POLÍTICA DE PRIVACIDADE

Última atualização: 29 de setembro de 2026

1. Controlador de Dados

A entidade responsável pelo processamento de dados neste site é:

Nord System s.r.o.
operando sob a marca Glow Up Peptides
Milíčova 471/25, Žižkov
130 00 Praga 3, República Checa
E-mail: support@glowup-peptides.com

1a. Encarregado da Proteção de Dados

Nós avaliamos sob o Artigo 37 GDPR se um responsável pela proteção de dados deve ser nomeado. Com base na natureza e escala atuais do processamento, nenhuma obrigação legal de nomeação se aplica. Por favor, envie solicitações de privacidade para support@glowup-peptides.com.

2. Visão geral do processamento de dados

A proteção dos seus dados pessoais é de grande importância para nós. Processamos os seus dados exclusivamente com base em disposições legais — em particular, o Regulamento Geral de Proteção de Dados (GDPR), Lei Checa No. 110/2019 Coleção. sobre o processamento de dados pessoais e outras disposições aplicáveis. Esta política de privacidade informa sobre quais dados coletamos, por que os coletamos e quais direitos você tem.

3. Hospedagem

Nosso site está hospedado via Cloudflare Páginas. Quando você visita nosso site, informações são automaticamente armazenadas em arquivos de log do servidor, que seu navegador transmite automaticamente. Isso inclui:

• Endereço IP (anônimo)
• Data e hora da solicitação
• Tipo e versão do navegador
• Sistema operacional usado
• URL de referência

O processamento é realizado de acordo com o Art. 6(1)(f) GDPR com base no nosso interesse legítimo na segurança e otimização dos nossos serviços. Estes dados não são combinados com outras fontes de dados.

Processador: Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, EUA). Cloudflare processa endereços IP + metadados de solicitação para mitigação de DDoS e entrega de CDN. Um acordo de processamento de dados (DPA) por Art. 28 GDPR está no lugar. Cloudflare utiliza Cláusulas Contratuais Padrão da UE para transferências para países terceiros (EUA).

3.a. Proteção contra Ataques Automatizados

Para proteger nossos formulários (pedido, conta do cliente, newsletter, suporte, notificações de estoque) contra ataques automatizados (DDoS, bots de spam, força bruta), armazenamos os seguintes dados em cada solicitação em uma tabela de proteção separada:

• Endereço IP (completo, para re-identificação)
• Identificador de ponto final (qual forma)
• Em pedidos / newsletter / notificações de estoque: o e-mail enviado (para identificar o mesmo usuário)
• Identificador do navegador (User-Agent)

Estes dados são armazenados por um máximo de 24 horas e, em seguida, automaticamente excluído (horaria de limpeza cron job). Base jurídica: art. 6.º (1.º) (f) GDPR (interesse legítimo na resiliência do sistema, nos termos do art. 32(1)(b) GDPR). Estes dados não são combinados com outras fontes de dados e não são compartilhados com terceiros.

Aviso por Art. 22 GDPR: Se você for bloqueado erroneamente por nossa proteção automatizada de bots (por exemplo, devido a uma impressão digital incomum do navegador), você tem o direito de revisão manual. Por favor, envie um e-mail. support@glowup-peptides.com com o assunto "Bot-Block — revisão manual" — revisamos o caso manualmente dentro de 24 horas e restauramos o acesso se apropriado.

4. Dados do pedido

Quando você faz um pedido, coletamos os seguintes dados:

• Primeiro e último nome
• Endereço de e-mail
• Endereço de envio
• Número de telefone (opcional)
• Informações de pagamento
• Histórico de pedidos

Processamento é realizado para o cumprimento de um contrato conforme o artigo 6(1)(b) GDPR. Nós retemos dados de pedidos e faturamento pelo tempo necessário para executar o contrato, lidar com reclamações e cumprir as obrigações de retenção fiscal e comercial aplicáveis na República Tcheca.

4.a. Período de retenção por categoria de dados

Nós excluímos ou anonimizamos dados pessoais de acordo com a seguinte tabela:

Exclusão de conta e retenção estatutária: “Minha Conta” → “Excluir Conta” exclui o perfil do cliente e os dados voluntários da conta que não são mais necessários. Quando os dados de pedidos, faturas ou pagamentos devem continuar a ser retidos de acordo com a lei aplicável, eles são separados da conta do cliente ativo, limitados ao mínimo necessário e excluídos ou anonimizados assim que o período de retenção expirar.

