Privacidade

Um mapa claro dos dados tratados pela Tactrail.

Esta política explica como a Tactrail trata dados ao operar o site, as contas e o atendimento das lojas conectadas. Ela também orienta como solicitar informações, acesso, correção ou exclusão.

Responsável pelo serviço

Pessoa jurídica: BERNARDO CHOURIK GLOBAL BRANDS LTDA — CNPJ 61.876.803/0001-07
Endereço oficial de contato: Rua Doutor Celestino, 122, Sala 708, Centro, Niterói - RJ, CEP 24020-091, Brasil

Papéis e escopo

Quem decide como os dados são usados

O fornecedor identificado acima é controlador dos dados usados para administrar contas, contratar e cobrar o serviço, prestar suporte e proteger a plataforma. Dados necessários a essas atividades são tratados para executar a contratação e cumprir obrigações legais; atividades de segurança e prevenção a abuso consideram o interesse legítimo e os direitos das pessoas envolvidas. Quando uma atividade depender de consentimento, sua finalidade será apresentada antes da escolha.

Para dados dos compradores e conversas das lojas, o lojista é o controlador e a Tactrail atua como operadora, conforme suas instruções e configurações. O lojista deve definir a base legal, os avisos aos compradores e as permissões para conectar sua loja e caixa de e-mail. A Tactrail não comercializa dados pessoais.

Mapa atual de dados do produto

Dados de conta e workspace

Exemplos: Endereço de e-mail, identificador de autenticação, organização, função do membro, convites, plano e configuração do workspace.
Finalidade no produto: Criar contas, autorizar acesso, operar workspaces e administrar assinaturas.

Solicitação de teste

Exemplos: Nome, e-mail profissional, domínio da loja, faixa aproximada de volume, idioma e registro de leitura desta página. A Tactrail não persiste o IP bruto no banco do formulário: antes de chegar ao banco ele é transformado em um HMAC com chave secreta para compor limites temporários de abuso. O provedor de hospedagem pode manter logs de rede conforme sua própria configuração.
Finalidade no produto: Avaliar e responder ao pedido de teste, evitar solicitações duplicadas e limitar envio automatizado abusivo. Enviar o formulário não cria conta, assinatura ou cobrança.

Dados de prevenção a abuso na autenticação

Exemplos: Quando a proteção antiabuso está habilitada, o hCaptcha pode receber sinais de rede, navegador, dispositivo e interação com o desafio necessários para avaliar abuso automatizado.
Finalidade no produto: Proteger login, criação e recuperação de contas contra automação e abuso de e-mail. O widget não é carregado enquanto a configuração necessária estiver indisponível.

Dados de loja e integrações

Exemplos: Domínio da loja Shopify, configurações, idioma, moeda, orientações da loja, configuração do domínio de e-mail, escopos dos conectores e credenciais de acesso criptografadas.
Finalidade no produto: Conectar uma loja autorizada, sincronizar contexto operacional e enviar ou receber e-mails de atendimento.

Dados de compradores e comércio

Exemplos: Nome, e-mail, telefone e idioma do cliente; número e estado do pedido; valores; fulfillment; transportadora; e eventos de rastreamento recebidos da loja conectada.
Finalidade no produto: Identificar o pedido relevante, responder dúvidas, encaminhar solicitações e exibir contexto para membros autorizados do workspace.

Comunicações de atendimento

Exemplos: Dados de remetente e destinatário, assunto, corpo do e-mail, cabeçalhos, referências da conversa, metadados de anexos, rascunhos, respostas e identificadores de entrega.
Finalidade no produto: Construir e exibir uma conversa, classificar a intenção, redigir ou enviar respostas e conciliar resultados do provedor.

Solicitações e operação do serviço

Exemplos: Detalhes de troca, reembolso, cancelamento ou desistência; motivo e arquivos enviados pelo formulário público; confirmações do comprador e registros de autorização; token opaco de recibo; IDs de webhook; contagens de uso; e estado de erros operacionais.
Finalidade no produto: Processar o fluxo solicitado, evitar duplicidades, aplicar limites, investigar falhas e manter a continuidade do serviço.

Feedback de produto

Exemplos: Categoria, mensagem, identificador idempotente, workspace e usuário autenticado que realizou o envio.
Finalidade no produto: Receber e analisar sugestões, problemas e dúvidas sobre o produto, evitar envios duplicados e limitar abuso. O canal não substitui atendimento urgente.

