1. Where Wishday is offered, and the laws it follows

Wishday is offered to merchants whose business address is outside the European Economic Area (EEA), the United Kingdom, the British Crown Dependencies and Gibraltar, the Norwegian territories of Svalbard and Jan Mayen, and Turkey. This is not a disclaimer: it is enforced by Shopify itself, through the business-address install requirement on our App Store listing, so a store based in any of those places cannot install Wishday.

This policy is written to meet, at a minimum: the LGPD (Lei Geral de Proteção de Dados, Law 13.709/2018, Brazil), which is the law of the party responsible for the processing; PIPEDA (Personal Information Protection and Electronic Documents Act, Canada); and the CCPA/CPRA in California and equivalent United States state laws. Where more than one of them covers the same subject, we apply whichever is more protective of the individual.

About the GDPR and the laws built on it. Because the app is not offered to merchants in the places listed above, we have not designated a representative in the Union under Article 27 of the GDPR, nor a representative under the equivalent duty in the laws of the United Kingdom, Gibraltar, the Crown Dependencies or Norway. Turkey is excluded for the same reason: the KVKK requires a local representative with no size threshold at all. Nothing else in this policy changes: a merchant outside the EEA may still be subject to the GDPR through its own shoppers, and the transfer safeguards in section 8, the response deadlines in section 11 and the technical measures in section 10 apply to that merchant's shoppers just the same.

2. Roles: who is the controller and who is the processor

Wishday's role changes with the data, and that is what decides who you should write to.

Shopper data, meaning the Shopify customer ID, the lists and items saved and the reminder date: Wishday is the processor and the store you shopped at is the controller. This policy complements the store's own privacy policy; it does not replace it.

Store configuration created by the merchant: Wishday is the processor and the merchant is the controller.

The Shopify session, the access token and the identity of the person who installed the app: Wishday is the controller.

Installing the app on a store is the data processing agreement between merchant and Wishday, under article 39 of the LGPD and article 28 of the GDPR: we process shopper data only on the merchant's documented instructions, which are the features the app offers.

3. What the app stores

For each shopper who saves a product, Wishday stores the shopper's Shopify customer ID and references to what was saved: product and variant IDs, the list name, the type of list and the reminder date. Nothing about the product itself is stored. Title, price and image are read from Shopify every time a screen needs them.

The list name is free text written by the shopper, and a gift list is usually named after a person, for example "Ana's birthday". That text is stored exactly as typed, so a name can end up in our database that way. It is only ever shown back to the shopper who wrote it and included in the reminder email sent to that same shopper. The shopper can rename or delete the list at any time. The database also has a field for the name of the person a gift list is for; no screen fills it today, so it is empty on every list.

For each store, Wishday stores the shop domain, the store name that signs the reminder email, the time zone, the admin language, the language chosen for reminder emails and the storefront button settings.

Wishday counts three kinds of event to build the merchant's dashboard: an item was saved, a list was created, a reminder was sent. Each record holds the store, the type of event and the instant. It holds no customer ID and no product reference.

When the app is installed, Shopify gives us a session: the shop domain, the access token and, when Shopify provides them, the name, email address and user ID of the person on the merchant's team who authorized the app. These are used only to authenticate the app's calls to Shopify's API on behalf of that store. Access tokens are never exposed to the browser and never written to logs.

4. How the shopper's email address is used (Protected Customer Data)

Wishday does not store the shopper's email address. To send a reminder, the app reads the address from Shopify's Customer API at the moment the reminder falls due, hands it to the email provider to deliver that one message, and discards it. It is never written to our database and never written to a log. The query we send Shopify asks for a single field, the email address, and nothing else.

Shopify classifies the customer email address as Protected Customer Data. We requested access to that one field, for app functionality, which is delivering the reminder the shopper asked for. If a reminder falls due and the customer has no reachable email address, the app records the failure with the customer ID, never with an address.

The reminder email itself carries the list name, the products on the list, the store name and a link to turn the reminder off. It carries no data about anyone other than the shopper who asked for it.

We do not use the address for marketing, we do not sell or rent it, and we do not share it with anyone other than the email provider needed to deliver the reminder the shopper asked for.

