Política de Privacidade

1. Introdução

Bem-vindo à Toca. A sua privacidade é extremamente importante para nós. Esta Política de Privacidade descreve como coletamos, usamos, armazenamos e protegemos suas informações pessoais quando você utiliza nosso aplicativo e serviços, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018).

2. Controlador, Operador e Encarregado (DPO)

A Toca é uma marca da Scoremedia Assessoria e Consultoria em Marketing Digital LTDA, inscrita no CNPJ sob o nº 17.025.864/0001-60.

Tratamos dados pessoais em dois papéis distintos:

• Como controladora — dos dados dos próprios usuários da plataforma (você, cliente/lojista): cadastro, uso, pagamento, conversas com a IA e preferências. Nesse caso, o controlador é a Scoremedia Assessoria e Consultoria em Marketing Digital LTDA (CNPJ 17.025.864/0001-60).
• Como operadora — dos dados pessoais de clientes-finais das lojas que entram por meio das integrações que você conecta. Nesse caso, você é o controlador desses dados e a Toca os trata em seu nome e segundo suas instruções, para gerar as análises contratadas (ver Termos, seção 5.5).

Para questões sobre o tratamento de dados pessoais, entre em contato com nosso Encarregado de Proteção de Dados (DPO): desenvolvimento@scoremedia.com.br.

3. Informações que Coletamos

Coletamos os seguintes tipos de informações:

• Dados Cadastrais: Nome, endereço de e-mail, número de telefone, CPF e outros dados fornecidos durante o cadastro e onboarding.
• Dados de Uso: Informações sobre como você interage com o aplicativo, incluindo endereço IP, tipo de dispositivo, sistema operacional, páginas visitadas e funcionalidades utilizadas.
• Dados de Integrações: Credenciais de acesso (tokens OAuth, chaves de API) e dados obtidos das plataformas conectadas por você.
• Dados de clientes-finais (via integrações): Ao consultar informações de clientes das suas lojas, a Toca pode acessar dados desses clientes-finais. Aplicamos minimização a esses dados antes de qualquer processamento por IA — por exemplo, não retemos gênero, mascaramos o CPF (apenas os últimos dígitos) e reduzimos endereços a cidade/estado.
• Dados de Conversas com IA: Mensagens enviadas ao assistente de inteligência artificial, incluindo perguntas, comandos e o histórico de conversas.
• Dados de Pagamento: Informações necessárias para processamento de pagamentos, gerenciadas pelo processador terceirizado Asaas. A Toca não armazena dados de cartão de crédito em seus servidores.
• Preferências e Memória do Usuário: Informações como orçamento, metas, preferências e contexto de negócio armazenadas para personalização do serviço.

4. Bases Legais para o Tratamento (LGPD)

O tratamento dos seus dados pessoais é realizado com base nas seguintes hipóteses legais previstas na LGPD:

• Execução de contrato (Art. 7º, V): Para prestação dos serviços contratados, incluindo o processamento por IA.
• Consentimento (Art. 7º, I): Para o envio de comunicações de marketing por e-mail. Você pode revogar esse consentimento a qualquer momento nas configurações.
• Legítimo interesse (Art. 7º, IX): Para melhoria do serviço, análises internas e prevenção a fraudes, mediante avaliação de balanceamento (LIA) que pondera os seus direitos.
• Cumprimento de obrigação legal (Art. 7º, II): Quando exigido por legislação aplicável (por exemplo, obrigações fiscais).

Quanto aos dados de clientes-finais tratados via integrações, a base legal é definida por você, na qualidade de controlador; a Toca, como operadora, atua conforme essa base e suas instruções.

5. Como Usamos Suas Informações

Utilizamos as informações coletadas para:

• Fornecer, operar e manter nossos serviços.
• Processar seus dados por meio de modelos de inteligência artificial para gerar análises, insights e recomendações personalizadas.
• Melhorar a experiência do usuário e personalizar o conteúdo.
• Enviar notificações de monitoramento, relatórios e comunicações nos canais escolhidos por você (e-mail, web).
• Processar pagamentos e gerenciar assinaturas.
• Garantir a segurança e prevenir fraudes.

6. Processamento por Inteligência Artificial

6.1. Os dados das suas integrações e conversas são processados por modelos de inteligência artificial fornecidos por terceiros, acessados por meio do Vercel AI Gateway (incluindo OpenAI, Anthropic e Google, entre outros), para geração de análises e recomendações.

6.2. Conforme os contratos firmados com esses provedores, os dados enviados são utilizados exclusivamente para processar suas solicitações e não são utilizados para o treinamento dos modelos desses provedores.

