Política de Privacidade

Versão 1.0 — em vigor desde 1º de setembro de 2026.

Esta política explica, em linguagem clara, quais dados pessoais a Central Armas (CNPJ 21.186.210/0001-96) coleta, para quê usa, com quem compartilha e por quanto tempo mantém. Ela se aplica ao site, à loja física e aos serviços prestados pela equipe, e segue a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, “LGPD”).

1. Quem é o controlador dos dados

Central Armas — CNPJ 21.186.210/0001-96, com loja em Campo Grande-MS. É a controladora dos dados pessoais coletados por meio deste site e nas operações de venda, serviços CAC (despachante), estande de tiro, eventos, cursos e Diário de Campo (comunidade).

2. Encarregado (DPO)

O canal do encarregado pelo tratamento de dados pessoais é: dpo@centralarmas.com. Use este endereço para exercer qualquer direito previsto nesta política ou tirar dúvidas. Respondemos em até 15 dias úteis.

3. Quais dados coletamos e para quê

Coletamos apenas o necessário para cada finalidade (princípio da minimização, art. 6º III da LGPD):

3.1 Cadastro e autenticação

• E-mail e senha — para identificar você, permitir login e enviar comunicações operacionais (confirmações, status de pedido). Base legal: execução de contrato (art. 7º V).
• IP e navegador (User-Agent) — registrados em login/refresh para detectar fraude. Base legal: legítimo interesse (art. 7º IX). Retenção: 90 dias.
• Segundo fator (2FA) — obrigatório para contas administrativas; o segredo TOTP fica armazenado apenas no servidor.
• Dados do perfil (Minha conta) — telefone, data de nascimento, CPF e número do CR, informados por você, opcionalmente, para agilizar pedidos e serviços CAC. CPF e CR ficam cifrados no banco e só aparecem mascarados nas telas; nunca são enviados a automações. Endereços salvos servem para preencher o checkout — o pedido guarda uma cópia do endereço usado. Base legal: execução de contrato (art. 7º V). Você pode editar ou apagar tudo em Minha conta.
• Consentimento para novidades — só se você marcar “aceito receber novidades” em Minha conta (nunca no cadastro; desmarcado por padrão). Guardamos a data do aceite e você pode retirar a qualquer momento no mesmo lugar. Base legal: consentimento (art. 7º I).

3.2 Pedidos, entregas e pagamentos

• Nome, telefone, endereço e CPF — para emitir a nota fiscal, calcular frete e entregar o pedido. O CPF é pedido no checkout (ou usado o do seu perfil) e fica cifrado junto ao pedido. Retenção: 5 anos após o pedido (obrigação fiscal).
• Identificador Pix (txid da Efí) — para conciliar o pagamento. Retenção: 5 anos.
• CEP consultado — para cotar frete. Não fica salvo em banco; ficam em cache Redis por 30 dias.

3.3 Serviços CAC (despachante) — dado sensível

Para transferências, aquisições e renovações, coletamos o número do seu CR/SIGMA e, quando necessário, documentos exigidos pelo Exército. Esses dados são criptografados em repouso (envelope AES-GCM) e todo acesso administrativo é registrado no log de auditoria (audit_log com ação cac.data_accessed). Base legal: cumprimento de obrigação regulatória (Decreto 11.615/2023). Retenção: 5 anos após a conclusão do serviço.

3.4 Diário de Campo (posts da comunidade)

Se você publicar no Diário de Campo, seu nome (ou apelido escolhido) e o texto ficam públicos como crédito editorial. Fotos anexadas passam por uma pipeline segura que remove os metadados GPS (EXIF) antes de exibir. Você pode pedir para remover o post OU manter o texto anonimizando a autoria — em ambos os casos, atendemos em até 30 dias.

3.5 Assistente de IA (opcional, acionado por você)

Ao clicar em “Melhorar com IA” ou “Gerar para Instagram” no editor do Diário de Campo, o texto que você enviou é transmitido para a Anthropic (Claude API) — operadora contratada — para retornar uma sugestão. Não persistimos o texto na Anthropic; a Central Armas apenas registra a chamada no log de auditoria (mantido por 6 meses) para controle de uso. Veja a política de privacidade da Anthropic.

