Política de Privacidade

Última atualização: 28 de setembro de 2026

Esta política descreve como a Vexa Pay LTDA coleta, usa, armazena e compartilha dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018 — LGPD).

1. Controlador

O controlador dos dados pessoais tratados na plataforma é a Vexa Pay LTDA, CNPJ 51.848.548/0001-27, com sede na Avenida Paulista, 1471, 10A, Bela Vista, São Paulo/SP, CEP 01311-927.

A Vexa vende exclusivamente produtos do seu próprio ecossistema e não processa pagamentos para lojistas externos. Por isso ela é a única controladora dos dados dos Compradores — não há vendedor terceiro na relação e a Vexa não atua como operadora de dados de outra empresa.

2. Dados que coletamos

Do Comprador, no checkout: nome, e-mail, CPF ou CNPJ, telefone, endereço (quando o meio de pagamento exige), dados do cartão, endereço IP, dados do dispositivo e do navegador, e a origem do acesso (parâmetros de campanha).

Do Operador autorizado, no acesso interno: nome, e-mail, credenciais de autenticação e segundo fator, endereço IP e registro das ações realizadas na plataforma (log de auditoria).

Dados de cartão. O número do cartão (PAN) e o código de segurança (CVV) nunca são armazenados pela Vexa. Com a instituição de pagamento atualmente em uso, a tokenização acontece no próprio navegador do Comprador e esses dados sequer chegam aos servidores da Vexa: o servidor recebe apenas um token de uso único. São retidos somente a bandeira, os quatro últimos dígitos e, em algumas análises de risco, os seis primeiros dígitos (BIN).

3. Cookies e tecnologias similares

• Estritamente necessários: autenticação de sessão (cookies com prefixo __Host-), segurança e prevenção a fraude. Sem eles a plataforma não funciona.
• Medição de conversão (desativada): a plataforma tem integração com o Meta Pixel, que registraria a conversão junto à Meta Platforms na página de confirmação de compra. Esse rastreamento está desligado, e por decisão interna só pode ser ativado mediante consentimento prévio do titular — é essa a base legal aplicável a ele, e não o legítimo interesse. Enquanto estiver desligado, nenhum dado pessoal do Comprador é enviado à Meta, nem pelo navegador, nem pelos nossos servidores. O Pixel nunca é carregado na página de checkout.

Não utilizamos cookies de publicidade comportamental, nem perfilamento de visitantes para anúncios.

4. Finalidades e bases legais

• Processar o pagamento e entregar o produto comprado — execução de contrato (art. 7º, V).
• Emitir documentos fiscais e cumprir obrigações tributárias e regulatórias — cumprimento de obrigação legal (art. 7º, II).
• Prevenir fraude e garantir a segurança da plataforma — legítimo interesse (art. 7º, IX), com avaliação de impacto quando aplicável.
• Comunicar o andamento da compra e do acesso ao produto — execução de contrato (art. 7º, V).
• Medir a conversão de campanhas — consentimento (art. 7º, I). Tratamento atualmente desativado; se for ativado, dependerá de consentimento prévio e específico, que poderá ser revogado a qualquer momento.
• Atender solicitações do titular — cumprimento de obrigação legal (art. 7º, II).

5. Com quem compartilhamos

Os dados são compartilhados apenas com prestadores necessários à operação, cada um limitado à sua finalidade:

• Instituição de pagamento parceira (Mercado Pago) — nome, CPF/CNPJ, valor, dados do cartão e informações antifraude, para capturar e liquidar a transação.
• Provedor de e-mail transacional (Resend, MailerSend ou servidor SMTP próprio, conforme a configuração vigente) — nome e e-mail, para enviar confirmação de compra e acesso ao produto.
• Meta Platforms — nenhum dado é compartilhado hoje. A integração de medição de conversão está desativada; se for ativada mediante consentimento, o compartilhamento se limitará ao evento de conversão na página de confirmação.
• Monitoramento de erros (Sentry) — dados técnicos de execução, com redação de informações pessoais antes do envio.
• Autoridades públicas — quando houver obrigação legal ou ordem judicial.

A Vexa não vende dados pessoais e não os compartilha para marketing de terceiros.

