Política de Privacidade & Proteção de Dados

1. Controlador de Dados & Compromisso de Privacidade

A Grape Digital atua na qualidade de Controladora de Dados Pessoais em relação a todas as operações de tratamento realizadas em sua plataforma de comércio eletrônico, sendo responsável por determinar as finalidades e os meios de tratamento dos dados pessoais de seus usuários, nos moldes do Artigo 5º, inciso VI da Lei Federal nº 13.709/2018 (Lei Geral de Proteção de Dados - LGPD).

Nossa política é pautada nos princípios fundamentais da boa-fé, finalidade, adequação, necessidade (minimização), livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização (Art. 6º da LGPD).

2. Dados Pessoais Coletados & Finalidades Específicas

A relação abaixo detalha todas as categorias de dados pessoais tratadas pela Grape Digital, com suas respectivas finalidades práticas:

• Nome Completo:
  Finalidade: Identificação unívoca do titular do pedido, emissão do comprovante de transação nominal e personalização no suporte ao cliente.
• Endereço de E-mail:
  Finalidade: Canal indispensável para o despacho do produto digital (entrega automática imediata ou manual em até 24h), envio de chaves de ativação, recibo de pagamento, recuperação de conta e notificações sobre o status da compra.
• Cadastro de Pessoa Física (CPF):
  Finalidade: Exigência regulatória irrevogável do Banco Central do Brasil (BACEN) (Resoluções BCB nº 1/2020 e 30/2020) e da instituição financeira autorizada (Asaas Gestão Financeira S.A.) para a geração de cobranças nominais (Pix, Cartão de Crédito e Boleto Registrado), validação de titularidade, prevenção a fraudes de identidade e atendimento a normas antilavagem de dinheiro (AML).
• Telefone Celular / WhatsApp (Opcional):
  Finalidade: Contato de contingência para notificação transacional sobre o despacho de pedidos caso o e-mail do destinatário retorne rejeição (caixa lotada, filtro rígido de spam).
• Endereço Residencial e CEP (Apenas quando aplicável - Boleto/Cartão):
  Finalidade: Exigência regulatória das bandeiras de cartão de crédito e do sistema de emissão de Boletos Bancários Registrados (CIP/BACEN) para conferência cadastral antifraude e validação de código postal.
• Endereço IP, Porta Lógica de Origem e Registros de Data/Hora:
  Finalidade: Cumprimento de obrigação legal compulsória estabelecida pelo Artigo 15 da Lei nº 12.965/2014 (Marco Civil da Internet), auditoria de integridade de requisições, mitigação de ataques de força bruta, prevenção de acessos automatizados ilícitos (bots) e defesa em contestações indevidas.

3. Bases Legais de Tratamento (Art. 7º da LGPD)

Todo tratamento de dados pessoais na Grape Digital é estritamente respaldado pelas seguintes hipóteses do Artigo 7º da LGPD:

• Execução de Contrato (Art. 7º, Inciso V): O tratamento dos dados cadastrais, e-mail e pedido é indispensável para viabilizar a entrega do produto digital contratado (entrega automática instantânea ou assistida em até 24 horas) e a prestação da garantia oficial de 30 dias;
• Cumprimento de Obrigação Legal ou Regulatória (Art. 7º, Inciso II): Guarda compulsória de registros de conexão nos termos do Marco Civil da Internet (Lei 12.965/2014) e validação fiscal/financeira com CPF perante as normas do Banco Central do Brasil;
• Prevenção a Fraudes e Segurança do Titular (Art. 7º, Inciso X): Prevenção a contestações bancárias ilícitas, verificação de legitimidade de pagamentos e defesa dos direitos do consumidor em processos de transações eletrônicas;
• Legítimo Interesse (Art. 7º, Inciso IX): Suporte técnico, melhoria contínua da usabilidade da plataforma e segurança da infraestrutura de servidores.

4. Processamento de Pagamentos & Segurança de Cartões (PCI-DSS)

A Grape Digital implementa arquitetura de pagamento blindada e descentralizada através da instituição financeira autorizada pelo Banco Central do Brasil: Asaas Gestão Financeira Instituição de Pagamento S.A. (CNPJ nº 19.540.550/0001-21).

Nas operações via Pix e Boleto Bancário, as chaves de liquidação dinâmica e os códigos de barra oficiais são emitidos nominalmente com base na regulamentação do Sistema de Pagamentos Brasileiro (SPB / BACEN).

