Política de privacidade

Vigência: 23/10/2026

Esta política conta o que a XP Certificados faz com os dados pessoais de quem visita o site www.xpcertificados.com.br, compra um certificado digital ou conversa com a nossa equipe. Ela segue a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) e as normas da ICP-Brasil.

Quem responde pelos seus dados e como falar com a gente

O controlador, isto é, quem decide o que se faz com os dados, é:

XP Certificados, loja do Grupo Certsaid (Certsaid Solution LTDA), CNPJ 46.026.367/0001-85, Rua José Alves Garcia, 173, sala 05, Bairro Brasil, Uberlândia/MG, CEP 38400-668

Para qualquer assunto sobre os seus dados, escreva para xpcertificados@gmail.com ou chame no WhatsApp (34) 99649-2609.

Neste texto, "nós" e "XP" são a empresa acima. A conferência da sua identidade e a emissão do certificado ficam com a Autoridade Certificadora (AC), que é o SERPRO ou a Safeweb, e com a Autoridade de Registro (AR) que atende a validação. Nessa etapa, elas seguem as normas da ICP-Brasil, respondem pelos dados que tratam e têm políticas de privacidade próprias.

Que dados recebemos e de onde vêm

Do seu acesso ao site

• IP, horário de cada acesso, navegador e aparelho usados;
• páginas e produtos que você olhou, o que ficou no carrinho e de onde você veio, como um anúncio do Google;
• dados de cookies, descritos mais abaixo.

Da sua compra

• nome, CPF, e-mail e telefone, inclusive o do WhatsApp;
• no e-CNPJ, razão social, CNPJ e dados do responsável pela empresa;
• endereço de entrega, só quando a compra inclui token;
• produto, valor, forma de pagamento e situação do pagamento.

O cartão é digitado no ambiente da empresa de pagamento. Não guardamos o número completo nem o código de segurança.

Da validação feita pela AC

Estes dados são coletados no sistema da AC, durante a videoconferência com o agente de registro:

• documento oficial com foto e, no e-CNPJ, também os documentos da empresa;
• imagem e voz captadas na videoconferência;
• foto e biometria do rosto, usadas para confirmar que você é quem diz ser. Biometria é dado pessoal sensível (LGPD, art. 5º, II);
• as informações gravadas no próprio certificado, como nome, CPF, data de nascimento e e-mail.

Se você mandar a foto de um documento à equipe, por WhatsApp ou e-mail, para adiantar o atendimento, a cópia é usada só na compra e na validação.

Do atendimento

• mensagens por WhatsApp e e-mail e o histórico dos atendimentos;
• prints e arquivos que você enviar para mostrar um problema.

Para que usamos os dados

A LGPD exige uma base legal para cada uso. Quando a base é o legítimo interesse, o uso é o que se espera de quem compra numa loja, e você pode se opor a ele.

• Vender, validar, emitir e dar suporte ao certificado, e enviar o token. Base legal: execução de contrato (art. 7º, V).
• Atender exigências legais e da ICP-Brasil, como a conferência de identidade e a guarda do dossiê. Base legal: obrigação legal ou regulatória (art. 7º, II).
• Usar biometria e imagem do rosto na validação. Base legal: obrigação regulatória e prevenção à fraude na identificação (art. 11, II, "a" e "g").
• Receber o pagamento e evitar fraude na compra. Base legal: execução de contrato e legítimo interesse (art. 7º, V e IX).
• Cobrar quem combinou pagar depois da emissão e nos defender em reclamações, no Procon ou na Justiça. Base legal: execução de contrato e exercício regular de direitos (art. 7º, V e VI).
• Medir visitas e anúncios no Google e mostrar anúncios da XP a quem já visitou o site. Base legal: legítimo interesse (art. 7º, IX).
• Avisar do vencimento do certificado e fazer ofertas. Base legal: legítimo interesse (art. 7º, IX). Se você solicitar que a gente pare, paramos de enviar.
• Guardar os registros de acesso ao site. Base legal: obrigação legal (Marco Civil da Internet, Lei nº 12.965/2014, art. 15).

Quem mais recebe os dados

Só passamos adiante o que cada finalidade exige. Não vendemos nem alugamos dados pessoais.