6.3. Aplicamos minimização aos dados de clientes-finais antes de enviá-los aos provedores de IA (por exemplo, remoção de gênero, mascaramento de CPF e redução de endereço), reduzindo a exposição de dados pessoais.

6.4. Os provedores de IA podem estar localizados fora do Brasil. Consulte a seção "Transferência Internacional de Dados".

7. Compartilhamento de Dados e Subprocessadores

Não vendemos suas informações pessoais. Podemos compartilhar dados com os seguintes prestadores de serviços (subprocessadores), sempre sob obrigações de confidencialidade e proteção de dados:

Vercel AI Gateway, OpenAI, Anthropic, Google, xAI, Groq, TogetherAI, Vercel, Asaas, Resend, Supabase, Pinecone, E2B, Turso, Crisp, Mailchimp, Cloudflare Turnstile.

Também compartilhamos dados com as plataformas integradas, conforme autorizado por você ao conectar cada integração.

8. Transferência Internacional de Dados

Alguns dos nossos subprocessadores operam em servidores localizados fora do Brasil, incluindo nos Estados Unidos, país que não possui decisão de adequação da ANPD. Essas transferências são realizadas em conformidade com o Capítulo V da LGPD, com base em cláusulas-padrão contratuais (nos termos da Resolução CD/ANPD nº 19/2024) ou instrumentos equivalentes previstos nos contratos de tratamento de dados firmados com esses fornecedores.

9. Armazenamento e Segurança dos Dados

9.1. Adotamos medidas de segurança técnicas e organizacionais adequadas para proteger seus dados contra acesso não autorizado, alteração, divulgação ou destruição.

9.2. As credenciais de integrações são armazenadas de forma criptografada em repouso, e não são expostas ao navegador do usuário.

9.3. As sessões de usuário são protegidas por tokens criptografados (JWE) com expiração automática. Senhas são armazenadas com hash.

9.4. Aplicamos minimização e mascaramento de dados pessoais de clientes-finais antes do processamento por IA e da persistência.

10. Cookies e Tecnologias de Rastreamento

A Toca utiliza apenas cookies essenciais para o funcionamento da plataforma, incluindo cookies de sessão para autenticação. Não utilizamos cookies de terceiros para fins publicitários. Exibimos um aviso sobre o uso de cookies essenciais na plataforma.

11. Retenção de Dados

11.1. Seus dados pessoais são mantidos pelo tempo necessário para a prestação dos serviços contratados e cumprimento de obrigações legais.

11.2. Você pode excluir sua conta e seus dados a qualquer momento em /settings/data; a exclusão é processada imediatamente. Após isso, retemos apenas os dados que a lei nos obrigue a manter (por exemplo, registros fiscais, por até 5 anos).

11.3. O histórico de conversas com a IA é mantido enquanto a conta estiver ativa e pode ser excluído individualmente pelo usuário a qualquer momento. Além disso, aplicamos uma política de retenção mínima: dados pessoais contidos em mensagens com mais de 12 (doze) meses são automaticamente redigidos (removidos), preservando apenas o conteúdo analítico.

12. Seus Direitos (LGPD — Art. 18)

Em conformidade com a LGPD, você tem os seguintes direitos em relação aos seus dados pessoais:

• Confirmação da existência de tratamento de dados.
• Acesso aos seus dados pessoais.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos.
• Portabilidade dos dados a outro fornecedor de serviço.
• Eliminação dos dados tratados com base em consentimento.
• Informação sobre entidades públicas e privadas com as quais seus dados foram compartilhados.
• Revogação do consentimento a qualquer momento.

Você pode exercer boa parte desses direitos diretamente na plataforma, em /settings/data: exportar seus dados (portabilidade), excluir conta/dados (eliminação) e gerenciar consentimentos. Nome e telefone você atualiza no seu perfil; para correção de e-mail ou CPF, ou qualquer outra solicitação, fale com o Encarregado: desenvolvimento@scoremedia.com.br. Responderemos em até 15 (quinze) dias, conforme previsto na legislação.

Se a solicitação envolver dados de clientes-finais das suas lojas (em que você é o controlador), a Toca, como operadora, encaminhará ou auxiliará no atendimento conforme suas instruções.

13. Alterações nesta Política

Esta Política de Privacidade pode ser atualizada periodicamente. Em caso de alterações relevantes, notificaremos você por e-mail ou por meio de aviso na plataforma. Recomendamos que você revise esta página periodicamente.

14. Contato

Se você tiver dúvidas ou preocupações sobre esta Política de Privacidade, entre em contato conosco:

• E-mail geral e Encarregado (DPO): desenvolvimento@scoremedia.com.br