Política de Privacidade

1. Quem trata os seus dados

A controladora dos dados descritos nesta Política é KAFKA TECNOLOGIA E DESENVOLVIMENTO DE SOFTWARE LTDA ("Kafka Tech"), CNPJ 69.314.695/0001-82, com sede na Rua Pais Leme, 215, conjunto 1713, Pinheiros, São Paulo, SP, CEP 05424-150.

Esta Política explica como tratamos os dados pessoais de quem usa o Kafka ("Usuários"), de quem visita o site kafka.com.br e de quem fala conosco. Ela segue a Lei nº 13.709/2018 (LGPD) e o Marco Civil da Internet.

Os dados que uma empresa cliente insere no próprio Workspace, como os dos seus clientes, autores e fornecedores, pertencem a essa empresa. Nesse caso, a empresa é a controladora e nós somos operadores, conforme a seção 10 dos Termos de Serviço. Quem quiser exercer direitos sobre esses dados deve falar com a empresa.

2. Dados que coletamos

• Cadastro: nome de exibição, e-mail, foto de perfil opcional, idioma e função no Workspace.
• Empresa: razão social, CNPJ, endereço e logotipo da empresa que cria o Workspace, e os dados do responsável pelo pagamento.
• Pagamento: plano, histórico de cobranças, bandeira e últimos dígitos do cartão. A Stripe coleta e guarda os dados completos do cartão.
• Registros de acesso: endereço IP, data, hora e navegador de cada acesso.
• Registros de uso: as ações feitas no Workspace, guardadas no histórico de auditoria, e os registros de erro.
• Registros de aceite: a versão dos Termos e das Políticas que você aceitou, a data e a hora, o endereço IP e o navegador.
• Dados de navegação, só com o seu consentimento: as páginas que você abre no site e no app, o endereço IP e dados do navegador, que o Google Analytics coleta. Quando você cria a conta, ela guarda a campanha do seu primeiro acesso e o identificador do Google Analytics do seu navegador.
• Convites: o e-mail de quem você convida para o Workspace, a função oferecida, as datas e o resultado.
• Uso do Workspace: contagens e datas de uso, como o número de pedidos dos últimos 30 dias ou a data da primeira NF-e autorizada, sem o conteúdo dos registros.
• Contato e suporte: as mensagens que você nos envia, inclusive os pedidos de suporte que você escreve no Kafka, com a página em que você estava.
• Assistente: as perguntas que você faz ao assistente do Kafka, as respostas, as ferramentas que cada resposta usou e o número de tokens de cada resposta. Só você vê as suas conversas.

3. Para que usamos os dados

• Criar e manter a sua conta e prestar o serviço contratado. Base legal: execução de contrato (art. 7º, V, da LGPD).
• Enviar o código de acesso, convites, avisos de cobrança e avisos sobre mudanças nestes documentos. Base legal: execução de contrato.
• Cobrar a assinatura e emitir a nota fiscal de serviço. Bases legais: execução de contrato e cumprimento de obrigação legal (art. 7º, II).
• Guardar os registros de acesso por 6 meses. Base legal: obrigação legal (art. 15 do Marco Civil da Internet).
• Guardar o registro de cada aceite dos Termos e das Políticas, para provar o que foi aceito e quando. Bases legais: execução de contrato e exercício regular de direitos (art. 7º, VI).
• Proteger as contas e prevenir fraudes e abusos. Base legal: legítimo interesse (art. 7º, IX) e garantia de prevenção à fraude (art. 11, II, g).
• Melhorar o Kafka com dados de uso agregados. Base legal: legítimo interesse.
• Manter o nosso relacionamento com os clientes em um CRM que nós mesmos hospedamos: o cadastro, o Workspace e a empresa, os membros, os convites, o plano e a cobrança, as etapas do cadastro e as contagens de uso de cada Workspace. Usamos esses dados para dar suporte, para vender e para decidir o que melhorar no Kafka. Os dados que a empresa cliente insere no Workspace, como clientes, produtos, pedidos e notas fiscais, não vão para o CRM. Bases legais: execução de contrato e legítimo interesse.
• Responder aos pedidos de suporte. O pedido vai ao nosso CRM e à caixa de e-mail de suporte, contato@kafka.com.br, com tudo o que você escreve nele, inclusive dados da empresa cliente, como um número de pedido, uma nota fiscal ou o nome de um cliente. Usamos esses dados só para responder ao pedido. Nos dados da empresa cliente, agimos como operadores. Base legal: execução de contrato.
• Responder às perguntas que você faz ao assistente, quando a empresa cliente o ativa com a própria chave de um provedor de inteligência artificial (Anthropic, OpenAI ou Google, nos Estados Unidos). A pergunta, as mensagens anteriores da conversa, as instruções da empresa e o que o assistente lê no Workspace vão ao provedor escolhido para gerar a resposta: totais como vendas, contas e acertos de consignação, e os dados dos livros, como o estoque e as vendas de cada título e o nome, a minibiografia e as datas de cada contribuidor (autores, tradutores, autores de orelha e jornalistas), o nome da editora, do selo e de uma coeditora como aparecem no livro e o nome de cada depósito. O assistente lê só o que a sua função permite. Ele nunca envia o nome, o documento, o e-mail, o telefone nem o endereço de um cliente ou de um fornecedor. A empresa cliente contrata o provedor diretamente. Nos dados da empresa cliente, agimos como operadores. Base legal: execução de contrato.
• Medir o uso do site e do app com o Google Analytics e saber de quais campanhas vêm as contas, os testes e os primeiros pagamentos, se você consentir. Com o seu consentimento em Publicidade, também medir no Google Ads quais anúncios do Kafka trouxeram as visitas e as contas. Base legal: consentimento (art. 7º, I). Você pode retirar o consentimento a qualquer momento.
• Responder a autoridades e defender direitos em processos. Base legal: exercício regular de direitos (art. 7º, VI).

