Política de Privacidade e Proteção de Dados

1. Introdução e Compromisso com a Sua Privacidade

A plataforma Kryp-Dev (kryp.win) tem como princípio inegociável a segurança da informação, a privacidade e a transparência no tratamento de dados pessoais. Esta Política de Privacidade explica de forma clara como coletamos, usamos, armazenamos, protegemos e descartamos os dados de nossos usuários diretos e dos visitantes dos sites hospedados em nossa rede, atendendo estritamente aos requisitos da Lei Geral de Proteção de Dados Pessoais (LGPD - Lei nº 13.709/2018) e do Marco Civil da Internet (Lei nº 12.965/2014).

2. Papéis e Agentes de Tratamento (Art. 5º, VIII e IX da LGPD)

Para fins de cumprimento legal, as responsabilidades de tratamento são divididas da seguinte forma:

• Kryp-Dev como Controladora: Somos controladores dos dados cadastrais dos nossos assinantes diretos (desenvolvedores, lojistas e donos de restaurantes que criam contas na plataforma para gerenciar e publicar sites).
• Kryp-Dev como Operadora: Quando um visitante ou consumidor final acessa o site de um de nossos clientes (ex: fazendo um pedido no cardápio de uma pizzaria ou enviando um formulário de contato), o dono daquele estabelecimento é o Controlador dos dados, e a Kryp-Dev atua como Operadora tecnológica, fornecendo a infraestrutura de borda (Edge), o armazenamento seguro e a transmissão dos dados.

3. Quais Dados Coletamos e Suas Bases Legais (Art. 7º da LGPD)

4. Medidas Técnicas de Segurança da Informação (Art. 46 da LGPD)

Adotamos padrões de segurança rigorosos para mitigar acessos não autorizados, vazamentos ou incidentes de segurança:

• Criptografia em Trânsito: 100% do tráfego web utiliza conexões criptografadas com protocolo HTTPS / TLS de ponta a ponta.
• Hashing Seguro de Senhas: As senhas são criptografadas com o algoritmo bcrypt enriquecido com salt aleatório. A plataforma não tem conhecimento de senhas em texto puro.
• Pseudonimização de Endereços IP: Os endereços IP dos remetentes de formulários e pedidos são transformados em hash irreversível HMAC-SHA256 com chave secreta do servidor.
• Isolamento Multi-Tenant: Políticas estritas impedem que qualquer usuário acesse dados, pedidos ou sites de outros clientes (prevenção contra ataques IDOR).
• Inspeção Antivírus de Uploads: Todos os arquivos enviados (imagens de pratos, ícones e banners) passam por análise heurística contra malwares e são higienizados pela biblioteca Sharp antes do armazenamento.

5. Direitos dos Titulares de Dados Pessoais (Art. 18 da LGPD)

Como titular de dados, você tem o direito garantido por lei de solicitar a qualquer momento:

• Confirmação e Acesso (Art. 18, I e II): Saber se tratamos dados seus e quais são eles.
• Correção (Art. 18, III): Atualizar dados incorretos, inexatos ou desatualizados.
• Portabilidade (Art. 18, V): Exportar seus dados em formato estruturado (JSON) diretamente pela Área do Cliente.
• Eliminação e Anonimização (Art. 18, VI): Solicitar a exclusão definitiva da sua conta e de todos os dados vinculados a ela ("Direito ao Esquecimento").
• Revogação do Consentimento (Art. 18, IX): Retirar seu consentimento para cookies não essenciais ou comunicações a qualquer momento.

Para exercer os direitos de Portabilidade e Eliminação, disponibilizamos botões de autoatendimento direto na sua Área do Cliente (aba Privacidade & LGPD).

6. Uso de Cookies, Google Analytics e Meta Pixel

Em consonância com as diretrizes do Guia Orientativo de Cookies da ANPD (Autoridade Nacional de Proteção de Dados), classificamos todas as tecnologias de rastreamento por finalidade e garantimos ao titular o controle granular sobre o que é executado em seu navegador:

6.1 Detalhamento: Google Analytics (GA4) e Consent Mode v2

Quando ferramentas do Google Analytics são habilitadas, adotamos medidas de segurança por padrão:

• Mascaramento e Anonimização de IP: Os endereços IP dos visitantes são truncados/mascarados na camada de coleta da Google, impedindo a geolocalização exata em nível de dispositivo.
• Google Consent Mode v2 Integrado: A tag do Google Analytics é parametrizada com os sinais analytics_storage, ad_storage, ad_user_data e ad_personalization bloqueados por padrão até que o usuário clique em "Aceitar Todos" ou autorize no painel de preferências.
• Transferência Internacional de Dados (Art. 33 da LGPD): Os servidores da Google LLC estão localizados preponderantemente nos Estados Unidos. A transferência obedece a cláusulas-padrão contratuais (Standard Contractual Clauses - SCCs) e salvaguardas técnicas de criptografia.
• Como Revogar: O usuário pode revogar seu consentimento a qualquer instante pelo banner ou instalando o complemento oficial Google Analytics Opt-out Browser Add-on.