3.6 Cookies

Usamos apenas cookies operacionais essenciais: sessão de login, carrinho de compras e refresh token de autenticação. Não usamos cookies de marketing, publicidade ou analytics de terceiros. Como não há tratamento não essencial, exibimos apenas um aviso informativo — não é necessário opt-in.

3.7 Solicitação de serviço pelo site (canal “Solicitar pelo site”) — atualmente desativado

Status atual: o formulário “Solicitar pelo site” está temporariamente desativado. Na página /servicos o contato acontece direto pelo WhatsApp. Quando o canal voltar, valem as mesmas regras descritas abaixo.

Quando ativo, o formulário curto (“Solicitar pelo site”) coleta apenas nome, telefone/WhatsApp e uma mensagem opcional. Usamos esses dados unicamente para responder à sua solicitação do serviço escolhido (execução de solicitação do titular, art. 7º V da LGPD). Não enviamos marketing sem seu consentimento e não repassamos esses dados a parceiros para finalidade diversa.

Retenção: se a solicitação não evoluir para atendimento em 90 dias, seu nome, telefone e mensagem são anonimizados automaticamente pelo nosso processo de retenção — mantemos apenas o registro agregado de que houve uma solicitação. Se sua solicitação virar atendimento (documentos, orçamento, execução), passa a seguir a retenção da seção de dados operacionais correspondente.

Você pode a qualquer momento solicitar a exclusão desses dados antecipadamente escrevendo para dpo@centralarmas.com informando o nome e telefone que você enviou.

4. Com quem compartilhamos

Compartilhamos apenas o necessário com operadores contratados que nos ajudam a prestar o serviço (art. 5º VII):

Não vendemos e não cedemos seus dados para publicidade de terceiros. Compartilhamos com autoridades quando exigido por lei ou ordem judicial fundamentada.

5. Por quanto tempo mantemos

• Cadastro ativo: enquanto sua conta existir.
• Pedidos, notas fiscais e pagamentos: 5 anos (obrigação fiscal).
• Dados CAC (nº CR, documentos): 5 anos após a conclusão do serviço.
• Logs de auditoria: 12 meses em geral; 5 anos para acessos CAC.
• Logs de uso do assistente de IA: 6 meses.
• Exportações de dados solicitadas por você: 7 dias no download.
• Carrinhos abandonados: 90 dias.
• Contas que nunca compraram e ficaram inativas por 24 meses são avisadas por e-mail e anonimizadas em 30 dias sem resposta.

6. Seus direitos (art. 18 da LGPD)

Você pode, a qualquer momento, exercer os seguintes direitos — diretamente pelo painel /minha-conta/privacidade ou por e-mail ao encarregado:

• Acesso — confirmação de que tratamos seus dados e cópia deles.
• Exportação (portabilidade) — arquivo JSON com perfil, pedidos, serviços CAC e posts (o download fica disponível por 7 dias).
• Correção — atualização de dados incompletos ou desatualizados.
• Exclusão da conta — anonimizamos seus dados de contato. Pedidos e informações fiscais são preservados por obrigação legal, mas ficam desassociados de você. Sessões ativas são revogadas.
• Revogação de sessões — botão “encerrar todas as sessões” nas configurações da conta.
• Oposição, revisão e reclamação à ANPD — sempre possível pelo canal do encarregado.

7. Segurança

Aplicamos medidas técnicas e administrativas compatíveis (art. 46): senhas com Argon2id, autenticação em dois fatores obrigatória para administrativos, cifragem em trânsito (HTTPS) e em repouso para dados sensíveis de CAC, logs de auditoria, rate limiting, backups automáticos e restauração testada, e revisão contínua do OWASP Top 10.

8. Incidentes

Em caso de incidente de segurança que envolva dados pessoais e possa gerar risco relevante, comunicamos a ANPD e os titulares afetados em até 72 horas, com descrição, dados envolvidos e medidas tomadas (art. 48).

9. Alterações desta política

Ao mudar algo relevante, publicamos uma nova versão com data. Você verá a versão vigente no topo desta página. Alterações significativas são anunciadas por e-mail para titulares com conta ativa.

10. Contato

Encarregado (DPO): dpo@centralarmas.com. Fale conosco também pela página de contato.

Documento vinculado ao inventário técnico em docs/lgpd-inventario.md, versionado no repositório.