Política de Privacidade da Plataforma Lojuca

Versão: 1.0 Última atualização: 9 de setembro de 2026 Idioma: Português (Brasil)

Esta Política de Privacidade disciplina o tratamento de dados pessoais realizado pela Plataforma Lojuca, em conformidade com a Lei nº 13.709/2018 (LGPD), a Lei nº 12.965/2014 (Marco Civil da Internet) e as normas da Autoridade Nacional de Proteção de Dados (ANPD).

O uso da Plataforma submete-se também aos Termos de Uso. Contratos do lojista e do condomínio, quando existirem, prevalecem na parte em que forem mais específicos. Recursos descritos “quando disponíveis” seguem a cláusula 2.5 dos Termos: só há tratamento correspondente se o recurso estiver ativo no sistema.

PARTE I – QUEM CONTROLA, BASES LEGAIS E PRINCÍPIOS

1. Controladores e papéis de tratamento

1.1. Controladora da Plataforma:

• Razão social: MARCUS EDUARDO MOTTA DUARTE 09306391625
• Nome fantasia: Lojuca
• CNPJ: 29.279.274/0001-43
• Endereço sede: Rua Antônio Agnelo Pinho, nº 346, Casa, Bairro Aeroporto Industrial, Sete Lagoas/MG, CEP 35.701-303
• Encarregado (DPO): privacidade@lojuca.com
• Suporte: contato@lojuca.com

1.2. Divisão de responsabilidades (LGPD):

1.3. Quando o lojista copia ou continua o atendimento fora da Plataforma (WhatsApp próprio, planilha, impressora), ele é o controlador desse uso posterior.

1.4. Conta única (Lojuca ID) e isolamento entre lojas:

• Você tem uma conta (Lojuca ID: credenciais, perfil e endereços) para usar várias lojas e condomínios. O identificador fica no Firebase Auth, sob controle da Lojuca.
• Dados de cadastro e de entrega do consumidor são compartilhados somente com o lojista daquela compra ou agendamento.
• Lojas operam em *tenants* isolados. Nenhuma loja acessa a base de clientes, contatos ou histórico de outra loja.

1.5. Visitante sem conta que só navega pode gerar dado técnico (IP, user-agent, analytics/performance). Quem fecha pedido informando nome e telefone (inclusive checkout visitante) é tratado como consumidor nesta Política.

2. Bases legais (LGPD arts. 7º e 11)

Não há consentimento genérico para tudo.

2.1. A Plataforma não exige dado sensível no cadastro. Alergia na observação é voluntária, vai só ao lojista daquele pedido e não serve a marketing.

PARTE II – QUAIS DADOS E POR PAPEL

3. Categorias

3.1. Cadastro (Lojuca ID): nome, e-mail, hash de senha (Firebase Auth), telefone, endereço, CEP, bloco/apto/casa, papel, loja, condomínio.

3.2. Pedidos e serviços: itens, observações, anexos (ex.: foto de inspiração de bolo), telefone, endereço de entrega, horário, agendamento; PIN e foto de disputa quando esses recursos existirem.

3.3. Pagamento: status, valor, taxa, IDs de transação no Mercado Pago (e InfinitePay, se a loja usar). Não armazenamos número completo de cartão nem CVV.

3.4. Loja e condomínio: nome, slug, WhatsApp, horário, endereço, fotos de produto, tokens de pagamento em área restrita, CNPJ quando exigido, convites e unidades habitacionais.

3.5. Entregadores e equipe (cadastrados pelo lojista): nome, telefone, placa, chave Pix; membros da loja.

3.6. Técnicos: uid, IP (inclusive no log de aceite, quando existir), user-agent, telas, eventos de sacola/checkout, Performance, app_exception, logs de webhook.

3.7. IA: foto original, imagem gerada, marca d’água, status do job.

4. Por papel

4.1. Consumidor (vitrine pública), inclusive visitante no checkout

• Dados necessários para ver o catálogo e fechar o pedido.
• Ao comprar, a Lojuca transmite ao lojista daquela compra nome, telefone, endereço, itens e restrições informadas.

