Política de Privacidade do ControlMarket
Atualizada em 22 de outubro de 2026. Este texto é revisto periodicamente.
1. Quem somos e quais são os papéis
O ControlMarket, sob responsabilidade de Bruno Peres, é uma plataforma de gestão de mercados. Nesta política, explicamos como os dados são usados na plataforma e como pedir informações ou exercer direitos.
O mercado cliente é o controlador dos dados de seus consumidores: decide as finalidades e as bases legais do tratamento. O ControlMarket atua como operador desses dados, conforme as instruções do mercado. O ControlMarket é controlador dos dados de seus próprios usuários e da contratação e cobrança da plataforma.
Esta política complementa as informações fornecidas pelo mercado. O Termo de Operador descreve as responsabilidades entre o mercado e o ControlMarket.
2. Encarregado e canal de contato
Encarregado pelo tratamento de dados pessoais: Bruno Peres. Para privacidade, direitos dos titulares e suporte: brunoinfoperes@gmail.com.
Para dados de compras, reconhecimento facial e ocorrências, procure primeiro o mercado onde você foi atendido. Se não souber a quem recorrer, escreva ao encarregado e informe qual é o mercado. Pediremos apenas as informações necessárias para localizar o pedido e confirmar sua identidade, evitando entregar dados a outra pessoa.
3. Quais dados tratamos
Os dados disponíveis dependem das funções e integrações utilizadas por cada mercado. O reconhecimento facial é realizado pelo FaceGate. O ControlMarket recebe os registros dessa integração e guarda referências às fotos para exibição, sem copiar os arquivos de imagem para seu banco de dados.
| Categoria | Dados tratados | Origem e uso |
|---|---|---|
| Usuários da plataforma | Nome, nome de usuário, e-mail, telefone, senha em forma de hash, cargo, permissões e vínculo com a empresa | Cadastro e administração dos acessos |
| Sessões e recuperação de senha | Hash do token, validade, IP e identificação do navegador na sessão | Autenticação, recuperação de acesso e segurança |
| Contratação e cobrança | Identificação da empresa e seus contatos, dados bancários informados no perfil, plano, assinatura, faturas e pagamentos | Administração da conta e cobrança do serviço |
| Documentos da empresa | Arquivos enviados, como contrato social e comprovantes, que podem conter dados de representantes | Cadastro e gestão documental do mercado |
| Cadastro de consumidores | Nome, documento, telefone e e-mail | Cadastro feito pelo mercado e operação de vendas |
| Compras e pagamentos no mercado | CPF, nome do consumidor, nome do titular do cartão, bandeira, forma de pagamento, itens, valores e identificação do cupom | Vendas cadastradas e integrações com TouchPay ou PDV Legal |
| Reconhecimento facial e presença | Nome, identificador de cadastro, referência à foto, loja, dispositivo, horário e resultado do acesso | Integração com FaceGate para acompanhamento de acessos |
| Perfil de relacionamento | Telefone vinculado pelo mercado, visitas, compras e gasto estimado, entradas sem compra atribuída, indicação de funcionário e vínculo entre presença e venda | Gestão de clientes, conciliação e segmentação de campanhas |
| Ocorrências e lista de bloqueio | Tipo, gravidade, relato, data, autor, vínculos com venda ou acesso, estado e responsável pela revisão, notas, canal e histórico de contestações, motivo do bloqueio e pontuação de risco | Registro e revisão humana para segurança |
| Campanhas e notificações | Telefone do destinatário, segmento, mensagem, resultado do envio, endereço e chaves da inscrição de push | Comunicação pelo mercado e avisos aos usuários inscritos |
| Auditoria | Autor, empresa, ação, recurso, data, IP, navegador e alterações registradas | Rastreabilidade das operações; novos registros mascaram CPF, telefone, e-mail e documento pelo nome do campo em qualquer nível das alterações; padrões de CPF, telefone e e-mail são mascarados somente em texto livre, incluindo notas e contestações; os nomes são preservados para identificar de quem é o registro alterado; credenciais e campos bancários sensíveis também recebem máscara; identificadores técnicos são preservados |
| Supressão de reimportação | Resumo criptográfico da chave da pessoa, identificador externo quando disponível, empresa, data, responsável e motivo do pedido | Impedir a recriação do cadastro após exclusão |
| Credenciais de integração | Credenciais e tokens dos serviços conectados pelo mercado | Conexão com os provedores contratados |
4. Finalidades e bases legais
As bases abaixo distinguem as operações do ControlMarket das decisões que cabem ao mercado. A existência de uma funcionalidade não autoriza seu uso para qualquer finalidade.
