Política de Privacidade — Gran Drop

1. Quem é o controlador dos dados

A plataforma Gran Drop é operada por GRANCOMMERCE LTDA (nome fantasia Grancommerce), inscrita no CNPJ 47.710.193/0001-38, com sede na Rua João Martins da Cruz, 357 — Vila do Conde, Barueri/SP, CEP 06445-502 ("nós", "plataforma"). Somos o controlador dos dados dos revendedores e da operação da plataforma. Em relação aos dados do cliente final (fornecidos pelo revendedor), tratamos como controladores, com base no legítimo interesse de viabilizar a entrega do que o cliente comprou (detalhes na seção 5); o revendedor segue responsável pela relação de origem com esse cliente.

2. Encarregado pelo tratamento de dados (DPO)

Para qualquer assunto sobre seus dados pessoais, fale com nosso Encarregado (DPO):

• E-mail: privacidade@grancommercebr.com
• Nome/responsável: Gabriel Carvalho

3. A quem esta política se aplica

A Gran Drop conecta três tipos de pessoas, e tratamos dados de cada uma de forma diferente:

• Revendedor — quem se cadastra para comprar pedidos e revender.
• Cliente final — a pessoa que compra do revendedor e recebe o pacote; os dados dela chegam até nós através da etiqueta de envio que o revendedor anexa ao pedido.
• Equipe de Expedição / Administração — quem opera a logística e a gestão da plataforma.

4. Quais dados pessoais tratamos

4.1 Do revendedor (fornecidos por ele)

• Identificação e contato: nome, e-mail, telefone.
• Dados de negócio: CNPJ, marketplaces onde vende.
• Registro de aceite dos Termos de Uso (data, IP e navegador), como evidência da adesão contratual.

4.2 Do cliente final (fornecidos pelo revendedor, via etiqueta)

Para que o pedido seja separado e enviado ao destinatário correto, o revendedor anexa a etiqueta de envio, da qual extraímos:

• Nome, endereço, bairro, cidade, estado (UF) e CEP do destinatário.
• Opcionalmente, o CPF, quando o revendedor o informa.

Não pedimos ao cliente final que se cadastre — ele não tem login na plataforma. Os dados dele existem aqui apenas para viabilizar a entrega do que ele comprou do revendedor.

4.3 Dados técnicos e de segurança

• Um token de sessão guardado no seu navegador (necessário para manter você logado).
• Registros de acesso e de segurança (inclusive um registro de quem, quando e quais campos de dados pessoais foram consultados no painel administrativo).
• Dados do desafio anti-robô (CAPTCHA) e verificação de e-mail no login.

4.4 Da equipe (Expedição / Administração)

• Identificação e acesso: nome, e-mail e credenciais de login (incluindo o 2FA).
• Registros de atividade e de acesso, para segurança e auditoria.

Base legal: execução do contrato de trabalho ou de prestação de serviço e cumprimento de obrigações legais. O tratamento de dados de colaboradores pode ser regido também por instrumento próprio.

5. Para que usamos os dados e com qual base legal

Sobre os dados do cliente final: quem coleta esses dados é o revendedor (na venda que ele fez no marketplace dele), então ele é o controlador dessa relação; a Gran Drop os trata apenas para viabilizar a entrega do que o cliente comprou. A Gran Drop trata esses dados como controladora, com base no legítimo interesse de viabilizar a entrega; o revendedor permanece responsável pela relação de origem com o cliente.

Enriquecimento de contato por CPF (recurso futuro, ainda NÃO ativo): temos a intenção de, no futuro, oferecer ao revendedor a consulta de contatos (e-mail/telefone) a partir do CPF do cliente. Este recurso não está em operação. Quando for, ele terá base legal própria e transparência específica, validadas juridicamente — e este documento será atualizado antes de qualquer uso.

6. Com quem compartilhamos

Nós não vendemos dados pessoais. Compartilhamos o mínimo necessário, e todo prestador que trata dados em nosso nome está vinculado por contrato de tratamento de dados que o obriga a seguir nossas instruções, manter sigilo e não usar o dado para finalidade própria (Art. 39 da LGPD):

Mantemos essa lista atualizada e a revisamos a cada seis meses ou sempre que entra um prestador novo. Você pode pedir a versão vigente ao nosso Encarregado (seção 2).

7. Por quanto tempo guardamos (retenção)

• Arquivo da etiqueta (imagem/PDF com o endereço completo): apagado automaticamente cerca de 15 dias após o envio do pacote.
• Evidências de devolução (fotos/vídeo): apagadas automaticamente cerca de 60 dias após a resolução.
• Dados identificáveis do cliente final (nome, endereço, bairro, CEP, CPF): anonimizados automaticamente após 24 meses sem nova compra. Cidade/UF (que sozinhas não identificam a pessoa) e o registro do pedido — este de forma anônima — são mantidos para estatística e para cumprir prazos fiscais/legais (em regra, 5 anos).
• Exclusão a pedido: quando o titular solicita, anonimizamos os dados pessoais dele (ver seção 9).

