Política de Privacidade

1. Introdução e Compromisso

A Loot (CNPJ 61.806.137/0001-22), operada por Loot Tech LTDA, com endereço comercial na Rua Marcello Muller, 1133, Box 103, Jardim Independência, São Paulo/SP, CEP 03223-060, compromete-se com a proteção da privacidade e dos dados pessoais de seus usuários.

Esta Política de Privacidade descreve como coletamos, usamos, armazenamos e compartilhamos dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD) — Lei nº 13.709/2018 — e a Amazon Data Protection Policy (DPP), que rege o uso de dados obtidos via Amazon SP-API.

Nosso compromisso é garantir transparência, segurança e respeito aos direitos dos titulares de dados em todas as etapas do tratamento de informações pessoais.

2. Definições

Para fins desta política, consideram-se:

• Loot: a plataforma e serviços oferecidos por LOOT TECH LTDA (CNPJ 61.806.137/0001-22).
• Usuário: pessoa física ou jurídica que utiliza os serviços da Loot, incluindo sellers da Amazon.
• Dados Pessoais: qualquer informação relacionada a pessoa natural identificada ou identificável (LGPD, Art. 5º, I).
• Dados PII (Personally Identifiable Information): informações que permitem identificar um indivíduo, como nome, endereço, telefone, e-mail, conforme definido pela Amazon DPP.
• Amazon SP-API: interface de programação que permite acesso a dados de vendas, pedidos, inventário e outras informações de sellers da Amazon.
• Marketplace: plataforma da Amazon onde os sellers comercializam produtos.
• SEFAZ: Secretaria da Fazenda, órgão responsável pela fiscalização e arrecadação de tributos no Brasil.

3. Dados que Coletamos

3.1 Dados Cadastrais

Coletamos informações fornecidas diretamente pelo usuário no momento do cadastro, tais como:

• Nome completo
• E-mail
• Telefone
• CNPJ ou CPF
• Dados fiscais necessários para emissão de notas fiscais

3.2 Dados de Pagamento

Os dados de pagamento são processados de forma segura pelo nosso parceiro Stripe. A Loot não armazena diretamente informações completas de cartão de crédito (apenas últimos 4 dígitos e bandeira para referência).

3.3 Dados de Uso

Coletamos automaticamente informações sobre como você utiliza nossos serviços:

• Endereço IP
• Tipo de navegador e sistema operacional
• Páginas visitadas e tempo de navegação
• Cliques e interações na plataforma
• Dados de sessão e preferências (armazenados em cookies)

3.4 Dados da Amazon SP-API

Quando você conecta sua conta de seller da Amazon à Loot, acessamos dados via Amazon SP-API, incluindo:

• Pedidos e histórico de vendas
• Inventário e informações de produtos
• Dados financeiros (receitas, taxas, reembolsos)
• Analytics de desempenho (métricas de vendas, tráfego, etc.)
• Mensagens trocadas com compradores (para suporte ao cliente)
• A+ Content e informações de listagens (descrições, imagens, atributos)

4. Dados da Amazon SP-API (Amazon DPP)

A Loot atua como processadora de dados obtidos via Amazon SP-API e segue rigorosamente a Amazon Data Protection Policy (DPP).

Tipos de Dados Recebidos

• Pedidos: informações de transações, status, valores, datas.
• Inventário: quantidade, localização, disponibilidade de produtos.
• Financeiro: receitas, taxas, reembolsos, pagamentos.
• Analytics: métricas de desempenho, tráfego, conversão.
• Dados PII (Personally Identifiable Information): dados pessoais de compradores, incluindo:
  • Nome do comprador
  • Endereço de entrega
  • Telefone
  • E-mail substituto (mascarado pela Amazon)
  • Dados fiscais necessários para emissão de NF-e

Finalidade do Tratamento

Os dados PII são utilizados exclusivamente para as seguintes finalidades autorizadas:

• Processamento de pedidos: viabilizar a gestão de vendas e logística do seller.
• Emissão de NF-e: cumprimento de obrigação fiscal brasileira (Lei 9.609/98, Convênio ICMS 67/19 e Decreto 10.951/22).
• Atendimento ao cliente: suporte e comunicação direta com compradores.
• Analytics de vendas: dashboards e relatórios para análise de desempenho pelo próprio seller.

