Política de Privacidad

Última actualización: 6 de noviembre de 2026

Esta Política explica cómo VVend (vvendi.com, sus subdominios y los dominios propios que un mercado conecta a él) trata datos personales, de acuerdo con la Ley General de Protección de Datos Personales de Brasil (Ley 13.709/2018, LGPD) y con el Marco Civil de Internet (Ley 12.965/2014). Vale para quien tiene cuenta en VVend (dueños y equipos de los mercados), para los clientes y proveedores que un mercado registra y para quien visita la tienda pública o las ofertas de un mercado.

Al usar VVend, usted declara que leyó y entendió esta Política. Las reglas de uso del servicio están en los Términos de Uso.

1. Quiénes somos y qué hacemos #

VVend es operado por Fireho (CNPJ 15.548.991/0001-19), con sede en Monte Santo de Minas, MG, Brasil ("nosotros"). Es un sistema de gestión para mercados y supermercados: caja, inventario, compras y proveedores, cuenta del cliente (fiado y prepago), puntos de fidelidad, canasta semanal, tienda pública, ofertas en la TV de la tienda y nómina del equipo.

2. Roles en el tratamiento: responsable y encargado #

La LGPD distingue a quien decide sobre los datos (responsable) de quien los trata en nombre de otro (encargado). En VVend conviven los dos roles:

Cuando actuamos como encargado, tratamos los datos según las instrucciones del mercado, los Términos de Uso y el contrato, cuando lo haya. El mercado responde por la base legal, por la transparencia con los titulares (sus clientes, proveedores y empleados) y por atender sus derechos. Las solicitudes que nos lleguen sobre esos datos se remitirán al mercado responsable.

De los datos que el mercado registra, somos responsables solo del registro de persona descrito en la sección 3.2; el titular puede pedir acceso a él y oponerse a él en sac@vvendi.com (art. 18, §2).

3. Datos que tratamos #

3.1. Su cuenta #

• Registro: nombre, correo, teléfono (cuando se informa), contraseña (guardada solo como hash), idioma y zona horaria; foto y demás campos del perfil, si los completa; CPF y dirección, si los informa en su página de cuenta.
• Equipo del mercado: en qué mercado trabaja y con qué rol (dueño, administrador, cajero y afines). Quien invita a un colega informa su nombre y su correo o su teléfono.
• Datos del mercado: nombre, razón social, CNPJ, dirección, contactos, logotipo, colores de la marca, dominio propio y la configuración de puntos y de la tienda.

3.2. Clientes del mercado #

Cuando el mercado abre una cuenta (tarjeta del cliente) para alguien, informa el nombre, y puede informar el teléfono y el CPF. Con eso guardamos, en nombre del mercado:

• el código de la tarjeta (el QR impreso), el saldo, el límite de fiado que el mercado otorgue, las compras hechas en la cuenta, los pagos, la recarga prepaga y un eventual bloqueo;
• los puntos de fidelidad: cada línea ganada o usada, ligada a la venta que la generó;
• la canasta semanal, cuando la hay: los ítems, el día de la semana y la venta de cada semana.

Para encontrar a la misma persona en la próxima atención, el teléfono y el CPF digitados quedan ligados a un único registro de persona en VVend, el mismo en todos los mercados donde ella compra y el de su propia cuenta, si ya tiene una; ese registro no se convierte por sí solo en una cuenta con contraseña, y cada mercado ve solo lo que él mismo digitó. De ese registro somos responsables (secciones 2 y 4).

3.3. Proveedores del mercado #

El mercado registra a sus proveedores: nombre, CPF o CNPJ, teléfono, correo, secciones y etiquetas, precios por cantidad, cotizaciones recibidas y compras hechas. En general son datos de empresas; pueden ser datos personales cuando el proveedor es una persona física o un microemprendedor.