| Finalidade | Responsável pela base legal | Base aplicável |
|---|---|---|
| Criar e administrar contas, acesso e suporte da plataforma | ControlMarket | Execução de contrato ou procedimentos relacionados, art. 7º, V |
| Administrar assinatura, cobrança e registros exigidos por lei | ControlMarket | Execução de contrato, art. 7º, V; obrigação legal ou regulatória, art. 7º, II, quando aplicável |
| Proteger contas e investigar uso indevido com sessões e auditoria | ControlMarket, nos dados sob seu controle | Legítimo interesse, art. 7º, IX, limitado ao necessário e com avaliação dos direitos dos titulares; exercício regular de direitos, art. 7º, VI, quando aplicável |
| Registrar vendas, clientes, pagamentos e documentos do mercado | Mercado | Execução de contrato, obrigação legal ou exercício regular de direitos, conforme o caso, arts. 7º, V, II e VI; o mercado define e informa a base |
| Identificação e autenticação por biometria para segurança e prevenção à fraude | Mercado | O mercado define e documenta a base do art. 11. A hipótese típica é o art. 11, II, g, nos limites de identificação e autenticação, respeitados os direitos do titular |
| Relacionar presença e compras, gerir clientes e avaliar ocorrências | Mercado | O mercado deve avaliar necessidade, proporcionalidade e base de cada uso; quando houver dados biométricos, deve existir hipótese adequada do art. 11 |
| Enviar campanhas de WhatsApp | Mercado | O mercado define e demonstra a base adequada, inclusive para eventual uso de dado sensível. A finalidade de segurança não autoriza por si só o uso da biometria para marketing |
| Enviar notificações push solicitadas pelo usuário | Mercado, quanto ao conteúdo; ControlMarket, quanto à operação da plataforma | Consentimento para a inscrição opcional, art. 7º, I; execução do serviço para avisos operacionais, art. 7º, V, conforme o conteúdo |
| Atender pedidos de titulares e responder a autoridades | Cada controlador, em seu âmbito | Cumprimento de obrigação legal e exercício regular de direitos, arts. 7º, II e VI |
As campanhas são enviadas pelo mercado, pelo canal de WhatsApp configurado para ele. Os destinatários são consumidores do cadastro associado ao reconhecimento facial que tenham telefone vinculado e pertençam ao segmento escolhido, como novos, recorrentes ou clientes que deixaram de comprar. A segmentação usa o histórico de visitas e compras. O sistema não exige um registro de consentimento para disparar essas campanhas. Cabe ao mercado verificar a base legal antes do envio, informar o consumidor e atender pedidos para deixar de receber mensagens, impedindo novos envios a quem se opuser quando cabível.
5. Compartilhamento e transferências internacionais
O acesso interno segue as permissões efetivas da empresa. Ocorrências e pontuação de risco exigem a permissão occurrences.manage, concedida por padrão ao administrador da empresa e ao gerente. As ferramentas de privacidade exigem privacy.manage, concedida por padrão apenas ao administrador da empresa. Cargos personalizados e permissões individuais podem alterar essas concessões; o superadministrador da plataforma também pode acessá-las no suporte. O papel Somente leitura, por padrão, não acessa rostos, presença nem ocorrências. A leitura da auditoria da empresa exige simultaneamente permissão de auditoria e de acesso à presença, pois a trilha antiga pode conter esses dados; registros ligados a ocorrências exigem também a permissão de ocorrências. Alertas de segurança enviados fora do aplicativo, por WhatsApp ou push, usam mensagem genérica, sem nome, telefone ou foto do consumidor.
