Políticas / Privacidade
Política de Privacidade
1. Quem somos e a quem esta política se aplica
A [RAZÃO SOCIAL] ("Lastro"), CNPJ [00.000.000/0001-00], com sede em [ENDEREÇO], é um gateway de pagamentos. Habilitamos lojistas ("sellers") a receber por Pix, cartão e boleto por meio de instituições de pagamento e financeiras parceiras autorizadas pelo Banco Central. A Lastro não é emissora de cartão nem liquida transações como credora perante o emissor.
Esta política explica quais dados pessoais tratamos, por quê, com quem compartilhamos, por quanto tempo guardamos e como você exerce seus direitos, conforme a Lei 13.709/2018 (LGPD). Ela vale para três grupos:
- Sellers e seus representantes: quem abre conta na Lastro para vender.
- Compradores: quem paga um seller pelo checkout da Lastro.
- Visitantes: quem navega no site, na central de ajuda ou nas páginas de verificação do Código LST.
Nosso papel. Somos controladores dos dados de sellers, visitantes e dos dados de compradores que usamos para prevenção a fraudes, defesa de contestações e obrigações legais. Quando tratamos dados do comprador apenas para executar a venda do seller, atuamos também em nome do seller. O seller é responsável pelos dados que coleta fora da Lastro, como em sua própria loja ou área de membros.
2. Dados que coletamos
| Grupo | Dados | Como coletamos |
|---|---|---|
| Seller pessoa física | Nome, CPF, documento de identidade, data de nascimento, endereço, e-mail, telefone, selfie ou prova de vida, dados bancários | Cadastro e verificação de identidade |
| Seller pessoa jurídica | Razão social, CNPJ, contrato social, endereço, dados bancários; nome, CPF e documentos de sócios e representantes | Cadastro e verificação de empresa |
| Operação do seller | Produtos, links de venda, volume, histórico de transações, MED e chargeback | Uso da plataforma |
| Comprador | Nome, CPF, e-mail, telefone, endereço de entrega quando houver, dados da transação | Checkout |
| Comprador — segurança | Endereço IP, dispositivo, navegador, data e hora da compra, geolocalização aproximada | Checkout, automaticamente |
| Comprador — prova de entrega | Registros de acesso ou rastreio enviados pelo seller ou por integrações | Integrações do seller |
| Visitante | IP, páginas acessadas, data e hora, cookies | Site e central de ajuda |
| Fontes públicas e parceiros | Dados cadastrais da Receita Federal, listas restritivas, sanções, processos e pessoas politicamente expostas | Fornecedores de verificação |
Dados de cartão. O número do cartão é digitado em ambiente do parceiro de pagamento certificado no padrão PCI-DSS e transformado em um token. A Lastro não armazena o número completo do cartão nem o código de segurança.
Dados sensíveis. A selfie ou prova de vida é um dado biométrico. Usamos apenas para confirmar a identidade do seller e prevenir fraude.
3. Para que usamos os dados
Cada uso tem uma base legal da LGPD. Não vendemos dados pessoais.
| Finalidade | Dados usados | Base legal (LGPD) |
|---|---|---|
| Abrir e manter a conta do seller, processar vendas, repasses e saques | Cadastro, bancários, transações | Execução de contrato (art. 7º, V) |
| Verificar identidade (KYC/KYB) e prevenir lavagem de dinheiro | Cadastro, documentos, fontes públicas e listas restritivas | Obrigação legal (art. 7º, II) |
| Confirmar identidade por biometria | Selfie ou prova de vida | Prevenção à fraude e segurança do titular (art. 11, II, g) |
| Prevenir fraudes no checkout | IP, dispositivo, CPF, dados da transação | Legítimo interesse (art. 7º, IX) e proteção do crédito (art. 7º, X) |
| Defender contestações (MED, chargeback) | Dados da compra, IP, dispositivo, prova de entrega, histórico de contato | Exercício regular de direitos (art. 7º, VI) |
| Gerar e exibir o Código LST | Dados da transação, com exibição mascarada | Execução de contrato e legítimo interesse |
| Atender solicitações e suporte | Contato e histórico de atendimento | Execução de contrato |
| Cumprir ordens judiciais e pedidos de autoridades | O que for requisitado | Obrigação legal |
| Enviar comunicações de marketing | E-mail e telefone | Consentimento (art. 7º, I), revogável a qualquer momento |
| Melhorar o produto e gerar estatísticas | Dados de uso, preferencialmente anonimizados | Legítimo interesse |
Código LST. A página de verificação mostra apenas o necessário para confirmar o pagamento: situação, valor, data, forma de pagamento e a loja. Nenhum dado do comprador é exibido publicamente.
