Política de Privacidade do Cliente
Bem-vindo ao Obraki! A sua privacidade é uma prioridade para nós.
Esta Política de Privacidade explica, de forma clara, como a OBRAKI TECNOLOGIA LTDA, CNPJ 63.662.835/0001-27, com sede em Igarapé/MG ("Obraki", "nós") coleta, usa, compartilha e protege os seus dados pessoais quando você usa nosso aplicativo ou site para comprar materiais de construção.
Esta Política se aplica a qualquer pessoa que acesse nossos sites e aplicativos (incluindo obraki.com, obrakiapp.com.br e app.obrakiapp.com.br), com ou sem cadastro, bem como aos Clientes cadastrados que utilizam o Obraki para comprar materiais de construção. Para Lojistas, consulte a Política de Privacidade do Lojista disponível em painel.obraki.com.
Para dúvidas, fale com nosso Encarregado de Dados: privacidade@obraki.com
1. Quem Somos e o Que Fazemos com Seus Dados
O Obraki é um marketplace de materiais de construção. Somos uma plataforma intermediadora que conecta você a lojistas independentes. Não vendemos produtos diretamente — nosso papel é fornecer a tecnologia para que a compra aconteça com segurança.
Para isso, precisamos tratar alguns dados seus. Prometemos fazer isso com respeito, transparência e dentro dos limites da Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018).
2. Quais Dados Coletamos e Por Quê
2.1. Dados que você nos fornece diretamente
| Dado | Para que usamos |
|---|---|
| Nome completo | Identificação, cadastro, emissão de NF-e |
| CPF ou CNPJ | Identificação fiscal, prevenção a fraudes |
| Acesso à conta, comunicações transacionais | |
| Telefone/celular | Verificação de identidade (SMS), comunicações |
| Endereço (CEP, logradouro, número) | Cálculo de frete, entrega, lojas próximas |
| Data de nascimento | Verificação de maioridade |
| Dados de pagamento | Processamento da compra |
Dados completos de cartão de crédito não são armazenados pelo Obraki — são processados diretamente pelo gateway Asaas, conforme Seção 7.2.
2.2. Dados coletados automaticamente quando você usa o app
| Dado | Para que usamos |
|---|---|
| Histórico de buscas e cliques | Melhorar a experiência, recomendações, análise de demanda por produtos |
| Histórico de pedidos e compras | Execução do serviço, recomendações |
| Categorias e produtos visualizados | Personalização da experiência |
| Dados do dispositivo (modelo, SO, versão do app) | Segurança, suporte técnico |
| Endereço IP e logs de acesso | Segurança, cumprimento legal (Marco Civil) |
| Dados Técnicos de Transação (Endereço IP e User-Agent coletados no momento do checkout) | Prevenção à fraude, segurança das transações financeiras e defesa em contestações (chargeback) |
| Identificador de publicidade (AAID/Android; no iOS não utilizamos IDFA) | Publicidade personalizada — somente com seu consentimento (Android e web) |
| Token de push notification (FCM) | Envio de notificações (transacionais e, com consentimento, promocionais) |
| Localização aproximada (via CEP informado) | Sugerir lojas próximas, calcular frete |
| Localização precisa do dispositivo (GPS), apenas quando você ativa "Usar minha localização atual" | Preencher automaticamente seu endereço de entrega e sugerir lojas próximas; coletada somente com sua permissão e apenas em primeiro plano (com o app aberto), de forma opcional — você pode recusar e informar o endereço manualmente |
| Eventos de comportamento no app (busca realizada, produto visualizado, loja visualizada, checkout iniciado), tipo de dispositivo e cidade aproximada. Quando você está logado, esses eventos podem ser associados à sua conta. | Análise de relevância e de demanda por produtos, melhoria do catálogo e da experiência, detecção de falhas e melhoria contínua da plataforma |
2.3. Dados de suporte e disputas
Quando você abre um chamado de suporte ou uma disputa, coletamos as informações fornecidas (fotos, mensagens, comprovantes) para resolver o problema e documentar a resolução.
