Política de Privacidade
Última atualização: 8 de novembro de 2026
Esta política explica quais dados pessoais o Stellua Push trata, por quê, com quem compartilha e como você exerce seus direitos, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).
1. Quem somos
O Stellua Push (“Stellua”, “nós”) é uma plataforma de notificações web push. Para assuntos de privacidade e proteção de dados, inclusive como canal do encarregado (DPO), fale conosco em [email protected].
2. Nosso papel: controlador e operador
- Clientes (quem cria conta no painel): somos controladores dos dados da conta, da equipe e da cobrança.
- Inscritos (visitantes dos sites dos clientes que aceitam receber notificações): somos operadores. Tratamos esses dados em nome do cliente, que é o controlador e decide o que enviar, para quem e por quanto tempo. Pedidos de inscritos sobre seus dados devem ser feitos preferencialmente ao site em que se inscreveram; nós apoiamos o cliente no atendimento.
3. Dados dos clientes
- Conta: nome, e-mail, senha (guardada apenas como hash criptográfico), nome do workspace, fuso horário e idioma.
- Equipe: e-mails convidados, papéis e histórico de atividades do workspace (registro de auditoria).
- Cobrança: plano, histórico de faturas e últimos dígitos/bandeira do cartão. Os dados completos do cartão são coletados e guardados pela Stripe; nunca passam pelos nossos servidores.
- Uso: sites cadastrados, fluxos, campanhas, segmentos, mídias enviadas, contagem diária de inscritos ativos e registros técnicos de acesso (IP, data e hora), estes guardados conforme o Marco Civil da Internet.
4. Dados dos inscritos
Quando um visitante aceita receber notificações em um site que usa o Stellua Push, o script do cliente envia:
- Identificadores de entrega: token de push do navegador (gerado pelo Firebase Cloud Messaging) e um identificador de instalação aleatório.
- Origem da visita: parâmetros UTM, identificadores de clique de anúncios (como fbclid, gclid, ttclid), página de entrada, página de inscrição e site de referência — do primeiro e do último acesso.
- Contexto técnico: navegador, sistema operacional, tipo de dispositivo, idioma e fuso horário, e país/estado/cidade aproximados derivados do endereço IP (o IP não é armazenado no cadastro do inscrito).
- Interações: notificações enviadas, recebidas e clicadas, botões clicados e etapas de fluxos percorridas.
- Dados adicionais que o cliente optar por enviar (atributos e etiquetas). O cliente não deve enviar dados sensíveis.
Não vendemos dados de inscritos, não os cruzamos entre clientes e não os usamos para publicidade própria.
5. Finalidades e bases legais
| Finalidade | Base legal (LGPD, art. 7º) |
|---|
| Criar e manter a conta, prestar o serviço contratado, enviar notificações em nome do cliente | Execução de contrato (V) |
| Cobrança, emissão de faturas e prevenção a fraudes em pagamentos | Execução de contrato (V) e cumprimento de obrigação legal (II) |
| Guardar registros de acesso | Cumprimento de obrigação legal (II) — Marco Civil da Internet |
| Segurança, prevenção de abuso e spam, limpeza de tokens inválidos | Legítimo interesse (IX) |
| E-mails transacionais (código de verificação, convites, avisos de cobrança e de conta) | Execução de contrato (V) |
| Envio de notificações aos inscritos | Base definida pelo cliente-controlador — em regra, o consentimento dado no navegador (I) |
6. Compartilhamento e suboperadores
Compartilhamos dados apenas com prestadores necessários para operar o serviço, sob contrato e com obrigações de confidencialidade e segurança:
| Fornecedor | Uso |
|---|
| Google (Firebase Cloud Messaging) | Entrega das notificações push aos navegadores |
| Stripe | Processamento de pagamentos e dados de cartão |
| Amazon Web Services (Amazon SES) | Envio de e-mails transacionais |
| Cloudflare (R2) | Armazenamento de mídias e cópias de segurança |
| OVHcloud | Hospedagem dos servidores e do banco de dados |
Também podemos compartilhar dados quando exigido por lei ou ordem judicial, ou em caso de reorganização societária, sempre mantendo esta política.
