Política de privacidade

1. Quem trata os seus dados

A KORBIT PAGAMENTOS LTDA (CNPJ 69.412.426/0001-59) é a controladora dos dados pessoais tratados para operar a Korbit, como os dados de cadastro e verificação de Vendedores, os dados de segurança e prevenção à fraude e os registros das transações.

Quando você compra de um Vendedor que usa a Korbit, esse Vendedor também é controlador dos seus dados para as finalidades dele, como entregar o produto, emitir nota fiscal, dar suporte e medir suas campanhas. Dúvidas sobre esses usos devem ser enviadas também ao Vendedor.

Os termos Vendedor, Comprador, Plataforma e Instituições Parceiras têm o significado dos Termos de uso.

2. Quais dados coletamos

2.1 Vendedores e suas equipes

• Cadastro: nome, e-mail, telefone, foto de perfil, senha (guardada apenas como hash) e configuração de autenticação em dois fatores.
• Conta de produção: nome ou razão social, CPF ou CNPJ, data de nascimento ou de constituição, endereço, site, atividade, produtos vendidos, ticket médio, volume esperado e canais de venda.
• Verificação de identidade: documentos de identificação, selfie e biometria facial, tratados pelo parceiro de verificação. A Korbit guarda o resultado da verificação e os identificadores do processo, não os arquivos dos documentos.
• Dados financeiros: chave Pix para saque, guardada com criptografia, e o histórico de vendas, saldos, saques e reembolsos.
• Dados técnicos: navegador e dispositivo da sessão, registros de uso da Plataforma e das chamadas à API.

2.2 Compradores

• Dados da compra: nome, e-mail, telefone, CPF ou CNPJ e endereço, pedidos para emissão de nota fiscal e prevenção à fraude, além do produto comprado, valor, meio de pagamento e status.
• Cartão de crédito: os dados do cartão são digitados em campos seguros da Instituição Parceira e transformados em um token no seu navegador. Número completo e código de segurança não passam pelos servidores da Korbit.
• Segurança e antifraude: endereço IP, identificador do dispositivo e navegador, enviados também à Instituição Parceira para análise de risco.
• Origem da venda: parâmetros de campanha (UTMs), identificadores de clique e cookies de pixels de anúncio, quando o Vendedor configura pixels no produto. Veja o item 5.
• Portal do comprador: e-mail usado para receber o link de acesso e os pedidos de cancelamento ou reembolso feitos por ele.

2.3 Visitantes deste site

O site institucional não usa cookies de rastreamento nem ferramentas de analytics. Registros técnicos de acesso, como IP e navegador, podem ser mantidos pelo provedor de hospedagem para segurança.

3. Para que usamos e com qual base legal

• Criar e manter a conta, processar pagamentos, liberar saldos e saques: execução de contrato (art. 7º, V, da LGPD).
• Verificar identidade, prevenir lavagem de dinheiro e cumprir regras do Banco Central, fiscais e de autoridades: cumprimento de obrigação legal ou regulatória (art. 7º, II).
• Biometria facial na verificação de identidade: prevenção à fraude e segurança do titular em processos de identificação (art. 11, II, "g").
• Antifraude, segurança da Plataforma e análise de disputas: legítimo interesse (art. 7º, IX) e exercício regular de direitos (art. 7º, VI).
• Suporte, avisos sobre a conta e melhorias do serviço: execução de contrato e legítimo interesse.
• Comunicações de marketing: consentimento (art. 7º, I), que pode ser retirado a qualquer momento.

Retirar um consentimento não impede os tratamentos baseados em contrato ou em obrigação legal. Pedir a exclusão de dados necessários ao serviço, porém, pode impedir o uso da Plataforma, incluindo vendas e saques.

4. Com quem compartilhamos

Compartilhamos apenas o necessário para cada finalidade, com:

• Instituições Parceiras que processam e liquidam os pagamentos, como Mercado Pago e Woovi;
• parceiro de verificação de identidade (KYC e KYB), que trata documentos e biometria;
• fornecedores de infraestrutura e tecnologia: hospedagem e banco de dados em nuvem, armazenamento de arquivos, envio de e-mails, entrega de webhooks, monitoramento, autocompletar de endereço e proteção contra robôs;
• o Vendedor, que recebe os dados das compras feitas com ele;
• integrações e plataformas de anúncio que o Vendedor ativar, conforme o item 5;
• autoridades públicas, quando houver obrigação legal ou ordem judicial.

Os principais servidores da Korbit ficam no Brasil. Alguns fornecedores podem tratar dados em outros países, como Estados Unidos e países da União Europeia. Nesses casos, a transferência segue o capítulo V da LGPD e as regras da ANPD.

5. Pixels e integrações configurados pelo Vendedor

O Vendedor pode configurar, em cada produto, pixels de plataformas de anúncio (como Meta, Google, TikTok e Kwai) e integrações de rastreamento ou de área de membros. Quando isso acontece:

• os pixels são carregados no checkout e podem gravar cookies no seu navegador;
• a confirmação da compra pode ser enviada a essas plataformas pelos servidores da Korbit, com e-mail, telefone, nome e localização transformados em hash, além de IP e navegador;
• se o seu navegador enviar o sinal de não rastreamento (Do Not Track ou Global Privacy Control), os pixels não são carregados, nenhum evento é enviado e o pedido guarda apenas o registro da recusa.

O uso desses dados pelas plataformas de anúncio e pelas integrações é de responsabilidade do Vendedor que as ativou e das próprias plataformas.

6. Como protegemos os dados

• Conexões criptografadas e dados sensíveis, como chaves Pix, cifrados no banco.
• Isolamento dos dados de cada conta no banco de dados.
• Autenticação em dois fatores para Vendedores e equipe interna, com nova confirmação em ações sensíveis.
• Senhas guardadas apenas como hash, com algoritmo resistente a ataques.
• Registros de acesso, trilha de auditoria e aprovação por duas pessoas em operações internas críticas.
• Logs com dados pessoais mascarados ou pseudonimizados.

7. Por quanto tempo guardamos

• Dados de conta e de transações são mantidos enquanto a conta estiver ativa e, depois do encerramento, pelos prazos exigidos pelas normas fiscais, contábeis, do Banco Central e de prevenção à lavagem de dinheiro.
• Registros de transações e do livro-razão não são apagados, porque compõem a contabilidade e a conciliação. Quando a lei permitir, os dados pessoais ligados a eles são anonimizados.
• Dados do Ambiente de Testes podem ser apagados após 90 dias.
• Evidências de disputas ficam guardadas pelo tempo necessário para a defesa de direitos.

Terminados esses prazos, os dados são eliminados ou anonimizados, salvo autorização legal para mantê-los.

8. Seus direitos

Pela LGPD, você pode pedir à Korbit, a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• portabilidade dos dados a outro fornecedor;
• informação sobre com quem compartilhamos seus dados;
• retirada do consentimento, quando ele for a base do tratamento;
• revisão de decisões tomadas apenas com base em tratamento automatizado.

Os pedidos devem ser enviados ao encarregado de dados pelo contato do item 9. Podemos pedir informações para confirmar sua identidade antes de atender. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Encarregado de dados

• Encarregado: Gabriel da Silva Alves
• E-mail: gabriel@korbit.com.br
• Suporte pelo WhatsApp: +55 51 99916-5759
• Contato geral: contato@korbit.com.br

10. Alterações desta política

Esta política pode mudar para refletir novos recursos, fornecedores ou exigências legais. A versão vigente fica sempre nesta página, com a data da última atualização, e mudanças relevantes serão avisadas aos Vendedores ativos por e-mail ou pelo painel.