• Autoridade Certificadora (SERPRO ou Safeweb) e Autoridade de Registro: cadastro, documentos, videoconferência e biometria, para validar a identidade e emitir o certificado. A biometria pode ser conferida em base oficial, como determinam as normas da ICP-Brasil.
• Meios de pagamento: o Mercado Pago, que aparece no checkout, e as instituições financeiras que processam cartão, Pix e boleto. Elas podem fazer análise antifraude.
• Loja Integrada: plataforma onde a loja funciona e onde ficam o cadastro e as compras.
• Correios: usam nome, endereço e telefone na entrega do token.
• Google: Google Analytics, Google Ads e Google Tag Manager, por meio dos cookies descritos abaixo.
• Ferramentas do dia a dia: WhatsApp (Meta) e e-mail no atendimento, e quem cuida da nossa contabilidade, sempre com o mínimo necessário.
• Autoridades públicas: se a lei, um juiz ou um órgão competente exigir.

Cookies, Google Analytics e Google Ads

Cookies são arquivos pequenos que ficam salvos no seu navegador. Na primeira visita, a loja mostra um aviso sobre o uso deles. Estes são os que usamos:

• Cookies da loja (Loja Integrada): guardam o carrinho e a sessão e fazem o site funcionar. Sem eles, não dá para comprar.
• Google Analytics: registra visitas, páginas, cliques e compras, para melhorarmos a loja.
• Google Ads: mede quais anúncios levam a vendas e permite mostrar anúncios da XP a quem já visitou o site.
• Google Tag Manager: reúne e controla as ferramentas de medição.
• Mercado Pago: durante o pagamento, pode ler cookies e dados do aparelho para checar fraude.

Você pode bloquear ou apagar cookies no navegador, ajustar os anúncios que o Google mostra para você na Minha Central de Anúncios e instalar o complemento de desativação do Google Analytics. Bloqueando os cookies da loja, o carrinho pode parar de funcionar.

Quanto tempo os dados ficam guardados

• Dossiê de validação (documentos, biometria e registros da emissão): a AC e a AR guardam por no mínimo 7 anos, contados do vencimento ou da revogação do certificado, como determina a ICP-Brasil (DOC-ICP-05, item 5.5.2). Antes disso, esses dados não podem ser apagados.
• Cópias de documentos enviadas à nossa equipe: guardadas só pelo tempo necessário para a emissão e o atendimento, e depois apagadas.
• Cadastro, compras e atendimentos: até 5 anos depois da última compra, prazo para reclamações e defesa de direitos (Código de Defesa do Consumidor, art. 27).
• Nota fiscal e registros de pagamento: pelo prazo da legislação fiscal.
• Registros de acesso ao site: 6 meses, conforme o Marco Civil da Internet (art. 15).
• Cookies: pelo prazo de cada um ou até você apagá-los.

Ao fim do prazo, os dados são apagados ou anonimizados, isto é, deixam de apontar para você.

Seus direitos e como exercê-los

Pelo art. 18 da LGPD, você pode solicitar a qualquer momento:

• saber se tratamos os seus dados e ter acesso a eles;
• correção de dados incompletos, errados ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados que tratamos com o seu consentimento;
• saber com quem compartilhamos os seus dados;
• informação sobre poder negar o consentimento e sobre as consequências;
• revogação do consentimento;
• oposição a um uso que dependa de legítimo interesse, como o envio de ofertas.

Escreva para xpcertificados@gmail.com ou use o WhatsApp acima. O atendimento é gratuito. Para a sua segurança, podemos confirmar a sua identidade antes. Confirmamos o recebimento e damos a primeira resposta em até 2 dias úteis. A declaração completa sobre os seus dados, quando você a solicitar, sai em até 15 dias (LGPD, art. 19, II).

Dados que a lei manda guardar, como o dossiê da emissão, as notas fiscais e os registros de acesso, permanecem bloqueados até o fim do prazo e só então são apagados. Excluir o cadastro não revoga o certificado. Para revogar também, diga isso na mesma mensagem e lembre que a revogação não tem volta.

Se a resposta não resolver, você pode recorrer à Autoridade Nacional de Proteção de Dados (ANPD), em www.gov.br/anpd, ou a um órgão de defesa do consumidor.

Segurança e dados fora do Brasil

O site usa conexão segura (https), e só a equipe que precisa dos dados para atender você tem acesso a eles. Na instalação, quem digita as senhas do certificado é você: não envie PIN, PUK, senha de uso nem senha do arquivo por mensagem. Se houver um incidente de segurança com risco ou dano relevante para você, avisamos você e a ANPD, como manda a LGPD (art. 48).

Google e Meta podem manter servidores fora do Brasil. Quando os seus dados vão para lá, seguimos as regras da LGPD (art. 33).

Mudanças nesta política

Se mudarmos a forma de tratar os dados ou se a lei mudar, atualizamos esta página e a vigência no topo. A versão atual vale desde 23 de outubro de 2026. Sobre cancelamentos e reembolsos, veja a política de cancelamento e arrependimento.