Política de Privacidade

Última atualização: 23 de agosto de 2026.

Esta política explica, de forma objetiva, como a BrinqBox trata dados pessoais no site, na loja, na assinatura de brinquedos, no portal do assinante e no atendimento. Ela também se aplica aos dados de crianças informados por seus responsáveis legais.

1. Quem controla os dados

A BrinqBox, responsável pela operação da marca e deste site, atua como controladora dos dados pessoais nas atividades descritas aqui. Para assuntos de privacidade, identificação cadastral da controladora ou exercício de direitos, escreva para contato@brinqbox.com.

2. Quais dados tratamos

Responsável e conta: nome, e-mail, telefone, CPF quando necessário, endereço e dados de autenticação.
Criança: conforme o plano, nome ou apelido, data de nascimento ou idade, interesses, restrições e informações sobre brinquedos que já possui, quando o responsável decidir fornecê-las para a curadoria.
Compra e assinatura: itens, plano, valor, frete, status do pagamento, entregas, trocas, devoluções, histórico de atendimento e, em compras para presente, a mensagem opcional informada. Não armazenamos o número completo do cartão nem o código de segurança.
Fiscal e logística: CPF, endereço e demais informações necessárias para cobrança, emissão de documento fiscal e entrega.
Atendimento: mensagens e informações fornecidas em conversas por WhatsApp, e-mail ou outros canais de suporte. Quando houver atendimento automatizado, o conteúdo da conversa e o contexto mínimo necessário podem ser processados por um provedor de inteligência artificial para formular a resposta.
Dados técnicos: IP, data e hora, navegador, dispositivo, páginas acessadas, registros de segurança e identificadores de cookies ou tecnologias semelhantes, conforme suas escolhas.

3. Para que usamos os dados e qual é a base legal

Finalidades do tratamento e respectivas bases legais
Finalidade	Base legal principal
Criar a conta, processar a compra ou assinatura, cobrar, entregar e atender.	Procedimentos preliminares e execução de contrato (art. 7º, V, da LGPD).
Emitir documentos fiscais, manter registros obrigatórios e responder a autoridades.	Cumprimento de obrigação legal ou regulatória (art. 7º, II).
Prevenir fraude, abuso e incidentes e proteger o serviço.	Legítimo interesse, com avaliação de necessidade e proteção dos direitos do titular (art. 7º, IX), e execução do contrato, conforme o caso.
Fazer a curadoria com dados da criança.	Consentimento específico e em destaque do responsável legal e melhor interesse da criança (art. 14). Se uma restrição revelar dado sensível, também se aplica o consentimento específico do art. 11, I.
Medir o uso do site com Google Analytics.	Seu consentimento para cookies de análise (art. 7º, I).
Medir compras atribuídas a anúncios com Google Ads.	Seu consentimento para medição de publicidade (art. 7º, I).
Exercer direitos em processos administrativos, arbitrais ou judiciais.	Exercício regular de direitos (art. 7º, VI).

4. Dados de crianças

Apenas o responsável legal deve fornecer dados de uma criança. Solicitamos o mínimo necessário para adaptar a seleção de brinquedos à faixa etária e, quando aplicável, às preferências informadas. O tratamento considera o melhor interesse da criança e depende de consentimento específico e destacado do responsável. No checkout, registramos no servidor a versão do aviso aceito e a data e hora da autorização.

No atendimento por WhatsApp, não solicitamos nome, data de nascimento, idade, preferências ou restrições da criança antes dessa autorização. A coleta destinada à curadoria ocorre no checkout, depois do aceite específico. Se essas informações forem enviadas espontaneamente antes disso, não serão usadas para a curadoria e o responsável poderá pedir sua exclusão pelo canal indicado nesta política.

Não solicitamos diagnósticos. Se o responsável informar uma restrição que revele dado de saúde ou outro dado sensível, ele será usado somente quando necessário para a segurança e adequação da curadoria, sob consentimento específico.

Não enviamos ao Google Analytics ou ao Google Ads nome, apelido, data de nascimento, idade, preferências, restrições ou qualquer outro dado da criança. Esses dados também não são usados para publicidade ou criação de perfis de anúncios.

O responsável pode revogar o consentimento ou pedir correção ou exclusão. A revogação não afeta tratamentos realizados licitamente antes do pedido e pode impedir uma curadoria personalizada dali em diante.

5. Google Analytics, Google Ads e minimização

As tecnologias do Google ficam desativadas por padrão. Elas só são carregadas depois que você aceita a categoria correspondente no aviso de cookies. Recusar é tão simples quanto aceitar e não impede o uso do site nem a compra.

Google Analytics 4 (análise): mede visitas e eventos como visualização de página, início do checkout e compra. Não enviamos ao GA4 e-mail, telefone, CPF, nome, endereço, campos de formulário nem dados de crianças.
Google Ads (medição de publicidade): mede se uma compra confirmada veio de um anúncio. O evento pode conter identificador do pedido, valor, moeda, identificadores de clique e somente o hash SHA-256 do e-mail para conversão avançada. O e-mail é normalizado e transformado no navegador antes do envio. O hash continua sendo um identificador pseudonimizado e é protegido como dado pessoal. Não enviamos telefone, CPF, nome, endereço nem dados de crianças ao Google Ads.

A personalização de anúncios permanece desativada: não usamos esses dados para remarketing ou audiências personalizadas. As categorias de análise e publicidade podem ser aceitas ou recusadas separadamente. Veja o inventário e os prazos na Política de Cookies.