La conversación con el proveedor. Si el mercado conecta su propio número de WhatsApp a VVend (el chip), el chip guarda en VVend todo mensaje individual que llega al número del mercado y los que el mercado envía desde el propio teléfono, con sus archivos (fotos, audios, documentos): el texto, el número que escribió, la fecha y quién del equipo respondió. Los de números que ningún proveedor tiene quedan en la bandeja de entrada del mercado; los mensajes de grupos, estados y canales no se guardan. Los archivos quedan en nuestro almacenamiento, en Brasil, y solo el equipo del mercado y, para soporte y seguridad, la administración de VVend los abren. VVend no tiene bot ni asistente en WhatsApp.

3.4. Ventas, caja y pagos #

• Ventas: los productos, las cantidades, los valores, la caja, quién vendió, la forma de pago y el comprobante. El comprobante de VVend no es documento fiscal.
• Efectivo y tarjeta en el datáfono: registramos solo la forma de pago y el valor. La tarjeta pasa por el datáfono del propio mercado; VVend no recibe ni guarda datos de tarjeta del cliente.
• Pix: el Pix cae en la cuenta del propio mercado, en su banco (hoy Asaas o Sicoob). Para generar el cobro, el banco recibe el valor y, del cliente, solo el nombre de la cuenta y el CPF que el cajero digitó. Las claves de acceso del mercado a su banco se guardan cifradas.

3.5. Nómina #

Cuando el mercado usa la nómina, informa para cada persona del equipo: nombre, CPF, fechas de inicio y fin, régimen, salario, jornada, el número de dependientes para el impuesto sobre la renta (nunca sus nombres), los eventos de cada mes y, si quiere, el archivo del contrato. Calculamos los recibos de sueldo con INSS, IRRF y FGTS. Cada persona ve sus propios recibos en su cuenta.

3.6. Datos recogidos automáticamente #

• Registros de acceso: dirección IP, fecha y hora, páginas visitadas y lo que se envió en los formularios, sin contraseñas, teléfonos, CPF, correos, valores ni búsquedas, guardados como exige el Marco Civil de Internet.
• Cookies y almacenamiento local: ver la sección 11.
• Métricas de audiencia: usamos Google Analytics, en todas las páginas, incluidas las del equipo, para medir visitas de forma agregada.

3.7. Datos recibidos de terceros #

• Inicio de sesión con Google o Apple: ver las secciones 5 y 6.
• Bancos: la confirmación de que un Pix fue pagado.
• WhatsApp: los mensajes que llegan al chip del mercado (sección 3.3).

4. Para qué usamos los datos y con qué base legal #

Para los datos de los que el mercado es responsable, las bases usuales son: ejecución de contrato (art. 7, V) para la cuenta y la canasta; protección del crédito (art. 7, X) para el fiado; obligación legal (art. 7, II) para la nómina.

VVend no necesita datos personales sensibles (art. 5, II, y art. 11) y no pide ninguno. No envíe ese tipo de dato en campos libres ni en las conversaciones.

No vendemos datos personales y no los usamos para publicidad de terceros. No enviamos correos de marketing sin su consentimiento. Los clientes y proveedores de un mercado nunca se muestran a otro mercado.

5. Datos de usuario de Google #

Puede entrar en VVend con su cuenta de Google (Google Sign-In). En ese caso:

• A qué accedemos. Solo a los alcances email y profile: su nombre, su dirección de correo, el identificador de su cuenta de Google y la dirección de su foto de perfil. No pedimos acceso sin conexión, no guardamos token de actualización y no accedemos a Gmail, Drive, Calendar, Contactos ni a ningún otro dato de su cuenta de Google.
• Cómo lo usamos. Para crear su cuenta o vincularla a una cuenta existente con el mismo correo, autenticarle en los accesos siguientes y mostrar su nombre y foto en la interfaz. Nada más.
• Cómo lo guardamos. Nombre, correo, identificador y dirección de la foto quedan en el registro de su cuenta, en nuestra base de datos, con los mismos cuidados de seguridad que los demás datos de la cuenta.
• Con quién lo compartimos. Con nadie, salvo los proveedores de infraestructura que alojan el servicio (sección 7), en la medida necesaria para operarlo, o cuando la ley lo exija.
• Cómo lo eliminamos. Cuando usted elimina la cuenta, ya no es posible entrar con Google. Nombre, correo, el identificador de la cuenta de Google y la dirección de la foto se guardan, como en la sección 12, y no se usan para nada más.

