Vigência: 24/10/2026

A Kemy Certificados Digitais trata dados pessoais para vender e emitir certificados digitais e para atender quem procura a loja. Abaixo está o que acontece com esses dados em cada etapa, da visita ao site até o fim do prazo de guarda. Estas regras valem para o site www.kemy.com.br, o WhatsApp e o e-mail da loja e seguem a Lei nº 13.709/2018 (LGPD) e as normas da ICP-Brasil.

Quem é o controlador

Responde pelos seus dados, como controladora:

Kemy Certificados Digitais, loja do Grupo Certsaid (Certsaid Solution LTDA), CNPJ 46.026.367/0001-85, Rua José Alves Garcia, 173, sala 05, Bairro Brasil, Uberlândia/MG, CEP 38400-668.

Canal para falar de privacidade: comercial@kemy.com.br, com o assunto “Dados pessoais”, ou o WhatsApp (34) 99968-5125. Neste texto, “Kemy” e “loja” se referem à empresa acima.

Etapa por etapa: dado, uso e base legal

Cada uso de dado pessoal precisa de uma base legal. Ela aparece entre parênteses, com o artigo da LGPD.

1. Visita ao site

O que entra: IP, data e hora, navegador e aparelho, as páginas e os produtos que você abriu, o carrinho e de onde você chegou, como um link ou um anúncio.

Para quê: fazer o site funcionar e guardar o registro de acesso que a lei exige por 6 meses (obrigação legal, art. 7º, II, e art. 15 da Lei nº 12.965/2014, o Marco Civil da Internet). Quando as ferramentas de medição e de anúncios estiverem ligadas, também para entender o uso do site e o retorno dos anúncios (legítimo interesse, art. 7º, IX, ou consentimento, art. 7º, I, conforme o cookie).

2. Compra

O que entra: nome, CPF, e-mail e celular com WhatsApp. No e-CNPJ, também a razão social, o CNPJ e o responsável legal. Se a compra tiver token, o endereço de entrega. E ainda o produto, o valor, a forma de pagamento e a aprovação do pagamento. Se você abrir uma conta no site, entram usuário e senha. A senha é gravada criptografada, e ninguém da equipe consegue lê-la.

O cartão é digitado na tela do Mercado Pago. A Kemy não fica com o número do cartão nem com o código de segurança.

Para quê: concluir a venda, organizar a validação, enviar o token e dar suporte (execução de contrato, art. 7º, V). Confirmar o pagamento e barrar fraudes (art. 7º, V e IX: contrato e legítimo interesse). Cobrar quando foi combinado o pagamento depois da emissão e responder a reclamações no Procon ou na Justiça (art. 7º, V e VI: contrato e exercício regular de direitos).

3. Validação da identidade

Esta etapa acontece no sistema da Autoridade Certificadora (SERPRO ou Safeweb) e da Autoridade de Registro que faz a videoconferência. Elas recolhem o documento oficial com foto (no e-CNPJ, também os da empresa), a imagem e a voz da chamada, a foto e a biometria do rosto e as informações gravadas no certificado: nome, CPF, e-mail e data de nascimento, entre outras.

Para quê: confirmar que você é o titular, como exigem as normas da ICP-Brasil (obrigação legal ou regulatória, art. 7º, II). A biometria é dado pessoal sensível (art. 5º, II). Ela é usada para cumprir essa regra e para prevenir fraude ao identificar o titular, com base no art. 11, II, alíneas “a” e “g”. Nessa etapa, a Autoridade Certificadora e a Autoridade de Registro decidem sobre os dados por conta própria e têm políticas de privacidade próprias.

Se, para ganhar tempo, você enviar à equipe a foto de um documento, ela só é usada naquela compra e naquela validação.

4. Atendimento

O que entra: as conversas por WhatsApp e e-mail, o histórico de atendimento e os prints, vídeos ou arquivos que você mandar para mostrar um problema.

Para quê: responder, resolver e registrar o que foi combinado (execução de contrato, art. 7º, V).

5. Aviso de vencimento e ofertas

Com os dados da compra, a Kemy pode lembrar você do fim da validade e oferecer renovação e outros certificados, por WhatsApp ou e-mail (legítimo interesse, art. 7º, IX). Para parar, responda na conversa que não quer mais esses avisos ou mande um e-mail. A partir daí, eles deixam de ser enviados.

Sempre que a base for o legítimo interesse, o uso fica dentro do que um cliente espera da loja em que comprou, e você pode se opor.

