Esta tradução é fornecida apenas para sua conveniência. Em caso de divergência, prevalece a versão em inglês.

1. Escopo e funções

O Galactic Orders é uma plataforma B2B usada por lojistas (“Clientes”) para gerenciar suas operações de comércio. Esta Política abrange duas relações distintas:

(a) Relação de controlador. Quando você visita nosso site de marketing, registra uma conta ou entra em contato conosco, atuamos como “controlador” (data controller, GDPR) / “empresa” (business, CCPA/CPRA) em relação aos seus dados pessoais.

(b) Relação de operador. Quando nossos Clientes usam o Serviço para tratar dados sobre seus próprios clientes finais (por exemplo, dados de pedidos ou de envio originados de uma loja Shopify conectada ou de uma conta de vendedor da Amazon), atuamos como “operador” (data processor, GDPR) / “prestador de serviços” (service provider, CCPA/CPRA) em nome do Cliente. O Cliente é o controlador/a empresa em relação a esses dados, é o único responsável pela base legal do tratamento, por fornecer avisos aos titulares dos dados e obter seus consentimentos, e por responder às solicitações dos titulares dos dados. Os usuários finais das lojas dos Clientes devem consultar a política de privacidade do próprio Cliente. Tratamos esses dados apenas conforme as instruções documentadas do Cliente e para fornecer o Serviço.

2. Categorias de dados pessoais que coletamos

Coletamos as seguintes categorias de dados pessoais:

(a) Dados de conta & identificação — nome, endereço de e-mail, senha (com hash), número de telefone, nome da empresa, função, preferências de perfil, fuso horário, idioma.

(b) Dados de autenticação & segurança — carimbos de data/hora de login, endereço IP, identificadores de dispositivo, tokens de sessão, estado da autenticação multifator e logs de auditoria.

(c) Dados de faturamento — nome de faturamento, endereço de faturamento, últimos quatro dígitos do cartão de pagamento, tokens de método de pagamento, histórico de transações, faturas e identificadores fiscais. Os dados completos do cartão de pagamento são coletados e processados exclusivamente por nossos processadores de pagamento em conformidade com o PCI-DSS; não armazenamos números de cartão completos.

(d) Dados da loja do Cliente (na qualidade de operador) — dados que tratamos em nome de nossos Clientes, que podem incluir nomes, endereços de e-mail, números de telefone, endereços de entrega/faturamento, histórico de pedidos, preferências de produtos e status de fulfillment dos seus clientes finais, bem como dados pessoais similares relacionados a pedidos ou envios. Esses dados são coletados de plataformas conectadas como Shopify e Amazon e de fornecedores terceirizados de envio/logística.

(e) Credenciais de integração — tokens OAuth, chaves de API, tokens de atualização, segredos de assinatura de webhooks e credenciais similares fornecidas para conectar Serviços de terceiros. Elas são criptografadas em repouso.

(f) Dados de comunicações — mensagens, e-mails, tickets de suporte, feedback e demais correspondências conosco.

(g) Dados de uso & diagnóstico — páginas visitadas, recursos utilizados, eventos de clique e rolagem, relatórios de erro, métricas de desempenho, tipo de navegador, sistema operacional, URLs de referência e logs de falhas.

(h) Cookies & tecnologias similares — consulte a Seção 9 abaixo.

Não coletamos intencionalmente nenhum dado de crianças menores de dezesseis (16) anos. Se você acredita que uma criança nos forneceu dados pessoais, entre em contato com privacy@adv.design e os excluiremos prontamente.

3. Como coletamos os dados

Coletamos dados pessoais (a) diretamente de você quando você se registra, configura integrações ou entra em contato conosco; (b) automaticamente por meio do seu uso do Serviço (cookies, arquivos de log, telemetria); (c) de plataformas de terceiros que você conecta ao Serviço (por exemplo, Shopify, Amazon, processadores de pagamento, transportadoras); e (d) de fontes públicas ou fornecedores de dados terceirizados usados para detectar fraudes, prevenir abusos ou cumprir a lei.

