Legal

Política de Privacidade

Última atualização: 6 de outubro de 2026

Esta Política explica como a BOXFLOW TECNOLOGIA E EMBALAGEM LTDA, marca BOXFLOW by Endossa(“BOXFLOW”, “nós”) trata os dados pessoais de quem visita o site boxflow.com.br, cria uma conta ou realiza pedidos, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018) e o Marco Civil da Internet (Lei nº 12.965/2014). Ela complementa os nossos Termos de Uso.

1. Quem é o controlador

A BOXFLOW é a controladora dos dados pessoais tratados no site.

  • Razão social: BOXFLOW TECNOLOGIA E EMBALAGEM LTDA
  • Nome fantasia: BOXFLOW - Tecnologia e Embalagem (marca BOXFLOW by Endossa)
  • CNPJ: 69.085.848/0001-67
  • Endereço: Av. Brigadeiro Faria Lima, 1572, Sala 1022, Jardim Paulistano, São Paulo/SP, CEP 01451-917
  • E-mail: ola@boxflow.com.br
  • Telefone/WhatsApp: (11) 92014-4087
  • Canal do titular de dados (LGPD): ola@boxflow.com.br

2. Quais dados coletamos

Dados que você nos fornece

  • Identificação e contato: nome, e-mail, telefone/WhatsApp, CPF ou CNPJ, razão social, nome fantasia e inscrição estadual (para pessoa jurídica).
  • Entrega e faturamento: endereço completo, CEP, cidade e estado.
  • Conta: e-mail e senha (armazenada apenas de forma criptografada pelo nosso provedor de autenticação).
  • Pedido: produto, configuração (material, tamanho, cor, impressão, quantidade), observações, ocasião informada e os arquivos de arte que você envia, que podem conter marcas, imagens ou textos seus ou de terceiros.
  • Aprovação da prova digital: nome informado, data, hora, endereço IP e navegador no momento da aprovação ou do pedido de ajuste, guardados como registro do aceite da arte para produção.
  • Comunicações: mensagens trocadas por e-mail ou WhatsApp.

Dados coletados automaticamente

  • Dados técnicos: endereço IP, tipo de navegador e dispositivo, páginas acessadas, data e hora, registros de acesso (guardados por 6 meses, conforme o Marco Civil).
  • Cookies e armazenamento local: usamos cookies estritamente necessários para manter a sessão autenticada e armazenamento local do navegador para lembrar a configuração em andamento de um produto e os dados do checkout. Não utilizamos cookies de publicidade de terceiros.

Dados de pagamento (número do cartão, código de segurança) são informados diretamente à Stripe, em ambiente dela, e não transitam nem são armazenados em nossos servidores. Recebemos apenas a confirmação do pagamento, o meio utilizado e os últimos dígitos do cartão, quando aplicável.

3. Para que usamos os dados (finalidades e bases legais)

  • Executar o pedido — produzir, faturar, entregar e dar suporte (execução de contrato, art. 7º, V).
  • Processar pagamentos e prevenir fraudes (execução de contrato e legítimo interesse, art. 7º, V e IX).
  • Cumprir obrigações legais — emissão de nota fiscal, guarda de registros fiscais e de acesso (art. 7º, II).
  • Gerenciar sua conta — autenticação, histórico de pedidos, sugestões de reposição baseadas nas suas compras anteriores (execução de contrato e legítimo interesse).
  • Analisar a arte enviada com ferramentas de inteligência artificial para verificar resolução, área segura e adequação à impressão (execução de contrato). A imagem é enviada ao provedor de IA apenas para essa análise; recomendamos não incluir dados pessoais sensíveis nas artes.
  • Comunicar-se com você sobre o pedido (e-mails transacionais, WhatsApp) e, se você consentir, enviar novidades e ofertas (consentimento, art. 7º, I — revogável a qualquer momento).
  • Melhorar o site e a segurança — métricas agregadas de uso e registros de erro (legítimo interesse).

