Política de Privacidade

Esta Política de Privacidade descreve como a GABRIELA DE PAULA GONZALEZ DESENVOLVIMENTO DE SOFTWARE LTDA (CNPJ 66.637.654/0001-39, com sede na Rod. Jose Carlos Daux (SC-401), nº 4190, Bairro J. Paulo/Saco Grande/Cacupé, Florianópolis/SC, CEP 88.052-401), operadora da plataforma Briza ("Briza", "nós"), coleta, usa, armazena, compartilha e protege os dados pessoais de seus usuários ("você").

A Briza é uma plataforma de marketing de influência (creator marketing) que conecta marcas a creators (criadores de conteúdo), oferecendo gestão de campanhas, atribuição de cupons, tracking de redes sociais e pagamentos via PIX.

A Briza segue a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, LGPD) e demais normas aplicáveis.

Para qualquer dúvida sobre tratamento de dados ou exercício de direitos:

• Email: admin@heybriza.com
• Endereço: Rod. Jose Carlos Daux (SC-401), nº 4190, Florianópolis/SC, CEP 88.052-401

3.1 De lojistas (clientes da plataforma)

• Nome, email, telefone (opcional)
• Razão social, CNPJ, endereço da empresa
• Dados de pagamento (processados via Stripe, não armazenamos dados de cartão)
• Credenciais e tokens de integrações (Shopify, Bling), armazenados criptografados no AWS Secrets Manager
• Dados de uso da plataforma (logs de acesso, ações, IP)

3.2 De creators (criadores de conteúdo)

• Nome, email, telefone
• CPF ou CNPJ, além da data de nascimento no caso de pessoa física (para abrir a conta de pagamento, emitir documento fiscal e pagar via PIX)
• Chave PIX (para recebimento)
• Endereço (quando há envio de produtos pela marca)
• Perfis públicos de redes sociais conectados (Instagram, TikTok, YouTube)
• Métricas públicas dos perfis (seguidores, engajamento, posts)
• Quando o creator opta por conectar oficialmente a própria conta: dados do perfil, do conteúdo e do público fornecidos pelas APIs autorizadas por ele, detalhados na seção 12
• Registro do aceite de contratos: data, hora, endereço IP e identificação do navegador no momento do aceite, detalhados na seção 9-A

3.3 De clientes finais das lojas Shopify integradas

Quando uma loja Shopify é conectada à Briza, recebemos via webhooks oficiais da Shopify dados sobre pedidos:

• Nome e email do cliente final
• Valor do pedido e itens comprados
• Cupom utilizado (quando aplicável)
• Status do pedido (criado, pago, cancelado, reembolsado)

Não recebemos: dados de cartão de crédito, CPF do cliente final, ou endereço completo.

3.4 Dados de navegação

Cookies essenciais para autenticação e funcionamento da plataforma. Não usamos cookies de terceiros para publicidade direcionada.

• Operar a plataforma (criar campanhas, atribuir vendas, processar pagamentos)
• Cumprir obrigações legais (notas fiscais, retenção fiscal)
• Melhorar nossos serviços (analytics agregados e anônimos)
• Comunicação transacional (emails de campanhas, status de pedidos, notas fiscais)
• Suporte ao cliente

Não usamos dados pessoais para publicidade direcionada, não vendemos dados a terceiros e não compartilhamos com fins comerciais.

• Execução de contrato (Art. 7º, V): para entregar os serviços contratados
• Cumprimento de obrigação legal (Art. 7º, II): fins fiscais e regulatórios
• Consentimento (Art. 7º, I): comunicações de marketing (opcional, com opt-out a qualquer momento) e a conexão oficial de redes sociais do creator (opcional, revogável a qualquer momento, seção 12)
• Legítimo interesse (Art. 7º, IX): segurança, prevenção a fraude e melhoria do serviço

Todos os subprocessadores operam sob contratos de confidencialidade. Também compartilhamos dados quando exigido por lei ou ordem judicial.

Marca contratante. Quando existe uma relação de pagamento entre um creator e uma marca, informamos à marca se aquele creator é pessoa física ou pessoa jurídica. É apenas essa categoria, porque ela define se a marca deve esperar nota fiscal. Não exibimos à marca o CPF, o CNPJ nem a razão social do creator. Base legal: execução de contrato (Art. 7º, V) e cumprimento de obrigação legal (Art. 7º, II).

Alguns subprocessadores processam dados em servidores fora do Brasil. A Briza garante que essas transferências obedecem às garantias previstas na LGPD (Art. 33), incluindo cláusulas contratuais de proteção de dados ou certificações reconhecidas (SOC 2, ISO 27001).

• Criptografia em trânsito (HTTPS / TLS 1.2+)
• Criptografia em repouso (AES-256)
• Tokens de acesso de integrações armazenados no AWS Secrets Manager
• Acesso interno restrito por princípio de menor privilégio
• Logs de auditoria
• Verificação HMAC em todos os webhooks recebidos
• Autenticação multifator disponível para usuários

• Dados contratuais e fiscais: durante a vigência da relação + 5 anos (prazo legal)
• Dados de pedidos da Shopify: enquanto a integração estiver ativa; após desconexão, anonimizados em até 30 dias
• Dados de creators: durante a vigência da relação + 5 anos
• Logs de acesso: 12 meses
• Dados anônimos/agregados: indefinidamente

9-A.1. Quando um creator aceita uma proposta na plataforma, registramos a trilha probatória do aceite: data e hora, os documentos aceitos e suas versões, o texto integral do que foi aceito, o endereço IP e a identificação do navegador (user-agent) usados no momento do aceite.

9-A.2. Esse registro é compartilhado com a marca contratante, que é parte no contrato e precisa da trilha para comprovar a contratação em auditoria ou em eventual disputa.

