Política de privacidade

1. Quem somos e papéis (controlador / operador)

O Cobrei é uma plataforma de gestão de cobranças (painel, links de pagamento, lembretes e assinatura Pro). Há dois papéis distintos:

• Cobrei como controlador dos dados da sua conta de usuário (cadastro, login, plano Free/Pro, logs técnicos, preferências do produto e analytics com consentimento). Também somos controlador do relacionamento comercial da assinatura Pro.
• Você (lojista / merchant) como controlador dos dados dos seus clientes finais e das cobranças que cadastra (nome, contato, documento, valores, evidências, opt-in de WhatsApp etc.). Nesses tratamentos, o Cobrei atua como operador: processamos esses dados sob sua instrução, para prestar o serviço (armazenar, exibir no painel, gerar links públicos e enviar lembretes que você configura).
• Provedores como Mercado Pago (assinatura Pro) e, quando o envio automático por WhatsApp estiver disponível, Meta (WhatsApp Cloud API) tratam dados conforme as próprias políticas, nas finalidades descritas abaixo.

Para dúvidas ou exercício de direitos, use o canal da seção 9.

2. Dados que podemos tratar

• Conta e identificação: nome, e-mail, identificador de sessão e dados do provedor de login (Google, quando você usa essa opção) ou senha armazenada apenas como hash (conta com e-mail e senha). Membros de equipe convidados (e-mail/convite) no plano Pro, quando aplicável.
• Dados de uso: logs técnicos, endereço IP, tipo de dispositivo e navegador, páginas acessadas e eventos do produto, para segurança e melhoria do serviço.
• Dados de negócio que você cadastra: clientes (nome, telefone, e-mail, CPF/CNPJ opcional, opt-in para avisos no WhatsApp), cobranças (valores, vencimentos, categorias, recorrência/carnê), marca (logo/cores) e tokens de páginas públicas (`/pagar`, `/recibo`, portal do cliente).
• Recebimentos da loja (Pix / cartão): chave Pix (CPF/CNPJ, e-mail, telefone ou aleatória), nome e cidade do recebedor, e link externo de cartão que você configura. Esses dados descrevem como o cliente paga você. O Cobrei não intermedia o pagamento do cliente final, não recebe esse valor e não processa Pix ou cartão do pagador por meio de um PSP nosso.
• Evidência de pagamento: quando o cliente ou você informa pagamento, podemos armazenar nota e/ou imagem de comprovante associada à cobrança (acesso controlado no painel e por URL assinada quando aplicável).
• Assinatura Pro (único fluxo com PSP do Cobrei): a mensalidade do plano Pro é cobrada via Mercado Pago Checkout Pro. Nesse caso podemos receber status de pagamento, identificadores da assinatura e metadados necessários à operação. Não armazenamos número completo de cartão (PAN).
• Exportações: arquivos CSV gerados no painel (clientes, cobranças, conciliação Pro) para uso operacional da sua conta — isso não substitui um pedido formal de portabilidade LGPD (seção 7).

3. Finalidades e bases legais

Tratamos dados para:

• Prestação do serviço e execução do contrato com você (conta, painel, cobranças, links públicos, equipe, assinatura Pro).
• Como operador, a mando do lojista: lembretes e cobranças por e-mail e, quando o WhatsApp Cloud API estiver habilitado no produto (com opt-in do cliente final marcado por você), mensagens via Meta — somente para clientes com opt-in. O envio manual “Abrir no WhatsApp” (wa.me) não exige esse opt-in no produto.
• Cumprimento de obrigações legais e regulatórias, quando aplicável.
• Legítimo interesse em segurança, prevenção a fraudes e melhoria do produto, com minimização de dados.
• Consentimento para cookies e ferramentas analíticas (Google Analytics e PostHog), quando você aceita no banner ou nesta página.