Base Legal (LGPD)

• Execução de contrato (Art. 7º, V): o tratamento é necessário para a prestação do serviço contratado pelo usuário.
• Cumprimento de obrigação legal (Art. 7º, II): emissão de NF-e e transmissão de dados fiscais à SEFAZ.

Princípio de Uso Restrito

A Loot se compromete a utilizar dados PII estritamente para as finalidades autorizadas pelo seller e pela Amazon. Nunca utilizamos dados PII de compradores para fins secundários (como marketing direto, venda de dados ou criação de perfis publicitários).

Princípios de Tratamento de Dados da SP-API

• Limitação de Finalidade: dados pessoais recebidos via Amazon SP-API são utilizados exclusivamente para as finalidades autorizadas pelo seller titular da conta e em conformidade com a Amazon Data Protection Policy (DPP).
• Proibição de Combinação de Dados: a Loot não combina dados PII recebidos via SP-API com dados de outras fontes externas, exceto quando estritamente necessário para a prestação do serviço contratado e expressamente autorizado pelo seller.
• Proibição de Marketing Direto: dados pessoais de compradores (PII) não são utilizados para marketing direto, criação de perfis publicitários, segmentação comportamental, comunicação direta com compradores fora do contexto do pedido, nem compartilhados com terceiros para fins publicitários.
• Localização dos Dados: os dados são armazenados em servidores da Amazon Web Services (AWS) na região sa-east-1 (São Paulo). Não realizamos transferência internacional de dados PII sem garantias adequadas conforme LGPD Art. 33.

5. Como Usamos os Dados

Os dados coletados pela Loot são utilizados para os seguintes propósitos:

• Prestação do serviço: fornecer dashboards, integrações, análises e ferramentas de gestão de vendas na Amazon.
• Emissão de NF-e: cumprir obrigação fiscal brasileira, transmitindo dados necessários à SEFAZ conforme exigido pela legislação tributária (Lei 9.609/98, Convênio ICMS 67/19, Decreto 10.951/22).
• Analytics agregados: gerar relatórios e métricas sem identificação individual de compradores.
• Comunicação: enviar e-mails transacionais (confirmação de cadastro, recuperação de senha, notificações operacionais, suporte).
• Melhoria do produto: coletar telemetria anônima para identificar bugs, otimizar performance e desenvolver novas funcionalidades.
• Segurança: monitorar e prevenir atividades fraudulentas, acessos não autorizados e violações de segurança.

6. Compartilhamento de Dados

A Loot não vende dados pessoais de usuários para terceiros. Compartilhamos dados apenas nas seguintes situações:

6.1 Sub-processadores

Utilizamos serviços de terceiros confiáveis para operação da plataforma:

• Stripe: processamento seguro de pagamentos (não armazenamos dados completos de cartão).
• AWS (Amazon Web Services): infraestrutura de hospedagem, armazenamento em S3, filas SQS e outros serviços de cloud.
• Resend / Mailgun: envio de e-mails transacionais (confirmação de cadastro, recuperação de senha, notificações operacionais).
• Sentry: monitoramento de erros e telemetria (apenas dados técnicos anônimos, sem PII).

6.2 Recursos de IA e Processadores Externos

A LOOT oferece recursos opcionais de inteligência artificial utilizando a API da OpenAI.

Quando o usuário utiliza um recurso de IA, a LOOT pode processar e transmitir o conteúdo enviado, o contexto mínimo necessário para atender à solicitação, o identificador do usuário autenticado e metadados técnicos.

A LOOT não envia intencionalmente senhas, chaves de API, tokens de acesso, credenciais de pagamento ou outros segredos de autenticação ao provedor de IA. Os controles da aplicação são projetados para sanitizar ou bloquear dados sensíveis antes do envio.

O conteúdo dos usuários não é utilizado pela LOOT para treinar, ajustar ou criar embeddings de modelos de IA.

As interações com a IA são monitoradas por telemetria da aplicação. Os registros podem conter provedor, operação, modelo, status e duração, mas dados sensíveis e conteúdo do usuário são removidos ou mascarados.

