Política de Privacidade

1. Controlador#

O controlador dos dados é a Vrymart, Inc., corporação constituída em Delaware, EUA, administrada a partir da Argentina.

• Responsável pela privacidade: o Presidente da Vrymart, Inc., que é também a pessoa encarregada da proteção das informações pessoais para os fins da Lei 25 de Quebec e o Data Protection Officer para os fins da PDPA de Singapura.
• Contato de privacidade: privacy@vrymart.com

2. Escopo#

Explica quais dados pessoais tratamos, com que finalidade e base legal, com quem os compartilhamos, por quanto tempo os guardamos e quais direitos você tem. Aplica-se a Compradores, Partners, Afiliados e visitantes. Esta Política também serve como aviso no momento da coleta (Notice at Collection) para os fins da legislação da Califórnia.

3. Quais dados coletamos e categorias (CCPA)#

3.1. Dados que você nos fornece

• Conta: nome, e-mail, senha (criptografada/com hash), país onde você mora (para saber se pode comprar de lá), idioma e, se você se cadastrar com e-mail, data de nascimento (para verificar que você é maior de idade).
• Perfil público (Partners/Afiliados): nome público, identificador (slug), descrição, foto de perfil.
• Login federado: se você se cadastrar com o Google, recebemos seu nome, e-mail e um identificador do provedor.
• Dados de pedidos: as informações que você insere no formulário de cada Serviço ("dados de entrada"), que podem incluir textos, URLs, e-mails e arquivos que você decide enviar.
• Disputas e suporte: conteúdo das mensagens e arquivos de evidência, e os e-mails que você nos envia.
• Botão de arrependimento: o número do pedido, o e-mail e o motivo que você escreve.
• Mensagens a um Partner: se você escrever para ele pelo perfil, seu nome, seu e-mail e sua mensagem.
• Avaliações: a nota e o comentário que você publica (conteúdo público).
• Consentimento legal: data e versão dos termos que você aceitou (prova de aceitação).

3.2. Dados gerados pelo seu uso

• Segurança: segredo e códigos de 2FA (criptografados), tokens de sessão e de API (protegidos) e registros de "dispositivos lembrados" com IP e agente de usuário.
• Técnicos e de sessão: IP, agente de usuário, data/hora de atividade e informações em cookies (ver Política de Cookies).
• Afiliação: campanhas, cliques e conversões dos links de Afiliados.
• Registros (logs): dados técnicos que podem incluir identificadores de pedido e e-mails.

3.3. Dados de pagamento

A Vrymart não vê nem armazena os dados do seu cartão: você os informa na página de pagamento do Stripe. Guardamos identificadores não sensíveis para operar (cliente, conta conectada ou transação do Stripe) e o registro contábil de valores, impostos, comissões e reembolsos.

3.4. Verificação de identidade (KYC) de Partners e Afiliados

A verificação e os dados bancários/fiscais para receber são gerenciados diretamente pelo Stripe (Stripe Connect). A Vrymart não coleta nem armazena documentos de identidade nem dados bancários; guarda apenas o identificador da conta conectada e o status de verificação.

3.5. Categorias de informações pessoais (CCPA/CPRA)

Para os fins da legislação da Califórnia, nos últimos 12 meses tratamos estas categorias: identificadores (nome, e-mail, IP, identificadores de conta); características protegidas limitadas (data de nascimento, apenas para verificar a idade); informações comerciais (histórico de pedidos e transações); informações de atividade na internet (dados de uso, logs); dados de geolocalização aproximada (o país que você informa e o que se deduz do IP); e informações sensíveis limitadas: credenciais de acesso (senha, segredo/códigos de 2FA). Não usamos as informações sensíveis para inferir características nem para fins diferentes de prestar e proteger o serviço. Não coletamos conscientemente dados de saúde, biométricos nem de menores de idade.

