Política de Privacidade

2. Dados que coletamos

• Credenciais de login: e-mail e senha — enviados via HTTPS para api/ext/auth. A senha é verificada contra um hash Argon2id no servidor e nunca armazenada na extensão.
• Token de sessão: token opaco de 48 bytes, TTL de 90 dias, armazenado em chrome.storage.local. Pode ser revogado no popup (Logout) ou no painel.
• Dados do Mercado Livre visíveis na aba ativa: título, preço, fotos, categoria, vendedor — extraídos do DOM apenas quando você está em uma página ML.
• Métricas da sua conta ML no Rally: vendas, anúncios, reputação, notificações — fornecidas pela API api/ext/me autenticada pelo seu token.

3. Dados que NÃO coletamos

• Histórico de navegação fora dos domínios em host_permissions (rallydevendas.com.br, mercadolivre.com.br, mercadolibre.com).
• Dados pessoais de compradores ou concorrentes.
• Keystrokes, formulários de terceiros, senhas de outros serviços.
• Localização geográfica, contatos, câmera, microfone.

4. Como usamos os dados

• Autenticar você no painel Rally.
• Exibir análise enriquecida, calculadora e raio-X diretamente nas páginas do ML.
• Enviar notificações locais (via chrome.notifications) quando há nova venda, pergunta ou mudança de preço em itens que você está acompanhando.
• Sincronizar seu relatório de afiliados (opcional, só quando você visita o portal ML).

5. Compartilhamento

Os dados só são enviados para:

• rallydevendas.com.br — servidores Rally na Hostinger (Brasil).
• api.mercadolibre.com — API pública do Mercado Livre, usada para buscar dados de itens, categorias e vendedores.

Não vendemos e não compartilhamos dados pessoais com terceiros para marketing.

6. Permissões solicitadas

• storage — guardar token e cache local.
• notifications — alertar sobre vendas, perguntas e mudanças de preço.
• alarms — sincronizar dashboard a cada 3 min e alertas a cada 10 min.
• activeTab — ler dados do anúncio ML aberto (apenas quando você está em uma página ML).
• downloads — baixar fotos e vídeos de anúncios quando você solicita.

7. Armazenamento local

• rally_token — token de sessão.
• rally_snapshot — cache do dashboard.
• rally_track_alerts_count — contador de alertas.

Ao fazer logout, todos os itens são removidos. Desinstalar a extensão remove tudo.

8. Segurança

• Todo tráfego é HTTPS/TLS 1.2+.
• Token tem TTL 90 dias e pode ser revogado a qualquer momento.
• Rate limit de 10 tentativas/minuto por IP no login (proteção contra brute-force).
• Senhas armazenadas no servidor com Argon2id (padrão OWASP).
• CSP rígida na extensão: script-src 'self'; object-src 'self'; base-uri 'self'.

9. Seus direitos (LGPD)

• Acessar e exportar seus dados: painel → Exportar dados.
• Excluir sua conta: exclusão de dados.
• Revogar o token da extensão: logout no popup ou painel → Segurança → Dispositivos.
• Contestar, corrigir ou portar dados: contato@rallydevendas.com.br.

10. Alterações

Alterações materiais serão notificadas no popup e publicadas nesta página com nova data de atualização.

11. Contato do Controlador

Rally de Vendas
E-mail: contato@rallydevendas.com.br
Site: rallydevendas.com.br