4.2. Mini CRM e marketing (legítimo interesse + opt-out)

• Depois de uma compra na loja, o lojista é controlador independente daquele vínculo e pode, por legítimo interesse, enviar pós-venda, ofertas e recompra (WhatsApp ou push), somente daquela loja.
• Opt-out gratuito a qualquer tempo: (1) link ou comando de recusa quando o canal permitir; (2) desligar a loja nas preferências do Lojuca ID.
• É vedado ao lojista vender a base, usar para produto de terceiro ou continuar após recusa.
• O consumidor não deve receber oferta de loja em que nunca comprou nem se cadastrou — salvo consentimento expresso.

4.3. Morador

• Convite do condomínio e unidade habitacional.
• Síndico/administração vê nomes, unidades e status daquele condomínio, para governança predial.
• Lista de moradores (pré-cadastro): o síndico pode guardar nome, telefone, e-mail e unidade de quem ainda não tem conta, só para casar o ingresso no condomínio. A Lojuca trata essa lista como operadora do condomínio (controlador). Não usamos a lista para marketing. O síndico pode exportar e apagar as linhas no painel.
• O síndico não acessa histórico de pedidos, carrinho nem transação privada do morador. O painel e as regras de acesso da Plataforma limitam essa visão.

4.4. Lojista, equipe e prestador

• Conta, loja, catálogo, pedidos da loja, add-ons, IA, OAuth de Google Meu Negócio se conectar.
• Dado de cliente no KDS, painel ou comanda impressa é sigilo: só para cumprir o pedido.
• Foto enviada à IA vai à Google. Evite rosto de terceiro sem autorização.

4.5. Síndico / condomínio

• Dados da entidade, do síndico e da assinatura. Acesso limitado ao tenant, na forma da cláusula 4.3.

4.6. Anúncios da própria Lojuca (audiência personalizada e semelhante)

Isto não é o Mini CRM da loja (cláusula 4.2) e não é venda da sua ficha a outra empresa. É a Lojuca, como controladora da Plataforma, usando um recorte da própria carteira para divulgar o marketplace — por exemplo, convencer mais lojistas a abrir vitrine, ou convencer mais consumidores da mesma cidade a pedir nas lojas que já estão no ar.

O que vai para a rede de anúncio (Meta Ads, Google Ads ou sucessor):

• Só identificadores já cadastrados: e-mail e/ou telefone, convertidos em hash (código que não se lê como nome ou número).
• Não enviamos endereço, casa/apto, itens do pedido, valor, alergia, foto, histórico completo nem o critério interno (“pede toda semana”, “lojista de padaria”). Esse recorte é feito dentro da Lojuca; a rede recebe apenas a lista hashed daquele grupo, para aquela campanha.
• Não entregamos a lista a outro lojista, a corretora de dados nem a anunciante de terceiro. A rede usa o hash para casar com contas que ela já tem e, se a campanha for de “público semelhante”, para achar pessoas parecidas — sem nos devolver a ficha dessas pessoas. Quem aparecer no anúncio só vira cliente da Lojuca se interagir por conta própria.

Não é um despejo automático da base inteira. Quando houver campanha, o envio é pontual ou periódico, limitado ao grupo escolhido (ex.: lojistas ativos; consumidores que já compraram na cidade X). Você pode se opor ou revogar, na forma abaixo; aí o identificador sai das próximas listas.

4.6.1. Lojista, equipe da loja e síndico (B2B)

• Finalidade: anunciar a Plataforma a outros comerciantes ou síndicos com perfil semelhante ao de quem já usa o Lojuca.
• Base: legítimo interesse da Lojuca (LGPD art. 7º, IX) na prospecção comercial B2B, depois de já existir cadastro ou contrato com você.
• Oposição: privacidade@lojuca.com e, quando existir no painel, a opção de não participar de listas de anúncio da Plataforma. A oposição não apaga a conta nem impede o uso operacional da loja.