Email conectado ao Chargeback

A conexão opcional com Google ou Microsoft solicita acesso de leitura para localizar alertas das plataformas de prevenção de chargeback. No Google, a permissão gmail.readonly autoriza a leitura dos emails e das configurações da caixa; ela não é limitada pelo Google aos alertas. A Tactrail aplica os filtros de busca na aplicação, inicialmente sobre os últimos 30 dias e depois para acompanhar novos emails. Essa conexão não envia, altera nem exclui emails. Alertas encontrados por email permanecem sem confirmação financeira.

Assuntos e corpos são processados temporariamente nos servidores da Tactrail hospedados na Vercel para identificar os avisos, sem armazenar o conteúdo das mensagens ou anexos neste fluxo. No Supabase, guardamos o endereço da caixa conectada, credenciais de acesso cifradas, estado da sincronização, identificadores protegidos para evitar duplicidade e classificações mínimas dos alertas, como plataforma, tipo e data. Vercel e Supabase atuam como provedores de infraestrutura desse processamento. O acesso aos registros é limitado ao workspace autorizado e aos processos do serviço necessários para operar a integração.

Os dados recebidos das APIs do Google são usados somente para oferecer essa funcionalidade ao usuário. Não vendemos esses dados, não os usamos para publicidade, avaliação de crédito ou treinamento de modelos de IA e não os transferimos a provedores de IA. Essas restrições também se aplicam a informações derivadas, agregadas ou anonimizadas desses dados.

Desconectar remove a credencial salva e interrompe novas leituras; os avisos já recebidos permanecem até a exclusão da loja ou solicitação de exclusão pelo canal de privacidade abaixo. A autorização também pode ser revogada nas configurações da conta Google ou Microsoft. As regras sobre registros sujeitos a obrigações legais e cópias em backups estão descritas na seção de retenção desta política.

O uso e a transferência de informações recebidas das APIs do Google pela Tactrail seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Google API Services User Data Policy

Como protegemos os dados do Google

Proteção em trânsito: a autorização da conta Google e as chamadas às APIs de tokens e do Gmail usam HTTPS, que cifra a comunicação durante o transporte. Em produção, o retorno da autorização à Tactrail também exige HTTPS. A conexão usa verificações de sessão e de solicitação, incluindo um código de verificação PKCE e uma autorização temporária de uso único, para vincular o consentimento ao usuário, à loja e ao workspace que iniciaram a conexão.

Proteção das credenciais armazenadas: os tokens que permitem renovar o acesso ao Google são cifrados com AES-256-GCM antes de serem gravados no banco de dados. A chave de criptografia fica na configuração do servidor, separada dos registros cifrados. A troca e a renovação de tokens ocorrem no servidor; o painel não recebe esses tokens nem a chave de criptografia.

Controle de acesso: a consulta aos alertas e o gerenciamento da conexão exigem uma sessão autenticada com papel de proprietário ou administrador no workspace correspondente. O servidor verifica esse vínculo e limita as consultas à organização autorizada. As tabelas da integração têm segurança em nível de linha (RLS) habilitada e bloqueiam o acesso direto por visitantes e usuários autenticados; as operações passam pelos processos autorizados do servidor.

Minimização dos dados: neste fluxo, os assuntos e corpos dos emails são usados temporariamente para classificar os alertas e não são salvos no banco de dados. Não armazenamos anexos. Para evitar a ingestão duplicada, salvamos um hash do identificador da mensagem combinado com o provedor e a caixa conectada, em vez do identificador original. Os registros persistentes contêm apenas os dados da conexão e dos alertas descritos na seção anterior.

Origem dos dados

Os dados podem ser fornecidos por usuários do workspace, pelo formulário de solicitação de teste, lojas Shopify conectadas, e-mails recebidos, formulários públicos de solicitação e rastreamento e provedores que retornam eventos de entrega, cobrança ou autenticação. Clientes devem conectar apenas lojas e caixas de e-mail que estejam autorizados a administrar.

IA e conhecimento da loja

Quando a IA está habilitada, mensagens, orientações da loja, histórico relevante e dados disponíveis do pedido podem ser enviados à Anthropic para classificação e elaboração de respostas. O modo somente humano dispensa essa geração. O envio automático vem desativado e depende da configuração do lojista.

Exemplos de atendimento e orientações aprovados para aprendizagem são usados no contexto da própria loja. Não são apresentados como treinamento de um modelo geral. O tratamento realizado pelo provedor de IA segue os termos e as configurações do serviço utilizado; informações sobre esses contratos podem ser solicitadas pelo canal de privacidade.

Provedores e compartilhamento

A operação utiliza Supabase para autenticação, banco e armazenamento; Vercel para hospedagem; Postmark para e-mails da plataforma; Anthropic para geração por IA; Shopify para a integração de comércio; Hypercash para cobrança; e hCaptcha para proteção da autenticação. A caixa de e-mail conectada também envolve o provedor escolhido pelo lojista.