3. Bases Legais para o Tratamento
A LGPD exige que todo tratamento de dados pessoais tenha uma base legal. Abaixo explicamos qual base usamos para cada finalidade:
| O que fazemos | Base Legal (LGPD) |
|---|---|
| Criar e manter sua conta | Execução de contrato (Art. 7º, V) |
| Processar pedidos e pagamentos | Execução de contrato (Art. 7º, V) |
| Calcular frete e organizar entregas | Execução de contrato (Art. 7º, V) |
| Emitir NF-e (compartilhar dados com lojista) | Obrigação legal (Art. 7º, II) |
| Guardar logs de acesso por 6 meses | Obrigação legal — Marco Civil (Art. 7º, II) |
| Guardar dados fiscais e transacionais por 5 anos | Obrigação legal — legislação fiscal (Art. 7º, II) |
| Prevenir fraudes e garantir segurança no checkout (coleta de Endereço IP e User-Agent) | Legítimo interesse (Art. 7º, IX) |
| Prevenir fraudes gerais na plataforma | Legítimo interesse (Art. 7º, IX) |
| Sugerir lojas próximas ao seu CEP | Legítimo interesse (Art. 7º, IX) |
| Acessar a localização precisa do dispositivo quando você ativa "Usar minha localização atual" | Consentimento (Art. 7º, I) |
| Recomendações básicas de produtos com base em compras | Legítimo interesse (Art. 7º, IX) |
| Associar seu histórico de buscas à sua conta para analisar a demanda por produtos e melhorar nosso catálogo (uso interno) | Legítimo interesse (Art. 7º, IX) — com direito de oposição (Seções 4 e 11) |
| Notificações transacionais (status do pedido, segurança) | Execução de contrato + legítimo interesse |
| Consulta a birôs de crédito (quando aplicável) | Proteção ao crédito (Art. 7º, X) |
| Exercer direitos em processos judiciais | Exercício regular de direitos (Art. 7º, VI) |
| Análise de comportamento para Retail Media e patrocinados | Consentimento (Art. 7º, I) |
| Remarketing (Google) — Android e web | Consentimento (Art. 7º, I) |
| Notificações e comunicações promocionais (ofertas, cupons) — todas as plataformas (e-mail, WhatsApp, push) | Consentimento (Art. 7º, I) |
| Perfil de preferências para publicidade direcionada — Android e web | Consentimento (Art. 7º, I) |
4. Consentimento Granular — Suas Escolhas
Separamos o tratamento dos seus dados em camadas independentes. Você pode aceitar ou recusar cada camada sem perder o acesso ao serviço essencial da Plataforma.
Camada 1 — Serviço Essencial (obrigatório)
Inclui: criação de conta, pedidos, pagamentos, entrega, NF-e, segurança, suporte e comunicações transacionais. Sem esses dados, não conseguimos prestar o serviço. Esta camada não é opcional.
Camada 2 — Personalização e Recomendações (opcional)
Inclui: uso do histórico de compras e navegação para recomendar produtos, sugerir categorias relevantes e personalizar a experiência dentro do app. Você pode recusar esta camada e ainda usar o app normalmente — verá produtos sem personalização.
Comunicações de Marketing (opcional — todas as plataformas, incluindo iOS)
Inclui: envio de promoções, ofertas e cupons por e-mail, WhatsApp e notificações push. Essas mensagens são enviadas diretamente pelo Obraki aos seus próprios clientes, mediante consentimento específico, e estão disponíveis em todas as plataformas (Android, iOS e web). Não envolvem compartilhamento de dados com Meta, Google ou qualquer rede de publicidade de terceiros, nem rastreamento entre aplicativos. Você pode recusar ou revogar este consentimento a qualquer momento em Configurações → Privacidade, sem perder o acesso ao serviço essencial. As notificações transacionais (status do pedido, segurança) continuam sendo enviadas independentemente desta escolha.
Camada 3 — Publicidade, Patrocinados e Remarketing (opcional — disponível apenas no Android e na web)
Inclui: exibição de produtos e lojistas patrocinados baseados no seu perfil, compartilhamento de dados com o Google Ads para remarketing, e uso do identificador de publicidade do dispositivo (AAID, no Android). Esta camada não se aplica ao app iOS, onde não há publicidade personalizada, remarketing nem uso de IDFA. Você pode recusar esta camada e ainda usar o app normalmente — verá produtos em ordem padrão, sem patrocinados personalizados. As comunicações de marketing (promoções e cupons) são controladas separadamente — veja "Comunicações de Marketing" acima.