Os usuários não devem inserir credenciais ou informações confidenciais nos recursos de IA.

6.3 Amazon

Dados recebidos da Amazon via SP-API nunca são compartilhados de volta para terceiros não autorizados pelo seller. Não vendemos dados de sellers para outros sellers nem para terceiros.

A Loot atua como processadora dos dados da Amazon, disponibilizando-os exclusivamente ao seller titular da conta.

6.4 SEFAZ

Dados fiscais necessários para emissão de NF-e (nome, endereço, CPF/CNPJ, valor da transação) são transmitidos à Secretaria da Fazenda conforme exigência legal prevista na legislação tributária brasileira.

6.5 Autoridades e Obrigações Legais

Podemos compartilhar dados pessoais quando obrigados por lei, ordem judicial válida, requisição de autoridade competente ou para proteger direitos, propriedade e segurança da Loot, de usuários ou do público.

7. Segurança e Proteção (Amazon DPP)

A Loot adota medidas técnicas e organizacionais rigorosas para proteger os dados pessoais contra acessos não autorizados, perda, destruição, alteração ou divulgação indevida, em conformidade com a Amazon Data Protection Policy (DPP) e os Key Security Controls do SP-API.

7.1 Criptografia

• Em trânsito: todas as comunicações utilizam TLS 1.2 ou superior.
• Em repouso: dados sensíveis e PII são armazenados com criptografia AES-256.
• Gerenciamento de chaves: chaves criptográficas são gerenciadas via AWS KMS com rotação automática.

7.2 Controle de Acesso a Dados

• RBAC: implementamos Role-Based Access Control com princípio de menor privilégio — apenas usuários autorizados têm acesso a dados específicos necessários à sua função.
• MFA obrigatório: autenticação multifator (MFA) é obrigatória para todos os acessos administrativos, operações sensíveis e acessos a dados PII.
• Política de credenciais: senhas seguem requisitos mínimos de complexidade — no mínimo 12 caracteres, contendo letras maiúsculas, letras minúsculas, números e caracteres especiais —, rotação periódica a cada 90 dias para contas privilegiadas, e proibição de compartilhamento. Credenciais de serviço e tokens são armazenados em cofre criptografado (AWS Secrets Manager).
• Acesso just-in-time: acessos administrativos a sistemas de produção são concedidos sob demanda e revogados automaticamente após o período autorizado.
• Offboarding imediato: acessos são revogados em até 24 horas após desligamento ou mudança de função do colaborador.
• Auditoria de acessos: todos os acessos a dados sensíveis são registrados em logs imutáveis com retenção mínima de 90 dias para monitoramento e investigação.

7.3 Gestão de Pessoal

• Verificação de antecedentes: funcionários com acesso a dados PII passam por verificação de antecedentes (background check) antes da contratação.
• Acordo de confidencialidade: todos os funcionários e prestadores de serviço assinam NDA antes de ter acesso a sistemas com dados pessoais.
• Treinamento obrigatório: funcionários com acesso a dados pessoais recebem treinamento anual em segurança da informação, LGPD e Amazon DPP. O treinamento inclui reconhecimento de phishing, manuseio de PII e procedimentos de resposta a incidentes.

7.4 Segurança da Infraestrutura

• Segregação de ambientes: ambientes de desenvolvimento, homologação e produção são completamente separados, com redes e credenciais distintas.
• Segmentação de rede: implementamos VPC isoladas, security groups restritivos e network ACLs seguindo princípio de defesa em profundidade.
• Firewall e WAF: proteção contra ataques OWASP Top 10 via AWS WAF e regras customizadas.
• Backups com redundância geográfica: cópias de segurança criptografadas com replicação multi-AZ, testadas trimestralmente.

7.5 Segurança Aplicacional

• Revisão de código: todo código passa por revisão por pares (peer review) antes de chegar à produção, com análise específica para questões de segurança.
• Análise estática (SAST): ferramentas automatizadas analisam o código em busca de vulnerabilidades a cada commit.
• Análise de dependências: bibliotecas de terceiros são monitoradas continuamente para vulnerabilidades conhecidas (CVEs).
• Patch management: patches de segurança são aplicados em até 30 dias para vulnerabilidades críticas e 90 dias para as demais, contados a partir da divulgação.