5. What Wishday does not collect

No shopper name and no shopper email address in our database. This is a design decision, not a promise we hope to keep: there is no column for either one. The only shopper identifier we store is the Shopify customer ID. The one way a personal name can reach our database is the free text of a list name, described in section 3.

No payment data. Billing for the app is handled by Shopify, which passes us no card or payment method data.

No browsing tracking, no profiling and no advertising. The app loads no tracking JavaScript on the storefront, sets no cookie of its own there and uses no third-party analytics service.

No sensitive personal data (art. 5, II of the LGPD; art. 9 of the GDPR), from anyone. No data is deliberately collected from children: the app addresses merchants, and the shopper data it reads is always an identifier provided by the store itself.

6. Purposes and legal bases

Customer ID, saved items, list name and reminder date, to run the wishlist and deliver the reminder the shopper asked for: art. 7, V of the LGPD (performance of a contract), processed as a processor on the merchant's instruction; art. 6(1)(b) of the GDPR through the merchant as controller, with processing as a processor under art. 28.

The shopper's email address, in transit only, to deliver that one reminder: the same bases.

Store configuration and settings, to apply what the merchant chose: art. 7, V of the LGPD; art. 6(1)(b) of the GDPR.

Session and access token, to authenticate calls to Shopify's API on behalf of the store: art. 7, V of the LGPD; art. 6(1)(b) of the GDPR.

Technical error records with no personal content, to keep the app working and secure: art. 7, IX of the LGPD (legitimate interest); art. 6(1)(f) of the GDPR. The dashboard counters hold no personal data, so they need no legal basis.

Wishday does not sell personal data, does not share it for marketing or advertising, does not use it to train models and does not use it for any purpose beyond those above. For the CCPA/CPRA: we neither sell nor share personal information, and there is no financial incentive programme.

7. Where the data is processed, and who else touches it

Wishday shares personal data with no third party other than the infrastructure sub-processors below, strictly to operate the service, and when required by law or by an order from a competent authority.

Shopify Inc., the platform the app runs on and the source of every product and customer read, processing in Canada and the United States.

Google Cloud (Cloud Run, Secret Manager, Cloud Scheduler and Cloud Logging), which runs the app, in region southamerica-east1, São Paulo, Brazil.

Neon Inc., the managed PostgreSQL database that holds customer IDs, lists, items and reminders, in region AWS sa-east-1, São Paulo, Brazil.

Resend, which delivers the reminder emails, processing in the United States. It receives the shopper's email address, the list name and the product names, only to deliver that message. Resend publishes its own sub-processor list at resend.com/legal/subprocessors.

That is the whole list. The app uses no error-monitoring, analytics or customer-support vendor at all. Runtime errors are written to the app's own log inside Google Cloud, already named above, and go nowhere else.

8. International transfers

The app runs in Brazil. Both the application (Google Cloud, southamerica-east1) and the database (Neon, AWS sa-east-1) are in São Paulo, so the lists, the customer IDs and the reminders are not stored outside the country.

Two flows do cross a border. Each safeguard below was read in the supplier's own contract, not assumed from market custom.

Resend, United States. Resend's Data Processing Addendum binds on contracting the service, with no separate signature ("This DPA becomes legally binding upon Customer's acceptance of the Agreement"), and it incorporates the European Standard Contractual Clauses of Implementing Decision (EU) 2021/914, modules one, two and three, together with the UK International Data Transfer Addendum issued by the ICO. Resend states that its primary processing operations take place in the United States.

Shopify, Canada and the United States. Shopify does not receive a transfer from us. Store and customer data already live in Shopify under the contract the merchant itself has with Shopify, and the app only reads and writes in that same place. The Shopify Partner Program Agreement, which is the contract between Shopify and whoever develops this app, contains no data processing addendum and no standard contractual clauses. Canada holds an adequacy decision from the European Commission.