9-A.3. A base legal é a execução do contrato e o exercício regular de direitos (LGPD Art. 7º, V e VI), não o consentimento. Por isso o registro não é revogável isoladamente: apagá-lo destruiria a prova do contrato que ele documenta, em prejuízo das duas partes.

9-A.4. A trilha é mantida enquanto durarem os efeitos do contrato e pelos prazos prescricionais aplicáveis.

Você tem direito a:

• Confirmar a existência de tratamento
• Acessar seus dados
• Corrigir dados incompletos, inexatos ou desatualizados
• Solicitar anonimização, bloqueio ou eliminação
• Solicitar portabilidade
• Revogar consentimento
• Solicitar informação sobre compartilhamento

Para exercer qualquer direito, envie um email para admin@heybriza.com. Responderemos em até 15 dias.

A integração da Briza com a Shopify utiliza apenas os scopes mínimos necessários para tracking de campanhas com creators. O lojista autoriza esses scopes explicitamente durante o fluxo OAuth da Shopify.

11.1 Scopes solicitados, finalidade e dados acessados

11.2 O que NÃO acessamos

• Dados de pagamento (cartão, conta bancária do lojista)
• CPF do cliente final
• Endereço completo do cliente final
• Histórico de navegação dentro da loja
• Configurações administrativas além das listadas acima

11.3 Webhooks de compliance

A Briza implementa os 3 webhooks obrigatórios da Shopify:

• customers/data_request: ao receber uma solicitação de dados de um cliente final, fornecemos os dados em até 30 dias
• customers/redact: ao receber uma solicitação de exclusão, anonimizamos os dados do cliente em nossos sistemas em até 30 dias
• shop/redact: ao receber (48h após uninstall), removemos todos os dados da loja

11.4 Como o lojista revoga o acesso

A qualquer momento o lojista pode:

• Acessar o admin Shopify → Apps → Briza → Uninstall
• Acessar o app Briza → Settings → Integrações → Shopify → Desconectar

Em ambos os casos os tokens são imediatamente revogados, e os dados da loja são removidos em até 48h via shop/redact. Dados pessoais de clientes finais são anonimizados em até 30 dias após desconexão.

O creator pode conectar a própria conta do Instagram ou do TikTok à Briza. A conexão é opcional, feita pelo fluxo oficial de autorização da própria plataforma (o creator digita a senha na tela do Instagram ou do TikTok, nunca na Briza) e serve para exibir o perfil oficial dele e ajudar marcas a avaliar parcerias. Todo o acesso é somente leitura. Esses dados nunca são vendidos nem compartilhados com terceiros além dos subprocessadores da seção 6.

12.1 Instagram: permissões, finalidade e dados acessados

12.2 TikTok: permissões, finalidade e dados acessados

A API do TikTok usada pela Briza não oferece dados demográficos de audiência, então esse tipo de informação não é coletado na conexão com o TikTok.

12.3 O que NÃO acessamos

• Mensagens diretas
• Conteúdo privado, rascunhos ou arquivados
• Senha da conta (a autorização acontece na tela da própria plataforma)
• Permissão para publicar, editar ou apagar qualquer conteúdo em nome do creator
• Dados identificáveis de seguidores: o perfil de público é recebido apenas de forma agregada, em percentuais

12.4 Como as credenciais são guardadas

Os tokens de acesso ficam criptografados no AWS Secrets Manager e nunca no banco de dados da aplicação. Eles têm validade limitada: no TikTok o acesso dura 24 horas e é renovado automaticamente dentro de um limite de 365 dias, após o qual o creator precisa autorizar de novo. Quando um token expira, a Briza para de sincronizar e o perfil mostra a opção de reconectar.

12.5 Como o creator desconecta, e o que acontece

A qualquer momento o creator pode remover a conta conectada em Perfil → Redes sociais → Remover, ou retirar o acesso da Briza direto nas configurações do Instagram ou do TikTok. Nos dois casos, de imediato:

• a autorização é revogada na plataforma de origem;
• os tokens são apagados dos nossos sistemas;
• a sincronização oficial para;
• os dados de público deixam de ser exibidos para marcas em qualquer tela da plataforma.

Informações públicas já coletadas (nome de usuário, foto, número de seguidores, publicações públicas e suas métricas públicas) permanecem, pela mesma base legal de interesse legítimo que nos permite tratar dados públicos de qualquer creator, conectado ou não, e passam a ser mantidas apenas por essa via. Para pedir também a remoção desses dados, use os canais da seção 12.6.

12.6 Exclusão dos dados

O creator pode pedir a exclusão dos dados obtidos pela conexão oficial escrevendo para admin@heybriza.com, ou pelo próprio Instagram, ao solicitar a exclusão de dados do aplicativo. Todo pedido recebe um código de confirmação e pode ser acompanhado em app.heybriza.com/data-deletion.

Nesses pedidos são apagados: os tokens de acesso, o vínculo oficial entre a conta social e a Briza, os dados de público (faixa etária, gênero, localização e horários) e as métricas privadas de publicação obtidas pela API autorizada, como alcance, salvamentos e visitas ao perfil.

A plataforma não é destinada a menores de 18 anos. Não coletamos intencionalmente dados de menores.

Usamos cookies essenciais para autenticação, sessão e funcionamento da plataforma. Não usamos cookies de rastreamento de terceiros para publicidade.

Podemos atualizar esta política periodicamente. Mudanças materiais serão notificadas por email com 7 dias de antecedência. Alterações menores (correções, esclarecimentos) podem ser publicadas sem notificação.

• Email: admin@heybriza.com
• Endereço: Rod. Jose Carlos Daux (SC-401), nº 4190, Florianópolis/SC, CEP 88.052-401