As integrações utilizadas pelo mercado e os serviços de infraestrutura podem tratar dados fora do Brasil. Países e entidades de hospedagem de todos os provedores não estão identificados nesta política. Não afirmamos que todos os dados permaneçam no Brasil.
| Serviço | Dados e finalidade | Localização ou transferência conhecida |
|---|---|---|
| FaceGate e Microsoft Azure Blob | Reconhecimento facial, presença e fotos acessadas pela integração | Fotos no Azure Blob; país do armazenamento não confirmado |
| PDV Legal e AWS S3 | Importação de vendas e informações de pagamento | S3 na região us-east-2, Estados Unidos |
| TouchPay e AWS Cognito | Integração de vendas e autenticação do provedor | Pode envolver infraestrutura internacional; país não confirmado |
| WAHA e WhatsApp/Meta | Telefone e conteúdo de campanhas do mercado; avisos operacionais | WhatsApp/Meta pode tratar dados no exterior; WAHA conecta o canal configurado para o mercado |
| Mercado Pago | Cobrança da plataforma; dos dados pessoais do pagador, enviamos somente o e-mail do assinante, além de valor e referências da cobrança | Infraestrutura do provedor, com possibilidade de tratamento internacional |
| Serviços de push Google e Mozilla | Endereço da inscrição, chaves e conteúdo da notificação, conforme o navegador | Infraestrutura dos serviços de push, com possibilidade de tratamento internacional |
| Provedor de e-mail SMTP configurado | E-mail do destinatário e conteúdo, como recuperação de senha | Provedor configurável; nome e país não identificados nesta política |
| Servidor contratado pelo ControlMarket | Hospedagem do aplicativo, banco e documentos enviados | País não confirmado nesta política |
| Google Drive | Na rotina operacional do servidor, cópia de segurança criptografada antes do envio | Armazenamento externo, com possibilidade de transferência internacional |
| Anthropic, OpenAI e Google Gemini | Quando a função de IA está habilitada, números agregados e descrições de produtos para redigir análises e sugerir correspondências de produtos | Infraestrutura dos provedores, com possibilidade de tratamento internacional |
A regra para as funções de IA é enviar somente números agregados e descrições de produtos, nunca nomes de pessoas, CPF, telefone ou rosto. O mercado deve manter dados pessoais fora das descrições de produtos.
O ControlMarket deve documentar o mecanismo aplicável a cada transferência internacional, nos termos do art. 33 da LGPD e da Resolução CD/ANPD nº 19/2024. A lista de provedores não equivale à comprovação de uma garantia contratual de transferência. Informações sobre os mecanismos e os destinatários podem ser solicitadas ao encarregado.