Neon and Google store in Brazil, but both are United States companies and may access the data to operate the service. Neon's Data Processing Agreement is entered into by contracting the service, without a separate signature: clause 10(a) reads "By signing the Agreement, you enter into this DPA (including, where applicable, the Standard Contractual Clauses)". It carries the Standard Contractual Clauses of Decision (EU) 2021/914 and the ICO's International Data Transfer Addendum, version B1.0. Neon is a wholly owned subsidiary of Databricks, Inc., and a separate Databricks addendum exists, by signature, which would replace the one already in force; it carries the same safeguards, so we have not signed it. Google's Cloud Data Processing Addendum is incorporated into the Google Cloud agreement with no separate signature and states that Google is the processor and the customer the controller.

From Brazil (LGPD, articles 33 to 36), the transfer is necessary for the performance of a contract to which the data subject is a party, which is the case in article 33, IX, referring back to article 7, V. It stands on its own and never depended on contractual clauses. None of the contracts above incorporates the standard clauses of ANPD Resolution CD/ANPD 19/2024. If a transfer ever comes to rest on those clauses, they will be signed first.

The technical measures in section 10 are kept as a complementary safeguard. The addenda are public: Resend's at resend.com/legal/dpa, Neon's at neon.com/pdf/DPA.pdf and Google's at cloud.google.com/terms/data-processing-addendum.

9. Retention and deletion

Lists, items and reminders are kept while the app is installed and while the shopper keeps them. A shopper can delete any item or any whole list at any time from inside the store.

Uninstalling deletes everything, immediately. When Shopify notifies the app that it was uninstalled, Wishday deletes that store's session and access token and then deletes the store record, which cascades to every list, item, reminder and dashboard counter belonging to it. Nothing is archived and nothing is kept in a marked-as-deleted state.

Store deletion (shop/redact), which Shopify sends about 48 hours after uninstall, runs the same deletion again. It is written to be safe to repeat, so a store already cleared on uninstall is not an error.

Shopper deletion (customers/redact): Wishday deletes every list that customer has in that store, and the items and the reminder go with them. Because the only shopper identifier we store is the Shopify customer ID, this is a single complete removal, with no name or address to chase down.

Shopper data request (customers/data_request): the app assembles what it holds for that customer, which is the lists, their dates and the product references, and records the request. This app has no automatic delivery channel to the merchant, so a store that receives one of these requests should write to the address in section 14 and we send what we hold.

The shopper's email address has no retention at all: it exists only in memory during the delivery of a single message.

Technical error records follow the hosting provider's retention, at most 30 days. Backup copies of the managed database follow the provider's cycle and are overwritten within 30 days of deletion.

10. Security

Data in transit is protected by TLS. Data at rest is encrypted by the database provider's native encryption.

Access tokens live only in the database, never in logs and never on the client side. Runtime secrets (database URL, Shopify secret, email provider key, scheduler secret) live in Google Secret Manager and are injected into the service at deploy time; the repository holds only their names.

Every webhook request is verified by HMAC signature before any processing, and every request arriving from the storefront is verified by Shopify's app proxy signature before any logic runs.

Every read and write is scoped by store and by shopper: one shopper cannot reach another shopper's list, and one store cannot reach another store's data.

The shopper's email address is never written to the database or to a log. Error messages carry the customer ID instead of the address, and the email provider's key never appears in an error.

Incidents. As a processor, we notify the affected merchant without undue delay after becoming aware, which is the processor's duty under article 33(2) of the GDPR, so that the merchant, as controller, can notify its own authority within the 72 hours of article 33(1). For the data we control ourselves (session and access token) we notify the competent authority ourselves, without undue delay and, where applicable, within 72 hours of becoming aware, and we notify the ANPD within a reasonable period under the rules in force.

11. Your rights

You have the right to confirmation that we process your data; access to it; correction of incomplete, inaccurate or out-of-date data; anonymisation, blocking or deletion of unnecessary or excessive data; portability; deletion of data processed on consent; information about who we share it with; withdrawal of consent; and objection to processing based on legitimate interest. Under the GDPR, restriction of processing (art. 18) and the right not to be subject to an automated decision (art. 22) are added. Under the CCPA/CPRA, the rights to know, delete, correct and not be discriminated against for exercising them are added.

Two of these need no request at all. A shopper can review and delete their own lists and items from inside the store at any time, and can switch off or reschedule a reminder from the list or from the opt-out link at the foot of every reminder email. The opt-out link works without signing in.