4. Finalidades e bases legais#

Finalidade	Dados	Base legal
Criar e gerenciar sua conta	Conta, autenticação	Execução de contrato
Verificar a idade mínima e os países de onde é possível comprar	Data de nascimento, país	Execução de contrato / Obrigação legal
Processar compras, reter os pagamentos e reembolsar	Pedido, pagamento, transações	Execução de contrato
Transmitir o pedido ao Partner	Nome e dados de entrada do Comprador (o e-mail só se for inserido no formulário)	Execução de contrato
Encaminhar ao Partner as mensagens que você escreve	Nome, e-mail e mensagem	Execução de contrato / Consentimento
Liberar fundos e pagar comissões	Dados de transação, conta Stripe	Execução de contrato
Calcular e cobrar impostos; informes fiscais	Localização, valor, dados do vendedor	Obrigação legal
Segurança, prevenção de fraude e abuso	Dados técnicos, IP, 2FA	Interesse legítimo / Obrigação legal
Prova de aceitação dos termos	Data e versão aceitas	Obrigação legal / Interesse legítimo
Atendimento, disputas e arrependimento	Mensagens, evidências, solicitações	Execução de contrato / Obrigação legal
Notificações transacionais (e-mail)	E-mail, preferências	Execução de contrato
Atribuição de afiliados	Cookie com a campanha	Interesse legítimo
Cumprimento legal e contábil	Transações, identificadores	Obrigação legal

Quando invocamos o interesse legítimo, ponderamos que seus direitos e liberdades não prevalecem; você pode se opor (Seção 8). Hoje não enviamos e-mails de marketing (Seção 10).

5. Com quem compartilhamos seus dados#

Não vendemos nem "compartilhamos" (no sentido da CPRA, para publicidade comportamental entre contextos) seus dados pessoais. Nós os divulgamos apenas para:

5.1. Partners (fornecedores do Serviço) — ponto-chave

Para que o Partner possa prestar o Serviço a você, transmitimos ao sistema dele (via webhook para uma URL que o Partner controla) seu nome, os dados de entrada do formulário e os arquivos que você enviou. Não enviamos ao sistema automatizado do Partner o e-mail da sua conta; um e-mail só será compartilhado se você o inserir como dado do formulário do Serviço (p. ex., um campo de e-mail de contato). A partir desse momento, o Partner atua como controlador independente: a relação Vrymart→Partner é um compartilhamento entre controladores independentes, não um tratamento por conta de terceiros. O Partner está obrigado contratualmente (ver Anexo I do Acordo de Partner) a tratá-los só com essa finalidade, protegê-los, atender seus direitos e cumprir a legislação. Não inclua no formulário dados que não sejam necessários para o Serviço.

Se você escrever para um Partner pelo perfil dele, encaminhamos por e-mail seu nome, seu e-mail e sua mensagem, para que ele possa responder.

5.2. Fornecedores que trabalham para a Vrymart

Tratam os dados por conta da Vrymart, apenas para nos prestar seu serviço:

• Stripe — pagamentos, verificação de identidade (KYC) e pagamentos a Partners e Afiliados, reembolsos e impostos (Stripe Tax). O Stripe também trata certos dados como controlador independente, para suas próprias obrigações legais (p. ex., prevenção de fraude e de lavagem de dinheiro), conforme sua política de privacidade.
• Amazon Web Services (AWS) — servidores, banco de dados e armazenamento de arquivos da Plataforma, nos EUA, e envio dos e-mails transacionais (Amazon SES).
• Google — somente se você escolher entrar com o Google.
• Porkbun — as caixas de e-mail da Vrymart (legal@, privacy@ e support@): se você nos escrever, sua mensagem fica armazenada ali.

O Stripe e a AWS incluem em seus termos um acordo de tratamento de dados (DPA) que se aplica à Vrymart; o Google e a Porkbun tratam os dados conforme seus próprios termos e políticas de privacidade. Se incluirmos ou trocarmos um fornecedor, atualizaremos esta lista. Ninguém mais na Vrymart, além das pessoas que operam a Plataforma, acessa seus dados.

5.3. Autoridades e terceiros legais

Quando necessário para cumprir a lei, atender requisições válidas, exercer ou defender reclamações, ou proteger direitos, segurança ou propriedade.