4. Com quem compartilhamos

Compartilhamos dados apenas com operadores necessários à prestação do serviço, que os tratam sob nossas instruções e com obrigações contratuais de segurança e confidencialidade:

  • Stripe (Stripe, Inc. / Stripe Brasil) — processamento de pagamentos e emissão de boleto/Pix. Política da Stripe.
  • Supabase — hospedagem do banco de dados, autenticação e armazenamento dos arquivos de arte. Política da Supabase.
  • Microsoft (Azure Communication Services) — envio de e-mails transacionais (confirmação de pedido, prova digital, atualizações de status). Declaração de Privacidade da Microsoft.
  • Provedor de IA (OpenAI) — análise técnica da arte enviada.
  • Hospedagem (Vercel) — infraestrutura do site, com registros técnicos de acesso.
  • Transportadoras e serviços postais — nome, telefone e endereço de entrega, estritamente para a logística do pedido.
  • Gráficas e fornecedores de produção — a arte final e as especificações do produto, sem os seus dados de contato quando não forem necessários.
  • Autoridades públicas — quando exigido por lei, ordem judicial ou regulação.

Alguns desses operadores podem estar localizados fora do Brasil (ex.: Estados Unidos). Nesses casos a transferência internacional ocorre com base no art. 33 da LGPD, mediante cláusulas contratuais e garantias de nível de proteção adequado.

Não vendemos dados pessoais a terceiros.

5. Por quanto tempo guardamos

  • Dados de conta: enquanto a conta estiver ativa e por até 5 anos após o encerramento.
  • Dados de pedidos e documentos fiscais: pelo prazo legal de 5 anos (obrigações fiscais e prescrição, art. 16, I).
  • Arquivos de arte: por até 24 meses após o último pedido, para facilitar reposições, salvo pedido de exclusão.
  • Registros de acesso: 6 meses (Marco Civil da Internet).
  • Configuração em andamento e dados de checkout no navegador: até a conclusão do pedido ou limpeza do navegador.

Após esses prazos, os dados são excluídos ou anonimizados.

6. Seus direitos (art. 18 da LGPD)

Você pode, a qualquer momento e gratuitamente, solicitar:

  • confirmação da existência de tratamento e acesso aos seus dados;
  • correção de dados incompletos, inexatos ou desatualizados;
  • anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
  • portabilidade a outro fornecedor, observado o segredo comercial;
  • eliminação dos dados tratados com consentimento, salvo as hipóteses de guarda legal;
  • informação sobre com quem compartilhamos seus dados;
  • informação sobre a possibilidade de não consentir e as consequências da negativa;
  • revogação do consentimento e oposição a tratamentos baseados em legítimo interesse.

Para exercer esses direitos, escreva pelo canal da seção 9. Podemos solicitar comprovação de identidade antes de atender. Responderemos em até 15 dias. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

7. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados: comunicação criptografada (HTTPS), controle de acesso por perfil, senhas armazenadas com hash, políticas de acesso em nível de banco de dados e armazenamento de artes em área de acesso restrito. Nenhum sistema é totalmente imune; em caso de incidente de segurança que possa acarretar risco relevante, comunicaremos os titulares afetados e a ANPD conforme a lei.

8. Crianças e adolescentes

O site é destinado a maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes; se identificarmos esse tratamento sem consentimento do responsável, os dados serão excluídos.

9. Canal do titular e contato

Como agente de tratamento de pequeno porte, a BOXFLOW mantém um canal de comunicação com os titulares, nos termos da Resolução CD/ANPD nº 2/2022: escreva para ola@boxflow.com.br, com o assunto “Dados pessoais”. O mesmo endereço atende os demais assuntos.

10. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças legais ou operacionais. A versão vigente estará sempre nesta página, com a data da última revisão; alterações relevantes serão comunicadas por e-mail aos titulares cadastrados.