How to exercise the rest: write to support@trywishday.com. We answer within 15 days for requests under the LGPD and within 1 month for requests under the GDPR, extendable by a further 2 months in complex cases, with notice. Exercising your rights is free. We may ask for additional information only to confirm your identity.

If you are a shopper at a store that uses Wishday, the controller of your data is the store, not us. Send your request to the store; if the store passes it to us, we act on it as its processor. The store is responsible for its own privacy policy towards its shoppers.

Complaint. You may complain to a data protection authority: the ANPD in Brazil (gov.br/anpd), the authority of your country in the EEA, the ICO in the United Kingdom (ico.org.uk), or the Office of the Privacy Commissioner of Canada (priv.gc.ca).

12. Cookies

The app sets no cookie of its own on the store's storefront. The heart button and the list dialog that shoppers see store nothing in the browser: no cookie, no local storage, no session storage. Inside the Shopify admin we use only strictly necessary session and CSRF cookies, without which the app cannot authenticate. There is no analytics, advertising or cross-site tracking cookie, and so there is no consent banner to show.

13. Automated decisions

The app makes no decision about people. It sends the reminder the shopper scheduled, on the date the shopper chose, and that is the only thing it does on its own. It does not score, profile or rank anyone, and it does not decide anyone's access to anything. This is not automated decision-making in the sense of article 22 of the GDPR.

14. Changes to this policy, and contact

We may update this policy. The version in force is always at this URL, with the effective date at the top, and a material change is published here before it takes effect.

The app has no channel for announcing a change to merchants. It sends email to shoppers only, and only the reminder they asked for. So this URL is the place to check, and the effective date at the top is what tells you whether anything changed.

Questions about this policy, about how we process data, or to exercise your rights: support@trywishday.com. The party responsible for the processing is Fernanda Tiemy Yoshida, a natural person established in Brazil, who is also the person in charge of personal data processing (art. 41 of the LGPD) and the contact point for data protection matters under the GDPR.

1. Onde a Wishday é oferecida, e as leis aplicáveis

A Wishday é oferecida a lojistas cujo endereço comercial fica fora do Espaço Econômico Europeu (EEE), do Reino Unido, das dependências da Coroa britânica e de Gibraltar, dos territórios noruegueses de Svalbard e Jan Mayen, e da Turquia. Isso não é um aviso legal: quem aplica a restrição é a própria Shopify, pelo requisito de instalação por endereço comercial na nossa ficha da App Store, então uma loja sediada em qualquer um desses lugares não consegue instalar a Wishday.

Esta política foi escrita para atender, no mínimo: a LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018, Brasil), que é a lei da responsável pelo tratamento; a PIPEDA (Personal Information Protection and Electronic Documents Act, Canadá); e a CCPA/CPRA da Califórnia e leis estaduais norte-americanas equivalentes. Quando um mesmo assunto é tratado por mais de uma dessas leis, aplicamos a exigência mais protetiva ao titular.

Sobre o GDPR e as leis derivadas dele. Como o app não é oferecido a lojistas nos lugares listados acima, não designamos representante na União nos termos do artigo 27 do GDPR, nem representante para o dever equivalente nas leis do Reino Unido, de Gibraltar, das dependências da Coroa ou da Noruega. A Turquia está fora pela mesma razão: a KVKK exige representante local sem piso de tamanho nenhum. Nada mais nesta política muda: uma lojista fora do EEE pode, ainda assim, estar sujeita ao GDPR por causa dos próprios compradores dela, e as salvaguardas de transferência da seção 8, os prazos de resposta da seção 11 e as medidas técnicas da seção 10 valem igual para os compradores dessa lojista.

2. Papéis: quem é controlador e quem é operador

O papel da Wishday muda conforme o dado, e é isso que determina a quem o titular deve se dirigir.

Dados do comprador, ou seja, o ID de cliente da Shopify, as listas e itens salvos e a data do lembrete: a Wishday é operadora e a loja onde você comprou é a controladora. Esta política complementa a política de privacidade da loja; não substitui.

Configuração criada pelo lojista: a Wishday é operadora e o lojista é o controlador.

