Política de Privacidade

Ela se aplica a:

• meweb.com.br: o site institucional, as páginas de preços e planos, o formulário de contato e o cadastro self-service de novas lojas;
• sistema-<sua-loja>.meweb.com.br: o painel administrativo que o lojista e a equipe dele usam para operar a loja;
• o painel interno de operação usado pela equipe MeWeb para administrar a plataforma;
• a operação técnica da plataforma de e-commerce licenciada aos lojistas.

Ela não substitui a política de privacidade de cada loja hospedada na plataforma. Se você comprou em uma loja MeWeb, a política que vale para os seus dados de compra é a da loja; veja a seção 2.

A MeWeb ocupa dois papéis distintos na LGPD, e a diferença muda quem responde pelo quê.

Em linguagem simples. Quando você é lojista, nós somos a empresa que presta o serviço para você, e respondemos diretamente pelos seus dados. Quando você é cliente de uma loja feita na MeWeb, quem decide o que fazer com os seus dados é o dono daquela loja; nós somos a “cozinha” que executa as ordens dele. Nesse caso, o canal para exercer os seus direitos é o da loja onde você comprou, e a MeWeb apoia o lojista tecnicamente para que ele consiga te atender.

O tratamento em que a MeWeb é operadora é regido por:

• a política de privacidade publicada por cada loja (a MeWeb disponibiliza um modelo ao lojista); e
• o Anexo de Tratamento de Dados Pessoais entre a MeWeb e o lojista, que é o instrumento do art. 39 da LGPD.

Esta Política descreve principalmente o que fazemos como controladora, mas as seções 5 (compartilhamento), 6 (transferência internacional), 7 (retenção) e 10 (segurança) descrevem também, com transparência, os fluxos técnicos da plataforma que alcançam dados de consumidores, porque é a MeWeb quem os executa.

No site institucional e nos painéis da MeWeb usamos apenas cookies estritamente necessários:

Não usamos cookies de publicidade ou de medição de terceiros no site institucional nem nos painéis.

Nas lojas dos lojistas o cenário é outro: cookies e pixels de terceiros (Google Analytics, Meta Pixel e similares) são configurados pelo lojista e só são carregados depois do consentimento do visitante, coletado pelo banner de consentimento da loja. Esse tratamento é de responsabilidade do lojista, como controlador.

Para operar a plataforma, a MeWeb recorre a prestadores de serviço que tratam dados pessoais em nosso nome (operadores/subprocessadores), sempre sob obrigação de confidencialidade e segurança, e apenas para as finalidades desta Política.

Lista completa e vigente em 22 de agosto de 2026:

A lista pública e sempre atualizada, com a indicação de transferência internacional de cada um, está em meweb.com.br/subprocessadores. Alterações relevantes nesta lista são comunicadas aos lojistas nos termos do Anexo de Proteção de Dados.

Além dos subprocessadores acima, podemos compartilhar dados com autoridades públicas quando houver requisição legal fundamentada, e com assessores jurídicos e contábeis sob dever de sigilo, para exercício regular de direitos.

Parte dos subprocessadores está fora do Brasil. Isso caracteriza transferência internacional de dados pessoais. Os fluxos que saem do Brasil são, hoje, exatamente estes seis:

Podem existir, ainda, transferências internacionais decorrentes de escolhas do lojista: o provedor de SMTP e o endpoint de webhook que ele cadastrar podem estar hospedados fora do Brasil. Nesses casos a relação contratual é do lojista com o fornecedor dele.

O provedor de infraestrutura e backup é a Contabo GmbH, com datacenter em Lauterbourg, França, portanto na União Europeia. É uma transferência internacional, e a salvaguarda é a adequação: a Resolução CD/ANPD nº 32/2026 reconhece a União Europeia como jurisdição adequada, o que dispensa cláusulas contratuais padrão para esse envio. O provedor também consta da lista de subprocessadores.

Todas essas transferências ocorrem com fundamento no art. 33 da LGPD, para as finalidades declaradas na seção 3, mediante os instrumentos indicados acima. A MeWeb reavaliará os instrumentos conforme a ANPD editar regulamentação específica sobre transferência internacional.

