Aviso de Privacidade
Diboa Tabacaria · atualizado em 7 de novembro de 2026
Este aviso conta, em português claro, quais dados seus a Diboa guarda quando você usa este site, para quê, com quem divide, por quanto tempo e como você manda neles. Ele segue a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD). Este site é só para maiores de 18 anos.
1. Quem é responsável pelos seus dados
DIBOA TABACARIA LTDA, CNPJ 26.121.987/0001-96, Rua Fradique Coutinho, 155, Pinheiros, São Paulo/SP, CEP 05416-010. Na LGPD, somos a "controladora": quem decide para que os dados servem.
Para falar sobre os seus dados: contato@diboatabacaria.com.br. Confirmamos que recebemos em até 2 dias úteis e respondemos em até 15 dias corridos. Não cobramos nada. Se preferir, fale pelo WhatsApp (11) 3360-1930 ou na loja: quem atender anota o seu pedido e passa para o responsável no mesmo dia.
2. Quais dados guardamos, e quando
| Quando | O que guardamos |
|---|---|
| Você navega no site | Medição de visitas sem cookies e sem identificar você (Vercel Analytics e Speed Insights): páginas vistas, tipo de aparelho, velocidade. A hospedagem também mantém registros técnicos de acesso, por segurança. |
| Você confirma que é maior de 18 anos | A resposta do aviso de idade fica só no seu navegador. Na retirada ou na entrega, podemos pedir para ver um documento com foto. |
| Você faz um pedido (na loja `loja.diboatabacaria.com.br`) | Nome, CPF, e-mail ou celular, endereço de entrega (se escolher receber), itens, valores, cupom usado e a situação do pagamento. Esses dados ficam na Shopify e passam ao nosso sistema de gestão (Bling), que emite a nota fiscal. Não vemos nem guardamos dados de cartão. |
| Você compra e ganha Pontas | O CPF do pedido e o histórico de Pontas: o que entrou, o que saiu e quando. Na loja física, o CPF identifica as suas Pontas no caixa. |
| Você já tinha cadastro no programa de Pontas anterior | O cadastro que veio de lá: nome, CPF, e-mail, celular, telefone fixo, data de nascimento, sexo, empresa, endereço, data do cadastro, nível, o aceite do regulamento, as autorizações de SMS e e-mail, e o saldo de Pontas. Usamos para manter o seu saldo e identificar você. Telefone fixo, data de nascimento, sexo, empresa, endereço e nível vieram junto e hoje não são usados. |
| Você assina a newsletter | Seu e-mail e as datas do pedido, da confirmação e da saída. |
| Você marca a caixa de novidades no checkout da loja | O seu e-mail, para mandarmos ofertas. A caixa vem desmarcada, e você sai pelo link de cada e-mail. |
| Você fala com a gente (WhatsApp, e-mail ou loja) | O que você escrever, mais o nome e o contato para responder. Pelo WhatsApp, não pedimos CPF. A conversa no WhatsApp passa pela plataforma dele, que tem regras próprias. |
| Você retira ou recebe o pedido | Podemos pedir para ver um documento com foto, para conferir a idade. Só olhamos: não fotografamos nem guardamos cópia. |
O checkout da loja pede o CPF (ou CNPJ) para a nota fiscal, e é ele que soma as suas Pontas. Quem prefere não informar o CPF pode comprar no balcão.
O que não pedimos e não guardamos: cópia ou foto de documento, dados de cartão e dados de saúde (como receita médica). O CPF é o único documento que o site pede.
3. Para quê usamos, e com que base
A LGPD só deixa a gente usar o seu dado quando existe um motivo aceito por ela, a "base legal" (art. 7º). Estas são as nossas.
| Para quê | Base legal |
|---|---|
| Processar o pedido, cobrar, entregar e atender você | Execução do contrato (art. 7º, V) |
| Emitir nota fiscal e cumprir obrigações fiscais e de defesa do consumidor | Obrigação legal (art. 7º, II) |
| Guardar o que for preciso para nos defendermos de reclamação ou processo | Exercício regular de direitos (art. 7º, VI) |
| Vender só para maiores de 18 anos e conferir a idade | Obrigação legal (art. 7º, II; ECA, art. 81 e art. 243) |
| Operar as Pontas: somar, trocar e conferir o saldo por CPF | Execução do contrato do programa (art. 7º, V) |
| Evitar fraude e abuso: limite de tentativas, CPF repetido, segurança do sistema | Interesse legítimo da Diboa (art. 7º, IX) |
| Medir o uso do site, sem cookies e sem identificar você | Interesse legítimo da Diboa (art. 7º, IX) |
| Mandar novidades e promoções por e-mail | Seu consentimento (art. 7º, I e art. 8º): você entra na lista só depois de clicar no link que chega por e-mail, e sai em um clique. A caixa de novidades do checkout da loja vem desmarcada: você só entra na lista de ofertas se marcar |
| Mandar promoção pelo WhatsApp | Seu consentimento (art. 7º, I): só se você pedir, e só para isso. O telefone que você dá para a entrega não vira lista de promoção |
Avisos da sua conta (como um recibo ou o aviso de que Pontas vão vencer) são avisos de serviço, não promoção. Se você não quiser recebê-los, escreva para o canal do item 1.