A sessão da Shopify, o token de acesso e a identificação de quem instala o app: a Wishday é controladora.

A instalação do app na loja constitui o acordo de tratamento de dados entre lojista e Wishday, nos termos do art. 39 da LGPD e do art. 28 do GDPR: tratamos dados de comprador apenas conforme instruções documentadas do lojista, que são as funções que o app oferece.

3. O que o app guarda

Para cada comprador que salva um produto, a Wishday guarda o ID de cliente da Shopify e referências ao que foi salvo: IDs de produto e de variante, o nome da lista, o tipo da lista e a data do lembrete. Nada do produto em si é guardado. Título, preço e imagem são lidos na Shopify toda vez que uma tela precisa deles.

O nome da lista é texto livre escrito pelo comprador, e uma lista de presente costuma levar o nome de alguém, por exemplo "Aniversário da Ana". Esse texto é guardado como foi digitado, então um nome de pessoa pode chegar ao nosso banco por aí. Ele só é mostrado de volta a quem escreveu e incluído no e-mail de lembrete enviado a esse mesmo comprador. O comprador pode renomear ou apagar a lista a qualquer momento. O banco também tem um campo para o nome da pessoa que vai ganhar o presente; nenhuma tela o preenche hoje, então ele está vazio em todas as listas.

Para cada loja, a Wishday guarda o domínio, o nome da loja que assina o e-mail de lembrete, o fuso horário, o idioma do admin, o idioma escolhido para os e-mails de lembrete e as configurações do botão na vitrine.

A Wishday conta três tipos de evento para montar o painel do lojista: um item foi salvo, uma lista foi criada, um lembrete foi enviado. Cada registro guarda a loja, o tipo do evento e o instante. Não guarda ID de cliente nem referência de produto.

Na instalação, a Shopify nos entrega uma sessão: o domínio da loja, o token de acesso e, quando a Shopify os fornece, o nome, o e-mail e o identificador da pessoa da equipe do lojista que autorizou o app. Isso é usado só para autenticar as chamadas do app à API da Shopify em nome daquela loja. Tokens de acesso nunca são expostos ao navegador nem registrados em logs.

4. Como o e-mail do comprador é usado (Protected Customer Data)

A Wishday não guarda o e-mail do comprador. Para enviar um lembrete, o app lê o endereço na API de Clientes da Shopify no momento em que o lembrete vence, entrega esse endereço ao provedor de envio para despachar aquela única mensagem e o descarta. Ele nunca é gravado no nosso banco de dados nem em log. A consulta que mandamos à Shopify pede um campo só, o e-mail, e nada mais.

A Shopify classifica o e-mail do cliente como Protected Customer Data. Pedimos acesso a esse único campo, pela finalidade de funcionalidade do app, que é entregar o lembrete que o comprador pediu. Se um lembrete vence e o cliente não tem e-mail alcançável, o app registra a falha com o ID do cliente, nunca com um endereço.

O e-mail de lembrete em si carrega o nome da lista, os produtos da lista, o nome da loja e um link para desligar o lembrete. Ele não carrega dado de ninguém além do comprador que o pediu.

Não usamos o endereço para marketing, não o vendemos nem alugamos, e não o compartilhamos com ninguém além do provedor de envio necessário para entregar o lembrete que o comprador pediu.

5. O que a Wishday NÃO coleta

Nenhum nome e nenhum e-mail de comprador no nosso banco. Isso é decisão de projeto, não promessa que torcemos para cumprir: não existe coluna para nenhum dos dois. O único identificador de comprador que guardamos é o ID de cliente da Shopify. O único caminho por onde um nome de pessoa chega ao nosso banco é o texto livre do nome da lista, descrito na seção 3.

Nenhum dado de pagamento. A cobrança do app é feita pela Shopify, que não nos repassa dado de cartão nem de meio de pagamento.

Nenhum rastreamento de navegação, perfilamento ou publicidade. O app não carrega JavaScript de rastreamento na vitrine, não cria cookie próprio lá e não usa serviço de analytics de terceiro.

