Privacidade explicada sem letras miúdas.

Quem controla os dados

LARORA CASA & UTILIDADES LTDA, CNPJ 68.968.009/0001-24, com sede em Avenida Dario Roman, 984, Centro, Água Santa/RS, CEP 99965-000, decide o que é tratado e por quê — é a controladora, no vocabulário da LGPD.

Para qualquer assunto de privacidade, inclusive os pedidos previstos em lei, escreva para contato@larora.com.br. É o mesmo canal do encarregado pelos dados.

Quais dados são tratados

Você navega e monta o carrinho sem dar nenhum dado. Eles aparecem quando você compra, cria conta ou pede para receber novidades — e cada grupo tem uma finalidade só.

• Pedido: nome, CPF ou CNPJ, e-mail, celular e endereço completo. O CPF vai na nota fiscal; o endereço, na etiqueta.
• Conta: nome, e-mail, celular, CPF quando informado, endereços que você salvar e o histórico dos seus pedidos.
• Senha: guardada apenas como um resumo criptográfico com sal próprio (scrypt). Ninguém na Larora vê ou recupera a sua senha — nem nós.
• Novidades: e-mail, a confirmação do seu aceite e a data.
• Registros técnicos da hospedagem: endereço IP, data, hora, página acessada e navegador, usados para entregar o site e defendê-lo de abuso.
• Rascunho do fechamento (nome, endereço, CPF digitados): fica no seu navegador e não chega aos nossos servidores.
• Carrinho guardado: se você digitar o e-mail no fechamento e não concluir, guardamos esse e-mail, o celular, o primeiro nome e a LISTA DO QUE ESTAVA NO CARRINHO — só os códigos das peças, nunca preços — para poder lembrar você. Enquanto você não se identifica, o carrinho existe apenas no seu navegador.

Por que podemos tratar cada coisa

A LGPD exige uma base legal por finalidade. Estas são as nossas, na ordem em que aparecem na sua experiência.

• Execução do contrato: processar o pedido, cobrar, entregar, manter a conta e avisar sobre o pagamento. Sem isso não há compra.
• Obrigação legal: emitir nota fiscal e guardar os registros fiscais e de acesso pelos prazos que a lei determina.
• Legítimo interesse: segurança do site, prevenção a fraude e limites contra uso automatizado. Nunca para publicidade sem o seu aceite.
• Consentimento: novidades por e-mail e os cookies de medição e marketing. Você dá, e retira, quando quiser.
• Legítimo interesse, também: lembrar de um pedido ou de um carrinho que você deixou pela metade, pelo e-mail e pelo celular que você mesmo digitou no fechamento. É sobre uma compra que você começou, nunca sobre o que você olhou — e cada mensagem traz como pedir para parar.

Com quem os dados são compartilhados

Só com quem executa uma parte do serviço, e só com o mínimo necessário. A Larora não vende dados e não os cede para publicidade de terceiros.

• Hospedagem (KingHost, Brasil): mantém o site e o banco de dados.
• HurionPay: gera e confirma a cobrança por Pix.
• PayPal: processaria o pagamento com cartão. Está desativado hoje; quando for ativado, os dados do cartão vão direto para o PayPal e não passam pelos nossos servidores.
• Brevo: envia os e-mails do pedido, do despacho, da recuperação de senha e dos lembretes de carrinho ou pagamento que ficaram pela metade.
• IntegraFlux e Short.io: enviam os SMS do pedido e dos lembretes, e encurtam o link que vai neles. O SMS só sai entre 9h e 20h.
• Google (Ads): recebe a medição de anúncio — o valor da compra, a moeda e um identificador do pedido. Nome, CPF e endereço nunca vão. Com a sua permissão de marketing, o e-mail e o telefone também ajudam a reconhecer a compra, sempre como resumo criptográfico irreversível.
• Transportadoras: recebem nome, endereço e telefone para entregar.
• Autoridades, quando houver ordem ou obrigação legal.

