Última atualização: 17 de setembro de 2026 · versão 2026-09-17.
Esta política explica, em linguagem simples, quais dados pessoais a Central do Uniforme trata, para quê, com quem compartilha, por quanto tempo guarda e como você exerce seus direitos, conforme a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, LGPD).
1. Quem é o responsável (controlador)
Imperador do Real Distribuidora e Comercio de Utilidades LTDA, CNPJ 37.677.089/0001-35, nome fantasia Central do Uniforme, com loja física em São Paulo (SP) e loja virtual em centraldouniformesp.com.br.
Canal do encarregado pelo tratamento de dados (art. 41): WhatsApp (11) 94512-2315. Por ele você tira dúvidas sobre esta política e faz qualquer pedido sobre seus dados. Como agente de tratamento de pequeno porte, não nomeamos uma pessoa específica; o canal é atendido pela equipe da loja.
2. Quais dados coletamos e quando
- Ao navegar: endereço IP e dados técnicos do acesso (navegador, páginas visitadas) nos registros do servidor e nos controles de segurança; um identificador do carrinho; preferências guardadas no seu próprio navegador (favoritos, composição do kit, escolha de cookies).
- Ao criar conta: nome, e-mail, telefone e senha (guardada apenas como hash, sem como recuperá-la). CPF, se você informar em um pedido.
- Ao comprar: nome, e-mail, telefone, CPF (para a nota fiscal e a retirada em loja), endereço de entrega, itens, valores e forma de pagamento. Não recebemos nem guardamos número de cartão: a cobrança acontece no provedor de pagamento.
- Ao falar com a Marie (assistente virtual): o texto das mensagens, com e-mail, CPF, telefone e cartão mascarados antes de gravar.
- Ao falar conosco pelo WhatsApp ou e-mail: o que você enviar, nos termos da plataforma utilizada.
- Se você é administrador ou da expedição: além do cadastro, IP e navegador de cada ação no painel (trilha de auditoria).
3. Crianças e adolescentes (art. 14)
O site é destinado a responsáveis maiores de 18 anos: quem compra é o responsável, que fornece os próprios dados — nome, CPF, telefone, e-mail e endereço —, nunca os do aluno.
Não coletamos dados de crianças ou adolescentes. Não pedimos nome, escola, série nem qualquer outro dado do estudante, mesmo quando o pagamento usa o cartão do benefício Kit Escolar da Prefeitura de São Paulo, vinculado a um aluno.
O cartão do benefício é tratado como meio de pagamento do responsável: o que guardamos a respeito dele está descrito no item 7 (Por quanto tempo guardamos), e nada nessa referência identifica o estudante.
Se, ainda assim, um dado de criança ou adolescente chegar até nós — por exemplo, digitado em um campo de texto livre —, o responsável pode pedir a exclusão pelo canal do encarregado (item 1) e nós apagamos.
4. Para que usamos e com que base legal
- Vender e entregar (execução de contrato, art. 7º, V): carrinho, pedido, cobrança, separação, envio, retirada, trocas e avisos sobre o andamento do pedido.
- Cumprir a lei (obrigação legal, art. 7º, II): emissão de nota fiscal, guarda dos registros da venda pelo prazo legal e atendimento a autoridades.
- Manter a loja segura (legítimo interesse, art. 7º, IX, e art. 10): limite de tentativas por IP e por conta, detecção de abuso, auditoria do painel, prevenção a fraude e prevenção de cobrança em dobro no pagamento.
- Atender você (execução de contrato e legítimo interesse): Marie, WhatsApp, e-mail e central de ajuda.
- Enviar novidades (consentimento, art. 7º, I): só se você marcar a opção, que fica desligada por padrão e pode ser desligada em "Dados da conta" a qualquer momento.
- Medir o uso do site (consentimento): o Google Analytics só é carregado depois que você clica em "Aceitar opcionais" na barra de cookies.
5. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos o mínimo necessário com operadores que prestam serviço para nós, sob contrato, e com quem a lei exigir:
- Hospedagem e banco de dados: Supabase (banco de dados e armazenamento de imagens) e Vercel ou Hostinger (servidores da loja).
- Pagamento: Recolhe Fácil / DuePay, que processa o benefício e a cobrança. Recebe nome, CPF e valor; os dados do cartão são informados diretamente ao provedor.
- Emissão de nota, estoque e expedição: Bling ERP e Lexos Hub; a transportadora contratada recebe nome, telefone e endereço para entregar.
- Assistente virtual: Google (modelo Gemini), que recebe as mensagens da conversa com a Marie para gerar a resposta.
