Política de privacidade

Esta página descreve os dados usados pela HxPay para operar contas e recebimentos. Para dúvidas, acesso, correção, oposição ou exclusão, use o canal de privacidade.

O que usamos e para quê

Nome, e-mail e identificador de conta permitem autenticação, suporte e gestão dos recebimentos. Senhas são armazenadas como hashes; não recebemos sua senha Google. Contato com suporte pode conter informações fornecidas por você. Evite enviar documentos, senhas e códigos de segurança em mensagens.

Nome, CPF/CNPJ e, quando fornecido, EUID do pagador são enviados ao processador financeiro Eulen/Pix2DePix para consultar o limite diário, emitir e acompanhar a operação. Armazenamos o pedido de processamento de forma cifrada, valores, taxas, estado, referência, endereços públicos de recebimento nas redes escolhidas e identificadores de transação. A carteira pode ser associada a operações; blockchain não deve ser considerada anônima.

Segurança e fornecedores

Utilizamos AWS, com armazenamento principal em São Paulo, e Google quando você escolhe esse login. A Eulen/Pix2DePix participa do processamento financeiro e do envio de DePix. Se você escolhe receber USDT ou USDT0, a SideShift consulta a disponibilidade da rota e converte o DePix para a rede escolhida. Enviamos à SideShift o endereço IP da conexão para verificar permissões e, na criação da conversão, o endereço público de destino, a rede, o ativo e uma referência da operação. Não enviamos à SideShift sua senha ou palavras de recuperação. Esses prestadores podem ter obrigações e tratamentos próprios.

Autenticação adicional, controle de acesso, conexão cifrada e criptografia de campos protegem os dados. Para passkeys guardamos a credencial pública; sua biometria e chave privada permanecem sob controle do dispositivo. O segredo do autenticador é cifrado e os códigos de recuperação são armazenados como hashes.

Cookies necessários

A sessão de acesso dura até quatro horas, e o fluxo de login social até dez minutos. Cookies cifrados de acompanhamento de checkout e de solicitações de privacidade duram até trinta dias. São usados para manter o acesso à operação ou ao atendimento; apagar esses cookies pode impedir esse acompanhamento.

Conservação e direitos

Perfis e preferências são mantidos enquanto necessários à conta. Logs técnicos têm retenção de trinta dias; backups contínuos possuem janela de até trinta e cinco dias. Contadores temporários de segurança e códigos de verificação têm expiração própria e são eliminados de forma assíncrona após vencerem.

Registros financeiros, suporte e evidências de segurança seguem critérios de finalidade, obrigação aplicável e necessidade de investigação. Ao tratar uma solicitação, informaremos o alcance, a decisão e eventual conservação justificada. A exclusão não é automática enquanto houver verificação de identidade ou obrigação pendente.

Use o formulário de privacidade para exercer seus direitos. Não exigimos envio de senha, chave privada ou frase de recuperação.

Métricas de uso e campanhas

Quando habilitadas, usamos métricas técnicas para entender acessos, desempenho, etapas gerais do produto e a eficácia de campanhas. Enviamos um identificador aleatório do navegador e da sessão, a rota normalizada sem parâmetros, versão da aplicação, Web Vitals, classe de erros, estados gerais da operação e sinais genéricos de cliques repetidos ou sem resposta visível. Para atribuição, podemos conservar por até 45 dias identificadores de clique do Google e os parâmetros de origem, mídia e campanha expressamente permitidos. Cadastro concluído e primeiro pagamento liquidado são medidos apenas depois da confirmação do servidor. Para integridade da medição interna, o servidor registra uma única vez a primeira liquidação canônica no PostHog, mesmo que a pessoa não retorne à página, usando somente referência opaca da conta e da transação, moeda, receita de comissão da HxPay e atribuição de campanha sanitizada; não envia o valor bruto, nome, contato, documento, carteira ou dados Pix. Usamos Google Ads para atribuição de campanhas e, quando configurado, Google Analytics 4 para visualizações de páginas e eventos gerais do funil. No GA4, enviamos a rota normalizada sem parâmetros ou referência de origem, o título fixo HxPay e categorias permitidas. Eventos de erros, objetos de API, valores de formulário e o valor bruto de pagamentos não são enviados ao GA4. Cadastro usa o evento sign_up; o primeiro pagamento liquidado usa first_payment_completed com a comissão da HxPay, sem registrar essa comissão como compra ou faturamento bruto. O Google recebe sinais sem cookies publicitários ou de analytics por padrão; personalização, Google Signals, User-ID, dados de usuário e conversões otimizadas permanecem desativados.

O Pixel da Meta somente é carregado depois de consentimento explícito. Quando a escolha está válida, o Pixel recebe PageView, CompleteRegistration e FirstTransferCompleted, e a API de Conversões pode receber Purchase após a primeira liquidação, com o mesmo identificador de evento para eliminar duplicidade entre navegador e servidor. São enviados moeda, receita de comissão da HxPay, referência opaca, agente do navegador e, quando disponíveis, identificadores técnicos da Meta. Não enviamos campos de formulários ou seus valores à Meta, nem nome, e-mail, telefone, CPF/CNPJ, endereços de carteira, chaves Pix, QR Codes, identificadores dos provedores, mensagens, texto digitado, corpos de rede ou o valor bruto do pagamento. A escolha pode ser recusada; nesse caso a API de Conversões não recebe a operação. Global Privacy Control, Do Not Track e a oposição geral impedem o carregamento do Pixel e registram a recusa na conta.

Gravações de sessão podem ser usadas em toda a jornada do site e da conta, inclusive no checkout e na visualização do Pix, para diagnosticar problemas de navegação, layout e interação. Textos fixos da interface pública podem permanecer legíveis para revelar instruções que causam dúvida; conteúdo do cliente, valores e todos os campos são mascarados no navegador. QR Codes, códigos Pix, campos ocultos, imagens enviadas, arquivos, dados da operação e elementos marcados como sensíveis são bloqueados antes do envio. Nas áreas autenticadas e de segurança, todo o texto permanece mascarado. Apenas atributos estritamente visuais são preservados para reconstruir a interface. Respeitamos Global Privacy Control e Do Not Track; você também pode solicitar oposição pelo canal de privacidade.