O dado é do parceiro. A inteligência é compartilhada. Ninguém vê pessoa.
Como a Tera trata o dado de compra do começo ao fim: quem é o dono, o que trafega, o que fica guardado, por quanto tempo e quem pode mandar apagar. Esta página é a resposta pronta para a primeira pergunta de toda conversa.
O identificador que entra na Tera é opaco e por parceiro: hash sha_256 com chave do parceiro. CPF, nome, telefone e e-mail não entram em nenhuma tabela da Tera.
Nenhum arquivo que sai da Tera carrega dado pessoal em claro. Audiência é lista de identificadores pseudonimizados mais flags de comportamento.
Cada parceiro e cada anunciante tem o seu ambiente: tabelas com dono, trilha de auditoria de acesso e nível de proteção definido em contrato.
1. De onde vem o dado e o que ele é
A base é a nota fiscal eletrônica (NFC-e e NF-e) que o consumidor cadastra no programa do parceiro, lida item a item, ou que cadastra em uma promoção da própria marca. Da nota, a Tera lê o item (descrição, marca e fabricante, embalagem, categoria, GTIN, quantidade, preço) e a compra (CNPJ do emissor, rede e bandeira, município e UF, data e hora). Do consumidor, a Tera recebe apenas o identificador pseudonimizado que o parceiro gera.
Toda leitura é do documento fiscal: nada é declarado, nada é modelado por painel amostral, nada é inferido de navegação.
2. Papéis na LGPD
| Quem | Papel | O que isso significa |
|---|---|---|
| Parceiro de dados (programa, app, varejo) | Controlador | É o dono da base e da relação com o titular. Define a base legal e a finalidade. Pode suspender ou encerrar o uso a qualquer momento. |
| Marca com base própria de promoção | Controladora da própria base | A base da promoção é da marca e só é ativada no ambiente da marca (CRM). Nunca se mistura com a base de um parceiro. |
| Tera | Operadora | Processa o dado por instrução do controlador, nos limites do contrato (DPA). Não é dona da base e não revende dado bruto. |
| Anunciante | Recebe inteligência e audiência | Vê contagens, recortes e resultado de medição. Nunca vê dado individual. Recebe audiência só em destino e formato aprovados pelo controlador. |
3. O que trafega e o que fica
- Entrada: identificador pseudonimizado do parceiro mais os dados da nota. Sem dado pessoal.
- Dentro da Tera: grão shopper por marca por categoria, com o mesmo identificador opaco. Contagens só aparecem em tela acima de um piso mínimo; a plataforma nunca devolve identificador ao navegador.
- Saída (Audiences): arquivo com identificador pseudonimizado e flags, no formato que o destino aceita (loyalty id no CRM da própria marca, device id ou SHA-256 em plataforma de mídia, id pseudonimizado em CSV). Dado de parceiro nunca sobe no CRM do anunciante. Cada entrega recebe hash do arquivo, data, destino, finalidade e autorização, e fica registrada.
- Medição (Measurement): a compra posterior é lida na própria nota, no mesmo identificador. Exposto e controle são grupos, não pessoas; o resultado é agregado.
4. Tempo de vida e direito de apagar
- Toda audiência entregue tem prazo de validade definido na entrega. Vencido o prazo, o destino apaga ou renova com nova autorização.
- Supressão por comando do controlador: o identificador sai das audiências ativas e das entregas futuras. O registro da entrega passada continua, sem o identificador, para auditoria.
- Pedido do titular chega pelo parceiro, que é quem o conhece, e é executado pela Tera dentro do prazo contratual.
5. Segurança
- Ambientes internos atrás de VPN; plataforma do anunciante com login por convite, sessão curta e trilha de acesso.
- Segredos e chaves em cofre gerenciado; nenhuma credencial em código ou arquivo de configuração.
- Banco de análise em modo somente leitura para toda exploração; escrita apenas pelo próprio serviço, versionada.
- Sistema de gestão alinhado à ISO 27001, em implantação.
6. O que a Tera não faz
- Não identifica pessoa: não recebe e não guarda CPF, nome, contato ou endereço.
- Não cruza bases de parceiros diferentes por pessoa. Cada parceiro é um ambiente.
- Não revende dado bruto e não exporta micro-dado para anunciante.
- Não usa pixel, tag ou rastreio de navegação.
Versão 1 · setembro de 2026 · rascunho para revisão jurídica antes de publicação. Termos: pseudonimização conforme LGPD art. 5º, XI; papéis de controlador e operador conforme art. 5º, VI e VII. Dúvidas e pedidos: privacidade@terabr.com.