Uso do seu histórico de buscas para análise de demanda
Para entender quais produtos os clientes procuram (inclusive itens que ainda não oferecemos) e melhorar nosso catálogo, podemos associar suas buscas à sua conta para análise interna, com base no legítimo interesse. Você pode se opor a esse uso a qualquer momento em Configurações → Privacidade, ou pelo e-mail privacidade@obraki.com — isso não afeta o funcionamento do app.
Como gerenciar suas preferências
Acesse Configurações → Privacidade no app para visualizar e alterar suas preferências a qualquer momento. A revogação do consentimento não afeta o tratamento realizado antes da revogação. Quando você se cadastra, registramos as camadas que aceitou, junto com data, hora e IP — isso garante a validade jurídica do seu consentimento conforme o Marco Civil da Internet.
5. Cookies e Tecnologias de Rastreamento
5.1. O que são cookies
Cookies são pequenos arquivos de texto armazenados no seu dispositivo. O Obraki, por ser um PWA (Progressive Web App), utiliza tecnologias equivalentes (armazenamento local, identificadores de sessão) com os mesmos propósitos.
5.2. Categorias e bases legais
| Categoria | Exemplos | Base legal | Opt-out? |
|---|---|---|---|
| Essenciais | Autenticação, sessão, carrinho, segurança | Execução de contrato | Não — necessários ao serviço |
| Funcionais | Preferências de interface, idioma | Legítimo interesse | Sim — via configurações |
| Analíticos | Firebase Analytics e Google Analytics (medição própria, sem cookies). O Google Tag Manager é usado apenas no Android e na web; no iOS não é carregado. | Legítimo interesse — métricas tratadas de forma agregada; quando você está logado, eventos de busca podem ser associados à sua conta para análise de demanda (ver Seções 2.2 e 3) | Sim — via configurações / oposição pelo DPO |
| Publicitários | Google Ads e AAID — somente no Android e na web. No iOS não há cookies/identificadores de publicidade. | Consentimento (Android/web) | Sim — via Camada 3 |
5.3. Identificadores de publicidade mobile
Android (AAID): O Android Advertising ID é um identificador que pode ser resetado ou desativado nas configurações do Android em Configurações → Google → Anúncios → Excluir ID de publicidade.
iOS: No app para iPhone/iPad, o Obraki não utiliza o IDFA, não exibe solicitação de rastreamento (ATT) e não rastreia usuários. Nenhum dado é usado para rastreamento publicitário em dispositivos Apple.
O serviço essencial do Obraki funciona normalmente mesmo sem esses identificadores.
6. Publicidade Personalizada e Retail Media
6.1. O que é Retail Media no Obraki
O Obraki poderá exibir produtos e lojistas patrocinados dentro do app — ou seja, resultados de busca e destaque de produtos pelos quais os lojistas pagam para aparecer de forma destacada para determinados perfis de clientes. Esses anúncios são baseados no seu histórico de compras, categorias navegadas, localização e preferências — mas somente se você consentir com a Camada 3.
6.2. Base legal e como funciona
A exibição de patrocinados personalizados é baseada em consentimento (Art. 7º, I da LGPD). Se você não consentir, poderá ver patrocinados não personalizados (baseados apenas na sua localização geral, sem profiling individual).
6.3. Decisões automatizadas e profiling (Art. 20 LGPD)
O Obraki utiliza algoritmos para ordenar resultados de busca, recomendar produtos e exibir ofertas relevantes. Esses algoritmos analisam dados de navegação, compras e localização. Você tem o direito de:
- Solicitar informações gerais sobre os critérios utilizados nos algoritmos;
- Solicitar revisão manual de decisões automatizadas que afetem seus direitos significativamente (como bloqueio de conta).
O Obraki não é obrigado a revelar detalhes técnicos dos algoritmos que constituem segredo comercial, mas sempre explicará os critérios gerais utilizados.
6.4. Opt-out de publicidade personalizada
Você pode desativar a publicidade personalizada a qualquer momento em Configurações → Privacidade → Publicidade, sem precisar encerrar sua conta. Após o opt-out:
- Você continuará usando o app normalmente;
- Notificações transacionais continuarão sendo enviadas;
- Dados de pedidos e pagamentos continuarão sendo tratados para execução do serviço.
7. Com Quem Compartilhamos Seus Dados
7.1. Lojistas
Compartilhamos nome, CPF/CNPJ e endereço com o Lojista responsável pelo pedido, estritamente para:
- Emissão da NF-e;
- Organização e envio do pedido;
- Atendimento em caso de dúvidas sobre a entrega.
