Política de Privacidade

• Tratamos dados para operar a plataforma de pagamentos, verificar quem abre conta e cumprir a lei. Não vendemos dados pessoais e não fazemos publicidade comportamental.
• Não guardamos o número completo do cartão nem o código de segurança. Eles vão direto para a instituição de pagamento; nós ficamos apenas com a bandeira e os quatro últimos dígitos.
• Nossos servidores e fornecedores de infraestrutura ficam nos Estados Unidos, então há transferência internacional de dados.
• Não usamos cookies de publicidade nem ferramentas de rastreamento de terceiros.
• Para exercer qualquer direito, escreva para privacidade@nimbuupay.com. Respondemos em até 15 dias.

O resumo não substitui o texto completo. Ele existe porque uma política que ninguém lê não informa ninguém, e informar é a obrigação.

Nimbuu Desenvolvimento de Software LTDA, CNPJ 67.217.508/0001-17, com sede em Avenida Paulista, 1471, conjunto 1110, Bela Vista, São Paulo (SP), CEP 01311-927, é quem responde pelo tratamento descrito nesta política.

O encarregado pelo tratamento de dados pessoais, previsto no art. 41 da Lei nº 13.709/2018 (LGPD), é Haamiah Fonseca do Amor Divino, contatável em privacidade@nimbuupay.com.

Esta política vale para o site nimbuupay.com, para o painel, para o checkout, para os links de pagamento e para a API.

A LGPD distingue quem decide o tratamento (controlador) de quem executa em nome de outro (operador). Na Nimbuu Pay convivem os dois papéis, e saber qual é qual define para quem você reclama.

Dados de conta do lojista

Nome, e-mail, senha (guardada apenas como hash) e registros de acesso ao painel.

Dados de verificação cadastral (KYC)

Coletados apenas de quem pede para operar em produção. Conforme o tipo de conta: tipo de pessoa, nome ou razão social, nome fantasia, CPF ou CNPJ, natureza jurídica, CNAE, data de abertura, data de nascimento, faturamento ou renda declarada, telefone celular, endereço completo, e ainda nome, CPF, data de nascimento e cargo do responsável legal. Também a chave PIX de recebimento e o seu tipo.

Documentos enviados: frente e verso do documento de identificação, selfie, contrato social, cartão CNPJ e comprovante bancário, conforme o caso.

Dados do pagador

Nome, CPF ou CNPJ, e-mail e telefone. Em cobranças que exigem endereço, como boleto e parte das transações de cartão: CEP, logradouro, número, complemento, cidade e estado. Nas assinaturas, o histórico de cobranças do ciclo.

O lojista pode configurar campos adicionais no checkout dele. O conteúdo desses campos é definido pelo lojista, e a responsabilidade por pedir apenas o necessário é dele.

Dados de pagamento

No cartão, o número, o nome impresso e o código de segurança são transmitidos por conexão criptografada diretamente à instituição de pagamento, que os tokeniza. Não armazenamos o número completo nem o código de segurança em momento algum. Ficamos com a bandeira, os quatro últimos dígitos e o resultado da autorização, que é o necessário para você reconhecer a compra e para tratar contestações.

No PIX e no boleto, tratamos os identificadores da cobrança e da liquidação devolvidos pela instituição de pagamento.

Dados técnicos

Endereço IP, data e hora das requisições, identificador da chave de API usada, e sinais antiautomação do serviço de proteção do checkout. Servem para segurança, limite de requisições e prevenção à fraude.

O que não coletamos

Não usamos ferramentas de analytics, pixels de publicidade ou redes sociais no site nem no checkout. Não coletamos geolocalização precisa, não montamos perfil publicitário e não compramos listas de dados.

Quando o tratamento se apoia em legítimo interesse, avaliamos previamente se a finalidade é legítima, se o tratamento é necessário e se as suas expectativas e direitos ficam preservados. Você pode pedir explicações sobre essa avaliação pelo canal do encarregado.

Não tomamos decisões exclusivamente automatizadas que afetem seus interesses de forma significativa. A análise de risco pode sinalizar uma transação ou uma conta, mas a decisão de recusar, suspender ou encerrar passa por revisão humana.

Compartilhamos o mínimo necessário, e apenas com quem está listado abaixo ou com quem a lei obrigar.