Cada integração recebe os dados necessários à sua função. O pagamento é preenchido no checkout da Hypercash; a Tactrail usa identificadores e estados de assinatura e pagamento, sem receber o número completo do cartão. Autoridades podem receber informações quando houver obrigação legal ou ordem válida. Informações adicionais sobre os prestadores e seus papéis podem ser solicitadas pelo canal de privacidade.

Cookies e registros de uso

Usamos cookies essenciais de autenticação e segurança, além de preferências de idioma e workspace. Um link de indicação pode guardar o código por até 30 dias entre o site e o aplicativo. Quando há uma solicitação de teste, essa indicação pode ser associada ao e-mail informado e confirmada ao criar o primeiro workspace com o mesmo e-mail verificado em até 30 dias.

O site não inclui rastreadores de publicidade. Hospedagem e proteção antiabuso podem registrar dados técnicos de acesso. Você pode gerenciar cookies pelo navegador; bloquear os essenciais pode impedir o login e outras funções.

Retenção, exportação e exclusão

Dados de conta e operação são mantidos enquanto necessários à prestação do serviço, ao atendimento das solicitações e ao cumprimento de obrigações aplicáveis. Cancelar a renovação interrompe cobranças futuras após a confirmação, mas não representa, por si só, um pedido de exclusão do workspace.

A exportação e a exclusão completa do workspace são atendidas mediante solicitação ao canal de privacidade. Após verificar a identidade e a autorização, a equipe informa o escopo, eventuais impedimentos e o resultado do atendimento. Não há botão de autoatendimento para exportar ou excluir todo o workspace. Exclusões podem ser irreversíveis; confirme o escopo e a necessidade de exportação antes de autorizá-las.

Registros sujeitos a obrigação legal, prevenção de fraude ou exercício de direitos podem precisar ser preservados com acesso restrito. Cópias em backups e em provedores seguem os respectivos ciclos de retenção; a resposta à solicitação deve esclarecer o que foi eliminado e o que permanece, com seu motivo. Não se promete remoção instantânea de todas as cópias.

Solicitações de teste pendentes ou recusadas sem atualização são apagadas após 90 dias; em contato, após 180 dias; aprovadas, após 30 dias. Os identificadores protegidos usados para limitar abuso nesse formulário são eliminados após dois dias. Esses prazos específicos não representam o prazo de retenção de todo o workspace.

Seus direitos e como solicitar atendimento

Nos casos previstos na LGPD e em outras normas aplicáveis, você pode pedir confirmação de tratamento, acesso, correção, informação sobre compartilhamento, portabilidade nos limites regulamentares, anonimização, bloqueio ou exclusão, além de revogar consentimento e contestar tratamentos ou decisões exclusivamente automatizadas que afetem seus interesses.

O atendimento é assistido. Envie a solicitação pelo contato abaixo; verificaremos a identidade, a relação com os dados e a autorização para agir pelo workspace. Essa verificação protege as informações e não deve exigir dados excessivos. Informaremos as providências, eventuais restrições e os prazos legais aplicáveis. Você também pode recorrer à ANPD.

Se você comprou em uma loja atendida pela Tactrail, procure inicialmente o lojista, que decide sobre os dados do pedido e a relação de consumo. Uma solicitação recebida diretamente pela Tactrail será direcionada ao responsável ou tratada com ele, conforme o caso.

Envie solicitações de privacidade para admin@tactrail.com. Informe o e-mail da sua conta, a loja ou workspace e o que deseja solicitar. Não envie documentos, senhas ou dados de terceiros sem que sejam necessários e solicitados por um canal apropriado.

Tratamento internacional e público do serviço

Os provedores utilizados podem processar dados fora do Brasil. O local depende do serviço contratado e da infraestrutura utilizada. Você pode solicitar informações sobre os destinatários, os locais de tratamento e as salvaguardas aplicáveis pelo canal de privacidade. Esta política não promete armazenamento exclusivo em um país.

A Tactrail é destinada a operações empresariais administradas por pessoas com capacidade para contratar. Não é oferecida diretamente a crianças. O lojista deve evitar o envio de dados sensíveis ou de crianças que não sejam necessários ao atendimento e avisar o suporte quando identificar conteúdo que exija cuidados adicionais.

Última atualização: 7 de outubro de 2026. Alterações relevantes serão comunicadas pelo site, pelo painel ou pelo e-mail cadastrado, conforme sua natureza e a legislação aplicável.