5. Conta do cliente

Você pode criar voluntariamente uma conta de cliente. Nosso serviço de autenticação Supabase processa, em particular, seu endereço de e-mail, identificadores de autenticação e um hash de senha criptográfica; não temos acesso à sua senha de texto sem formatação. O processamento fornece as funções da conta que você solicita e é baseado no Artigo 6(1)(b) GDPR. Você pode excluir a conta a qualquer momento em “Minha Conta” → “Excluir Conta”, ou solicitar ajuda de support@glowup-peptides.com.

6. Processamento de pagamento

Para SEPA Para transferências bancárias, seus detalhes bancários são usados exclusivamente para alocação de pagamento e não são compartilhados com terceiros.

Para pagamento com cartão de crédito, nós usamos TagadaPay para processamento de pagamento e Basis Theory para tokenizar com segurança os dados do cartão. Durante o checkout, os detalhes do cartão são transmitidos diretamente para Basis Theory para tokenização; nosso banco de dados não armazena o número completo do cartão ou o código de verificação do cartão. Nós transmitimos o token e os dados de pedido, contato, faturamento e entrega necessários para o processamento do pagamento para TagadaPay. 3-D Secure é usado quando necessário pelo fluxo de pagamento ou emissor do cartão. A base legal é o Artigo 6(1)(b) GDPR; a prevenção necessária da fraude baseia-se no Artigo 6(1)(f) GDPR.

O pagamento criptográfico não é oferecido atualmente. Se for oferecido novamente, o seguinte se aplica: Para pagamentos criptográficos (Bitcoin / Litecoin / Ethereum)USDT), nós usamos paygate.to como um processador de pagamento externo com uma página de pagamento hospedada. Para este pagamento, você é redirecionado para a página segura do paygate.to. Seus dados de pagamento são processados diretamente lá - nunca temos acesso aos detalhes completos da conta. Dados transferidos: referência do pedido, valor, moeda. Para mais informações, consulte a política de privacidade do paygate.to.

7. Base de dados e armazenamento

Nós usamos Supabase (Supabase, Inc.) como nossa infraestrutura de banco de dados. Seus dados são armazenados em um data center em Frankfurt am Main (eu-central-1) como o local principal do banco de dados. Isso não significa que todo o processamento ocorra exclusivamente no EEE: dependendo do serviço e do subprocessador, locais de processamento adicionais podem estar envolvidos. Informações sobre subprocessadores e arranjos de transferência estão disponíveis no Adendo de processamento de dados do Supabase. As permissões de acesso restringem o acesso aos dados armazenados.

8. Analítica da Web

Nós usamos Umami Analytics somente após consentimento para a categoria “Analytics”. O serviço é usado para estatísticas de uso agregadas. Sem o consentimento da análise, o script Umami não é carregado.

9. Serviços de Monitoramento e Análise de Erros (com consentimento)

Os seguintes serviços estão carregados somente após o seu consentimento através do banner de cookies. Quando você clica em "Necessário somente", eles não são carregados. Como esses provedores estão sediados nos EUA, a transferência para países terceiros ocorre com base nas Cláusulas Contratuais Padrão da UE (SCCs), de acordo com o Art. 46 GDPR.