4. Com quem dividimos
Cada empresa abaixo recebe só o que precisa para a sua parte. Não vendemos dados pessoais a ninguém.
| Quem | O que recebe | Para quê |
|---|---|---|
| Shopify | Tudo o que você informa no carrinho e no checkout: nome, CPF, contato, endereço, itens e pagamento (em servidores fora do Brasil) | Ser a nossa loja on-line: carrinho, checkout, confirmação do pedido |
| Mercado Pago | Os dados que o checkout da loja e o próprio Mercado Pago pedem para o pagamento | Processar o pagamento quando você escolhe Pix ou Mercado Pago no checkout da loja |
| Frenet e transportadoras | Na cotação, o CEP de destino e o tamanho e o peso do pacote. Na postagem, nome, endereço e telefone de quem recebe | Calcular o frete e entregar |
| Entregador local (motofrete) | Nome, endereço e telefone de quem recebe | A entrega no mesmo dia em São Paulo, escolhida no checkout da loja |
| Bling | Estoque, catálogo, vendas do balcão, cadastro de clientes da loja e notas fiscais, e os pedidos feitos na loja, para a nota fiscal | Sistema de gestão da loja |
| Focus NFe | Nome, CPF (quando a nota pede), endereço e itens da compra | Emitir a nota fiscal eletrônica que a loja contratou com ele |
| Supabase | Cadastro, pedidos, Pontas e newsletter (é o nosso banco de dados, em servidores nos Estados Unidos) | Guardar os dados do site e do Clube |
| Vercel | Os acessos ao site e as medições de visita sem cookies | Hospedar o site |
| Resend | Seu e-mail e o texto da mensagem | Enviar os nossos e-mails: confirmação e novidades da newsletter e avisos da sua conta no Clube |
| Só se você escolher "entrar com Google": o fato de você ter entrado | Confirmar quem você é no login | |
| Google, na loja | O que você faz na loja: páginas e produtos vistos, buscas e o início do checkout (Google Tag Manager e Google Analytics instalados na loja) | Medir as visitas e as vendas da loja e os nossos anúncios |
| Contabilidade | Notas fiscais, pedidos e valores, com o nome e o CPF que constarem neles | Impostos e obrigações fiscais |
| Desenvolvedor do sistema | Acesso aos dados para manter o site no ar, seguindo as nossas instruções | Programar e cuidar do site e do Clube |
Também podemos informar dados a autoridades quando a lei mandar, como fiscalização ou ordem judicial.
5. Por quanto tempo guardamos
| O quê | Por quanto tempo |
|---|---|
| Pedido, pagamento e nota fiscal | O prazo exigido pela lei fiscal e o necessário para a nossa defesa em reclamações, em regra 5 anos |
| Conta e Pontas | Enquanto a conta existir. Se você pedir para apagar, veja o item 6 |
| Newsletter | Enquanto você estiver inscrito. Se sair, guardamos só o seu e-mail e a data da saída, para provar que respeitamos o pedido e não escrever de novo |
| Carrinho que ninguém concluiu | Expira em 14 dias |
| Conversas de atendimento (WhatsApp) | 12 meses depois da última mensagem. Apagamos antes, a seu pedido |
| Registros técnicos de acesso | O tempo curto que a hospedagem os mantém, por segurança |
| Cópia de documento | Não guardamos |
6. Seus direitos e como pedir
Você pode pedir, quando quiser e sem custo:
- saber se guardamos dados seus e receber uma cópia deles, inclusive em arquivo;
- corrigir dado incompleto, errado ou velho;
- anonimizar, bloquear ou apagar dado desnecessário, excessivo ou tratado fora da lei;
- levar os dados para outro serviço (portabilidade);
- apagar os dados que usamos com o seu consentimento, e tirar o consentimento quando quiser;
- saber com quem dividimos os seus dados (a lista está no item 4);
- saber que você pode dizer não ao consentimento, e o que acontece se disser;
- se opor a um uso que a lei dispensa de consentimento, se achar que fazemos errado;
- reclamar à Autoridade Nacional de Proteção de Dados (ANPD, gov.br/anpd) e ao Procon.
Como pedir: escreva para contato@diboatabacaria.com.br, ou fale pelo WhatsApp ou na loja (item 1). Para ter certeza de que é você, respondemos ao e-mail do seu cadastro e esperamos o seu "sou eu". Não pedimos foto de documento. Confirmamos em até 2 dias úteis e respondemos em até 15 dias corridos.
Se você pedir para apagar tudo:
- Antes, dizemos quantas Pontas você tem. Elas somem junto com a conta e não voltam.
- Apagamos: sua conta, seu saldo de Pontas, seu cadastro e seu contato das nossas listas. Você não recebe mais nenhuma mensagem nossa.
- Ficam arquivados, parados, só o que a lei manda guardar: a nota fiscal e o pedido que a gerou (em regra 5 anos), o registro do seu pedido de exclusão (para provarmos que atendemos) e o seu e-mail na lista de quem não quer receber mensagem. O histórico de Pontas continua só como número, sem o seu nome e sem o seu CPF.
- Avisamos as empresas do item 4 que receberam o seu dado, para fazerem o mesmo.
7. Cookies e o que fica no seu navegador
Neste site, não usamos cookies de publicidade nem rastreadores de terceiros, e a medição de visitas funciona sem cookies. Ficam no seu navegador só coisas necessárias: o código do seu carrinho (cookie que dura 14 dias), a sessão do login (se você entrar), a resposta do aviso de maioridade e a sua escolha de tema claro ou escuro (as duas últimas no armazenamento do próprio navegador). Quando você clica em "Comprar", vai para a loja na Shopify, que usa cookies dela para o carrinho e o checkout e também de medição e marketing (da Shopify e do Google). Lá vale a política de privacidade da loja.
8. Segurança e incidentes
Guardamos os dados com controle de acesso e não deixamos nada pessoal aberto ao público. Se acontecer um incidente de segurança que ponha você em risco relevante, avisamos você e a ANPD nos prazos da lei.
9. Menores de idade e mudanças neste aviso
Não cadastramos menores de 18 anos. Se descobrirmos um cadastro de menor, apagamos. Quando este aviso mudar de forma que importe para você, avisamos nesta página, com a nova data no topo.