Guardamos dados pessoais apenas pelo tempo necessário às finalidades declaradas, ou pelo prazo exigido por lei. Os prazos abaixo são os que a plataforma executa automaticamente hoje.

Findo o prazo, os dados são eliminados ou anonimizados, ressalvadas as hipóteses do art. 16 da LGPD (cumprimento de obrigação legal, estudo por órgão de pesquisa com anonimização, transferência a terceiro com observância da lei e uso exclusivo do controlador com anonimização).

A LGPD dá ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Declaramos, com transparência, as decisões automatizadas que a plataforma executa.

Como titular, você pode pedir a qualquer momento:

Adotamos medidas técnicas e organizacionais compatíveis com o risco (LGPD art. 46). As principais:

• Cifra em repouso por loja: segredos e dados sensíveis são cifrados com AES-256-GCM usando uma chave de dados própria de cada loja (envelope encryption). O comprometimento de uma chave expõe uma loja, não a plataforma.
• Senhas com argon2id: nunca armazenamos senha em texto claro; tokens sensíveis são guardados apenas como hash.
• Autenticação em dois fatores (2FA) disponível para contas do painel, por adesão do usuário.
• Isolamento multi-tenant por construção: o escopo da loja é injetado em toda consulta ao banco e prefixado em cache e armazenamento de arquivos; uma loja não alcança dados de outra. Existe suíte de testes automatizados dedicada a esse isolamento.
• PCI-DSS SAQ A: dados de cartão nunca tocam nossos servidores: o número do cartão e o CVV vão do navegador direto ao provedor de pagamento, que devolve um token. Vale tanto para as compras nas lojas quanto para a assinatura da plataforma, e é verificado por teste automatizado.
• Assinatura HMAC com comparação time-safe nas integrações de webhook, e proteção contra requisições a destinos internos (anti-SSRF).
• Geolocalização por IP resolvida localmente (base GeoLite2 embarcada): nenhum endereço IP é enviado a serviço externo de geolocalização.
• Redação automática de segredos antes de gravar registros de conversa de IA (senhas, tokens, chaves, dados de cartão).
• Auditoria de leitura de dados pessoais em rotas sensíveis do painel, registrando quem, quando e quantos registros, nunca o conteúdo lido, para que o próprio log não vire uma exposição.
• Backups cifrados antes de deixarem a infraestrutura, com restauração testada.
• Expurgo com destruição de chave (crypto-shredding) ao fim da retenção de uma loja cancelada.

Nenhum sistema é integralmente imune. Em caso de incidente de segurança com dados pessoais, seguimos o nosso Plano de Resposta a Incidentes: contenção, avaliação de risco, comunicação à ANPD e aos titulares quando houver risco ou dano relevante e, quando a MeWeb for operadora, notificação ao lojista controlador para que ele conduza as comunicações, com o nosso apoio.

Os serviços da MeWeb são dirigidos a empresas e profissionais: o cadastro de lojista pressupõe capacidade civil e não é destinado a menores de 18 anos.

Nas lojas hospedadas na plataforma, o controlador é o lojista, a quem cabe observar o art. 14 da LGPD: o tratamento de dados de crianças e adolescentes deve atender ao melhor interesse do titular e, no caso de crianças (menores de 12 anos), depende de consentimento específico e em destaque de ao menos um dos pais ou do responsável legal. A plataforma não coleta data de nascimento por padrão, e orienta o lojista a não inscrever menores de 16 anos em comunicações de marketing.

Se você identificar que dados de uma criança ou adolescente foram tratados sem a base adequada, escreva ao Encarregado: agiremos com prioridade.

Podemos atualizar esta Política para refletir mudanças legais, técnicas ou de negócio. A versão vigente é sempre a publicada em meweb.com.br/privacidade, identificada pelo número de versão e pela data de vigência no topo.

Alterações materiais (novas finalidades, nova base legal, novo subprocessador com transferência internacional ou mudança relevante em prazos de retenção) são comunicadas aos lojistas por e-mail e por aviso no painel com antecedência razoável antes de entrarem em vigor.