Política de Privacidade

1. Papéis no tratamento

• Para os dados de cadastro de Merchants e Afiliados (nome, e-mail, dados de pagamento do Afiliado), a Klikio é controladora.
• Para os dados de rastreamento dos visitantes e clientes dos sites dos Merchants, o Merchant é o controlador e a Klikio atua como operadora, tratando os dados conforme estas regras.

2. O que coletamos — e o que NÃO coletamos

• Clique de afiliado: URL de destino, referenciador, identificador do afiliado, user-agent e um hash irreversível do IP (SHA-256 com sal) usado apenas para deduplicação e anti-fraude. O endereço IP puro não é armazenado.
• Cookie de atribuição (_aff_ref): grava o código do afiliado pelo prazo da janela do programa. Não rastreia navegação, não constrói perfil e não é compartilhado para publicidade.
• Vendas: recebemos do Stripe o identificador do cliente, valor e situação de faturas para apurar comissões. Não recebemos número de cartão.
• Dados de payout do Afiliado (chave Pix, CPF/CNPJ, dados bancários): armazenados com criptografia AES-256-GCM, exibidos sempre mascarados e descriptografados apenas no momento da exportação do pagamento pelo Merchant.

3. Bases legais

• Execução de contrato: operação do programa, apuração e pagamento de comissões.
• Legítimo interesse: anti-fraude (hash de IP, bloqueio de auto-indicação), segurança e métricas agregadas de operação.
• Consentimento: e-mails de notificação opcionais — o opt-out fica no portal e é aplicado imediatamente.
• Cumprimento de obrigação legal: registros fiscais e contábeis.

4. Compartilhamento

Usamos suboperadores para funcionar: infraestrutura em nuvem (Google Cloud), banco de dados gerenciado (Neon), processamento de pagamentos (Stripe), envio de e-mails (Resend) e monitoramento de erros (Sentry). Dados podem ser processados fora do Brasil, sempre com salvaguardas contratuais (art. 33, LGPD). Não vendemos dados pessoais.

5. Retenção e eliminação

Dados de conta e ledger são mantidos enquanto a conta existir e pelos prazos legais aplicáveis (registros financeiros). Contas inativas são notificadas e arquivadas com exportação disponível. No encerramento, dados pessoais são eliminados ou anonimizados, preservando-se apenas o exigido por lei.

6. Seus direitos (art. 18, LGPD)

Você pode solicitar confirmação de tratamento, acesso, correção, anonimização, eliminação, portabilidade e informação sobre compartilhamentos. Canal do encarregado (DPO): contato@klikio.com.br. Respondemos em até 15 dias.

7. Segurança

Criptografia em trânsito (TLS) e em repouso, segredos em cofre gerenciado (Google Secret Manager), princípio do menor privilégio no acesso interno e ledger imutável para trilha de auditoria financeira.

8. Atualizações

Mudanças relevantes nesta política serão comunicadas por e-mail ou aviso na plataforma antes de entrarem em vigor.