4. Finalidades e bases legais do tratamento

Tratamos dados pessoais para as seguintes finalidades, com as seguintes bases legais (quando o GDPR ou leis similares se aplicam):

(a) Fornecimento do Serviço — para criar e gerenciar contas, autenticar usuários, sincronizar pedidos, executar operações de envio, processar pagamentos e, de modo geral, fornecer o Serviço. Base legal: execução de um contrato; interesses legítimos.

(b) Segurança & prevenção de fraudes — para detectar, prevenir e responder a incidentes de segurança, abusos, fraudes e atividades ilícitas. Base legal: interesses legítimos; obrigação legal.

(c) Melhoria do Serviço & análises — para analisar o uso, depurar problemas, desenvolver novos recursos e aferir o desempenho. Base legal: interesses legítimos.

(d) Comunicações — para enviar e-mails transacionais, avisos do serviço, respostas de suporte e (quando permitido) comunicações de marketing. Base legal: execução de um contrato; interesses legítimos; consentimento quando exigido.

(e) Faturamento & conformidade — para faturar, cobrar pagamentos, gerenciar impostos, manter registros e cumprir obrigações contábeis e legais. Base legal: execução de um contrato; obrigação legal.

(f) Defesa legal — para constituir, exercer ou defender reivindicações legais e fazer cumprir nossos Termos. Base legal: interesses legítimos; obrigação legal.

(g) Conforme instruções do Cliente (na qualidade de operador) — para tratar os Dados da loja do Cliente conforme instruído por nossos Clientes. Base legal: a base legal do Cliente como controlador.

5. Como compartilhamos dados pessoais

Não vendemos dados pessoais. Compartilhamos dados pessoais apenas conforme descrito abaixo:

(a) Suboperadores e prestadores de serviços — compartilhamos dados com fornecedores que nos ajudam a operar o Serviço sob acordos escritos de tratamento de dados que exigem obrigações apropriadas de confidencialidade e segurança. As categorias incluem provedores de hospedagem em nuvem, provedores de banco de dados, provedores de entrega de e-mail, processadores de pagamento, ferramentas de suporte ao cliente, provedores de rastreamento de erros e análises, e APIs de transportadoras.

(b) Plataformas de terceiros que você conecta — se você conectar um Serviço de terceiros (por exemplo, Shopify, Amazon, um processador de pagamento ou uma transportadora), os dados fluem entre o Galactic Orders e essa plataforma conforme necessário para fornecer a funcionalidade solicitada. O uso dos dados por eles é regido por suas próprias políticas de privacidade.

(c) Dentro da conta do Cliente — se você for um usuário autorizado de uma conta de Cliente, seus dados pessoais e sua atividade podem ficar visíveis para outros usuários autorizados e administradores dessa conta.

(d) Legal & segurança — podemos divulgar dados quando acreditarmos razoavelmente que a divulgação é necessária para cumprir a lei, um processo legal ou uma solicitação governamental; para fazer cumprir nossos Termos; para proteger os direitos, a propriedade ou a segurança do Galactic Orders by ADV Design, de nossos usuários ou de terceiros; ou para detectar, prevenir ou tratar fraudes, questões de segurança ou problemas técnicos.

(e) Transferências empresariais — em conexão com uma fusão, aquisição, financiamento, reorganização, falência ou venda de todo ou parte de nosso negócio ou ativos, os dados pessoais podem ser transferidos ao sucessor ou adquirente.

(f) Com o seu consentimento — para qualquer outra finalidade divulgada no momento e com o seu consentimento.

6. Transferências internacionais de dados

Estamos sediados nos Estados Unidos e nossos suboperadores podem estar localizados nos Estados Unidos, no Espaço Econômico Europeu, no Reino Unido, no Canadá e em outras jurisdições. Ao usar o Serviço, você reconhece que os dados pessoais podem ser transferidos e tratados em países cujas leis de proteção de dados podem diferir das do seu país de residência. Para transferências do EEE, do Reino Unido ou da Suíça para um país não considerado adequado, contamos com salvaguardas apropriadas, como as Cláusulas Contratuais-Padrão da Comissão Europeia, o Adendo de Transferência Internacional de Dados do Reino Unido (UK International Data Transfer Addendum) ou outros mecanismos de transferência lícitos.

7. Retenção de dados

Retemos dados pessoais apenas pelo tempo necessário para fornecer o Serviço, cumprir obrigações legais (incluindo obrigações fiscais, contábeis e de auditoria), resolver disputas e fazer cumprir nossos acordos. Os dados relacionados à conta são geralmente retidos durante a vida da conta mais um período razoável posterior (até sete (7) anos quando exigido por lei). Os Dados da loja do Cliente são retidos conforme a configuração e as instruções do Cliente e, para dados originados da Amazon, de acordo com os limites de retenção descritos na Seção 14. Os backups que contêm dados pessoais são retidos por um período limitado em forma criptografada e sobrescritos de forma contínua. Dados anonimizados ou agregados podem ser retidos indefinidamente.

8. Segurança

Implementamos salvaguardas administrativas, técnicas e físicas projetadas para proteger dados pessoais, incluindo criptografia em trânsito (TLS) e em repouso, controles de acesso, rotação de segredos, logs de auditoria, acesso pelo princípio do menor privilégio, gestão de vulnerabilidades e treinamento de segurança. No entanto, nenhum método de transmissão ou armazenamento é cem por cento (100%) seguro. Não podemos garantir segurança absoluta. Você é responsável por proteger suas credenciais e pela segurança de seus dispositivos e redes. Isentamo-nos, na máxima extensão permitida por lei, de toda responsabilidade por acessos não autorizados causados por fatores fora de nosso controle razoável.

9. Cookies e tecnologias de rastreamento

(a) Este site (galacticorders.com). Nosso site público de marketing não instala nenhum cookie nem carrega scripts de terceiros, de análise ou de publicidade. Ele guarda dois valores no armazenamento local do seu navegador: gh_lang, que lembra o idioma que você escolheu, e gh_lang_auto, que registra que já oferecemos uma página no idioma do seu navegador. Ambos são estritamente necessários para um recurso que você solicitou, só podem ser lidos por este site, nunca saem do seu dispositivo e podem ser apagados a qualquer momento nas configurações do navegador. Como não guardamos aqui dados de análise ou de publicidade, nenhum banner de consentimento é necessário.

(b) O aplicativo (dashboard.galacticorders.com). Depois que você entra, usamos cookies estritamente necessários e tecnologias semelhantes para manter sua autenticação, gerenciar sua sessão, lembrar um dispositivo que você marcou como confiável para a autenticação multifator e proteger o Serviço contra abusos. Eles são essenciais para operar o Serviço e não podem ser desativados sem impedir o login.

(c) Global Privacy Control. Não vendemos nem compartilhamos informações pessoais conforme definido pela CPRA, portanto um sinal de Global Privacy Control não tem do que excluir você. Se isso mudar algum dia, trataremos o sinal GPC como um pedido válido de exclusão.

(d) Se isso mudar. Se mais adiante adotarmos tecnologias de análise, de medição de uso ou de publicidade, atualizaremos esta Política e, quando a lei exigir consentimento prévio, iremos obtê-lo antes de essas tecnologias funcionarem — recusar será tão fácil quanto aceitar, e sua escolha poderá ser retirada a qualquer momento.

10. Seus direitos — GDPR (EEE, Reino Unido, Suíça)

Se você estiver localizado no Espaço Econômico Europeu, no Reino Unido ou na Suíça, você tem os seguintes direitos, sujeitos às condições e exceções aplicáveis:

(a) Acesso — obter confirmação e uma cópia dos dados pessoais que mantemos sobre você.

(b) Retificação — corrigir dados inexatos ou incompletos.

(c) Exclusão — solicitar a exclusão (“direito ao esquecimento”).

(d) Restrição — restringir o tratamento em determinadas circunstâncias.

(e) Portabilidade — receber os dados em um formato estruturado, de uso comum e legível por máquina.

(f) Oposição — opor-se ao tratamento baseado em interesses legítimos ou para marketing direto.

(g) Retirar o consentimento — quando o tratamento se basear no consentimento, retirá-lo a qualquer momento sem afetar o tratamento lícito anterior.

(h) Apresentar uma reclamação — junto à sua autoridade supervisora local.

Para os dados que tratamos como operador em nome de um Cliente, direcione sua solicitação ao Cliente (o controlador); nós o auxiliaremos conforme necessário.

11. Seus direitos — Califórnia (CCPA/CPRA)

Se você for residente da Califórnia, você tem o direito de:

(a) Saber as categorias e os itens específicos de informações pessoais que coletamos, as fontes, as finalidades e as categorias de terceiros com quem as compartilhamos.

(b) Excluir as informações pessoais que coletamos de você, sujeito a exceções legais.

(c) Corrigir informações pessoais inexatas.

(d) Recusar a venda ou o compartilhamento. Não “vendemos” informações pessoais em troca de contraprestação monetária e não “compartilhamos” informações pessoais para publicidade comportamental de contexto cruzado, conforme esses termos são definidos na CPRA. Caso essa prática venha a mudar, forneceremos um link “Do Not Sell or Share My Personal Information” (Não vender nem compartilhar minhas informações pessoais).

(e) Limitar o uso de informações pessoais sensíveis. Não usamos informações pessoais sensíveis para finalidades que acionariam o direito de limitar previsto na CPRA.

(f) Não discriminação. Não discriminaremos você por exercer qualquer um desses direitos.

Categorias divulgadas (últimos 12 meses): identificadores, registros de clientes, informações comerciais, atividade de internet/rede, geolocalização (geral) e inferências, cada uma compartilhada com as categorias de destinatários descritas na Seção 5.

12. Como exercer seus direitos

Para exercer qualquer direito descrito nas Seções 10 ou 11, envie um e-mail para privacy@adv.design com o assunto “Privacy Rights Request” e inclua as informações necessárias para verificar sua identidade e localizar seus dados. Responderemos dentro dos prazos exigidos pela lei aplicável (geralmente um (1) mês sob o GDPR; quarenta e cinco (45) dias sob a CCPA/CPRA, prorrogáveis conforme permitido). Você pode designar um agente autorizado de acordo com a lei aplicável; podemos exigir a verificação da autoridade do agente. Reservamo-nos o direito de negar solicitações que não possam ser verificadas, sejam infundadas, excessivas ou cuja negativa seja de outra forma permitida pela lei aplicável.

13. Divulgações da Shopify App Store

Se você instalar o Galactic Orders pela Shopify App Store ou conectar de outra forma uma loja Shopify, aplicam-se as seguintes divulgações adicionais:

(a) Dados que recebemos da Shopify. Quando você instala o aplicativo, a Shopify compartilha conosco as informações necessárias para operá-lo, incluindo o nome da sua loja, e-mail de contato, domínio da loja, país, moeda e fuso horário. Com a sua autorização (concedida no momento da instalação por meio dos escopos OAuth), também acessamos dados do catálogo da loja, dados de pedidos, dados de fulfillment, dados de clientes (incluindo nomes, endereços, e-mails e números de telefone contidos nos pedidos), dados de estoque e dados de envio/localização. Tratamos esses dados exclusivamente para fornecer a funcionalidade solicitada do Serviço.

(b) Webhooks de conformidade obrigatórios. De acordo com os requisitos de dados protegidos da Shopify, implementamos e respondemos aos seguintes webhooks de conformidade:

customers/data_request — quando um cliente de uma loja solicita seus dados, o lojista encaminha a solicitação pela Shopify; entregamos ao lojista os dados relacionados a esse cliente que mantemos para que ele possa atender à solicitação.

customers/redact — quarenta e oito (48) horas depois que um lojista solicita a exclusão dos dados de um cliente específico (ou conforme exigido de outra forma), excluímos ou desidentificamos todos os dados pessoais desse cliente em nossos sistemas, exceto quando a retenção for exigida por lei.

shop/redact — quarenta e oito (48) horas depois que uma loja desinstala o aplicativo, e após qualquer período de retenção exigido pela Shopify (normalmente quarenta e oito (48) horas), excluímos ou desidentificamos todos os dados pessoais associados à loja, exceto quando a retenção for exigida por lei (por exemplo, para fins fiscais, de auditoria ou de defesa legal).

(c) Desinstalação. Você pode desinstalar o aplicativo a qualquer momento no seu admin da Shopify. Após a desinstalação, receberemos um webhook shop/redact e o processaremos conforme descrito acima.

(d) Suboperadores usados para dados da Shopify. Uma lista atualizada está disponível mediante solicitação a privacy@adv.design.

14. Divulgações da Amazon Selling Partner API

Se você conectar uma conta de vendedor da Amazon ao Galactic Orders por meio da Amazon Selling Partner API (“SP-API”), aplicam-se as seguintes divulgações adicionais. Essas divulgações são feitas de acordo com a Amazon Acceptable Use Policy e a Amazon Data Protection Policy (“DPP”).

(a) Dados que recebemos da Amazon. Com a sua autorização (concedida pela tela de consentimento OAuth do Login with Amazon no momento em que você instala ou conecta o Galactic Orders), recebemos da SP-API as seguintes categorias de dados: identificadores da conta de vendedor, participações em marketplaces, metadados de loja e marca, dados de anúncios e catálogo, dados de estoque, dados de pedidos (incluindo identificadores de pedido, itens de linha, quantidades, preços, impostos, opções de envio e status do pedido), dados de fulfillment, dados de devoluções e reembolsos, dados de eventos financeiros e — quando autorizado sob a função Direct-to-Consumer Shipping — informações do comprador necessárias para enviar um pedido, incluindo nome do comprador, endereço de entrega, e-mail do comprador (anonimizado pela Amazon quando aplicável) e número de telefone do comprador. Não solicitamos nem usamos dados da Amazon para qualquer finalidade que não seja fornecer o Serviço ao qual você conectou a conta.

(b) Limitação de finalidade. As informações de pedidos e compradores da Amazon são usadas exclusivamente para (i) importar para o Galactic Orders os pedidos não enviados atendidos pelo lojista, (ii) rotear os itens de linha dos pedidos para os armazéns e transportadoras configurados na sua conta, (iii) gerar etiquetas de envio e produzir confirmações de remessa, e (iv) enviar de volta à Amazon as atualizações de remessa, cancelamento e reembolso. Não usamos dados da Amazon para publicidade, retargeting, criação de perfis, revenda, compartilhamento com corretores de dados ou treinamento de modelos de IA generativa, e não os usamos para competir com a Amazon nem com o seu próprio negócio.

(c) Restricted Data Token. Quando a SP-API exige um Restricted Data Token (“RDT”) para acessar informações de identificação pessoal (PII) de compradores, solicitamos um token com escopo limitado apenas aos elementos de dados específicos necessários para atender à chamada, o mantemos em memória por não mais que o tempo de vida do token da SP-API e nunca o registramos em log nem o persistimos.

(d) Retenção de PII da Amazon. As informações de identificação pessoal de compradores recebidas da Amazon são retidas apenas pelo tempo necessário para atender, enviar, entregar e dar suporte ao pedido relacionado, e são automaticamente excluídas ou desidentificadas de nossos sistemas ativos e análises no máximo trinta (30) dias após o envio do pedido, exceto quando um período mais longo for exigido pela lei aplicável (por exemplo, obrigações fiscais, contábeis, de auditoria ou de defesa legal). Os backups criptografados são sobrescritos em um cronograma contínuo.

(e) Criptografia e controle de acesso. Os refresh tokens da SP-API da Amazon, tokens de acesso, RDTs e qualquer PII de comprador persistida são criptografados em repouso usando criptografia padrão do setor (AES-256). As chaves de criptografia são gerenciadas em um sistema dedicado de gerenciamento de chaves, com acesso restrito ao pessoal com necessidade de conhecimento. Todo acesso a dados da Amazon é registrado em log e revisado.

(f) Suboperadores usados para dados da Amazon. Os dados de pedidos da Amazon são processados por nossos provedores de hospedagem em nuvem e de banco de dados, nossas integrações com transportadoras (quando os dados de envio são encaminhados para produzir etiquetas) e nossos provedores de rastreamento de erros e observabilidade (com os campos de PII removidos). Uma lista atualizada de suboperadores está disponível mediante solicitação a privacy@adv.design.

(g) Desconexão. Você pode revogar o acesso do Galactic Orders à sua conta de vendedor da Amazon a qualquer momento na sua conta do Seller Central, em Apps and Services, ou na página de Integrações do painel do Galactic Orders. Após a desconexão, excluiremos ou desidentificaremos os dados pessoais provenientes da Amazon em até trinta (30) dias, sujeito às exceções legais de retenção e ao limite de trinta dias após o envio descrito em (d).

(h) Notificação de incidentes de segurança. No caso de um incidente de segurança que afete dados provenientes da Amazon, notificaremos a equipe de resposta a incidentes de segurança da Amazon (Security Incident Response Team) em até vinte e quatro (24) horas após a detecção, além de quaisquer notificações exigidas a você e às autoridades de proteção de dados sob a lei aplicável.

15. Processamento de pagamentos

As taxas de assinatura são processadas por processadores de pagamento terceirizados. Não coletamos nem armazenamos números completos de cartões de pagamento. A coleta, o uso e a proteção das suas informações de pagamento pelo processador de pagamentos são regidos pela política de privacidade dele, que recomendamos fortemente que você revise. Não somos responsáveis pelos atos, omissões, erros, violações ou falhas de qualquer processador de pagamentos.

16. Integrações de envio & logística

Quando você conecta uma transportadora ou um provedor de fulfillment, transmitimos os dados de endereço e de pedido necessários para gerar etiquetas, rastrear remessas e atualizar o status de fulfillment. O tratamento desses dados pela transportadora ou pelo provedor é regido pelos próprios termos e pela própria política de privacidade deles. Não somos responsáveis pelas práticas de tais terceiros.

17. Tomada de decisão automatizada

Não realizamos tomada de decisão automatizada, incluindo criação de perfis, que produza efeitos legais sobre você ou que o afete de forma igualmente significativa, exceto verificações de rotina de prevenção de fraudes e segurança, revisáveis por nossa equipe mediante solicitação.

18. Do Not Track

Nosso Serviço atualmente não responde aos sinais “Do Not Track” dos navegadores. Tratamos todos os usuários de forma consistente de acordo com esta Política.

19. Links de terceiros

O Serviço pode conter links para sites, serviços ou recursos de terceiros que não controlamos. Não somos responsáveis pelo conteúdo, pelas práticas de privacidade ou pela segurança de qualquer site ou serviço de terceiros. A inclusão de qualquer link não constitui endosso.

20. Alterações a esta Política

Podemos atualizar esta Política de Privacidade periodicamente, a nosso exclusivo critério. A “Data de vigência” no topo reflete a revisão mais recente. Alterações relevantes serão comunicadas por meios razoáveis (como e-mail ou aviso dentro do Serviço). Seu uso continuado do Serviço após a Data de vigência constitui aceitação da Política atualizada.

21. Fale conosco

Para perguntas, solicitações ou reclamações sobre esta Política ou nossas práticas de dados:

Galactic Orders by ADV Design
Privacidade & conformidade
Privacidade geral: privacy@adv.design
Encarregado de proteção de dados (quando designado): dpo@adv.design
Jurídico: legal@adv.design

As pessoas do EEE/Reino Unido também podem apresentar uma reclamação junto à sua autoridade supervisora local de proteção de dados. Os residentes da Califórnia podem entrar em contato com a California Privacy Protection Agency ou com o Procurador-Geral da Califórnia.

22. Independência das cláusulas e não renúncia

Se qualquer disposição desta Política for considerada inválida ou inexequível por um tribunal competente, tal disposição será aplicada na máxima extensão permitida, e as demais disposições permanecerão em pleno vigor e efeito. Nossa falha em fazer cumprir qualquer disposição não constitui renúncia ao nosso direito de fazê-lo posteriormente.

23. Idioma

Esta Política é redigida em inglês. As traduções são fornecidas para que você possa lê-la no seu próprio idioma; em caso de conflito ou divergência entre a versão em inglês e uma tradução, a versão em inglês é o texto de referência. Isso não limita nenhum direito que você tenha, nos termos da legislação aplicável, de receber informações no seu próprio idioma.

---

Ao usar o Galactic Orders, você reconhece que leu, compreendeu e aceitou esta Política de Privacidade em sua totalidade.