Dados que saem do Brasil

Brevo, PayPal e Google operam fora do país — o primeiro na União Europeia, os outros dois nos Estados Unidos. A transferência acontece porque é necessária para executar o contrato com você e cumprir a sua solicitação, e, no caso da medição de anúncio, porque você consentiu — hipóteses previstas na LGPD. Cada um recebe só o que a sua função exige: o e-mail para enviar a mensagem, o valor para processar o pagamento, a medição da compra para creditar o anúncio.

Por quanto tempo

Dado guardado sem motivo é risco sem contrapartida. Cada um tem prazo.

• Pedido e nota fiscal: pelos prazos fiscais e de defesa previstos em lei, mesmo depois de a entrega terminar.
• Conta: enquanto ela existir. Peça a exclusão e ela é apagada, preservados os pedidos que a lei obriga a manter.
• Sessão de login: 30 dias, renovados com o uso. Trocar a senha derruba todas de uma vez.
• Código de recuperação de senha: 30 minutos, e morre assim que é usado.
• Carrinho guardado: 3 dias. Passou disso, ele é apagado do servidor por rotina automática — e concluir a compra já o retira antes.
• Escolha de cookies: 1 ano.
• Novidades: até você cancelar.

Como protegemos

Todo o site trafega em HTTPS. A senha é guardada como resumo criptográfico com sal próprio e comparada em tempo constante, o que impede descobri-la por tentativa medida. O cookie de sessão não é legível por JavaScript e só viaja por conexão segura. O banco de pedidos fica em volume privado do servidor, fora do alcance da web.

Nenhuma proteção é absoluta. Se acontecer um incidente com risco relevante a você, comunicaremos você e a ANPD, como a lei exige.

Seus direitos, e como usar

Escreva para contato@larora.com.br do e-mail cadastrado. Respondemos em até 15 dias e podemos pedir uma confirmação de identidade — é o que impede alguém de pedir os seus dados no seu lugar.

• Confirmar que existe tratamento e acessar os seus dados.
• Corrigir o que estiver errado ou incompleto.
• Pedir anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo.
• Pedir a portabilidade a outro fornecedor.
• Saber com quem compartilhamos.
• Retirar o consentimento de novidades e de cookies, sem prejuízo da compra.
• Reclamar à ANPD, se a nossa resposta não resolver.

Decisões automatizadas e menores de idade

Nenhuma decisão com efeito sobre você é tomada automaticamente por perfil. A aprovação do Pix vem do banco e a do cartão, do emissor — e o site apenas informa o resultado.

A loja não se destina a menores de 18 anos e não coleta dados de crianças e adolescentes conscientemente. Se isso acontecer, escreva para nós e apagamos.

Medição e anúncios, hoje

A loja usa a tag do Google Ads, e só ela. Não há Google Analytics, nem pixel de rede social, nem gerenciador de tags de terceiros: é o único script que vem de fora deste site.

Ela serve para uma coisa: saber quais anúncios viraram compra. Quando um pedido é pago, o que sai daqui é o valor, a moeda e um identificador do pedido — nunca o seu nome, e-mail, CPF, telefone ou endereço. O endereço da página do seu pedido também é limpo antes de virar relatório, porque aquele link é só seu.

Se você permitir os cookies de marketing, o seu e-mail e telefone podem ser usados para reconhecer a compra — e viajam como resumo criptográfico irreversível, nunca em texto legível. Sem essa permissão, nada de contato sai daqui.

Antes de qualquer coisa, a loja declara ao Google o padrão NEGADO no Consent Mode v2, assim que a página abre. Sem a sua escolha não há cookie nem identificação: a tag manda um sinal anônimo e nada mais.

Quando esta política mudar

A data no topo diz quando foi a última revisão. Mudança que altere finalidade ou compartilhamento é avisada no site antes de valer; correção de texto entra direto.