• Sentry (Functional Software, Inc., EUA) — para detectar e resolver erros técnicos. Transmitido: navegador, sistema operacional, detalhes do erro. Os endereços IP não são armazenados. Política de privacidade.
• PostHog (PostHog Inc., região da UE Frankfurt) - análise de produtos para melhorar a experiência do usuário. Transmitido: visualizações de página, eventos de clique e uso selecionados, dados de desempenho técnico e identificadores de navegador e sessão pseudônimos. Após o consentimento de análise, as gravações de sessão podem ser processadas; cookies e armazenamento local do navegador ajudam a associar eventos. Usamos o ponto final da UE do serviço. Estes dados não são equivalentes a estatísticas totalmente anônimas. Política de privacidade.
• Microsoft Clarity (Microsoft Corporation, EUA) — mapas de calor de sessão para análise de UX. Transmitido: dados de interação e sessão, como movimentos do mouse e rolagem, além de identificadores de navegador e sessão. O mascaramento tem como objetivo excluir entradas sensíveis das gravações; ele não torna todos os dados anônimos. O serviço carrega somente após o consentimento para a categoria “Marketing”. Microsoft também processa dados da Clarity nos EUA. Política de privacidade.
• Cloudflare Analítica da Web (Cloudflare, Inc., EUA) — métricas de desempenho amigáveis à privacidade (Web Vitals) sem cookies e sem dados pessoais. O serviço não usa cookies de análise. Política de privacidade.
• Meta Pixel e Conversões API (Meta Platforms Ireland Ltd., Irlanda / Meta Platforms Inc., EUA) — carregado somente após consentimento de marketing ativo. O serviço processa eventos como visualizações de página, carrinhos e valores de compra, bem como `_fbp` / `_fbc`, endereço IP e, quando fornecido durante o checkout, detalhes de contato. Para as Conversões. API, os detalhes de contato são transmitidos primeiro para nossa própria função de servidor, normalizados e SHA-256 O hash é armazenado lá; apenas os valores de hash são enviados para o Meta. Você pode retirar o consentimento a qualquer momento através de "Preferências de Cookies". Base jurídica: Artigo 6(1)(a) GDPR. Política de privacidade.

10. Cookies e armazenamento local

Nosso site usa sem tecnologias de rastreamento opcionais por padrão. Os serviços de análise são carregados somente após o consentimento para a categoria "Analytics"; Meta Pixel / Conversões API e Microsoft Clarity somente após consentimento para a categoria "Marketing". Se você escolher “Rejeitar tudo”, apenas as funções tecnicamente necessárias permanecem ativas. Você pode alterar sua seleção a qualquer momento através de "Preferências de cookies". Para funções necessárias, usamos o armazenamento local do seu navegador (localStorage), entre outras tecnologias:

• Confirmação de entrada: A sua declaração de que tem pelo menos 18 anos e pretende utilizar os produtos para investigação é enviada ao servidor do nosso site. Este define o cookie necessário ( glowup_research_entry ) com a data e hora da confirmação durante 30 dias, para que não seja preciso voltar a confirmar a idade antes de encomendar. As páginas dos produtos e os preços são visíveis sem confirmação. Não se guarda qualquer cópia de documento de identificação, data de nascimento ou ligação a uma conta de cliente. O cookie é enviado ao nosso site com os pedidos de páginas; não é criado um registo de cliente separado para esta confirmação. As confirmações locais anteriores também podem permanecer no armazenamento do navegador. Pode remover a confirmação apagando os cookies e os dados do site.
• Carrinho de compras: Armazenamento de seus produtos selecionados
• Preferência de idioma: O seu idioma selecionado (DE/EN)
• Consentimento de cookies: Se você aceitou o banner de cookie
• Dados da conta: Sessão de login criptografada

Essas entradas são inicialmente armazenadas localmente no navegador. Os dados do carrinho, conta e checkout são transmitidos para nossos sistemas ou para os provedores mencionados acima quando necessários para uma função solicitada, como login, pedido ou pagamento. As entradas locais podem ser excluídas a qualquer momento através das configurações do seu navegador.

11. Devoluções e reembolsos

Quando você solicita um retorno, cancelamento ou reembolso, processamos o número do pedido, seus detalhes de contato, informações sobre o pedido e quaisquer fotos ou evidências que você fornecer voluntariamente. Isso é necessário para lidar com seu pedido e executar o contrato (Artigo 6(1)(b) GDPR). Quando os dados forem necessários para declarar, exercer ou defender direitos em processos judiciais, o tratamento baseia-se no artigo 6(1)(f) GDPR. Detalhes de prazos, reembolsos e direitos estatutários estão estabelecidos em nosso política de cancelamentos e devoluções.

12. Comunicação por e-mail

Para e-mails transacionais (informações sobre pedidos, pagamentos e envios), usamos Resend, um serviço da Plus Five Five, Inc. Esses e-mails são enviados para processar seu pedido e não são publicidade de newsletter. A base legal é o Artigo 6(1)(b) GDPR.

