Política de privacidade

1. Quem somos e o encarregado

A controladora é a Frendz Educação e Tecnologia LTDA, CNPJ 58.945.853/0001-86, com sede na Rua Caldas Novas, 50, Conj. 85, Barueri/SP.

Encarregado pelo tratamento de dados pessoais (LGPD, art. 41): o canal é o e-mail [email protected], com o assunto “Privacidade”. Por ele você exerce seus direitos e tira dúvidas sobre esta política, e a Autoridade Nacional de Proteção de Dados (ANPD) fala conosco.

2. O papel da Frendz e o do produtor

A Frendz é uma plataforma em que produtores vendem cursos, assinaturas e outros produtos digitais. Somos controladores dos dados que tratamos para operar a plataforma: contas, pagamentos, repasses e saques, verificação de identidade, prevenção a fraude, segurança, atendimento e obrigações legais.

O produtor que vende para você é o fornecedor do produto e recebe seus dados de comprador e de aluno para o negócio dele: entregar o produto, dar suporte, falar com você e, se quiser, fazer campanhas e ligar ferramentas próprias. Nesses usos, quem decide é o produtor (controlador), e a Frendz atua como operadora, seguindo as instruções dele e esta política. O produtor responde pelo uso que faz dos dados e deve informar a você como os trata. As obrigações da Frendz como operadora estão nos Termos de uso.

As instituições de pagamento que processam as compras e abrem as contas de recebimento também tratam os dados para cumprir as obrigações delas, como as regras do Banco Central e de prevenção à lavagem de dinheiro. Nisso elas são controladoras independentes e seguem as próprias políticas de privacidade.

3. Dados que tratamos

Compradores

• Identificação e contato: nome, e-mail, CPF e telefone. No checkout internacional: nome, e-mail, país e, em alguns meios de pagamento locais, telefone e número do documento do país, guardado criptografado.
• Pagamento: meio, valor, parcelas e situação; no cartão, a bandeira, os 4 últimos dígitos e o nome do titular. Não guardamos o número completo do cartão nem o código de segurança. Em alguns meios, os dados do cartão passam pelos nossos servidores, criptografados, só para chegar à instituição de pagamento, sem ser guardados. Para cobrar assinaturas e ofertas de um clique, o cartão fica guardado na instituição de pagamento (na oferta de um clique das vendas internacionais, por 30 minutos), e a Frendz guarda só uma referência a ele.
• Navegação e origem da compra: endereço IP, navegador e aparelho (user agent), país estimado pelo IP, idioma, parâmetros de campanha (UTM), identificadores de clique de anúncios (como fbclid, gclid e ttclid) e os cookies da seção 8.
• Compra não concluída: nome, e-mail e telefone digitados no checkout.
• Lembretes no WhatsApp: se você marcar essa opção no checkout, a sua escolha, a data e o texto que você viu.
• Segurança do pagamento: tentativas recusadas e contadores por IP, para barrar testes de cartão.

Alunos

• Acesso: nome, e-mail e senha (guardada só em código irreversível) ou o link de acesso enviado por e-mail.
• Uso do conteúdo: matrículas, progresso nas aulas, comentários, avaliações e o nome que vai no certificado.
• Grupos pagos no Telegram: só o número de identificação da sua conta no Telegram, sem nome nem usuário.

Produtores, equipes, afiliados e coprodutores

• Cadastro: nome, e-mail, telefone, foto, apelido, biografia e dados do negócio.
• Verificação da conta: CPF ou CNPJ, razão social, data de nascimento, endereço, dados do representante legal e documentos enviados (como contrato social e cartão CNPJ). A verificação de identidade está na seção 5.
• Recebimentos: banco, agência, conta e chave Pix e, quando a instituição de pagamento exige, renda mensal ou faturamento, ocupação e nome da mãe.
• Vendas internacionais: a declaração de pessoa politicamente exposta, se você tem 25% ou mais da empresa e o aceite dos Termos de pagamentos internacionais, com data, IP, navegador e versão. Para o cadastro no parceiro de pagamentos: os sócios com 25% ou mais, as respostas de compliance, o extrato ou a carta do banco, a faixa de faturamento e o aceite desse cadastro, com data, IP, navegador e versão.
• Segurança e uso: registros de acesso, aparelhos marcados como confiáveis, a configuração da verificação em duas etapas e o registro das ações feitas no painel.
• Aplicativo Frendz: nome e sistema do aparelho, token para envio de notificações e suas preferências de notificação.

