Política de Privacidade

1. Quem trata seus dados

Esta Política explica como a Pulso trata dados pessoais de quem visita o site, compra, vende ou fala com a gente, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018, “LGPD”) e o Marco Civil da Internet (Lei 12.965/2014).

A Pulso é a controladora dos dados tratados para operar a plataforma. O vendedor recebe do comprador só o necessário para entregar o item (o primeiro nome e a inicial do sobrenome e o que o comprador escrever na conversa) e só pode usar esses dados para isso.

Plataforma

Pulso

Contato

contato@pulsomarketplace.com.br

Encarregado de dados (LGPD)

privacidade@pulsomarketplace.com.br

2. Quais dados tratamos

Não tratamos dados pessoais sensíveis, como saúde, religião ou biometria. A passkey usa a biometria do seu próprio aparelho, que nunca chega à Pulso. Dados de cartão ficam com a Stripe: a Pulso não os recebe nem guarda.

No “Procura-se”, o texto de uma pessoa nunca aparece em público: a lista pública mostra só termos pedidos por duas pessoas ou mais.

3. Bases legais

Quando usamos o legítimo interesse, tratamos o mínimo necessário, com medidas que reduzem a identificação (como guardar códigos no lugar de endereços), e você pode se opor pelos canais desta Política.

4. Recomendações e decisões automatizadas

Com sua permissão, usamos o que você vê, busca e coloca no carrinho na Pulso para ordenar e sugerir anúncios. Não usamos dados de fora da Pulso nem pixels de redes sociais. Esse histórico é apagado automaticamente em 90 dias.

Você pode desligar a personalização em Conta ou nas preferências de cookies. Ao desligar pela conta, o histórico já coletado é apagado na hora.

O antifraude toma decisões automatizadas, como o limite inicial de compras de contas novas, a pausa de pagamentos suspeitos e a análise obrigatória dos reembolsos de contas com padrão de abuso. Você pode pedir que uma pessoa revise essas decisões e receber informações sobre os critérios usados, preservado o sigilo necessário para que o sistema não seja burlado (art. 20 da LGPD).

5. Com quem compartilhamos

A Pulso não vende dados pessoais. Compartilhamos só o necessário com:

• Stripe, que processa pagamentos, reembolsos e o recebimento dos vendedores e trata esses dados conforme a política de privacidade da Stripe.
• Provedor de hospedagem, onde ficam os servidores e o banco de dados.
• Serviço de envio de e-mails, para mensagens da conta e das compras e, se você permitir, de ofertas.
• A outra parte da compra, só o necessário: o vendedor vê seu primeiro nome e a inicial do sobrenome; o comprador vê o nome da loja.
• Autoridades, quando houver ordem judicial ou requisição de autoridade com competência legal, como explica a cláusula 7.

A Stripe pode tratar dados fora do Brasil. Essas transferências seguem o art. 33 da LGPD, com as garantias contratuais oferecidas pelo provedor.

6. Como protegemos seus dados

• Conexão sempre criptografada (HTTPS) e sessão guardada num cookie que o JavaScript do site não consegue ler.
• Senhas guardadas só como hash Argon2id, o algoritmo recomendado pela OWASP.
• Acessos das contas vendidas, mensagens e anexos criptografados com AES-256-GCM, com chaves separadas por finalidade.
• Cofre legal: CPF, WhatsApp de vendedores, documentos e endereços IP de registro são lacrados com criptografia híbrida pós-quântica (ML-KEM-1024, do padrão FIPS 203, combinada com X25519 e AES-256-GCM). A chave que abre o cofre fica offline, fora dos servidores: nem a equipe, nem o cargo mais alto da Pulso, nem quem invadir o servidor consegue ler esses dados.
• Para impedir lojas duplicadas sem expor o CPF, guardamos também um código derivado dele (HMAC) com chave secreta.
• O antifraude usa códigos (HMAC): liga contas que usam o mesmo aparelho sem guardar qual é o aparelho nem o endereço IP exato.
• Defesas contra ataques: limite de tentativas, bloqueio de varreduras, cabeçalhos de segurança, validação de tudo o que o site recebe e imagens reprocessadas sem metadados.
• Acesso interno mínimo: cada cargo da equipe tem permissões separadas, só o cargo mais alto cria cargos e telas com dados de pessoas registram quem acessou.

Nenhum sistema é invulnerável. Se houver um incidente de segurança que possa trazer risco ou dano relevante, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e as pessoas afetadas nos prazos da regulamentação (art. 48 da LGPD).

7. Pedidos de autoridades

Dados cadastrais (qualificação pessoal, filiação e endereço) podem ser fornecidos a autoridades administrativas com competência legal para requisitá-los (art. 10, § 3º, do Marco Civil). Registros de acesso, conversas, transações e documentos só são fornecidos com ordem judicial.

Cada pedido é registrado com a autoridade, o número do processo e a base legal. Os dados do cofre seguem lacrados até serem abertos com a chave offline, só no limite da ordem.

8. Por quanto tempo guardamos

Terminado o prazo, os dados são eliminados ou anonimizados (arts. 15 e 16 da LGPD).

9. Seus direitos

Você pode, a qualquer momento: confirmar se tratamos seus dados e acessá-los; corrigir dados; pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei; pedir a portabilidade; pedir a eliminação dos dados tratados com consentimento; saber com quem compartilhamos; saber o que acontece se não consentir; revogar o consentimento; e pedir a revisão de decisões automatizadas (arts. 18 e 20 da LGPD).

O passo a passo está em Seus direitos (LGPD).

10. Alterações desta Política

Podemos atualizar esta Política. A data de vigência fica no topo da página. Mudanças relevantes são avisadas por e-mail ou na Pulso e, quando dependerem de consentimento, pedimos de novo.