6. Por quanto tempo guardamos
| Dados | Prazo ou critério |
|---|---|
| Eventos de entrada, reconhecimento facial e presença | O expurgo remove eventos com mais de 180 dias por padrão; o prazo é configurável de 30 a 730 dias por mercado. Eventos exatamente no limite são preservados até ultrapassá-lo |
| Resumo por pessoa, como visitas e gasto estimado | Enquanto o mercado mantiver o cadastro do consumidor; apagar eventos não apaga automaticamente esse resumo |
| Sessões | Validade de 1 dia, ou 60 dias ao escolher lembrar do acesso; registros são eliminados pelo expurgo mais de 30 dias após a expiração |
| Tokens de recuperação de senha | Validade de 1 hora, uso único; registros são eliminados pelo expurgo mais de 7 dias após o uso ou, se não usados, mais de 7 dias após a expiração |
| Auditoria | Trilha mantida para rastreabilidade, sem prazo automático de exclusão definido; novos registros mascaram CPF, telefone, e-mail e documento pelo nome do campo em qualquer nível das alterações. Os padrões de CPF, telefone e e-mail são mascarados somente em texto livre, incluindo notas e contestações. Os nomes são preservados para identificar de quem é o registro alterado. Credenciais e campos bancários sensíveis também recebem máscara. Identificadores técnicos são preservados. Registros antigos não são automaticamente reescritos |
| Supressões de reimportação | Mantidas para impedir recriação do cadastro excluído, sem prazo automático de exclusão |
| Cadastro, vendas, documentos, ocorrências, bloqueios, campanhas e registros de cobrança | Não há prazo automático único de exclusão. O controlador avalia necessidade, finalidade, obrigações legais e pedidos dos titulares |
| Cópia de segurança local no servidor | Na rotina operacional do servidor, criptografada com age antes do armazenamento, retenção de 14 dias |
| Cópia de segurança fora do servidor, no Google Drive | Na rotina operacional do servidor, criptografada com age antes do envio, retenção de 30 dias |
As cópias de segurança descritas acima seguem a rotina operacional do servidor, que não faz parte deste repositório. O operador deve executar diariamente a rotina de expurgo. A limpeza preserva os totais agregados de visitas e impede a reimportação dos eventos já expurgados, inclusive se o prazo for ampliado depois.
Quem tem a permissão de privacidade dispõe de exportação por pessoa, restrita à empresa. O arquivo contém cadastro, eventos, vínculos ativos com vendas, vendas manuais do cadastro, bloqueios e ocorrências em todos os estados, incluindo revisão, notas, responsáveis, datas, canal e histórico de contestações. Não contém arquivos, URLs ou caminhos de fotos. Cupons do PDV só são incluídos quando há atribuição ativa e CPF correspondente ao cadastro explicitamente vinculado; nome ou proximidade de horários não bastam. Vínculos com identidade não comprovada são informados sem exportar os cupons correspondentes.
A exclusão remove o cadastro facial local, eventos, todos os vínculos de conciliação, bloqueios e linhas completas de ocorrências, incluindo revisões e contestações. Anonimiza nome, documento, telefone e e-mail dos cadastros de cliente vinculados. Nas transações do PDV com vínculo ativo e CPF correspondente, remove nome, CPF e titular do cartão e impede a restauração desses campos por nova sincronização. Preserva vendas, itens, pagamentos e valores financeiros, cupons sem identidade comprovada, campanhas e auditoria antiga. Não há busca textual para apagar nomes eventualmente inseridos nesses outros registros. Para impedir a reimportação facial, mantém uma supressão com resumo criptográfico da chave da pessoa e identificador externo quando disponível. As ferramentas atuam no ControlMarket; fotos e dados nos sistemas de origem, bem como mensagens já entregues, exigem atendimento pelo respectivo responsável.
Encerrar ou usar a opção de excluir empresa no aplicativo arquiva a empresa e mantém seus dados. A exportação ao final do contrato é feita mediante solicitação. A eliminação dos dados é executada pelo operador, em até 30 dias após o pedido do mercado, ressalvadas retenções legalmente necessárias que deverão ser informadas. Não é uma exclusão automática pelo botão do aplicativo. Na rotina operacional do servidor, cópias de segurança são descartadas no ciclo de retenção indicado acima, sem apagamento seletivo imediato de cada pessoa dentro delas.
7. Medidas de segurança
As senhas usam hash Argon2id. O token de sessão e o de recuperação de senha são armazenados em forma de hash. O cookie de sessão é httpOnly, com SameSite=Lax e Secure em produção. As conexões de produção usam HTTPS com TLS 1.2 ou 1.3. O isolamento entre empresas usa RLS e controles de permissão; contas e sessões têm escopo verificado no aplicativo. Credenciais de integração são criptografadas com AES-256-GCM. Na rotina operacional do servidor, que não faz parte deste repositório, backups diários são criptografados com age antes do armazenamento local e do envio ao Google Drive.