Sócios, administradores e representantes de empresas

• Quando um produtor ou uma empresa preenche um cadastro (como o cadastro no parceiro de pagamentos ou o formulário de cadastro enviado por link), recebemos nome, nacionalidade, endereço, participação e cargo de sócios, administradores e representantes e, quando pedido, os documentos de identidade e o comprovante de endereço deles. Quem envia declara que avisou essas pessoas.

Atendimento

• As mensagens que você troca com o nosso atendimento, por chat ou e-mail.

Dados que recebemos de outras fontes

• Dados públicos de CNPJ (Receita Federal) e de endereço por CEP, o resultado da verificação de identidade e das consultas a listas de prevenção à lavagem de dinheiro, a situação das contas de recebimento nas instituições de pagamento e, quando você chega por um anúncio, os identificadores que a plataforma de anúncios põe no link.

4. Para que usamos e com qual base legal

Quando usamos o legítimo interesse, tratamos só o necessário, conferimos que ele não se sobrepõe aos seus direitos e você pode se opor (seção 11).

5. Verificação de identidade e dados biométricos

Para receber pagamentos, o produtor (ou o representante da empresa) passa por uma verificação de identidade feita pela Didit, operadora contratada pela Frendz. Você envia a foto do documento e uma selfie e faz a prova de vida direto na Didit, que também confere o CPF na base da Receita Federal e consulta listas de prevenção à lavagem de dinheiro.

A Frendz não guarda as imagens da Didit: guarda só o resultado e um resumo (nome, data de nascimento, tipo de documento e se os dados conferem). As imagens ficam na Didit.

Quando uma instituição de pagamento exige as imagens para abrir a sua conta de recebimento, a Frendz as lê na Didit e as envia direto a ela (frente e verso do documento e a selfie), sem guardar cópia. No cadastro no parceiro de pagamentos das vendas internacionais vão só as imagens do documento, depois do aceite desse cadastro.

Algumas instituições de pagamento também fazem uma verificação própria, com foto do documento, selfie e prova de vida, por um link delas ou por uma etapa incorporada ao painel da Frendz. Nas vendas internacionais, por exemplo, o parceiro de pagamentos pode exigir essa verificação num componente dele dentro do painel. Nesses casos as imagens vão direto à instituição, que as trata como controladora, inclusive fora do Brasil, conforme a política dela, para cumprir as regras de prevenção à fraude e à lavagem de dinheiro. A Frendz não recebe essas imagens, só a situação da verificação.

A selfie e a prova de vida são dados biométricos, que a lei trata como dados pessoais sensíveis. Nós os tratamos para garantir a prevenção à fraude e a sua segurança na identificação e no cadastro (art. 11, II, g). A verificação é condição para receber pagamentos pela Frendz, e por isso você confirma, em destaque, que está ciente desse tratamento antes de começar (art. 9º, § 3º). Encerrada a conta, as imagens são apagadas no fim do prazo da seção 9; as que já foram enviadas às instituições de pagamento ficam com elas pelos prazos que a lei impõe a elas.

O resultado da verificação pode ser automático. Você pode pedir a revisão de uma decisão tomada só com base em tratamento automatizado (art. 20) pelo canal da seção 1.

