Mr. James — um produto da Supplya Tecnologia LTDA Última atualização: 14 de setembro de 2026
Esta política vale para duas pessoas diferentes: o comerciante que contrata o Mr. James e o consumidor que faz um pedido pelo WhatsApp da loja. O tratamento dos dados é diferente para cada um, e a seção 3 explica por quê.
O Mr. James é uma plataforma de vendas e atendimento por WhatsApp para o comércio. Esta política explica quais dados pessoais tratamos, por quê, com quem compartilhamos e o que você pode exigir de nós.
O Mr. James é operado por SUPPLYA TECNOLOGIA LTDA, inscrita no CNPJ sob o nº 66.393.164/0001-34, com sede em São Paulo, São Paulo. Neste documento, "nós", "Mr. James" e "plataforma" se referem à Supplya Tecnologia LTDA.
A plataforma envolve dois grupos de pessoas, e o tratamento de dados é diferente para cada um:
Se você é consumidor e chegou aqui depois de conversar com uma loja, as seções 5, 7 e 13 são as que interessam a você.
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) distingue quem decide o uso dos dados de quem apenas os processa a mando de outro. Assumimos os dois papéis, em situações distintas.
| Situação | Nosso papel |
|---|---|
| Dados cadastrais, de faturamento e de uso do lojista | Controladores (art. 5º, VI). Decidimos as finalidades e respondemos diretamente por esse tratamento. |
| Conversas, pedidos e dados dos consumidores finais de cada loja | Operadores (art. 5º, VII). O lojista é o controlador. Tratamos esses dados seguindo as instruções dele e os termos do contrato, nos moldes do art. 39. |
Quando um comerciante contrata a plataforma, tratamos:
Para habilitar o recebimento de pagamentos, o processador exige documentos de verificação de identidade. Esses documentos são enviados pelo lojista diretamente ao processador, sem trânsito pelos nossos sistemas. Recebemos de volta apenas o identificador da conta e o status da verificação. Também não armazenamos número completo de cartão de crédito em nenhuma hipótese.
Quando você conversa pelo WhatsApp com uma loja que usa o Mr. James, processamos, em nome dessa loja:
Usamos recursos de inteligência artificial para interpretar suas mensagens e montar o pedido. O conteúdo é enviado ao provedor de modelo apenas para gerar a resposta naquele momento.
Não solicitamos dados pessoais sensíveis. Pode acontecer de você informar espontaneamente, no curso da conversa, uma restrição alimentar que revele dado de saúde ou convicção religiosa — uma alergia, uma intolerância, uma exigência religiosa quanto ao preparo. Quando isso ocorre, a informação é usada exclusivamente para atender o seu pedido. Não é usada para segmentação, campanha ou qualquer finalidade secundária, e segue os mesmos prazos de eliminação do histórico de pedidos.
A loja com quem você conversa é a controladora desses dados. Pedidos de acesso ou exclusão podem ser feitos diretamente a ela ou a nós, pelos canais da seção 16.
O atendimento é feito por um agente automatizado, que interpreta suas mensagens, monta o pedido e conclui a compra sem intervenção humana na maior parte dos casos.
Nos termos do art. 20 da LGPD, você pode solicitar revisão humana de decisão tomada exclusivamente de forma automatizada que afete seus interesses — por exemplo, a recusa de um pedido, a indisponibilidade de um item, o cálculo de um valor ou o cancelamento de uma compra.
Para pedir revisão, escreva para o encarregado indicado na seção 17 ou fale diretamente com a loja. Encaminhamos o pedido ao lojista responsável e, quando solicitado, informamos os critérios gerais que orientaram a decisão, observados o segredo comercial e industrial.
| Finalidade | Base legal |
|---|---|
| Fornecer a plataforma ao lojista, dar suporte e cobrar a assinatura | Execução de contrato (art. 7º, V) |
| Atender pedidos e processar mensagens dos consumidores em nome da loja | Tratamento por operador, sob instrução do controlador (art. 39) |
| Emitir cobranças, notas fiscais e cumprir obrigações fiscais | Obrigação legal (art. 7º, II) |
| Guardar registros de acesso à aplicação | Obrigação legal — Marco Civil da Internet |
| Prevenir fraude, abuso e uso indevido da plataforma | Legítimo interesse (art. 7º, IX) |
| Melhorar o produto a partir de dados de uso agregados | Legítimo interesse (art. 7º, IX) |
| Enviar comunicações promocionais ao lojista | Consentimento (art. 7º, I), revogável a qualquer momento |
| Disparar campanhas de marketing para a base de clientes da loja | Consentimento do consumidor (art. 7º, I), colhido e mantido pelo lojista, que é o controlador desses dados |
Não vendemos dados pessoais. Compartilhamos apenas o necessário para operar o serviço, com os seguintes operadores:
| Operador | Finalidade | País |
|---|---|---|
| Meta Platforms | WhatsApp Business Platform — canal por onde as mensagens necessariamente trafegam | EUA |
| OpenAI | Processamento de linguagem natural para gerar as respostas do agente | EUA |
| Stripe | Processamento de pagamentos, verificação de identidade do lojista e repasses | EUA |
| Resend | Envio de e-mails transacionais | EUA |
| Render | Hospedagem da infraestrutura e banco de dados | EUA |
| Sentry | Monitoramento técnico de erros — dados de diagnóstico, não conteúdo de conversas | EUA |
| iFood e 99Food | Sincronização de cardápio e pedidos, quando o lojista ativa a integração | Brasil |
Também compartilhamos dados, no limite do necessário, com operadores logísticos quando o pedido envolve entrega — que recebem nome, telefone e endereço do destinatário —, com contabilidade e assessoria jurídica no limite das obrigações legais, com autoridades públicas mediante ordem judicial ou requisição legal, e com sucessores em caso de reorganização societária, fusão ou aquisição, mantidas as obrigações desta política.
