Política de Privacidade

Esta Política de Privacidade ("Política") se aplica a todo tratamento de dados pessoais realizado pela Kruzer Commerce Platform Ltda ("Kruzer") nos seguintes contextos:

1. Site institucional da Kruzer e seus formulários de contato, demonstração e carreiras.
2. Plataforma Kruzer, incluindo painéis, APIs, integrações, rotinas de monitoramento e serviços de operação contratados por clientes.
3. Relações comerciais com clientes, prospects, parceiros e fornecedores, incluindo reuniões, propostas, contratos e faturamento.
4. Processos seletivos e a relação com colaboradores CLT, prestadores PJ e estagiários, complementados pelo Manual do Colaborador.

Esta Política não substitui os contratos firmados com clientes. Quando a Kruzer trata dados em nome de um cliente, o contrato e o acordo de tratamento de dados (DPA) prevalecem sobre este documento naquilo que forem mais específicos.

A Kruzer é uma plataforma de commerce unificado que integra e opera sistemas críticos de varejistas e indústrias de grande porte.

O Encarregado é responsável por receber reclamações e comunicações dos titulares e da Autoridade Nacional de Proteção de Dados (ANPD), orientar colaboradores e terceiros sobre boas práticas e conduzir a resposta a incidentes envolvendo dados pessoais.

A Kruzer atua em dois papéis distintos, e a responsabilidade perante o titular muda conforme o papel.

1. Kruzer como operadora (plataforma). Os dados de consumidores finais, pedidos, entregas, atendimento e operadores de loja que trafegam pela plataforma pertencem aos Clientes. O Cliente é o controlador: define as finalidades, as bases legais e os prazos de retenção. A Kruzer trata esses dados somente para executar o contrato e conforme as instruções documentadas do Cliente. Consumidores finais que desejem exercer seus direitos devem procurar o Cliente com quem se relacionam; se a solicitação chegar à Kruzer, ela será encaminhada ao Cliente em até 2 dias úteis.
2. Kruzer como controladora. A Kruzer decide sobre o tratamento dos dados de visitantes do site, contatos comerciais, representantes de Clientes e fornecedores, usuários da plataforma para fins de autenticação, auditoria e segurança, candidatos e colaboradores. Nesses casos, esta Política se aplica integralmente e a Kruzer responde diretamente ao titular.

Como operadora, a Kruzer não usa dados de Clientes para finalidades próprias, não os vende, não os combina entre Clientes diferentes e não os utiliza para treinar modelos de inteligência artificial sem autorização contratual expressa do Cliente.

A Kruzer coleta apenas os dados necessários para cada finalidade (princípio da necessidade).

Dados pessoais sensíveis só são tratados quando exigidos por lei, como exames ocupacionais de colaboradores, ou quando o Cliente, como controlador, os inclui em uma operação contratada. Nesses casos valem controles adicionais de acesso e criptografia previstos na Política de Segurança da Informação (PSI).

Cada tratamento realizado pela Kruzer como controladora tem uma finalidade definida e uma base legal do art. 7º ou do art. 11 da LGPD.

Quando o tratamento se baseia em legítimo interesse, a Kruzer avalia previamente o equilíbrio entre seu interesse e os direitos do titular e mantém esse registro disponível para o Encarregado e para a ANPD. Quando se baseia em consentimento, o titular pode revogar o consentimento a qualquer momento pelo canal dpo@kruzer.ai ou pelas configurações de cookies do site.

A Kruzer não vende dados pessoais. O compartilhamento ocorre apenas nas hipóteses abaixo, sempre limitado ao necessário.

1. Suboperadores e fornecedores de tecnologia. Provedores de infraestrutura em nuvem, observabilidade e monitoramento (como Datadog), colaboração e produtividade (como Google Workspace, Slack e Atlassian), email e gravação ou transcrição de reuniões. Todos são avaliados antes da contratação, assinam cláusulas de confidencialidade, segurança e notificação de incidentes e seguem o Código de Conduta de Fornecedores, que exige notificação à Kruzer em até 24 horas em caso de incidente.
2. Clientes. Dados gerados na plataforma são disponibilizados ao Cliente controlador, conforme o contrato.
3. Parceiros de implementação. Quando um projeto envolve um parceiro de desenvolvimento contratado pela Kruzer ou pelo Cliente, o acesso é restrito ao escopo do projeto e formalizado em contrato.
4. Prestadores profissionais. Contabilidade, assessoria jurídica, auditoria e benefícios de colaboradores, para as finalidades da Seção 6.
5. Autoridades públicas. Mediante ordem judicial, requisição de autoridade competente ou obrigação legal.
6. Operações societárias. Em caso de fusão, aquisição ou reorganização, os dados podem ser transferidos ao sucessor, que fica obrigado a esta Política.

A lista atualizada de suboperadores que tratam dados de Clientes é mantida pela Kruzer, revisada periodicamente e disponibilizada aos Clientes mediante solicitação.

Parte dos fornecedores de tecnologia da Kruzer armazena ou processa dados fora do Brasil, principalmente nos Estados Unidos e na União Europeia.

Essas transferências seguem o art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024, com base em cláusulas contratuais padrão aprovadas pela ANPD, garantias contratuais equivalentes ou outra hipótese legal aplicável. Quando o contrato com o Cliente exigir que os dados permaneçam no Brasil, a Kruzer configura a plataforma e seus fornecedores para cumprir essa exigência.

Os dados são mantidos apenas pelo tempo necessário à finalidade ou ao cumprimento de obrigação legal, e depois eliminados ou anonimizados.

O descarte é seguro e verificável: eliminação lógica e, quando aplicável, destruição criptográfica (crypto shredding), conforme a PSI. Dados podem ser mantidos além desses prazos apenas para exercício regular de direitos ou cumprimento de obrigação legal.

O titular pode exercer gratuitamente os direitos do art. 18 da LGPD enviando a solicitação para dpo@kruzer.ai.

1. Confirmação da existência de tratamento e acesso aos dados.
2. Correção de dados incompletos, inexatos ou desatualizados.
3. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
4. Portabilidade dos dados a outro fornecedor, observados os segredos comercial e industrial.
5. Eliminação dos dados tratados com base em consentimento, salvo hipóteses legais de conservação.
6. Informação sobre as entidades com as quais os dados foram compartilhados.
7. Informação sobre a possibilidade de não consentir e as consequências da negativa.
8. Revogação do consentimento.
9. Revisão de decisões tomadas unicamente com base em tratamento automatizado.
10. Oposição a tratamento realizado com fundamento em outra base legal, em caso de descumprimento da LGPD.

Como a Kruzer atende. A Kruzer confirma o recebimento em até 2 dias úteis, pode solicitar informações para validar a identidade do solicitante e responde de forma completa em até 15 dias, conforme o art. 19 da LGPD. Toda solicitação é registrada com data, pedido, resposta e evidências. Se a Kruzer atuar como operadora, a solicitação é encaminhada ao Cliente controlador e o titular é informado.

O titular também pode apresentar petição à ANPD, em gov.br/anpd, depois de contatar a Kruzer.

A Kruzer protege os dados pessoais com as medidas técnicas e administrativas da sua Política de Segurança da Informação, alinhada à ISO/IEC 27001 e 27002 e ao OWASP Top 10.

1. Modelo Zero Trust, com autenticação por SSO e MFA, princípio do menor privilégio e recertificação periódica de acessos.
2. Criptografia de dados pessoais em trânsito e em repouso, incluindo bancos de dados e backups; segredos e chaves armazenados apenas em cofre de segredos ou KMS.
3. Segregação entre ambientes de desenvolvimento, homologação e produção; dados reais de Clientes não são usados fora de produção sem anonimização.
4. Desenvolvimento seguro com revisão de código obrigatória, testes automatizados e análise de ameaças para fluxos sensíveis.
5. Monitoramento contínuo, logs centralizados com controle de integridade e backups criptografados com testes de restauração.
6. Termos de confidencialidade para colaboradores e terceiros, treinamento de privacidade no onboarding e reciclagem anual.

Nenhum sistema é totalmente imune a ataques. Por isso a Kruzer mantém um processo formal de resposta a incidentes, descrito na Seção 14.

O site da Kruzer usa cookies essenciais sem consentimento e cookies não essenciais apenas após aceite do visitante.

O visitante pode aceitar, recusar ou alterar suas preferências a qualquer momento pelo banner de cookies ou pelo link "Preferências de cookies" no rodapé do site. A plataforma utiliza apenas cookies e tokens essenciais de autenticação e sessão.

O site e a plataforma da Kruzer são destinados a empresas e profissionais e não se direcionam a menores de 18 anos. A Kruzer não coleta intencionalmente dados de crianças e adolescentes como controladora. Se o Cliente tratar esses dados pela plataforma, cabe a ele garantir o atendimento ao art. 14 da LGPD, e a Kruzer seguirá suas instruções.

Todo incidente com dados pessoais segue o fluxo de detecção, registro, contenção, erradicação e análise de causa raiz da PSI, coordenado pelo Encarregado.

1. Quando a Kruzer é controladora, comunica à ANPD e aos titulares afetados os incidentes que possam acarretar risco ou dano relevante em até 3 dias úteis do conhecimento, conforme a Resolução CD/ANPD nº 15/2024.
2. Quando a Kruzer é operadora, notifica o Cliente controlador sem demora injustificada, no prazo definido em contrato, com as informações necessárias para que ele cumpra suas obrigações perante a ANPD e os titulares.
3. Todo incidente, comunicado ou não, é registrado e mantido por no mínimo 5 anos, com a avaliação de risco e as medidas adotadas.

Qualquer pessoa que suspeite de vazamento ou acesso indevido deve comunicar imediatamente pelo canal incidente@kruzer.ai.

Esta Política entra em vigor na data de sua publicação no site da Kruzer e é revisada anualmente, ou antes, sempre que houver mudança relevante na legislação, nas atividades de tratamento ou no modelo de negócio.

Alterações relevantes são comunicadas no site e, quando houver relação direta com o titular, pelos canais de contato disponíveis. A data da versão vigente consta no quadro de controle no início deste documento.

Documentos relacionados: Política de Segurança da Informação (PSI) v2.0, Organização da Segurança Cibernética, Política de Avaliação de Riscos, Código de Ética e Conduta v1.0, Código de Conduta de Fornecedores v1.0 e Manual do Colaborador v1.0.

Referências normativas: LGPD (Lei 13.709/2018), Marco Civil da Internet (Lei 12.965/2014), Resolução CD/ANPD nº 15/2024 (incidentes de segurança), Resolução CD/ANPD nº 18/2024 (encarregado), Resolução CD/ANPD nº 19/2024 (transferência internacional), ISO/IEC 27001, ISO/IEC 27701 e Princípios do Pacto Global da ONU.