Política de Privacidade

1 · Quem trata os dados

A HerbLeaf é a controladora dos dados pessoais tratados neste site, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018). O canal para qualquer assunto de privacidade — dúvida, cópia dos dados, correção ou exclusão — é contato@herbleaf.com.br. Respondemos em até 15 dias.

2 · O que coletamos e para quê

Coletamos só o que cada uso pede. Nada é coletado "para depois".

• Leitura do site: nenhum dado pessoal. O carrinho e a preferência de leitura ficam no seu navegador (localStorage), não em nossos servidores.
• Conta: e-mail, senha (guardada só como hash, ninguém da equipe a vê) e o nome de exibição que você escolher. Serve para entrar, acompanhar pedidos e, quando a comunidade estiver ligada, publicar.
• Pedido: nome completo, CPF, e-mail, telefone e endereço de entrega. Sem isso não há nota fiscal nem etiqueta de envio. Guardamos também o histórico do pedido (itens, valores, status, código de rastreio).
• Pagamento: acontece dentro do Mercado Pago. O número do cartão nunca passa pelo nosso servidor; recebemos apenas a confirmação, o meio usado (Pix, cartão) e o identificador da transação.
• Newsletter: só o e-mail, e só se você assinar. Todo envio tem link de descadastro.
• Contato: o que você escreveu e o e-mail de resposta. Sem IP, sem rastreio.
• Comunidade (quando ligada): o que você publica é público por definição — diário, perguntas, comentários e as fotos que você escolher mostrar.

3 · Base legal

Conta e pedido são tratados para execução de contrato (art. 7º, V, da LGPD). Nota fiscal e registro de pedido ficam guardados por obrigação legal (art. 7º, II). Newsletter e cookies de medição dependem do seu consentimento (art. 7º, I), que você pode retirar a qualquer momento. A prevenção a fraude no pagamento se apoia no legítimo interesse (art. 7º, IX).

4 · Cookies e medição

O site funciona sem cookie de rastreio. O que roda por padrão é o essencial: sessão de login e a escolha que você fez na barra de cookies. A medição de audiência (Google Analytics 4) só liga se você clicar em "Aceitar" — antes disso nenhum cookie de medição nasce. Se escolher "Só o essencial", nada muda para você no uso do site. A escolha fica salva no seu navegador e pode ser refeita limpando os dados do site.

Não usamos cookies de publicidade, remarketing ou perfilamento. Não há pixel de rede social.

5 · Com quem compartilhamos

Compartilhamos dados apenas com quem precisa deles para o serviço acontecer, e só o pedaço necessário. Nunca vendemos, alugamos ou cedemos dado a anunciante.

• Mercado Pago — processa o pagamento; recebe nome, CPF, e-mail e valor.
• Melhor Envio e a transportadora escolhida (Correios ou outra) — recebem nome, endereço, telefone e o peso e as dimensões da caixa. A etiqueta não descreve o conteúdo.
• Supabase — banco de dados e autenticação, hospedados na região de São Paulo.
• Vercel — hospedagem do site.
• Resend — envio dos e-mails transacionais (confirmação de pedido, rastreio, redefinição de senha).
• Google — só o Analytics 4, e só com o seu consentimento, com dados de uso agregados e sem identificação pessoal.

Autoridade pública ou ordem judicial: entregamos o que a lei ou a decisão determinar, na extensão exata do que for determinado, e nada além. Não fornecemos dado por pedido informal.

6 · Por quanto tempo guardamos

• Pedido e nota fiscal: 5 anos após a compra, prazo fiscal e do Código de Defesa do Consumidor.
• Conta: enquanto existir. Você pode excluí-la a qualquer momento; o histórico de pedidos fica anonimizado pelo prazo fiscal.
• Newsletter: até o descadastro.
• Mensagens de contato: 12 meses.
• Registro de aceite dos termos: enquanto a conta existir, com a versão aceita — é isso que dá validade ao aceite.

7 · Seus direitos

A LGPD garante, e nós cumprimos sem burocracia: confirmação de que tratamos seus dados, acesso a eles, correção, anonimização ou exclusão, portabilidade, informação sobre com quem compartilhamos e revogação do consentimento. Basta escrever para contato@herbleaf.com.br a partir do e-mail cadastrado. Se a exclusão esbarrar em obrigação legal (nota fiscal emitida, por exemplo), explicamos o que fica e por quanto tempo.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

8 · Segurança

Todo tráfego é criptografado (HTTPS). Senhas são guardadas com hash. O acesso ao banco de dados é restrito, com regras por linha, e a chave administrativa nunca sai do servidor. Em caso de incidente que possa causar risco relevante a você, avisamos por e-mail e comunicamos a ANPD, como manda a lei.

9 · Menores de idade

O site é destinado a maiores de 18 anos. Não criamos conta nem aceitamos pedido de quem declara idade inferior, e excluímos qualquer dado de menor que chegue ao nosso conhecimento.

10 · Mudanças nesta política

Toda versão nova é publicada aqui com número e data de vigência, e a anterior fica no histórico ao pé desta página. Mudança que amplie o uso dos seus dados é avisada por e-mail antes de valer.