Política de Privacidade

Versão 1.1.0 · Atualizada em 8 de setembro de 2026

POLÍTICA DE PRIVACIDADE – GRP MARKET

Esta Política de Privacidade descreve como a GRP Market ("nós", "plataforma") coleta, usa, armazena e protege dados pessoais no âmbito do serviço de emissão de Recibo de Pagamento de Autônomo (RPA) para afiliados de marketplace, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 - LGPD).

1. Controlador e Contato
1.1. A GRP Market é a controladora dos dados tratados para a operação da conta da CONTRATANTE e de seus usuários, e operadora dos dados dos afiliados inseridos e geridos pela CONTRATANTE, nos termos do item 2 dos Termos de Uso.
1.2. Dúvidas, solicitações ou exercício de direitos sobre dados pessoais podem ser enviados para privacidade@grpmarket.com.

2. Dados que Coletamos
2.1. Dados da empresa CONTRATANTE: nome fantasia, CNPJ e configuração de alíquota de ISS.
2.2. Dados dos usuários da CONTRATANTE: nome, e-mail e senha, armazenada apenas em formato de hash, nunca em texto puro.
2.3. Dados dos afiliados, inseridos pela CONTRATANTE: nome, CPF, PIS/PASEP/NIT (quando informado), e-mail, telefone (quando informado, para funcionalidades adicionais de comunicação) e valores de comissão por competência.
2.4. Dados de auditoria do aceite eletrônico do termo de responsabilidade: endereço IP, data e hora, e-mail e usuário responsável pelo aceite, conforme Art. 10 da Medida Provisória nº 2.200-2/2001.
2.5. Dados técnicos de acesso, coletados automaticamente pela infraestrutura (por exemplo, logs de requisição), usados apenas para segurança e diagnóstico.

3. Finalidade do Tratamento
Os dados acima são usados exclusivamente para autenticar usuários e manter o isolamento entre contas (multi-tenant); calcular retenções de INSS, IRRF e ISS e gerar os documentos de RPA; enviar os RPAs por e-mail aos afiliados; e manter o registro de auditoria exigido para validade jurídica do aceite eletrônico.

4. Base Legal
O tratamento se baseia na execução de contrato (Art. 7º, V, LGPD), no cumprimento de obrigação legal ou regulatória quanto ao registro de auditoria (Art. 7º, II, LGPD) e no legítimo interesse da GRP Market para garantir a segurança da plataforma (Art. 7º, IX, LGPD).

5. Compartilhamento com Terceiros
5.1. Não vendemos nem alugamos dados pessoais a terceiros.
5.2. Utilizamos os seguintes operadores de dados, sob contrato, exclusivamente para viabilizar o serviço: Supabase, para hospedagem do banco de dados; Vercel, para hospedagem da aplicação e infraestrutura de execução; Resend, para envio transacional dos e-mails com o RPA em PDF; e Stripe, para processamento de pagamentos da assinatura da CONTRATANTE (a GRP Market não tem acesso aos dados completos do cartão de pagamento, apenas a identificadores de transação).
5.3. Podemos divulgar dados quando exigido por lei, ordem judicial ou requisição de autoridade competente.

6. Retenção
6.1. Dados de acesso e configuração da conta (usuários, credenciais, configurações da CONTRATANTE) são mantidos enquanto a conta estiver ativa e, após o encerramento, por até 90 (noventa) dias, prazo destinado a viabilizar reativação ou exportação de dados a pedido — salvo solicitação de exclusão antecipada.
6.2. RPAs emitidos, o registro de aceite eletrônico do termo de responsabilidade e demais documentos de natureza fiscal são preservados por, no mínimo, 5 (cinco) anos contados da emissão, prazo de guarda fiscal geralmente aplicável a esse tipo de documento no direito brasileiro (art. 173 do Código Tributário Nacional), podendo ser retidos por prazo maior se exigido por lei ou por processo administrativo ou judicial em curso.
6.3. Dados de contato do afiliado (e-mail, telefone) podem ser removidos a pedido antes desse prazo, nos termos do item 8, sem prejuízo da preservação de nome, CPF e valores do RPA já emitido — indispensáveis à validade e à auditabilidade do próprio documento fiscal.
6.4. Encerrada a conta da CONTRATANTE e expirado o prazo de guarda fiscal aplicável, os dados remanescentes são eliminados ou anonimizados.

7. Segurança
Adotamos medidas técnicas para proteger os dados, incluindo hash de senhas, conexões criptografadas (TLS) e isolamento de dados entre contas por meio de Row Level Security no banco de dados, de forma que uma conta nunca acessa dados de outra mesmo em caso de falha na camada de aplicação.

8. Direitos do Titular
8.1. Nos termos do Art. 18 da LGPD, o titular pode solicitar confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade e informação sobre com quem os dados são compartilhados. Solicitações relativas a dados de afiliados devem ser direcionadas à empresa CONTRATANTE responsável pelo cadastro, que é a controladora desses dados perante o titular; a GRP Market, como operadora, segue as instruções da CONTRATANTE e também pode ser acionada diretamente em privacidade@grpmarket.com.
8.2. Ao receber um pedido de exclusão de dados de afiliado, a CONTRATANTE (por meio da plataforma) exclui o cadastro por completo caso nenhum RPA tenha sido emitido em nome do titular. Caso já exista RPA emitido, o nome, o CPF e os valores do documento são preservados pelo prazo do item 6.2 (guarda fiscal obrigatória) e apenas os dados de contato (e-mail, telefone) são removidos — a plataforma não tem como apagar retroativamente um documento fiscal já emitido sem violar a obrigação legal de guarda desse mesmo documento.

9. Cookies
Utilizamos apenas um cookie de sessão essencial para manter o usuário autenticado. Não utilizamos cookies de rastreamento ou publicidade.

10. Alterações desta Política
Esta política pode ser atualizada para refletir mudanças no serviço ou na legislação. A data da última atualização é indicada abaixo.