Não vendemos dados pessoais. Não usamos os seus dados para mostrar anúncios a você nem para treinar modelos de inteligência artificial.

4. Com quem compartilhamos

Contratamos estes suboperadores, que tratam dados só para nos prestar serviço:

• Hostinger: hospedagem dos servidores e do banco de dados, inclusive do nosso CRM (Brasil).
• Cloudflare: armazenamento de arquivos, como imagens e documentos, e das cópias de segurança do banco de dados (Estados Unidos), e a rede que entrega e protege algumas das nossas páginas, como a loja virtual e o Sítio de cada empresa cliente e o nosso CRM (rede global).
• Resend: envio de e-mails (Estados Unidos).
• Proton: hospedagem das nossas caixas de e-mail, contato@kafka.com.br e privacidade@kafka.com.br (Suíça).
• Stripe: processamento de pagamentos (Estados Unidos e Brasil).
• Focus NFe: emissão de documentos fiscais eletrônicos, como NF-e e NFC-e, e comunicação com as autoridades fiscais (Brasil).
• OpenStreetMap Foundation: o serviço Nominatim, que recebe a rua, o número, a cidade, o estado e o CEP dos endereços salvos no Kafka por uma empresa cliente que usa a Lalamove e devolve a latitude e a longitude de cada um, nunca um nome, um telefone ou um complemento (Reino Unido e Países Baixos).
• Google Fonts: fontes tipográficas carregadas pelo navegador, que recebem o endereço IP de quem abre o Kafka (Estados Unidos).
• Google Analytics e Google Ads, da Google LLC: medição do uso do site e do app e, com Publicidade, dos nossos anúncios, só com o seu consentimento (Estados Unidos).
• jsDelivr: a biblioteca da página de documentação da API, carregada pelo navegador, que recebe o endereço IP de quem abre essa página (rede global).
• Cal.com: agendamento de conversas com a nossa equipe, quando você escolhe agendar (Estados Unidos).

Também compartilhamos dados:

• com os demais Usuários do seu Workspace, conforme a função de cada um;
• com os serviços que a empresa cliente ativa, como Shopify, WooCommerce, Bling, Correios, Metabooks, Macunaíma e provedores de inteligência artificial, na medida que cada integração exige;
• com a Lalamove, quando a empresa cliente a ativa para as suas entregas: o endereço de coleta e de entrega, o nome e o telefone de quem entrega e de quem recebe, e os números do pedido e da NF-e de cada entrega;
• com a Rede Kafka, que recebe só os dados de catálogo que a empresa cliente decide enviar;
• com a SEFAZ, que recebe os dados de cada NF-e emitida;
• com autoridades, quando a lei ou uma ordem judicial exige;
• com o sucessor da Kafka Tech em uma reorganização societária.

5. Transferência internacional

Esta seção é o documento sobre transferência internacional de dados que o art. 17, § 2º, da Resolução CD/ANPD nº 19/2024 exige. A Kafka Tech, identificada na seção 1, é a controladora destas transferências e responde por elas. O contato é privacidade@kafka.com.br.