6.2 Detalhamento: Meta Pixel (Facebook / Instagram Ads)

O Meta Pixel é um identificador JavaScript operado pela Meta Platforms Inc. para avaliar o comportamento do consumidor em campanhas de publicidade:

• Vedação de Disparo Antecipado: Em estrito cumprimento ao Artigo 8º da LGPD, os scripts do Meta Pixel não são executados de forma prévia nem gravam cookies antes da manifestação de vontade ativa do usuário.
• Eventos Rastreados: Caso autorizado pelo usuário, eventos como visitas (PageView), cliques em itens (ViewContent) ou intenções de contato (Lead) podem ser computados.
• Correspondência Avançada (Advanced Matching): Dados sensíveis ou informações cadastrais de clientes não são enviados à Meta. Quaisquer identificadores de hashing eventualmente transmitidos utilizam algoritmo criptográfico irreversível SHA-256.
• Transferência Internacional: Os dados podem ser processados nos Estados Unidos sob as salvaguardas contratuais globais da Meta Platforms Inc. O usuário pode gerenciar suas preferências de privacidade de anúncios diretamente na Central de Anúncios da Meta.

7. Proteção de Dados e Direitos Autorais em Uploads de Imagens (Lei nº 9.610/1998)

A plataforma permite o envio de imagens para montagem de sites, cardápios e identidades visuais. O tratamento dessas mídias observa princípios rigorosos de segurança e respeito à propriedade intelectual:

• Higienização de Privacidade (Remoção de Metadados EXIF): Ao receber uma foto de prato, produto ou banner, nossa biblioteca de segurança (Sharp/libvips) elimina sumariamente todos os metadados EXIF. Isso impede que dados pessoais ocultos do titular — como coordenadas GPS de onde a foto foi tirada, data e hora da captura e modelo do dispositivo — permaneçam no arquivo publicado na web.
• Auditoria Antivírus e Prevenção de Injeção: Todas as matrizes de pixels passam por decodificação bruta para assegurar que nenhuma imagem contenha scripts maliciosos, webshells ou payloads ocultos.
• Responsabilidade do Cliente por Direitos Autorais: O cliente declara e garante sob as penas da lei que é o legítimo titular da imagem enviada ou possui licença comercial válida (Lei nº 9.610/1998). O uso indevido de fotografias de terceiros ou direitos de imagem de pessoas físicas sem autorização é de inteira responsabilidade do cliente, conforme estipulado nos nossos Termos de Uso.
• Canal de Notificação e Retirada (Notice and Takedown): Caso qualquer terceiro identifique violação de sua obra autoral em um site hospedado na rede kryp.win, disponibilizamos canal célere para despublicação da imagem em até 48 horas úteis via [email protected].

8. Acordo de Processamento de Dados (DPA - Controlador x Operador)

Para websites de clientes (como restaurantes, confeitarias e comércios locais) que utilizam as soluções da Kryp-Dev para atender seus próprios consumidores finais:

• O Lojista / Cliente é o CONTROLADOR: O lojista decide quais produtos vende, quais dados solicita em seus formulários e pedidos via WhatsApp, e como se relaciona com seu cliente final. É dever legal do lojista garantir que o consumidor final tenha conhecimento sobre o tratamento de seus dados.
• A Kryp-Dev é a OPERADORA: A Kryp-Dev fornece tão somente a infraestrutura de computação de borda, o banco de dados seguro, a criptografia e o pipeline de entrega técnica. A plataforma não comercializa, não monetiza e não transfere a terceiros os dados de pedidos ou leads capturados pelos sites dos clientes.

9. Prazo de Armazenamento e Descarte de Dados

Os dados cadastrais são mantidos enquanto a conta do usuário estiver ativa. Logs de conexão são guardados pelo prazo mínimo de 6 meses em cumprimento ao Art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet). Ao solicitar a exclusão de conta pelo titular, os dados pessoais são definitivamente expurgados ou anonimizados de nossos bancos de dados ativos.