- E-mail transacional: Resend ou Brevo, para redefinição de senha e avisos.
- Recursos do site: Google Fonts e Google Maps (página da loja física) recebem seu IP ao carregar; Google Analytics só com o seu consentimento.
- WhatsApp (Meta): quando você escolhe falar conosco por lá.
- Autoridades: quando houver obrigação legal ou ordem judicial.
6. Transferência internacional
Parte dos operadores acima (Supabase, Vercel, Google, Resend/Brevo) mantém servidores fora do Brasil, principalmente nos Estados Unidos. A transferência é necessária à execução do contrato com você e se apoia nas cláusulas contratuais padrão desses fornecedores (art. 33, II e VIII), com criptografia em trânsito e em repouso.
7. Por quanto tempo guardamos
- Pedidos pagos, nota fiscal e histórico: 5 anos após a última movimentação (obrigações fiscais e do Código de Defesa do Consumidor).
- Pedidos com pagamento recusado ou não concluído: 180 dias; depois, nome, CPF, telefone, e-mail e endereço são apagados do registro.
- Conta: enquanto existir. Ao excluir, cadastro e endereços somem na hora e os pedidos ficam sem dados que apontem para você.
- Conversas com a Marie: 180 dias.
- Carrinhos sem movimento: 90 dias.
- Registros de segurança (limites por IP) e tokens de redefinição de senha: até 7 dias.
- Registros de integração (webhooks): 180 dias.
- Auditoria do painel e registros de consentimento: 5 anos.
- Referência cifrada do cartão do benefício: um código (hash) dos últimos dígitos do cartão — nunca o número —, para saber se aquele cartão já tem pagamento em aberto e evitar cobrança em dobro. Guardado por até 30 dias a partir da tentativa de pagamento, sem prorrogação (pode sair antes, quando o pagamento chega a um resultado definitivo). Por ser um controle de segurança financeira, essa referência não é apagada antes do prazo só porque você pede a exclusão da conta nesse meio-tempo; passados os 30 dias, some sozinha.
A limpeza roda automaticamente todos os dias.
8. Cookies e armazenamento no navegador
Usamos só o necessário para a loja funcionar, sem rastreamento entre sites:
- cdu_session (cookie, 8 horas): mantém você conectado. cdu_mfa: etapa da verificação em duas etapas do painel.
- Token do carrinho (armazenamento local): liga o seu carrinho ao seu navegador.
- Preferências (armazenamento local): favoritos, composição do kit, escolha na barra de cookies e sessão do chat da Marie (24 horas).
- Google Analytics (opcional): só depois de "Aceitar opcionais", com IP anonimizado e sem sinais de publicidade. Para mudar de ideia, limpe os dados do site no seu navegador.
- Andamento do pagamento (armazenamento da aba, apagado ao fechar a aba): identificadores do pedido e da tentativa (id e código do pedido, uma chave da tentativa, a etapa do pagamento) e uma autorização temporária — sem dados do cartão e sem dados pessoais diretos como nome, CPF, e-mail ou telefone.
9. Seus direitos e como exercer
A LGPD (art. 18) garante a você: confirmar que tratamos seus dados, acessá-los, corrigir, anonimizar ou eliminar, pedir portabilidade, saber com quem compartilhamos, revogar consentimento e se opor a tratamento irregular.
- Na sua conta: em "Minha conta → Privacidade" você baixa todos os seus dados em um arquivo, vê os aceites registrados e exclui a conta com a sua senha. Em "Dados da conta" corrige nome, e-mail e telefone e desliga as novidades.
- Sem conta ou por outro canal: fale pelo WhatsApp (11) 94512-2315. Confirmamos a sua identidade (e-mail ou CPF do pedido) e respondemos em até 15 dias.
- Limites: pedidos em andamento precisam ser entregues ou cancelados antes da exclusão, e o registro da venda fica guardado, sem os seus dados, pelo prazo legal. A referência cifrada do cartão do benefício (item 7) segue a regra própria dela: até 30 dias, mesmo que a exclusão da conta já tenha sido feita.
- Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
10. Como protegemos
Conexão criptografada (HTTPS), senhas guardadas com hash, verificação em duas etapas para administradores, limite de tentativas de acesso, trilha de auditoria do painel, credenciais de integração cifradas, acesso ao banco restrito e cópias de segurança. Em caso de incidente de segurança que possa causar risco a você, comunicaremos a ANPD e os titulares afetados nos prazos da lei (art. 48).
11. Alterações
Quando esta política mudar, a data e a versão no topo mudam e o aceite volta a ser pedido onde for necessário. Versões anteriores podem ser solicitadas pelo canal do encarregado.