El uso y la transferencia, por VVend, de información recibida de las API de Google a cualquier otra aplicación seguirán la Política de Datos del Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado (Limited Use).

En particular, los datos de usuario de Google no se venden, no se usan para publicidad, no se usan para entrenar modelos generales de inteligencia artificial o aprendizaje automático y no los leen personas, salvo con su consentimiento expreso, cuando sea necesario por seguridad (como investigar un abuso) o para cumplir la ley.

Para revocar el acceso, entre en myaccount.google.com/permissions y quite VVend. Después, entre con correo y contraseña u otro método; si también quiere cerrar la cuenta, la sección 12 dice qué se borra y qué se guarda.

Google Analytics, citado en la sección 3.6, es una herramienta de métricas del sitio y no tiene relación con los datos de Google Sign-In.

6. Apple, correo, passkeys y avisos #

• Iniciar sesión con Apple. Recibimos de Apple el identificador de la cuenta, el correo (que puede ser una dirección de reenvío privada de Apple) el nombre, si decide compartirlo, y un token que guardamos solo para revocar el acceso cuando usted elimina la cuenta. Los usamos solo para crear la cuenta y autenticarle.
• Enlace de acceso. Un enlace de un solo uso enviado por correo que abre la sesión de la cuenta para la que fue generado.
• Passkeys. La clave privada queda en su dispositivo o gestor de contraseñas; guardamos solo la clave pública y el identificador de la passkey.
• Avisos. VVend avisa solo por correo, enviado desde no-reply@vvendi.com. No enviamos notificaciones push ni mensajes de WhatsApp a los clientes del mercado.

7. Compartición #

Compartimos datos solo en la medida necesaria, con:

Los proveedores tratan los datos bajo contrato o términos de servicio propios, y solo para las finalidades de arriba.

Lo que es público. La tienda pública de un mercado y las ofertas en la TV de la tienda muestran productos, precios y la marca del mercado. No muestran datos de clientes ni de proveedores.

En caso de fusión, adquisición, escisión o venta de parte del negocio, los datos pueden transferirse al sucesor, que quedará sujeto a esta Política. Avisaremos antes de cualquier cambio relevante en la forma de tratamiento.

8. Inteligencia artificial #

El botón redondo de ayuda responde dudas sobre VVend y recibe sugerencias y reclamos, con la ayuda de modelos de IA (Google Gemini, DeepInfra o Anthropic). Lo que va al proveedor es su pregunta, la conversación, su nombre, idioma, los mercados en los que trabaja, una ciudad estimada por la IP o por el código de área y las notas que el asistente guarda sobre usted para las próximas conversaciones; no enviamos contraseñas ni datos de pago. Los tres se usan por APIs de pago (Gemini, en el plan de pago de Google), que no usan lo que enviamos para entrenar modelos. Parte de las respuestas viene de un modelo que corre en un servidor nuestro, en Brasil. Las notas y las conversaciones se borran cuando usted elimina la cuenta (sección 12). No escriba datos de clientes, CPF ni datos sensibles en el botón de ayuda.

Hoy la IA no escribe a los proveedores y no decide precios, ventas, fiado, puntos ni la nómina: son cálculos del sistema sobre los registros, o decisiones de una persona. Si eso cambia, esta Política cambia antes. Las respuestas de IA pueden estar equivocadas; no son asesoría jurídica, contable ni tributaria.

9. Transferencia internacional #

Los servidores, la base de datos y los archivos están en Brasil, en máquinas alquiladas a Hostinger y en el almacenamiento de Magalu Cloud. El correo (Amazon SES) también está en Brasil, en São Paulo.