Nós enviamos dados pessoais para fora do Brasil nestes casos:

• Cloudflare, nos Estados Unidos: os arquivos do Workspace, como imagens e documentos, e as cópias de segurança criptografadas do banco de dados, para guardá-los. Forma: as cláusulas de proteção de dados do contrato de tratamento de dados da Cloudflare. Duração: enquanto o Workspace existir, nos prazos da seção 6.
• Cloudflare, em uma rede global: o endereço IP e os dados de cada acesso às páginas que ela entrega, como a loja virtual e o Sítio de cada empresa cliente e o nosso CRM, para entregar e proteger essas páginas. Na loja virtual e no Sítio, a empresa cliente é a controladora e nós somos operadores. Forma: as cláusulas de proteção de dados do contrato de tratamento de dados da Cloudflare. Duração: o tempo de cada acesso, mais o prazo em que a Cloudflare guarda os registros de acesso.
• Resend, nos Estados Unidos: o endereço, o nome e o conteúdo de cada e-mail que enviamos, como o código de acesso, os convites e os avisos de cobrança, para entregá-lo. Forma: as cláusulas de proteção de dados do contrato de tratamento de dados da Resend. Duração: o tempo de entregar o e-mail e de guardar o registro do envio.
• Proton, na Suíça: as mensagens que você troca com contato@kafka.com.br e privacidade@kafka.com.br, para guardá-las nas nossas caixas de e-mail. Forma: as cláusulas de proteção de dados do contrato de tratamento de dados da Proton. Duração: os prazos da seção 6, como 1 ano para os pedidos de suporte.
• Stripe, nos Estados Unidos: o nome e o e-mail de quem paga a assinatura, o plano e o histórico de cobranças, para cobrar a assinatura. Forma: as cláusulas de proteção de dados do contrato de tratamento de dados da Stripe. Duração: enquanto a assinatura existir e por 5 anos depois do fim, o prazo da legislação tributária.
• Google Analytics, da Google LLC, nos Estados Unidos: os eventos de criação da conta, de criação do Workspace e do primeiro pagamento, com o identificador do Google Analytics do seu navegador e a campanha do seu primeiro acesso, só com o seu consentimento, para saber de quais campanhas vêm as contas e os pagamentos. Forma: as cláusulas de proteção de dados do contrato de tratamento de dados da Google. Duração: enquanto o seu consentimento valer, nos prazos da Política de Cookies.
• OpenStreetMap Foundation, no Reino Unido e nos Países Baixos: a rua, o número, a cidade, o estado e o CEP de um endereço de entrega, sem nome, telefone ou complemento, para encontrar a latitude e a longitude e cotar a entrega que a empresa cliente contrata. Forma: a transferência é necessária para cotar e contratar a entrega (art. 33, IX, da LGPD), e a ANPD reconhece a proteção de dados da União Europeia, que inclui os Países Baixos, como adequada (Resolução CD/ANPD nº 32/2026, art. 33, I, da LGPD). Duração: o tempo de cada consulta. A OpenStreetMap Foundation guarda os registros de acesso pelo prazo da política de privacidade dela.

Os contratos de tratamento de dados da Cloudflare, da Resend, da Proton, da Stripe e da Google ainda não trazem as cláusulas-padrão contratuais da ANPD (art. 33, II, b, da LGPD). Estamos adotando essas cláusulas com cada suboperador.

Nestes casos, o seu navegador envia os dados diretamente a uma empresa fora do Brasil quando você abre uma página ou usa um recurso. Tratamos esses casos como coleta internacional, não como transferência (art. 6º da Resolução CD/ANPD nº 19/2024). A LGPD vale para eles da mesma forma:

• Google Analytics e Google Ads, da Google LLC, nos Estados Unidos: as páginas que você abre, o endereço IP e dados do navegador, só com o seu consentimento, para medir o uso do site e do app e, com Publicidade, os nossos anúncios. Duração: os cookies duram até 13 meses, conforme a Política de Cookies.
• Google Fonts, da Google LLC, nos Estados Unidos: o endereço IP de quem abre o Kafka, para entregar as fontes. Duração: cada carregamento da página.
• jsDelivr, em uma rede global: o endereço IP de quem abre a página de documentação da API, para entregar a biblioteca dessa página. Duração: cada carregamento da página.
• Cal.com, nos Estados Unidos: o nome, o e-mail e o horário que você informa quando escolhe agendar uma conversa conosco, para marcar a conversa. Duração: até a conversa e pelo prazo de guarda da Cal.com.
• Stripe, nos Estados Unidos: os dados do cartão que você digita na tela de Assinatura, que a Stripe recebe e guarda para processar o pagamento. Duração: os prazos da Stripe para dados de pagamento.