12 a. Newsletter (com consentimento explícito)

Se você se inscrever em nossa newsletter, processaremos seu endereço de e-mail para enviar conteúdo editorial e promocional (por exemplo, novos produtos, relatórios de laboratório, ofertas sazonais). A base legal é o seu consentimento nos termos do Art. 6(1)(a) GDPR.

Processo de assinatura: Depois que o formulário é enviado, o endereço fornecido é armazenado como ativo imediatamente e recebe um e-mail de boas-vindas. Para documentar a assinatura, armazenamos seu tempo, fonte e idioma junto com dados técnicos de segurança. Por favor, use apenas um endereço de e-mail que você controla.

Retenção: Os assinantes ativos permanecem armazenados até que eles cancelem a assinatura. Depois disso, mantemos apenas as informações necessárias para documentar a retirada e evitar mensagens adicionais pelo tempo necessário para cumprir com as obrigações legais ou defender reivindicações.

Direito de cancelamento a qualquer momento: Cada e-mail de newsletter contém um link de cancelamento de inscrição na parte inferior. Um clique é suficiente - sem justificativa necessária, sem mais e-mails. Você também pode cancelar a inscrição diretamente em /unsubscribe.html ou envie uma mensagem para support@glowup-peptides.com.

Rastreamento de entrega: A Resend regista eventos técnicos de entrega, como entregas, mensagens devolvidas e queixas de spam, para a entrega de mensagens e a reputação do remetente. Os endereços são desativados após falhas permanentes de entrega ou queixas de spam. Não utilizamos o rastreio de aberturas ou cliques para a definição de perfis.

Revise os convites (Trustpilot): Depois que seu pedido é entregue, transmitimos uma cópia de nossa confirmação de entrega para Trustpilot A/S (Copenhague, Dinamarca, UE) para que Trustpilot Podemos enviar-lhe um convite para rever o nosso serviço. A cópia inclui seu endereço de e-mail, nome, referência do pedido, itens encomendados e o conteúdo e links da confirmação de entrega. A base jurídica é o art. 6.º (1.º) (f) GDPR (interesse legítimo no feedback do cliente) em conjunto com o § 7(3) UWG (exceção de cliente existente). Você pode se opor a este processamento a qualquer momento - informalmente por e-mail para support@glowup-peptides.com. Um acordo de processamento de dados por Art. 28 GDPR está no lugar com Trustpilot. Um estabelecimento da UE não significa que todo o processamento ocorra exclusivamente lá; mais informações sobre locais de processamento estão disponíveis no Trustpilot política de privacidade.

Direito de se opor ao perfilamento (Art. 21 GDPR): Você pode se opor ao processamento adicional de seus dados para fins de marketing a qualquer momento - através do link de cancelamento de inscrição ou por e-mail para support@glowup-peptides.com.

13. SSL/TLS Criptografia

O nosso site utiliza encriptação SSL/TLS por motivos de segurança. Podes reconhecer uma ligação encriptada pela mudança de "http://" para "https://" na barra de endereços e pelo símbolo do cadeado no navegador. Quando a encriptação SSL/TLS está ativa, os dados que nos transmites não podem ser lidos por terceiros.

14. Seus direitos

Sob o céu. GDPR, você tem os seguintes direitos em relação aos seus dados pessoais:

• Direito de acesso (Art. 15.º): Você pode solicitar informações sobre seus dados armazenados conosco a qualquer momento.
• Direito de retificação (Art. 16.º): Você pode solicitar a correção de dados imprecisos.
• Direito de apagamento (Art. 17.º): Você pode solicitar a exclusão de seus dados, desde que não haja obrigações legais de retenção.
• Direito à restrição (Art. 18.º): Você pode solicitar a restrição do processamento de seus dados.
• Direito à portabilidade dos dados (Art. 20): Você pode receber seus dados em um formato estruturado e comumente usado.
• Direito de oposição (Art. 21.º): Você pode se opor ao processamento de seus dados.

Para exercer seus direitos, entre em contato conosco em support@glowup-peptides.com.