A partir do recebimento desses dados, o Lojista atua como controlador independente para as finalidades acima. O Lojista é contratualmente proibido de usar seus dados para fins de marketing próprio fora da Plataforma, sem sua autorização direta. Para fins de Retail Media (patrocinados), os lojistas acessam apenas dados agregados e pseudonimizados de desempenho de suas campanhas — nunca dados pessoais identificáveis dos clientes.
7.2. Asaas (Gateway de Pagamento)
O Asaas processa os pagamentos e gerencia as subcontas dos lojistas, atuando como controlador independente para os dados financeiros sob sua responsabilidade. Compartilhamos com o Asaas os dados necessários para processar a transação (identificadores, valor, método de pagamento). Dados completos de cartão de crédito não são armazenados pelo Obraki — ficam sob responsabilidade exclusiva do Asaas e das instituições financeiras, sujeitos à política de privacidade do Asaas (disponível em central.ajuda.asaas.com).
7.3. Firebase / Google (Infraestrutura)
O Firebase e serviços Google (Firestore, Auth, Cloud Functions, FCM, Storage) atuam como operadores do Obraki, processando dados sob nossas instruções para fornecer infraestrutura de banco de dados, autenticação, armazenamento e notificações push. O Google firmou contratos de processamento de dados compatíveis com a LGPD. Os dados podem ser processados em servidores fora do Brasil (ver Seção 8).
7.4. Transportadoras e Parceiros Logísticos
Quando aplicável, compartilhamos nome, endereço e telefone com transportadoras para fins exclusivos de entrega. Estas são contratualmente proibidas de usar os dados para outras finalidades.
7.5. SerpAPI e Gemini AI
O SerpAPI é utilizado para busca de imagens de produtos no catálogo. O Gemini AI (Google) é utilizado para catalogação de produtos. Esses serviços tratam dados de produtos, não dados pessoais de clientes.
7.6. Google (Publicidade — somente com consentimento, apenas Android e web)
Somente se você consentir com a Camada 3, e apenas no Android e na versão web, poderemos compartilhar eventos de navegação e identificadores pseudonimizados com o Google Ads para campanhas de remarketing. No app iOS esse compartilhamento não ocorre. Esses compartilhamentos envolvem transferência internacional de dados (ver Seção 8) e podem ser revogados em Configurações → Privacidade → Publicidade.
7.7. Autoridades e Cumprimento Legal
Poderemos compartilhar dados com autoridades públicas, órgãos reguladores ou judiciais quando exigido por lei, por ordem judicial ou para proteger direitos do Obraki, dos lojistas ou de terceiros.
8. Transferência Internacional de Dados
Alguns dos nossos parceiros de infraestrutura e publicidade processam dados em servidores localizados fora do Brasil:
| Parceiro | País/Região | Finalidade | Salvaguarda |
|---|---|---|---|
| Firebase/Google | EUA e outros | Infraestrutura | Cláusulas contratuais padrão (DPA Google) |
| Google Ads | EUA | Publicidade — somente Android e web, com consentimento | Cláusulas contratuais padrão |
| Asaas | Brasil | Pagamentos | — |
| Nominatim/OSM | Internacional | Geocoding de CEP | Dados não pessoais (CEP apenas) |
O Obraki firmou contratos de processamento de dados com esses provedores, buscando garantir nível de proteção compatível com a LGPD, conforme Art. 33 e a Regulamentação de Transferência Internacional da ANPD.
9. Por Quanto Tempo Guardamos Seus Dados
| Categoria de Dado | Prazo de Retenção | Fundamento |
|---|---|---|
| Logs de acesso (IP, data, hora) | 6 meses mínimo | Art. 15 Marco Civil da Internet |
| Dados Técnicos de Transação (Endereço IP e User-Agent no checkout) | 6 meses (alinhado à janela de chargeback) | Legítimo interesse (prevenção à fraude) |
| Dados transacionais e fiscais | 5 anos após a transação | Legislação fiscal e tributária |
| Dados de pagamento | Conforme regras do arranjo de pagamento e prazo prescricional | Prevenção a chargebacks e disputas |
| Dados de suporte e disputas | Até o fim do prazo prescricional (5 anos) | Exercício regular de direitos |
| Dados de navegação e comportamento (analytics) | Até 3 anos, com revisão periódica | Legítimo interesse ou consentimento |
| Dados de publicidade e preferências | Enquanto o consentimento estiver ativo ou até 2 anos após inatividade | Consentimento revogável |
| Dados cadastrais | Durante a relação + 5 anos para obrigações legais | Execução de contrato e obrigação legal |
Após o encerramento da sua conta: os dados serão eliminados ou anonimizados, exceto aqueles que devem ser retidos por obrigação legal (dados fiscais, logs, documentação de disputas). A exclusão da conta não elimina obrigações financeiras pendentes.