6. Onde os dados são processados

Os dados são armazenados e processados em servidores localizados no território brasileiro. A instituição de pagamento parceira (Mercado Pago) também opera no Brasil.

Há duas exceções. A primeira: o provedor de e-mail transacional utilizado para enviar a confirmação de compra pode processar nome e e-mail no exterior. Essa transferência internacional se apoia nas hipóteses do art. 33 da LGPD e nas cláusulas contratuais padrão oferecidas pelo prestador, e se limita aos dados necessários para entregar a mensagem.

A segunda: utilizamos um serviço de monitoramento técnico de erros (Sentry), com servidores nos Estados Unidos, que recebe o registro das falhas do sistema para que possamos corrigi-las. Esse serviço recebe apenas informação técnica — mensagem de erro, endereço da página e navegador utilizado. Não recebe número de cartão, código de segurança, CPF, senhas, tokens de acesso nem cabeçalhos de autenticação: esses campos são removidos antes do envio, e a coleta automática de dados pessoais do serviço está desativada. A transferência se apoia nas mesmas hipóteses do art. 33 da LGPD e tem como finalidade a segurança e o funcionamento correto da plataforma.

7. Por quanto tempo guardamos

Cada dado é mantido pelo menor prazo compatível com a sua finalidade e com a lei (art. 16 da LGPD). Os prazos aplicados são:

• Registros de transações e documentos fiscais — 5 anos. É o prazo de decadência e prescrição dos créditos tributários (arts. 173 e 174 do Código Tributário Nacional): antes disso não podemos descartar sem risco de não conseguir comprovar a operação ao Fisco.
• Dados cadastrais e da conta — enquanto a conta existir, mais 5 anos. O acréscimo cobre o prazo de prescrição das pretensões relativas à relação de consumo e permite defesa em eventual questionamento posterior.
• Registros de acesso à aplicação — 6 meses. É o prazo de guarda obrigatória do art. 15 do Marco Civil da Internet (Lei 12.965/2014). Findo o prazo, são eliminados, salvo ordem judicial em contrário.

Encerrado o prazo aplicável, os dados são eliminados ou anonimizados. Dados tratados com base em consentimento são eliminados assim que o consentimento é revogado, ressalvadas as hipóteses de guarda obrigatória acima.

8. Direitos do titular (art. 18, LGPD)

O titular pode solicitar, a qualquer momento:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• portabilidade a outro fornecedor, mediante requisição expressa;
• eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de guarda obrigatória;
• informação sobre com quem os dados foram compartilhados;
• revogação do consentimento;
• revisão de decisões tomadas unicamente por tratamento automatizado.

As solicitações devem ser enviadas para contato@vexapagamentos.com. A Vexa responde em até 15 (quinze) dias contados do recebimento, conforme o art. 19, II, da LGPD. Para proteger o titular, podemos solicitar informações adicionais que confirmem a sua identidade antes de atender ao pedido.

9. Segurança

Medidas técnicas e organizacionais adotadas:

• criptografia em trânsito (TLS) e criptografia de credenciais sensíveis em repouso;
• tokenização do cartão, sem armazenamento de PAN ou CVV;
• autenticação com segundo fator para o acesso interno;
• controle de acesso por papel e log de auditoria imutável das ações administrativas;
• isolamento de cookies por subdomínio, para que a sessão de uma área não valha em outra;
• redação de dados pessoais antes do envio ao monitoramento de erros.

10. Encarregado pelo tratamento de dados (DPO)

Em atendimento ao art. 41, §1º, da LGPD, o Encarregado pelo tratamento de dados pessoais da Vexa Pay LTDA é Diego Vieira, que pode ser contatado pelo e-mail contato@vexapagamentos.com.

O Encarregado é o canal para receber comunicações dos titulares, prestar esclarecimentos e adotar providências, bem como para receber comunicações da Autoridade Nacional de Proteção de Dados (ANPD).

11. Atualizações desta política

Esta política pode ser atualizada. Alterações materiais serão comunicadas por e-mail e/ou pela plataforma, e a data no topo desta página será revisada.

12. Contato

Vexa Pay LTDA · CNPJ 51.848.548/0001-27 · Avenida Paulista, 1471, 10A, Bela Vista, São Paulo/SP, CEP 01311-927.