Documento público · versão 1.0

Política de Privacidade e Segurança de Dados

Delfine, sistema de gestão da Heagler Tecnologia Ltda. Última atualização: 11 de outubro de 2026.

Esta política explica como o Delfine, desenvolvido e operado pela Heagler Tecnologia Ltda ("Heagler", "nós"), coleta, usa, armazena, protege, compartilha e descarta dados pessoais. Isso inclui os dados que recebemos de marketplaces integrados, como Mercado Livre, TikTok Shop, Shopee, Magalu, Kabum e Amazon. Seguimos a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD), a legislação fiscal brasileira e as políticas de proteção de dados e de uso aceitável de cada marketplace com que nos integramos.

1. Quem somos e como falar conosco

2. Controlador e operador

O papel muda conforme o dado:

• Heagler como controladora: cadastro de quem usa o Delfine (nome, e-mail, telefone), registros de acesso da conta, aceite destes documentos e dados da assinatura do serviço.
• Heagler como operadora: dados que a empresa cliente lança ou importa no sistema — clientes, pedidos, compradores de marketplace e documentos fiscais. A empresa cliente é a controladora desses dados. Tratamos segundo o serviço contratado e a lei.

Em qualquer dos papéis, o contato desta página é o canal para privacidade e para incidentes de segurança.

3. Quais dados tratamos

• Dados de pedidos de marketplaces: número do pedido, itens, quantidades, valores, datas e status.
• Dados do comprador necessários à emissão fiscal: nome ou razão social, CPF ou CNPJ, inscrição estadual (quando houver) e endereço de entrega e faturamento.
• Dados de usuários do sistema: nome, e-mail, telefone e registros de acesso (logs).
• Credenciais de integração: tokens de acesso e de atualização das APIs dos marketplaces, isolados por empresa.

Não coletamos dados além do necessário para as finalidades abaixo.

4. Para que usamos os dados

• Importar pedidos de venda para o ERP.
• Emitir a Nota Fiscal Eletrônica (NF-e) de cada venda em que a obrigação é da empresa cliente, como exige a legislação brasileira, e transmiti-la à SEFAZ.
• Cumprir obrigações fiscais e contábeis, como escrituração e guarda de documentos fiscais.
• Operar, proteger e dar suporte ao sistema.

Os dados de compradores obtidos dos marketplaces não são usados para marketing, publicidade, perfilamento, enriquecimento de base, treinamento de modelos, venda ou qualquer outra finalidade além das listadas acima.

Bases legais (LGPD, art. 7º): cumprimento de obrigação legal ou regulatória (II), execução de contrato (V) e legítimo interesse para segurança do sistema (IX).

5. Marketplaces

A integração com Mercado Livre, TikTok Shop, Shopee, Magalu, Kabum, Amazon e outros canais só começa quando o cliente, na qualidade de vendedor, autoriza o aplicativo na conta dele naquele marketplace.

Os dados recebidos desses canais são usados somente para importar pedidos, emitir e guardar a NF-e quando a lei exigir que o vendedor emita, cumprir a obrigação fiscal e manter a conexão técnica (tokens). Não revendemos, não alugamos e não usamos esses dados para construir perfil de consumo.

Seguimos as políticas de proteção de dados e de uso aceitável de cada marketplace. Se o incidente envolver dados da Amazon, comunicamos também security@amazon.com em até 24 horas após a detecção, além das comunicações que a LGPD exigir.

Ao desconectar a conta do marketplace, os tokens daquela empresa são revogados e excluídos.

6. Compartilhamento

Não vendemos nem alugamos dados pessoais. O compartilhamento ocorre apenas com:

• Autoridades fiscais (SEFAZ e Receita Federal): na transmissão da NF-e, por obrigação legal.
• Provedores de infraestrutura: hospedagem e backup, sob contrato, com dados protegidos em trânsito e em repouso.
• A própria empresa cliente: usuários que ela autoriza no Delfine acessam os dados da operação dela.
• Autoridades públicas: mediante ordem legal.