7.6 Testes de Segurança

• Pentest anual: realizamos testes de penetração ao menos uma vez por ano, executados por empresa especializada independente.
• Vulnerability scanning: varreduras automatizadas de vulnerabilidades são realizadas trimestralmente em toda a infraestrutura.
• Remediação: vulnerabilidades críticas identificadas são corrigidas em até 30 dias; vulnerabilidades de alto risco em até 60 dias.

7.7 Monitoramento e Detecção

• Monitoramento 24/7: alertas automatizados para detecção de atividades suspeitas, acessos anômalos e tentativas de violação.
• SIEM: eventos de segurança são centralizados e correlacionados para identificação de padrões de ameaça.
• Logs imutáveis: logs de auditoria são armazenados em local imutável (write-once) com retenção mínima de 12 meses.

7.8 Gestão de Sub-processadores

• Sub-processadores são avaliados quanto às práticas de segurança antes da contratação.
• Reavaliação anual de sub-processadores com acesso a dados pessoais.
• Contratos com sub-processadores exigem nível de proteção de dados equivalente ao desta política.

7.9 Continuidade de Negócios

• Plano de Continuidade de Negócios (BCP) e Recuperação de Desastres (DRP) documentado e testado anualmente.
• RTO (Recovery Time Objective): 4 horas para serviços críticos.
• RPO (Recovery Point Objective): 1 hora para dados transacionais.

7.10 Cooperação com Auditoria

A Loot concorda em cooperar com auditorias e investigações realizadas pela Amazon mediante solicitação razoável, fornecendo documentação técnica, evidências de conformidade com a DPP, logs de auditoria e demais informações necessárias para verificação de conformidade.

7.11 Inventário e Classificação de Dados

A Loot mantém inventário interno atualizado de todos os dados pessoais tratados, classificados por nível de sensibilidade (público, interno, confidencial, restrito), com mapeamento de fluxos, sub-processadores envolvidos e responsáveis pelo tratamento. O inventário é revisado trimestralmente.

8. Retenção e Descarte

Mantemos dados pessoais apenas pelo tempo necessário para cumprir as finalidades descritas nesta política, respeitando obrigações legais e contratuais e em conformidade com a Amazon DPP.

8.1 Prazos de Retenção

• Dados PII de compradores (recebidos via SP-API): descartados em até 30 dias após cumprida a finalidade autorizada, conforme exigência da Amazon Data Protection Policy.
• Dados fiscais (NF-e): retidos por 5 anos conforme legislação tributária brasileira (Decreto 10.951/22, Convênio ICMS 67/19 e normas da SEFAZ).
• Dados cadastrais: mantidos enquanto a conta estiver ativa. Após exclusão voluntária, removidos em até 30 dias (exceto dados sujeitos a retenção legal).
• Dados de uso/analytics: retidos de forma agregada e anonimizada por até 12 meses.
• Logs de auditoria e segurança: retidos por no mínimo 12 meses para fins de investigação de incidentes.

8.2 Eventos que Disparam o Descarte

Dados são descartados em até 30 dias após qualquer dos seguintes eventos:

• Desconexão da conta do marketplace;
• Cancelamento da assinatura da Loot;
• Solicitação explícita do seller;
• Cumprida a finalidade autorizada (para PII de compradores).

8.3 Método de Descarte

O descarte é realizado por meio de exclusão lógica e física dos dados, incluindo backups, com sobrescrita criptográfica que garante a impossibilidade de recuperação. Mídias físicas descomissionadas são submetidas a destruição certificada.

8.4 Confirmação ao Titular

Sellers podem solicitar confirmação por escrito da exclusão de seus dados através do e-mail contato@lootcx.com. A confirmação é enviada em até 15 dias após a conclusão do processo.