4.6.2. Consumidor (marketplace da cidade)

• Finalidade: anunciar as vitrines da sua cidade (ou região) a pessoas com hábitos semelhantes aos de quem já pede no Lojuca.
• Base: consentimento (LGPD art. 7º, I). Sem o seu sim, não usamos o seu e-mail ou telefone como semente de audiência. Ainda podemos veicular anúncio genérico por localidade ou interesse da própria rede, sem usar o seu cadastro como lista.
• Revogação: preferências do Lojuca ID (quando a opção estiver no perfil) ou privacidade@lojuca.com. Vale para listas futuras; campanha já veiculada na rede pode levar o prazo técnico do operador para o hash sair do casamento.

4.6.3. Pixel ou API de conversões

Se a vitrine ou o app usarem pixel / API de conversões da Meta ou do Google, o aviso de cookies (cláusula 7) dirá o que está ligado. Medição de anúncio que não for essencial ao pedido admite recusa, quando a opção estiver no aviso.

PARTE III – COMPARTILHAMENTO E TRANSFERÊNCIA

5. Com quem compartilhamos

5.1. Lojista da compra — cumprir o pedido. 5.2. Condomínio / síndico — gestão do tenant, nos limites da cláusula 4. 5.3. Mercado Pago / InfinitePay — liquidação. 5.4. Entregador cadastrado pelo lojista — nome, endereço, telefone e, quando existir, PIN. A Lojuca não opera central de logística própria. 5.5. Google, Meta, Cloudflare (e equivalentes de DNS) — operação técnica da nuvem, catálogo público da loja se o lojista ligar o feed, e campanhas da própria Lojuca na forma da cláusula 4.6. 5.6. Autoridade — quando a lei mandar (cláusula 12). 5.7. Não vendemos o seu cadastro. Não cedemos a base a corretora de dados, a outra loja ou a anunciante de terceiro para a campanha deles. Uso de identificadores hashed nas contas de anúncio da Lojuca (Meta Ads, Google Ads ou sucessor) segue a cláusula 4.6 e não é venda.

6. Transferência internacional

6.1. Google (Firebase, Analytics, Performance, Vertex AI) e, conforme o caso, Meta e Cloudflare podem tratar dado fora do Brasil, em especial nos EUA. Functions da Lojuca rodam em southamerica-east1; outros serviços Google podem processar noutro país.

6.2. Base: LGPD art. 33, II (garantias do controlador / cláusulas-padrão — SCCs — dos provedores de nuvem, nos parâmetros da ANPD). A transferência é necessária à nuvem atual da Plataforma.

6.3. Mercado Pago trata pagamento segundo a própria política e a regulação do arranjo.

PARTE IV – COOKIES, ANALYTICS E MENSAGENS

7. Cookies, armazenamento local e SDKs

7.1. No site, na vitrine e no aplicativo usamos:

• Necessários ao serviço: sessão (Firebase Auth), loja/condomínio em uso, sacola;
• Medição de produto: Firebase Analytics (telas, funil de pedido; userId se você estiver logado);
• Performance: Firebase Performance (tempo de carregamento e traces);
• Diagnóstico: registro de falha (app_exception e, no aplicativo para celular, Firebase Crashlytics) — tipo de erro e um recorte da mensagem, sem despejar cadastro de propósito.

7.2. No primeiro acesso e no rodapé da vitrine informamos o que está em uso. Cookies e SDKs necessários ao login, à sacola e ao pedido não dependem de opt-in. Medição que não for essencial (analytics de produto, performance, diagnóstico, pixel de anúncio se estiver ligado) pode ser recusada no aviso, quando essa opção estiver disponível. Recusar medição não impede de ver o cardápio nem de concluir a compra.

7.3. Listas hashed da cláusula 4.6 não são cookie: saem do cadastro que você já nos deu e vão à conta de anúncio da Lojuca só se a base legal daquele papel estiver preenchida (consentimento do consumidor; legítimo interesse do lojista/síndico, com oposição).

8. Mensagens

8.1. Transacionais (pedido, pagamento, agendamento, PIN quando existir, segurança, fatura de assinatura(s), foto de IA): fazem parte da execução do contrato; não dependem de opt-in de marketing.