7. Transferência internacional
Alguns fornecedores acima processam dados fora do Brasil (por exemplo, Estados Unidos, Canadá e União Europeia). Essas transferências ocorrem com base no art. 33 da LGPD, com cláusulas contratuais e medidas de segurança adequadas adotadas pelos fornecedores.
8. Retenção
- Conta do cliente: enquanto a conta existir. Após o encerramento, excluímos ou anonimizamos os dados, exceto o que precisarmos guardar por lei (por exemplo, registros fiscais e de acesso).
- Histórico de envios: conforme o plano — 30 dias (Grátis), 60 (Basic), 90 (Pro) ou 365 dias (Scale). Estatísticas agregadas, sem identificar inscritos, podem ser mantidas por mais tempo.
- Cliques: até 13 meses.
- Inscritos: enquanto o cliente mantiver o site ativo. Tokens inválidos e inscritos que cancelaram são removidos automaticamente após o período de retenção. O cliente pode excluir inscritos a qualquer momento.
- Registros de acesso: 6 meses, conforme o Marco Civil da Internet.
- Cópias de segurança: até 30 dias.
9. Cookies e armazenamento local
- Painel do cliente: usamos apenas cookies estritamente necessários para manter a sessão (protegidos e inacessíveis a scripts). Não usamos cookies de publicidade.
- Este site: guardamos no navegador apenas a preferência de idioma.
- Sites dos clientes: o script do Stellua Push guarda no navegador do visitante a origem da visita (UTMs), um identificador de instalação e o estado da inscrição, para atribuir corretamente a inscrição e não pedir permissão repetidamente. O cliente deve informar isso em sua própria política de privacidade.
10. Segurança
Adotamos medidas técnicas e organizacionais como criptografia em trânsito (HTTPS), senhas com hash, controle de acesso por papéis, isolamento entre workspaces, limites contra abuso, registros de auditoria e cópias de segurança diárias. Nenhum sistema é totalmente imune a incidentes; se ocorrer um incidente relevante, comunicaremos os afetados e a ANPD conforme a lei.
11. Direitos dos titulares
Você pode solicitar, nos termos do art. 18 da LGPD: confirmação e acesso aos dados, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamentos, revogação do consentimento e revisão de decisões automatizadas. Clientes podem corrigir e excluir boa parte dos dados diretamente no painel. Para os demais pedidos, escreva para [email protected]. Responderemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
Inscritos: para parar de receber notificações, basta bloquear as notificações do site nas configurações do navegador. Para outros pedidos, contate o site em que se inscreveu ou nosso e-mail de privacidade.
12. Crianças
O painel do Stellua Push não se destina a menores de 18 anos. Os clientes não devem usar o serviço para coletar intencionalmente dados de crianças sem as autorizações exigidas pela lei.
13. Alterações
Podemos atualizar esta política. Mudanças relevantes serão avisadas por e-mail ou no painel com antecedência razoável. A data no topo indica a versão em vigor.
14. Contato
Stellua Push — [email protected]
Privacy Policy
Last updated: November 8, 2026
This policy explains what personal data Stellua Push processes, why, who we share it with and how to exercise your rights, under Brazil’s General Data Protection Law (Law 13,709/2018 — LGPD). The Portuguese version prevails in case of conflict.
1. Who we are
Stellua Push (“Stellua”, “we”) is a web push notification platform. For privacy and data protection matters, including as the Data Protection Officer channel, contact us at [email protected].
2. Our role: controller and processor
- Customers (who create an account in the dashboard): we are the controller of account, team and billing data.
- Subscribers (visitors of customers’ websites who accept notifications): we are a processor. We process this data on behalf of the customer, who is the controller and decides what to send, to whom and for how long. Subscribers should preferably direct requests to the website they subscribed to; we assist the customer.