Nenhum dado pessoal sensível (art. 5º, II da LGPD; art. 9º do GDPR), de ninguém. Nenhum dado de criança ou adolescente é buscado deliberadamente: o app se dirige a lojistas, e o dado de comprador que ele lê é sempre um identificador fornecido pela própria loja.

6. Finalidades e bases legais

ID de cliente, itens salvos, nome da lista e data do lembrete, para operar a lista de desejos e entregar o lembrete que o comprador pediu: art. 7º, V da LGPD (execução de contrato), tratado como operador sob instrução do lojista; art. 6(1)(b) do GDPR via o lojista controlador, com tratamento como operador nos termos do art. 28.

O e-mail do comprador, apenas em trânsito, para entregar aquele lembrete: as mesmas bases.

Configuração e preferências da loja, para aplicar o que o lojista escolheu: art. 7º, V da LGPD; art. 6(1)(b) do GDPR.

Sessão e token de acesso, para autenticar chamadas à API da Shopify em nome da loja: art. 7º, V da LGPD; art. 6(1)(b) do GDPR.

Registros técnicos de erro, sem conteúdo pessoal, para manter o app funcionando e seguro: art. 7º, IX da LGPD (legítimo interesse); art. 6(1)(f) do GDPR. Os contadores do painel não guardam dado pessoal, então não precisam de base legal.

A Wishday não vende dados pessoais, não os compartilha para marketing ou publicidade, não os usa para treinar modelos e não os usa para nenhuma finalidade além das descritas acima. Para a CCPA/CPRA: não vendemos nem compartilhamos informação pessoal, e não há programa de incentivo financeiro.

7. Onde os dados são processados, e quem mais os toca

A Wishday não compartilha dados pessoais com terceiro nenhum, exceto com os suboperadores de infraestrutura abaixo, estritamente para operar o serviço, e quando exigido por lei ou por ordem de autoridade competente.

Shopify Inc., a plataforma onde o app roda e a origem de toda leitura de produto e de cliente, tratando no Canadá e nos Estados Unidos.

Google Cloud (Cloud Run, Secret Manager, Cloud Scheduler e Cloud Logging), que executa o app, na região southamerica-east1, São Paulo, Brasil.

Neon Inc., o banco PostgreSQL gerenciado que guarda IDs de cliente, listas, itens e lembretes, na região AWS sa-east-1, São Paulo, Brasil.

Resend, que entrega os e-mails de lembrete, tratando nos Estados Unidos. Recebe o e-mail do comprador, o nome da lista e os nomes dos produtos, apenas para entregar aquela mensagem. A Resend publica a própria lista de suboperadores em resend.com/legal/subprocessors.

A lista é essa e acaba aqui. O app não usa fornecedor nenhum de monitoramento de erro, de analytics ou de atendimento. Erro de runtime é escrito no log do próprio app, dentro do Google Cloud, que já está nomeado acima, e não vai para mais lugar nenhum.

8. Transferências internacionais

O app roda no Brasil. Tanto a aplicação (Google Cloud, southamerica-east1) quanto o banco (Neon, AWS sa-east-1) ficam em São Paulo, então as listas, os IDs de cliente e os lembretes não são armazenados fora do país.

Dois fluxos cruzam fronteira. Cada salvaguarda abaixo foi lida no contrato do próprio fornecedor, não deduzida do costume do mercado.

Resend, Estados Unidos. O Data Processing Addendum da Resend vincula ao contratar o serviço, sem assinatura separada ("This DPA becomes legally binding upon Customer's acceptance of the Agreement"), e incorpora as Cláusulas Contratuais Padrão europeias da Decisão de Execução (UE) 2021/914, módulos um, dois e três, junto com o International Data Transfer Addendum do ICO. A Resend declara que suas operações principais de tratamento acontecem nos Estados Unidos.

Shopify, Canadá e Estados Unidos. A Shopify não recebe uma transferência nossa. Os dados de loja e de cliente já residem na Shopify sob o contrato que a própria lojista tem com ela, e o app apenas lê e escreve nesse mesmo lugar. O Shopify Partner Program Agreement, que é o contrato entre a Shopify e quem desenvolve este app, não contém adendo de tratamento de dados nem cláusulas contratuais padrão. O Canadá tem decisão de adequação da Comissão Europeia.