Defesa de MED e chargeback. Quando uma transação é contestada, reunimos as evidências da venda e as enviamos somente ao parceiro de pagamento que analisa o caso.
4. Com quem compartilhamos
Compartilhamos apenas o necessário para cada finalidade, com contratos que obrigam o parceiro a proteger os dados.
| Destinatário | Para quê |
|---|---|
| Instituições de pagamento e financeiras parceiras: [PARCEIRO DE PAGAMENTO] | Processar e liquidar transações, analisar MED e chargeback |
| Fornecedores de verificação de identidade e antifraude: [FORNECEDOR KYC], [ANTIFRAUDE] | KYC, biometria, listas restritivas, análise de risco |
| Provedores de nuvem e infraestrutura: [PROVEDOR] | Hospedagem e armazenamento seguro |
| Ferramentas de atendimento e comunicação | Suporte e envio de e-mails transacionais |
| Seller | Dados do comprador necessários para entregar o produto e atender o cliente |
| Autoridades públicas e Poder Judiciário | Cumprimento de lei, regulação ou ordem judicial |
Não vendemos nem alugamos dados pessoais, e não compartilhamos dados para publicidade de terceiros.
Transferência internacional. Alguns fornecedores podem armazenar dados fora do Brasil. Nesses casos, a transferência segue o art. 33 da LGPD, por meio de cláusulas contratuais padrão ou outro mecanismo previsto em lei, e o fornecedor precisa oferecer proteção equivalente à exigida no Brasil. A lista de fornecedores e países fica disponível mediante solicitação ao encarregado.
5. Por quanto tempo guardamos
Guardamos cada dado pelo prazo que a lei exige ou que a finalidade precisa. Depois disso, ele é eliminado ou anonimizado.
| Dado | Prazo | Fundamento |
|---|---|---|
| Cadastro e documentos de KYC do seller | 5 anos após o encerramento da conta | Lei 9.613/1998, art. 10 |
| Registros de transações | 5 anos após a transação | Lei 9.613/1998, art. 10, e obrigações fiscais |
| Registros de acesso à plataforma (IP, data e hora) | Mínimo de 6 meses | Marco Civil da Internet, art. 15 |
| Evidências de MED e chargeback | Até o fim dos prazos de contestação e de eventual processo | Exercício regular de direitos |
| Biometria (selfie ou prova de vida) | Enquanto a conta estiver ativa e o prazo legal de KYC | Prevenção à fraude |
| Dados de marketing | Até a revogação do consentimento | Consentimento |
Se você pedir a exclusão dos seus dados, eliminamos tudo que não precisar ser mantido por um dos fundamentos acima e informamos o que ficou retido e por quê.
6. Segurança, seus direitos e contato
Segurança. Usamos criptografia em trânsito e em repouso, tokenização de cartão, controle de acesso por função com registro de quem acessou o quê, autenticação em dois fatores para a equipe e monitoramento contínuo. Fazemos testes de segurança periódicos. Se ocorrer um incidente que possa gerar risco ou dano relevante, comunicamos os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD), como exige a LGPD.
Seus direitos (art. 18 da LGPD). Você pode, a qualquer momento:
- Confirmar se tratamos seus dados e acessá-los
- Corrigir dados incompletos ou desatualizados
- Pedir anonimização, bloqueio ou eliminação de dados desnecessários
- Pedir a portabilidade dos seus dados
- Saber com quem compartilhamos seus dados
- Revogar o consentimento, quando ele for a base legal
- Se opor a um tratamento feito com base em legítimo interesse
- Pedir revisão de decisões tomadas apenas de forma automatizada, como a recusa de cadastro por análise de risco
Para exercer qualquer direito, escreva para o encarregado. Respondemos em até 15 dias. Alguns dados podem ser mantidos mesmo após o pedido, nas hipóteses da seção 5.
Cookies. Usamos cookies essenciais para o funcionamento do site e do checkout, e cookies de análise e marketing apenas com sua autorização no banner de cookies, que pode ser alterada a qualquer momento.
Encarregado (DPO). [NOME DO ENCARREGADO] — privacidade@lastropay.net.br. Você também pode reclamar à ANPD.
Alterações. Quando esta política mudar de forma relevante, avisaremos por e-mail ou no painel antes de a mudança valer. A versão vigente e o histórico de versões ficam publicados nesta página.
Última atualização: [DATA].