Nas integrações que a empresa cliente ativa, como Shopify, Metabooks e os provedores de inteligência artificial, a transferência é da empresa cliente, controladora desses dados, sob o contrato dela com cada provedor. Nós enviamos esses dados como operadores, conforme a seção 4.

Cada suboperador trata os dados só sob as nossas instruções e para o serviço que nos presta, e adota as medidas de segurança do contrato, como a criptografia em trânsito. Um suboperador pode contratar outros suboperadores, com as mesmas obrigações de proteção. Não usamos os dados transferidos para outra finalidade.

A pedido, enviamos a você, sem custo e em até 15 dias, a íntegra das cláusulas de proteção de dados que valem para cada transferência, sem os segredos comercial e industrial. Para pedir as cláusulas ou exercer os seus direitos, escreva para privacidade@kafka.com.br. A seção 9 lista os seus direitos. Você também pode peticionar contra a Kafka Tech perante a ANPD, em gov.br/anpd.

6. Por quanto tempo guardamos

• Dados da conta e do Workspace: enquanto a assinatura existir e por mais 90 dias depois do fim, para a exportação.
• Registros de acesso: 6 meses.
• Dados do CRM: os mesmos prazos dos dados da conta e do Workspace. Quando um membro sai de um Workspace, o CRM guarda o registro dele marcado como removido até a exclusão da conta.
• Pedidos de suporte: 1 ano depois do envio. Depois desse prazo, apagamos o pedido do Kafka, do CRM e da caixa de e-mail de suporte.
• Conversas com o assistente: os mesmos prazos dos dados da conta e do Workspace.
• Registros de aceite: enquanto o contrato durar e até o fim do prazo de prescrição.
• Dados de cobrança e notas fiscais: 5 anos, o prazo da legislação tributária.
• Dados que a defesa de um direito exige: até o fim do prazo de prescrição.
• Cookies: o prazo de cada um está na Política de Cookies.

Depois desses prazos, excluímos ou anonimizamos os dados. As cópias de segurança são apagadas no ciclo normal de rotação.

7. Cookies e armazenamento no navegador

O site e o app usam cookies necessários, que mantêm a sua sessão aberta e guardam a sua escolha sobre cookies. O navegador também guarda as suas preferências de interface, como o tema, o idioma, o estado do menu e as buscas recentes. Na tela de Assinatura, a Stripe usa cookies próprios para prevenir fraudes no pagamento.

Só com o seu consentimento, o site kafka.com.br e o app app.kafka.com.br usam o Google Analytics 4 para medir o uso. Com o seu consentimento em Publicidade, o Google Analytics também mede os nossos anúncios no Google Ads. Você pode mudar a sua escolha a qualquer momento. A Política de Cookies descreve cada cookie, para que serve e quanto tempo dura.

8. Segurança

Usamos criptografia em trânsito, isolamento entre Workspaces no banco de dados, acesso sem senha por código de uso único, controle de acesso por função, registros de auditoria e cópias de segurança. Nenhum sistema é totalmente seguro. Se um incidente puder causar risco ou dano relevante, avisamos os titulares afetados e a ANPD, como a lei exige.

9. Os seus direitos

A LGPD garante a você o direito de pedir:

• a confirmação de que tratamos os seus dados e o acesso a eles;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a exclusão de dados desnecessários ou tratados em desacordo com a lei;
• a portabilidade dos dados a outro fornecedor;
• a informação sobre com quem compartilhamos os seus dados;
• a revogação de um consentimento e a informação sobre o que acontece se você não o der;
• a oposição a um tratamento feito sem consentimento, se ele descumprir a lei;
• a revisão de decisões tomadas só com base em tratamento automatizado.

Para exercer esses direitos, escreva para privacidade@kafka.com.br. Podemos pedir uma confirmação da sua identidade. Respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

10. Idade

Kafka é um serviço para empresas e não se destina a menores de 18 anos. Não coletamos de propósito dados de crianças ou adolescentes. Se soubermos que isso aconteceu, excluímos os dados.

11. Contato

O canal de comunicação com os titulares e com a ANPD é privacidade@kafka.com.br.

12. Mudanças nesta Política

Podemos atualizar esta Política. Avisamos mudanças relevantes por e-mail ou no Kafka antes de elas valerem. Publicamos esta Política e todas as versões anteriores em kafka.com.br/privacidade. Cada versão mostra o dia em que foi publicada, o dia em que passa a valer e o que mudou.