Neon e Google armazenam no Brasil, mas ambas são empresas dos Estados Unidos e podem acessar os dados para operar o serviço. O Data Processing Agreement da Neon se firma ao contratar o serviço, sem assinatura separada: a cláusula 10(a) diz "By signing the Agreement, you enter into this DPA (including, where applicable, the Standard Contractual Clauses)". Ele traz as Cláusulas Contratuais Padrão da Decisão (UE) 2021/914 e o International Data Transfer Addendum do ICO, versão B1.0. A Neon é subsidiária integral da Databricks, Inc., e existe um adendo da Databricks à parte, por assinatura, que substituiria o que já está em vigor; ele traz as mesmas salvaguardas, e por isso não o assinamos. O Cloud Data Processing Addendum da Google é incorporado ao contrato do Google Cloud sem assinatura separada e afirma que a Google é operadora e o cliente é controlador.

Do Brasil (LGPD, artigos 33 a 36), a transferência é necessária para a execução de contrato do qual o titular é parte, que é a hipótese do artigo 33, IX, remetendo ao artigo 7º, V. Ela se sustenta sozinha e nunca dependeu de cláusulas contratuais. Nenhum dos contratos acima incorpora as cláusulas-padrão da Resolução CD/ANPD nº 19/2024. Se alguma transferência passar a se apoiar nessas cláusulas, elas serão firmadas antes.

As medidas técnicas da seção 10 ficam como salvaguarda complementar. Os adendos são públicos: o da Resend em resend.com/legal/dpa, o da Neon em neon.com/pdf/DPA.pdf e o da Google em cloud.google.com/terms/data-processing-addendum.

9. Retenção e exclusão

Listas, itens e lembretes são mantidos enquanto o app estiver instalado e enquanto o comprador os mantiver. O comprador pode apagar qualquer item ou uma lista inteira a qualquer momento, de dentro da loja.

Desinstalar apaga tudo, na hora. Quando a Shopify avisa que o app foi desinstalado, a Wishday apaga a sessão e o token daquela loja e em seguida apaga o registro da loja, o que leva junto, em cascata, todas as listas, itens, lembretes e contadores do painel dela. Nada é arquivado e nada fica marcado como apagado.

Exclusão da loja (shop/redact), que a Shopify envia cerca de 48 horas depois da desinstalação, roda a mesma exclusão de novo. Ela foi escrita para poder repetir, então uma loja já limpa na desinstalação não vira erro.

Exclusão do comprador (customers/redact): a Wishday apaga todas as listas daquele cliente naquela loja, e os itens e o lembrete vão junto. Como o único identificador de comprador que guardamos é o ID de cliente da Shopify, isso é uma remoção única e completa, sem nome nem endereço para rastrear.

Solicitação de dados do comprador (customers/data_request): o app reúne o que tem daquele cliente, que são as listas, as datas e as referências de produto, e registra a solicitação. Este app não tem canal automático de entrega ao lojista, então a loja que receber um pedido desses deve escrever para o endereço da seção 14 e nós enviamos o que temos.

O e-mail do comprador não tem retenção nenhuma: ele existe só em memória durante a entrega de uma mensagem.

Registros técnicos de erro seguem a retenção do provedor de hospedagem, no máximo 30 dias. Cópias em backup do banco gerenciado seguem o ciclo do provedor e são sobrescritas em até 30 dias após a exclusão.

10. Segurança

Dados em trânsito são protegidos por TLS. Dados em repouso são criptografados pela criptografia nativa do provedor de banco.

Tokens de acesso ficam apenas no banco de dados, nunca em logs e nunca no lado do cliente. Os segredos de runtime (URL do banco, segredo da Shopify, chave do provedor de e-mail, segredo do agendador) vivem no Google Secret Manager e entram no serviço no deploy; o repositório guarda só os nomes deles.

Toda requisição de webhook é validada por assinatura HMAC antes de qualquer processamento, e toda requisição vinda da vitrine é validada pela assinatura do App Proxy da Shopify antes de qualquer lógica rodar.