Além desses, os dados podem ser compartilhados:

• com o lojista, quando o dado é do pagador de uma cobrança dele. É a razão de ser do serviço;
• com bancos emissores, bandeiras e o arranjo de pagamentos instantâneos, na medida necessária para liquidar e para processar contestações;
• com autoridades públicas, mediante requisição legal ou ordem judicial. Sempre que a lei permitir, informamos você antes de atender;
• com advogados, auditores e contadores sujeitos a dever de sigilo, quando necessário;
• com um adquirente ou sucessor, em caso de reorganização societária, fusão, aquisição ou venda de ativos, mantidas as condições desta política.

Não vendemos, não alugamos e não cedemos dados pessoais para fins publicitários.

A infraestrutura em que a plataforma roda fica fora do Brasil. O servidor de aplicação e de banco de dados está nos Estados Unidos, assim como os serviços de hospedagem do site e de proteção do checkout. Consequência direta: os dados descritos nesta política, inclusive os documentos de verificação cadastral, são armazenados e processados em território norte-americano.

A liquidação financeira, feita pela instituição de pagamento parceira, ocorre no Brasil.

Essas transferências se apoiam nos arts. 33 e seguintes da LGPD, especificamente na necessidade para a execução do contrato firmado com você e na adoção de cláusulas contratuais com os fornecedores, com garantias de confidencialidade, segurança e respeito aos direitos do titular.

Você pode pedir mais informações sobre as salvaguardas adotadas pelo canal do encarregado.

Vencido o prazo, os dados são eliminados ou anonimizados. Podemos guardar por mais tempo o que for necessário para defesa em processo em curso, ou por determinação de autoridade.

O art. 18 da LGPD garante a você o direito de:

• confirmar se tratamos dados seus e acessar esses dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• pedir a portabilidade a outro fornecedor;
• pedir a eliminação de dados tratados com base em consentimento, ressalvadas as hipóteses de guarda obrigatória;
• saber com quem compartilhamos seus dados;
• ser informado sobre a possibilidade de não consentir, e sobre as consequências disso;
• revogar o consentimento a qualquer momento;
• opor-se a tratamento feito com base em legítimo interesse.

Como pedir

1. Escreva para privacidade@nimbuupay.com dizendo o que você quer.
2. Pedimos confirmação de identidade antes de responder, porque entregar dado pessoal a quem se passou por você seria o vazamento que a lei quer evitar.
3. Respondemos em até 15 dias.

O pedido é gratuito. Alguns direitos têm limite: não podemos eliminar dado que a lei nos obriga a guardar, e não podemos eliminar o histórico de uma transação enquanto o prazo de contestação ou de guarda fiscal estiver correndo. Quando recusarmos algo, dizemos o motivo e a base legal.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:

• tráfego criptografado em trânsito (TLS) em todas as superfícies públicas;
• senhas guardadas apenas como hash, nunca em texto claro;
• número completo de cartão fora dos nossos sistemas, tokenizado pela instituição de pagamento;
• webhooks assinados, para que o destinatário consiga verificar a origem;
• controle de acesso restrito aos documentos de verificação;
• limites de requisição e proteção antiautomação no checkout;
• backups periódicos da base de dados.

Nenhum sistema é imune. Havendo incidente de segurança com risco relevante aos seus direitos, comunicamos você e a ANPD em prazo razoável, com a descrição do ocorrido, dos dados afetados e das medidas tomadas, conforme o art. 48 da LGPD.

Usamos apenas cookies necessários ao funcionamento, como o que mantém você conectado ao painel. Não há cookie de publicidade nem de análise de audiência.

A lista completa, com nome, finalidade e duração de cada cookie, está na Política de Cookies.

A plataforma é destinada a maiores de 18 anos. Não criamos conta para menores e não coletamos intencionalmente dados de crianças e adolescentes.

Como operadora, podemos receber dados de um pagador menor de idade quando o lojista vender para esse público. Cabe ao lojista, na condição de controlador, garantir a base legal adequada, incluindo o consentimento específico de pelo menos um dos pais ou do responsável legal quando o art. 14 da LGPD exigir.

Identificando que recebemos dados de criança sem a devida base legal, eliminamos assim que possível. Avise em privacidade@nimbuupay.com se for o caso.

Podemos atualizar esta política. A data da última revisão fica no topo do documento.

Mudança de finalidade ou de base legal é comunicada previamente por e-mail e no painel, na forma do art. 8º, §6º, da LGPD. Se a nova finalidade depender de consentimento, ela só começa depois que você consentir.