraestrutura com criptografia em trânsito e em repouso. O acesso é restrito por regras de segurança em nível de linha (Row Level Security), para que cada conta só acesse suas próprias informações, e arquivos da área de membros só são entregues por links temporários a quem tem acesso. Chaves de acesso a parceiros ficam em cofre criptografado e só o servidor as lê. A aplicação não exibe credenciais de autenticação no painel. Em caso de incidente de segurança que possa trazer risco ou dano relevante, avisaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD), como manda o art. 48 da LGPD.

9. Seus direitos como titular de dados

De acordo com a LGPD (art. 18), você tem direito a:

• Confirmar a existência de tratamento dos seus dados e acessá-los;
• Corrigir ou atualizar seus dados, inclusive diretamente em Configurações;
• Pedir anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Pedir a portabilidade dos seus dados a outro fornecedor;
• Saber com quais entidades públicas e privadas seus dados foram compartilhados;
• Se opor a tratamentos baseados em legítimo interesse, como o treinamento da ATAS X;
• Pedir a revisão de decisões automatizadas (seção 7);
• Revogar o consentimento dado, quando aplicável;
• Reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Para exercer esses direitos, abra um pedido com protocolo na Central de Ajuda (seção Privacidade / LGPD) ou em Configurações da conta, ou fale com o Encarregado (seção 13). Respondemos pedidos de acesso em até 15 dias. Cada pedido gera um protocolo auditável (formato LGPD-…).

Preservação legal (LGPD art. 16). Mesmo quando você pede eliminação ou oposição, a KyveraPay mantém pelo prazo legal obrigatório: registros fiscais e contábeis (incluindo lançamentos em ledger_journals e contas do ledger), comprovantes de aceite dos Termos, evidências de compra e de prevenção a fraude, e demais dados necessários ao exercício regular de direitos em processo judicial, administrativo ou arbitral e ao cumprimento de obrigação legal ou regulatória. Esses registros não são apagados só porque o pedido de eliminação foi aberto.

10. Cookies

Usamos cookies necessários para manter sua sessão autenticada, a segurança e o funcionamento básico da Plataforma — eles não podem ser desativados. O banner de cookies oferece categorias opcionais: Analytics (Google Analytics configurado pelo vendedor) e Marketing (pixels da Meta, do TikTok e do Google Ads configurados pelo vendedor). Esses scripts só carregam nas páginas de produto e no checkout de vendedores que os configuraram, e só se você aceitar a categoria correspondente. Os parâmetros de campanha (UTMs) ficam guardados apenas na aba do navegador até a compra. Para o funil de conversão do vendedor, cada visita à página do produto soma 1 a um contador anônimo por produto, dia e origem da campanha, sem cookie, sem identificar você e sem guardar o seu endereço IP (usado só de forma embaralhada e temporária para barrar abusos). Você pode revisar sua escolha a qualquer momento em "Preferências de cookies", no rodapé do site.

11. Retenção de dados

Mantemos os dados enquanto a conta estiver ativa e, depois do encerramento, pelo tempo exigido pela lei: registros de acesso por no mínimo 6 meses (Marco Civil da Internet), dados de transações, de verificação e de saques por no mínimo 5 anos (prevenção à lavagem de dinheiro), prova de compra, reclamações e pedidos de reembolso por 5 anos após o encerramento do caso (Código de Defesa do Consumidor) e dados fiscais e contábeis (notas sobre a taxa de intermediação da KYVERA CORE TECNOLOGIA LTDA e lançamentos do ledger) pelo prazo da legislação tributária e do art. 16 da LGPD. Dados de contas bloqueadas por suspeita de fraude são mantidos enquanto durar a análise e eventual processo. Dados já anonimizados usados no treinamento da ATAS X não permitem identificar você e podem ser mantidos.

Notas fiscais. A nota do produto ou serviço ao comprador final é de responsabilidade exclusiva do vendedor/coprodutor. A KyveraPay (KYVERA CORE TECNOLOGIA LTDA, CNPJ 69.355.785/0001-11) emite nota apenas sobre a sua taxa de intermediação ao vendedor.

12. Crianças e adolescentes

A conta de vendedor é só para maiores de 18 anos ou empresas. Compradores menores de idade devem usar a Plataforma com o acompanhamento dos pais ou responsáveis.

13. Encarregado (DPO) e contato

O Encarregado pelo tratamento de dados pessoais da KYVERA CORE TECNOLOGIA LTDA atende pedidos de titulares, dúvidas sobre esta Política, oposição ao treinamento da ATAS X e comunicações da ANPD pelo Suporte da Plataforma (assunto "Privacidade / LGPD"), pela Central de Ajuda ou pelo nosso Discord.

O endereço fiscal completo da controladora será publicado nesta seção quando a empresa o informar oficialmente (variável pública de configuração).

14. Alterações nesta política

Podemos atualizar esta Política periodicamente. Mudanças relevantes serão comunicadas com antecedência razoável através da Plataforma ou por e-mail, e a versão vigente fica registrada no aceite.