10. Segurança dos Dados
Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo:
- Criptografia de dados em trânsito (TLS/HTTPS) e em repouso;
- Controle de acesso baseado em funções (somente quem precisa acessa os dados);
- Autenticação segura via Firebase Auth;
- Monitoramento de atividades suspeitas e prevenção a fraudes;
- Treinamento da equipe sobre proteção de dados.
Nenhum sistema é 100% seguro. Em caso de incidente de segurança que represente risco relevante aos titulares, notificaremos a ANPD no prazo de até 72 horas após a ciência do incidente, e comunicaremos os titulares afetados na forma exigida pela LGPD.
11. Seus Direitos como Titular
Nos termos do Art. 18 da LGPD, você tem os seguintes direitos em relação aos seus dados pessoais:
| Direito | Como exercer no Obraki |
|---|---|
| Confirmação e acesso — saber se tratamos seus dados e obter uma cópia | Configurações → Privacidade ou e-mail para privacidade@obraki.com |
| Correção — atualizar dados incompletos, inexatos ou desatualizados | Configurações → Minha Conta → Editar Dados |
| Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a LGPD | E-mail para privacidade@obraki.com |
| Portabilidade — receber seus dados em formato estruturado | E-mail para privacidade@obraki.com (formato CSV ou JSON) |
| Eliminação dos dados tratados com base em consentimento | Configurações → Privacidade ou e-mail para privacidade@obraki.com |
| Informação sobre compartilhamento — saber com quem compartilhamos seus dados | Esta Política, Seção 7 |
| Revogação do consentimento | Configurações → Privacidade (a qualquer momento) |
| Oposição ao legítimo interesse (inclui o uso do histórico de buscas associado à conta) | Configurações → Privacidade ou e-mail para privacidade@obraki.com |
| Opt-out de publicidade personalizada | Configurações → Privacidade → Publicidade (sem encerrar a conta) |
| Revisão de decisões automatizadas (Art. 20) | E-mail para privacidade@obraki.com |
| Informação sobre a possibilidade de não fornecer consentimento | Esta Política, Seção 4 |
Prazo de resposta: até 15 dias úteis após o recebimento da solicitação, conforme LGPD.
Eliminação com obrigação legal: quando solicitado, eliminaremos seus dados pessoais, exceto aqueles que devemos reter por obrigação legal (dados fiscais, logs de acesso, documentação de disputas judiciais).
12. Crianças e Adolescentes
O Obraki não é um serviço destinado a menores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes.
Caso identifiquemos que um menor se cadastrou sem o consentimento dos pais ou responsáveis, a conta será imediatamente bloqueada e os dados eliminados assim que possível. Pais ou responsáveis que identifiquem esse caso devem entrar em contato em privacidade@obraki.com.
Em nenhuma hipótese os dados de menores serão utilizados para fins de publicidade comportamental.
13. Alterações nesta Política
O Obraki poderá atualizar esta Política a qualquer momento. Alterações materiais — que afetem suas escolhas de consentimento, finalidades de tratamento ou seus direitos — serão comunicadas com antecedência mínima de 15 (quinze) dias via e-mail cadastrado e notificação no app.
Se as alterações implicarem novo tratamento baseado em consentimento, solicitaremos seu consentimento novamente antes de iniciar esse tratamento.
A versão atualizada desta Política ficará sempre disponível em app.obrakiapp.com.br/privacidade.
14. Contato e Encarregado de Dados (DPO)
Encarregado de Dados (DPO):
E-mail: privacidade@obraki.com
OBRAKI TECNOLOGIA LTDA
CNPJ: 63.662.835/0001-27
Rua Domingos de Souza Filho, 207, Condomínio Morada do Sol
Igarapé - MG, CEP 32.512-136
Para exercer seus direitos ou tirar dúvidas sobre esta Política, entre em contato pelo e-mail acima. Você também pode registrar reclamações diretamente junto à Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd