Saiba como coletamos, utilizamos, armazenamos e protegemos seus dados pessoais em conformidade com a LGPD.
Ao utilizar o aplicativo CashMeBack, você declara ter lido e concordado com esta Política de Privacidade. Em caso de dúvidas, entre em contato pelo e-mail privacidade@cashmeback.com.br.
O CashMeBack é a plataforma controladora dos dados pessoais tratados no âmbito do aplicativo ("Aplicativo").
Esta Política de Privacidade ("Política") descreve como coletamos, utilizamos, armazenamos, compartilhamos e protegemos seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018) e demais legislações aplicáveis.
Ao utilizar o Aplicativo, você declara ter lido e concordado com esta Política.
Os dados coletados variam conforme o tipo de conta.
| Dado | Finalidade | Base Legal (LGPD) |
|---|---|---|
| Nome completo | Identificação do usuário na plataforma | Execução de contrato (Art. 7º, V) |
| CPF | Unicidade de conta, prevenção a fraudes | Execução de contrato (Art. 7º, V) |
| Endereço de e-mail | Autenticação e comunicação | Execução de contrato (Art. 7º, V) |
| Número de telefone | Comunicação e suporte | Execução de contrato (Art. 7º, V) |
| Senha (hash bcrypt) | Autenticação segura | Execução de contrato (Art. 7º, V) |
| Histórico de cupons utilizados | Funcionamento do programa de fidelização | Execução de contrato (Art. 7º, V) |
| Saldo e histórico de pontos | Controle da carteira de cashback | Execução de contrato (Art. 7º, V) |
| Token de dispositivo (push) | Envio de notificações | Consentimento (Art. 7º, I) |
| Identificador do dispositivo | Gerenciamento de tokens push | Consentimento (Art. 7º, I) |
| Plataforma (iOS/Android/Web) | Formatação das notificações | Consentimento (Art. 7º, I) |
| Preferências de notificação | Personalização de comunicações | Consentimento (Art. 7º, I) |
| Dado | Finalidade | Base Legal (LGPD) |
|---|---|---|
| Nome fantasia e razão social | Identificação pública do estabelecimento | Execução de contrato (Art. 7º, V) |
| CNPJ | Unicidade de conta, identificação fiscal | Execução de contrato (Art. 7º, V) |
| Endereço de e-mail | Autenticação e comunicação | Execução de contrato (Art. 7º, V) |
| Número de telefone | Comunicação e suporte | Execução de contrato (Art. 7º, V) |
| Senha (hash bcrypt) | Autenticação segura | Execução de contrato (Art. 7º, V) |
| Endereço completo | Identificação física do estabelecimento | Execução de contrato (Art. 7º, V) |
| Logomarca (imagem) | Exibição nos cupons da loja | Execução de contrato (Art. 7º, V) |
| Dados de cupons criados | Gestão do programa de fidelização | Execução de contrato (Art. 7º, V) |
| Histórico de validações | Dashboard e analytics da loja | Legítimo interesse (Art. 7º, IX) |
| Token de dispositivo (push) | Envio de notificações operacionais | Consentimento (Art. 7º, I) |
| Dado | Finalidade | Base Legal (LGPD) |
|---|---|---|
| Nome completo | Identificação na plataforma | Execução de contrato (Art. 7º, V) |
| CPF | Unicidade de conta, identificação | Execução de contrato (Art. 7º, V) |
| Endereço de e-mail | Autenticação | Execução de contrato (Art. 7º, V) |
| Número de telefone | Comunicação e suporte | Execução de contrato (Art. 7º, V) |
| Senha (hash bcrypt) | Autenticação segura | Execução de contrato (Art. 7º, V) |
| Foto de perfil (imagem) | Identificação visual do funcionário na plataforma | Execução de contrato (Art. 7º, V) |
| Vínculo com estabelecimento | Controle de acesso e permissões | Execução de contrato (Art. 7º, V) |
| Status (ativo/inativo) | Controle de acesso pela loja | Legítimo interesse (Art. 7º, IX) |
Os dados de workers são coletados e fornecidos pelo estabelecimento contratante, que é o responsável pela obtenção do consentimento do funcionário quando exigido por lei.
O CashMeBack não coleta os seguintes dados:
Utilizamos seus dados pessoais para:
Os dados textuais (nomes, documentos, e-mails, históricos de pontos e cupons) são armazenados em banco de dados PostgreSQL, hospedado em infraestrutura segura com acesso restrito.
As imagens enviadas ao Aplicativo (logomarcas de estabelecimentos e fotos de perfil de workers) são armazenadas no serviço de nuvem Cloudinary (Cloudinary Ltd., terceiro). Antes do armazenamento, as imagens passam pelas seguintes transformações automáticas:
A Cloudinary processa e armazena as imagens em seus próprios servidores. Recomendamos a leitura da Política de Privacidade da Cloudinary (cloudinary.com/privacy).
As senhas nunca são armazenadas em texto puro. Utilizamos o algoritmo bcrypt para armazenar apenas o hash irreversível da senha. A Empresa não tem acesso à senha original do Usuário.
O acesso ao Aplicativo é controlado por tokens JWT (JSON Web Tokens) que contêm: ID do usuário, e-mail, tipo de conta e, no caso de workers, o ID do estabelecimento vinculado. Os tokens trafegam exclusivamente via HTTPS e não são armazenados pela Empresa.
O envio de notificações push é realizado por meio do serviço Expo (Expo Inc., terceiro). Para isso, armazenamos o token de push fornecido pelo Expo, o identificador do dispositivo e a plataforma (iOS, Android ou Web). Recomendamos a leitura da Política de Privacidade da Expo (expo.dev/privacy).
A Empresa não vende, aluga nem comercializa dados pessoais de seus Usuários. Os dados poderão ser compartilhados apenas nas seguintes situações:
| Destinatário | Dado Compartilhado | Motivo |
|---|---|---|
| Cloudinary | Imagens (logomarcas e fotos de workers) | Armazenamento e entrega de conteúdo |
| Expo | Token de dispositivo, plataforma | Envio de notificações push |
| Autoridades públicas | Dados solicitados por ordem judicial ou legal | Cumprimento de obrigação legal |
Dentro da própria plataforma, os dados são compartilhados de forma controlada:
| Dado | Período de Retenção |
|---|---|
| Dados de cadastro (nome, CPF, e-mail, etc.) | Enquanto a conta estiver ativa + 5 anos após encerramento |
| Histórico de cupons utilizados | Enquanto a conta estiver ativa + 5 anos após encerramento |
| Histórico de pontos e transações | Enquanto a conta estiver ativa + 5 anos após encerramento |
| Imagens (logomarcas e fotos de workers) | Enquanto a conta estiver ativa; removidas mediante solicitação ou exclusão da conta |
| Tokens push de dispositivo | Enquanto a conta estiver ativa ou o token for revogado |
| Logs de autenticação | 12 meses |
Após o prazo de retenção, os dados são anonimizados ou excluídos de forma segura, salvo obrigação legal de retenção por prazo maior.
Em conformidade com a LGPD, você tem direito a:
| Direito | Descrição |
|---|---|
| Confirmação e acesso | Saber se tratamos seus dados e obter cópia deles |
| Correção | Solicitar a atualização de dados incompletos, inexatos ou desatualizados |
| Anonimização, bloqueio ou eliminação | Solicitar a anonimização ou eliminação de dados desnecessários ou excessivos |
| Portabilidade | Receber seus dados em formato estruturado para transferência a outro serviço |
| Eliminação | Solicitar a exclusão dos dados tratados com base em consentimento |
| Informação sobre compartilhamento | Saber com quais terceiros seus dados são compartilhados |
| Revogação de consentimento | Revogar o consentimento dado a qualquer momento |
| Oposição | Se opor a tratamento realizado sem base no consentimento, em caso de descumprimento da LGPD |
Para exercer qualquer desses direitos, entre em contato pelo e-mail privacidade@cashmeback.com.br com o assunto "Direitos LGPD" e identificação do titular. Responderemos em até 15 (quinze) dias úteis.
Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo:
Apesar de nossos esforços, nenhum sistema é 100% seguro. Em caso de incidente de segurança que possa afetar seus direitos, notificaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD) nos prazos legais.
O Aplicativo móvel não utiliza cookies. Em eventuais interfaces web, poderemos usar cookies estritamente necessários para autenticação de sessão, sem rastreamento para fins publicitários.
O CashMeBack é destinado exclusivamente a maiores de 18 anos. Não coletamos intencionalmente dados de menores. Caso identifiquemos que dados de menor foram fornecidos, procederemos à exclusão imediata.
As imagens enviadas ao Aplicativo são processadas e armazenadas pela Cloudinary, cujos servidores podem estar localizados fora do Brasil. As notificações push são enviadas via Expo, também com infraestrutura internacional.
Ao utilizar o Aplicativo e fazer upload de imagens ou autorizar notificações push, você consente com a transferência internacional desses dados, realizada sob salvaguardas contratuais adequadas conforme exigido pela LGPD (Art. 33).
Conforme exigido pela LGPD, indicamos como Encarregado pelo Tratamento de Dados Pessoais:
Esta Política pode ser atualizada periodicamente. Alterações relevantes serão comunicadas por meio de notificação no Aplicativo ou por e-mail com antecedência mínima de 10 (dez) dias. O uso continuado após a publicação das alterações constitui aceite da nova versão.
Para dúvidas, solicitações ou reclamações relacionadas à privacidade:
O CashMeBack trata seus dados pessoais com responsabilidade e transparência, sempre em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018).