Política de Privacidade

Controladora dos dados de cadastro e acesso: Rafael Estevão, pessoa física, com domicílio em São Vicente/SP. Ela decide como os dados de cadastro da empresa Cliente e de acesso dos Usuários são tratados.

Para os dados pessoais que o Cliente insere na Plataforma sobre terceiros (por exemplo, nome, e-mail e telefone de contatos de fornecedores), o Cliente é o controlador e a Operadora atua como operadora: tratamos esses dados apenas para prestar o serviço contratado e conforme as instruções lícitas do Cliente. Compete ao Cliente garantir que possui base legal para inserir tais dados na Plataforma e atender os pedidos dos titulares a eles relativos, contando com o nosso apoio.

Encarregado pelo tratamento de dados pessoais (DPO): Rafael Estevão. Canal do titular: privacidade@controllia.com.br.

Dados fornecidos por você ou pelo Cliente:

• Cadastro da empresa: razão social ou nome, CPF ou CNPJ, telefone, e-mail principal e logotipo (opcional);
• Usuários: nome, e-mail, telefone (quando informado), perfil de acesso, preferência de recebimento de notificações, data de aceite dos Termos e, no login com Google, o identificador e o nome e e-mail da conta Google;
• Fornecedores e contratos: razão social, CPF ou CNPJ, nome do contato, e-mail e telefone do fornecedor; título, descrição, tipo, datas de início e término, valor, índice e meses de reajuste, e histórico de reajustes;
• Comunicações: mensagens trocadas com o suporte.

Dados gerados pelo uso da Plataforma:

• Registros de auditoria: quem criou, editou ou excluiu informações (nome do usuário, perfil, data e hora e o que foi alterado). As consultas simples de telas não são registradas;
• Registros técnicos e de segurança: endereço IP, identificadores de sessão, tipo de navegador e dispositivo, datas e horários de acesso e registros de erros, que podem conter o e-mail do usuário afetado.

Não solicitamos dados pessoais sensíveis (como saúde, biometria, opinião política ou religiosa). Pedimos que o Cliente não os insira em campos de texto livre. No momento, a Plataforma não permite o envio de arquivos anexos (por exemplo, PDF de contratos); se essa função for habilitada no futuro, esta Política será atualizada antes disso.

Tratamos dados pessoais somente para finalidades legítimas, específicas e informadas, apoiadas nas bases legais do art. 7º da LGPD:

• Criar e administrar a conta, autenticar usuários e prestar o serviço contratado, incluindo o Período de Teste – execução de contrato ou de procedimentos preliminares (art. 7º, V);
• Enviar convites, alertas de vencimento, avisos de reajuste e comunicações operacionais – execução de contrato (art. 7º, V);
• Manter a trilha de auditoria, registros de acesso e de erros, prevenir fraudes e garantir a segurança da Plataforma – legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal ou regulatória (art. 7º, II), como a guarda de registros de acesso a aplicações prevista no art. 15 do Marco Civil da Internet (Lei nº 12.965/2014);
• Prestar suporte técnico e responder solicitações – execução de contrato e legítimo interesse;
• Cobrança, emissão de documentos fiscais e cumprimento de obrigações tributárias e contábeis – execução de contrato e obrigação legal;
• Exercício regular de direitos em processos judiciais, administrativos ou arbitrais – art. 7º, VI;
• Aceite dos Termos e desta Política – comprovação de ciência e de cumprimento de obrigações contratuais.

Quando o legítimo interesse for a base legal, avaliamos a necessidade e o impacto do tratamento sobre você, adotando salvaguardas. Não utilizamos seus dados para publicidade de terceiros, não os vendemos e não realizamos decisões exclusivamente automatizadas que produzam efeitos jurídicos sobre você.

Compartilhamos dados apenas quando necessário para operar a Plataforma, com fornecedores contratados que atuam como suboperadores, sob obrigações de confidencialidade e segurança:

• Google Cloud / Firebase (Google LLC): hospedagem, banco de dados, autenticação (inclusive login com Google) e execução do sistema;
• Resend: envio de e-mails transacionais (convites, alertas e avisos);
• Serviços públicos de índices econômicos (por exemplo, Banco Central do Brasil): consultamos apenas séries públicas de índices; nenhum dado pessoal é enviado a essas fontes.

Também podemos compartilhar dados com autoridades públicas, mediante ordem legal ou judicial ou para cumprimento de obrigação legal, e com assessores jurídicos, contábeis e de segurança, sob dever de sigilo. Em operações societárias (fusão, aquisição), os dados poderão ser transferidos ao sucessor, que respeitará esta Política.