Alterações nessa lista são comunicadas aos lojistas com antecedência razoável.
Atuamos como intermediários técnicos na transação. O pagamento é processado por instituição autorizada, e o lojista mantém conta própria junto a esse processador — a venda é dele, e o valor é repassado a ele, descontada a nossa participação.
Isso significa que não recebemos nem armazenamos dados completos de meio de pagamento. Vemos o valor, o status e o identificador da transação, o que é necessário para conciliar o pedido, calcular o repasse e dar suporte em caso de contestação.
Para conectar o número de WhatsApp da loja, o lojista autoriza nosso aplicativo através do fluxo de cadastro incorporado da Meta. Nessa autorização recebemos apenas identificadores e permissões necessários para administrar a conta de WhatsApp Business e enviar e receber mensagens em nome da loja.
Não acessamos conversas pessoais do lojista nem o WhatsApp pessoal dele.
O lojista pode revogar essa autorização a qualquer momento, nas configurações de integrações empresariais da conta dele na Meta, ou pedindo a desconexão pelo nosso suporte.
Parte da nossa infraestrutura e alguns dos nossos operadores estão fora do Brasil, o que implica transferência internacional de dados nos termos dos artigos 33 e seguintes da LGPD.
Essas transferências ocorrem para a execução do contrato e são amparadas por cláusulas contratuais específicas firmadas com cada operador, que exigem nível de proteção compatível com a lei brasileira. Os dados trafegam com criptografia em trânsito (TLS 1.2 ou superior) e são mantidos com criptografia em repouso. Sempre que possível, priorizamos operadores certificados em padrões internacionais de segurança da informação.
| Dado | Prazo |
|---|---|
| Cadastro e conta do lojista | Enquanto durar o contrato, e por 5 anos após o encerramento |
| Documentos fiscais e financeiros | 5 anos, por exigência legal |
| Registros de acesso à aplicação | 6 meses, por exigência do Marco Civil |
| Conteúdo de conversas com o agente | 12 meses após a última mensagem, ou antes disso mediante solicitação da loja ou do titular |
| Pedidos e histórico de compras | Enquanto a loja mantiver o contrato, observado o prazo fiscal aplicável às vendas |
| Cadastros na lista de espera do beta não convertidos | 12 meses |
Findos os prazos, os dados são eliminados ou anonimizados de forma irreversível.
Encerrado o contrato com um lojista, os dados dos consumidores dele ficam disponíveis para exportação por 30 dias. Depois disso, são eliminados dos nossos sistemas, ressalvado o que precisarmos guardar por obrigação legal.
Adotamos medidas técnicas e administrativas para proteger os dados, entre elas criptografia em trânsito e em repouso, isolamento de dados entre lojistas, controle de acesso por perfil e princípio do menor privilégio, senhas armazenadas apenas como hash, registros de auditoria de acessos administrativos e monitoramento contínuo.
Nenhum sistema é imune a incidentes. Havendo violação de dados com risco relevante, comunicamos os titulares e a Autoridade Nacional de Proteção de Dados nos termos do art. 48 da LGPD. Quando o incidente envolver dados de consumidores finais, notificamos o lojista controlador em até 48 horas da ciência, para que ele possa cumprir os deveres que lhe cabem.
Nos termos do art. 18 da LGPD, você pode solicitar a qualquer momento: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; informação sobre com quem compartilhamos seus dados; informação sobre a possibilidade de não consentir e as consequências disso; revogação do consentimento; e oposição a tratamento fundado em legítimo interesse.
Respondemos em até 15 dias contados do recebimento.
Se você é consumidor final, a controladora dos seus dados é a loja com quem você conversou. Você pode procurá-la diretamente ou nos escrever: registramos o pedido e o encaminhamos ao lojista responsável em até 5 dias úteis, prestando a ele o auxílio que o art. 39 nos impõe.
Não obtendo resposta satisfatória, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados em gov.br/anpd.
O procedimento completo, com o que é apagado, o que precisa ser mantido por lei e em quanto tempo, está na página Exclusão de dados.
Em resumo: escreva para diretoria@supplya.com.br com o número de telefone ou e-mail usado na plataforma. Confirmamos o recebimento em até 5 dias úteis e concluímos a exclusão em até 15 dias.
O portal do lojista usa armazenamento local do navegador para manter a sessão autenticada e guardar preferências de interface. Sem isso, o login não funciona.
Não utilizamos cookies de rastreamento publicitário de terceiros, nem pixels de redes sociais para remarketing.
A plataforma não se destina a menores de 18 anos como titulares de conta de lojista.
Quanto aos consumidores finais, o tratamento de dados de crianças e adolescentes observa o art. 14 da LGPD e o princípio do melhor interesse. Não coletamos intencionalmente dados de crianças. Identificado tratamento dessa natureza sem a devida autorização, os dados são eliminados mediante solicitação do responsável legal ou do lojista controlador.
Encarregado: Igor Notini
E-mail: diretoria@supplya.com.br
É o canal para dúvidas, solicitações e reclamações sobre dados pessoais, tanto de lojistas quanto de consumidores finais.
Podemos atualizar esta política. Mudanças relevantes são comunicadas aos lojistas por e-mail e por aviso no portal, com 15 dias de antecedência à entrada em vigor. A data da última atualização consta no topo desta página.
Mr. James é um produto da Supplya Tecnologia LTDA — CNPJ 66.393.164/0001-34 — São Paulo, SP. Contato do encarregado: diretoria@supplya.com.br