6. Com quem compartilhamos

• Produtor do produto comprado: nome, e-mail, telefone e CPF do comprador e o uso do aluno no conteúdo dele. Afiliados e coprodutores da venda veem o nome do comprador e o e-mail parcialmente oculto.
• Ferramentas ligadas pelo produtor: quando o produtor configura webhooks, a API ou integrações (como plataformas de e-mail, SMS e CRM, áreas de membros externas, emissão de nota fiscal e rastreamento de vendas), os dados da compra e, se o produtor assinar esse evento, os da compra não concluída (nome, e-mail e telefone) vão para essas ferramentas, sob a responsabilidade dele.
• Plataformas de anúncios: só quando o produtor ativa no checkout dele o pixel da Meta, do Google (Google Analytics GA4 e Google Ads) ou do TikTok. Esses scripts rodam no seu navegador e podem ler nome, e-mail e telefone digitados (correspondência avançada automática). Na API de Conversões da Meta, enviamos nome, e-mail, telefone, país e um identificador da sua conta convertidos em código (hash SHA-256), que a Meta usa para reconhecer você nas contas dela, mais o IP, o navegador (user agent) e os identificadores dos cookies da Meta (_fbp e _fbc), que vão sem esse código.
• Instituições de pagamento e adquirentes, nacionais e internacionais: recebem os dados do comprador necessários à cobrança e à análise antifraude, inclusive o IP, e, para abrir e manter a conta de recebimento do produtor, os dados cadastrais e bancários dele e as imagens da seção 5. Nas vendas internacionais, cada parceiro de pagamentos que processa as vendas recebe o cadastro do produtor descrito nos Termos de pagamentos internacionais.
• Provedor de verificação de identidade: a Didit (seção 5).
• Fornecedores de tecnologia, que tratam dados em nosso nome: hospedagem e banco de dados, armazenamento de arquivos em nuvem, envio de e-mails, notificações no celular, o chat do atendimento e consulta de CNPJ e CEP.
• Atendimento e mensagens: para acompanhar o pagamento, os dados de cada pedido (o seu identificador interno na Frendz, nome, e-mail, produto e oferta, meio, valor, datas e situação do pagamento, o código Pix e o vencimento dele e a sua escolha sobre o lembrete no WhatsApp, com o texto que você viu e, se marcou, a data), com o nome do negócio que vendeu e o e-mail de login do titular da conta desse negócio, vão ao nosso fornecedor de atendimento e mensagens; o telefone só vai se você marcou o lembrete no WhatsApp, e o CPF nunca vai.
• Telegram: nos grupos pagos, o bot da Frendz usa o identificador da sua conta para liberar e retirar o acesso; o Telegram trata seus dados conforme a política dele.
• Outros visitantes do checkout: quando o produtor liga a prova social, o checkout da oferta mostra o primeiro nome de quem a comprou nos últimos 7 dias e há quanto tempo, sem sobrenome, e-mail, cidade ou valor. Para não aparecer, escreva para o canal da seção 1.
• Players de vídeo escolhidos pelo produtor para as aulas, que têm políticas próprias.
• Programa de indicação: quem indicou um produtor vê o nome do negócio indicado e o e-mail parcialmente oculto.
• Autoridades: quando a lei, a regulação ou uma ordem judicial exigir.
• Sucessores: numa reorganização societária, os dados podem passar à empresa sucessora, que fica obrigada a esta política.

Se quiser saber o nome de cada empresa que recebeu os seus dados, peça pelo canal da seção 1 (art. 18, VII).

Não vendemos dados pessoais.

7. Transferência para outros países

Os servidores da plataforma ficam no Brasil, em São Paulo. Os arquivos enviados à plataforma (como documentos, extratos e imagens) ficam em armazenamento em nuvem que pode estar fora do Brasil, e alguns parceiros e fornecedores tratam dados em outros países, como os Estados Unidos e países da União Europeia: os parceiros de pagamento das vendas internacionais, o provedor de verificação de identidade, as plataformas de anúncios e parte dos fornecedores de tecnologia, como os de envio de e-mails, notificações, armazenamento e atendimento. A lista completa de países pode ser pedida pelo canal da seção 1. Fazemos essas transferências só nas hipóteses do art. 33 da LGPD:

• quando são necessárias para executar o contrato com você ou os procedimentos que você pediu, como numa compra internacional ou no cadastro no parceiro de pagamentos quando você ativa as vendas internacionais, para cumprir obrigação legal ou regulatória ou para exercer direitos (art. 33, IX);
• com cláusulas contratuais de proteção de dados com os fornecedores, nos termos da regulamentação da ANPD (art. 33, II).

8. Cookies e armazenamento no navegador

Usamos cookies para manter você conectado, lembrar preferências, concluir compras e registrar a origem das vendas. A Frendz não usa cookies próprios para exibir anúncios nem ferramentas de análise de terceiros nas próprias páginas. Os cookies de anúncios só aparecem no checkout e na página de confirmação da compra do produtor que ativar um pixel: são definidos pela plataforma de anúncios e seguem a política dela.

O navegador também guarda, só no seu aparelho, rascunhos de formulário, o contador de ofertas e marcações para não contar a mesma visita duas vezes. Na oferta com prova social, a aba guarda um identificador aleatório, que fica no nosso banco por cerca de 1 minuto, só para contar quantas pessoas estão vendo a oferta. A contagem anônima de visitas das páginas de venda e do checkout guarda só um número por oferta e por dia, sem IP, sem cookie e sem identificador de visitante. Só para limitar abuso, uma versão embaralhada (HMAC) do endereço de internet fica guardada por até cerca de 1 minuto e é apagada pela rotina de limpeza.