3. Customer data
- Account: name, e-mail, password (stored only as a cryptographic hash), workspace name, time zone and language.
- Team: invited e-mails, roles and the workspace activity log (audit trail).
- Billing: plan, invoice history and card brand/last digits. Full card data is collected and stored by Stripe and never reaches our servers.
- Usage: registered websites, flows, campaigns, segments, uploaded media, daily active subscriber counts and technical access logs (IP, date and time), kept as required by Brazilian law.
4. Subscriber data
When a visitor accepts notifications on a website using Stellua Push, the customer’s script sends:
- Delivery identifiers: the browser push token (issued by Firebase Cloud Messaging) and a random installation ID.
- Visit source: UTM parameters, ad click IDs (such as fbclid, gclid, ttclid), landing page, subscription page and referring site — for first and last visit.
- Technical context: browser, operating system, device type, language and time zone, and approximate country/region/city derived from the IP address (the IP is not stored in the subscriber record).
- Interactions: notifications sent, received and clicked, buttons clicked and flow steps.
- Additional data the customer chooses to send (attributes and tags). Customers must not send sensitive data.
We do not sell subscriber data, combine it across customers or use it for our own advertising.
5. Purposes and legal bases
| Purpose | Legal basis (LGPD, art. 7) |
|---|
| Create and maintain the account, provide the service, send notifications on the customer’s behalf | Performance of contract (V) |
| Billing, invoices and payment fraud prevention | Performance of contract (V) and legal obligation (II) |
| Keeping access logs | Legal obligation (II) — Brazilian Internet Act |
| Security, abuse and spam prevention, removal of invalid tokens | Legitimate interest (IX) |
| Transactional e-mails (verification codes, invitations, billing and account notices) | Performance of contract (V) |
| Sending notifications to subscribers | Basis defined by the customer (controller) — as a rule, the consent given in the browser (I) |
6. Sharing and sub-processors
We share data only with providers needed to run the service, under contract and with confidentiality and security obligations:
| Provider | Use |
|---|
| Google (Firebase Cloud Messaging) | Delivering push notifications to browsers |
| Stripe | Payment and card processing |
| Amazon Web Services (Amazon SES) | Transactional e-mail |
| Cloudflare (R2) | Media storage and backups |
| OVHcloud | Server and database hosting |
We may also disclose data when required by law or court order, or in a corporate reorganisation, always keeping this policy.
7. International transfers
Some of the providers above process data outside Brazil (e.g. United States, Canada and the European Union), under article 33 of the LGPD, with contractual clauses and appropriate safeguards adopted by those providers.
8. Retention
- Customer account: while the account exists. After closure we delete or anonymise data, except what we must keep by law (e.g. tax and access records).
- Delivery history: by plan — 30 days (Free), 60 (Basic), 90 (Pro) or 365 days (Scale). Aggregated statistics that do not identify subscribers may be kept longer.
- Clicks: up to 13 months.
- Subscribers: while the customer keeps the website active. Invalid tokens and unsubscribed users are removed automatically after the retention period. Customers can delete subscribers at any time.
- Access logs: 6 months.
- Backups: up to 30 days.
9. Cookies and local storage
- Customer dashboard: only strictly necessary session cookies (secure and not accessible to scripts). No advertising cookies.
- This website: we only store your language preference in the browser.
- Customers’ websites: the Stellua Push script stores the visit source (UTMs), an installation ID and the subscription state in the visitor’s browser, to attribute subscriptions correctly and avoid asking for permission repeatedly. Customers must disclose this in their own privacy policy.
10. Security
We use technical and organisational measures such as encryption in transit (HTTPS), hashed passwords, role-based access control, workspace isolation, abuse rate limits, audit logs and daily backups. No system is completely immune to incidents; if a relevant incident occurs we will notify those affected and the Brazilian Data Protection Authority (ANPD) as required by law.