Em um incidente que afete dados do mercado, o ControlMarket comunica o controlador sem demora indevida, com meta de até 48 horas após tomar conhecimento, e coopera com a apuração. Esse prazo não suspende nem amplia o prazo do controlador: em regra, 3 dias úteis desde que saiba que o incidente afetou dados pessoais, para comunicar à ANPD e aos titulares quando houver risco ou dano relevante, conforme a Resolução CD/ANPD nº 15/2024. Nas operações em que é controlador, o ControlMarket assume essa avaliação e comunicação.
8. Direitos do titular e como pedir
Nos termos do art. 18, você pode pedir confirmação do tratamento, acesso, correção de dados incompletos ou incorretos, anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados irregularmente, portabilidade conforme a regulamentação, eliminação de dados tratados com consentimento nas hipóteses legais, informações sobre compartilhamento, informações sobre a possibilidade de não consentir e suas consequências, e revogação do consentimento. Também pode se opor ao tratamento realizado em descumprimento da LGPD e apresentar reclamação à ANPD.
Para dados da sua conta na plataforma, escreva a brunoinfoperes@gmail.com. Para dados de consumidor, encaminhe ao mercado ou use esse mesmo canal para ajudar a localizar o controlador. Informe o pedido e sua relação com a conta ou mercado, sem enviar senha. O atendimento é gratuito. A confirmação ou acesso simplificado é fornecido imediatamente quando possível; a declaração completa é fornecida em até 15 dias do requerimento, nos termos do art. 19. Adotamos também 15 dias como prazo de resposta aos demais pedidos, indicando providências, eventual impedimento legal ou encaminhamento ao controlador responsável.
9. Pontuação de risco, revisão humana e contestação
O sistema calcula uma pontuação a partir da gravidade e da idade das ocorrências registradas pela gerência. Ocorrências mais graves pesam mais e seu peso diminui com o tempo. O resultado indica necessidade de atenção; não prova fraude, furto ou culpa. A associação entre presença e venda é uma estimativa e pode conter erros, inclusive entre pessoas com o mesmo nome.
Uma ocorrência nasce pendente e precisa de revisão e confirmação humana antes de entrar na pontuação. O acesso segue a permissão de ocorrências descrita na seção 5. Havendo mais de um gestor ativo com essa permissão, a confirmação exige outro gestor; se houver apenas um, exige justificativa. Qualquer ação que afete uma pessoa exige avaliação humana prévia, sem bloqueio automático baseado apenas nessa pontuação.
Você pode pedir ao mercado a explicação dos critérios e a revisão de dados, vínculos, ocorrências ou pontuação, conforme o art. 20. Ao receber contestação, o mercado deve marcar a ocorrência como contestada; ela deixa de contar imediatamente até nova confirmação humana. Ocorrências pendentes e descartadas também não contam. As contestações e os desfechos anteriores permanecem no histórico da ocorrência até sua exclusão pelo atendimento de privacidade. Se precisar de ajuda com o canal, procure o encarregado. O mercado deve verificar a identidade e os fatos antes de tomar qualquer medida.
10. Cookies
Utilizamos somente o cookie de sessão cm_session, necessário para manter o acesso autenticado e protegido por httpOnly. Sem a opção de lembrar do acesso, ele é um cookie de sessão do navegador; com essa opção, pode permanecer por até 60 dias. Não usamos cookies de publicidade ou de análise de navegação. As páginas públicas desta política e do termo podem ser lidas sem login.
11. Alterações desta política
Este texto é revisto periodicamente e pode mudar para refletir alterações do serviço ou das obrigações aplicáveis. A versão disponível em /privacidade informa a data da atualização. Consulte-a novamente ao usar novas funções e fale com o encarregado em caso de dúvida.