15. Direito de Apresentar uma Reclamação

Você tem o direito de apresentar uma reclamação a uma autoridade de supervisão de proteção de dados sobre o processamento de seus dados pessoais. Como nossa empresa está registrada na República Tcheca, a autoridade supervisora principal é:

Úřad pro ochranu osobních údajů (ÚOOÚ)
Pplk. Sochora 27
170 00 Praga 7
República Checa / Czech Republic
www.uoou.cz

Você também pode entrar em contato com a autoridade de proteção de dados de sua residência habitual, local de trabalho ou local da suposta infração. Comité Europeu para a Proteção de Dados (CEPD) fornece um diretório das autoridades de supervisão da UE/EEE.

16. Divulgação de dados a terceiros

Divulgamos dados pessoais apenas quando necessário para um serviço solicitado, execução do contrato, nossas obrigações legais ou com base no seu consentimento ou interesse legítimo. Dependendo da função usada, isso inclui:

• Envio (Sendcloud e a transportadora de pacotes selecionada para o destino): nome, endereço de entrega, detalhes de contato e dados de envio para criação de etiqueta, entrega e rastreamento
• Pagamentos com cartão (TagadaPay e Basis Theory): token de pagamento e os dados necessários de pedido, contato, faturamento e entrega; os detalhes completos do cartão são tokenizados diretamente pelo Basis Theory
• Provedor de pagamento (paygate.to, atualmente não oferecido): referência do pedido, valor e moeda se este método de pagamento for ativado novamente no futuro
• Serviço de e-mail (Resend / Plus Five Five, Inc.): endereço de e-mail, conteúdo da mensagem e informações técnicas de entrega para e-mails transacionais e, com consentimento, boletins informativos; o processamento nos Estados Unidos pode ocorrer
• Serviço de avaliações (Trustpilot A/S, EU): Cópia da confirmação de entrega, incluindo endereço de e-mail, nome, referência do pedido, itens e links incluídos, para enviar um convite de revisão após a entrega (interesse legítimo, objeção possível a qualquer momento)
• Hospedagem/CDN (Cloudflare): Endereço IP + metadados de solicitação para mitigação de DDoS e entrega rápida
• Hospedagem de banco de dados (Supabase, EU Frankfurt): todos os dados do pedido + dados da conta do cliente
• Captcha (Cloudflare Turnstile): endereço IP + impressão digital do navegador para proteger os formulários contra bots
• Validação de endereço (Google Address Validation e Geoapify): componentes de endereço inseridos por você e dados técnicos de solicitação para validar e completar o endereço de entrega
• Verificação de segurança da palavra-passe (Have I Been Pwned): apenas um hash de senha parcial não reversível para verificar se ele aparece em violações de dados conhecidas; a senha completa não é transmitida
• Telegram Mensageiro: Nós usamos Telegram para notificações internas sobre pedidos novos e pagos. Dependendo do evento, nome, endereço de e-mail, referência do pedido, itens, quantidade, método de pagamento e informações de entrega ou rastreamento são transmitidos para Telegram. Isso acontece independentemente de você usar Telegram para si mesmo, para o processamento e monitoramento oportuno do pedido com base em nosso interesse legítimo (Artigo 6(1) (f) GDPR). Você pode se opor por motivos relacionados à sua situação particular. Telegram processa dados sob seus termos de privacidade; o processamento fora do EEE é possível. O contato voluntário é um uso separado: Se você entrar em contato conosco via @glowuppeptides, Telegram processa as mensagens trocadas sob seus próprios termos de privacidade. Você pode, em vez disso, entrar em contato conosco por e-mail em support@glowup-peptides.com. Telegram política de privacidade.

Quando um provedor processa dados em nosso nome, um acordo sob o Artigo 28 GDPR é obrigatório. Outros destinatários atuam como controladores independentes para seus respectivos serviços. As transferências para fora do EEE ocorrem apenas com base em uma decisão de adequação aplicável, salvaguardas apropriadas, como as Cláusulas Contratuais Padrão da UE, ou outra derrogação estatutária.

Nós não vendemos dados pessoais. A divulgação para fins publicitários ocorre apenas conforme descrito na Seção 9 e somente com o consentimento declarado lá; qualquer outra divulgação é limitada ao que é descrito nesta política ou exigido por lei.

17. Alterações a esta Política de Privacidade

Reservamo-nos o direito de atualizar esta política de privacidade para cumprir com os requisitos legais atuais ou alterações em nossos serviços. A versão mais atual estará sempre disponível nesta página.