11. Your rights
Under article 18 of the LGPD you may request: confirmation of and access to your data, correction, anonymisation, blocking or deletion of unnecessary data, portability, information about sharing, withdrawal of consent and review of automated decisions. Customers can correct and delete most data directly in the dashboard. For other requests, write to [email protected]; we reply within 15 days. You may also complain to the ANPD.
Subscribers: to stop receiving notifications, block the website’s notifications in your browser settings. For other requests, contact the website you subscribed to or our privacy e-mail.
12. Children
The Stellua Push dashboard is not intended for anyone under 18. Customers must not use the service to knowingly collect children’s data without the authorisations required by law.
13. Changes
We may update this policy. Material changes will be announced by e-mail or in the dashboard with reasonable notice. The date at the top shows the version in force.
14. Contact
Stellua Push — [email protected]
Política de Privacidad
Última actualización: 8 de noviembre de 2026
Esta política explica qué datos personales trata Stellua Push, para qué, con quién los comparte y cómo ejercer sus derechos, conforme a la Ley General de Protección de Datos de Brasil (Ley 13.709/2018 — LGPD). En caso de conflicto prevalece la versión en portugués.
1. Quiénes somos
Stellua Push (“Stellua”, “nosotros”) es una plataforma de notificaciones web push. Para asuntos de privacidad y protección de datos, incluido el canal del encargado (DPO), contáctenos en [email protected].
2. Nuestro rol: responsable y encargado
- Clientes (quienes crean una cuenta en el panel): somos responsables de los datos de la cuenta, del equipo y de la facturación.
- Suscriptores (visitantes de los sitios de los clientes que aceptan notificaciones): somos encargados. Tratamos estos datos por cuenta del cliente, que es el responsable y decide qué enviar, a quién y por cuánto tiempo. Los suscriptores deben dirigir sus solicitudes preferentemente al sitio donde se suscribieron; apoyamos al cliente en su atención.
3. Datos de clientes
- Cuenta: nombre, e-mail, contraseña (guardada solo como hash criptográfico), nombre del workspace, zona horaria e idioma.
- Equipo: e-mails invitados, roles e historial de actividad del workspace (registro de auditoría).
- Facturación: plan, historial de facturas y marca/últimos dígitos de la tarjeta. Los datos completos de la tarjeta los recoge y guarda Stripe y nunca pasan por nuestros servidores.
- Uso: sitios registrados, flujos, campañas, segmentos, medios subidos, recuento diario de suscriptores activos y registros técnicos de acceso (IP, fecha y hora), conservados según la ley brasileña.
4. Datos de suscriptores
Cuando un visitante acepta notificaciones en un sitio que usa Stellua Push, el script del cliente envía:
- Identificadores de entrega: token push del navegador (emitido por Firebase Cloud Messaging) y un identificador de instalación aleatorio.
- Origen de la visita: parámetros UTM, identificadores de clic de anuncios (como fbclid, gclid, ttclid), página de entrada, página de suscripción y sitio de referencia — de la primera y la última visita.
- Contexto técnico: navegador, sistema operativo, tipo de dispositivo, idioma y zona horaria, y país/región/ciudad aproximados derivados de la IP (la IP no se guarda en el registro del suscriptor).
- Interacciones: notificaciones enviadas, recibidas y clicadas, botones pulsados y pasos de flujos.
- Datos adicionales que el cliente decida enviar (atributos y etiquetas). El cliente no debe enviar datos sensibles.
No vendemos datos de suscriptores, no los cruzamos entre clientes ni los usamos para publicidad propia.