8. Como protegemos seus dados

• Acesso controlado por regras no banco de dados: cada revendedor só enxerga os próprios dados e os próprios clientes.
• Verificação em duas etapas (2FA) obrigatória para o acesso administrativo e da equipe.
• Dados criptografados em trânsito (HTTPS) e políticas de segurança no navegador.
• CPF exibido de forma mascarada nas listagens administrativas; o acesso ao dado completo é registrado (quem viu, quando).
• Princípio da minimização e expurgo automático dos arquivos mais sensíveis (etiquetas e mídias de devolução).

8.1 Se acontecer um incidente de segurança

Nenhum sistema é imune. Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante a você — por exemplo, acesso indevido aos seus dados —, nós:

• comunicamos a Autoridade Nacional de Proteção de Dados (ANPD) em até 3 (três) dias úteis contados do momento em que tomamos conhecimento de que o incidente afetou dados pessoais, conforme o Art. 48 da LGPD e a regulamentação da ANPD;
• comunicamos você, titular afetado, no mesmo prazo, em linguagem clara, dizendo quais dados foram atingidos, quais riscos isso traz e o que estamos fazendo a respeito;
• registramos o ocorrido, apuramos a causa e corrigimos o que permitiu o incidente.

9. Seus direitos como titular (LGPD, Art. 18)

Você pode, a qualquer momento, solicitar:

• Confirmação de que tratamos seus dados e acesso a eles;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade e informação sobre com quem compartilhamos;
• Oposição a tratamentos feitos com base em legítimo interesse, e informações sobre esse tratamento;
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências dessa recusa;
• Revogação do consentimento, quando aplicável.

9.1 Como pedir e em quanto tempo respondemos

Para exercer qualquer um desses direitos, fale com nosso Encarregado (seção 2). Se você é cliente final, pode também pedir diretamente ao revendedor de quem comprou.

Antes de entregar ou apagar qualquer dado, precisamos confirmar que é você — pediremos alguns dados que só o titular teria (por exemplo, CPF e o CEP de uma entrega). É uma proteção a seu favor: sem isso, qualquer pessoa poderia pedir os seus dados no seu lugar.

Se, por alguma razão legal, não pudermos atender o seu pedido, responderemos ainda assim dentro do prazo, por escrito, explicando o motivo (Art. 18, § 4º).

Portabilidade e acesso, na prática: entregamos um arquivo em formato JSON — um formato de texto estruturado, de uso comum e legível por máquina, como a lei exige (Art. 18, V) — contendo o seu cadastro, o histórico das suas compras, as devoluções relacionadas, com quem compartilhamos e o registro dos acessos aos seus dados.

Exclusão, na prática: ao atender um pedido de exclusão, anonimizamos os seus dados pessoais (nome, endereço, bairro, CEP e CPF) e apagamos o arquivo da etiqueta e as fotos/vídeos de devolução ligados a você; o registro da compra pode ser mantido de forma anônima quando houver obrigação fiscal (Art. 16, I).

Uma exceção, e avisamos você quando ela acontecer: se houver uma devolução ainda em aberto ligada a uma compra sua, as fotos dessa devolução são mantidas até ela ser resolvida, porque são a prova de uma disputa em andamento (Art. 7, VI — exercício regular de direitos). Resolvida a devolução, essas fotos são apagadas no prazo normal de 60 dias.

Se você não ficar satisfeito com nossa resposta, tem o direito de reclamar à Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd.

Não tomamos decisões automatizadas que afetem você de forma significativa. Caso isso venha a existir, você terá direito de solicitar revisão (Art. 20 da LGPD).

10. Cookies e armazenamento no navegador

Usamos apenas o armazenamento essencial para o funcionamento (o token que mantém sua sessão logada). Nesta versão, a plataforma não usa cookies de rastreamento de terceiros para publicidade dentro do sistema.

11. Transferência internacional

Alguns de nossos provedores de infraestrutura (Supabase, Cloudflare e Resend) processam/armazenam dados em servidores fora do Brasil — tipicamente Estados Unidos e/ou União Europeia. Nesses casos, a transferência se apoia em cláusulas contratuais / acordos de tratamento de dados (DPA) firmados com esses operadores, na forma do Art. 33, II da LGPD. O Mercado Pago e a operação de Expedição tratam os dados no Brasil.

12. Crianças e adolescentes

A plataforma é destinada a maiores de 18 anos (revendedores são empresas/empreendedores). Não coletamos intencionalmente dados de menores.

13. Alterações desta política

Podemos atualizar este documento. Mudanças relevantes serão comunicadas pelos canais da plataforma, e a data de "última atualização" no topo será alterada.

14. Contato

Dúvidas sobre privacidade e proteção de dados: privacidade@grancommercebr.com.