6. Com quem compartilhamos

Compartilhamos apenas os dados necessários para cada finalidade com categorias de prestadores como:

Asaas e prestadores financeiros ou fiscais: cobrança, confirmação de pagamento e documentos fiscais;
transportadoras e plataformas de logística: cotação, postagem, entrega e rastreio;
serviço de consulta de CEP: preenchimento assistido do endereço, quando você solicita a busca;
provedores de hospedagem, armazenamento e comunicação: operação, suporte e segurança do serviço;
Cloudflare Turnstile: prevenção automatizada de abuso nos formulários e checkouts;
WhatsApp/Meta: quando você opta por iniciar atendimento nesse canal, sujeito também aos termos e políticas do serviço;
OpenAI, no atendimento automatizado: processa o texto da conversa e o contexto mínimo necessário para gerar respostas do assistente. Não utilizamos esse fluxo para publicidade e limitamos os dados enviados à finalidade de atendimento;
Google: somente para as categorias opcionais que você aceitar, nos limites descritos acima;
autoridades ou terceiros: quando uma lei, ordem válida ou o exercício regular de direitos exigir.

Não vendemos dados pessoais.

7. Transferência internacional

Alguns prestadores de nuvem, segurança, comunicação, inteligência artificial, análise ou publicidade podem processar dados fora do Brasil. Quando houver transferência internacional, ela deve observar as hipóteses e salvaguardas previstas na LGPD e na regulamentação da ANPD, inclusive medidas contratuais e de segurança aplicáveis.

8. Por quanto tempo mantemos

O prazo depende da finalidade e da obrigação envolvida. Aplicamos os seguintes critérios e prazos operacionais:

checkout não concluído: os dados pessoais digitados permanecem apenas na memória da página e não são gravados no armazenamento do navegador. Somente a escolha de plano e ciclo fica na aba durante a sessão;
compra aguardando medição: o registro local opcional é válido por até 24 horas e é removido após o envio ou ao fim da sessão. Se permanecer além desse prazo, deixa de ser usado e é apagado na próxima leitura;
leads e atendimento: registros de lead e o conteúdo de mensagens têm prazo operacional de 90 dias desde a coleta, sujeito ao tempo técnico da exclusão automatizada. Metadados mínimos da conversa não têm expiração automática fixa e podem permanecer enquanto necessários para reabrir o atendimento, durante a relação com o cliente ou até o atendimento de um pedido de exclusão aplicável;
conta ativa, assinatura e pedidos: durante a relação contratual e, depois, pelo período necessário para suporte, prevenção a fraude e exercício de direitos;
exclusão de conta: a supressão ou substituição dos identificadores diretos do cadastro é programada para depois de uma janela de 30 dias, em rotina periódica, e as conversas vinculadas são eliminadas. Registros que devam permanecer por obrigação legal ou exercício de direitos e informações etárias sem nome podem continuar associados a um identificador técnico, com acesso restrito;
documentos fiscais e registros financeiros: 5 anos ou outro prazo exigido pela legislação aplicável;
registros técnicos: logs de aplicação e registros efêmeros usados para segurança e idempotência seguem o prazo configurado na infraestrutura, cujo padrão é 30 dias;
Google Analytics: os cookies no navegador podem durar até 180 dias, salvo exclusão anterior. A retenção dos eventos nos sistemas do Google segue a configuração administrativa da propriedade e os controles do provedor;
Google Ads e atribuição: os identificadores locais de clique são usados por até 90 dias e removidos na leitura seguinte quando vencidos. Cookies de conversão seguem os prazos aplicados pelo Google tag.

Dados podem ser eliminados antes quando deixarem de ser necessários, ou preservados por mais tempo se houver dever legal, ordem válida ou necessidade de exercício regular de direitos. Detalhes do armazenamento no navegador estão na Política de Cookies.

9. Segurança

Adotamos medidas técnicas e administrativas proporcionais ao risco, como conexão HTTPS, controles de acesso, proteção da infraestrutura, registros de auditoria e mecanismos contra abuso. Nenhum ambiente é totalmente imune a incidentes; por isso, também mantemos procedimentos de detecção e resposta. Incidentes com risco ou dano relevante serão comunicados aos titulares e à ANPD conforme as regras aplicáveis.

10. Seus direitos

Nos termos da LGPD, você pode pedir confirmação e acesso; correção; anonimização, bloqueio ou eliminação quando cabível; portabilidade, observada a regulamentação; informação sobre compartilhamentos e sobre a possibilidade de negar consentimento; revogação do consentimento; oposição; e revisão de decisões unicamente automatizadas, se houver.

Envie o pedido para contato@brinqbox.com. Para proteger o titular, podemos solicitar informações suficientes para confirmar sua identidade ou, em pedidos sobre crianças, a condição de responsável legal. Atenderemos gratuitamente nos prazos aplicáveis. Você também pode peticionar perante a ANPD e os órgãos de defesa do consumidor.

11. Consentimento e preferências de cookies

Você pode aceitar, recusar ou alterar separadamente as categorias opcionais no gerenciador de cookies. A retirada vale para os tratamentos futuros e não torna ilícito o tratamento realizado anteriormente com consentimento válido. Consulte as instruções na Política de Cookies.

12. Decisões automatizadas e publicidade

Não tomamos decisões unicamente automatizadas que produzam efeitos jurídicos ou afetem significativamente o cliente com base nos dados descritos nesta política. Também não usamos os dados coletados no site para personalização de anúncios ou remarketing.

13. Atualizações e contato

Podemos atualizar esta política para refletir mudanças no serviço, nas tecnologias ou nas regras aplicáveis. A versão vigente e a data de atualização ficam nesta página; mudanças relevantes serão destacadas por meio adequado. Dúvidas ou solicitações podem ser enviadas para contato@brinqbox.com.