Toda leitura e toda escrita são escopadas por loja e por comprador: um comprador não alcança a lista de outro, e uma loja não alcança o dado de outra.

O e-mail do comprador nunca é gravado no banco nem em log. As mensagens de erro carregam o ID do cliente no lugar do endereço, e a chave do provedor de e-mail nunca aparece num erro.

Incidentes. Como operadora, comunicamos o lojista afetado sem demora injustificada depois de tomar ciência, que é o dever do operador no artigo 33(2) do GDPR, para que o lojista, como controlador, comunique a autoridade dele dentro das 72 horas do artigo 33(1). Para os dados em que somos controladores (sessão e token de acesso), comunicamos nós mesmos a autoridade competente, sem demora injustificada e, quando aplicável, em até 72 horas da ciência, e comunicamos a ANPD em prazo razoável, conforme a regulamentação vigente.

11. Direitos dos titulares

Você tem direito a: confirmação de que tratamos seus dados; acesso aos dados; correção de dado incompleto, inexato ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem compartilhamos; revogação do consentimento; e oposição a tratamento feito com base em legítimo interesse. No GDPR, somam-se a limitação do tratamento (art. 18) e o direito de não se sujeitar a decisão automatizada (art. 22). Na CCPA/CPRA, somam-se os direitos de saber, excluir, corrigir e de não sofrer discriminação por exercê-los.

Dois desses não precisam de pedido nenhum. O comprador pode revisar e apagar suas próprias listas e itens de dentro da loja a qualquer momento, e pode desligar ou reagendar um lembrete pela lista ou pelo link de opt-out no pé de todo e-mail de lembrete. O link de opt-out funciona sem login.

Como exercer o resto: escreva para support@trywishday.com. Respondemos em até 15 dias para pedidos sob a LGPD e em até 1 mês para pedidos sob o GDPR, prorrogável por mais 2 meses em casos complexos, com aviso. O exercício é gratuito. Podemos pedir informação adicional apenas para confirmar sua identidade.

Se você é comprador de uma loja que usa a Wishday, o controlador dos seus dados é a loja, não nós. Encaminhe o pedido à loja; se ela nos repassar, atendemos como operadora. A loja é responsável por manter a própria política de privacidade perante seus compradores.

Reclamação. Você pode reclamar a uma autoridade de proteção de dados: a ANPD no Brasil (gov.br/anpd), a autoridade do seu país no EEE, o ICO no Reino Unido (ico.org.uk), ou o Office of the Privacy Commissioner of Canada (priv.gc.ca).

12. Cookies

O app não cria cookie próprio na vitrine da loja. O botão de coração e o diálogo de listas que o comprador vê não guardam nada no navegador: nem cookie, nem local storage, nem session storage. Dentro do admin da Shopify usamos apenas cookies estritamente necessários de sessão e de proteção contra CSRF, sem os quais o app não autentica. Não há cookie de analytics, de publicidade ou de rastreamento entre sites, e por isso não há banner de consentimento a exibir.

13. Decisões automatizadas

O app não toma decisão sobre pessoas. Ele envia o lembrete que o comprador agendou, na data que o comprador escolheu, e isso é tudo o que ele faz sozinho. Ele não pontua, não cria perfil, não classifica ninguém e não decide o acesso de ninguém a coisa nenhuma. Isso não é decisão automatizada no sentido do artigo 22 do GDPR.

14. Alterações nesta política, e contato

Podemos atualizar esta política. A versão vigente fica sempre nesta URL, com a data de vigência no topo, e uma mudança material é publicada aqui antes de passar a valer.

O app não tem canal para anunciar mudança ao lojista. Ele manda e-mail só para compradores, e só o lembrete que eles pediram. Então esta URL é o lugar de conferir, e a data de vigência no topo é o que diz se algo mudou.

Dúvidas sobre esta política, sobre o tratamento de dados ou para exercer seus direitos: support@trywishday.com. A responsável pelo tratamento é Fernanda Tiemy Yoshida, pessoa natural estabelecida no Brasil, que é também a encarregada pelo tratamento de dados pessoais (art. 41 da LGPD) e o ponto de contato para assuntos de proteção de dados sob o GDPR.