4. Compartilhamento e operadores

Podemos compartilhar dados com provedores que nos auxiliam a operar o Cobrei, sob contratos e medidas compatíveis com a LGPD, apenas nas finalidades necessárias:

• Hospedagem e edge — Vercel (aplicação).
• Banco de dados — Neon (PostgreSQL).
• E-mail transacional — SMTP (ex.: Hostinger) e/ou Resend, conforme configuração do ambiente.
• Autenticação — Google OAuth (quando usado).
• WhatsApp da loja — Meta / WhatsApp Cloud API, quando a conexão automática estiver disponível no produto e você conectar o número da empresa: tokens cifrados, identificadores técnicos e conteúdo das cobranças enviadas automaticamente.
• Assinatura Pro — Mercado Pago Checkout Pro (mensalidade do Cobrei; não é o Pix/cartão do seu cliente final).
• Analytics — Google Analytics e PostHog, somente com consentimento.

Ferramentas internas de operação/prospecção da equipe Cobrei (quando usadas) não fazem parte do tratamento destinado aos lojistas e não substituem esta política pública.

5. Retenção e segurança

Mantemos dados pelo tempo necessário às finalidades desta política e ao estado das cobranças/conta, respeitando prazos legais. Em regra: dados da conta enquanto ela existir; cobranças, evidências e logs de uso enquanto a conta estiver ativa e pelo período adicional necessário a suporte, auditoria ou obrigação legal; dados de WhatsApp (credenciais e uso) enquanto a conexão estiver ativa. Você pode solicitar exclusão ou revisão pelo canal da seção 9. Aplicamos medidas técnicas e organizacionais razoáveis (criptografia em trânsito, controle de acesso, segregação por conta). Nenhum sistema é 100% isento de risco; em incidente relevante, adotaremos os procedimentos previstos em lei.

6. Transferência internacional

Alguns provedores podem processar dados fora do Brasil. Nesses casos, adotamos salvaguardas cabíveis (cláusulas contratuais, avaliações de adequação ou consentimento específico quando exigido).

7. Seus direitos (LGPD)

Titular com conta Cobrei (lojista) pode solicitar, conforme a lei:

• Confirmação de tratamento e acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade, quando aplicável (pedido formal — distinto do CSV do painel);
• Informação sobre compartilhamentos;
• Revogação do consentimento (ex.: analytics) e oposição a tratamentos baseados em legítimo interesse, quando cabível.

Pagador / cliente final (sem conta Cobrei): em geral, o controlador dos dados cadastrados pelo lojista é o próprio lojista. Peça primeiro à empresa que lhe cobrou. Também pode escrever para privacidade@cobreiapp.com.br — avaliaremos o pedido e, se necessário, encaminharemos ao merchant responsável.

Exportar CSV em Clientes/Cobranças é ferramenta operacional da sua conta, não o canal oficial de pedido de portabilidade LGPD.

Excluir conta e dados: o lojista dono da conta pode solicitar a eliminação self-service em Ajustes → Conta. Isso apaga a conta Cobrei e os dados do painel (clientes, cobranças, evidências, configurações). Também aceitamos pedidos pelo e-mail abaixo.

8. Cookies e tecnologias semelhantes

Essenciais: cookies/armazenamento de sessão (Auth.js / JWT) e preferências locais do produto (por exemplo dismiss de avisos), necessários ao funcionamento — não passam pelo banner de analytics.

Analíticos: com consentimento, usamos Google Analytics e PostHog. O banner na primeira visita permite Aceitar ou Recusar; a recusa não impede o uso do Cobrei. Você também pode alterar a escolha abaixo (chave local cobrei-analytics-consent).

9. Contato do encarregado (DPO)

Para questões sobre privacidade e exercício de direitos, envie um e-mail para privacidade@cobreiapp.com.br. A identificação nominativa do encarregado (DPO) pessoa física, se exigida, será comunicada por esse canal ou atualização desta página após revisão jurídica.

10. Alterações

Podemos atualizar esta política para refletir mudanças no produto ou na legislação. Publicaremos a nova versão nesta página com a data de atualização. Quando a mudança for material, avisaremos de forma razoável (por exemplo e-mail da conta ou destaque no produto). O uso continuado, sozinho, não substitui consentimento quando a lei o exigir.