Para quem os dados vão

Nenhum dado pessoal é vendido ou alugado. Recebem dados, cada um só na medida da sua tarefa:

  • a Autoridade Certificadora (SERPRO ou Safeweb) e a Autoridade de Registro, para validar e emitir. Pelas normas da ICP-Brasil, a biometria pode ser conferida em bases oficiais;
  • o Mercado Pago, que processa Pix e cartão e pode rodar análise antifraude;
  • a hospedagem do site, onde a loja funciona em WordPress com WooCommerce e onde ficam cadastro e compras;
  • os Correios, que recebem nome, endereço e telefone para a entrega do token;
  • o Google e outras ferramentas de medição e anúncios, se estiverem ligadas no site;
  • o WhatsApp, da Meta, e o provedor de e-mail, no atendimento;
  • a contabilidade da empresa, com o que for preciso para as obrigações fiscais;
  • autoridades públicas, diante de ordem judicial, exigência legal ou requisição de órgão competente.

Parte dos servidores do Google e da Meta pode estar em outros países. Nesses casos, a transferência internacional segue as hipóteses dos arts. 33 a 36 da LGPD.

Cookies na loja

O site grava no navegador pequenos arquivos, os cookies, por estes motivos:

  • Funcionamento: carrinho, sessão e acesso à conta. Sem eles, não dá para fechar a compra.
  • Medição: contagem de visitas, páginas e cliques, por exemplo com o Google Analytics, quando ligado.
  • Anúncios: saber qual anúncio trouxe a visita ou a venda e mostrar anúncios da Kemy a quem já passou pelo site, por exemplo com o Google Ads, quando ligado.
  • Pagamento: na etapa do Mercado Pago, leitura de cookies e de dados do aparelho para checar fraude.

Nas configurações do navegador, você bloqueia ou apaga cookies. Os anúncios que o Google mostra podem ser ajustados na sua conta Google. Sem os cookies de funcionamento, o carrinho pode falhar.

Por quanto tempo

  • Dossiê da validação (documentos, biometria e registros da emissão): fica com a Autoridade Certificadora e a Autoridade de Registro por pelo menos 7 anos, contados do fim da validade ou da revogação, como determina o item 5.5.2 do DOC-ICP-05. Nesse período, não pode ser apagado.
  • Fotos de documento mandadas à equipe: apagadas quando a emissão e o atendimento terminam.
  • Cadastro, compras e conversas: 5 anos contados da última compra, prazo para reclamar e para se defender (CDC, art. 27).
  • Notas fiscais e comprovantes de pagamento: o tempo que a legislação fiscal pede.
  • Registro de acesso ao site: 6 meses (Marco Civil da Internet, art. 15).
  • Cookies: a duração de cada um, ou até você limpar o navegador.

Vencido o prazo, os dados são eliminados ou anonimizados, quer dizer, não identificam mais ninguém.

O que você pode solicitar

Como titular, a LGPD (art. 18) dá a você estes direitos:

  • Saber e ver: confirmar se a Kemy trata dados seus, ter acesso a eles e saber com quem foram compartilhados.
  • Corrigir: ajustar o que estiver incompleto, errado ou desatualizado.
  • Limitar: anonimizar, bloquear ou eliminar o que for desnecessário, excessivo ou tratado fora da lei.
  • Levar: portabilidade dos dados para outro fornecedor.
  • Consentimento: saber o que acontece se você não consentir, retirar um consentimento dado e eliminar os dados tratados com base nele.
  • Se opor: dizer não a um uso que tenha como base o legítimo interesse, por exemplo as mensagens com ofertas.

Como solicitar

Escreva para comercial@kemy.com.br, com o assunto “Dados pessoais”, ou chame no WhatsApp. É gratuito. Para evitar que outra pessoa veja os seus dados, a equipe pode confirmar quem você é antes de atender. O primeiro retorno chega em até 2 dias úteis. Se você solicitar a declaração completa, o prazo é de até 15 dias, como prevê o art. 19, II, da LGPD.

Dados de guarda obrigatória (dossiê da emissão, notas fiscais, registro de acesso) ficam bloqueados e só são eliminados no fim do prazo legal. A exclusão do cadastro não revoga o certificado. Se quiser as duas coisas, diga isso na mesma mensagem, sabendo que a revogação é definitiva.

Se a resposta não resolver, você pode reclamar ao Procon ou à ANPD, a Autoridade Nacional de Proteção de Dados (www.gov.br/anpd).

Proteção dos dados

As páginas do site abrem em https. Dentro da equipe, só quem atende você vê os seus dados. As senhas do certificado (PIN, PUK, senha de uso e a do arquivo) são suas: você cria e digita, e nenhuma delas deve ir por mensagem.

Se um incidente de segurança puder causar risco ou dano relevante a você, a Kemy avisa você e a ANPD, como pede o art. 48 da LGPD.

Revisões

Se a lei ou a forma de tratar os dados mudar, esta página muda junto, com nova data de vigência no topo. Esta versão vale desde 24 de outubro de 2026. Cancelamento e reembolso estão em trocas e arrependimento.