Algunos proveedores tratan datos fuera de Brasil, especialmente en Estados Unidos: Google (inicio de sesión, Google Analytics, Google Maps, Gemini y Google Workspace), Apple (inicio de sesión), Anthropic y DeepInfra (botón de ayuda), Meta (WhatsApp) y Cloudflare (red, con servidores en varios países). Esas transferencias se apoyan en el art. 33 de la LGPD: cuando son necesarias para el contrato con usted (art. 33, IX, junto con el art. 7, V) y, en los demás casos, en cláusulas contractuales tipo aprobadas por la ANPD (art. 33, II, b; Res. CD/ANPD 19/2024). Puede pedir el texto completo de las cláusulas en sac@vvendi.com.

10. Conservación #

Guardamos datos personales solo durante el tiempo necesario para las finalidades de esta Política:

• Cuenta: hasta que se elimina la cuenta; después, lo que guarda la sección 12.
• Registros de acceso: 6 meses, como exige el art. 15 del Marco Civil de Internet, o más si hay orden judicial o un incidente en investigación.
• Cobro de la suscripción: por los plazos de la legislación tributaria y contable, en general 5 años.
• Datos del mercado (clientes, ventas, proveedores, conversaciones y sus archivos, nómina): mientras el mercado sea cliente y por el período de exportación previsto en los Términos de Uso. El mercado, como responsable, responde por sus propios plazos, incluidos los de la ley laboral y fiscal.
• Copias de seguridad se sustituyen en su ciclo normal.
• Defensa de derechos: por el plazo de prescripción aplicable (art. 16 de la LGPD).

11. Cookies y almacenamiento local #

No usamos cookies de publicidad.

12. Eliminar la cuenta #

Cómo pedirlo: en la página de la cuenta, botón Eliminar mi cuenta, o por correo a sac@vvendi.com.

Qué pasa: la cuenta se cierra en el acto y ya no entra.

Borramos en el acto:

• contraseña y passkeys; las claves y enlaces de acceso dejan de funcionar en el acto;
• la foto que usted subió, la presentación, el sitio, el sexo, la ubicación y las preferencias de aviso;
• conversaciones con el botón de ayuda y las notas que el asistente guardó sobre usted.

Guardamos:

• nombre, apodo, correo, teléfono, CPF, dirección, fecha de nacimiento, idioma y zona horaria, y los datos de las cuentas usadas para entrar (Google, Apple: identificador, nombre, correo y dirección de la foto), por el plazo de prescripción aplicable, para el ejercicio regular de derechos (LGPD, art. 7, VI) y la prevención de fraude (art. 7, IX), guardados de forma restringida y sin otro uso; después, eliminados;
• fecha y motivo del cierre;
• mensajes enviados al soporte y sugerencias;
• lo que usted hizo en nombre de un mercado (ventas, compras, mensajes a proveedores): es historial del mercado;
• cobros de la suscripción, por 5 años;
• registros de acceso, por 6 meses.

Por qué: parte de esto la ley obliga a guardarlo (cobros, por la legislación fiscal; registros de acceso, por el art. 15 del Marco Civil); el resto lo guardamos por interés legítimo, por el plazo de arriba, para defendernos e impedir que una cuenta bloqueada vuelva (LGPD, art. 16). Fuera de esos casos, usted tiene derecho a la eliminación definitiva (Marco Civil, art. 7, X). No se usa para nada más.

Si usted es cliente de un mercado, su cuenta en él (saldo, compras, puntos, canasta) es del mercado: pídaselo a él.

13. Sus derechos #

Por el art. 18 de la LGPD, puede pedir en cualquier momento:

• confirmación de que tratamos sus datos y acceso a ellos;
• corrección de datos incompletos, inexactos o desactualizados;
• anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en desacuerdo con la ley;
• portabilidad a otro proveedor, según la reglamentación;
• eliminación de los datos tratados con base en su consentimiento, con los límites de la sección 12;
• información sobre con quién compartimos sus datos;
• información sobre la posibilidad de no consentir y sus consecuencias;
• revocación del consentimiento;
• oposición a un tratamiento hecho con base en otra hipótesis legal, cuando no se cumpla la ley;
• revisión de decisiones automatizadas que afecten sus intereses (art. 20 de la LGPD).

