Política de Privacidade

O controlador dos seus dados pessoais é a PK Biscoitos, operada por Patrycia na condição de Microempreendedora Individual, em Goiânia/GO.

• CNPJ: [PENDENTE — preencher antes do lançamento]
• Contato para privacidade: privacidade@pkbiscoitos.com.br
• WhatsApp: +55 (62) 99958-5119

Por se tratar de microempreendimento individual, não há Encarregado (DPO) formal designado. Os pedidos são recebidos e respondidos diretamente pelos canais acima.

Quando você compra

• Nome, e-mail e telefone;
• CPF — obrigatório porque emitimos nota fiscal (NFC-e) em toda venda com entrega;
• Endereço completo com CEP e, para roteirização da entrega, as coordenadas aproximadas dele;
• Itens, valores e histórico do pedido;
• Dados de pagamento processados pelo Mercado Pago — recebemos de volta apenas nome do pagador, e-mail e os quatro últimos dígitos do cartão. Não temos acesso ao número completo do cartão.

Quando você fala com a gente

• Seu número de telefone e o nome do seu perfil no WhatsApp;
• O conteúdo integral das mensagens, suas e nossas, incluindo fotos, áudios e documentos que você enviar;
• Transcrição de mensagens de voz, quando solicitada pela atendente.

Quando você navega no site

• Endereço IP e identificador do navegador, para limitar abuso e spam;
• Identificadores de clique de anúncio (gclid e equivalentes), quando você chega por um anúncio;
• Dados coletados pelas ferramentas de terceiros descritas na seção 5.

Não coletamos dados de saúde, biométricos ou de menores de idade. Nosso site não é direcionado a crianças. Se você é responsável e acredita que uma criança nos enviou dados, avise pelos canais da seção 1 que apagamos.

Não vendemos seus dados e não os usamos para formar perfil que produza efeito jurídico sobre você.

Parte do atendimento é feita pela PatY, um assistente virtual baseado em modelo de linguagem. Isso significa que o conteúdo da conversa é enviado a provedores de IA fora da nossa infraestrutura. Queremos ser específicos sobre o que sai e para onde.

O que enviamos

• O texto da sua mensagem, na íntegra;
• As últimas 20 mensagens da conversa, para dar contexto;
• Apenas o seu primeiro nome, quando conhecido.

O que não enviamos

Seu número de telefone não é enviado ao provedor de IA. Nem e-mail, endereço ou histórico de pedidos. Essa restrição está implementada no código, não é apenas uma intenção.

Mas atenção: se você digitar seu CPF, telefone ou endereço dentro da conversa, esse texto é enviado como qualquer outro. Não temos como filtrar isso automaticamente. Evite escrever dados sensíveis no chat.

Quem são os provedores

Usamos Anthropic (Claude) como provedor principal. Em caso de indisponibilidade, a conversa pode ser processada automaticamente por DeepSeek ou Google (Gemini), nesta ordem.

O DeepSeek é operado na China. Isso caracteriza transferência internacional de dados (LGPD art. 33) para país sem decisão de adequação da ANPD. A transferência ocorre para a execução do contrato de atendimento e apenas quando os provedores anteriores falham. Se você não deseja que sua conversa seja processada por IA, peça atendimento humano — basta escrever “quero falar com a Patrycia” e o bot se cala.

Transcrição de áudio

Quando você envia mensagem de voz, a atendente pode solicitar a transcrição. Nesse caso o arquivo de áudio é enviado ao Google (Gemini) e a transcrição fica guardada junto à mensagem. Isso não acontece automaticamente — depende de ação da atendente.

Compartilhamos apenas o necessário, com operadores que nos prestam serviço:

Também podemos compartilhar dados com autoridades quando houver obrigação legal ou ordem judicial.

Vários desses serviços processam dados fora do Brasil (Estados Unidos, União Europeia e, no caso do DeepSeek, China). As transferências ocorrem para viabilizar a execução do contrato e a prestação do serviço.

Anexos que você envia pelo WhatsApp são copiados para o nosso armazenamento (Vercel Blob), porque os links originais da Meta expiram em poucos minutos.

Seja consciente disto: esses arquivos ficam em endereços que não são listados publicamente, mas também não exigem autenticação — quem tiver o link consegue abrir. Estamos trabalhando para restringi-los. Até lá, evite enviar documentos com dados sensíveis pelo WhatsApp.

Transparência sobre o aviso de cookies: o banner exibido no site é informativo. As ferramentas de medição carregam junto com a página, antes de qualquer interação sua — ou seja, ele não bloqueia a coleta. Para impedir totalmente, use as configurações de cookies e rastreamento do seu navegador.

Não carregamos ferramentas de medição nas áreas privadas do sistema.

Estamos declarando isto sem maquiagem: a rotina automática de expurgo de conversas e anexos ainda não existe. Até que exista, a exclusão é feita manualmente quando você pede.

A LGPD (art. 18) garante a você o direito de:

• Saber se tratamos seus dados e acessá-los;
• Corrigir dado incompleto, inexato ou desatualizado;
• Pedir anonimização, bloqueio ou eliminação de dado desnecessário ou tratado em desconformidade;
• Pedir portabilidade a outro fornecedor;
• Revogar consentimento, quando essa for a base legal;
• Opor-se a tratamento fundado em legítimo interesse;
• Saber com quem compartilhamos seus dados;
• Peticionar à ANPD.

Como exercer

Escreva para privacidade@pkbiscoitos.com.br ou chame no WhatsApp +55 (62) 99958-5119. Respondemos em até 15 dias.

O atendimento é manual — não há botão de exclusão no site. Isso não reduz seu direito: o pedido é cumprido do mesmo jeito, apenas por uma pessoa em vez de um formulário.

Alguns dados não podem ser apagados a pedido enquanto durar a obrigação legal de guarda — nota fiscal emitida é o caso típico. Nesses casos explicamos o motivo e o prazo.

Medidas que estão implementadas hoje:

• Tráfego criptografado (HTTPS) em todo o site;
• Senhas guardadas como hash, nunca em texto claro;
• Autenticação em duas etapas na área administrativa;
• Verificação de assinatura nos webhooks — mensagem forjada é rejeitada;
• Limites de requisição para conter abuso e spam;
• Registro de auditoria em operações sensíveis;
• Medição de audiência desligada nas áreas privadas.

O que ainda não fazemos: o CPF e o endereço são guardados sem criptografia adicional no banco de dados, protegidos pelos controles de acesso do provedor. Preferimos dizer isso a sugerir uma proteção que não temos.

Em caso de incidente de segurança com risco relevante a você, comunicaremos você e a ANPD, conforme o art. 48 da LGPD.

Podemos atualizar esta política. A versão vigente é sempre a publicada aqui, com a data no topo. Mudança relevante é avisada pelos nossos canais.

Veja também os Termos de Uso.