O comprador é seu ou da plataforma? Do checkout para uma lista sua

Principais achados

1. O relatório de vendas da Hotmart pode ser exportado em CSV ou XLS e, no modelo detalhado, traz o e-mail e o telefone da pessoa compradora.

   Fonte: Hotmart, Central de Ajuda, "Como funciona o relatório de vendas?", atualizado em 06/07/2026

2. Pelo termo de tratamento de dados da Hotmart, o criador é controlador independente dos dados de conta do usuário que transfere ou extrai da plataforma, e declara cumprir a legislação, inclusive a verificação da base legal.

   Fonte: Hotmart, Data Processing Agreement, versão de agosto de 2024, seções B.2 e 15.1

3. As três plataformas avisam um sistema externo a cada venda. Na Eduzz, o aviso de fatura paga leva nome, e-mail, telefone e celular do comprador.

   Fonte: Eduzz Developers, "Webhook - MyEduzz - Fatura - Paga", consultado em 01/10/2026

4. A LGPD exige que o tratamento de dados tenha propósito informado ao titular e uma das hipóteses do art. 7º, como o consentimento ou o legítimo interesse do controlador.

   Fonte: Lei 13.709/2018 (LGPD), arts. 6º, I, e 7º, I e IX

5. Ter o telefone do comprador não basta para chamá-lo no WhatsApp. A política de mensagens exige também a permissão de quem vai receber.

   Fonte: WhatsApp Business, Política de Mensagens, seção 1, atualizada em 23/09/2026

Resumo

Quem vende pela Hotmart, pela Kiwify ou pela Eduzz costuma tratar o comprador como registro da plataforma. A venda acontece no checkout dela, o acesso é liberado por ela, e o nome de quem pagou fica num painel que o produtor abre para ver quanto vendeu. Quando chega a hora de oferecer a assinatura, o próximo curso ou o relançamento, a lista de quem já comprou não está em lugar nenhum que ele controle.

As páginas oficiais das três plataformas mostram que o contato não está preso. O relatório de vendas da Hotmart pode ser exportado em CSV ou XLS e, no modelo detalhado, traz o e-mail e o telefone da pessoa compradora. A Kiwify diz que o produtor pode exportar todos os dados das vendas de uma vez, ou filtrar e exportar só o que deseja, também em CSV ou XLS. Na Eduzz, o relatório de Minhas Vendas sai em arquivo .csv, simples ou detalhado. O dado sai. Ele só não sai sozinho.

A segunda pergunta é de quem é a responsabilidade por esse dado. O termo de tratamento de dados da Hotmart, na versão de agosto de 2024, separa os papéis. A Hotmart é controladora independente dos dados pessoais que ela coleta. O criador é controlador independente dos dados de conta do usuário que transfere ou extrai da plataforma. Controlador, pela LGPD, é a pessoa a quem competem as decisões sobre o tratamento dos dados. Na prática, a lista que sai da Hotmart passa a ser do produtor, com o bônus e com o ônus: o mesmo termo diz que o criador declara cumprir a legislação, incluída a verificação da base legal adequada, e que o dano causado por um uso fora da lei é responsabilidade exclusiva dele. Não abrimos documento equivalente da Kiwify nem da Eduzz, e por isso essa divisão de papéis vale, aqui, para a Hotmart.

Há dois caminhos para o comprador chegar a um CRM, o sistema onde ficam os contatos e o histórico de cada um. O primeiro é a planilha: alguém exporta o relatório e importa no CRM. Funciona, e envelhece no dia seguinte. O segundo é o webhook, o aviso automático que a plataforma manda para outro sistema quando algo acontece com uma venda. A Hotmart o descreve como a ferramenta que permite receber notificações automáticas sempre que houver uma atualização no status de uma transação, e lista entre os eventos a compra aprovada, a compra reembolsada, o cancelamento de assinatura e o abandono de carrinho. A Kiwify aceita dez eventos, de compra aprovada a carrinho abandonado. Na Eduzz, o aviso de fatura paga leva nome, e-mail, telefone, celular e documento do comprador. Na Kiwify, a consulta de uma venda devolve também os campos de origem, como utm_source e utm_campaign. O CRM pode guardar quem comprou e de qual campanha a venda veio.

Ter a lista não resolve o que se pode fazer com ela. A LGPD pede que o tratamento tenha propósito legítimo, específico e informado ao titular, e que se apoie numa das hipóteses do art. 7º. Entre elas estão o consentimento e o legítimo interesse do controlador, que a lei admite para apoio e promoção de atividades do controlador, com transparência. O consentimento pode ser revogado a qualquer momento, por procedimento gratuito e facilitado. No WhatsApp, a regra é da própria plataforma: a empresa só pode contatar quem deu o número e também deu permissão para receber mensagens. O telefone que veio do checkout cumpre a primeira condição. A segunda precisa ser pedida.

O critério de decisão sai daí. Quem vende um produto só, poucas vezes por ano, resolve com a planilha exportada depois de cada carrinho. Quem tem perpétuo, assinatura ou escada de ofertas precisa do aviso automático, porque a oferta seguinte depende de saber quem comprou ontem e quem pediu reembolso hoje. Nos dois casos, a página de vendas ganha um campo de captura antes do botão de compra, com o pedido de permissão para e-mail e WhatsApp. Assim a lista inclui quem se interessou e não comprou, e a permissão fica registrada com data.

As regras citadas foram conferidas nas páginas oficiais em 1º de outubro de 2026. A página técnica da Hotmart com os campos de cada aviso não abriu na conferência, e por isso a peça não lista o que vem em cada aviso dela. Qual hipótese da LGPD serve para mandar oferta a quem já comprou é leitura nossa do texto da lei, e não orientação da autoridade de proteção de dados nem parecer jurídico.

O PDF completo

1. A venda que termina no checkout
2. De quem é o contato
3. Por onde o comprador sai da plataforma
4. O que a lista permite
5. Planilha ou integração

Baixar o PDF