Cómo pedirlo. Las solicitudes son gratuitas (LGPD, art. 18, §5). Escriba a sac@vvendi.com, de preferencia desde el correo registrado; si ya no tiene acceso a él, dígalo y le pediremos otra forma de confirmar su identidad. Podemos pedir información para confirmar su identidad antes de atender. Respondemos en el acto, en formato simplificado, o en hasta 15 días con la declaración completa (art. 19 de la LGPD).

Si los datos son de un mercado (usted es su cliente, proveedor o empleado), el mercado es el responsable: dirija la solicitud a él. Si nos escribe, la remitiremos y apoyaremos la respuesta.

Si entiende que sus derechos no fueron atendidos, puede reclamar a la Autoridad Nacional de Protección de Datos (ANPD) de Brasil, en gov.br/anpd, sin perjuicio de acudir a los órganos de defensa del consumidor.

14. Seguridad e incidentes #

Adoptamos medidas técnicas y administrativas proporcionales al riesgo, como conexiones cifradas (HTTPS), contraseñas guardadas con hash, claves de banco guardadas cifradas, separación de los datos de cada mercado, control de acceso por rol dentro de cada mercado, límites de solicitudes, copias de seguridad y acceso a los servidores y a la base de datos restringido a nuestro equipo técnico. La base de datos nunca se copia entera para desarrollo: solo salen de ella, por nombre, las páginas del sitio y las instrucciones del asistente, nunca datos de personas ni de mercados.

Ningún sistema es infalible. Si ocurre un incidente de seguridad que pueda generar riesgo o daño relevante a los titulares, lo comunicaremos a la ANPD y a los titulares afectados en hasta 3 días hábiles desde que lo sepamos (LGPD, art. 48; Res. CD/ANPD 15/2024) y, cuando seamos encargados, avisaremos al mercado en hasta 48 horas, con lo que sepamos, para que cumpla sus obligaciones.

Usted también tiene un papel: use una contraseña fuerte y exclusiva, prefiera passkeys, no comparta su cuenta y avísenos de cualquier uso sospechoso.

15. Niños y adolescentes #

Las cuentas de VVend son para mayores de 18 años. No recogemos intencionalmente datos de niños y adolescentes, y el mercado no debe abrir cuenta de cliente a un menor sin su responsable.

16. Usuarios fuera de Brasil #

VVend está pensado para Brasil, pero puede usarse desde otros países.

• Unión Europea y Reino Unido (GDPR / UK GDPR): las bases legales de la sección 4 corresponden a ejecución de contrato, obligación legal e interés legítimo. Usted tiene derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, con los límites de la sección 12, y puede reclamar a la autoridad de protección de datos de su país.
• California (CCPA/CPRA): las categorías de datos y las finalidades están en las secciones 3 y 4. No vendemos ni "compartimos" datos personales para publicidad conductual entre contextos. Puede pedir saber, corregir y eliminar sus datos, con los límites de la sección 12, sin discriminación por ejercer esos derechos.

17. Cambios en esta Política #

Podemos actualizar esta Política para reflejar cambios en el servicio, en los proveedores o en la ley. La fecha de arriba indica la versión vigente. Los cambios relevantes se avisarán en VVend o por correo antes de entrar en vigor.

En caso de divergencia entre las versiones en otros idiomas, prevalece la versión en portugués.

18. Delegado de protección de datos y contacto #

Encarregado. Fireho es un agente de tratamiento de pequeño porte (agente de tratamento de pequeno porte, Resolución CD/ANPD 2/2022) y, como permite el art. 11 de esa Resolución, no ha designado encarregado (delegado de protección de datos). En su lugar, ofrece un canal de comunicación con los titulares, el mismo en todos sus sitios: sac@fireho.com, para reclamos, solicitudes y comunicaciones sobre datos personales.

Para cualquier otro asunto de esta Política: sac@vvendi.com.

Vea también los Términos de Uso.