5. Política de Cookies & Tecnologias de Rastreamento Orgânico

Utilizamos cookies de forma estrita e responsável para viabilizar as funcionalidades essenciais do site e garantir sua segurança:

• Cookies Estritamente Necessários (Essenciais):
  Cookies de sessão (`PHPSESSID`, `grape_customer_session`) e tokens anti-CSRF essenciais para manter o usuário autenticado, lembrar o produto selecionado no checkout e evitar ataques de injeção e falsificação de requisições. Sem eles, o site não opera corretamente.
• Cookies Analíticos e de Navegação Interna (First-Party):
  Rastreamento interno de cliques e origens de tráfego (parâmetro `?ref=`) através de identificadores anônimos (`visitor_hash`). Não utilizamos ferramentas invasivas de terceiros que rastreiem sua navegação em outros sites da web.
• Ausência de Cookies de Venda ou Publicidade Direcionada:
  A Grape Digital não utiliza redes de anúncios comportamentais de terceiros para vender dados de audiência ou perfis de navegação.

Você pode a qualquer momento configurar seu navegador (Chrome, Firefox, Safari, Edge) para bloquear ou alertar sobre a presença de cookies, ciente de que o bloqueio de cookies essenciais poderá inviabilizar o login e a finalização de compras no checkout.

6. Prazos de Retenção, Guarda Compulsória & Descarte Seguro

Os dados pessoais são armazenados pelo período estritamente necessário para cumprir as finalidades para as quais foram coletados, observados os prazos legais de guarda compulsória estabelecidos pelo direito brasileiro:

• Registros de Conexão à Aplicação (Logs de IP): Armazenados pelo prazo legal obrigatório de 6 (seis) meses, em estrita observância ao Artigo 15 da Lei nº 12.965/2014 (Marco Civil da Internet);
• Dados Cadastrais e Histórico de Transações Comerciais: Retidos pelo prazo de 5 (cinco) anos após a conclusão do contrato para cumprimento de obrigações tributárias, fiscais e defesa em processos judiciais (Artigo 27 do CDC e Artigo 174 do Código Tributário Nacional);
• Descarte e Anonimização: Expirados os prazos legais de retenção ou mediante solicitação cabível do titular, os dados pessoais são eliminados com segurança ou submetidos a processo definitivo de anonimização (Artigo 16 da LGPD).

7. Segurança da Informação, Criptografia & Prevenção a Incidentes

Empregamos medidas técnicas e administrativas aptas a proteger seus dados pessoais contra acessos não autorizados, incidentes acidentais ou destruição ilícita:

• Criptografia em Trânsito (HTTPS/TLS): Todas as trocas de informação entre seu navegador e nossos servidores são protegidas por certificado SSL de 256 bits com chave criptográfica robusta;
• Hashing Irreversível de Senhas: As senhas de clientes são armazenadas exclusivamente através do algoritmo criptográfico Bcrypt (com fator de custo 12 e salting dinâmico), sendo impossível recuperá-las ou visualizá-las em texto claro;
• Tokens Hexadecimais Aleatórios: Os códigos de acompanhamento e rastreio de pedidos operam via tokens criptográficos aleatórios de alta entropia (64 caracteres), prevenindo ataques de enumeração direta (IDOR);
• Proteção Ativa contra Força Bruta: Mecanismos de limitação de taxa (rate limiting) e banimento temporário automático de IPs com tentativas excessivas de requisições ou logins;
• Diretórios Blindados de Banco de Dados: O arquivo SQLite e os dados operacionais residem em diretório com permissões restritas no servidor, com bloqueio nativo a acesso HTTP direto.

8. Seus Direitos como Titular & Canal do Encarregado de Dados (DPO)

Você tem direito a obter da Grape Digital, em relação aos dados por ela tratados, a qualquer momento e mediante requisição formal, os seguintes direitos conferidos pelo Artigo 18 da Lei Federal nº 13.709/2018:

• Confirmação e Acesso: Confirmar a existência de tratamento e consultar seus dados na aba Meu Perfil ou Minhas Compras;
• Correção: Solicitar a atualização de dados incompletos, inexatos ou desatualizados;
• Anonimização, Bloqueio ou Eliminação: Solicitar a remoção de dados desnecessários ou tratados em desconformidade com a lei, ressalvadas as hipóteses de guarda obrigatória por lei (fiscal e Marco Civil);
• Portabilidade: Solicitar a extração estruturada de seus dados em formato interoperável;
• Revogação do Consentimento: Revogar autorizações opcionais previamente concedidas (como recebimento de avisos por WhatsApp ou e-mail marketing).

Última atualização desta Política de Privacidade: Setembro de 2026. Esta política poderá ser revisada periodicamente para refletir aprimoramentos técnicos ou atualizações normativas da ANPD, entrando em vigor imediatamente após sua disponibilização nesta página.