7. Retenção e descarte

O XML da NF-e contém a identificação do comprador exigida pelo fisco. Esse arquivo é documento fiscal, não base de marketing. A cópia operacional usada para faturar e entregar o pedido segue o prazo de 30 dias.

8. Segurança da informação

8.1 Rede e infraestrutura

• Aplicação e banco de dados ficam em provedor de infraestrutura contratado, com firewall, regra de acesso mínimo e separação entre a aplicação e o banco.
• O servidor conta com proteção contra malware e monitoramento de acesso administrativo.

8.2 Criptografia

• Em trânsito: TLS 1.2 ou superior (HTTPS) em todo o tráfego entre usuários, sistema e APIs.
• Em repouso: volumes de armazenamento e banco de dados criptografados.
• Senhas de usuários: armazenadas apenas como hash. O Delfine não guarda a senha em texto.
• Segredos do aplicativo: chaves de API e segredos de cliente ficam fora do código-fonte, do repositório, dos logs, das URLs e do front-end, em variáveis de ambiente com acesso restrito a administradores.
• Tokens de marketplace: gravados no banco, isolados por empresa, e apagados quando a conta é desconectada. Não aparecem em tela, log ou URL.

8.3 Controle de acesso

• Cada empresa só acessa os próprios dados. Dentro da empresa, o acesso segue papel e necessidade (menor privilégio).
• Senha de usuário do Delfine: no mínimo 8 caracteres, com letra maiúscula, letra minúscula e número.
• Acesso administrativo à infraestrutura (servidor e painel de hospedagem): senha com no mínimo 12 caracteres, incluindo caractere especial, troca periódica e autenticação multifator obrigatória.
• Acesso de colaborador é revogado no desligamento.

8.4 Desenvolvimento seguro

• Credenciais nunca são gravadas no código, em repositórios, logs, URLs ou no front-end.
• Repositório privado, revisão de código e verificação de segredos antes de cada publicação.

8.5 Backup e continuidade

• Backups automáticos diários, criptografados, em local separado do servidor principal.
• Teste de restauração trimestral. Objetivos: recuperação em até 4 horas (RTO) e perda máxima de 24 horas de dados (RPO).

8.6 Registro e monitoramento

• Logs de acesso, autenticação e aplicação, protegidos contra alteração.
• Tentativas de login falhas e acessos fora do padrão são investigados pela equipe responsável.

8.7 Gestão de vulnerabilidades

• Varredura de vulnerabilidades mensal no servidor e nas dependências, e teste de intrusão anual.
• Correção por severidade: críticas em até 7 dias, altas em até 30 dias.

9. Resposta a incidentes

1. Detecção e triagem do evento.
2. Contenção: isolamento dos sistemas afetados e revogação de credenciais e tokens.
3. Investigação com base nos registros.
4. Correção e restauração dos serviços.
5. Comunicação: incidente que envolva dados de marketplace segue a política daquele canal. Se os dados forem da Amazon, o reporte a security@amazon.com ocorre em até 24 horas após a detecção. A ANPD e os titulares são comunicados quando a LGPD exigir.
6. Revisão pós-incidente e melhorias.

O plano tem papéis definidos e é revisado a cada 6 meses. Contato de incidentes: privacidade@heagler.com.

10. Direitos dos titulares

Você pode solicitar confirmação de tratamento, acesso, correção, anonimização, exclusão (respeitadas as obrigações legais de guarda) e informações sobre compartilhamento. Escreva para privacidade@heagler.com. Respondemos em até 15 dias.

Se o dado foi importado pela empresa que usa o Delfine (por exemplo, o comprador de um pedido), podemos precisar encaminhar o pedido a essa empresa, que é a controladora da operação.

11. Cookies

Usamos apenas cookies necessários para sessão, segurança e, se você marcar a opção, para lembrar o acesso. Não usamos cookie de publicidade nem de analytics de terceiros. O detalhe está na Política de Cookies.

12. Alterações

Esta política pode ser atualizada. A data e a versão vigentes aparecem no topo desta página. O uso do Delfine depois da publicação da nova versão significa ciência do texto vigente. Quando a mudança for relevante, avisamos na conta ou por e-mail.