O painel do produtor carrega a ferramenta de chat do nosso atendimento. A área de membros não carrega pixels de anúncios. Os players de vídeo escolhidos pelo produtor podem gravar cookies próprios (seção 13).

Você pode apagar ou bloquear cookies nas configurações do navegador e desligar a personalização de anúncios nas configurações de cada plataforma. Bloquear os cookies de anúncios não impede a compra; bloquear os de sessão impede o login.

9. Por quanto tempo guardamos

Terminado o prazo, apagamos os dados ou os anonimizamos. Guardamos por mais tempo só o que a lei exigir ou permitir (art. 16), como para cumprir obrigação legal ou nos defender em processos.

10. Como protegemos

• Senhas guardadas só em código irreversível (bcrypt) e bloqueio temporário depois de tentativas erradas.
• Verificação em duas etapas, disponível para todas as contas e obrigatória para quem administra a plataforma e para os membros da equipe com acesso ao financeiro ou a saques; trocar dados bancários e sacar pedem a senha de novo.
• Permissões por função na equipe, conferidas no servidor a cada acesso, e registro das ações sensíveis.
• Segredos de integração e documentos de compradores internacionais criptografados (AES-256).
• Documentos enviados guardados em armazenamento privado, acessível só por links temporários de poucos minutos.
• Tráfego sempre criptografado (HTTPS) e chaves da API guardadas só em código irreversível.
• Minimização: as imagens da verificação de identidade ficam na Didit, e as filas internas levam só identificadores.

Nenhum sistema é totalmente seguro. Se houver um incidente de segurança que possa trazer risco ou dano relevante, avisaremos a ANPD e os titulares afetados, no prazo e na forma da regulamentação da ANPD (art. 48).

11. Seus direitos

Pela LGPD (art. 18), você pode pedir: confirmação de que tratamos seus dados; acesso a eles; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei; portabilidade a outro fornecedor; eliminação dos dados tratados com consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não dar consentimento e o que acontece se você não der; e revogação do consentimento. Você também pode se opor a um tratamento feito com base no legítimo interesse e pedir a revisão de decisões tomadas só com base em tratamento automatizado (art. 20).

Para exercer esses direitos, escreva para [email protected] com o assunto “Privacidade”, de preferência a partir do e-mail cadastrado. Podemos pedir uma confirmação de identidade antes de atender. Respondemos em até 15 dias. Pedidos sobre dados que o produtor controla (seção 2) são encaminhados a ele, e você também pode falar com ele diretamente.

Para excluir sua conta, use a opção Excluir conta do aplicativo, que abre um e-mail para o mesmo endereço, ou escreva para ele. Excluímos ou anonimizamos seus dados, menos os que a lei obriga a guardar (seção 9).

Você para de receber os lembretes por e-mail pelo link de descadastro de cada mensagem e os do WhatsApp respondendo SAIR.

Se não ficar satisfeito com a resposta, você pode peticionar à ANPD (gov.br/anpd) e procurar os órgãos de defesa do consumidor.

12. Crianças e adolescentes

Para vender na Frendz é preciso ser maior de 18 anos ou empresa, e a compra deve ser feita por maior de idade. Quando o produto for para uma criança ou um adolescente, o pai, a mãe ou o responsável faz a compra e acompanha o uso. Tratamos os dados do menor só para dar acesso ao conteúdo comprado, com as bases legais desta política e sempre no melhor interesse dele (art. 14 e Enunciado CD/ANPD 1/2023).

13. Serviços de terceiros

Páginas de venda do produtor, sites de instituições de pagamento, players de vídeo, o Telegram e outros serviços ligados à Frendz têm políticas próprias. Esta política não cobre o que eles fazem por conta própria.

14. Mudanças nesta política

Podemos atualizar esta política. A data da última atualização fica no topo. Mudanças relevantes serão avisadas por e-mail ou no painel antes de valer; quando o tratamento depender do seu consentimento, pediremos de novo.

15. Lei aplicável e foro

Esta política segue a lei brasileira. Se você for consumidor, o foro é o do seu domicílio; nos demais casos, o da Comarca de Barueri/SP.