Anexo de Tratamento de Dados Pessoais
Versão 1.2 — vigente a partir de 06/10/2026
Parte integrante dos Termos de Uso (item 12.1) e da Política de Privacidade, nos termos da Lei nº 13.709/2018 (LGPD). Aplica-se a todo cliente que contrata a plataforma, diretamente ou por meio de parceiro.
1. Papéis
| Dado | Controlador | Operador |
|---|---|---|
| Dados que você insere sobre terceiros (seus clientes, fornecedores, colaboradores, contatos) | Você | ABASTANÇA |
| Dados da sua conta (cadastro, autenticação, cobrança, suporte, segurança, registros de acesso) | ABASTANÇA | — |
Quanto aos dados da primeira linha, você define a finalidade, escolhe a base legal, informa os titulares e responde às requisições deles. Nós tratamos esses dados apenas para executar a plataforma conforme suas instruções e para cumprir obrigação legal.
2. Instruções de tratamento
Constituem instrução sua, para todos os efeitos do art. 39 da LGPD: a configuração que você aplica na plataforma, as ações que você executa nela, e os campos que você preenche. Não tratamos os dados da primeira linha do item 1 para nenhuma finalidade própria.
Não usamos seu conteúdo para treinar modelos de inteligência artificial.
3. Suboperadores
| Suboperador | Finalidade | Fora do Brasil |
|---|---|---|
| Vercel | Hospedagem da aplicação, rede de entrega e proteção de borda | Sim |
| Supabase | Banco de dados PostgreSQL | Sim |
| Vercel Blob | Armazenamento de imagens e documentos enviados | Sim |
| Pagar.me | Processamento de cobranças e assinaturas | Não |
| Focus NFe | Emissão de documentos fiscais eletrônicos | Não |
| Resend | Envio de e-mails transacionais e notificações | Sim |
| Serviço de push do navegador (Google, Apple ou Mozilla, conforme seu dispositivo) | Entrega de notificações push | Sim |
| Melhor Envio | Cotação de frete, etiquetas e rastreio, quando a loja usa o serviço | Não |
| Uber Direct | Entregas sob demanda, quando a loja usa o serviço | Sim |
| iFood | Sincronização de pedidos, quando a loja conecta a conta | Não |
| Sentry | Registro de erros técnicos, sem corpo de requisição | Sim |
| Cloudflare (Turnstile) | Verificação de acesso humano em formulários sensíveis | Sim |
A inclusão de novo suboperador é comunicada com 30 (trinta) dias de antecedência. Havendo oposição fundamentada sua, você pode rescindir sem ônus, com reembolso proporcional do período pago e não usufruído.
O provedor de IA é escolhido pelo cliente e utiliza credenciais configuradas por ele. As requisições passam pela infraestrutura da Abastança para executar a integração e são enviadas ao provedor escolhido; conversas podem compor o histórico da plataforma. Custos, retenção, uso para treinamento e transferências internacionais seguem o produto e as configurações contratadas com esse provedor, sem presumir regras iguais entre fornecedores. Sem credenciais configuradas, a integração de IA fica indisponível. Consulte custos, documentação e políticas dos serviços externos antes de habilitar a integração.
4. Transferência internacional
Os suboperadores marcados acima processam dados fora do Brasil, em regra nos Estados Unidos e na União Europeia, com cláusulas contratuais adequadas, observados os arts. 33 a 36 da LGPD.
5. Medidas de segurança
- Criptografia em trânsito (TLS) em todas as comunicações
- Senhas armazenadas com hash, nunca em texto legível
- Chaves de API de terceiros criptografadas em repouso
- Controle de acesso por papéis, com segregação por organização
- Expiração e rotação de token de sessão
- Documentos com dados de terceiros (notas fiscais, comprovantes) em repositório privado, acessíveis apenas por link temporário emitido à sua sessão autenticada
- Registro de versões de cada alteração, com autoria e horário
- Registro do aceite dos Termos com data, hora, IP e versão
6. Requisições de titular
Titular que se dirigir a nós sobre dado do qual você é o controlador é encaminhado a você, e nós apoiamos tecnicamente o atendimento. Requisição sobre dado da sua conta é atendida por nós.
Canal: privacidade@abastanca.com. Prazo de resposta: 15 (quinze) dias, nos termos do art. 19, §1º da LGPD. O acompanhamento pode ser feito pelo painel de chamados.
7. Incidentes
Incidente de segurança com risco relevante é comunicado a você em até 24 (vinte e quatro) horas da ciência, com a natureza dos dados afetados, os titulares envolvidos, os riscos e as medidas adotadas. A comunicação à ANPD e aos titulares, quando cabível, é feita pelo controlador do tratamento afetado.
8. Eliminação e portabilidade
Encerrada a conta, aplica-se o item 10 da Política de Privacidade: identificação anonimizada; registros financeiros mantidos por 5 anos (Lei nº 9.430/1996 e art. 195, parágrafo único, do CTN); registros de acesso mantidos por 6 meses (art. 15 da Lei nº 12.965/2014) e eliminados depois disso.
Antes do encerramento, e por 30 dias após, você pode exportar seu conteúdo em formato estruturado e de uso comum.
9. Auditoria
Você pode solicitar, uma vez por ano, evidências documentais das medidas do item 5, abrindo um chamado no painel. Auditoria presencial depende de acordo prévio e corre por conta da solicitante.
10. Encarregado
Encarregado pelo Tratamento de Dados Pessoais (art. 41 da LGPD): ANTONIO MÜLLER JORGE DE MADUREIRA, privacidade@abastanca.com.