5. Finalidades y bases legales
| Finalidad | Base legal (LGPD, art. 7) |
|---|
| Crear y mantener la cuenta, prestar el servicio, enviar notificaciones por cuenta del cliente | Ejecución de contrato (V) |
| Facturación y prevención de fraude en pagos | Ejecución de contrato (V) y obligación legal (II) |
| Conservar registros de acceso | Obligación legal (II) — Marco Civil de Internet |
| Seguridad, prevención de abuso y spam, eliminación de tokens inválidos | Interés legítimo (IX) |
| E-mails transaccionales (códigos, invitaciones, avisos de facturación y cuenta) | Ejecución de contrato (V) |
| Envío de notificaciones a suscriptores | Base definida por el cliente (responsable) — por regla, el consentimiento otorgado en el navegador (I) |
6. Compartición y subencargados
Compartimos datos solo con proveedores necesarios para operar el servicio, bajo contrato y con obligaciones de confidencialidad y seguridad:
| Proveedor | Uso |
|---|
| Google (Firebase Cloud Messaging) | Entrega de notificaciones push a los navegadores |
| Stripe | Procesamiento de pagos y tarjetas |
| Amazon Web Services (Amazon SES) | E-mails transaccionales |
| Cloudflare (R2) | Almacenamiento de medios y copias de seguridad |
| OVHcloud | Alojamiento de servidores y base de datos |
También podemos divulgar datos cuando lo exija la ley u orden judicial, o en una reorganización societaria, manteniendo siempre esta política.
7. Transferencia internacional
Algunos proveedores procesan datos fuera de Brasil (por ejemplo, Estados Unidos, Canadá y la Unión Europea), con base en el artículo 33 de la LGPD, con cláusulas contractuales y salvaguardas adecuadas adoptadas por dichos proveedores.
8. Conservación
- Cuenta del cliente: mientras exista. Tras el cierre eliminamos o anonimizamos los datos, salvo lo que debamos conservar por ley.
- Historial de envíos: según el plan — 30 días (Gratis), 60 (Basic), 90 (Pro) o 365 días (Scale). Las estadísticas agregadas, que no identifican suscriptores, pueden conservarse más tiempo.
- Clics: hasta 13 meses.
- Suscriptores: mientras el cliente mantenga el sitio activo. Los tokens inválidos y las bajas se eliminan automáticamente tras el período de conservación. El cliente puede eliminar suscriptores en cualquier momento.
- Registros de acceso: 6 meses.
- Copias de seguridad: hasta 30 días.
9. Cookies y almacenamiento local
- Panel del cliente: solo cookies de sesión estrictamente necesarias (seguras e inaccesibles para scripts). Sin cookies publicitarias.
- Este sitio: solo guardamos en el navegador la preferencia de idioma.
- Sitios de los clientes: el script de Stellua Push guarda en el navegador del visitante el origen de la visita (UTMs), un identificador de instalación y el estado de la suscripción, para atribuir correctamente la suscripción y no pedir permiso repetidamente. El cliente debe informarlo en su propia política de privacidad.
10. Seguridad
Aplicamos medidas técnicas y organizativas como cifrado en tránsito (HTTPS), contraseñas con hash, control de acceso por roles, aislamiento entre workspaces, límites contra abuso, registros de auditoría y copias de seguridad diarias. Ningún sistema es inmune a incidentes; si ocurre uno relevante, lo comunicaremos a los afectados y a la ANPD conforme a la ley.
11. Derechos
Según el artículo 18 de la LGPD puede solicitar: confirmación y acceso, corrección, anonimización, bloqueo o eliminación de datos innecesarios, portabilidad, información sobre compartición, revocación del consentimiento y revisión de decisiones automatizadas. Los clientes pueden corregir y eliminar la mayoría de los datos en el panel. Para otras solicitudes escriba a [email protected]; respondemos en hasta 15 días. También puede reclamar ante la ANPD.
Suscriptores: para dejar de recibir notificaciones, bloquee las notificaciones del sitio en la configuración del navegador. Para otras solicitudes, contacte al sitio donde se suscribió o a nuestro e-mail de privacidad.
12. Menores
El panel de Stellua Push no está dirigido a menores de 18 años. Los clientes no deben usar el servicio para recoger deliberadamente datos de menores sin las autorizaciones exigidas por la ley.
13. Cambios
Podemos actualizar esta política. Los cambios relevantes se avisarán por e-mail o en el panel con antelación razonable. La fecha al inicio indica la versión vigente.
14. Contacto
Stellua Push — [email protected]