5.4. Operações societárias

Em fusão, aquisição ou venda de ativos, seus dados poderão ser transferidos ao sucessor, mantendo as proteções desta Política.

6. Transferências internacionais#

A Vrymart, Inc. é uma empresa dos EUA administrada a partir da Argentina: seus dados ficam hospedados em servidores da AWS nos EUA, e as pessoas da Vrymart que precisam deles para operar a Plataforma podem acessá-los a partir da Argentina. O Stripe, o Google e a Porkbun podem tratá-los nos EUA e em outros países, e os Partners que recebem os dados dos seus pedidos residem nos Estados Unidos ou no Canadá.

Por isso, seus dados podem ser tratados fora do seu país, sob leis de proteção diferentes das suas, e ficar ao alcance das autoridades desses países conforme a lei deles. Aplicamos as medidas desta Política onde quer que sejam tratados e exigimos que os Partners os protejam (Anexo I do Acordo de Partner). Se você mora na Argentina, ao aceitar esta Política dá seu consentimento expresso a essas transferências (Lei 25.326, art. 12).

7. Prazos de retenção#

Categoria	Prazo
Arquivos de entregáveis e arquivos que você envia no formulário de compra	90 dias a partir do encerramento do pedido; depois são excluídos e se mantém um registro mínimo do pedido.
Arquivos de evidência de uma reclamação	1 ano a partir da resolução da reclamação (um chargeback pode chegar meses depois do pagamento); as mensagens ficam com o registro do pedido.
Dados financeiros e de transações	7 anos (obrigações fiscais e societárias; prevenção de fraude).
Solicitações do botão de arrependimento	7 anos, com o registro do pedido.
Dispositivos lembrados (2FA)	30 dias.
Contas inativas	Anonimização após 3 anos de inatividade absoluta, salvo obrigação legal de guardar por mais tempo.
Dados de conta e perfil	Enquanto a conta estiver ativa e conforme os prazos acima.
Registros técnicos (logs)	O tempo razoavelmente necessário para segurança e operação.

Quando deixam de ser necessários, nós os excluímos ou anonimizamos de forma segura.

8. Seus direitos#

Conforme o seu país, você pode: acessar seus dados, corrigi-los, excluí-los (com limites legais, p. ex., a retenção contábil), opor-se ao seu uso ou pedir que o limitemos, obter uma cópia em formato de uso comum, retirar o consentimento (sem afetar o que foi feito antes) e reclamar perante a autoridade de proteção de dados do seu país: na Argentina, a Agência de Acesso à Informação Pública (AAIP); no Canadá, o Office of the Privacy Commissioner (e, em Quebec, a Commission d'accès à l'information); na Austrália, a OAIC; na Nova Zelândia, o Privacy Commissioner; em Singapura, a PDPC.

Para exercê-los, escreva para privacy@vrymart.com. Podemos pedir que você verifique sua identidade e respondemos dentro dos prazos da sua lei; em geral, em 30 dias ou menos. Na Argentina, o acesso é respondido em 10 dias corridos e a correção ou exclusão em 5 dias úteis (Lei 25.326, arts. 14 e 16). Você também pode excluir sua conta em Minha conta; se tiver pedidos, serviços ou campanhas registrados, o encerramento é feito pelo suporte, porque há dados que devemos guardar (Seção 7).

Argentina. O titular dos dados pessoais tem a faculdade de exercer o direito de acesso a eles de forma gratuita, em intervalos não inferiores a seis meses, salvo se for comprovado um interesse legítimo para isso, conforme o artigo 14, inciso 3, da Lei nº 25.326. A AGÊNCIA DE ACESSO À INFORMAÇÃO PÚBLICA, na qualidade de Órgão de Controle da Lei nº 25.326, tem a atribuição de atender às denúncias e reclamações apresentadas por quem for afetado em seus direitos pelo descumprimento das normas vigentes em matéria de proteção de dados pessoais.