Dentro da empresa Cliente, os dados são visíveis aos Usuários conforme o perfil de acesso (administrador, financeiro, editor ou visualizador). A equipe autorizada da Operadora pode acessar a conta do Cliente em “modo suporte”, para prestar atendimento, com registro das alterações realizadas.

Os dados são armazenados na infraestrutura do Google Cloud. Alguns suboperadores (como Google e Resend) podem tratar dados em servidores localizados fora do Brasil. Nesses casos, a transferência internacional é realizada com base no art. 33 da LGPD, mediante cláusulas contratuais padrão ou outros mecanismos previstos em lei, e garantindo grau de proteção compatível com o exigido pela legislação brasileira.

Mantemos os dados pelo tempo necessário para cumprir as finalidades descritas, observados os prazos abaixo:

• Dados de cadastro, fornecedores e contratos: enquanto a conta estiver ativa. Após o encerramento da conta, são excluídos ou anonimizados em até 90 (noventa) dias, salvo se a lei exigir ou autorizar a conservação;
• Registros de acesso a aplicações (IP, data e hora): 6 (seis) meses, conforme o art. 15 do Marco Civil da Internet, podendo ser mantidos por mais tempo mediante ordem legal;
• Trilha de auditoria: pelo período de vigência da conta, para segurança e prestação de contas do Cliente;
• Registros de erros técnicos: pelo tempo necessário à análise e correção, sendo periodicamente eliminados;
• Dados fiscais e contábeis de cobrança: pelos prazos legais (em regra, 5 anos);
• Dados necessários ao exercício regular de direitos: até o fim do prazo prescricional aplicável.

Findos os prazos, os dados são eliminados ou anonimizados de forma segura, nos termos do art. 16 da LGPD.

Nos termos do art. 18 da LGPD, você pode solicitar, a qualquer momento e mediante requisição:

• confirmação da existência de tratamento e acesso aos seus dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados a outro fornecedor, mediante requisição expressa e observados os segredos comercial e industrial;
• eliminação dos dados tratados com base em consentimento, ressalvadas as hipóteses de conservação previstas em lei;
• informação sobre as entidades públicas e privadas com as quais compartilhamos dados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogação do consentimento, quando o tratamento se basear nele;
• oposição a tratamento realizado com fundamento em hipótese de dispensa de consentimento, em caso de descumprimento da lei;
• peticionar perante a Autoridade Nacional de Proteção de Dados (ANPD).

Para exercer seus direitos, escreva para privacidade@controllia.com.br, informando seu nome, e-mail de cadastro e o pedido. Poderemos solicitar informações adicionais para confirmar sua identidade e proteger seus dados. Respondemos no prazo legal e de forma gratuita. Se os seus dados foram inseridos por uma empresa Cliente (por exemplo, você é contato de um fornecedor), o pedido também poderá ser encaminhado ao Cliente, que é o controlador desses dados.

Adotamos medidas técnicas e administrativas compatíveis com a natureza dos dados, entre elas:

• criptografia em trânsito (HTTPS/TLS) e em repouso, oferecida pela infraestrutura do Google Cloud;
• isolamento lógico dos dados de cada empresa Cliente e regras de segurança que restringem a leitura e a escrita por perfil de acesso;
• autenticação com senha ou conta Google, com bloqueio de acesso para usuários desativados;
• alterações sensíveis realizadas apenas no servidor, com registro em trilha de auditoria;
• acesso da equipe da Operadora limitado ao necessário e sujeito a confidencialidade;
• testes automatizados de regras de segurança e de permissões.

Nenhum sistema é totalmente imune a incidentes. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos os afetados e a ANPD nos termos do art. 48 da LGPD.

Você também contribui para a segurança ao manter suas credenciais em sigilo, usar senhas fortes e únicas e nos avisar imediatamente sobre qualquer uso suspeito.

Utilizamos apenas armazenamento local do navegador estritamente necessário ao funcionamento da Plataforma: manter sua sessão autenticada, lembrar a empresa em atendimento (modo suporte) e guardar preferências de aparência (tema claro ou escuro). Não usamos cookies de publicidade ou de rastreamento de terceiros. Você pode limpar esses dados nas configurações do navegador, o que poderá exigir novo login.

A Plataforma é destinada a empresas e profissionais e não se dirige a menores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes; se identificarmos essa situação, excluiremos os dados.

Podemos atualizar esta Política para refletir mudanças legais ou no serviço. A versão vigente e sua data ficam sempre disponíveis nesta página. Em alterações relevantes, solicitaremos novo aceite no próximo acesso e, quando cabível, avisaremos por e-mail.

Para exercer direitos, tirar dúvidas ou reportar incidentes, fale com o nosso encarregado: privacidade@controllia.com.br.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em www.gov.br/anpd.