9. Plano de Resposta a Incidentes (Amazon DPP)

Em caso de incidente de segurança que afete dados pessoais, a Loot seguirá o seguinte protocolo, em conformidade com a Amazon DPP e a LGPD:

• 1. Detecção: monitoramento 24/7 com alertas automatizados para identificação de atividades anômalas ou violações de segurança.
• 2. Contenção: isolamento imediato do vetor identificado em até 1 hora após detecção, para evitar propagação do incidente.
• 3. Investigação: análise de impacto e identificação dos dados afetados em até 72 horas, executada por equipe dedicada de resposta a incidentes.
• 4. Notificação à Amazon: quando o incidente envolver dados oriundos da SP-API, notificaremos a Amazon em até 24 horas após a detecção do incidente, conforme exigido pela Amazon DPP, através dos canais oficiais.
• 5. Notificação aos titulares: comunicação aos usuários afetados em até 72 horas, conforme exigido pela LGPD (Art. 48).
• 6. Notificação à ANPD: comunicação à Autoridade Nacional de Proteção de Dados em até 72 horas, caso o incidente represente risco aos direitos e liberdades dos titulares (LGPD, Art. 48).
• 7. Documentação: todo incidente é documentado em registro próprio, incluindo causa raiz, dados afetados, ações tomadas e medidas preventivas.
• 8. Remediação: correção da causa raiz, reforço de medidas de segurança e auditoria pós-incidente para prevenção de ocorrências futuras.
• 9. Cooperação: cooperaremos integralmente com investigações conduzidas pela Amazon, autoridades regulatórias e órgãos competentes.

10. Seus Direitos (LGPD)

Em conformidade com a LGPD, você tem os seguintes direitos como titular de dados pessoais:

• Confirmação e acesso (Art. 18, I e II): confirmar a existência de tratamento e acessar seus dados pessoais.
• Correção (Art. 18, III): solicitar correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação (Art. 18, IV): solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Portabilidade (Art. 18, V): solicitar a portabilidade dos dados a outro fornecedor de serviço, nos termos regulamentados pela ANPD.
• Eliminação (Art. 18, VI): solicitar a exclusão de dados tratados com base em consentimento, exceto quando houver obrigação legal de retenção.
• Informação sobre compartilhamento (Art. 18, VII): solicitar informações sobre entidades públicas e privadas com as quais seus dados foram compartilhados.
• Revogação de consentimento (Art. 18, IX): revogar o consentimento a qualquer momento, mediante manifestação expressa.
• Oposição (Art. 18, § 2º): opor-se ao tratamento de dados pessoais quando não fornecido consentimento ou quando houver base legal inadequada.

Como Exercer Seus Direitos

Para exercer qualquer um dos direitos acima, entre em contato com nosso Encarregado de Proteção de Dados pelo e-mail:

contato@lootcx.com

Responderemos sua solicitação em até 15 dias, conforme previsto pela LGPD.

11. Cookies

A Loot utiliza cookies e tecnologias similares para melhorar a experiência do usuário, personalizar conteúdo e analisar o uso da plataforma.

Tipos de Cookies Utilizados

• Cookies essenciais: necessários para o funcionamento básico da plataforma (sessão, autenticação). Não podem ser desativados.
• Cookies analíticos: coletam informações sobre como você utiliza o site (páginas visitadas, tempo de navegação). Utilizamos serviços como Google Analytics. Consentimento opcional.
• Cookies de marketing: rastreiam suas preferências para exibir anúncios relevantes. Consentimento opcional.

Como Gerenciar Cookies

Você pode gerenciar ou desativar cookies a qualquer momento nas configurações do seu navegador:

• Google Chrome
• Firefox
• Microsoft Edge
• Opera
• Safari

Atenção: a desativação de cookies pode afetar a funcionalidade de algumas áreas da plataforma.

12. Atualizações desta Política

A Loot pode revisar esta Política de Privacidade a qualquer momento para refletir mudanças em nossas práticas, serviços ou legislação aplicável.

Mudanças relevantes serão comunicadas aos usuários por meio de:

• E-mail cadastrado na plataforma;
• Banner de notificação no painel da Loot;
• Atualização da data no topo deste documento.

Recomendamos que você revise esta política periodicamente para se manter informado sobre como protegemos seus dados.

13. Contato e Encarregado de Proteção de Dados (DPO)

Se você tiver dúvidas, preocupações ou solicitações relacionadas à privacidade e proteção de dados, entre em contato conosco:

Estamos comprometidos em responder suas solicitações de forma transparente e dentro dos prazos estabelecidos pela LGPD.