Privacidade e LGPD
O Klarium atua como operador de dados para prevenção à fraude e segurança, sob a base legal de legítimo interesse e prevenção à fraude (LGPD, art. 7º, IX). Esta página descreve o que o produto faz hoje, sem prometer o que ainda não existe.
O que guardamos
| Dado | Como |
|---|---|
| Identificador do visitante | HMAC do identificador do navegador, isolado por organização. |
| CPF e chave Pix do pagador | Somente HMAC, isolado por organização. O valor em claro nunca é gravado. |
| Preenchimento do checkout | Só comportamento agregado (tempos, contagens, colagem, autofill, ordem). Nunca o valor digitado. |
| IP e User-Agent | Gravados no evento (IP completo e um HMAC dele). |
| Caminho da página | Sem query string; identificadores viram :id. |
| Chaves de API e segredos de webhook | Chaves como hash; segredos de webhook cifrados (AES-256-GCM). |
| Passkeys | Chave pública e contador; nunca material biométrico. |
O que ainda não existe
- Retenção automática e truncamento do IP após 30 dias.
- Fluxo de direitos do titular (DSAR) por API.
- Região de dados no Brasil depende de onde você implanta a instância.
- Certificações (SOC 2, ISO 27001).
O CPF de um mandato é declarado, não verificado.
Boas práticas para o lojista
- Informe no seu aviso de privacidade o uso de identificação de dispositivo para segurança.
- Mantenha a chave secreta apenas no servidor e use o sandbox para testes.
- Não envie dados pessoais desnecessários em
orderRefou emdescription.