Política de privacidade

1. Controlador dos dados

O controlador dos dados pessoais tratados neste site é Peças a Jato, CNPJ 47.772.687/0001-47, com sede em Rua Coronel Teófilo Leme, 477-1 — Bragança Paulista/SP, CEP 12900-005.

2. Dados que coletamos

• Identificação: nome completo, CPF.
• Contato: e-mail, telefone/WhatsApp.
• Endereço: CEP, logradouro, número, complemento, bairro, cidade, UF, para envio do pedido.
• Pedido: itens comprados, valores, forma de pagamento (não armazenamos dados completos do cartão; estes são processados diretamente pelo Pagar.me).
• Navegação: cookies essenciais e ferramentas de medição (Google Analytics e Google Ads) para entender o uso do site, que você pode recusar na faixa de cookies; e medição de velocidade das páginas (Vercel Speed Insights), sem cookies e sem identificar você. No Google Analytics também medimos, de forma agregada, os cliques e as ações de navegação (qual botão, link, aba ou foto foi usado, em que parte da página, quanto a página foi rolada e por quanto tempo ficou aberta, envio de formulário e qual campo apontou erro) para melhorar o site. Essa medição registra só o nome do botão ou do campo, nunca o que você digita, e não leva nome, e-mail, CPF, telefone, endereço nem CEP; segue a mesma escolha que você fez na faixa de cookies.
• Origem do anúncio: quando você chega por um anúncio do Google ou do ChatGPT, guardamos por até 90 dias o código do clique que a própria plataforma coloca no endereço da página. Se você comprar, ele vai junto com o pedido para sabermos qual anúncio funcionou. Esse código não contém nome, e-mail, telefone, CPF nem endereço. Ele também acompanha as etapas da compra (carrinho, checkout, entrega e pagamento) que contamos à plataforma do anúncio e, se você veio do ChatGPT, também as páginas da loja que você abre, como explicado abaixo.

3. Finalidades

Utilizamos os dados para: processar pedidos e pagamentos, organizar envios e rastreio, emitir nota fiscal, prestar suporte ao cliente, cumprir obrigações fiscais e legais, prevenir fraudes, melhorar o site e medir o resultado dos nossos anúncios.

Para prevenir fraudes, quando há várias tentativas de pagamento com cartão recusadas em sequência, a loja pode, de forma automática e por algumas horas, oferecer apenas o Pix para o mesmo CPF, e-mail ou endereço de entrega. Guardamos apenas o tipo do motivo da recusa (por exemplo, "saldo" ou "suspeita de fraude"), nunca os dados do cartão. Você pode pedir a revisão dessa decisão pelos nossos canais de atendimento (art. 20 da LGPD).

4. Base legal

Tratamos seus dados com base em: execução de contrato (art. 7º, V da LGPD) para concluir a compra; cumprimento de obrigação legal (art. 7º, II) para emitir documentos fiscais; legítimo interesse (art. 7º, IX) para prevenção de fraudes e melhoria do serviço; legítimo interesse (art. 7º, IX) para medição do resultado dos anúncios, que você pode recusar a qualquer momento na faixa de cookies ou em "Mudar minha escolha de cookies", nesta página; e consentimento (art. 7º, I) para comunicações de marketing, quando aplicável.

5. Compartilhamento

Compartilhamos dados apenas com operadores estritamente necessários:

• Pagar.me (Stone): processamento de pagamento.
• Correios e Melhor Envio: cálculo do frete (só o CEP que você digitar), etiqueta e rastreio.
• Resend: envio de e-mails transacionais.
• Google (Analytics e Google Ads): medição de visitas e do resultado dos anúncios. Toda compra paga é registrada no Google Analytics (itens, valor, número do pedido e o identificador da visita, se você não recusou os cookies). Em compras que vieram de um anúncio do Google, vão ao Google Ads o código do clique, o número do pedido, o valor, a data e o seu e-mail e telefone em hash: um código embaralhado (SHA-256), gerado no nosso servidor, que não dá para converter de volta no e-mail ou no telefone. O Google só usa esse código para reconhecer que a compra veio do anúncio em que você clicou, por exemplo quando o clique foi em outro aparelho. Não enviamos nome, CPF nem endereço, e o e-mail e o telefone nunca vão em texto. Se você chegou por um anúncio do Google, contamos também ao Google Ads, pelo nosso servidor, as etapas antes da compra (produto no carrinho, checkout iniciado, entrega preenchida e forma de pagamento escolhida): vão o código do clique, os produtos, o valor e a data, sem nenhum dado pessoal.
• Google Avaliações do Consumidor: logo depois de uma compra paga, o Google pode mostrar na página do pedido uma pergunta se você quer avaliar a loja. Só se você aceitar, o Google recebe seu e-mail, o número do pedido e a previsão de entrega, para mandar uma pesquisa curta depois que a peça chegar. A avaliação é tratada pelo Google, conforme a política de privacidade dele. Se você recusou os cookies, a pergunta não aparece.
• OpenAI (anúncios no ChatGPT): só se você chegou por um anúncio no ChatGPT. Nesse caso contamos à OpenAI, pelo nosso servidor, as páginas da loja que você abre (só o endereço da página, sem pedido nem rastreio) e as etapas da sua compra: produto visto, produto adicionado ao carrinho, checkout iniciado, entrega preenchida, forma de pagamento escolhida e compra paga. Vão o código do clique, os produtos (código, nome, quantidade e preço), o valor, a data e, na compra, o número do pedido; nas etapas de entrega e pagamento não vão o endereço nem os dados do pagamento. Só na compra paga vão também seu e-mail e telefone em hash (criptografia de mão única, a OpenAI não recebe o texto), para ela reconhecer a compra se você usou outro aparelho. Não enviamos nome, CPF, endereço nem seu IP. Para essas visitas também carregamos o pixel de medição da OpenAI, que registra as mesmas etapas pelo navegador e grava cookies próprios (veja a seção Cookies). Segundo a OpenAI, o pixel pode ler e-mail ou telefone que estejam na página (por exemplo, no checkout) e enviá-los só em hash, nunca em texto. Quem não veio de anúncio no ChatGPT não tem nada enviado à OpenAI.
• Meta: medição de anúncios, só se você clicar em "Aceitar" na faixa de cookies.
• Vercel e Supabase: hospedagem do site e do banco de dados.
• Pushover: aviso interno de venda no celular da loja (itens, valor e cidade/UF de entrega).
• Autoridades públicas, mediante requisição legal.

6. Seus direitos

Conforme o art. 18 da LGPD, você pode solicitar a qualquer momento:

• Confirmação da existência e acesso aos seus dados;
• Correção de dados incompletos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários;
• Portabilidade dos dados;
• Eliminação dos dados tratados com base no consentimento;
• Revogação do consentimento.

Para exercer seus direitos, escreva para pedidos@pecasajato.com.br.

7. Cookies

Usamos cookies essenciais para o funcionamento do carrinho e da sessão, e cookies opcionais para medir visitas e o resultado dos anúncios (Google Analytics, Google Ads e, para quem veio de anúncio no ChatGPT, o pixel da OpenAI, com os cookies __oppref, de até 30 dias, __obref, de até 1 ano, e __oaiq_consent, que guarda se o pixel pode medir). Na primeira visita uma faixa pergunta sua escolha. Em "Recusar", os opcionais ficam desligados, o código de clique de anúncio já guardado é apagado (inclusive os cookies __oppref e __obref do pixel da OpenAI, que passa a ficar desligado) e não enviamos ao Google Ads nem à OpenAI nenhuma etapa da sua compra, nem seu e-mail ou telefone em hash. Em "Aceitar", também liberamos a personalização de anúncios. Para saber como a faixa é usada, o Google Analytics registra qual opção foi escolhida (aceitar, recusar, fechar no X ou fechar rolando a página), como qualquer outro evento de visita, sem nome, e-mail, telefone ou outro dado de cadastro. No caso de "Recusar", esse registro é feito no momento da escolha; depois dele, a medição com cookies fica desligada. Você pode mudar de ideia quando quiser:

O CEP que você digita para calcular o frete fica guardado só no seu navegador, para mostrar o frete nas próximas páginas sem pedir de novo; ele não vai para medição nem para anúncios. Depois de gerar um Pix, o número do pedido e a validade do QR Code também ficam guardados só no seu navegador, até o pagamento ou o vencimento, para lembrar o QR que já existe e evitar pagamento em dobro; não vão para medição nem para anúncios.

8. Retenção

Dados de pedidos são retidos pelo prazo legal de 5 anos (fins tributários). Outros dados são eliminados quando deixa de existir finalidade legítima.