8.2. Promocionais da loja: cláusula 4.2. Anúncio pago da Lojuca (lista hashed / público semelhante): cláusula 4.6 — não é mensagem no seu WhatsApp; é anúncio na rede (Instagram, Facebook, Google etc.).

8.3. Permissão de notificação no navegador é do próprio browser.

PARTE V – DIREITOS, GUARDA, SEGURANÇA E AUTORIDADE

9. Direitos do titular (LGPD art. 18)

Pelo canal privacidade@lojuca.com e, quando existir, pelo painel:

• confirmação e acesso;
• correção (o perfil já permite nome, telefone, endereço, casa, preferências);
• anonimização, bloqueio ou eliminação do que for desnecessário;
• portabilidade, na medida técnica razoável;
• informação sobre compartilhamento;
• revogação de consentimento (marketing da loja e, se tiver dado, uso do seu identificador como semente de anúncio da Lojuca — cláusula 4.6.2);
• oposição a tratamento em legítimo interesse, inclusive analytics/performance e listas B2B de anúncio da Plataforma (cláusula 4.6.1), quando couber;
• revisão de decisão automatizada, se houver decisão que o afete só por algoritmo (hoje não há concessão de crédito automatizada ao consumidor).

9.1. Podemos pedir prova de identidade. Prazo de resposta: o da LGPD (15 dias, prorrogável na forma da regulamentação).

9.2. Limites: não apagamos o que a lei manda guardar (obrigação legal, processo, fraude, pedido em curso, chargeback). Exclusão de conta libera o slug na forma dos Termos (cláusula 11); inatividade também pode liberá-lo.

9.3. Dado já entregue ao lojista para a venda (painel, comanda, WhatsApp da loja) não desaparece só com o pedido de exclusão na Lojuca. Apagamos o que estiver sob nosso controle, nos limites desta cláusula, e o titular deve exercer o direito também perante o lojista.

10. Prazos de guarda (referência)

Dado anonimizado deixa de ser pessoal. Prazo pode alongar por processo ou ofício.

11. Segurança e incidentes

11.1. TLS/HTTPS; Firebase Auth; regras de Firestore por papel e tenantId; token de pagamento em subcoleção restrita; functions em southamerica-east1; minimização em log de exceção.

11.2. Incidente relevante: comunicação à ANPD e aos titulares, LGPD art. 48, quando o risco o exigir.

12. Autoridade

Cumprimos ordem judicial e requisição legal (LGPD art. 7º, II e VI; Marco Civil). Distinguimos, quando a lei exigir, dado cadastral e conteúdo. Não enviamos acervo sem base. Ofício sobre um lojista: o que o ofício pedir, no limite legal — isso não caracteriza emprego (Termos, cláusula 8.4).

PARTE VI – MENORES, ALTERAÇÕES E CONTATO

13. Menores (LGPD art. 14)

13.1. Conta de lojista, síndico e gestão: 18 anos. 13.2. A Plataforma não se dirige a menor de 13 anos. Adolescente (13–17) compra sob supervisão do responsável. 13.3. Nome de menor em encomenda (ex.: bolo) ou morador no convite do responsável: mínimo necessário; o responsável pede correção/exclusão pelo canal do titular.

14. Alterações

14.1. Mudança material (finalidade, operador relevante, transferência, nova medição) será avisada por e-mail e/ou painel, com versão no cabeçalho. 14.2. Recurso que não altere tratamento de dado pode ir ao ar sem nova versão (Termos, cláusula 2.5). Ligar NFC-e, certificado digital, stories ou novo modelo de IA com treino em dado de titular exige atualização desta Política. Crashlytics no app e anúncio da própria Lojuca com lista hashed (cláusula 4.6) já estão descritos aqui; mudar de operador de anúncio (outra rede no lugar de Meta/Google) ou passar a enviar dado além de e-mail/telefone hashed também exige nova versão. 14.3. Versões antigas ficam arquivadas para prova do aceite.

15. Contato

• Encarregado: privacidade@lojuca.com
• Suporte: contato@lojuca.com
• ANPD: https://www.gov.br/anpd

O titular pode peticionar à ANPD, sem prejuízo de usar primeiro o canal acima.