9. Seus direitos nos Estados Unidos (CCPA/CPRA e outras leis estaduais)#

Se você reside na Califórnia, Virgínia, Colorado, Connecticut, Utah, Texas, Oregon, Montana ou outro estado com lei de privacidade aplicável, pode ter direito a:

• Saber/Acessar as categorias e informações pessoais específicas que tratamos.
• Excluir as informações pessoais que mantemos sobre você.
• Corrigir informações inexatas.
• Portabilidade (obter uma cópia).
• Optar por sair (opt-out) da "venda" ou "compartilhamento" de dados e da publicidade comportamental entre contextos. A Vrymart não vende nem compartilha dados nesse sentido, portanto nenhuma ação é necessária, mas respeitaremos os sinais de exclusão.
• Limitar o uso de informações pessoais sensíveis (quando aplicável).
• Não discriminação por exercer seus direitos.

Como exercê-los: privacy@vrymart.com. Você pode usar um agente autorizado; verificaremos sua identidade.

Direito de recurso. Se recusarmos sua solicitação, você pode recorrer respondendo a essa decisão ou escrevendo para privacy@vrymart.com com o assunto "Recurso de privacidade". Responderemos no prazo legal aplicável (p. ex., 45 dias em vários estados) e, se mantivermos a recusa, indicaremos como reclamar perante o Procurador-Geral do seu estado.

Sinais de privacidade do navegador (GPC). Tratamos um sinal de Global Privacy Control (GPC) como uma solicitação válida de exclusão da venda/compartilhamento. Na prática, se o seu navegador enviar o sinal GPC, não instalamos o cookie de atribuição de afiliados (ver Política de Cookies).

Califórnia "Shine the Light" (Cód. Civ. §1798.83): não compartilhamos informações pessoais com terceiros para seus próprios fins de marketing direto.

10. Comunicações de marketing#

Hoje não enviamos e-mails de marketing. Se algum dia o fizermos, será somente com o seu consentimento, com um link para cancelar a inscrição em cada e-mail e o endereço postal da Vrymart, conforme a CAN-SPAM Act, a lei antispam do Canadá (CASL) e normas equivalentes. Os e-mails transacionais (confirmações, disputas, segurança) não são marketing e podem ser enviados enquanto você tiver uma conta.

11. Decisões automatizadas#

Não tomamos decisões baseadas unicamente em tratamento automatizado que produzam efeitos jurídicos ou significativos semelhantes sem intervenção humana. Operações como a liberação de fundos por inatividade ou a desativação de um Serviço após falhas técnicas seguem regras predefinidas; as disputas são resolvidas por uma pessoa da equipe.

12. Menores de idade#

A Plataforma é somente para maiores de 18 anos, em qualquer papel. Não coletamos conscientemente dados de menores (incluído o cumprimento da COPPA para menores de 13 anos). Se você acredita que um menor nos forneceu dados, escreva para privacy@vrymart.com: encerraremos a conta e excluiremos os dados dele.

13. Segurança e notificação de incidentes#

13.1. Aplicamos medidas técnicas e organizacionais razoáveis: criptografia de dados sensíveis (p. ex., segredos de 2FA), armazenamento protegido de credenciais, autenticação de dois fatores, controle de acesso por papéis e registros de atividade. Nenhum sistema é completamente seguro; não garantimos segurança absoluta.

13.2. Notificação de incidentes. Diante de um incidente de segurança que afete seus dados, nós o notificaremos às autoridades e às pessoas afetadas quando e como exigir a lei do seu país (p. ex., as leis estaduais dos EUA, a PIPEDA no Canadá, o regime de incidentes notificáveis da Austrália, a lei da Nova Zelândia ou a PDPA de Singapura), sem atrasos injustificados.

14. Cookies#

Usamos cookies e tecnologias semelhantes conforme a Política de Cookies.

15. Alterações nesta Política#

Podemos atualizá-la; publicaremos a versão vigente com sua data e, diante de mudanças substanciais, avisaremos por meios razoáveis.

16. Contato#

Privacidade e exercício de direitos: privacy@vrymart.com.